1

Med søgsmålet, der er anlagt i henhold til artikel 263 TEUF, har sagsøgeren, Philippe Latombe, i det væsentlige nedlagt påstand om annullation af Kommissionens gennemførelsesafgørelse (EU) 2023/1795 af 10. juli 2023 i henholdt til Europa-Parlamentets og Rådets forordning (EU) 2016/679 om et tilstrækkeligt beskyttelsesniveau for personoplysninger inden for EU-USA-databeskyttelsesrammen (EUT 2023, L 231, s. 118, herefter »den anfægtede afgørelse«).

2

Sagsøgeren er en fransk statsborger, der hævder, at forskellige IT-platforme, som han anvender, indsamler hans personoplysninger og overfører dem til USA.

3

Hvad angår videregivelsen af personoplysninger fra Den Europæiske Union til USA fastslog Domstolen i første omgang ved dom af 6. oktober 2015, Schrems (C-362/14, herefter »Schrems I-dommen, EU:C:2015:650), at Kommissionens beslutning 2000/520/EF af 26. juli 2000 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af safe harbor-principperne til beskyttelse af privatlivets fred og de dertil hørende hyppige spørgsmål fra det amerikanske handelsministerium (EFT 2000, L 215, s. 7), var ugyldig.

4

I anden omgang fastslog Domstolen ved dom af 16. juli 2020, Facebook Ireland og Schrems (C-311/18, herefter »Schrems II-dommen, EU:C:2020:559), at Kommissionens gennemførelsesafgørelse (EU) 2016/1250 af 12. juli 2016 i henhold til direktiv 95/46 om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af EU’s og USA’s værn om privatlivets fred (EUT 2016, L 207, s. 1, herefter »afgørelsen om tilstrækkeligheden af værnet om privatlivets fred«), er ugyldig.

5

I modsætning til Europa-Kommissionens vurdering, som fremgår af de afgørelser om tilstrækkeligheden af beskyttelsesniveauet, der er nævnt i præmis 3 og 4 ovenfor, fandt Domstolen i Schrems I-dommen og i Schrems II-dommen i forbindelse med prøvelse af gyldigheden under en præjudiciel forelæggelse bl.a., at safe harbor-systemet og systemet til værnet om privatlivets fred (herefter »værnet om privatlivets fred«), der regulerer overførslen af personoplysninger, ikke sikrede et beskyttelsesniveau for de grundlæggende rettigheder og frihedsrettigheder, der i det væsentlige svarede til det niveau, der var sikret ved EU-retten.

6

Efter Schrems II-dommen indledte Kommissionen forhandlinger med USA’s regering med henblik på at vedtage en eventuel ny afgørelse om tilstrækkeligheden af beskyttelsesniveauet, der overholder kravene i artikel 45, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46 (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, berigtiget i EUT 2018, L 127, s. 2, herefter »databeskyttelsesforordningen«) som fortolket af Domstolen.

7

USA vedtog herefter den 7. oktober 2022 Executive Order 14086 (det præsidentielle dekret nr. 14086, herefter »E.O. 14086«), som fremmer foranstaltninger til beskyttelse af privatlivet i forbindelse med de amerikanske signalefterretningsaktiviteter. Dette dekret blev suppleret af Attorney General Order No. 5517-2022 (justitsministerens bekendtgørelse nr. 5517-2022, herefter »AG-bekendtgørelsen«), som tilføjede del 201 til afsnit 28 i Code of Federal Regulations (CFR, den føderale lovbog), der regulerer oprettelsen og driften af Data Protection Review Court (domstol med ansvar for tilsyn med databeskyttelse, herefter »DPRC«).

8

Efter at have undersøgt denne lovgivningsmæssige udvikling i USA vedtog Kommissionen den 10. juli 2023 på grundlag af databeskyttelsesforordningens artikel 45, stk. 3, den anfægtede afgørelse, hvorved den nye transatlantiske ramme for udveksling af personoplysninger mellem Unionen og USA blev indført. Afgørelsens artikel 1 bestemmer, at USA sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra Unionen til organisationer i USA, som er opført på listen over deltagende organisationer i »EU-USA-databeskyttelsesrammen« (herefter »databeskyttelsesrammen«), der vedligeholdes og gøres offentligt tilgængelig af det amerikanske handelsministerium (herefter »databeskyttelsesrammens organisationer«).

9

Sagsøgeren har nedlagt følgende påstande:

10

Kommissionen, støttet af Irland og USA, har nedlagt følgende påstande:

11

Ved særskilt dokument indleveret til Rettens Justitskontor den 1. december 2023 har Kommissionen fremsat en formalitetsindsigelse i henhold til artikel 130 i Rettens procesreglement.

12

Kommissionen har gjort gældende, at søgsmålet skal afvises med den begrundelse, at sagsøgeren ikke har søgsmålskompetence, at han ikke har søgsmålsinteresse, og at den del af den anfægtede afgørelse, som sagsøgeren påstår annulleret, er uadskillelig fra resten af afgørelsen.

13

Sagsøgeren har bestridt Kommissionens argumenter og gjort gældende, at sagen kan antages til realitetsbehandling.

14

Det bemærkes, at Unionens retsinstanser har adgang til på baggrund af enhver sags konkrete omstændigheder at vurdere, om det af retsplejehensyn er berettiget at forkaste et søgsmål i realiteten uden først at tage stilling til formaliteten (jf. i denne retning dom af 26.2.2002, Rådet mod Boehringer, C-23/00 P, EU:C:2002:118, præmis 51 og 52).

15

Henset til, at søgsmålet under alle omstændigheder og af de grunde, der er anført i præmis 16-204 nedenfor, er ugrundet, finder Retten således, i betragtning af omstændighederne i den foreliggende sag, at det af retsplejehensyn er hensigtsmæssigt at behandle søgsmålet i realiteten, uden først at tage stilling til formaliteten (jf. i denne retning dom af 10.10.2014, Marchiani mod Parlamentet, T-479/13, ikke trykt i Sml., EU:T:2014:866, præmis 23, og af 20.12.2023, Naturstrom mod Kommissionen, T-60/21, ikke trykt i Sml., EU:T:2023:839, præmis 74).

16

Til støtte for søgsmålet har sagsøgeren fremsat fem anbringender:

17

I retsmødet frafaldt sagsøgeren sit første anbringende om tilsidesættelse af artikel 3 og 4 i forordning nr. 1/1958. Der skal derfor alene foretages en undersøgelse af det andet til det femte anbringende.

18

Det bemærkes for det første, at databeskyttelsesforordningens artikel 45, stk. 1, fastsætter, at en overførsel af personoplysninger til et tredjeland kan tillades ved en afgørelse truffet af Kommissionen, hvorefter det pågældende tredjeland, et område eller en eller flere specifikke sektorer i tredjelandet har et tilstrækkeligt beskyttelsesniveau. Denne bestemmelse indgår i den nævnte forordnings kapitel V, der, som Domstolen har anført, overordnet set har til formål at sikre kontinuiteten i det høje beskyttelsesniveau for personoplysninger, som er sikret ved EU-retten i henhold til denne forordning, når disse oplysninger overføres til et tredjeland (jf. i denne retning Schrems II-dommen, præmis 93).

19

I denne henseende præciserede Domstolen, at udtrykket »tilstrækkeligt beskyttelsesniveau« i databeskyttelsesforordningens artikel 45, stk. 1, ikke kræver, at det pågældende tredjeland garanterer et beskyttelsesniveau, som er identisk med det niveau, som er sikret i Unionens retsorden, men det skal forstås således, at det opstiller et krav om, at dette tredjeland som følge af sin nationale lovgivning eller sine internationale forpligtelser faktisk sikrer et beskyttelsesniveau for frihedsrettighederne og de grundlæggende rettigheder, som i det væsentlige svarer til det niveau, der er sikret inden for Unionen i medfør af den nævnte forordning, sammenholdt med chartret om grundlæggende rettigheder (jf. i denne retning Schrems II-dommen, præmis 94 og 162).

20

Domstolen har ligeledes fastslået, at selv om de midler, som tredjelandet anvender i denne henseende for at sikre et tilstrækkeligt beskyttelsesniveau, kan være forskellige fra de midler, som gennemføres inden for Unionen med henblik på at sikre overholdelsen af de krav, der følger af direktiv 95/46, sammenholdt med chartret om grundlæggende rettigheder, skal disse midler ikke desto mindre i praksis vise sig at være effektive med henblik på at sikre en beskyttelse, som i det væsentlige svarer til den inden for Unionen sikrede beskyttelse (Schrems I-dommen, præmis 74).

21

Domstolen har desuden fastslået, at henset til dels den betydelige rolle, som beskyttelsen af personoplysninger spiller i forhold til den grundlæggende ret til respekt for privatlivet, dels det betragtelige antal personer, hvis grundlæggende rettigheder kan blive tilsidesat i tilfælde af videregivelse af personoplysninger til et tredjeland, der ikke sikrer et tilstrækkeligt beskyttelsesniveau, er Kommissionens skønsbeføjelse for så vidt angår vurderingen af, om et tredjelands beskyttelsesniveau er tilstrækkeligt, begrænset, hvorfor Unionens retsinstanser skal foretage en streng prøvelse af lovligheden af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet (Schrems I-dommen, præmis 78).

