Απόφαση ορόσημο από το Δικαστήριο της ΕΕ για τη διαβίβαση προσωπικών δεδομένων στις ΗΠΑ

Σε μία ιστορικής σημασίας απόφαση, το Δικαστήριο της Ευρωπαϊκής Ένωσης έκρινε ανίσχυρη την απόφαση της Επιτροπής κατά την οποία οι Ηνωμένες Πολιτείες εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας των διαβιβαζόμενων δεδομένων προσωπικού χαρακτήρα (Safe Harbor).

Η απόφαση αφορά την προσφυγή του Maximilian Schrems κατά της ιρλανδικής αρχής σχετικά με την εξασφάλιση ικανοποιητικής προστασίας κατά τη διαβίβαση των δεδομένων του στις ΗΠΑ από το Facebook.

Το Δικαστήριο της ΕΕ τονίζει ότι η ρύθμιση στο δίκαιο των ΗΠΑ που επιτρέπει σε δημόσιες αρχές την πρόσβαση κατά γενικευμένο τρόπο στο περιεχόμενο των ηλεκτρονικών επικοινωνιών πρέπει να θεωρηθεί ότι προσβάλλει το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος σεβασμού της ιδιωτικής ζωής.

Τι είναι το Safe Harbor;

Παράλληλα, το δικαστήριο σημειώνει ότι η ύπαρξη αποφάσεως της Επιτροπής με την οποία διαπιστώνεται ότι τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας στα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα δεν εξαφανίζει ούτε περιορίζει την εξουσία που έχουν οι εθνικές αρχές ελέγχου  βάσει του Χάρτη των θεμελιωδών δικαιωμάτων της Ευρωπαϊκής Ένωσης και της οδηγίας για την επεξεργασία δεδομένων προσωπικού χαρακτήρα.

Συνεπώς, το ΔΕΕ καταλήγει ότι η αρχή προσωπικών δεδομένων της Ιρλανδίας οφείλει να εξετάσει την καταγγελία του M. Schrems με τη δέουσα επιμέλεια και να κρίνει αν βάσει της οδηγίας πρέπει να αναστείλει τη διαβίβαση δεδομένων των Ευρωπαίων χρηστών του Facebook προς τις Ηνωμένες Πολιτείες, με την αιτιολογία ότι η χώρα αυτή δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας των προσωπικών δεδομένων. 

Ιστορικό

Η οδηγία για την επεξεργασία δεδομένων προσωπικού χαρακτήρα ορίζει ότι η διαβίβαση των δεδομένων αυτών προς τρίτη χώρα κατ’ αρχήν επιτρέπεται μόνον εφόσον η εν λόγω χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας των δεδομένων.

Κατά την ίδια οδηγία η Επιτροπή μπορεί να διαπιστώσει ότι τρίτη χώρα, λόγω της εθνικής της νομοθεσίας ή διεθνών δεσμεύσεων που έχει αναλάβει, εξασφαλίζει ικανοποιητικό επίπεδο προστασίας.

Τέλος, η οδηγία προβλέπει ότι κάθε κράτος μέλος ορίζει μία ή περισσότερες δημόσιες αρχές υπεύθυνες για τον έλεγχο της εφαρμογής, εντός του συγκεκριμένου κράτους, των εθνικών διατάξεων που θεσπίζονται βάσει της οδηγίας αυτής (εθνικές αρχές ελέγχου).

Ο Maximillian Schrems, Αυστριακός υπήκοος, χρησιμοποιεί το Facebook από το 2008. Όπως ισχύει και για τους λοιπούς χρήστες του Facebook που κατοικούν στην Ένωση, τα δεδομένα που παρέχει ο M. Schrems στο Facebook διαβιβάζονται, εν όλω ή εν μέρει, από την ιρλανδική θυγατρική της Facebook σε διακομιστές που βρίσκονται στις Ηνωμένες Πολιτείες, όπου τα δεδομένα αυτά αποτελούν αντικείμενο επεξεργασίας.

Ο M. Schrems υπέβαλε καταγγελία στην ιρλανδική αρχή ελέγχου, θεωρώντας ότι βάσει των αποκαλύψεων στις οποίες προέβη το 2013 ο Edward Snowden σχετικά με τις δραστηριότητες των υπηρεσιών πληροφοριών των Ηνωμένων Πολιτειών (ιδίως της National Security Agency, NSA), η νομοθεσία και οι πρακτικές των Ηνωμένων Πολιτειών δεν παρέχουν ικανοποιητική προστασία από την παρακολούθηση, εκ μέρους των δημοσίων αρχών, των δεδομένων που διαβιβάζονται προς τις Ηνωμένες Πολιτείες. Η ιρλανδική αρχή ελέγχου απέρριψε την καταγγελία, με την αιτιολογία ότι η Επιτροπή, στην από 26 Ιουλίου 2000 απόφασή της έκρινε ότι, στο πλαίσιο του καθεστώτος «ασφαλούς λιμένα», οι Ηνωμένες Πολιτείες εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας στα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα.

