<TI><NP><NO.P>I –</NO.P><TXT><HT TYPE="BOLD">Inleiding</HT></TXT></NP></TI>1.Zoals de Europese Commissie heeft vastgesteld in haar mededeling van 27 november 2013Mededeling van de Commissie aan het Parlement en de Raad Herstel van vertrouwen in de gegevensstromen tussen de EU en de VS [COM(2013) 846 final].
is [d]e doorgifte van persoonsgegevens [...] een belangrijk en noodzakelijk onderdeel van het trans-Atlantisch partnerschap. Deze doorgifte maakt een integraal onderdeel uit van de commerciële uitwisselingen over de Atlantische Oceaan heen, ook voor nieuwe, groeiende digitale ondernemingen, zoals sociale media of cloudcomputing, waarbij er grote hoeveelheden gegevens van de [...] Europese Unie naar de [...] Verenigde Staten gaan.Blz. 2.
2.Beschikking 2000/520/EG van de Commissie van 26 juli 2000 overeenkomstig richtlijn 95/46/EG van het Europees Parlement en de Raad betreffende de gepastheid van de bescherming geboden door de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer en de daarmee verband houdende Vaak gestelde vragen die door het ministerie van Handel van de Verenigde Staten zijn gepubliceerdPB L 215, blz. 7, met rectificatie in PB 2001, L 115, blz. 14.
heeft betrekking op het handelsverkeer. Deze beschikking voorziet in een rechtsgrondslag voor de doorgifte van persoonsgegevens vanuit de Unie naar in de Verenigde Staten gevestigde ondernemingen die de veiligehavenbeginselen onderschrijven.3.Deze beschikking staat thans voor de moeilijke taak om de onophoudelijke gegevensstromen tussen de Unie en de Verenigde Staten mogelijk te maken en tegelijkertijd, zoals het Unierecht eist, voor deze gegevens een hoog beschermingsniveau te waarborgen.4.Een aantal onthullingen heeft recent immers het bestaan van Amerikaanse programma’s aan het licht gebracht waarmee op grote schaal informatie wordt verzameld. Deze onthullingen hebben bezorgdheid gewekt over de eerbiediging van de normen van Unierecht bij de doorgifte van persoonsgegevens naar in de Verenigde Staten gevestigde ondernemingen en over de zwakke punten van de veiligehavenregeling.5.De onderhavige prejudiciële verwijzing is voor het Hof aanleiding nader te bepalen welke houding de nationale toezichthoudende autoriteiten en de Commissie moeten aannemen wanneer zij worden geconfronteerd met gebreken in de uitvoering van beschikking 2000/520.6.Hoofdstuk IV van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevensPB L 281, blz. 31. Richtlijn zoals gewijzigd bij verordening (EG) nr. 1882/2003 van het Europees Parlement en de Raad van 29 september 2003 (PB L 284, blz. 1; hierna: richtlijn 95/46).
bevat regels voor de doorgifte van persoonsgegevens naar derde landen.7.In artikel 25, lid 1, van die richtlijn is het beginsel neergelegd dat persoonsgegevens die aan een verwerking worden onderworpen of bestemd zijn om na doorgifte te worden verwerkt, slechts naar een derde land mogen worden doorgegeven indien dat land ten aanzien van die gegevens een passend beschermingsniveau waarborgt.8.Omgekeerd dient, zoals de Uniewetgever opmerkt in overweging 57 van die richtlijn, doorgifte van persoonsgegevens naar een derde land te worden verboden indien in dat land geen passend beschermingsniveau wordt geboden.9.Volgens artikel 25, lid 2, van richtlijn 95/46 wordt [h]et passend karakter van het door een derde land geboden beschermingsniveau [...] beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn; in het bijzonder wordt rekening gehouden met de aard van de gegevens, met het doeleinde en met de duur van de voorgenomen verwerking of verwerkingen, het land van herkomst en het land van eindbestemming, de algemene en sectoriële rechtsregels die in het betrokken derde land gelden, alsmede de beroepscodes en de veiligheidsmaatregelen die in die landen worden nageleefd.10.De Commissie kan krachtens artikel 25, lid 6, van deze richtlijn constateren dat een derde land, op grond van zijn nationale wetgeving of zijn internationale verbintenissen, een passend beschermingsniveau biedt voor persoonsgegevens. Wanneer de Commissie een besluit in die zin neemt, kan de doorgifte van persoonsgegevens naar dat derde land plaatsvinden.11.De Commissie heeft ter uitvoering van die bepaling beschikking 2000/520 vastgesteld. Volgens artikel 1, lid 1, van deze beschikking worden de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer die ten uitvoer worden gelegd overeenkomstig de richtsnoeren in de Vaak gestelde vragenFrequently asked questions; hierna: FAQ.