22

For det andet bemærkes, at det fremgår af fast retspraksis, at lovligheden af en EU-retsakt skal bedømmes på grundlag af de faktiske og retlige omstændigheder, der forelå på det tidspunkt, hvor retsakten blev vedtaget, hvorfor omstændigheder, der er indtruffet efter en afgørelses vedtagelse, ikke kan berøre dennes gyldighed (jf. dom af 17.10.2019, Alcogroup og Alcodis mod Kommissionen, C-403/18 P, EU:C:2019:870, præmis 45 og den deri nævnte retspraksis, og af 28.1.2021, Qualcomm og Qualcomm Europe mod Kommissionen, C-466/19 P, EU:C:2021:76, præmis 82 og den deri nævnte retspraksis). I det foreliggende tilfælde skal Kommissionens vurderinger vedrørende lovligheden af den anfægtede afgørelse derfor udelukkende undersøges på grundlag af de oplysninger, som den havde til rådighed på det tidspunkt, hvor den foretog vurderingerne.

23

De anbringender, som sagsøgeren har fremført, skal på denne baggrund analyseres ved først at undersøge det tredje anbringende, dernæst det andet anbringende, derefter det fjerde anbringende og endelig det femte anbringende.

24

Med det tredje anbringende har sagsøgeren gjort gældende, at Kommissionen har tilsidesat artikel 47, stk. 2, i chartret om grundlæggende rettigheder og databeskyttelsesforordningens artikel 45, stk. 2, idet den i den anfægtede afgørelse vurderede, at DPRC ydede et tilstrækkeligt beskyttelsesniveau for så vidt angår unionsborgeres adgang til en uafhængig og upartisk domstol, der forudgående er oprettet ved lov.

25

Indledningsvis bemærkes, at artikel 47, stk. 2, i chartret om grundlæggende rettigheder har følgende ordlyd:

»Enhver har ret til en retfærdig og offentlig rettergang inden en rimelig frist for en uafhængig og upartisk domstol, der forudgående er oprettet ved lov. Enhver skal have mulighed for at blive rådgivet, forsvaret og repræsenteret.«

26

Ifølge forklaringerne til chartret om grundlæggende rettigheder (EUT 2007, C 303, s. 17) svarer chartrets artikel 47, andet afsnit, til artikel 6, stk. 1, i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950 (herefter »EMRK«). Sidstnævnte bestemmelse har følgende ordlyd:

»Enhver skal, når der skal træffes afgørelse enten i en strid om hans borgerlige rettigheder og forpligtelser eller angående en mod ham rettet anklage for en forbrydelse, være berettiget til en retfærdig og offentlig rettergang inden en rimelig tid for en ved lov oprettet uafhængig og upartisk domstol.«

27

I denne henseende bemærkes, at det følger af retspraksis, at eftersom EMRK ikke udgør et retligt instrument, der er formelt integreret i Unionens retsorden, idet Unionen ikke har tiltrådt den, skal undersøgelsen af gyldigheden af en afledt retsakt foretages alene på baggrund af de grundlæggende rettigheder, der er garanteret ved chartret om grundlæggende rettigheder (dom af 3.9.2015, Inuit Tapiriit Kanatami m.fl. mod Kommissionen, C-398/13 P, EU:C:2015:535, præmis 45 og 46).

28

Retspraksis anerkender imidlertid dels, at de grundlæggende rettigheder som sikret ved EMRK i medfør af artikel 6, stk. 3, TEU udgør generelle principper i EU-retten, dels at det fremgår af artikel 52, stk. 3, i chartret om grundlæggende rettigheder, at rettighederne heri, som svarer til de rettigheder, der er sikret ved EMRK, har samme betydning og omfang som i EMRK (jf. dom af 31.5.2018, Korwin-Mikke mod Parlamentet, T-770/16, EU:T:2018:320, præmis 38 og den deri nævnte retspraksis).

29

Det følger således af retspraksis, at af hensyn til sammenhængen, og uden at dette berører EU-rettens og Den Europæiske Unions Domstols autonomi, skal de rettigheder, der er indeholdt i chartret om grundlæggende rettigheder, og som svarer til dem, der er sikret ved EMRK, også fortolkes i lyset af Den Europæiske Menneskerettighedsdomstols (herefter »Menneskerettighedsdomstolen«) praksis (jf. i denne retning dom af 9.11.2023, Staatssecretaris van Justitie en Veiligheid (Begrebet alvorlig overlast), C-125/22, EU:C:2023:843, præmis 59, og af 31.5.2018, Korwin-Mikke mod Parlamentet, T-770/16, EU:T:2018:320, præmis 38).

30

Det følger heraf ifølge retspraksis, at Domstolen i henhold til artikel 52, stk. 3, i chartret om grundlæggende rettigheder skal sørge for, at den fortolkning, som den foretager af chartrets artikel 47, stk. 2, sikrer et beskyttelsesniveau, som ikke tilsidesætter det beskyttelsesniveau, der er sikret ved EMRK’s artikel 6, stk. 1, således som denne bestemmelse fortolkes af Menneskerettighedsdomstolen (jf. dom af 6.10.2021, W.Ż. (Afdelingen for ekstraordinær prøvelse og offentlige sager ved den øverste domstol – udnævnelse) (C-487/19, EU:C:2021:798, præmis 123 og den deri nævnte retspraksis).

31

Det skal også bemærkes, at databeskyttelsesforordningens artikel 45, stk. 2, fastsætter, at Kommissionen, når den vurderer tilstrækkeligheden af beskyttelsesniveauet i et tredjeland, navnlig tager følgende elementer i betragtning:

32

De to klagepunkter, som sagsøgeren har fremført til støtte for dette anbringende, skal undersøges i lyset af disse forhold.

33

Med det første klagepunkt i det tredje anbringende har sagsøgeren gjort gældende, at DPRC ikke er en uafhængig og upartisk domstol som omhandlet i artikel 47, stk. 2, i chartret om grundlæggende rettigheder, men et domstolslignende organ, der henhører under den udøvende magt.

34

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

35

Indledningsvis skal det bemærkes, at det følger af retspraksis, at kravet om retternes uafhængighed, som er uløseligt forbundet med udøvelsen af dømmende myndighed, er en del af kerneindholdet i retten til en effektiv retsbeskyttelse og i den grundlæggende ret til en retfærdig rettergang, der har afgørende betydning som garant for beskyttelsen af samtlige de rettigheder, som borgerne afleder af EU-retten, og for bevarelsen af medlemsstaternes fælles værdier, der er nævnt i artikel 2 TEU, herunder retsstatsprincippet (dom af 15.7.2021, Kommissionen mod Polen (Disciplinærordning for dommere), C-791/19, EU:C:2021:596, præmis 58 og den deri nævnte retspraksis). Retsinstansernes uafhængighed skal i overensstemmelse med det princip om magtens tredeling, som er kendetegnende for en retsstats funktionsmåde, bl.a. sikres i forhold til den lovgivende og den udøvende magt (dom af 18.5.2021, Asociația Forumul Judecătorilor Din România m.fl.,C-83/19, C-127/19, C-195/19, C-291/19, C-355/19 og C-397/19, EU:C:2021:393, præmis 195 og den deri nævnte retspraksis).

36

Det fremgår af retspraksis, at kravet om domstolenes uafhængighed omfatter to aspekter. Det første, eksterne, aspekt kræver, at den pågældende ret udøver sit hverv helt uafhængigt og uden at være underlagt noget hierarkisk forhold eller stå i afhængighedsforhold til nogen og uden at modtage ordrer eller instrukser fra nogen, og at den således er beskyttet mod indgreb og pres udefra, der kan bringe dens medlemmers uafhængige bedømmelse i fare og påvirke deres afgørelser. Det andet, interne, aspekt hænger sammen med begrebet upartiskhed og vedrører det forhold, at der skal være den samme afstand til tvistens parter og deres respektive interesser for så vidt angår tvistens genstand. Dette sidstnævnte aspekt fordrer objektivitet og en fuldstændig mangel på interesse i sagens udfald ud over den strikte anvendelse af retsregler (jf. dom af 21.12.2021, Euro Box Promotion m.fl.,C-357/19, C-379/19, C-547/19, C-811/19 og C-840/19, EU:C:2021:1034, præmis 224 og den deri nævnte retspraksis).

37

De garantier for uafhængighed og upartiskhed, som kræves efter EU-retten, forudsætter, at der findes regler – om bl.a. organets sammensætning, medlemmernes udnævnelse og funktionsperiode, tilfælde, hvor organets medlemmer kan vige deres sæde, tilfælde, hvor de har pligt til at vige deres sæde, samt tilfælde, hvor de kan afsættes – som gør det muligt at fjerne enhver rimelig tvivl i offentligheden om, at organet er uimodtageligt for påvirkninger udefra og neutralt i forhold til de interesser, som står over for hinanden (dom af 15.7.2021, Kommissionen mod Polen (Disciplinærordning for dommere), C-791/19, EU:C:2021:59, præmis 59 og den deri nævnte retspraksis).

38

Det er i denne sammenhæng, at de tre argumenter, som sagsøgeren har fremført til støtte for dette klagepunkt, skal undersøges.

39

Med det første argument har sagsøgeren i det væsentlige gjort gældende, at DPRC ikke er en uafhængig og upartisk domstol, eftersom dens opgave består i at efterprøve afgørelserne fra Civil Liberties Protection Officer of the Director of National Intelligence (den ansvarlige for beskyttelsen af borgerlige rettigheder under direktøren for den nationale efterretningstjeneste, herefter »CLPO«, USA), som er tilknyttet kontoret for direktøren for USA’s nationale efterretningstjeneste (herefter »direktøren for den nationale efterretningstjeneste«).

