<TI><NP><NO.P>I –</NO.P><TXT><HT TYPE="BOLD">Wprowadzenie</HT></TXT></NP></TI>1.Jak stwierdziła Komisja Europejska w swoim komunikacie z dnia 27 listopada 2013 r.Komunikat Komisji do Parlamentu Europejskiego i Rady Odbudowa zaufania do przepływów danych między Unią Europejską a Stanami Zjednoczonymi [COM(2013) 846 final].
, [p]rzekazywanie danych osobowych jest ważnym i niezbędnym elementem stosunków transatlantyckich. Stanowi ono nieodłączną część transatlantyckiej wymiany handlowej, w szczególności jeżeli chodzi o nowe rozwijające się przedsiębiorstwa cyfrowe prowadzące działalność w takich dziedzinach, jak media społecznościowe lub chmura obliczeniowa, z czym wiąże się duża ilość danych przekazywanych z Unii Europejskiej do Stanów ZjednoczonychStrona 2.
.2.Wymiana handlowa jest przedmiotem decyzji Komisji 2000/520/WE z dnia 26 lipca 2000 r., przyjętej na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady, w sprawie adekwatności ochrony przewidzianej przez zasady ochrony prywatności w ramach bezpiecznej przystani oraz przez odnoszące się do nich najczęściej zadawane pytania, wydane przez Departament Handlu USADz.U. L 215, s. 7; sprostowanie Dz.U. 2001, L 115, s. 14.
. Decyzja ta stanowi podstawę prawną dla przekazywania danych osobowych z Unii do tych przedsiębiorstw z siedzibą w Stanach Zjednoczonych, które przyjęły zasady dotyczące bezpiecznego transferu danych osobowych (zasady bezpiecznej przystani).3.Omawiana decyzja ma obecnie sprostać wyzwaniu umożliwienia przepływu danych pomiędzy Unią a Stanami Zjednoczonymi przy jednoczesnym zapewnieniu wysokiego stopnia ochrony tych danych, jak wymaga tego prawo Unii.4.Pewne ujawnione niedawno informacje wykazały bowiem istnienie amerykańskich programów gromadzenia informacji na znaczną skalę. Informacje te postawiły pod znakiem zapytania poszanowanie prawa Unii przy przekazywaniu danych osobowych do przedsiębiorstw z siedzibą w Stanach Zjednoczonych oraz ujawniły słabe punkty systemu bezpiecznej przystani.5.W niniejszym wniosku o wydanie orzeczenia w trybie prejudycjalnym zwrócono się do Trybunału o wyjaśnienia co do tego, jakie stanowisko mają zająć krajowe organy nadzorcze i Komisja wobec napotykanych nieprawidłowości w stosowaniu decyzji 2000/520.6.Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danychDz.U. L 281, s. 31. Dyrektywa zmieniona rozporządzeniem (WE) nr 1882/2003 Parlamentu Europejskiego i Rady z dnia 29 września 2003 r. (Dz.U. L 284, s. 1) (zwana dalej dyrektywą 95/46).