, geacht een passend beschermingsniveau te waarborgen voor de doorgifte van persoonsgegevens vanuit de Unie naar in de Verenigde Staten gevestigde ondernemingen.12.Beschikking 2000/520 staat dus toe dat persoonsgegevens vanuit de lidstaten worden doorgegeven naar in de Verenigde Staten gevestigde ondernemingen die zich ertoe hebben verbonden de veiligehavenbeginselen te eerbiedigen.13.Beschikking 2000/520 noemt in bijlage I een aantal op vrijwillige basis door de ondernemingen te onderschrijven beginselen waaraan beperkingen en een specifiek controlesysteem zijn verbonden. In 2013 hadden ruim 3200 ondernemingen deze gedragscode onderschreven.14.De veiligehavenregeling berust op een combinatie van zelfcertificering en zelftoetsing door particuliere ondernemingen en overheidsingrijpen.15.De veiligehavenbeginselen zijn in samenspraak met het bedrijfsleven en het grote publiek opgesteld om de handel tussen de Verenigde Staten en de [...] Unie te vergemakkelijken. Ze zijn uitsluitend bedoeld om te worden gebruikt door organisaties in de Verenigde Staten die persoonsgegevens uit de [...] Unie ontvangen, om zo in aanmerking te komen voor de veilige haven en de hierdoor geboden veronderstelling van een passend beschermingsniveau.Tweede alinea van bijlage I bij beschikking 2000/520.
16.De in bijlage I bij beschikking 2000/520 opgenomen veiligehavenbeginselen behelzen met name:een verplichting om particulieren in kennis [te] stellen van de doeleinden waarvoor zij informatie over hen verzamelt en gebruikt, hoe particulieren voor vragen of klachten contact met de organisatie kunnen opnemen, aan welke derden de informatie bekend wordt gemaakt en welke keuzemogelijkheden en middelen de organisatie hen biedt om het gebruik en de bekendmaking van deze informatie te beperken. Deze kennisgeving moet [...] worden gedaan als de betrokkenen voor de eerste keer wordt gevraagd de organisatie persoonlijke informatie te verstrekken of zo spoedig mogelijk daarna, maar in ieder geval voordat de organisatie dergelijke informatie gebruikt voor een ander doel dan waarvoor deze oorspronkelijk is verzameld of door de doorgevende organisatie is verwerkt, of voor de eerste keer aan een derde bekendmaaktZie bijlage I onder Kennisgeving.
;
een verplichting voor de organisaties om personen de mogelijkheid te geven te kiezen of hun persoonlijke informatie aan derden bekend zal worden gemaakt of zal worden gebruikt voor een doel dat onverenigbaar is met het (de) doel(en) waarvoor deze informatie oorspronkelijk is verzameld of waarvoor de betrokkene achteraf zijn toestemming heeft gegeven. Wat gevoelige informatie betreft moet de betrokkene positief of expliciet de mogelijkheid krijgen ervoor te kiezen (toestemming te geven [...]) dat de informatie aan een derde bekend wordt gemaakt of zal worden gebruikt voor een ander doel dan waarvoor deze oorspronkelijk is verzameld of waarvoor de betrokkene achteraf zijn toestemming heeft gegevenZie bijlage I onder Keuze.
;
regels betreffende de verdere doorgifte van gegevens. Wanneer een organisatie informatie bekendmaakt aan een derde, moet zij het kennisgevings- en het keuzebeginsel toepassenZie bijlage I onder Verdere doorgifte.
;
wat de beveiliging van de gegevens betreft, een verplichting voor [o]rganisaties die persoonlijke informatie verzamelen, bijhouden, gebruiken of verspreiden, [om] [...] redelijke voorzorgsmaatregelen [te] nemen om deze te beschermen tegen verlies, misbruik en ongeoorloofde toegang, bekendmaking, wijziging en vernietigingZie bijlage I onder Beveiliging.