40

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

41

Af klarhedshensyn skal det præciseres, at det første argument i det tredje anbringendes første klagepunkt skal fortolkes således, at sagsøgeren i det væsentlige er af den opfattelse dels, at CLPO i forbindelse med behandlingen af en klage vedrørende personoplysninger, der er indgivet af en registreret i Unionen, som ønsker at gøre gældende, at der foreligger en tilsidesættelse af amerikansk ret vedrørende signalefterretningsaktiviteter, som er til skade for den pågældendes interesser med hensyn til beskyttelse af privatlivet og de borgerlige frihedsrettigheder (herefter »klage vedrørende personoplysninger«), ikke har tilstrækkelige garantier til at sikre sin uafhængighed, fordi CLPO er tilknyttet direktøren for den nationale efterretningstjeneste, dels at DPRC ikke er en uafhængig og upartisk domstol på grund af de utilstrækkelige garantier, der gælder for CLPO.

42

Det skal indledningsvis bemærkes, at undersøgelsen af garantierne for CLPO’s uafhængighed er uden relevans for vurderingen af, om DPRC udgør en uafhængig og upartisk domstol. DPRC blev nemlig oprettet som et uafhængigt tilsynsorgan for CLPO, og den person, der har indgivet en klage vedrørende personoplysninger, samt enhver enhed i efterretningstjenesten kan, som det fremgår af 184. betragtning til den anfægtede afgørelse, anmode om en fornyet prøvelse af CLPO’s afgørelse, ligesom der i E.O. 14086 er fastsat yderligere garantier for, at CLPO’s afgørelser kan prøves og i givet fald ændres på en uafhængig og upartisk måde af DPRC.

43

Det fremgår for det første af 185. og 186. betragtning til den anfægtede afgørelse, uden at sagsøgeren har bestridt dette, at DPRC består af mindst seks dommere, der udnævnes af Attorney General (justitsministeren, USA, herefter »justitsministeren«) efter høring af Privacy and Civil Liberties Oversight Board (rådet for tilsyn med privatlivet og borgerlige frihedsrettigheder, USA, herefter »PCLOB«), Secretary of Commerce (handelsministeren, USA) og direktøren for den nationale efterretningstjeneste for en periode på fire år, der kan forlænges, og at der lægges vægt på de samme kriterier, som gælder for føderale dommere, idet de pågældendes tidligere erfaring inden for retsvæsenet tages i betragtning. Dommerne skal således være aktører inden for retsvæsenet, dvs. være aktive medlemmer, der har et godt omdømme og har behørig tilladelse til at arbejde som advokat, og have relevant erfaring med lovgivningen om privatlivets fred og national sikkerhed. Endvidere skal justitsministeren bestræbe sig på at sikre, at mindst halvdelen af dommerne til enhver tid har tidligere erfaring fra retsvæsenet, og alle dommere skal være i besiddelse af sikkerhedsgodkendelser, så de kan få adgang til klassificerede nationale sikkerhedsoplysninger. Kun personer, der opfylder ovennævnte kvalifikationer, og som ikke er ansat under den udøvende magt på tidspunktet for deres udnævnelse eller har været det i de foregående to år, kan udnævnes til DPRC. Tilsvarende må de under deres embedsperiode i DPRC ikke have andre officielle pligter eller være ansat i andre statslige organer i USA.

44

For det andet fremgår det af 188. og 189. betragtning til den anfægtede afgørelse, uden at sagsøgeren har bestridt dette, at CLPO’s afgørelser prøves fuldt ud af et panel bestående af tre dommere ved DPRC bistået af en særlig advokat. I forbindelse med den nævnte prøvelse baserer DPRC sig imidlertid ikke alene på de sagsakter, som CLPO har fremlagt, men også på de oplysninger og bemærkninger, som klageren, den særlige advokat, der bistår DPRC’s dommere, og efterretningstjenesterne har fremsendt, samt i givet fald på supplerende oplysninger, som DPRC har anmodet om under behandlingen af en klage vedrørende personoplysninger. I forbindelse med denne prøvelse skal den desuden anvende den relevante retspraksis fra Supreme Court of the United States (øverste domstol, USA).

45

For det tredje fremgår det af 190. og 191. betragtning til den anfægtede afgørelse, uden at sagsøgeren har bestridt dette, at DPRC har beføjelse til at omgøre og ikke er bundet af CLPO’s afgørelse og, i tilfælde af uenighed med denne, kan træffe sin egen afgørelse vedrørende klagen over personoplysninger. Desuden er DPRC’s afgørelse bindende og endelig, uanset hvilken afgørelse DPRC har truffet. Både efterretningstjenesterne og USA’s regering er således forpligtet til at efterkomme den.

46

Det følger af det ovenstående, at de garantier, der er fastsat i E.O. 14086 for så vidt angår DPRC’s funktion og beføjelser, giver mulighed for at foretage en uafhængig og upartisk efterprøvelse af de afgørelser, der træffes af CLPO. Sagsøgeren kan således ikke med føje gøre gældende, at en utilstrækkelig beskyttelse af CLPO påvirker DPRC’s uafhængighed og upartiskhed.

47

Hvad angår den angivelige utilstrækkelighed af de garantier, der skal sikre CLPO’s uafhængighed, skal følgende under alle omstændigheder anføres.

48

Det bemærkes, som det fremgår af 176. og 181. betragtning til den anfægtede afgørelse, uden at sagsøgeren har bestridt dette, at der med E.O. 14086 suppleret at AG-bekendtgørelsen er oprettet en særlig klagemekanisme med henblik på behandling af klager vedrørende personoplysninger. Klagen skal indgives til den tilsynsmyndighed, som i hver medlemsstat er ansvarlig for tilsynet med behandlingen af personoplysninger, og som derefter videresender den til CLPO, forudsat at den indeholder de oplysninger, der er anført i 178. betragtning til den anfægtede afgørelse, dvs. oplysninger om personoplysninger, der med rimelighed kan antages at være blevet overført til USA, de midler, hvormed de menes at være blevet overført, identiteten, hvis denne er kendt, af de statslige enheder i USA, der menes at være involveret i den angivelige tilsidesættelse, grundlaget for synspunktet om, at der er sket en tilsidesættelse af amerikansk ret og arten af den ønskede afhjælpning. I denne forbindelse skal CLPO vurdere, om efterretningstjenesterne har overtrådt gældende amerikansk ret, og hvis dette er tilfældet, kan CLPO pålægge dem at gennemføre afhjælpende foranstaltninger. CLPO’s afgørelse vedrørende klagen er bindende.

49

Kommissionen har ganske vist i 179. betragtning til den anfægtede afgørelse anført, at CLPO indgår i kontoret for direktøren for den nationale efterretningstjeneste, og at CLPO ud over sin specifikke kompetence til at behandle klager vedrørende personoplysninger mere generelt er forpligtet til at sikre, at beskyttelsen af de borgerlige frihedsrettigheder og privatlivets fred på passende vis indarbejdes i kontorets og efterretningstjenesternes politikker og procedurer, og at disse overholder de gældende krav til beskyttelse af privatlivets fred og borgerlige frihedsrettigheder. Under alle omstændigheder skal det bemærkes dels, som det fremgår af denne betragtning, at E.O. 14086 for at sikre CLPO’s uafhængighed fastsætter, at CLPO kun kan afsættes af direktøren for den nationale efterretningstjeneste i tilfælde af tjenesteforseelse, embedsmisbrug, brud på sikkerheden, tjenesteforsømmelse eller uarbejdsdygtighed. Dels må efterretningstjenesterne og direktøren for den nationale efterretningstjeneste, således som det fremgår af 180. betragtning til den anfægtede afgørelse, ikke hindre eller uretmæssigt påvirke CLPO’s arbejde, og CLPO skal i forbindelse med behandlingen af en klage vedrørende personoplysninger anvende loven upartisk under hensyntagen til både de nationale sikkerhedsinteresser og beskyttelsen af privatlivets fred.

50

Under disse omstændigheder skal dette argument forkastes.

51

Med det andet argument har sagsøgeren i det væsentlige gjort gældende, at DPRC ikke er en uafhængig og upartisk domstol, eftersom den er sammensat af dommere udnævnt af justitsministeren efter høring af PCLOB, som er et organ, der henhører under den udøvende magt.

52

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

53

For det første fremgår det af 110. betragtning til den anfægtede afgørelse, at PCLOB er et uafhængigt agentur inden for den udøvende magt. Dette agenturs uafhængighed beror navnlig på dets sammensætning. Det består nemlig af et tværpolitisk råd med fem medlemmer, der udpeges af USA’s præsident for en fast periode på seks år med Senatets godkendelse. Disse medlemmer skal udvælges på grundlag af deres faglige kvalifikationer, arbejdspræstationer, offentlige status, ekspertise inden for borgerlige frihedsrettigheder og privatlivets fred samt deres relevante erfaringer, uden at der tages hensyn til deres politiske tilhørsforhold. PCLOB må ikke have mere end tre medlemmer fra det samme politiske parti. En person, der udnævnes til medlem af PCLOB, kan ikke i sin mandatperiode være en valgt embedsmand, offentlig ansat eller ansat under den udøvende magt, undtagen i sin egenskab af medlem af PCLOB.

54

Det følger heraf, at selv om PCLOB blev oprettet inden for den udøvende magt, blev den ved sin stiftelsesstatus udformet som et uafhængigt agentur, hvis opgave består i upartisk at føre tilsyn med det arbejde, der udføres af den udøvende magt med henblik på bl.a. at beskytte privatlivets fred og de borgerlige frihedsrettigheder. PCLOB skal således, som anført i 194. betragtning til den anfægtede afgørelse, uden at sagsøgeren har bestridt det, hvert år kontrollere, om CLPO og DPRC har behandlet de modtagne sager inden for de fastsatte frister, om de har haft adgang til alle nødvendige oplysninger, om de har taget hensyn til alle de garantier, der er fastsat i E.O. 14086, og om efterretningstjenesterne har efterkommet deres afgørelser. Efter denne kontrol skal det offentligt attestere, at CLPO og DPRC har overholdt disse garantier. Desuden skal det aflægge rapport til USA’s præsident, justitsministeren, direktøren for den nationale efterretningstjeneste, lederne af efterretningstjenesterne, CLPO og efterretningsudvalgene under United States Congress (Kongressen, USA). Rapporten offentliggøres i en ikke-klassificeret udgave. Justitsministeren, direktøren for den nationale efterretningstjeneste, CLPO og lederne af efterretningstjenesterne har pligt til at gennemføre alle henstillingerne i rapporten.