Το High Court of Ireland (Ανώτατο Δικαστήριο της Ιρλανδίας), το οποίο επελήφθη της υποθέσεως, ζητεί να μάθει αν η απόφαση αυτή της Επιτροπής εμποδίζει εθνική αρχή ελέγχου να ερευνήσει καταγγελία κατά την οποία τρίτη χώρα δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, και, εφόσον χρειάζεται, να αναστείλει τη διαβίβαση των επίμαχων δεδομένων.

Απόφαση

Στη σημερινή του απόφαση το Δικαστήριο κρίνει ότι η ύπαρξη αποφάσεως της Επιτροπής με την οποία διαπιστώνεται ότι τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας στα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα δεν εξαφανίζει ούτε περιορίζει την εξουσία που έχουν οι εθνικές αρχές ελέγχου βάσει του Χάρτη των θεμελιωδών δικαιωμάτων της Ευρωπαϊκής Ένωσης και της οδηγίας.

Το Δικαστήριο υπογραμμίζει, συναφώς, το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα που κατοχυρώνει ο Χάρτης, καθώς και την αποστολή που έχουν οι εθνικές αρχές ελέγχου βάσει του Χάρτη.

Το Δικαστήριο κρίνει καταρχάς ότι καμία διάταξη της οδηγίας δεν εμποδίζει τις εθνικές αρχές να ελέγχουν τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τις τρίτες χώρες για τις οποίες έχει εκδοθεί απόφαση της Επιτροπής.

Έτσι, ακόμη και όταν έχει εκδοθεί απόφαση της Επιτροπής, οι εθνικές αρχές ελέγχου στις οποίες έχει υποβληθεί σχετική αίτηση πρέπει να μπορούν να εξετάσουν αμερόληπτα αν η διαβίβαση των δεδομένων κάποιου προσώπου προς τρίτη χώρα πληροί τους όρους που θέτει η οδηγία.

Το Δικαστήριο υπενθυμίζει, όμως, ότι είναι το μόνο αρμόδιο να διαπιστώσει την ακυρότητα πράξεως της Ένωσης, όπως της αποφάσεως της Επιτροπής.

Κατά συνέπεια, όταν εθνική αρχή ή το ίδιο το πρόσωπο που απευθύνεται στην εθνική αρχή θεωρεί ότι η απόφαση της Επιτροπής είναι άκυρη, η εν λόγω αρχή ή το εν λόγω πρόσωπο πρέπει να έχει τη δυνατότητα να προσφύγει ενώπιον των εθνικών δικαστικών αρχών ώστε, σε περίπτωση που και αυτές συμμερίζονται τις αμφιβολίες ως προς το κύρος της αποφάσεως της Επιτροπής, να μπορούν να παραπέμψουν την υπόθεση στο Δικαστήριο.

Επομένως, το Δικαστήριο είναι αυτό στο οποίο απόκειται τελικά να κρίνει το κύρος μιας αποφάσεως της Επιτροπής.

Το Δικαστήριο εξετάζει, έτσι, το κύρος της από 26 Ιουλίου 2000 αποφάσεως της Επιτροπής. Υπενθυμίζει, συναφώς, ότι η Επιτροπή όφειλε να διαπιστώσει αν οι Ηνωμένες Πολιτείες εξασφαλίζουν πράγματι, λόγω της εθνικής τους νομοθεσίας και των διεθνών δεσμεύσεων που έχουν αναλάβει, επίπεδο προστασίας των θεμελιωδών δικαιωμάτων ουσιαστικά ισοδύναμο με αυτό που παρέχεται εντός της Ένωσης βάσει της οδηγίας υπό το πρίσμα του Χάρτη.

Το Δικαστήριο επισημαίνει ότι η Επιτροπή δεν προέβη σε μια τέτοια διαπίστωση αλλά αρκέστηκε, απλώς, στην εξέταση του καθεστώτος του ασφαλούς λιμένα.

Το Δικαστήριο, χωρίς να χρειάζεται να εξετάσει αν το καθεστώς αυτό εξασφαλίζει επίπεδο προστασίας ουσιαστικά ισοδύναμο με αυτό που παρέχεται εντός της Ένωσης, επισημαίνει ότι το εν λόγω καθεστώς εφαρμόζεται μόνο στις αμερικανικές επιχειρήσεις που προσχωρούν σε αυτό, χωρίς να δεσμεύει τις ίδιες τις δημόσιες αρχές των Ηνωμένων Πολιτειών.

Εξάλλου, οι απαιτήσεις που σχετίζονται με την εθνική ασφάλεια, το δημόσιο συμφέρον και την τήρηση των νόμων των Ηνωμένων Πολιτειών υπερέχουν έναντι του καθεστώτος ασφαλούς λιμένα, με αποτέλεσμα οι αμερικανικές επιχειρήσεις να οφείλουν να αποκλίνουν, χωρίς περιορισμό, από τους κανόνες προστασίας που προβλέπει το καθεστώς αυτό, όταν οι εν λόγω αρχές συγκρούονται με τις ανωτέρω απαιτήσεις.