przewiduje w rozdziale IV zasady dotyczące przekazywania danych osobowych do państw trzecich.7.W rozdziale tym, w art. 25 ust. 1 tej dyrektywy, zawarta została zasada, zgodnie z którą przekazywanie do państwa trzeciego danych osobowych poddawanych przetwarzaniu lub przeznaczonych do przetwarzania po ich przekazaniu może nastąpić tylko wówczas gdy, dane państwo trzecie zapewni odpowiedni stopień ochrony tych danych.8.I odwrotnie, jak wskazał prawodawca unijny w motywie 57 tej dyrektywy, jeśli państwo trzecie nie zapewnia odpowiedniego stopnia ochrony, należy zakazać przekazywania danych osobowych do tego państwa.9.Zgodnie z art. 25 ust. 2 dyrektywy 95/46 [o]dpowiedni stopień ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazania danych lub zbioru takich operacji; szczególną uwagę zwracać się będzie na charakter danych, cel i czas trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia, przepisy prawa, zarówno ogólne jak i branżowe, obowiązujące w państwie trzecim oraz przepisy zawodowe i środki bezpieczeństwa stosowane w tym państwie.10.Na mocy art. 25 ust. 6 tej dyrektywy Komisja może stwierdzić, że państwo trzecie zapewnia, ze względu na swoje wewnętrzne ustawodawstwo lub zobowiązania międzynarodowe, odpowiedni stopień ochrony danych osobowych. Jeśli Komisja przyjmie taką decyzję, dane osobowe mogą być przekazywane do danego państwa trzeciego.11.W wykonaniu tego przepisu Komisja przyjęła decyzję 2000/520. Z art. 1 ust. 1 tej decyzji wynika, że zasady ochrony prywatności w ramach bezpiecznej przystani, wprowadzane w życie zgodnie z wytycznymi zawartymi w najczęściej zadawanych pytaniachNajczęściej zadawane pytania, zwane dalej NZP.
, są uważane za zapewniające odpowiedni poziom ochrony danych osobowych przekazywanych z Unii do przedsiębiorstw mających siedzibę w Stanach Zjednoczonych.12.W konsekwencji decyzja 2000/520 upoważnia do przekazywania danych osobowych z państw członkowskich do tych przedsiębiorstw mających siedzibę w Stanach Zjednoczonych, które zobowiązały się do przestrzegania zasad bezpiecznej przystani.13.Decyzja 2000/520 przewiduje w załączniku I szereg zasad, do przestrzegania których przedsiębiorstwa mogą dobrowolnie się zobowiązać, wraz z ograniczeniami i ze szczególnym systemem kontroli. Ilość przedsiębiorstw, które przyjęły ten tzw. kodeks postępowania, przekroczyła w 2013 r. 3200.14.System bezpiecznej przystani opiera się na rozwiązaniu łączącym samocertyfikację i samoocenę dokonywaną przez przedsiębiorstwa prywatne z interwencją władz publicznych.15.Zasady bezpiecznej przystani zostały opracowane w konsultacji z kręgami przemysłowymi i publicznością w celu ułatwienia handlu między Stanami Zjednoczonymi a Unią Europejską […]. Są one przeznaczone do wyłącznego użytku przez amerykańskie organizacje otrzymujące dane osobowe z Unii […], w celu zakwalifikowania ich jako bezpiecznej przystani i domniemania adekwatności [odpowiedniego stopnia ochrony], jakie ta przystań stwarzaAkapit drugi załącznika I do decyzji 2000/520.
.16.Wymienione w załączniku I do decyzji 2000/520 zasady bezpiecznej przystani przewidują w szczególności:obowiązek informowania, zgodnie z którym [o]rganizacja musi poinformować osoby o celach, w jakich zbiera i wykorzystuje informacje o nich, o sposobie kontaktowania się z organizacją w celu zasięgnięcia informacji albo złożenia skargi, o rodzajach stron trzecich, którym ujawnia te informacje, oraz o możliwościach wyboru i środkach ograniczenia korzystania i ujawnienia tych informacji, oferowanych przez organizację tym osobom. Ogłoszenie to musi być sformułowane […] z chwilą, gdy osoby fizyczne są po raz pierwszy proszone o dostarczenie organizacji informacji osobowych lub też w jak [najkrótszym możliwym terminie], ale w każdym przypadku przed użyciem przez organizację takich informacji w celu innym niż ten, w którym były one pierwotnie zbierane albo przetwarzane przez organizację przekazującą lub zanim ujawni je po raz pierwszy stronie trzeciejZobacz załącznik I, Ogłoszenie.