55

Under disse omstændigheder gør den omstændighed, at PCLOB blev oprettet inden for den udøvende magt, det ikke i sig selv muligt at konkludere, at høringen af PCLOB forud for udnævnelsen af dommere til DPRC indebærer, at sidstnævnte ikke er en uafhængig og upartisk domstol.

56

For det andet skal det bemærkes, at det for at sikre, at dommerne i DPRC er uafhængige i forhold til den udøvende magt, er fastsat i E.O. 14086, at justitsministeren i forbindelse med deres udnævnelse skal overholde de kriterier og betingelser, der er nævnt i præmis 43 ovenfor. Som det fremgår af 187. betragtning til den anfægtede afgørelse, kan dommerne ved DPRC desuden kun afsættes af justitsministeren og kun af en gyldig grund, dvs. embedsmisbrug, brud på sikkerheden, tjenesteforsømmelse eller uarbejdsdygtighed, efter at der er taget behørigt hensyn til de standarder, der gælder for føderale dommere, og som er fastsat i reglerne om domstolenes etik og proceduren for retslig uarbejdsdygtighed.

57

Det følger heraf, at reglerne om udnævnelse og afskedigelse af DPRC’s dommere ikke kan rejse tvivl om DPRC’s uafhængighed og upartiskhed.

58

For det tredje bemærkes, at Kommissionen i henhold til den anfægtede afgørelses artikel 3, stk. 1, løbende overvåger anvendelsen af den retlige ramme, der er omfattet af afgørelsen, herunder betingelserne for videreoverførsel, for udøvelsen af individuelle rettigheder og for de amerikanske offentlige myndigheders adgang til oplysninger, der overføres på grundlag af denne afgørelse, for at vurdere, om USA fortsat sikrer et tilstrækkeligt beskyttelsesniveau. Det følger således af nævnte artikels stk. 5, at Kommissionen, hvis der er tegn på, at der ikke længere er sikret et tilstrækkeligt beskyttelsesniveau, underretter de kompetente amerikanske myndigheder herom og om nødvendigt træffer afgørelse om at suspendere, ændre eller ophæve den anfægtede afgørelse eller begrænse dens anvendelsesområde. Det følger heraf, at hvis den retlige ramme, der var gældende i USA på tidspunktet for vedtagelsen af den anfægtede afgørelse, som foranledigede Kommissionen til i denne afgørelse at fastslå, at DPRC yder en retlig beskyttelse, der i det væsentlige svarer til den, der er sikret ved EU-retten, ændrer sig, beslutter Kommissionen om nødvendigt at suspendere, ændre eller ophæve den anfægtede afgørelse eller at begrænse dens anvendelsesområde.

59

Henset til samtlige disse betragtninger skal dette argument forkastes.

60

Med det tredje argument har sagsøgeren i det væsentlige gjort gældende, at DPRC ikke er en uafhængig og upartisk domstol, eftersom AG-bekendtgørelsen ikke udelukker muligheden for, at DPRC’s dommere udsættes for andre former for tilsyn end daglige tilsyn fra den udøvende magts side.

61

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

62

Det skal bemærkes, at selv om det fremgår af sagsakterne, at dommerne ved DPRC i henhold til AG-bekendtgørelsens artikel 201.7, litra d), ikke må være underlagt justitsministerens daglige tilsyn, fremgår det ligeledes af 187. betragtning til den anfægtede afgørelse, at efterretningstjenesterne og justitsministeren i henhold til E.O. 14086 er afskåret fra at blande sig i eller på utilbørlig vis påvirke DPRC’s arbejde. Endvidere fremgår det af sagsakterne, at E.O. 14086 og AG-bekendtgørelsen begrænser den udøvende magts mulighed for at påvirke DPRC’s arbejde ved at fastslå, at DPRC’s dommere kun kan afsættes af justitsministeren og udelukkende af de grunde, der er anført i præmis 56 ovenfor.

63

På denne baggrund skal dette argument og dermed det tredje anbringendes første klagepunkt i sin helhed forkastes.

64

Med det tredje anbringendes andet klagepunkt har sagsøgeren gjort gældende, at DPRC ikke forudgående er oprettet ved lov som omhandlet i artikel 47, stk. 2, i chartret om grundlæggende rettigheder, for så vidt som DPRC ikke blev oprettet ved en lov vedtaget af Kongressen i USA, men ved en retsakt fra den udøvende magt, nemlig en afgørelse fra justitsministeren.

65

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

66

For det første følger det af Domstolens praksis, der er udviklet i lyset af Menneskerettighedsdomstolens praksis vedrørende EMRK’s artikel 6, stk. 1 (Menneskerettighedsdomstolen, 1.12.2020, Guðmundur Andri Ástráðsson mod Island, CE:ECHR:2020:1201JUD002637418, §§ 231 og 233), at selv om retten til adgang til en domstol, der er oprettet ved lov, udgør en selvstændig ret, er denne ikke desto mindre meget nært knyttet til garantierne for uafhængighed og upartiskhed, som fremgår af samme bestemmelse. Nærmere bestemt bemærkes, at selv om samtlige de krav, der er fastsat i de nævnte bestemmelser, hver især forfølger et bestemt formål, som gør dem til specifikke garantier for en retfærdig rettergang, tager disse garantier sigte på overholdelse af grundlæggende rettigheder, nemlig lovens suverænitet og magtens tredeling. Hvert af disse krav er baseret på behovet for at bevare den tillid, som den dømmende magt skal indgyde borgerne, og denne magts uafhængighed i forhold til de øvrige magter (jf. dom af 22.2.2022, Openbaar Ministerie (Domstol oprettet ved lov i den udstedende medlemsstat), C-562/21 PPU og C-563/21 PPU, EU:C:2022:100, præmis 56 og den deri nævnte retspraksis, og af 29.3.2022, Getin Noble Bank, C-132/20, EU:C:2022:235, præmis 117 og den deri nævnte retspraksis).

67

Domstolen har ligeledes præciseret, i tråd med Menneskerettighedsdomstolens praksis (Menneskerettighedsdomstolen, 8.7.2014, Biagioli mod San Marino, CE:ECHR:2014:0708DEC000816213, §§ 72-74; jf. ligeledes Menneskerettighedsdomstolens dom af 2.5.2019, Pasquini mod San Marino, CE:ECHR:2019:0502JUD005095616, §§ 100 og 101 og den deri nævnte retspraksis), at udtrykket »forudgående oprettet ved lov« har til formål at forhindre, at organisationen af retssystemet overlades til den udøvende magts skøn, og at sørge for, at dette område reguleres af en lov, der er vedtaget af den lovgivende magt på en måde, som er i overensstemmelse med de regler, der danner rammen for udøvelsen af dens kompetence. Dette udtryk afspejler navnlig retsstatsprincippet og vedrører ikke blot selve retsgrundlaget for domstolens eksistens, men også domstolens sammensætning i hver sag samt enhver anden bestemmelse i national ret, hvis manglende overholdelse medfører, at en eller flere dommeres deltagelse i sagsbehandlingen bliver ulovlig, hvilket navnlig omfatter bestemmelser vedrørende den pågældende domstols medlemmers uafhængighed og upartiskhed (jf. dom af 29.3.2022, Getin Noble Bank, C-132/20, EU:C:2022:235, præmis 121 og den deri nævnte retspraksis).

68

I denne sammenhæng har Domstolen fastslået, at en konstatering af, at der foreligger en tilsidesættelse af kravet om en domstol, der forudgående er oprettet ved lov, og at denne tilsidesættelse har konsekvenser, er underlagt en samlet vurdering af en række forhold, der samlet set bidrager til at skabe rimelig tvivl hos borgerne om dommernes uafhængighed og upartiskhed (jf. dom af 22.2.2022, Openbaar Ministerie (Domstol oprettet ved lov i den udstedende medlemsstat), C-562/21 PPU og C-563/21 PPU, EU:C:2022:100, præmis 74 og den deri nævnte retspraksis).

69

Domstolen har således fastslået, at den omstændighed, at et organ såsom et nationalt råd for retsvæsenet, der deltager i proceduren for udnævnelse af dommere, overvejende består af medlemmer valgt af den lovgivende magt, ikke i sig selv kan rejse tvivl om uafhængigheden af de dommere, der udnævnes ved afslutningen af denne procedure, men at det imidlertid kan forholde sig anderledes, når denne omstændighed, sammenholdt med andre relevante forhold og de betingelser, hvorunder disse valg er blevet truffet, fører til, at der opstår en sådan tvivl (jf. dom af 22.2.2022, Openbaar Ministerie (Domstol oprettet ved lov i den udstedende medlemsstat), C-562/21 PPU og C-563/21 PPU, EU:C:2022:100, præmis 75 og den deri nævnte retspraksis).

70

I dom af 1. december 2020, Guðmundur Andri Ástráðsson mod Island (CE:ECHR:2020:1201JUD002637418, §§ 207 og 212), fastslog Menneskerettighedsdomstolen i øvrigt, at den udøvende magts eller lovgivers udnævnelse af dommere er tilladt, forudsat at de således udnævnte dommere er frie for nogen form for pres eller indflydelse under udøvelsen af deres dømmende funktion.