Έτσι, το αμερικανικό καθεστώς ασφαλούς λιμένα επιτρέπει επεμβάσεις εκ μέρους των αμερικανικών δημόσιων αρχών στα θεμελιώδη δικαιώματα των προσώπων, δεδομένου ότι η απόφαση της Επιτροπής δεν αναφέρει ούτε την ύπαρξη κανόνων, στις Ηνωμένες Πολιτείες, για τον περιορισμό τυχόν επεμβάσεων ούτε την ύπαρξη αποτελεσματικής δικαστικής προστασίας από τις επεμβάσεις αυτές.

Το Δικαστήριο κρίνει ότι η ανωτέρω ανάλυση σε σχέση με το συγκεκριμένο καθεστώς ενισχύεται από δύο ανακοινώσεις της Επιτροπής , από τις οποίες προκύπτει ότι οι αρχές των Ηνωμένων Πολιτειών μπορούν να έχουν πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από τα κράτη μέλη προς τις Ηνωμένες Πολιτείες και να τα επεξεργάζονται κατά τρόπο ασυμβίβαστο με τον σκοπό για τον οποίο διαβιβάστηκαν, καθ’ υπέρβαση αυτού που κατά την Επιτροπή είναι το όριο του απολύτως αναγκαίου και του αναλογικού για την προστασία της εθνικής ασφάλειας. Ομοίως, η Επιτροπή διαπίστωσε ότι για τους ενδιαφερόμενους δεν υπάρχει η δυνατότητα μέσω της διοικητικής ή της δικαστικής οδού να έχουν πρόσβαση στα δεδομένα που τους αφορούν, να εξασφαλίσουν την τροποποίηση ή τη διαγραφή τους.

Όσον αφορά το επίπεδο προστασίας που είναι ουσιαστικά ισοδύναμο με τα θεμελιώδη δικαιώματα και τις ελευθερίες που προστατεύονται εντός της Ένωσης, το Δικαστήριο κρίνει ότι στο δίκαιο της Ένωσης μια ρύθμιση δεν περιορίζεται στο αναγκαίο μέτρο όταν επιτρέπει κατά γενικό τρόπο τη διατήρηση όλων των δεδομένων προσωπικού χαρακτήρα όλων των προσώπων των οποίων τα δικαιώματα διαβιβάζονται από την Ένωση προς τις Ηνωμένες Πολιτείες χωρίς καμία διαφοροποίηση, περιορισμό ή εξαίρεση σε σχέση με τον επιδιωκόμενο σκοπό και χωρίς να προβλέπονται αντικειμενικά κριτήρια για την οριοθέτηση της προσβάσεως των δημόσιων αρχών στα δεδομένα και τη μεταγενέστερη χρήση τους.

Το Δικαστήριο προσθέτει ότι ρύθμιση που επιτρέπει στις δημόσιες αρχές την πρόσβαση κατά γενικευμένο τρόπο στο περιεχόμενο των ηλεκτρονικών επικοινωνιών πρέπει να θεωρηθεί ότι προσβάλλει το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος σεβασμού της ιδιωτικής ζωής.

Ομοίως, το Δικαστήριο επισημαίνει ότι ρύθμιση που δεν προβλέπει ένδικα βοηθήματα προκειμένου ο ενδιαφερόμενος να έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν ή να επιτύχει την τροποποίηση ή την κατάργηση τέτοιων δεδομένων, προσβάλλει το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος αποτελεσματικής δικαστικής προστασίας, καθώς η πρόβλεψη μιας τέτοιας δυνατότητας είναι αναπόσπαστα συνδεδεμένη με την ύπαρξη κράτους δικαίου.

Τέλος, το Δικαστήριο κρίνει ότι η από 26 Ιουλίου 2000 απόφαση της Επιτροπής στερεί από τις εθνικές αρχές ελέγχου τις εξουσίες τους, σε περίπτωση που κάποιο πρόσωπο αμφισβητεί τη συμφωνία της αποφάσεως με την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών.

Το Δικαστήριο κρίνει ότι η Επιτροπή δεν είχε την αρμοδιότητα να περιορίσει κατ’ αυτόν τον τρόπο τις εξουσίες των εθνικών αρχών ελέγχου.

Για όλους αυτούς τους λόγους, το Δικαστήριο κρίνει ότι η από 26 Ιουλίου 2000 απόφαση της Επιτροπής είναι ανίσχυρη.

Η σημερινή απόφαση του Δικαστηρίου έχει ως συνέπεια η ιρλανδική αρχή ελέγχου να οφείλει να εξετάσει την καταγγελία του M. Schrems με τη δέουσα επιμέλεια και σε αυτήν να απόκειται, κατά την ολοκλήρωση της έρευνάς της, να κρίνει αν βάσει της οδηγίας πρέπει να αναστείλει τη διαβίβαση δεδομένων των Ευρωπαίων χρηστών του Facebook προς τις Ηνωμένες Πολιτείες, με την αιτιολογία ότι η χώρα αυτή δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας των προσωπικών δεδομένων. 

Διαβάστε ολόκληρη την απόφαση εδώ.