;
wat de integriteit van gegevens betreft, een verplichting voor organisaties om redelijke stappen [te] ondernemen om ervoor te zorgen dat de gegevens betrouwbaar zijn voor het beoogde gebruik en dat ze correct, volledig en actueel zijnZie bijlage I onder Integriteit van gegevens.
;
dat particulieren, in beginsel, toegang [moeten] hebben tot de persoonlijke informatie die een organisatie over hen in bezit heeft, en deze informatie, voor zover deze onjuist is, kunnen corrigeren, wijzigen of verwijderenZie bijlage I onder Toegang.
;
een verplichting om te voorzien in mechanismen [...] om de naleving van de beginselen te garanderen, alsmede verhaalmogelijkheden voor degenen op wie de gegevens betrekking hebben indien de beginselen niet worden nageleefd, en gevolgen voor een organisatie die zich niet aan de beginselen houdt.Zie bijlage I onder Rechtshandhaving.
17.Amerikaanse organisaties die de veiligehavenbeginselen wensen te onderschrijven zijn gehouden in hun bekendmakingen over hun beleid inzake de bescherming van de persoonlijke levenssfeer te vermelden dat zij deze beginselen onderschrijven, en dienen zichzelf te certificeren door een verklaring af te leggen aan het ministerie van Handel van de Verenigde Staten dat zij deze beginselen onderschrijven en naleven.Artikel 1, leden 2 en 3, van beschikking 2000/520. Zie ook bijlage II, FAQ 6.
18.Organisaties kunnen zich op verschillende manieren conformeren aan de veiligehavenbeginselen. Zij kunnen bijvoorbeeld deelne[men] aan een zelfreguleringsprogramma op het gebied van de bescherming van de persoonlijke levenssfeer dat de beginselen naleeft [of] een eigen zelfreguleringsbeleid ter zake [...] ontwikkelen, dat zij met de beginselen in overeenstemming brengen. [...] Bovendien kunnen organisaties waarop wettelijke of bestuursrechtelijke bepalingen met betrekking tot een effectieve bescherming van persoonsgegevens van toepassing zijn, eveneens voor de voordelen van de veilige haven in aanmerking komen.Derde alinea van bijlage I.
19.Voor het toezicht op de naleving van de veiligehavenbeginselen bestaan verschillende mechanismen die een mengeling vormen van particuliere klachtenprocedures en overheidstoezicht. Het toezicht kan worden uitgeoefend door middel van buitengerechtelijke geschillenbeslechting door een onafhankelijke derde. Organisaties kunnen zich ook ertoe verplichten samen te werken met het panel van gegevensbeschermingsautoriteiten van de Unie. De Federal Trade Commission (hierna: FTC) is krachtens section 5 van de Federal Trade Commission Act bevoegd klachten te onderzoeken, het Department of Transportation is daartoe bevoegd krachtens section 41712 in titel 49 van de United States Code.20.Volgens de vierde alinea van bijlage I bij beschikking 2000/520 kan de naleving van de veiligehavenbeginselen met name worden beperkt door de eisen van de nationale veiligheid, het algemeen belang en [de] rechtshandhaving en door wettelijke of bestuursrechtelijke bepalingen of rechtspraak die tegenstrijdige verplichtingen of uitdrukkelijke machtigingen scheppen, mits een organisatie die van een dergelijke machtiging gebruikmaakt, kan aantonen dat de niet-naleving van de beginselen beperkt is tot de mate die nodig is om de met de machtiging beoogde hogere legitieme belangen te waarborgen.Zie eveneens bijlage IV, B.
