T-553/23

žalobca,

proti

Európskej komisii , v zastúpení: D. Calleja Crespo, A. Bouchagiar, H. Kranenborg a C. Ladenburger, splnomocnení zástupcovia,

žalovanej,

ktorú v konaní podporuje:

Írsko , v zastúpení: M. Browne, S. Finnegan a A. Joyce, splnomocnení zástupcovia, za právnej pomoci S. Brittain, barrister, a C. Donnelly, SC,

so zreteľom na uznesenie z 12. októbra 2023, Latombe/Komisia (T‑553/23 R, neuverejnené, EU:T:2023:621),

so zreteľom na písomnú časť konania,

po pojednávaní z 1. apríla 2025,

vyhlásil tento

Rozsudok

1

4

V druhom rade rozsudkom zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, ďalej len „rozsudok Schrems II, EU:C:2020:559 ), Súdny dvor vyhlásil za neplatné vykonávacie rozhodnutie Komisie (EÚ) 2016/1250 z 12. júla 2016 podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej štítom na ochranu osobných údajov medzi EÚ a USA ( Ú. v. EÚ L 207, 2016, s. 1 , ďalej len „rozhodnutie o primeranosti, pokiaľ ide o štít na ochranu osobných údajov“).

5

V rozsudkoch Schrems I a Schrems II Súdny dvor, na ktorý bol podaný návrh na začatie prejudiciálneho konania týkajúci sa posúdenia platnosti, okrem iného konštatoval, že v rozpore s posúdením Európskej komisie vyplývajúcim z rozhodnutí o primeranosti, uvedených v bodoch 3 a 4 vyššie, systém bezpečného prístavu a systém štítu na ochranu osobných údajov (ďalej len „štít na ochranu osobných údajov“), ktorými sa riadi prenos osobných údajov, nezaručujú takú úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej právom Únie.

6

V nadväznosti na rozsudok Schrems II začala Komisia rokovania s vládou Spojených štátov s cieľom prijať prípadné nové rozhodnutie o primeranosti, ktoré by spĺňalo požiadavky článku 45 ods. 2 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46 (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 , ďalej len „GDPR“), ako ich vyložil Súdny dvor.

Žalobca navrhuje, aby Všeobecný súd:

–

zrušil napadnuté rozhodnutie v podstate v celom rozsahu,

–

uložil Komisii povinnosť nahradiť trovy konania.

10

uložil žalobcovi povinnosť nahradiť trovy konania.

III. Právne posúdenie

A. O námietke neprípustnosti

11

Samostatným podaním doručeným do kancelárie Všeobecného súdu 1. decembra 2023 podala Komisia námietku neprípustnosti na základe článku 130 Rokovacieho poriadku Všeobecného súdu.

12

Vzhľadom na okolnosti prejednávanej veci teda Všeobecný súd usudzuje, že keďže je žaloba v každom prípade z dôvodov uvedených v bodoch 16 až 204 nižšie nedôvodná, je v záujme riadneho výkonu spravodlivosti opodstatnené preskúmať jej dôvodnosť bez predchádzajúceho rozhodnutia o jej prípustnosti (pozri v tomto zmysle rozsudky z 10. októbra 2014, Marchiani/Parlament, T‑479/13 , neuverejnený, EU:T:2014:866 , bod 23 , a z 20. decembra 2023, Naturstrom/Komisia, T‑60/21 , neuverejnený, EU:T:2023:839 , bod 74 ).

B. O veci samej

16

Žalobca na podporu svojej žaloby uvádza päť žalobných dôvodov, z ktorých:

–

prvý je založený na porušení článkov 3 a 4 nariadenia Rady č. 1/1958 z 15. apríla 1958 o používaní jazykov v Európskom hospodárskom spoločenstve ( Ú. v. ES 17, 1958, s. 385 ; Mim. vyd. 01/001, s. 3),

–

piaty je založený na porušení článku 32 GDPR v spojení s článkom 45 ods. 2 tohto nariadenia.

17

Na pojednávaní žalobca vzal späť svoj prvý žalobný dôvod týkajúci sa porušenia článkov 3 a 4 nariadenia č. 1/1958. Je tak potrebné preskúmať len jeho druhý až piaty žalobný dôvod.

1.

Úvodné poznámky

21

Okrem toho Súdny dvor konštatoval, že vzhľadom na dôležitú úlohu, ktorú na jednej strane zohráva ochrana osobných údajov so zreteľom na základné právo rešpektovania súkromného života a na druhej strane významné množstvo osôb, ktorých základné práva môžu byť porušené v prípade prenosu osobných údajov do tretej krajiny, ktorá nezaisťuje primeranú úroveň ochrany, je voľná úvaha Komisie, pokiaľ ide o úroveň ochrany zaistenú treťou krajinou, obmedzená, a je teda potrebné pristúpiť k prísnemu preskúmaniu zákonnosti rozhodnutia o primeranosti (rozsudok Schrems I, bod 78).

22

V druhom rade treba pripomenúť, že podľa ustálenej judikatúry sa zákonnosť aktu Únie musí posudzovať podľa skutkových a právnych okolností existujúcich v čase prijatia tohto aktu, a teda akty prijaté po prijatí rozhodnutia nemôžu mať vplyv na jeho platnosť (pozri rozsudky zo 17. októbra 2019, Alcogroup a Alcodis/Komisia, C‑403/18 P , EU:C:2019:870 , bod 45 a citovanú judikatúru, a z 28. januára 2021, Qualcomm a Qualcomm Europe/Komisia, C‑466/19 P , EU:C:2021:76 , bod 82 a citovanú judikatúru). Preto v prejednávanej veci posúdenia Komisie týkajúce sa zákonnosti napadnutého rozhodnutia musia byť preskúmané len na základe skutočností, ktorými Komisia disponovala v čase, keď tieto posúdenia vykonala.

23

Práve v tomto kontexte treba analyzovať žalobné dôvody uvádzané žalobcom, a to tak, že sa najprv preskúma tretí žalobný dôvod, potom druhý žalobný dôvod, následne štvrtý žalobný dôvod a napokon piaty žalobný dôvod.

„Každý má právo na to, aby jeho záležitosť bola spravodlivo, verejne a v primeranej lehote prejednaná nezávislým a nestranným súdom zriadeným zákonom. Každý musí mať možnosť poradiť sa, obhajovať sa a nechať sa zastupovať.“

26

Podľa vysvetliviek k Charte základných práv ( Ú. v. EÚ C 303, 2007, s. 17 ) článok 47 druhý odsek Charty zodpovedá článku 6 ods. 1 Európskeho dohovoru o ochrane ľudských práv a základných slobôd podpísaného 4. novembra 1950 v Ríme (ďalej len „EDĽP“). Uvedené ustanovenie EDĽP znie:

„Každý má právo na to, aby jeho vec bola spravodlivo, verejne a v primeranej lehote prejednaná nezávislým a nestranným súdom zriadeným zákonom, ktorý rozhodne o jeho občianskych právach alebo záväzkoch alebo o akomkoľvek trestnom čine, z ktorého je obvinený.“

27

V tejto súvislosti treba pripomenúť, že podľa judikatúry vzhľadom na to, že EDĽP – kým k nemu Únia nepristúpila – nepredstavuje právny nástroj formálne začlenený do právneho poriadku Únie, platnosť aktu sekundárneho práva sa musí preskúmať výlučne s ohľadom na základné práva zaručené Chartou základných práv (rozsudok z 3. septembra 2015, Inuit Tapiriit Kanatami a i./Komisia, C‑398/13 P , EU:C:2015:535 , body 45 a 46 ).

31

Treba tiež poznamenať, že v článku 45 ods. 2 GDPR sa uvádza, že Komisia pri posudzovaní primeranosti úrovne ochrany poskytovanej treťou krajinou zohľadňuje najmä tieto skutočnosti:

„a)

… účinné a vymáhateľné práva dotknutej osoby a účinné správne a súdne prostriedky nápravy pre dotknuté osoby, ktorých osobné údaje sa prenášajú;

b)

existencia a účinné pôsobenie jedného či viacerých nezávislých dozorných orgánov v predmetnej tretej krajine, alebo ktorému podlieha medzinárodná organizácia, so zodpovednosťou za zabezpečenie a presadzovanie dodržiavania pravidiel ochrany údajov vrátane primeraných právomocí pre presadzovanie práva, za poskytovanie pomoci a poradenstva dotknutým osobám pri výkone ich práv a za spoluprácu s dozornými orgánmi členských štátov“.

34

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, namieta proti argumentácii žalobcu.