71

Det følger i det væsentlige af denne retspraksis, at det ved vurderingen af, om de krav, der følger af artikel 47, stk. 2, i chartret om grundlæggende rettigheder, er opfyldt, ikke er nødvendigt at begrænse sig til at vurdere den formelle karakter af den retsakt, hvorved en domstol oprettes, og som fastlægger dens forretningsorden, men at det skal efterprøves, om denne retsakt fastsætter tilstrækkelige garantier med henblik på at sikre dens uafhængighed og upartiskhed i forhold til de øvrige magter, herunder den udøvende magt.

72

For det andet skal det bemærkes, således som Domstolen fastslog i Schrems I-dommen og Schrems II-dommen, at Kommissionen i forbindelse med en afgørelse om tilstrækkeligheden af beskyttelsesniveauet ikke er forpligtet til at sikre sig, at tredjelandets relevante bestemmelser er identiske med dem, der gælder i Unionen, men at de i det væsentlige svarer til dem, der er sikret ved EU-retten i henhold til databeskyttelsesforordningen, sammenholdt med chartret om grundlæggende rettigheder (jf. præmis 19 og 20 ovenfor). Det følger heraf, at Retten i den foreliggende sag er forpligtet til at efterprøve rigtigheden af Kommissionens konstatering af tilstrækkeligheden af beskyttelsesniveauet i den anfægtede afgørelse, hvorefter bestemmelserne i amerikansk ret vedrørende oprettelsen og funktionen af DPRC frembyder garantier, der i det væsentlige svarer til dem, der i EU-retten er fastsat i nævnte charters artikel 47, stk. 2. Sådanne garantier gives navnlig, når den retsakt, hvorved denne domstol er oprettet, og som definerer dens forretningsorden, har til formål at sikre dens uafhængighed og upartiskhed i forhold til de øvrige magter, navnlig den udøvende magt, og dette til trods for den omstændighed, at den nævnte retsakt ikke formelt set udgør en lov.

73

I det foreliggende tilfælde fremgår det af 185. betragtning til den anfægtede afgørelse, at DPRC blev etableret ved AG-bekendtgørelsen. Det følger heraf, at DPRC ikke er etableret ved en lov vedtaget af den lovgivende magt, nemlig Kongressen i USA, men ved en retsakt hidrørende fra den udøvende magt. Justitsministeren er således leder af USA’s justitsministerium og hovedansvarlig for retshåndhævelse i USA’s føderale regering. Han er USA’s præsidents vigtigste rådgiver i alle juridiske spørgsmål og er en del af præsidentens regering.

74

I denne sammenhæng skal det derfor undersøges, om E.O. 14086 og AG-bekendtgørelsen på en måde, der i det væsentlige svarede til EU-retten, fastsætter garantier med henblik på at sikre uafhængigheden og upartiskheden for DPRC.

75

I denne henseende skal det for det første bemærkes, at det fremgår af sagsakterne, uden at dette er blevet bestridt, at:

76

For det andet skal det bemærkes dels, at det i det væsentlige fremgår af den anfægtede afgørelse, at:

77

Dels skal dommerne ved DPRC, som det fremgår af 187.-189. betragtning til den anfægtede afgørelse, overholde følgende processuelle garantier, når de udfører deres opgaver i DPRC:

78

For det tredje skal det bemærkes, at de mangler, som Domstolen havde fastslået i Schrems II-dommen, var blevet afhjulpet for så vidt angår manglen på garantier for den udøvende magts tilbagekaldelse af ombudsmanden i værnet om privatlivets fred og den manglende bindende karakter af ombudsmandens afgørelser. Det fremgår nemlig af sagsakterne, at E.O. 14086 begrænser de tilfælde, hvor justitsministeren kan afsætte DPRC’s dommere, og bestemmer, at DPRC’s afgørelser er bindende.

79

På denne baggrund skal det tredje anbringendes andet klagepunkt forkastes.

80

Denne konklusion kan ikke drages i tvivl af den omstændighed, at det fremgår af sagsakterne, at DPRC på samme måde som andre retter i det amerikanske retssystem, selv om den har kompetence til at træffe afgørelse om retlige spørgsmål, ikke er en judiciel myndighed, der er oprettet i henhold til artikel III i USA’s forfatning.

81

I Schrems II-dommen fastslog Domstolen således, at en effektiv domstolsbeskyttelse ikke alene kunne sikres af en domstol, men også af ethvert andet »organ«, som giver personer, hvis oplysninger overføres til USA, garantier, der i det væsentlige svarer til dem, der kræves i henhold til artikel 47 i chartret om grundlæggende rettigheder (Schrems II-dommen, præmis 197).

82

Henset til samtlige ovenstående betragtninger skal det tredje anbringende forkastes i sin helhed.

83

Med det andet anbringende har sagsøgeren gjort gældende, at Kommissionen tilsidesatte artikel 7 og 8 i chartret om grundlæggende rettigheder ved i den anfægtede afgørelse at fastslå, at USA sikrer et tilstrækkeligt beskyttelsesniveau for så vidt angår dette lands efterretningstjenesters masseindsamling af personoplysninger.

84

Det bemærkes, at sagsøgeren på stævningens s. 2 og 23 samt på replikkens s. 4, i sin formulering af det andet anbringende har henvist til Kommissionens tilsidesættelse af artikel 7 og 8 i chartret om grundlæggende rettigheder for så vidt angår ikke blot masseindsamling, men også vilkårlig indsamling af personoplysninger. I den udvikling, der følger efter formuleringen af det nævnte anbringende, fokuserer ansøgeren imidlertid i sin argumentation udelukkende på masseindsamling af disse oplysninger.

85

Det fremgår af fodnote 250 på s. 46 i den anfægtede afgørelse, af 141. betragtning til den nævnte afgørelse, uden at dette er blevet bestridt, samt af parternes svar på de spørgsmål, der blev stillet i forbindelse med en foranstaltning med henblik på sagens tilrettelæggelse og i retsmødet, at:

86

Det følger af det ovenstående, at eftersom vilkårlig indsamling ikke er tilladt i USA, og eftersom masseindsamling udelukkende kan foretages uden for USA, er genstanden for dette anbringende i den foreliggende sag begrænset til en vurdering af, om Kommissionen har tilsidesat artikel 7 og 8 i chartret om grundlæggende rettigheder for så vidt angår USA’s efterretningstjenesters masseindsamling af personoplysninger i transit fra Unionen til databeskyttelsesrammens organisationer, med udelukkelse af enhver indsamling af personoplysninger, der i givet fald foretages på Unionens område af USA’s eller medlemsstaternes efterretningstjenester.

87

Med det andet anbringendes første klagepunkt har sagsøgeren gjort gældende, at Kommissionen har tilsidesat artikel 7 og 8 i chartret om grundlæggende rettigheder, idet den i den anfægtede afgørelse nærmere bestemt vurderede, at USA tilbød et beskyttelsesniveau, der i det væsentlige svarede til det, der var sikret ved EU-retten i henhold til databeskyttelsesforordningen, sammenholdt med det nævnte charter, på trods af at artikel 702 i FISA giver de amerikanske efterretningstjenester mulighed for at foretage masseindsamling af personoplysninger om statsborgere fra andre lande.

88

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

89

Det bemærkes, at FISA’s artikel 702 ikke tillader masseindsamling, men kun målrettet indsamling af personoplysninger.

90

Det følger heraf, at eftersom FISA’s artikel 702 ikke vedrører masseindsamling af personoplysninger, er bestemmelsen uden relevans i den foreliggende sag.

91

Det andet anbringendes første klagepunkt skal således forkastes.

92

Med det andet anbringendes andet klagepunkt har sagsøgeren gjort gældende, at Kommissionen har tilsidesat artikel 7 og 8 i chartret om grundlæggende rettigheder, idet den i den anfægtede afgørelse vurderede, at USA tilbød et beskyttelsesniveau, der i det væsentlige svarede til det, der var sikret ved EU-retten i henhold til databeskyttelsesforordningen, sammenholdt med det nævnte charter, på trods af at E.O. 14086 ikke skabte en forpligtelse for de amerikanske efterretningstjenester til forud for masseindsamling af personoplysninger om statsborgere fra andre lande at indhente en forudgående tilladelse fra en retslig eller administrativ myndighed.

93

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

94

I den foreliggende sag fremgår det af sagsakterne, uden at parterne har bestridt dette, at amerikansk ret ikke fastsætter en forpligtelse for efterretningstjenesterne til at indhente forudgående tilladelse fra en retslig eller administrativ myndighed, inden de foretager masseindsamling af personoplysninger i transit fra Unionen til databeskyttelsesrammens organisationer.

95

Det skal fastslås, hvorvidt denne manglende forudgående tilladelse kan påvirke lovligheden af den anfægtede afgørelse, for så vidt som det kan rejse tvivl om konklusionen i nævnte afgørelses artikel 1, hvorefter USA sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger.

96

Indledningsvis bemærkes, som Domstolen fastslog i Schrems II-dommen, at det for at vurdere lovligheden af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet skal undersøges, om tredjelandets lovgivning sikrer et beskyttelsesniveau for de grundlæggende rettigheder og friheder, der i det væsentlige svarer til det niveau, der er sikret inden for Unionen i medfør af databeskyttelsesforordningen, sammenholdt med chartret om grundlæggende rettigheder (jf. præmis 19 ovenfor).

97

Det er i denne sammenhæng, at de fire argumenter, som sagsøgeren har fremført til støtte for dette klagepunkt, skal undersøges.