;
obowiązek umożliwienia przez organizację zainteresowanym osobom dokonania wyboru, czy dane ich dotyczące mogą zostać ujawnione osobie trzeciej lub wykorzystane w celu niezgodnym z celem (celami), dla którego (których) były pierwotnie zbierane, lub na które osoba fizyczna wyraziła później zgodę. W przypadku informacji wrażliwych muszą one mieć możliwość twierdzącego lub wyraźnego wyboru (wyrażenie zgody), jeżeli informacje mają być ujawnione stronie trzeciej lub mają być użyte w celu innym niż cele, dla których były pierwotnie zbierane, lub do których wykorzystania zainteresowana osoba później upoważniła poprzez wykorzystanie możliwości wyrażenia zgodyZobacz załącznik I, Wybór.
;
zasady dotyczące dalszego przekazywania danych. Tak więc, [w] celu ujawnienia informacji stronie trzeciej, organizacje muszą stosować zasady ogłoszenia i wyboruZobacz załącznik I, Dalsze przekazywanie danych.
;
w zakresie bezpieczeństwa danych obowiązek [o]rganizacji tworząc[ych], przechowując[ych], używając[ych] albo rozpowszechniając[ych] informacje osobowe […] podejmowa[nia] rozsądn[ych] środk[ów] ostrożności w celu ich ochrony przed utratą, niewłaściwym wykorzystaniem oraz nieuprawnionym dostępem, ujawnieniem, zmianą i zniszczeniemZobacz załącznik I, Bezpieczeństwo.
;
jeśli chodzi o integralność danych, obowiązek organizacji podj[ęcia] […] właściw[ych] krok[ów], aby zapewnić wiarygodność dla celów, jakim mają służyć, dokładność, kompletność i aktualnośćZobacz załącznik I, Integralność danych.
;
że osoba, której dane organizacja przechowuje, musi co do zasady mieć dostęp do [tych danych] i mieć możliwość poprawiania, zmieniania lub usuwania takich informacji, gdy są one nieprawidłoweZobacz załącznik I, Dostęp.
;
obowiązek wprowadzenia procedur[…] postępowania zapewniając[ych] przestrzeganie zasad [bezpiecznej przystani], prawo odwoływania się osób, których dane dotyczą, które wskutek nieprzestrzegania zasad zostały poszkodowane, oraz konsekwencje wynikające dla organizacji z powodu nieprzestrzegania zasad [do przestrzegania których się zobowiązały]Zobacz załącznik I, Zapewnianie prawu skuteczności.
.
17.Amerykańska organizacja zamierzająca zobowiązać się do przestrzegania zasad bezpiecznej przystani musi przewidzieć w swojej polityce ochrony prywatności, że ujawnia publicznie fakt zobowiązania się do przestrzegania tych zasad i rzeczywistego ich przestrzegania oraz do samocertyfikacji poprzez poinformowanie Departamentu Handlu Stanów Zjednoczonych, że przestrzega ona tych zasadArtykuł 1 ust. 2 i 3 decyzji 2000/520. Zobacz także załącznik II, NZP 6.
.18.Organizacje mogą przestrzegać zasad bezpiecznej przystani na wiele sposobów. Mogą one na przykład przystąpi[ć] do programu samoregulacji ochrony prywatności [zarządzanego przez sektor prywatny], który przestrzega zasad lub zakwalifikować [się] poprzez rozwój swych własnych polityk samoregulacji przestrzegania ochrony prywatności pod warunkiem, że będą one zgodne z zasadami […]. Ponadto, organizacje podlegające ustawowemu, wykonawczemu, administracyjnemu lub innemu zbiorowi praw (lub przepisów) chroniącemu skutecznie prywatność osób fizycznych mogą się także kwalifikować do korzystania z przywilejów bezpiecznej przystaniAkapit trzeci załącznika I.