35

Na úvod treba uviesť, že podľa judikatúry požiadavka nezávislosti súdov, ktorá je neoddeliteľne spojená s poslaním súdnictva, vychádza z podstaty práva na účinnú súdnu ochranu a základného práva na spravodlivý proces, ktoré má zásadný význam ako záruka ochrany všetkých práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z práva Únie, a ako záruka zachovania spoločných hodnôt členských štátov uvedených v článku 2 ZEÚ, najmä hodnoty právneho štátu [rozsudok z 15. júla 2021, Komisia/Poľsko (Disciplinárny režim sudcov), C‑791/19 , EU:C:2021:596 , bod 58 a citovaná judikatúra]. V súlade so zásadou deľby moci, ktorou sa vyznačuje fungovanie právneho štátu, musí byť zaručená najmä nezávislosť súdov vo vzťahu k zákonodarnej a výkonnej moci (pozri rozsudok z 18. mája 2021, Asociația Forumul Judecătorilor din România a i., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 a C‑397/19 , EU:C:2021:393 , bod 195 a citovanú judikatúru).

36

Judikatúra spresňuje, že požiadavka nezávislosti súdov má dva aspekty. Prvé, vonkajšie hľadisko vyžaduje, aby dotknutý orgán vykonával svoje úlohy samostatne, nikomu hierarchicky nepodliehal, ani nebol nikomu podriadený a od nikoho neprijímal príkazy alebo inštrukcie, bez ohľadu na ich pôvod, čím je chránený pred vonkajšími zásahmi alebo tlakmi, ktoré by mohli ohroziť nezávislosť rozhodovania jeho členov a ovplyvniť ich rozhodnutia. Druhé, vnútorné hľadisko sa pripája k pojmu „nestrannosť“ a týka sa rovnakého odstupu od účastníkov konania a ich jednotlivých záujmov vo vzťahu k predmetu sporu. Tento druhý aspekt vyžaduje rešpektovanie objektívnosti a neexistenciu akéhokoľvek záujmu na vyriešení sporu mimo striktného uplatnenia právneho predpisu (pozri rozsudok z 21. decembra 2021, Euro Box Promotion a i., C‑357/19, C‑379/19, C‑547/19, C‑811/19 a C‑840/19 , EU:C:2021:1034 , bod 224 a citovanú judikatúru).

Svojím prvým tvrdením žalobca v podstate tvrdí, že DPRC nie je nezávislým a nestranným súdom, keďže jeho úlohou je preskúmavať rozhodnutia Civil Liberties Protection Officer of the Director of National Intelligence (úradník pre ochranu občianskych slobôd podliehajúci riaditeľovi národnej spravodajskej služby, ďalej len „CLPO“, Spojené štáty), ktorý je pričlenený k úradu riaditeľa národnej spravodajskej služby Spojených štátov (ďalej len „riaditeľ národnej spravodajskej služby“).

40

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tvrdeniu žalobcu namieta.

41

V záujme jasnosti treba spresniť, že prvé tvrdenie v rámci prvej výhrady tretieho žalobného dôvodu sa má vykladať v tom zmysle, že podľa žalobcu v podstate platí, že po prvé pri vybavovaní sťažnosti týkajúcej sa osobných údajov, podanej v Únii dotknutou osobou, ktorá sa chce domáhať konštatovania porušenia práva Spojených štátov upravujúceho činnosti signálového spravodajstva, ktoré poškodzuje jej záujmy v oblasti ochrany súkromného života a občianskych slobôd (ďalej len „sťažnosť týkajúca sa osobných údajov“), CLPO neposkytuje dostatočné záruky na zabezpečenie jeho nezávislosti, a to z dôvodu, že je pričlenený k úradu riaditeľa národnej spravodajskej služby, a po druhé DPRC nie je nezávislým a nestranným súdom, a to z dôvodu nedostatočných záruk vzťahujúcich sa na CLPO.

42

Po prvé z odôvodnení 185 a 186 napadnutého rozhodnutia vyplýva – pričom žalobca to nespochybňuje –, že DPRC sa skladá najmenej zo šiestich sudcov, ktorých vymenúva Attorney General (generálny prokurátor, Spojené štáty, ďalej len „generálny prokurátor“) po porade s Privacy and Civil Liberties Oversight Board (Rada pre dohľad nad rešpektovaním súkromného života a občianskych slobôd, Spojené štáty americké, ďalej len „PCLOB“), Secretary of Commerce (štátny tajomník pre obchod, Spojené štáty americké) a riaditeľom národnej spravodajskej služby na obnoviteľné funkčné obdobie štyroch rokov, pričom sú použité rovnaké kritériá, aké sa uplatňujú na sudcov federálneho súdnictva, s prihliadnutím na ich predchádzajúce odborné skúsenosti v súdnictve. Sudcovia teda musia byť príslušníkmi právnického povolania, to znamená aktívnymi členmi advokátskej komory s riadnym oprávnením na výkon advokátskej praxe, a musia mať primerané skúsenosti v oblasti práva na ochranu súkromného života a národnej bezpečnosti. Okrem toho sa generálny prokurátor musí usilovať zabezpečiť, aby v ktoromkoľvek okamihu mala aspoň polovica sudcov predchádzajúce skúsenosti v súdnictve, a všetci sudcovia musia mať bezpečnostnú previerku umožňujúcu prístup k utajovaným skutočnostiam týkajúcim sa národnej bezpečnosti. Na DPRC môžu byť vymenované len osoby, ktoré spĺňajú vyššie uvedené podmienky a ktoré v čase vymenovania nie sú a ani v predchádzajúcich dvoch rokoch neboli zamestnancami exekutívnej zložky moci. Taktiež platí, že sudcovia DPRC nesmú počas funkčného obdobia vykonávať žiadnu úradnú funkciu ani byť zamestnaní v rámci vlády Spojených štátov.

47

V každom prípade, pokiaľ ide o údajnú nedostatočnosť záruk, ktoré majú zabezpečiť nezávislosť CLPO, treba uviesť nasledujúce skutočnosti.

48

Je potrebné poukázať na to, že ako vyplýva z odôvodnení 176 až 181 napadnutého rozhodnutia, pričom žalobca to nespochybňuje, že na základe E.O. 14086, doplneného nariadením AG, sa zaviedol osobitný mechanizmus opravného prostriedku na účely vybavenia sťažnosti týkajúcej sa osobných údajov. Táto sťažnosť musí byť predložená dozornému orgánu, ktorý je v každom členskom štáte zodpovedný za dohľad nad spracúvaním osobných údajov, pričom tento ju následne postúpi CLPO, za predpokladu, že obsahuje náležitosti uvedené v bode 178 napadnutého rozhodnutia, t. j. informácie týkajúce sa osobných údajov, o ktorých sa možno dôvodne domnievať, že boli prenesené do Spojených štátov, prostriedky, ktorými – ako sa možno domnievať – boli prenesené, totožnosť – ak je známa – subjektov vlády Spojených štátov podozrivých z účasti na údajnom porušení, základ údajného porušenia práva Spojených štátov a povahu požadovanej náhrady škody. V tejto súvislosti musí CLPO určiť, či spravodajské agentúry porušili uplatniteľné právo Spojených štátov, a ak áno, môže nariadiť, aby vykonali nápravné opatrenia. Rozhodnutie CLPO týkajúce sa uvedenej sťažnosti je záväzné.

49

52

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tvrdeniu žalobcu namieta.

53

V prvom rade z odôvodnenia 110 napadnutého rozhodnutia vyplýva, že PCLOB je nezávislou agentúrou zriadenou v rámci výkonnej moci. Nezávislosť tejto agentúry vyplýva najmä z jej zloženia. Skladá sa totiž zo zástupov obidvoch politických strán, a to konkrétne z piatich členov, ktorých vymenúva prezident Spojených štátov so súhlasom Senátu na pevne stanovené funkčné obdobie šiestich rokov. Uvedení členovia sa musia vyberať výlučne na základe ich odbornej kvalifikácie, dosiahnutých výsledkov, verejného postavenia, odborných znalostí v oblasti občianskych slobôd a súkromného života, ako aj príslušných skúseností, a to bez ohľadu na politickú príslušnosť. PCLOB nesmie mať viac než troch členov z tej istej politickej strany. Osoba vymenovaná za člena PCLOB nesmie počas výkonu svojej funkcie zastávať žiadnu funkciu voleného činiteľa, úradníka ani zamestnanca federálnej vlády okrem funkcie člena PCLOB.

54

57

Z uvedeného vyplýva, že pravidlá týkajúce sa vymenúvania a odvolávania sudcov DPRC nemôžu spochybniť jeho nezávislosť a nestrannosť.