98

Med det første argument har sagsøgeren i det væsentlige gjort gældende, at på samme måde som i afgørelsen om tilstrækkeligheden af værnet om privatlivets fred, som Domstolen annullerede i Schrems II-dommen bl.a. på grund af den manglende indførelse af en retslig kontrol, er den masseindsamling af personoplysninger, der i det foreliggende tilfælde foretages af de amerikanske efterretningstjenester, ikke genstand for retslig kontrol og ikke underlagt tilstrækkeligt klare og præcise regler.

99

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

100

Det bemærkes, at Domstolen i Schrems II-dommen fastslog, at artikel 7 og 8 i chartret om grundlæggende rettigheder indgår i det i Unionen krævede beskyttelsesniveau, som Kommissionen skal fastslå er overholdt, før den vedtager en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til databeskyttelsesforordningens artikel 45, stk. 1. Ifølge Domstolen berører enhver behandling af en fysisk persons personoplysninger, herunder overførslen heraf til et tredjeland i forbindelse med en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, nemlig såvel denne persons grundlæggende ret til respekt for privatlivet, der er sikret ved chartrets artikel 7, som den pågældendes ret til beskyttelse af sine personoplysninger, der fremgår af chartrets artikel 8 (Schrems II-dommen, præmis 169-171).

101

Domstolen har imidlertid præciseret, at de rettigheder, der er sikret ved artikel 7 og 8 i chartret om grundlæggende rettigheder, ikke er absolutte rettigheder, men skal ses i sammenhæng med deres funktion i samfundet (Schrems II-dommen, præmis 172).

102

I henhold til artikel 52, stk. 1, første punktum, i chartret om grundlæggende rettigheder skal enhver begrænsning i udøvelsen af de rettigheder og friheder, der anerkendes ved chartret, således være fastlagt i lovgivningen og respektere disse rettigheders og friheders væsentligste indhold. Under iagttagelse af proportionalitetsprincippet kan der endvidere kun indføres begrænsninger til disse rettigheder og friheder, såfremt disse er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder (Schrems II-dommen, præmis 174).

103

I denne sammenhæng fastslog Domstolen, at den mulighed, som det præsidentielle dekret nr. 12333, som ændret, gav USA’s efterretningstjenester for at få adgang til personoplysninger i transit fra Unionen, uden at denne adgang var underlagt noget retsligt tilsyn, ikke gjorde det muligt tilstrækkeligt klart og præcist at afgrænse rækkevidden af den masseindsamling af personoplysninger, som efterretningstjenesterne foretog. Den fandt således, at nævnte præsidentielle dekret ikke opfyldte de mindstekrav, som i henhold til EU-retten er knyttet til proportionalitetsprincippet, og at de overvågningsprogrammer, som var baseret på dette dekret, ikke var begrænset til det strengt nødvendige (Schrems II-dommen, præmis 183 og 184).

104

Det skal præciseres, hvorledes udtrykket »noget retsligt tilsyn« i Schrems II-dommens præmis 183 skal fortolkes.

105

Det skal i denne forbindelse bemærkes, at intet i Schrems II-dommen, navnlig i nævnte doms præmis 183 og i udtrykket »noget retsligt tilsyn«, tyder på, at masseindsamling af personoplysninger nødvendigvis skal være genstand for en forudgående tilladelse fra en uafhængig myndighed. Det fremgår tværtimod af en samlet læsning af det nævnte udtryk og af denne doms præmis 186-197, at den afgørelse, der tillader en sådan indsamling, i det mindste skal være genstand for en efterfølgende retslig prøvelse.

106

Som anført i præmis 24-82 ovenfor pålægger E.O. 14086 og AG-bekendtgørelsen i den foreliggende sag amerikanske efterretningstjenesters elektromagnetiske efterretningsaktiviteter, herunder når disse efterretningstjenester foretager masseindsamling af personoplysninger, et efterfølgende retsligt tilsyn fra DPRC’s side, hvis afgørelser er endelige og bindende for såvel USA’s regering som de nævnte tjenester. I modsætning til hvad sagsøgeren har gjort gældende, kan det følgelig ikke anses for godtgjort, at den masseindsamling af personoplysninger, som efterretningstjenesterne foretog på grundlag af den anfægtede afgørelse, ikke opfylder de krav, der følger af Schrems II-dommen i denne henseende.

107

Det bemærkes endvidere for det første, at E.O. 14086, som det fremgår af 141. betragtning til den anfægtede afgørelse, uden at dette er blevet bestridt, fastsætter, at efterretningstjenesterne skal give prioritet til målrettet indsamling af personoplysninger. Masseindsamling er således kun tilladt for at fremme en valideret efterretningsprioritet, som ikke med rimelighed kan opnås gennem målrettet indsamling. I denne henseende skal det bemærkes, at det fremgår af 135. betragtning til den nævnte afgørelse, at validerede prioriteter på efterretningsområdet fastlægges gennem en særlig proces, der har til formål at sikre, at de gældende retlige krav overholdes, herunder kravene vedrørende privatlivets fred og borgerlige frihedsrettigheder. Efterretningsprioriteterne opstilles nærmere bestemt først af direktøren for den nationale efterretningstjeneste, hvorefter de forelægges USA’s præsident til godkendelse. Inden den nævnte direktør forelægger præsidenten efterretningsprioriteterne, skal direktøren indhente en vurdering fra CLPO af hver prioritet. I forbindelse med denne vurdering skal CLPO vurdere, om den pågældende prioritet fremmer et eller flere af de legitime mål, der er opregnet i E.O. 14086, om den er udformet med henblik på indsamling af signalefterretninger til et af de forbudte formål, og om den er fastlagt, efter at der er taget behørigt hensyn til privatlivets fred og de borgerlige frihedsrettigheder for alle personer, uanset deres nationalitet og opholdssted.

108

For det andet skal det bemærkes, at der, som det fremgår af 127.-131, 134. og 135. betragtning til den anfægtede afgørelse, uden at sagsøgeren har bestridt dette, i E.O. 14086 er fastsat en række vidtgående krav, som gælder for alle signalefterretningsaktiviteter, herunder når disse udføres gennem masseindsamling af personoplysninger.

109

Signalefterretningsaktiviteter skal således være hjemlet ved lov eller præsidentiel bemyndigelse og udføres i overensstemmelse med amerikansk lovgivning, herunder forfatningen.

110

Endvidere må signalefterretningsaktiviteter kun udføres, efter at det på grundlag af en rimelig vurdering af alle relevante faktorer er fastslået, at aktiviteterne er nødvendige for at fremme en valideret efterretningsprioritet.

111

Desuden skal signalefterretningsaktiviteter udføres i et omfang og på en måde, der står i et rimeligt forhold til den validerede efterretningsprioritet, som de er godkendt til, for at finde en passende balance mellem betydningen af den efterretningsprioritet, der forfølges, og indvirkningen på privatlivets fred og de berørte personers borgerlige frihedsrettigheder, uanset deres nationalitet og opholdssted.

112

Endelig opregner E.O. 14086 generelle mål, der ikke må forfølges med signalefterretningsaktiviteter. Det omfatter mål om at undertrykke kritik, uenighed eller fysiske personers eller pressens frie tilkendegivelse af meninger eller politiske holdninger, at forskelsbehandle mennesker på grund af etnisk oprindelse, race, køn, kønsidentitet, seksuel orientering eller religion eller at give amerikanske virksomheder en konkurrencefordel.

113

Det bemærkes for det tredje, som det fremgår af 141. betragtning til den anfægtede afgørelse, uden at sagsøgeren har bestridt dette, at der med E.O. 14086 er indført særlige garantier, som gælder for masseindsamling af personoplysninger.

114

E.O. 14086 fastsætter således først og fremmest, at der skal anvendes metoder og tekniske foranstaltninger for at begrænse de indsamlede oplysninger til det, der er nødvendigt for at fremme en valideret efterretningsprioritet, hvorved indsamling af ikke-relevante oplysninger mindskes mest muligt.

115

Dernæst fremgår det af E.O. 14086, at masseindsamling af personoplysninger kun må foretages for at opfylde seks specifikke formål (herefter »de specifikke formål med masseindsamling«), herunder beskyttelse mod terrorisme, spionage, masseødelæggelsesvåben, cybertrusler, trusler mod USA’s eller dets allieredes personale og grænseoverskridende kriminalitet. Dekretet giver USA’s præsident mulighed for at ajourføre disse specifikke formål, hvis der opstår nye hensyn til den nationale sikkerhed, såsom nye trusler eller forøgede trusler mod den nationale sikkerhed, for hvilke præsidenten vurderer, at masseindsamling af personoplysninger vil kunne anvendes. Disse ajourføringer skal i princippet offentliggøres af direktøren for den nationale efterretningstjeneste, medmindre USA’s præsident vurderer, at offentliggørelse i sig selv vil udgøre en risiko for landets nationale sikkerhed.

116

Endelig fastsætter E.O. 14086, at enhver søgning i masseindsamlede signalefterretninger kun må finde sted, når det er nødvendigt for at fremme en valideret efterretningsprioritet, med henblik på at nå de specifikke formål med masseindsamling og i overensstemmelse med politikker og procedurer, der tager behørigt hensyn til søgningernes indvirkning på privatlivets fred og de borgerlige frihedsrettigheder for alle personer, uanset deres nationalitet og opholdssted.

117

Under disse omstændigheder kan det ikke med føje gøres gældende, at iværksættelse af masseindsamling ikke er afgrænset tilstrækkeligt klart og præcist.

118

Henset til samtlige disse betragtninger skal dette argument forkastes.

119

Med det andet argument har sagsøgeren, under udtrykkelig henvisning til præmis 189 i dom af 6. oktober 2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 og C-520/18, EU:C:2020:791), gjort gældende, at Domstolen fastslog, at efterretningstjenester havde pligt til at indhente en forudgående tilladelse fra en retslig eller administrativ myndighed forud for indsamling af forbindelsesdata fra de operatører, der var i besiddelse af disse data. Ifølge sagsøgeren er amerikanske efterretningstjenesters masseindsamling af personoplysninger i transit fra Unionen i det foreliggende tilfælde ikke omfattet af en sådan forudgående tilladelse.