.19.Istnieje szereg mechanizmów, łączących prywatny arbitraż i kontrolę organów publicznych, służących weryfikacji poszanowania zasad bezpiecznej przystani. Kontrola może zatem zostać zapewniona poprzez system pozasądowego rozwiązywania sporów przez niezależną osobę trzecią. Co więcej, przedsiębiorstwa mogą podjąć współpracę z grupą Unii ds. ochrony danych. Wreszcie Federal Trade Commission (Federalna Komisja Handlu, zwana dalej FTC) na podstawie uprawnień przyznanych jej na mocy sekcji 5 Federal Trade Commission Act (ustawy o Federalnej Komisji Handlu) oraz Department of Transportation (ministerstwo transportu) na podstawie uprawnień przyznanych mu na mocy sekcji 41712 United States Code (kodeksu Stanów Zjednoczonych), zawartej w jego tytule 49, są właściwe do rozpatrywania skarg.20.Zgodnie z akapitem czwartym załącznika I do decyzji 2000/520 przyjęcie zasad bezpiecznej przystani może być ograniczone w szczególności przez wymaga[nia] bezpieczeństwa narodowego, interesu publicznego albo przestrzegania prawa [Stanów Zjednoczonych] oraz przez ustaw[ę], rozporządzenie[…] rządu albo [orzeczenie sądu], ustanawiając[e] sprzeczne obowiązki albo udzielając[e] wyraźnego upoważnienia, pod warunkiem że działając na mocy tego upoważnienia organizacja potrafi wykazać, że nieprzestrzeganie przez nią zasad jest ograniczone do zakresu koniecznego do zaspokojenia nadrzędnych uzasadnionych interesów wspieranych przez to upoważnienieZobacz także załącznik IV tytuł B.
.21.Ponadto możliwość wstrzymania przepływu danych przez właściwe organy państw członkowskich poddana jest licznym warunkom przewidzianym w art. 3 ust. 1 decyzji 2000/520.22.Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym prowadzi do rozważenia znaczenia decyzji 2000/520 w świetle art. 7, 8 i 47 Karty praw podstawowych Unii Europejskiej (zwanej dalej kartą), a także art. 25 ust. 6 i art. 28 dyrektywy 95/46. Wniosek ten został przedstawiony w ramach sporu pomiędzy Maximillianem Schremsem a Data Protection Commissioner (komisarzem ds. ochrony danych, zwanym dalej komisarzem) dotyczącego odmowy przez komisarza rozpatrzenia skargi wniesionej przez M. Schremsa z tego powodu, że Facebook Ireland Ltd (zwana dalej Facebook Ireland lub spółką Facebook Ireland) przechowuje dane osobowe swoich użytkowników na serwerach znajdujących się w Stanach Zjednoczonych.23.Maximillian Schrems jest obywatelem austriackim mieszkającym w Austrii. Jest on użytkownikiem serwisu społecznościowego Facebook od 2008 r.24.Od wszystkich użytkowników sieci Facebook mieszkających na terytorium Unii wymagane jest zawarcie umowy ze spółką Facebook Ireland, będącą spółką zależną spółki dominującej Facebook Inc., mającej siedzibę w Stanach Zjednoczonych (zwanej dalej Facebook USA lub spółką Facebook USA). Dane użytkowników spółki Facebook Ireland mieszkających na terytorium Unii są, w całości lub częściowo, przekazywane na serwery spółki Facebook USA, znajdujące się na terytorium Stanów Zjednoczonych, gdzie dane te są przechowywane.25.W dniu 25 czerwca 2013 r. M. Schrems złożył skargę do komisarza, podnosząc w istocie, że prawo i praktyka Stanów Zjednoczonych nie zapewniają rzeczywistej ochrony danych przechowywanych na terytorium Stanów Zjednoczonych przed nadzorem państwa. Wynika to jakoby z ujawnianych przez E. Snowdena od maja 2013 r. informacji na temat działalności amerykańskich służb wywiadowczych, a w szczególności działalności National Security Agency (agencji bezpieczeństwa narodowego, zwanej dalej NSA).26.Z informacji tych wynika w