58

V treťom rade treba uviesť, že podľa článku 3 ods. 1 napadnutého rozhodnutia je Komisia povinná priebežne monitorovať uplatňovanie právneho rámca, z ktorého uvedené rozhodnutie vychádza, najmä podmienky uskutočňovania následných prenosov osobných údajov, podmienky uplatňovania individuálnych práv a podmienky, za akých majú orgány verejnej moci Spojených štátov prístup k údajom prenášaným na základe tohto rozhodnutia, a to s cieľom určiť, či Spojené štáty americké naďalej zabezpečujú primeranú úroveň ochrany. Podľa odseku 5 uvedeného článku, ak má Komisia k dispozícii informácie, ktoré naznačujú, že primeraná úroveň ochrany už nie je zabezpečená, informuje o tom orgány Spojených štátov a v prípade potreby rozhodne o pozastavení uplatňovania napadnutého rozhodnutia, jeho zmene, zrušení alebo o obmedzení rozsahu jeho pôsobnosti. Z uvedeného vyplýva, že ak sa zmení právny rámec platný v Spojených štátoch v čase prijatia napadnutého rozhodnutia, ktorý viedol Komisiu k záveru – vyjadrenému v tomto rozhodnutí –, že DPRC poskytuje právnu ochranu, ktorá je v podstate rovnocenná ochrane zaručenej právom Únie, Komisia v prípade potreby rozhodne o pozastavení uplatňovania napadnutého rozhodnutia, jeho zmene, zrušení alebo o obmedzení rozsahu jeho pôsobnosti.

59

Vzhľadom na všetky tieto úvahy treba toto tvrdenie zamietnuť.

Treba poznamenať, že zatiaľ čo zo spisu vyplýva, že podľa článku 201 ods. 7 písm. d) nariadenia AG sudcovia DPRC nesmú podliehať každodennému dohľadu generálneho prokurátora, v odôvodnení 187 napadnutého rozhodnutia sa tiež uvádza, že podľa E.O. 14086 spravodajské agentúry a generálny prokurátor nesmú sťažovať prácu CLPO alebo vo vzťahu k jeho práci vyvíjať nenáležitý vplyv. Okrem toho zo spisu vyplýva, že E.O. 14086 a nariadenie AG obmedzujú možnosť výkonnej moci vyvíjať vplyv na prácu DPRC, keď stanovujú, že jeho sudcovia môžu byť odvolaní len generálnym prokurátorom a len z dôvodov uvedených v bode 56 vyššie.

63

V tomto kontexte treba toto tvrdenie odmietnuť, a preto treba prvú výhradu tretieho žalobného dôvodu zamietnuť v celom rozsahu.

b)

O druhej výhrade tretieho žalobného dôvodu, podľa ktorej DPRC nie je súdom zriadeným zákonom

64

67

Súdny dvor tiež reflektujúc judikatúru ESĽP (rozsudok ESĽP, 8. júla 2014, Biagioli v. San Marino, CE:ECHR:2014:0708DEC000816213, body 72 až 74; pozri tiež rozsudok ESĽP, 2. mája 2019, Pasquini v. San Marino, CE:ECHR:2019:0502JUD005095616, body 100 a 101 a citovanú judikatúru), uviedol, že výraz „zriadený zákonom“ má za cieľ zabrániť tomu, aby bola organizácia súdneho systému ponechaná na voľnú úvahu výkonnej moci, a zabezpečiť to, aby bola táto oblasť upravená zákonom prijatým zákonodarnou mocou spôsobom, ktorý je v súlade s normami vymedzujúcimi výkon jej právomoci. Tento výraz tak odráža zásadu právneho štátu a týka sa nielen právneho základu samotnej existencie súdu, ale aj zloženia rozhodovacieho orgánu v každej veci, ako aj každého iného ustanovenia vnútroštátneho práva, ktorého nedodržanie spôsobuje protiprávnosť účasti jedného alebo viacerých sudcov na preskúmaní veci, čo zahŕňa najmä ustanovenia týkajúce sa nezávislosti a nestrannosti členov príslušného súdu (pozri rozsudok z 29. marca 2022, Getin Noble Bank, C‑132/20 , EU:C:2022:235 , bod 121 a citovanú judikatúru).

68

V tejto súvislosti Súdny dvor rozhodol, že konštatovanie týkajúce sa existencie porušenia požiadavky na súd zriadený zákonom a dôsledkov takéhoto porušenia podlieha celkovému posúdeniu viacerých skutočností, ktoré posudzované ako celok prispievajú k vzniku oprávnených pochybností u osôb podliehajúcich súdnej právomoci, pokiaľ ide o nezávislosť a nestrannosť sudcov [pozri rozsudok z 22. februára 2022, Openbaar Ministerie (Súd zriadený zákonom v členskom štáte, ktorý vydal zatykač), C‑562/21 PPU a C‑563/21 PPU , EU:C:2022:100 , bod 74 a citovanú judikatúru].

72

V druhom rade treba pripomenúť, že ako rozhodol Súdny dvor v rozsudku Schrems I a v rozsudku Schrems II, Komisia nie je v rámci rozhodovania o primeranosti povinná ubezpečiť sa o tom, že príslušné ustanovenia tretej krajiny sú totožné s ustanoveniami platnými v Únii, ale o tom, že tieto sú v podstate rovnocenné s ustanoveniami zaručenými právom Únie podľa nariadenia GDPR v spojení s Chartou základných práv (pozri body 19 a 20 vyššie). Z uvedeného vyplýva, že v prejednávanej veci je Všeobecný súd povinný overiť dôvodnosť konštatovania o primeranosti vykonaného Komisiou v napadnutom rozhodnutí, podľa ktorého ustanovenia práva Spojených štátov týkajúce sa zriadenia a fungovania DPRC poskytujú záruky, ktoré sú v podstate rovnocenné zárukám stanoveným právom Únie v článku 47 druhom odseku Charty. Takéto záruky sú poskytnuté konkrétne vtedy, keď právny text, ktorým sa zriaďuje tento súd a vymedzujú sa pravidlá jeho fungovania, má za cieľ zabezpečiť jeho nezávislosť a nestrannosť vo vzťahu k ostatným mociam, predovšetkým vo vzťahu k výkonnej moci, a to napriek tomu, že uvedený text z formálneho hľadiska nepredstavuje zákon.

73

V prejednávanej veci z odôvodnenia 185 napadnutého rozhodnutia vyplýva – pričom žalobca to nespochybňuje –, že DPRC bol zriadený nariadením AG. Z toho vyplýva že DPRC nebol vytvorený zákonom prijatým zákonodarnou mocou, t. j. Kongresom Spojených štátov, ale aktom výkonnej moci. Generálny prokurátor je totiž vedúcim predstaviteľom ministerstva spravodlivosti Spojených štátov a hlavným orgánom, ktorý je zodpovedný za presadzovanie práva v rámci federálnej vlády Spojených štátov. Generálny prokurátor je hlavným poradcom prezidenta Spojených štátov vo všetkých právnych otázkach a je členom jeho kabinetu.

–

na základe zriadenia DPRC generálny prokurátor na tento orgán delegoval svoju právomoc rozhodovať o zákonnosti činností signálového spravodajstva, ktoré napadol občan Únie; generálny prokurátor tak už de iure nie je oprávnený vykonávať právomoc, ktorú delegoval na DPRC, a to po dobu existencie tohto orgánu,

–

ako sa uvádza v poznámke pod čiarou 366 na strane 63 napadnutého rozhodnutia, Najvyšší súd Spojených štátov uznal možnosť generálneho prokurátora zriaďovať nezávislé orgány s rozhodovacou právomocou, akým je aj DPRC; okrem toho konštatoval, že delegovanie právomoci zo strany generálneho prokurátora na jeho splnomocneného zástupcu je pre výkonnú moc záväzné; z judikatúry uvedeného súdu teda vyplýva, že pokiaľ nariadenie AG zostáva v platnosti, výkonná moc je ním viazaná a ani spravodajské agentúry, ani vláda Spojených štátov nemôžu rozhodnutia DPRC preskúmať alebo zrušiť.

76

Po druhé treba na jednej strane pripomenúť, že z napadnutého rozhodnutia v podstate vyplýva, že:

–

práca, ktorú vykonáva DPRC, podlieha dohľadu zo strany PCLOB v medziach uvedených v bode 54 vyššie.