21.Verder is de mogelijkheid waarover de bevoegde autoriteiten van de lidstaten beschikken om gegevensstromen op te schorten onderworpen aan een aantal voorwaarden die zijn opgenomen in artikel 3, lid 1, van beschikking 2000/520.22.Het onderhavige prejudiciële verzoek betreft de draagwijdte van beschikking 2000/520 in het licht van de artikelen 7, 8 en 47 van het Handvest van de grondrechten van de Europese Unie (hierna: Handvest) en van de artikelen 25, lid 6, en 28 van richtlijn 95/46. Dit verzoek is gedaan in het kader van een geding tussen M. Schrems en de Data Protection Commissioner over de weigering van laatstgenoemde om een klacht van Schrems te onderzoeken over het feit dat Facebook Ireland Ltd. (hierna: Facebook Ireland) persoonsgegevens van zijn abonnees bewaart op servers die zich in de Verenigde Staten bevinden.23.Schrems is een Oostenrijker die in Oostenrijk woont. Hij is sinds 2008 geabonneerd op het sociale netwerk Facebook.24.Aan alle abonnees van Facebook die op het grondgebied van de Unie wonen wordt gevraagd een overeenkomst te sluiten met Facebook Ireland, een dochtermaatschappij van het in de Verenigde Staten gevestigde Facebook Inc. (hierna: Facebook USA). De gegevens van de abonnees van Facebook Ireland die op het grondgebied van de Unie verblijven, worden, geheel of gedeeltelijk, doorgegeven naar en bewaard op servers van Facebook USA die zich op het grondgebied van de Verenigde Staten bevinden.25.Schrems heeft op 25 juni 2013 een klacht ingediend bij de Data Protection Commissioner, in wezen erop neerkomend dat het recht en de praktijk van de Verenigde Staten geen werkelijke bescherming bieden tegen staatstoezicht van de gegevens die op het grondgebied van de Verenigde Staten worden bewaard. Dit zou aan het licht zijn gebracht door de onthullingen die Edward Snowden vanaf mei 2013 heeft gedaan over de activiteiten van de Amerikaanse inlichtingendiensten en in het bijzonder de National Security Agency (hierna: NSA).26.Volgens deze onthullingen beschikt de NSA over een programma met de naam PRISM waarmee die dienst vrij toegang heeft tot de enorme hoeveelheid gegevens die zich bevindt op servers in de Verenigde Staten die toebehoren aan of gecontroleerd worden door een hele serie op het gebied van internet en technologie werkzame bedrijven, zoals Facebook.27.De Data Protection Commissioner was van mening dat de klacht rechtens ongegrond was en niet nader onderzocht hoefde te worden. Hij vond dat er geen bewijzen waren dat de NSA zich toegang had verschaft tot de gegevens van Schrems. De klacht moest volgens hem ook worden afgewezen omdat de Commissie in beschikking 2000/520 had geconstateerd dat de Verenigde Staten in het kader van de veiligehavenregeling een passend beschermingsniveau waarborgen voor de doorgifte van persoonsgegevens. Omdat iedere vraag betreffende de gepastheid van de bescherming van deze gegevens in de Verenigde Staten in overeenstemming met die beschikking moet worden beantwoord, kon hij het in de klacht opgeworpen probleem niet onderzoeken.28.De nationale regeling die de Data Protection Commissioner tot afwijzing van de klacht heeft gebracht is de volgende.29.Section 10, lid 1, van de Data Protection Act 1988 (wet op de gegevensbescherming), zoals gewijzigd bij de Data Protection (Amendment) Act 2003, verleent hem de bevoegdheid klachten te onderzoeken; het luidt:- a)De Commissioner kan onderzoeken, of laten onderzoeken, of bepalingen van deze wet in relatie tot een bepaalde persoon zijn geschonden of dreigen te worden geschonden, hetzij naar aanleiding van een klacht van die persoon over schending van enige bepaling van deze wet, hetzij omdat de Commissioner anderszins meent dat van een dergelijke schending sprake kan zijn.
- b)Wanneer een persoon krachtens het bepaalde in punt a) van dit lid een klacht bij de Commissioner indient:
- i)onderzoekt de Commissioner de klacht of laat hij de klacht onderzoeken, tenzij hij haar onbelangrijk of onnodig acht, en
- ii)indien hij of zij de betrokken partijen niet binnen een redelijke termijn tot een minnelijke schikking kan bewegen stelt hij of zij de indiener van de klacht schriftelijk in kennis van zijn of haar besluit daarover en vermeldt daarbij dat deze persoon, indien hij zich door dit besluit benadeeld voelt, krachtens section 26 van deze wet binnen 21 dagen na de ontvangst van de kennisgeving beroep in rechte kan instellen.