szczególności, że NSA wprowadziła program o nazwie PRISM, w ramach którego agencja ta uzyskała swobodny dostęp do masowych danych przechowywanych na serwerach znajdujących się w Stanach Zjednoczonych, posiadanych lub kontrolowanych przez szereg spółek działających w dziedzinie Internetu i technologii, takich jak Facebook USA.27.Komisarz ocenił, że nie miał obowiązku rozpatrzenia tej skargi, ponieważ była ona pozbawiona podstawy prawnej. Uznał, że nie ma dowodów na to, iż NSA uzyskała dostęp do danych M. Schremsa. Ponadto skargę należało jego zdaniem odrzucić ze względu na decyzję 2000/520, w której Komisja stwierdziła, że Stany Zjednoczone zapewniają w ramach systemu bezpiecznej przystani odpowiedni stopień ochrony przekazywanych danych osobowych. Wszelkie kwestie dotyczące odpowiedniego stopnia ochrony tych danych w Stanach Zjednoczonych należy rozpatrywać zgodnie z tą decyzją, co uniemożliwiało zbadanie problemu podniesionego w skardze.28.Komisarz odrzucił skargę na podstawie następującego ustawodawstwa krajowego.29.Artykuł 10 ust. 1 Data Protection Act 1988 (ustawy z 1988 r. o ochronie danych), zmienionej Data Protection (Amendment) Act 2003 (ustawą z 2003 r. o ochronie danych) (zwanej dalej ustawą o ochronie danych) przyznaje komisarzowi uprawnienie do rozpatrywania skarg oraz stanowi:- a)Komisarz może zbadać lub zlecić zbadanie, czy przepisy niniejszej ustawy były, są lub mogą być naruszane w odniesieniu do danej osoby, w przypadku gdy osoba ta wniesie do niego skargę o naruszenie jednego z tych przepisów lub gdy komisarz uważa, że takie naruszenie może występować.
- b)Kiedy osoba wnosi skargę do komisarza na podstawie lit. a) niniejszego ustępu, komisarz:
- (i)rozpatruje skargę lub zleca jej rozpatrzenie, chyba że jest ona bezcelowa lub wynika ze złej wiary, oraz,
- (ii)jeśli nie może uzyskać w rozsądnym terminie od zainteresowanych stron polubownego rozwiązania w przedmiocie skargi, powiadamia na piśmie skarżącego o decyzji podjętej w sprawie tej skargi, wskazując, że jeśli decyzja ta jest dla niego niekorzystna, skarżący może ją zaskarżyć do sądu na podstawie art. 26 niniejszej ustawy, w terminie 21 dni od dnia doręczenia powiadomienia.
30.W niniejszej sprawie komisarz stwierdził, że skarga M. Schremsa była bezcelowa lub wynikała ze złej wiary w tym znaczeniu, że była skazana na niepowodzenie ze względu na brak podstawy prawnej. Z tego powodu odmówił on rozpatrzenia tej skargi.31.Artykuł 11 ustawy o ochronie danych reguluje przekazywanie danych osobowych poza terytorium krajowe. Artykuł 11 ust. 2 lit. a) tej ustawy przewiduje:Jeśli w ramach każdej procedury regulowanej niniejszą ustawą podniesiona zostaje kwestia:
- (i)ustalenia, czy państwo lub terytorium położone poza Europejskim Obszarem Gospodarczym [(EOG)], do którego mają zostać przekazane dane osobowe, zapewnia odpowiedni stopień ochrony określony w ust. 1 niniejszego artykułu, oraz jeśli
- (ii)Unia dokonała ustaleń w odniesieniu do rodzaju przekazania, o który chodzi,
to kwestia ta zostanie rozwiązana w zgodzie z tymi ustaleniami.
32.Artykuł 11 ust. 2 lit. b) ustawy o ochronie danych osobowych definiuje pojęcie ustaleń Unii w następujący sposób:W lit. a) niniejszego ustępu ustalenia Unii oznaczają ustalenia, jakie Komisja […] poczyniła na potrzeby art. 25 ust. 4 lub 6 dyrektywy [95/46], w ramach postępowania przewidzianego w art. 31 ust. 2 [tej dyrektywy], dla określenia, czy państwo lub terytorium położone poza [EOG] zapewniają odpowiedni stopień ochrony określony w ust. 1 niniejszego artykułu.