77

Na druhej strane, ako vyplýva z odôvodnení 187 až 189 napadnutého rozhodnutia, sudcovia DPRC musia pri plnení svojich úloh v rámci DPRC dodržiavať tieto procesné záruky:

–

musia preskúmať sťažnosť týkajúcu sa osobných údajov v senáte zloženom z troch sudcov, z ktorých jeden je predseda senátu; zloženie trojčlenného senátu v jednotlivej veci vyberá na rotačnej báze Úrad pre občianske slobody a súkromný život pôsobiaci v rámci ministerstva spravodlivosti, ktorého úlohou je poskytovanie administratívnej podpory DPRC, pričom zabezpečí, aby v každom senáte zasadal aspoň jeden sudca s predchádzajúcimi skúsenosťami v súdnictve,

78

Po tretie treba uviesť, že nedostatky, na ktoré poukázal Súdny dvor v rozsudku Schrems II, pokiaľ ide o neexistenciu záruk súvisiacich so skutočnosťou, že zo strany výkonnej moci došlo k odvolaniu ombudsmana pre štít na ochranu osobných údajov, a s tým, že rozhodnutia DPRC nie sú záväzné, boli napravené. Zo spisu totiž vyplýva, že E.O. 14086 obmedzuje prípady, keď generálny prokurátor môže odvolať sudcov DPRC, a stanovuje, že jeho rozhodnutia sú záväzné.

79

V tejto súvislosti treba druhú výhradu tretieho žalobného dôvodu zamietnuť.

80

Tento záver nemôže spochybniť tá skutočnosť, že zo spisu vyplýva, že DPRC napriek tomu, že je – rovnako ako iné súdy v rámci právneho poriadku Spojených štátov – oprávnený rozhodovať o právnych otázkach, nie je súdnym orgánom zriadeným na základe článku III Ústavy Spojených štátov.

83

V rámci svojho druhého žalobného dôvodu žalobca tvrdí, že Komisia porušila články 7 a 8 Charty základných práv v rozsahu, v akom v napadnutom rozhodnutí konštatovala, že Spojené štáty americké zabezpečujú primeranú úroveň ochrany, pokiaľ ide o hromadné získavanie osobných údajov spravodajskými agentúrami tejto krajiny.

a)

O predmete druhého žalobného dôvodu

84

Treba poznamenať, že na stranách 2 a 23 žaloby, ako aj na strane 4 repliky žalobca v rámci formulácie znenia druhého žalobného dôvodu zmieňuje porušenie článkov 7 a 8 Charty základných práv zo strany Komisie, pokiaľ ide nielen o hromadné, ale aj rozsiahle získavanie osobných údajov. V úvahách, ktoré nasledujú po uvedení znenia daného žalobného dôvodu, však žalobca sústreďuje svoju argumentáciu výlučne na hromadné získavanie týchto údajov.

mimo Spojených štátov, a to aj v prípade tranzitu osobných údajov z Únie do organizácií ROOÚ, sa získavanie informácií zo signálového spravodajstva na účely národnej bezpečnosti uskutočňuje prednostne prostredníctvom cieleného zberu; ak je pritom potrebné zvýšiť validovanú spravodajskú prioritu v zmysle oddielu 2 písm. b) bodu iii) E.O. 14086, ktorú nemožno primerane dosiahnuť cieleným zberom, spravodajské agentúry môžu vykonať „hromadné získavanie“ osobných údajov; hromadné získavanie je v práve Spojených štátov vymedzené v oddiele 4 písm. b) E.O. 14086 ako povolené získavanie veľkého množstva informácií zo signálového spravodajstva, ktoré sa z technických alebo prevádzkových dôvodov vykonáva bez použitia diskriminantov, akými sú napríklad osobitné identifikátory alebo kritériá výberu; hromadné získavanie upravuje E.O. 14086 a Executive Order 12333, United States Intelligence Activities (prezidentský dekrét č. 12333 o spravodajských činnostiach Spojených štátov), v znení Executive Orders 13284 (2003), 13355 (2004) a 13470 (2008) (prezidentské dekréty č. 13284/2003, 13355/2004 a 13470/2008), ktoré vo vzťahu k tomuto získavaniu ukladajú viaceré záruky a obmedzenia,

–

„rozsiahle získavanie“ osobných údajov, ktoré Komisia v poznámke pod čiarou 250 napadnutého rozhodnutia označuje za získavanie, ktoré sa uskutočňuje všeobecným a nediferencovaným spôsobom bez obmedzení a záruk, nie je v Spojených štátoch povolené a nemožno ho uskutočňovať ani na jeho území, ani mimo neho.

86

Z vyššie uvedeného vyplýva, že keďže rozsiahle získavanie osobných údajov nie je v Spojených štátoch povolené a že ich hromadné získavanie možno uskutočniť výlučne mimo Spojených štátov, predmet tohto žalobného dôvodu sa v prejednávanej veci obmedzuje na posúdenie toho, či sa Komisia dopustila porušenia článkov 7 a 8 Charty základných práv, pokiaľ ide o hromadné získavanie osobných údajov – prostredníctvom spravodajských agentúr Spojených štátov – ktoré sú v tranzite z Únie do organizácií ROOÚ, s výnimkou akéhokoľvek získavania osobných údajov, ktoré prípadne vykonávajú spravodajské agentúry Spojených štátov alebo členských štátov na území Únie.

89

Treba uviesť, že článok 702 FISA neumožňuje hromadné získavanie osobných údajov, ale len ich cielené získavanie.

90

Z toho vyplýva, že vzhľadom na to, že článok 702 FISA sa netýka hromadného získavania osobných údajov, je v prejednávanej veci irelevantný.

91

Prvú výhradu druhého žalobného dôvodu teda treba zamietnuť.

94

V prejednávanej veci zo spisu vyplýva, pričom účastníci konania to nespochybňujú, že právo Spojených štátov neukladá spravodajským agentúram povinnosť získať predchádzajúce povolenie súdneho alebo správneho orgánu pred začatím uskutočňovania hromadného získavania osobných údajov, ktoré sú v tranzite z Únie do organizácií ROOÚ.

95

Treba určiť, či táto absencia predchádzajúceho povolenia môže mať vplyv na zákonnosť napadnutého rozhodnutia, keďže by mohla spochybniť záver uvedený v článku 1 uvedeného rozhodnutia, podľa ktorého Spojené štáty americké poskytujú primeranú úroveň ochrany osobných údajov.

96

Na úvod treba pripomenúť, že ako rozhodol Súdny dvor v rozsudku Schrems II, na účely posúdenia zákonnosti rozhodnutia o primeranosti je potrebné posúdiť, či právo tretej krajiny zabezpečuje takú úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v rámci Únie na základe nariadenia GDPR v spojení s Chartou základných práv (pozri bod 19 vyššie).

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tvrdeniu žalobcu namieta.

100

Treba poznamenať, že v rozsudku Schrems II Súdny dvor uviedol, že články 7 a 8 Charty základných práv tvoria súčasť úrovne ochrany požadovanej v rámci Únie, ktorej dodržiavanie musí Komisia konštatovať predtým, ako prijme rozhodnutie o primeranosti podľa článku 45 ods. 1 nariadenia GDPR. Podľa Súdneho dvora totiž každé spracovanie osobných údajov fyzickej osoby, vrátane ich prenosu do tretej krajiny v rámci rozhodnutia o primeranosti, ovplyvňuje tak základné právo tejto osoby na rešpektovanie súkromného života zaručené v článku 7 Charty, ako aj jej právo na ochranu osobných údajov uvedené v článku 8 Charty (rozsudok Schrems II, body 169 až 171).

101

Súdny dvor však spresnil, že práva zakotvené v článkoch 7 a 8 Charty základných práv nie sú absolútnymi výsadami, ale musia sa vnímať vo vzťahu k ich úlohe v spoločnosti (rozsudok Schrems II, bod 172).

102

V tejto súvislosti treba uviesť, že nič v rozsudku Schrems II, predovšetkým v jeho bode 183, a vo výraze „[aké]koľvek preskúmani[e] zo strany súdov“ nenaznačuje, že by hromadné získavanie osobných údajov muselo povinne podliehať predchádzajúcemu povoleniu vydanému nezávislým orgánom. Naopak zo spoločného výkladu uvedeného výrazu a bodov 186 až 197 tohto rozsudku vyplýva, že rozhodnutie, ktorým sa takéto získavanie povoľuje, musí prinajmenšom podliehať súdnemu preskúmania a posteriori .

106

V prejednávanej veci, ako je uvedené v bodoch 24 až 82 vyššie, na základe E.O. 14086 a nariadenia AG podliehajú činnosti signálového spravodajstva vykonávané spravodajskými agentúrami Spojených štátov – aj v prípade, že tieto agentúry uskutočňujú hromadné získavanie osobných údajov –, súdnemu preskúmaniu a posteriori zo strany DPRC, ktorého rozhodnutia sú konečné a záväzné a uplatňujú sa tak vo vzťahu k vláde Spojených štátov, ako aj vo vzťahu k uvedeným agentúram. V dôsledku uvedeného v rozpore s tým, čo tvrdí žalobca, nemožno usudzovať, že hromadné získavanie osobných údajov, uskutočňované spravodajskými agentúrami na základe napadnutého rozhodnutia, nespĺňa požiadavky, ktoré v tejto súvislosti vyplývajú z rozsudku Schrems II.