30.In casu achtte de Commissioner de klacht van Schrems onbelangrijk of onnodig omdat zij wegens het ontbreken van een rechtsgrond was gedoemd te mislukken. Hij heeft op die grond geweigerd haar te onderzoeken.31.Section 11 van de Data Protection Act regelt de doorgifte van persoonsgegevens naar het buitenland. Section 11, lid 2, onder a), bepaalt:Wanneer in een procedure op grond van deze wet de vraag rijst
- i)of een land of gebied buiten de Europese Economische Ruimte [(EER)] waarnaar persoonsgegevens worden doorgegeven het passend beschermingsniveau waarborgt zoals dat in lid 1 van dit artikel nader is bepaald, en
- ii)de Unie de gepastheid van het beschermingsniveau voor het betrokken type doorgifte heeft geconstateerd,
wordt over deze vraag beslist in overeenstemming met die constatering.
32.Section 11, lid 2, onder b), van de Data Protection Act definieert het begrip constatering van de Unie als volgt:In punt a) van dit lid betekent constatering van de Unie een constatering die de [...] Commissie, volgens de procedure van artikel 31, lid 2, van richtlijn [95/46], heeft gedaan met betrekking tot lid 4 of 6 van artikel 25 van die richtlijn, teneinde vast te stellen of een land of gebied buiten de [EER] het passend beschermingsniveau waarborgt zoals dat in lid 1 van het onderhavige artikel nader is bepaald.
33.De Data Protection Commissioner heeft opgemerkt dat beschikking 2000/520 een constatering van de Unie is in de zin van artikel 11, lid 2, onder a), van de Data Protection Act, zodat, krachtens die wet, iedere vraag over de gepastheid van de gegevensbescherming in het derde land waarnaar gegevens worden doorgegeven moet worden beantwoord overeenkomstig die constatering. Aangezien de klacht van Schrems nu juist hierop betrekking had – dat persoonsgegevens werden doorgegeven naar een derde land waar in de praktijk geen passend beschermingsniveau gold – stelde de Commissioner zich op het standpunt dat de aard en het bestaan zelf van beschikking 2000/520 een onderzoek naar die vraag uitsloot.34.Schrems heeft bij de High Court of Justice beroep ingesteld tegen het afwijzende besluit van de Commissioner. Deze rechter heeft, na het in het hoofdgeding overgelegde bewijs te hebben onderzocht, vastgesteld dat het langs elektronische weg surveilleren en onderscheppen van persoonsgegevens noodzakelijke en onontbeerlijke doelstellingen van algemeen belang dient, namelijk de handhaving van de nationale veiligheid en het voorkomen van ernstige criminaliteit. De High Court of Justice wijst er in dit verband op dat het surveilleren en onderscheppen van persoonsgegevens die vanuit de Unie naar de Verenigde Staten worden doorgegeven legitieme doeleinden van terrorismebestrijding dient.35.Volgens diezelfde rechter hebben de onthullingen van Snowden echter aangetoond dat de NSA en andere vergelijkbare instanties hierin veel te ver gaan. De Foreign Intelligence Surveillance Court (hierna: FISC) oefent, in het kader van de Foreign Intelligence Surveillance Act of 1978 (wet van 1978 betreffende het toezicht op buitenlandse inlichtingendiensten)Zie section 702 van deze wet, zoals gewijzigd bij de Foreign Intelligence Surveillance Act of 2008. Ter uitvoering van deze bepaling beschikt de NSA over een database met de naam PRISM (zie Report on the Findings by the EU Co-chairs of the ad hoc EU-US Working Group on Data Protection van 27 november 2013).