33.Komisarz zauważył, że decyzja 2000/520 stanowiła ustalenia Unii w rozumieniu art. 11 ust. 2 lit. a) ustawy o ochronie danych, tak więc na mocy tej ustawy każdą kwestię dotyczącą odpowiedniego stopnia ochrony danych w państwie trzecim, do którego te dane są przekazywane, należy rozpatrywać w zgodzie z tymi ustaleniami. Z uwagi na fakt, że istotą skargi wniesionej przez skarżącego była właśnie ta kwestia – a mianowicie że dane osobowe przekazywane były do państwa trzeciego, które w praktyce nie zapewnia odpowiedniego stopnia ochrony – komisarz przyjął, że owa kwestia nie podlega rozstrzygnięciu ze względu na charakter oraz na samo istnienie decyzji 2000/520.34.Maximillian Schrems wniósł do High Court (wysokiego trybunału) skargę na decyzję komisarza odrzucającą jego skargę. Po zbadaniu dowodów przedstawionych w postępowaniu głównym sąd ten stwierdził, że nadzór elektroniczny i przechwytywanie danych osobowych służą realizacji koniecznych i niezbędnych celów interesu publicznego, mianowicie utrzymania bezpieczeństwa publicznego i zapobiegania ciężkim przestępstwom. High Court wskazał w tym względzie, że nadzór i przechwytywanie danych osobowych przekazywanych z Unii do Stanów Zjednoczonych służą realizacji uzasadnionych celów związanych ze zwalczaniem terroryzmu.35.Według tego samego sądu informacje ujawnione przez E. Snowdena wskazują jednak na istotne przekroczenie uprawnień ze strony NSA i innych podobnych organów. O ile Foreign Intelligence Surveillance Court (sąd ds. nadzoru wywiadu, zwany dalej FISC), działający w ramach Foreign Intelligence Surveillance Act of 1978 (ustawy z 1978 r. o nadzorze nad obcymi służbami wywiadowczymi)Zobacz sekcja 702 tej ustawy, zmienionej Foreign Intelligence Surveillance Act of 2008 (ustawą z 2008 r. o nadzorze nad obcymi służbami wywiadowczymi). To w wykonaniu tej sekcji NSA utrzymuje bazę danych znaną jako PRISM (zob. Report on the Findings by the EU Co‑chairs of the ad hoc EU‑US Working Group on Data Protection z dnia 27 listopada 2013 r.).
, sprawuje nadzór, o tyle postępowanie przed nim jest tajne i niekontradyktoryjne. Co więcej, decyzje dotyczące dostępu do danych osobowych nie tylko podejmowane są na podstawie prawa amerykańskiego, ale też obywatele Unii nie mają żadnego skutecznego prawa do bycia wysłuchanym w przedmiocie nadzoru nad ich danymi i przechwytywania tych danych.36.Z obszernych dokumentów towarzyszących oświadczeniom złożonym pod przysięgą w postępowaniu głównym jasno wynika, że prawdziwość znacznej części informacji ujawnionych przez E. Snowdena nie jest kwestionowana. High Court uznał w związku z tym, że po przekazaniu danych osobowych do Stanów Zjednoczonych NSA, a także inne amerykańskie agencje bezpieczeństwa, takie jak Federal Bureau of Investigation (Federalne Biuro Śledcze), mogą uzyskać dostęp do tych danych w ramach masowego i niezróżnicowanego nadzorowania oraz przechwytywania.37.High Court stwierdził, że w prawie irlandzkim znaczenie konstytucyjnych praw do życia prywatnego i nienaruszalności mieszkania wymaga, aby wszelka ingerencja w te prawa była zgodna z wymogami przewidzianymi w ustawie i proporcjonalna. Masowy i niezróżnicowany dostęp do danych osobowych nie odpowiada w żaden sposób wymogowi proporcjonalności i należy go uważać za niezgodny z irlandzką konstytucjąHigh Court odniósł się w szczególności do poszanowania godności ludzkiej i do wolności jednostki (preambuła), do osobistej niezależności (art. 40 ust. 3 pkt 1 i 2), do nienaruszalności mieszkania (art. 40 ust. 5) i do ochrony życia rodzinnego (art. 41).