120

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

121

Det bemærkes, at Domstolen i dom af 6. oktober 2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 og C-520/18, EU:C:2020:791), bl.a. fastslog, at artikel 15, stk. 1, i Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT 2002, L 201, s. 37), som ændret ved Europa-Parlamentets og Rådets direktiv 2009/136/EF af 25. november 2009 (EUT 2009, L 337, s. 11), sammenholdt med artikel 7, 8 og 11 samt artikel 52, stk. 1, i chartret om grundlæggende rettigheder, skulle fortolkes således, at bestemmelsen ikke var til hinder for en national lovgivning, der pålagde udbydere af elektroniske kommunikationstjenester at gøre brug af indsamling i realtid af trafikdata og lokaliseringsdata, når indsamlingen var begrænset til de personer, med hensyn til hvilke der foreligger rimelig grund til at mistænke, at de på den ene eller den anden måde er involveret i terrorvirksomhed, og er underlagt en forudgående prøvelse, der foretages af enten en domstol eller en uafhængig administrativ enhed (præmis 192 i den nævnte dom).

122

Det følger heraf, at problemstillingen, som gav anledning til dom af 6. oktober 2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 og C-520/18, EU:C:2020:791), adskiller sig fra problemstillingen i den foreliggende sag. I det foreliggende tilfælde er det ikke et spørgsmål om at vurdere, om det er nødvendigt at underlægge udbydere af elektroniske kommunikationstjenesters indsamling af trafikdata og lokaliseringsdata vedrørende brugere, der mistænkes for på den ene eller anden måde at være involveret i terrorvirksomhed, en forudgående kontrol fra en retslig eller administrativ myndighed, men om at vurdere, om den omstændighed, at amerikansk ret ikke fastsætter en forpligtelse for efterretningstjenesterne til forud for masseindsamling af personoplysninger i transit til dette land at indhente en forudgående tilladelse fra en retslig eller administrativ myndighed, rejser tvivl om rigtigheden af Kommissionens konstatering i den anfægtede afgørelse af tilstrækkeligheden af beskyttelsesniveauet.

123

Under disse omstændigheder må det konkluderes, at henvisningen til dom af 6. oktober 2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 og C-520/18, EU:C:2020:791), ikke er relevant i den foreliggende sag.

124

Denne konklusion kan ikke drages i tvivl af en hensyntagen til dom af 30. april 2024, La Quadrature du Net m.fl. (Personoplysninger og bekæmpelse af immaterialretskrænkelser) (C-470/21, EU:C:2024:370), som parterne i den foreliggende sag er blevet opfordret til at udtale sig om i forbindelse med en foranstaltning med henblik på sagens tilrettelæggelse.

125

Problemstillingen, som gav anledning til dom af 30. april 2024, La Quadrature du Net m.fl. (Personoplysninger og bekæmpelse af immaterialretskrænkelser) (C-470/21, EU:C:2024:370), drejede sig om lovligheden af adgangen for en national offentlig myndighed, der har til opgave at beskytte ophavsrettigheder og beslægtede rettigheder mod krænkelser af disse rettigheder, der begås på internettet, til identitetsdata knyttet til IP-adresser, der er lagret af udbydere af elektroniske kommunikationstjenester, med henblik på bekæmpelse af immaterialretskrænkelser. Denne adgang var nærmere bestemt begrundet med henblik på at identificere indehaveren af en IP-adresse, der havde udøvet en aktivitet, der krænkede ophavsrettigheder eller beslægtede rettigheder, eftersom den pågældende ulovligt havde stillet beskyttede værker til rådighed på internettet med henblik på, at andre personer kunne downloade dem. Under disse omstændigheder fastslog Domstolen, at en forudgående kontrol foretaget af en domstol eller en uafhængig administrativ enhed:

126

Det følger heraf, at den sag, der gav anledning til dom af 30. april 2024, La Quadrature du Net m.fl. (Personoplysninger og bekæmpelse af immaterialretskrænkelser) (C-470/21, EU:C:2024:370), vedrørte de nationale myndigheders adgang til en IP-adresse med henblik på bekæmpelse af immaterialretskrænkelser, og at et sådant formål adskiller sig fra efterretningstjenesternes masseindsamling af personoplysninger i transit fra Unionen. Følgelig kan det i lyset af denne dom ikke fastslås, at de amerikanske efterretningstjenesters masseindsamling af personoplysninger i transit fra Unionen kræver en forudgående tilladelse.

127

Dette argument skal således forkastes.

128

Med det tredje argument har sagsøgeren i det væsentlige gjort gældende, at Menneskerettighedsdomstolen i dom af 25. maj 2021, Big Brother Watch m.fl. mod Det Forenede Kongerige (CE:ECHR:2021:0525JUD005817013, herefter »dommen i sagen Big Brother Watch«), fastslog, at masseindsamling af personoplysninger skulle være betinget af en uafhængig myndigheds forudgående tilladelse fra det tidspunkt, hvor overvågningsoperationens formål og omfang var fastlagt. Ifølge sagsøgeren er de amerikanske efterretningstjenesters masseindsamling af personoplysninger i transit fra Unionen i det foreliggende tilfælde ikke genstand for en sådan forudgående tilladelse.

129

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

130

Det bemærkes, at den sag, der gav anledning til dommen i sagen Big Brother Watch, bl.a. vedrørte foreneligheden med EMRK’s artikel 8 af Det Forenede Kongeriges hemmelige overvågningsordning, som gav efterretningstjenesterne mulighed for at foretage masseaflytning af elektronisk kommunikation og de dermed forbundne kommunikationsdata, dvs. trafikdata, der vedrørte aflyttet kommunikation, som i princippet blev foretaget uden for De Britiske Øer.

131

Som det fremgår af den retspraksis, der er nævnt i præmis 29 ovenfor, skal der, for så vidt som EMRK’s artikel 8, ligesom artikel 7 i chartret om grundlæggende rettigheder, fastsætter retten til respekt for privatliv og familieliv, tages hensyn til Menneskerettighedsdomstolens praksis vedrørende EMRK’s artikel 8 ved fortolkningen af rækkevidden af chartrets artikel 7. Det følger heraf, at såfremt Retten måtte fastslå, at dommen i sagen Big Brother Watch er relevant i den foreliggende sag, skal de betragtninger, som Menneskerettighedsdomstolen fremsatte i denne dom vedrørende rækkevidden af EMRK’s artikel 8, tages i betragtning ved fortolkningen af rækkevidden af chartrets artikel 7.

132

Det skal i denne forbindelse bemærkes, at Menneskerettighedsdomstolen i dommen i sagen Big Brother Watch tog stilling til lovligheden af de britiske efterretningstjenesters masseaflytning af elektronisk kommunikation og tilknyttede kommunikationsdata, som i princippet blev foretaget uden for De Britiske Øer.

133

Som parterne i den foreliggende sag har anført i deres svar på foranstaltningen med henblik på sagens tilrettelæggelse og i retsmødet, er de betragtninger, som Menneskerettighedsdomstolen anførte i dommen i sagen Big Brother Watch, relevante i den foreliggende sag, for så vidt som masseaflytningen af kommunikationsdata, der var omhandlet i den sag, der gav anledning til den nævnte dom, kan anses for at omfatte masseindsamling som omhandlet i den anfægtede afgørelse.

134

For det første bemærkes, at mens den franske version af dommen i sagen Big Brother Watch anvender udtrykket »interception en masse« af data, anvender den engelske version udtrykket »bulk interception«, som nærmere bestemt svarer til det franske begreb »interception en vrac«.

135

For det andet definerede Menneskerettighedsdomstolen i modsætning til målrettet aflytning den aflytning af efterretninger, der var omhandlet i dommen i sagen Big Brother Watch, som værende en aflytning, der ikke var rettet mod bestemte personer, og som derfor kunne berøre et stort antal personer og tilknyttede kommunikationsdata og således have en meget bred rækkevidde, eftersom den bl.a. gjorde det muligt at indsamle oplysninger i forbindelse med eksterne efterretninger og opdage nye trusler fra kendte eller ukendte aktører. Ifølge den nævnte domstol blev masseaflytningen på grund af sit formål, der er knyttet til beskyttelsen af den nationale sikkerhed, desuden generelt udført i hemmelighed af de kompetente myndigheder, hvilket indebar, at disse kun offentliggjorde få eller slet ingen oplysninger om systemets funktion (jf. i denne retning dommen i sagen Big Brother Watch, § 322).

136

For det tredje fastslog Menneskerettighedsdomstolen i dommen i sagen Big Brother Watch, at selv om ikke alle masseaflytningsordninger var udformet efter samme model, og selv om fremgangsmåden for deres gennemførelse kunne ændre sig uden altid at overholde en streng kronologisk rækkefølge, var masseaflytning en trinvis proces, der i det væsentlige fandt sted i henhold til følgende fire trin (herefter »trin i aflytningsprocessen«:

137

Det følger heraf, at en masseindsamling af personoplysninger som den, der er genstand for den anfægtede afgørelse, er omfattet af det første trin i aflytningsprocessen, som Menneskerettighedsdomstolen identificerede i dommen i sagen Big Brother Watch, for så vidt som den bestod i med henblik på beskyttelse af den nationale sikkerhed at indsamle personoplysninger i transit fra Unionen fra et stort antal personer.