107

109

Po prvé musia byť činnosti signálového spravodajstva založené na zákone alebo povolení prezidenta a musia sa vykonávať v súlade s právom Spojených štátov predovšetkým ich Ústavy.

110

Po druhé sa činnosti signálového spravodajstva môžu vykonávať až po tom, ako sa na základe primeraného posúdenia všetkých relevantných faktorov určí, že sú potrebné na dosiahnutie validovanej spravodajskej priority.

111

Po tretie sa činnosti signálového spravodajstva musia vykonávať spôsobom primeraným validovanej spravodajskej priorite, pre ktorú boli povolené, aby sa dosiahla správna rovnováha medzi významom spravodajskej priority a vplyvom na súkromný život a občianske slobody dotknutej osoby, bez ohľadu na jej štátnu príslušnosť a miesto pobytu.

115

Ďalej sa v E.O. 14086 uvádza, že hromadné získavanie osobných údajov možno vykonávať len na šesť osobitných účelov (ďalej len „osobitné účely hromadného získavania“), ktorými sú konkrétne ochrana pred terorizmom, špionážou, zbraňami hromadného ničenia, kybernetickými hrozbami, hrozbami namierenými proti zamestnancom Spojených štátov alebo ich spojencom a nadnárodnou trestnou činnosťou. V uvedenom akte sa stanovuje možnosť prezidenta Spojených štátov aktualizovať uvedené osobitné účely, ak sa objavia nové požiadavky národnej bezpečnosti, akými sú napríklad nové hrozby alebo zvýšené hrozby pre národnú bezpečnosť, vo vzťahu ku ktorým prezident usudzuje, že by sa hromadné získavanie osobných údajov mohlo použiť. Tieto aktualizácie musí riaditeľ národnej spravodajskej služby v zásade zverejniť, okrem prípadu, keď prezident Spojených štátov usúdi, že by to samo osebe predstavovalo riziko pre národnú bezpečnosť tejto krajiny.

116

Napokon sa v E.O. 14086 stanovuje, že akékoľvek vyhľadávanie spomedzi hromadne získaných údajov signálového spravodajstva sa môže uskutočniť len vtedy, ak je to potrebné na dosiahnutie validovanej spravodajskej priority, v rámci plnenia osobitných účelov hromadného získavania a v súlade s politikami a postupmi, ktoré náležite zohľadňujú vplyv vyhľadávania týchto údajov na súkromný život a občianske slobody všetkých dotknutých osôb, bez ohľadu na ich štátnu príslušnosť alebo miesto pobytu.

117

Za týchto okolností nemožno oprávnene tvrdiť, že pre vykonávanie hromadného získavania osobných údajov neexistuje dostatočne jasný a presný právny rámec.

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tvrdeniu žalobcu namieta.

121

Treba uviesť, že v rozsudku zo 6. októbra 2020, La Quadrature du Net a i. ( C‑511/18, C‑512/18 a C‑520/18 , EU:C:2020:791 ), Súdny dvor konštatoval okrem iného to, že článok 15 ods. 1 smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) ( Ú. v. ES L 201, 2002, s. 37 ; Mim. vyd. 13/029, s. 514), zmenenej smernicou Európskeho parlamentu a Rady 2009/136/ES z 25. novembra 2009 ( Ú. v. EÚ L 337, 2009, s. 11 ), v spojení s článkami 7, 8 a 11, ako aj s článkom 52 ods. 1 Charty základných práv sa má vykladať v tom zmysle, že nebráni vnútroštátnej právnej úprave, ktorá od poskytovateľov elektronických komunikačných služieb vyžaduje, aby použili zber údajov o prenose dát a polohe v reálnom čase, za predpokladu, že sa toto právo obmedzí na osoby, v prípade ktorých existuje oprávnený dôvod na podozrenie, že sa podieľajú na teroristických aktivitách, a podlieha predchádzajúcemu preskúmaniu zo strany súdu alebo nezávislého správneho orgánu (bod 192 uvedeného rozsudku).

122

Vo veci, v ktorej bol vydaný rozsudok z 30. apríla 2024, La Quadrature du Net a i. (Osobné údaje a boj proti porušovaniu autorských práv) ( C‑470/21 , EU:C:2024:370 ), išlo o zákonnosť prístupu vnútroštátneho orgánu verejnej moci zodpovedného za ochranu autorských práv a s nimi súvisiacich práv pred porušovaním týchto práv, ku ktorému dochádza na internete, k údajom uchovávaným poskytovateľmi elektronických komunikačných služieb, týkajúcim sa totožnosti osôb, ktorá zodpovedá IP adresám, na účely boja proti porušovaniu autorských práv. Tento prístup bol konkrétne odôvodnený cieľom identifikovať držiteľa IP adresy, ktorý sa dopustil činnosti porušujúcej autorské práva alebo s nimi súvisiace práva, keďže tento držiteľ nezákonne sprístupnil na internete chránené diela na účely ich stiahnutia inými osobami. Za týchto okolností Súdny dvor rozhodol, že predchádzajúce preskúmanie zo strany súdu alebo nezávislého správneho orgánu:

–

nie je potrebné zaviesť, ak má príslušný vnútroštátny orgán prístup k údajom o totožnosti osoby, zodpovedajúcim IP adrese výlučne na účely identifikácie dotknutého používateľa a bez možnosti spojiť tieto údaje s informáciami o uskutočnených komunikáciách, pokiaľ zásah, ktorý predstavuje takéto spracúvanie uvedených údajov, v zásade nemožno kvalifikovať ako závažný (body 133 a 134 uvedeného rozsudku),

–

je potrebné zaviesť predtým, ako príslušný vnútroštátny orgán prepojí údaje o totožnosti osoby, zodpovedajúce IP adrese, so súborom týkajúcim sa diela, ktoré bolo nezákonne sprístupnené na internete na účely jeho sťahovania inými osobami, a predtým ako dotknutej osobe zašle list, v ktorom sa konštatuje, že sa táto osoba dopustila protiprávnych skutkov (pozri v tomto zmysle bod 141 tohto rozsudku).

Svojím tretím tvrdením žalobca v podstate tvrdí, že ESĽP vo svojom rozsudku z 25. mája 2021, Big Brother Watch a i. v. Spojené kráľovstvo (CE:ECHR:2021:0525JUD005817013, ďalej len „rozsudok Big Brother Watch“), konštatoval, že činnosti hromadného zachytávania osobných údajov musia podliehať predchádzajúcemu povoleniu zo strany nezávislého orgánu od okamihu, keď boli vymedzené ciele a rozsah operácie sledovania. Podľa jeho názoru hromadné získavanie osobných údajov, ktoré sú v tranzite z Únie, zo strany spravodajských agentúr Spojených štátov v prejednávanej veci takémuto predchádzajúcemu povoleniu nepodlieha.

129

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, namieta proti tomuto tvrdeniu žalobcu.

130

Treba poukázať na to, že vec, v ktorej bol vydaný rozsudok Big Brother Watch, sa týkala okrem iného toho, či britský režim tajného sledovania, ktorý spravodajským agentúram poskytoval možnosť hromadne zachytávať elektronické komunikácie a súvisiace komunikačné údaje, t. j. údaje o prenose dát týkajúce sa zachytávaných komunikácií, ktoré sa v zásade uskutočňovali mimo Britských ostrovov, je v súlade s článkom 8 EDĽP.

131

Po prvé treba poukázať na to, že zatiaľ čo francúzske znenie rozsudku Big Brother Watch na označenie hromadného získavania údajov používa výraz „interception en masse“, anglická verzia používa výraz „bulk interception“, ktorý presnejšie zodpovedá francúzskemu pojmu „interception en vrac“.

135

Po druhé platí, že ako protiklad k cielenému zachytávaniu bolo zachytávanie spravodajských informácií, o ktoré išlo v rozsudku Big Brother Watch, vymedzené zo strany ESĽP ako zachytávanie, ktoré sa nevzťahovalo na konkrétne osoby, a v dôsledku toho sa mohlo dotknúť veľkého počtu osôb a súvisiacich komunikačných údajov, a teda mať veľmi široký rozsah, keďže okrem iného umožňovalo získavať informácie v rámci zahraničného spravodajstva a odhaľovať nové hrozby pochádzajúce od známych alebo neznámych aktérov. Navyše podľa ESĽP platí, že hromadné zachytávanie údajov vzhľadom na jeho účel súvisiaci s ochranou národnej bezpečnosti vykonávajú príslušné orgány spravidla tajne, čo znamená, že tieto orgány zverejňujú o fungovaní systému len málo informácií, ba dokonca žiadne (pozri v tomto zmysle rozsudok Big Brother Watch, bod 322).