, weliswaar enige controle uit, maar de procedure voor die rechter is niet op tegenspraak en vindt bovendien in het geheim plaats. Burgers van de Unie beschikken derhalve, buiten het feit dat beslissingen over de toegang tot persoonsgegevens worden genomen overeenkomstig Amerikaans recht, in feite over geen enkel recht om gehoord te worden over het surveilleren en onderscheppen van hun gegevens.36.Uit de overvloedige documentatie bij de in het hoofdgeding afgelegde verklaringen blijkt duidelijk dat de juistheid van een groot deel van de onthullingen van Snowden niet wordt betwist. De High Court of Justice heeft dan ook vastgesteld dat zodra persoonsgegevens naar de Verenigde Staten zijn doorgegeven, de NSA en andere Amerikaanse veiligheidsinstanties zoals de Federal Bureau of Investigation (FBI) deze persoonsgegevens ongedifferentieerd en op grote schaal kunnen surveilleren en onderscheppen.37.De High Court of Justice constateert dat in het Ierse recht het belang van de grondwettelijke rechten op eerbiediging van de persoonlijke levenssfeer en onschendbaarheid van de woning vereist dat iedere inmenging in deze rechten berust op de wet en evenredig moet zijn. De ongedifferentieerde toegang tot persoonsgegevens die op grote schaal plaatsvindt voldoet geenszins aan het evenredigheidsvereiste en moet derhalve in strijd met de Ierse grondwet worden geacht.De High Court of Justice refereert in het bijzonder aan de eerbiediging van de menselijke waardigheid en de vrijheid van het individu (preambule), de persoonlijke autonomie (artikel 40, lid 3, punten 1 en 2), de onschendbaarheid van de woning (artikel 40, lid 5) en de bescherming van het gezinsleven (artikel 41).
38.De High Court of Justice stelt dat het onderscheppen van elektronische communicatie slechts dan grondwettelijk kan worden geacht wanneer wordt aangetoond dat het onderscheppen van bepaalde elektronische communicatie en het surveilleren van bepaalde personen of groepen van personen objectief worden gerechtvaardigd door de belangen van nationale veiligheid en misdaadbestrijding en worden omringd met passende en controleerbare waarborgen.39.De High Court of Justice wijst er derhalve op dat, indien de onderhavige zaak uitsluitend zou moeten worden beoordeeld op grond van het Ierse recht, de vraag of de Verenigde Staten een passend beschermingsniveau waarborgen voor de persoonlijke levenssfeer en de fundamentele rechten en vrijheden in de zin van artikel 11, lid 1, van de Data Protection Act, een aanzienlijk probleem zou opleveren. Op grond van het Ierse recht, en in het bijzonder de grondwettelijke vereisten ervan, had de Commissioner de klacht van Schrems niet mogen afwijzen, maar die vraag moeten onderzoeken.40.De High Court of Justice constateert echter dat de zaak die haar is voorgelegd de tenuitvoerlegging van het Unierecht in de zin van artikel 51, lid 1, van het Handvest betreft, zodat de rechtmatigheid van het besluit van de Commissioner moet worden beoordeeld in het licht van het Unierecht.41.Het probleem waarvoor de Commissioner zich gesteld zag is door de High Court of Justice als volgt uitgelegd. Krachtens artikel 11, lid 2, onder a), van de Data Protection Act is de Commissioner gehouden om over de vraag of de bescherming in het derde land passend is te beslissen in overeenstemming met een constatering van de Unie die de Commissie overeenkomstig artikel 25, lid 6, van richtlijn 95/46 heeft gedaan. Dit betekent dat de Commissioner niet mag afwijken van een dergelijke constatering. Nu de Commissie in beschikking 2000/520 heeft geconstateerd dat de Verenigde Staten een passend beschermingsniveau waarborgen voor de verwerking van persoonsgegevens door ondernemingen die de veiligehavenbeginselen onderschrijven, moest de Commissioner een klacht over de ongepastheid van die bescherming noodzakelijkerwijs afwijzen.42.De High Court of Justice stelt vast dat de Commissioner aldus scrupuleus heeft vastgehouden aan de letter van richtlijn 95/46 en beschikking 2000/520, en is van oordeel dat Schrems in feite veeleer bezwaar maakt tegen de veiligehavenregeling zelf dan tegen de wijze waarop de Commissioner haar heeft toegepast, maar benadrukt dat hij de geldigheid van richtlijn 95/46 en beschikking 2000/520 niet rechtstreeks heeft betwist.43.Volgens de High