.38.High Court wskazał, iż dla uznania przechwytywania wiadomości elektronicznych za konstytucyjne należy wykazać, że takie przechwytywanie wiadomości i kontrola określonych osób lub grup następują na podstawie obiektywnych przesłanek w interesie zapewniania bezpieczeństwa narodowego i zwalczania przestępczości oraz że istnieją odpowiednie i możliwe do zweryfikowania gwarancje.39.High Court wskazał zatem, że gdyby niniejsza sprawa miała zostać rozstrzygnięta wyłącznie na podstawie prawa irlandzkiego, powstałby znaczny problem w odniesieniu do tego, czy Stany Zjednoczone zapewniają odpowiedni stopień ochrony życia prywatnego oraz wolności i praw podstawowych w rozumieniu art. 11 ust. 1 ustawy o ochronie danych. Wynika z tego, że na podstawie prawa irlandzkiego, a w szczególności jego wymogów konstytucyjnych, komisarz nie mógł odrzucić skargi M. Schremsa, lecz miał obowiązek zbadać tę kwestię.40.W każdym razie High Court stwierdził, że tocząca się przed nim sprawa dotyczy stosowania prawa Unii w rozumieniu art. 51 ust. 1 karty, a więc zgodność z prawem decyzji komisarza należy oceniać z punktu widzenia prawa Unii.41.Problem, z którym zetknął się komisarz, został wyjaśniony przez High Court w następujący sposób. Zgodnie z art. 11 ust. 2 lit. a) ustawy o ochronie danych komisarz musi rozpatrzyć kwestię odpowiedniego stopnia ochrony w państwie trzecim zgodnie z ustaleniami Unii dokonanymi przez Komisję na podstawie art. 25 ust. 6 dyrektywy 95/46. Wynika z tego, że komisarz nie może odstąpić od tych ustaleń. Skoro Komisja stwierdziła w swojej decyzji 2000/520, że Stany Zjednoczone gwarantują odpowiedni stopień ochrony w zakresie przetwarzania danych przez spółki, które zobowiązały się do przestrzegania zasad bezpiecznej przystani, komisarz zobowiązany jest siłą rzeczy do odrzucenia skargi podważającej nieodpowiedni stopień takiej ochrony.42.Stwierdzając, że komisarz wykazał się skrupulatnym przestrzeganiem przepisów dyrektywy 95/46 i decyzji 2000/520, High Court wskazał, że M. Schrems podważa w rzeczywistości w większej mierze warunki samego systemu bezpiecznej przystani jako takiego niż sposób, w jaki komisarz go zastosował, i jednocześnie podkreślił, iż M. Schrems nie podważył bezpośrednio ważności dyrektywy 95/46 ani decyzji 2000/520.43.Zdaniem High Court zasadniczą kwestią jest zatem to, czy z punktu widzenia prawa Unii i przy uwzględnieniu w szczególności późniejszego wejścia w życie art. 7 i 8 karty komisarz jest bezwzględnie związany ustaleniami Komisji wyrażonymi w decyzji 2000/520 dotyczącej odpowiedniego charakteru prawa i praktyki w dziedzinie ochrony danych osobowych w Stanach Zjednoczonych.44.High Court wyjaśnił ponadto, że wniesiona do niego skarga nie zawiera żadnego zarzutu dotyczącego działań spółek Facebook Ireland i Facebook USA jako takich. Artykuł 3 ust. 1 lit. b) decyzji 2000/520, upoważniający właściwe organy krajowe do nakazania przedsiębiorstwu wstrzymania przepływu danych do państwa trzeciego, znajduje zdaniem tego sądu zastosowanie wyłącznie w okolicznościach, w których skarga skierowana jest