136

Po tretie ESĽP v rozsudku Big Brother Watch konštatoval, že hoci nie všetky režimy hromadného zachytávania údajov sú vytvorené na základe toho istého modelu a spôsoby ich uplatňovania sa môžu meniť bez toho, aby sa vždy dodržalo prísne chronologické poradie, hromadné zachytávanie údajov je postupným procesom, ktorý sa v podstate odohráva v týchto štyroch etapách (ďalej len „etapy zachytávania údajov“):

a)

následné zadržanie údajov a ich použitie na účely ich zahrnutia do správy spravodajskej služby, ich oznamovania iným spravodajským službám krajiny alebo ich prenosu zahraničným spravodajským službám (pozri v tomto zmysle rozsudok Big Brother Watch, body 325 až 329).

137

Z uvedeného vyplýva, že hromadné získavanie osobných údajov, akým je aj to, ktoré je predmetom napadnutého rozhodnutia, patrí do rámca prvej z etáp zachytávania údajov, ktoré ESĽP identifikoval v rozsudku Big Brother Watch, keďže spočíva v zhromaždení – na účely ochrany národnej bezpečnosti – osobných údajov, ktoré sú v tranzite z Únie, veľkého počtu osôb.

138

V tomto kontexte treba vyvodiť dôsledky z rozsudku Big Brother Watch v rámci posúdenia zákonnosti rozhodnutia o primeranosti prijatého na základe článku 45 ods. 3 GDPR, akým je aj napadnuté rozhodnutie.

139

zavedenie systému dohľadu a nezávislého súdneho preskúmania a posteriori (pozri v tomto zmysle rozsudok Big Brother Watch, body 336 a 347),

–

stanovenie právnych pravidiel na zabezpečenie toho, aby opatrenia prijaté v každej fáze zachytávania údajov boli nevyhnutné a primerané (pozri v tomto zmysle rozsudok Big Brother Watch, bod 350); v tejto súvislosti ESĽP pripomenul, že zásah do práv zaručených článkom 8 EDĽP možno vzhľadom na odsek 2 tohto článku odôvodniť len vtedy, ak je stanovený zákonom, sleduje jeden alebo viacero legitímnych cieľov vymenovaných v tomto odseku a je nevyhnutný v demokratickej spoločnosti na dosiahnutie týchto cieľov; v oblasti tajného sledovania pritom predvídateľnosť prijatých opatrení znamená, že vnútroštátne právo musí byť dostatočne jasné na to, aby pre všetkých primerane stanovovalo, za akých okolností a za akých podmienok je orgán verejnej moci oprávnený prijať takéto opatrenia (rozsudok Big Brother Watch, body 332 a 333).

141

V treťom rade ESĽP uviedol, že hoci sa článok 8 EDĽP uplatňuje na každú z etáp zachytávania údajov, potreba stanoviť záruky sa postupne zvyšuje v rámci toho, ako daný proces prechádza týmito jednotlivými etapami, a preto sa intenzita zásahu do práva na rešpektovanie súkromného života stále zvyšuje. Podľa názoru ESĽP je teda prítomnosť záruk viac než kedykoľvek predtým nevyhnutná práve na konci daného procesu, keď sa informácie týkajúce sa konkrétnej osoby analyzujú alebo keď je obsah komunikácií skúmaný analytikom (pozri v tomto zmysle rozsudok Big Brother Watch, body 330 a 331).

145

Z uvedeného vyplýva, že stanovenie povinnosti získať predchádzajúce povolenie nie je jedinou zárukou, s ktorou musí byť hromadné zachytávanie osobných údajov spojené, ale je jednou zo skutočností, ktoré ako celok predstavujú základný stavebný prvok akéhokoľvek režimu hromadného zachytávania údajov. V tejto súvislosti treba pripomenúť, že platné právo Spojených štátov stanovuje právne pravidlá, ktoré predstavujú dostatočne jasný a presný právny rámec pre vykonávanie hromadného získavania osobných údajov spravodajskými agentúrami Spojených štátov (pozri body 107 až 116 vyššie) a priznáva osobám dotknutým prenosom ich údajov právo na účinný prostriedok nápravy pred súdom, a to pred DPRC (pozri body 33 až 63 vyššie). Okrem toho sa v odôvodneniach 162 až 169 napadnutého rozhodnutia uvádza, pričom žalobca to nespochybňuje, že spravodajské činnosti vykonávané spravodajskými agentúrami podliehajú kontrole zo strany PCLOB, ktorý, ako vyplýva z bodu 54 vyššie, bol na základe štatútu, ktorým bol zriadený, koncipovaný ako nezávislá agentúra. Uvedené činnosti taktiež podliehajú dohľadu po prvé zo strany právnych zástupcov a poverených úradníkov, ktorí sú v rámci každej spravodajskej agentúry zodpovední za dohľad a dodržiavanie uvedeného práva, po druhé zo strany nezávislého generálneho inšpektora povereného vo vzťahu ku každej spravodajskej agentúre dohľadom nad činnosťami zahraničného spravodajstva, vykonávaných dotknutou agentúrou, a po tretie zo strany Intelligence Oversight Board (Rada pre dohľad nad spravodajskými službami, Spojené štáty), ktorá je zriadená v rámci President’s Intelligence Advisory Board (Poradná rada prezidenta pre spravodajské informácie, Spojené štáty americké) a ktorá je povinná dohliadať na dodržiavanie práva orgánmi Spojených štátov amerických, a tiež po štvrté zo strany osobitných výborov zriadených v rámci Kongresu Spojených štátov, ktoré vykonávajú funkcie dohľadu nad všetkými činnosťami zahraničného spravodajstva tejto krajiny.

Svojím štvrtým tvrdením žalobca tvrdí, že Európsky výbor pre ochranu údajov (ďalej len „EDPB“) vo svojom stanovisku 5/2023 z 28. februára 2023 k návrhu vykonávacieho rozhodnutia Komisie, ktorým sa konštatuje primeraná úroveň ochrany osobných údajov na základe rámca pre ochranu osobných údajov medzi EÚ a USA (ďalej len „stanovisko 5/2023“), zdôraznil, že je dôležité, aby hromadné získavanie osobných údajov podliehalo predchádzajúcemu povoleniu. Podľa jeho názoru hromadné získavanie osobných údajov, ktoré sú v tranzite z Únie, zo strany spravodajských agentúr Spojených štátov nie je v prejednávanej veci predmetom predchádzajúceho povolenia.

149

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti tomuto tvrdeniu žalobcu namieta.

150

Treba poznamenať, že stanovisko 5/2023 vydal EDPB na základe článku 70 ods. 1 písm. s) GDPR. V tomto ustanovení sa uvádza, že EDPB môže z vlastnej iniciatívy alebo na žiadosť Komisie poskytnúť Komisii stanovisko, v ktorom sa posúdi primeranosť úrovne ochrany v tretej krajine.

151

d)

O tretej výhrade druhého žalobného dôvodu, podľa ktorej E.O. 14086 priznáva prezidentovi Spojených štátov právomoc povoliť tajnú aktualizáciu osobitných účelov hromadného získavania údajov

154

Treťou výhradou svojho druhého žalobného dôvodu žalobca tvrdí, že Komisia porušila články 7 a 8 Charty základných práv, keď v napadnutom rozhodnutí konštatovala, že Spojené štáty americké poskytujú úroveň ochrany, ktorá je v podstate rovnocenná úrovni ochrany zaručenej právom Únie podľa GDPR v spojení s Chartou, a to napriek tomu, že E.O. 14086 poskytuje prezidentovi Spojených štátov možnosť z dôvodov národnej bezpečnosti povoliť tajnú aktualizáciu osobitných účelov hromadného získavania údajov. Žalobca sa konkrétne domnieva, že v rozpore s tým, čo bolo rozhodnuté v rozsudku ESĽP zo 4. decembra 2015, Roman Zakharov v. Rusko (CE:ECHR:2015:1204JUD004714306, ďalej len „rozsudok Zakharov“), na základe skutočnosti, že sa prezidentovi priznáva právomoc aktualizovať tieto osobitné účely, nemajú osoby dotknuté prenosom osobných údajov možnosť presne identifikovať právny rámec, v akom sa tieto údaje v Spojených štátoch spracúvajú.