Court of Justice is dus de hoofdvraag of, gelet op het Unierecht en in het bijzonder rekening houdend met de inwerkingtreding van de artikelen 7 en 8 van het Handvest sindsdien, de Commissioner zonder meer is gebonden aan de in beschikking 2000/520 geformuleerde constatering van de Commissie betreffende de gepastheid van de gegevensbescherming in het recht en de praktijk van de Verenigde Staten.44.De High Court of Justice preciseert voorts dat, in het bij haar ingestelde beroep, de handelwijze van Facebook Ireland en Facebook USA als zodanig nooit is bestreden. Artikel 3, lid 1, onder b), van beschikking 2000/520, dat de bevoegde nationale autoriteiten in staat stelt ondernemingen te gelasten gegevensstromen naar een derde land op te schorten, is volgens deze rechter slechts van toepassing wanneer de klacht is gericht tegen de handelwijze van de betrokken onderneming, hetgeen in casu niet het geval is.45.De High Court of Justice benadrukt derhalve dat het werkelijke bezwaar niet is gericht tegen de handelwijze van Facebook USA als zodanig, maar tegen het feit dat de Commissie heeft geoordeeld dat het recht en de praktijk van de Verenigde Staten een passend niveau van gegevensbescherming waarborgen, terwijl de onthullingen van Snowden duidelijk laten zien dat de Amerikaanse autoriteiten zich op grote schaal en ongedifferentieerd toegang kunnen verschaffen tot persoonsgegevens van de bevolking van de Unie.De High Court of Justice wijst er in dit verband op dat het voornaamste middel dat Schrems bij haar heeft aangevoerd inhield dat, gelet op de recente onthullingen van Snowden en het feit dat op grote schaal persoonsgegevens ter beschikking zijn gesteld aan de inlichtingendiensten van de Verenigde Staten, de Commissioner niet rechtsgeldig kon concluderen dat er in dat land een passend niveau van gegevensbescherming bestond.
46.De High Court of Justice is op dit punt van oordeel dat het moeilijk is voor te stellen hoe beschikking 2000/520 in de praktijk zou kunnen voldoen aan de eisen van de artikelen 7 en 8 van het Handvest, en al helemaal indien rekening wordt gehouden met de door het Hof in het arrest Digital Rights Ireland e.a.C‑293/12 en C‑594/12, EU:C:2014:238, punten 65‑69.
geformuleerde beginselen. In het bijzonder worden de in artikel 7 van het Handvest neergelegde waarborg en de kernwaarden die gemeen zijn aan de constitutionele tradities van de lidstaten geschaad wanneer overheden op aleatoire en algemene wijze toegang kunnen krijgen tot elektronische communicatie zonder dat hiervoor een objectieve rechtvaardiging hoeft te worden aangevoerd die berust op overwegingen van nationale veiligheid of misdaadpreventie specifiek verband houdend met de betrokken personen, en zonder te worden omringd met passende en verifieerbare waarborgen. Omdat het beroep van Schrems suggereert dat beschikking 2000/520 in abstracto onverenigbaar zou kunnen zijn met de artikelen 7 en 8 van het Handvest, zou het Hof kunnen oordelen dat het mogelijk is richtlijn 95/46, en met name artikel 25, lid 6, ervan, en beschikking 2000/520 aldus uit te leggen dat nationale autoriteiten bevoegd zijn een eigen onderzoek in te stellen om vast te stellen of het doorgeven van persoonsgegevens naar een derde land en het aldaar bewaren daarvan in overeenstemming is met de vereisten van de artikelen 7 en 8 van het Handvest.47.De High Court of Justice heeft daarop besloten de behandeling van de zaak te schorsen en het Hof de volgende prejudiciële vragen te stellen:Wanneer bij een onafhankelijke ambtsdrager aan wie bij de wet de toepassing en de uitvoering van de wetgeving inzake gegevensbescherming is opgedragen, een klacht wordt ingediend dat persoonsgegevens worden doorgegeven aan een derde land (in casu de Verenigde Staten) waarvan het recht en de praktijk volgens de klager de betrokkenen geen passende bescherming bieden, is die ambtsdrager dan absoluut gebonden aan de communautaire bevinding van het tegendeel in beschikking 2000/520, gelet op de artikelen 7, 8 en 47 van het Handvest, niettegenstaande artikel 25, lid 6, van richtlijn 95/46?
Of kan en/of moet de ambtsdrager overgaan tot een eigen onderzoek van de zaak in het licht van de feitelijke ontwikkelingen die zich sinds de eerste bekendmaking van beschikking 2000/520 hebben voorgedaan?