przeciwko działaniom zainteresowanego przedsiębiorstwa, co nie ma miejsca w niniejszym przypadku.45.High Court podkreślił zatem, że w rzeczywistości podważane jest nie tyle zachowanie spółki Facebook USA jako takie, ile raczej okoliczność, że Komisja uznała, iż prawo i praktyka w dziedzinie ochrony danych w Stanach Zjednoczonych gwarantują odpowiednią ochronę, podczas gdy informacje ujawnione przez E. Snowdena wskazują wyraźnie, że amerykańskie organy mogą uzyskać masowy i niezróżnicowany dostęp do danych osobowych osób zamieszkałych na terytorium UniiHigh Court wskazał w tym względzie, że główny zarzut podniesiony przed tym sądem przez M. Schremsa polegał na stwierdzeniu, iż biorąc pod uwagę informacje ujawnione niedawno przez E. Snowdena oraz okoliczność, że dane osobowe zostały udostępnione służbom wywiadowczym Stanów Zjednoczonych na szeroką skalę, komisarz nie mógł skutecznie uznać, iż w tym państwie trzecim zapewnia się odpowiedni stopień ochrony tych danych.
.46.W tej kwestii High Court twierdzi, że trudno jest sobie wyobrazić, w jaki sposób decyzja 2000/520 mogłaby w praktyce spełnić wymogi art. 7 i 8 karty, zwłaszcza biorąc pod uwagę zasady sformułowane przez Trybunał w jego wyroku Digital Rights Ireland i in.Wyrok C‑293/12 i C‑594/12, EU:C:2014:238, pkt 65–69.
. W szczególności gwarancja przewidziana w art. 7 karty i wynikająca z głównych wartości wspólnych dla tradycji państw członkowskich zostałaby zagrożona, gdyby organy publiczne mogły uzyskać przypadkowy i powszechny dostęp do wiadomości elektronicznych bez konieczności przedstawienia obiektywnego uzasadnienia opartego na względach bezpieczeństwa narodowego lub zapobiegania przestępczości, związanych w szczególny sposób z zainteresowanymi jednostkami, i bez odpowiednich i wiarygodnych gwarancji. Skoro M. Schrems sugeruje w swojej skardze, że decyzja 2000/520 mogłaby in abstracto być niezgodna z art. 7 i 8 karty, Trybunał mógłby uznać, że dyrektywę 95/46, w szczególności jej art. 25 ust. 6, a także decyzję 2000/520 można zinterpretować w ten sposób, iż upoważniają one organy krajowe do przeprowadzenia własnych dochodzeń w celu ustalenia, czy przekazywanie danych osobowych do państwa trzeciego spełnia wymogi wynikające z art. 7 i 8 karty.47.W tych okolicznościach High Court postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:Czy jeżeli w trakcie rozpatrywania skargi skierowanej do urzędnika dane osobowe przekazywane są do innego państwa trzeciego (w tym przypadku do Stanów Zjednoczonych Ameryki), którego obowiązujące przepisy i praktyka prawna nie gwarantują w ocenie skarżącego adekwatnej [odpowiedniego stopnia] ochrony osoby, której owe dane dotyczą, urzędnik ten jest – uwzględniając art. 7, 8 i 47 karty i niezależnie od [bez uszczerbku dla] przepisu art. 25 ust. 6 dyrektywy 95/46 – bezwzględnie związany odmiennymi ustaleniami Unii zawartymi w decyzji Komisji 2000/520?
Ewentualnie, czy urzędnik ten może, czy też musi zbadać tę sprawę indywidualnie w świetle nowych okoliczności faktycznych zaistniałych w międzyczasie, po dacie publikacji decyzji Komisji?.