155

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.

V tejto súvislosti z oddielu 2 písm. c) bodu ii) bodu C E.O. 14086 vyplýva, že možnosť poskytnutá prezidentovi Spojených štátov aktualizovať zoznam osobitných účelov hromadného získavania údajov nie je neobmedzená, ale obmedzuje sa len na prípady, keď sa táto aktualizácia stane nevyhnutnou z dôvodu vzniku nových požiadaviek národnej bezpečnosti, akými sú nové hrozby alebo zvýšené hrozby pre národnú bezpečnosť, vo vzťahu ku ktorým by sa hromadné získavanie osobných údajov mohlo použiť. Navyše z tohto ustanovenia vyplýva – a Spojené štáty americké to aj potvrdili na pojednávaní –, že aktualizácia uvedených osobitných účelov zo strany prezidenta nie je tajná, ale je zverejňovaná riaditeľom národnej spravodajskej služby, s výnimkou prípadu, že sa prezident domnieva, že toto zverejnenie samo osebe predstavuje riziko pre národnú bezpečnosť jeho krajiny. Okrem toho aj v tomto prípade podlieha hromadné získavanie všetkým zárukám a obmedzeniam stanoveným v E.O. 14086 a pokiaľ dotknutá osoba podá sťažnosť týkajúcu sa osobných údajov, táto sťažnosť je predmetom dohľadu zo strany CLPO a prípadne preskúmania zo strany DPRC.

159

V tejto súvislosti nemožno konštatovať, že možnosť prezidenta Spojených štátov aktualizovať zoznam osobitných účelov hromadného získavania údajov je v rozpore s požiadavkami, ktoré ESĽP určil v rozsudku Zakharov.

160

Tretiu výhradu druhého žalobného dôvodu je teda potrebné odmietnuť, a preto treba uvedený žalobný dôvod zamietnuť v celom rozsahu.

4.

2. Odsek 1 sa neuplatňuje, ak je rozhodnutie:

a)

nevyhnutné na uzavretie alebo plnenie zmluvy medzi dotknutou osobou a prevádzkovateľom,

b)

povolené právom Únie alebo právom členského štátu, ktorému prevádzkovateľ podlieha a ktorým sa zároveň stanovujú aj vhodné opatrenia zaručujúce ochranu práv a slobôd a oprávnených záujmov dotknutej osoby, alebo

c)

Z napadnutého rozhodnutia pritom vyplýva, že sa osobitne nezaoberá otázkou týkajúcou sa plne automatizovaných rozhodnutí.

166

Treba teda rozhodnúť, či takéto opomenutie môže mať vplyv na zákonnosť napadnutého rozhodnutia, keďže by mohlo spochybniť záver uvedený v článku 1 uvedeného rozhodnutia, podľa ktorého Spojené štáty americké poskytujú primeranú úroveň ochrany osobných údajov.

167

Práve v tomto kontexte treba analyzovať všetky tri výhrady uvádzané žalobcom na podporu jeho štvrtého žalobného dôvodu, pričom treba začať prvou a treťou výhradou, ktoré treba preskúmať spoločne.

a)

Treba uviesť, že z odôvodnenia 33 napadnutého rozhodnutia vyplýva, že v prípade prenosu osobných údajov z Únie do Spojených štátov treba pri prijímaní plne automatizovaných rozhodnutí rozlišovať tri prípady.

171

Po prvé môže dôjsť k tomu, že plne automatizované rozhodnutia prijme prevádzkovateľ usadený v Únii, ktorý v Únii získal osobné údaje dotknutých osôb. V tejto súvislosti treba poznamenať, že v článku 4 ods. 7 GDPR je prevádzkovateľ vymedzený ako fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov. V tomto prípade vzhľadom na to, že prevádzkovateľ podlieha GDPR na základe jeho článku 3 ods. 1, musí tento prevádzkovateľ dodržiavať požiadavky stanovené v článku 22 tohto nariadenia, pokiaľ ide o takéto rozhodnutia.

172

Po druhé existuje možnosť, že plne automatizované rozhodnutia prijme buď sprostredkovateľ usadený v tretej krajine, konajúci v mene prevádzkovateľa usadeného v Únii, ktorý mu preniesol osobné údaje, ktoré získal v Únii, alebo sprostredkovateľ v druhom stupni, konajúci v mene sprostredkovateľa v prvom stupni usadeného v Únii, ktorý mu preniesol údaje, ktoré získal v Únii. V tejto súvislosti treba uviesť, že v článku 4 ods. 8 GDPR je sprostredkovateľ vymedzený ako fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa. V týchto prípadoch vzhľadom na to, že zahraniční sprostredkovatelia konajú v mene prevádzkovateľa alebo sprostredkovateľa z Únie, podliehajú GDPR na základe jeho článku 3 ods. 1. Pokiaľ teda ide o takéto rozhodnutia, prevádzkovateľ a sprostredkovateľ musia dodržiavať požiadavky stanovené v článku 22 tohto nariadenia.

176

V oblasti spotrebiteľského úveru tak Fair Credit Reporting Act (zákon o spravodlivom poskytovaní informácií o úveroch) a Equal Credit Opportunity Act (zákon o rovnosti príležitostí v oblasti úverov) obsahujú záruky, ktoré spotrebiteľom poskytujú určitú formu práva na vysvetlenie a právo napadnúť plne automatizované rozhodnutia. Tieto zákony sa uplatňujú na širokú škálu oblastí vrátane poskytovania úverov, zamestnania, bývania a poistenia. Okrem toho hlava VII Civil Rights Act (zákon o občianskych právach) a Fair Housing Act (zákon o spravodlivom bývaní) chránia fyzické osoby pred vzormi používanými v plne automatizovaných rozhodnutiach, ktoré by mohli viesť k diskriminácii na základe určitých charakteristických vlastností, a priznávajú im právo takéto rozhodnutia napadnúť. Navyše pokiaľ ide o informácie týkajúce sa zdravia, v normách prijatých orgánmi Spojených štátov na základe Health Insurance Portability and Accountability Act (zákon o prenositeľnosti zdravotného poistenia a zodpovednosti v oblasti zdravotného poistenia) sa vyžaduje, aby poskytovateľom zdravotnej starostlivosti boli oznámené informácie, ktoré im umožnia informovať osoby o systémoch na prijímanie plne automatizovaných rozhodnutí, používaných v odvetví zdravotníctva.

177

V tejto súvislosti v rozpore s tým, čo tvrdí žalobca, nemožno konštatovať, že sektorová ochrana stanovená právom Spojených štátov nie je v prejednávanej veci relevantná, lebo nemá rovnakú všeobecnú pôsobnosť ako článok 22 GDPR.

178

V tejto súvislosti treba pripomenúť, že v rozsudkoch Schrems I a Schrems II Súdny dvor uviedol, že výraz „primeraná úroveň ochrany“ uvedený v článku 45 ods. 1 GDPR – ktorý pritom nevyžaduje, aby dotknutá tretia krajina zaručovala rovnakú úroveň ochrany, ako je úroveň ochrany zaručená v právnom poriadku Únie –, treba chápať tak, že vyžaduje, aby táto tretia krajina na základe svojich vnútroštátnych právnych predpisov alebo medzinárodných dohôd, ktorými je viazaná, skutočne zabezpečila úroveň ochrany slobôd a základných práv, ktorá je v podstate rovnocenná úrovni ochrany zaručenej v rámci Únie na základe uvedeného nariadenia v spojení s Chartou základných práv (pozri body 19 a 20 vyššie).

181

Druhou výhradou svojho štvrtého žalobného dôvodu žalobca tvrdí, že skutočnosť, že v štúdii týkajúcej sa plne automatizovaných rozhodnutí, citovanej v odôvodnení 34 napadnutého rozhodnutia, ktorú si Komisia objednala v roku 2018 a ktorej výsledky sú uvedené v bode 4.1.5 správy Komisie Európskemu parlamentu a Rade COM(2018) 860 final z 19. decembra 2018 o druhom každoročnom preskúmaní fungovania štítu na ochranu osobných údajov (ďalej len „štúdia z roku 2018“), sa dospelo k záveru, že neexistuje dôkaz o existencii plne automatizovaných rozhodnutí prijatých organizáciami so sídlom v Spojených štátoch, ktoré pristúpili k štítu na ochranu osobných údajov, je v prejednávanej veci irelevantná. Žalobca konkrétne tvrdí, že uvedená štúdia sa odvoláva na rozhodnutie o primeranosti týkajúce sa štítu na ochranu osobných údajov, ktoré Súdny dvor v rozsudku Schrems II zrušil, a že nezohľadňuje súčasnú situáciu, ktorá sa vyznačuje mimoriadne rýchlym vývojom plne automatizovaných služieb založených na umelej inteligencii.

182

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.

183

Zo štúdie z roku 2018 vyplýva okrem iného po prvé to, že v danom čase neexistoval žiadny údaj, na základe ktorého by sa dalo usudzovať, že podniky so sídlom v Spojených štátoch, ktoré pristúpili k štítu na ochranu osobných údajov, prijali plne automatizované rozhodnutia, a po druhé to, že Spojené štáty americké zaviedli sektorové právne predpisy v oblastiach, akými sú spotrebiteľské úvery, zamestnanie, bývanie, poistenie a zdravotníctvo, v ktorých existuje väčšia pravdepodobnosť toho, že budú prijímané plne automatizované rozhodnutia.

V druhom rade je síce pravda, že štúdia z roku 2018 nezohľadnila skutkovú a právnu situáciu, ktorá existovala v Spojených štátoch amerických v roku 2023, t. j. ku dňu prijatia napadnutého rozhodnutia, ale situáciu, ktorá existovala v roku 2018, keď bola táto štúdia realizovaná. Platí však, že to, že prípady, keď organizácie so sídlom v Spojených štátoch, ktoré pristúpili k štítu na ochranu osobných údajov, prijali plne automatizované rozhodnutia, sú len okrajovými prípadmi, bolo potvrdené v správe Komisie Európskemu parlamentu a Rade COM(2019) 495 final z 23. októbra 2019 o treťom každoročnom preskúmaní fungovania štítu na ochranu osobných údajov. V tejto správe sa totiž uvádzalo okrem iného to, že počet organizácií so sídlom v Spojených štátoch zúčastňujúcich sa na štíte na ochranu osobných údajov, ktoré prijali plne automatizované rozhodnutia, je obmedzený a že rozhodnutia prijímané týmito organizáciami vo všeobecnosti nemajú právne účinky a nevyvolávajú iné účinky vo vzťahu k dotknutým osobám.

186

V treťom rade treba poznamenať, že žalobca vo svojich písomných podaniach nepredložil nijaký dôkaz, na základe ktorého by bolo možné dospieť k záveru, že po realizovaní štúdie z roku 2018 organizácie so sídlom v Spojených štátoch prijali plne automatizované rozhodnutia, a z právneho hľadiska dostatočne nevysvetlil dôvod, pre ktorý by vývoj umelej inteligencie spôsobil, že je uvedená štúdia irelevantná.

187

V tomto kontexte treba druhú výhradu štvrtého žalobného dôvodu odmietnuť, a preto treba uvedený žalobný dôvod zamietnuť v celom rozsahu.

190

V druhom rade žalobca tvrdí, že bod III.6 písm. f) prílohy 1 k napadnutému rozhodnutiu stanovuje povinnosť organizácií so sídlom v Spojených štátoch, ktoré od ROOÚ odstúpia, naďalej dodržiavať zásady uvedené v tomto rozhodnutí, vrátane zásad týkajúcich sa bezpečnosti spracúvania, po celú dobu toho, ako uchovávajú, využívajú alebo sprístupňujú osobné údaje prenášané z Únie do Spojených štátov, no nestanovuje takúto povinnosť v prípade, že tieto organizácie nahliadajú do osobných údajov.

191

Komisia, ktorú v konaní podporujú Írsko a Spojené štáty americké, proti argumentácii žalobcu namieta.

192

Na úvod treba v prvom rade pripomenúť, že článok 32 GDPR znie:

schopnosť včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu;

d)

proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických a organizačných opatrení na zaistenie bezpečnosti spracúvania.

2. Pri posudzovaní primeranej úrovne bezpečnosti sa prihliada predovšetkým na riziká, ktoré predstavuje spracúvanie, a to najmä v dôsledku náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávneného prístupu k takýmto údajom.“

193

Ďalej platí, že pojem „spracúvanie“, ktorý sa uvádza v článku 32 GDPR, je v článku 4 ods. 2 GDPR vymedzený ako „operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami“.

197

V tejto súvislosti treba pripomenúť, že bod II.4 písm. a) prílohy 1 k napadnutému rozhodnutiu znie takto:

„Organizácie, ktoré vytvárajú, uchovávajú, využívajú alebo poskytujú osobné informácie, musia uskutočniť primerané a vhodné opatrenia, aby zabránili strate týchto informácií, ich zneužitiu a neoprávnenému prístupu k nim, ich sprístupneniu, zmene a zničeniu, pričom zohľadnia riziká spojené so spracúvaním a s povahou osobných údajov.“

198

Okrem toho bod III.6 písm. f) prílohy 1 k napadnutému rozhodnutiu znie:

„Organizácia musí uplatňovať zásady v súvislosti so všetkými osobnými údajmi získanými z EÚ na základe [ROOÚ]. Záväzok dodržiavať zásady nie je časovo obmedzený vo vzťahu k osobným údajom získavaným v priebehu obdobia, v ktorom daná organizácia využíva výhody vyplývajúce z [ROOÚ]. Záväzok organizácie znamená, že bude vo vzťahu k takýmto údajom naďalej uplatňovať zásady tak dlho, ako ich bude uchovávať, využívať alebo sprístupňovať, a to dokonca aj vtedy, ak následne od [ROOÚ] z akéhokoľvek dôvodu odstúpi.“

„Osobné údaje by sa mali spracúvať spôsobom, ktorým sa zaistí ich bezpečnosť vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením. Na tento účel by prevádzkovatelia a sprostredkovatelia mali prijať vhodné technické alebo organizačné opatrenia na ochranu osobných údajov pred možnými hrozbami. Tieto opatrenia by sa mali posúdiť s prihliadnutím na najmodernejšie postupy, súvisiace náklady a povahu, rozsah, súvislosti a účel spracúvania, ako aj na riziká, ktoré predstavujú pre práva jednotlivcov.“

202

Po tretie treba uviesť, že pojmy „vytvárať“, „uchovávať“, „využívať“ a „poskytovať“, ktoré sú uvedené v bode II.4 písm. a) prílohy 1 k napadnutému rozhodnutiu, ako aj pojmy „uchovávať“, „využívať“ a „sprístupňovať“, ktoré sú uvedené v bode III.6 písm. f) tejto prílohy, sú osobitnými prejavmi operácie spočívajúcej v „spracúvaní“ osobných údajov v zmysle článku 32 GDPR a že na rovnakom základe ako spracúvanie majú za cieľ pokryť širokú škálu operácií týkajúcich sa osobných údajov.

203

Po štvrté pojem „využívať“, ktorý sa nachádza tak v bode II.4 písm. a) prílohy 1 k napadnutému rozhodnutiu, ako aj v bode III.6 písm. f) tejto prílohy, sa zvykne vymedzovať ako to, že sa niečo uplatní na konkrétny účel alebo použitie. Z tohto hľadiska zahŕňa využívanie osobných údajov nahliadanie do nich, keďže už z podstaty veci vyplýva, že na to, aby bolo možné údaje použiť, je nevyhnutné k nim mať najprv prístup, a teda do nich nahliadnuť. Z uvedeného vyplýva, že tvrdenie žalobcu, podľa ktorého sa v napadnutom rozhodnutí nevyžaduje žiadne bezpečnostné opatrenie v prípade, že organizácie ROOÚ nahliadajú do osobných údajov pochádzajúcich z Únie, nie je dôvodné.

Keďže Komisia navrhla uložiť žalobcovi povinnosť nahradiť trovy konania a žalobca nemal vo veci úspech, je opodstatnené uložiť mu povinnosť znášať svoje vlastné trovy konania a nahradiť trovy konania vynaložené Komisiou, a to aj v rámci konania o nariadení predbežného opatrenia.

207

Okrem toho podľa článku 138 ods. 1 rokovacieho poriadku členské štáty a inštitúcie, ktoré vstúpili do konania ako vedľajší účastníci konania, znášajú svoje vlastné trovy konania. Z toho vyplýva, že Írsko znáša svoje vlastné trovy konania.

208

Navyše podľa článku 138 ods. 3 rokovacieho poriadku môže Všeobecný súd rozhodnúť, že vlastné trovy konania znášajú aj iní vedľajší účastníci konania než vedľajší účastníci uvedení v odsekoch 1 a 2 tohto článku. V prejednávanej veci je opodstatnené rozhodnúť tak, že Spojené štáty americké znášajú svoje vlastné trovy konania.

Z týchto dôvodov

3.

Írsko znáša svoje vlastné trovy konania.

4.

Spojené štáty americké znášajú svoje vlastné trovy konania.

Porchia

Jaeger