138

I denne sammenhæng skal konsekvenserne af dommen i sagen Big Brother Watch drages inden for rammerne af en vurdering af lovligheden af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, der er vedtaget på grundlag af databeskyttelsesforordningens artikel 45, stk. 3, som det skete i den anfægtede afgørelse.

139

I denne henseende skal det for det første bemærkes, at Menneskerettighedsdomstolen i dommen i sagen Big Brother Watch præciserede, at EMRK’s artikel 8 ikke forbyder masseaflytning for at beskytte den nationale sikkerhed eller andre væsentlige nationale interesser mod alvorlige ydre trusler, og at staterne har en vid skønsmargen ved fastlæggelsen af, hvilken type aflytningsordning de har brug for (dommen i sagen Big Brother Watch, § 347).

140

For det andet har Menneskerettighedsdomstolen anført, at masseaflytningen af kommunikationsdata skal være underlagt flere garantier, som tilsammen udgør hjørnestenen i ethvert system med masseaflytning, nemlig:

141

For det tredje fastslog Menneskerettighedsdomstolen, at selv om EMRK’s artikel 8 finder anvendelse på hvert trin i aflytningsprocessen, øges behovet for at fastsætte garantier i takt med, at processen går gennem disse forskellige trin, og intensiteten af indgrebet i retten til respekt for privatlivet følgelig bliver større. Ifølge Menneskerettighedsdomstolen er tilstedeværelsen af garantier mere end nogensinde nødvendige ved processens afslutning, når oplysninger om en bestemt person analyseres, eller indholdet af kommunikationen undersøges af en analytiker (jf. i denne retning dommen i sagen Big Brother Watch, §§ 330 og 331).

142

For det fjerde fastslog Menneskerettighedsdomstolen, at for så vidt som det ikke var praktisk muligt inden for rammerne af den forudgående tilladelse at medtage alle de selektorer, som efterretningstjenesterne anvendte til at filtrere den indsamlede kommunikation, skulle rækkevidden af denne tilladelse begrænses til i det mindste at omfatte typer eller kategorier af selektorer, der skulle anvendes (dommen i sagen Big Brother Watch, § 354).

143

I den foreliggende sag skal det bemærkes dels, som fastslået af Domstolen i Schrems I-dommen og Schrems II-dommen, at Kommissionen ikke i forbindelse med en afgørelse om tilstrækkeligheden af beskyttelsesniveauet er forpligtet til at sikre sig, at tredjelandets relevante bestemmelser er identiske med dem, der gælder i Unionen, men at de i det væsentlige svarer hertil (jf. præmis 19 og 20 ovenfor).

144

Dels skal det fastslås, at eftersom den masseindsamling af personoplysninger, som blev foretaget af de amerikanske efterretningstjenester, og som er anfægtet i forbindelse med den foreliggende tvist, kan sidestilles med den indsamling af oplysninger, der foretages inden for rammerne af det første trin i aflytningsprocessen, som Menneskerettighedsdomstolen har præciseret i dommen i sagen Big Brother Watch, er behovet for at fastsætte garantier, der begrænser efterretningstjenesternes skønsbeføjelse i denne specifikke fase af masseindsamlingen, mere begrænset, henset til den sammenhæng, hvori indsamlingen finder sted. I den foreliggende sag er der nemlig udelukkende tale om efterretningstjenesternes indledende masseindsamling af personoplysninger, med udelukkelse af efterfølgende aktiviteter, som ikke er genstand for dette søgsmål, og som i givet fald kan bestå i anvendelse af specifikke selektorer, undersøgelse af de indsamlede oplysninger og anvendelse eller efterfølgende videregivelse heraf.

145

Det følger heraf, at kravet om forudgående tilladelse ikke er den eneste sikkerhedsforanstaltning, der skal omgærde masseindsamling af personoplysninger, men er et af de elementer, der tilsammen udgør hjørnestenen i enhver ordning med masseindsamling. Det skal i denne forbindelse bemærkes, at gældende amerikansk ret omfatter retsregler, der på en tilstrækkelig klar og præcis måde regulerer USA’s efterretningstjenesters gennemførelse af masseindsamling af personoplysninger (jf. præmis 107-116 ovenfor) og giver de personer, der er berørt af en overførsel af personoplysninger, ret til en effektiv retsbeskyttelse for DPRC (jf. præmis 33-63 ovenfor). Endvidere fremgår det af 162.-169. betragtning til den anfægtede afgørelse, uden at sagsøgeren har bestridt dette, at de efterretningsaktiviteter, der udføres af efterretningstjenesterne, kontrolleres af PCLOB, der, som det fremgår af præmis 54 ovenfor, i henhold til sin oprettelsesakt var tænkt som en uafhængig tjeneste. De nævnte aktiviteter er ligeledes genstand for tilsyn, for det første af de juridiske ledere og delegerede, som inden for hver efterretningstjeneste har til opgave at overvåge og overholde den nævnte lovgivning, for det andet af den uafhængige generalinspektør, der for hver efterretningstjeneste har til opgave at kontrollere de eksterne efterretningsaktiviteter, der udføres af den pågældende tjeneste, for det tredje af Intelligence Oversight Board (rådet for tilsyn med efterretningstjenester, USA), der er oprettet inden for rammerne af President’s Intelligence Advisory Board (rådgivende efterretningsråd under præsidenten, USA), som skal føre tilsyn med de amerikanske myndigheders overholdelse af loven, og for det fjerde af de særlige udvalg, der er nedsat under den amerikanske kongres, og som varetager overvågningsfunktioner i forbindelse med alle udenlandske efterretningsaktiviteter i USA.

146

Henset til disse betragtninger kan det ikke konkluderes, at den omstændighed, at der ikke er foreskrevet en forudgående tilladelse, der finder anvendelse på USA’s efterretningstjenesters indledende masseindsamling af personoplysninger i transit fra Unionen, er tilstrækkelig til at fastslå, at amerikansk ret i lyset af den lære, der kan udledes af dommen i sagen Big Brother Watch, ikke giver garantier, der i det væsentlige svarer til dem, der er fastsat i EU-retten.

147

Dette argument skal således forkastes.

148

Med det fjerde argument har sagsøgeren gjort gældende, at Den Europæiske Tilsynsførende for Databeskyttelse (herefter »EDPS«) i sin udtalelse 5/2023 af 28. februar 2023 om et udkast til Kommissionens gennemførelsesafgørelse om et tilstrækkeligt beskyttelsesniveau for personoplysninger inden for EU-USA-databeskyttelsesrammen har fremhævet betydningen af at gøre masseindsamling af personoplysninger betinget af en forudgående tilladelse. Ifølge sagsøgeren er de amerikanske efterretningstjenesters masseindsamling af personoplysninger i transit fra Unionen i det foreliggende tilfælde ikke genstand for en forudgående tilladelse.

149

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

150

Det skal bemærkes, at udtalelse 5/2023 blev afgivet af EDPS på grundlag af databeskyttelsesforordningens artikel 70, stk. 1, litra s). Denne bestemmelse fastsætter, at EDPS på eget initiativ eller efter anmodning fra Kommissionen kan afgive udtalelse til Kommissionen med henblik på vurderingen af tilstrækkeligheden af beskyttelsesniveauet i et tredjeland.

151

Når EDPS handler på grundlag af databeskyttelsesforordningens artikel 70, stk. 1, begrænser den sig imidlertid til at yde rådgivning ved at udarbejde udtalelser, retningslinjer, henstillinger og anbefalinger om bedste praksis, som ikke har bindende retsvirkninger (jf. i denne retning kendelse afsagt af Domstolens præsident den 29.11.2023, EDPS mod Afviklingsinstansen, C-413/23 P, ikke trykt i Sml., EU:C:2023:1036, præmis 11). Denne udtalelse er således ikke bindende for Kommissionen, som frit kan vurdere, om dette lands lovgivning samlet set giver et beskyttelsesniveau, der i det væsentlige svarer til det, der er sikret ved EU-retten for så vidt angår masseindsamling af personoplysninger. Under alle omstændigheder skal det bemærkes, at EDPS i den nævnte udtalelse ikke anførte, at den manglende indførelse af en forudgående kontrol i forbindelse med masseindsamling af personoplysninger nødvendigvis påvirkede Kommissionens positive vurdering af tilstrækkeligheden af det beskyttelsesniveau for personoplysninger, som databeskyttelsesrammen tilbød. Tværtimod anførte den tilsynsførende i punkt 165 i samme udtalelse, at denne vurdering afhang af samtlige omstændigheder i sagen, herunder navnlig af USA’s indførelse af en efterfølgende retslig kontrol og en klagemekanisme.

152

På denne baggrund gør udtalelse 5/2023 det ikke muligt at fastslå, at USA’s efterretningstjenesters masseindsamling af personoplysninger i transit fra Unionen skal være genstand for en forudgående tilladelse, og at den beskyttelse, som dette land yder, ikke i det væsentlige svarer til den beskyttelse, der er sikret ved EU-retten.

153

Dette argument og dermed det andet anbringendes andet klagepunkt i sin helhed skal således forkastes.

154

Med det andet anbringendes tredje klagepunkt har sagsøgeren gjort gældende, at Kommissionen har tilsidesat artikel 7 og 8 i chartret om grundlæggende rettigheder, idet den i den anfægtede afgørelse vurderede, at USA tilbød et beskyttelsesniveau, der i det væsentlige svarede til det, der var sikret ved EU-retten i henhold til databeskyttelsesforordningen, sammenholdt med det nævnte charter, på trods af at E.O. 14086 giver USA’s præsident beføjelse til af hensyn til den nationale sikkerhed at tillade en hemmelig ajourføring af de specifikke formål med masseindsamling. Sagsøgeren er nærmere bestemt af den opfattelse, at i modsætning til hvad der blev fastslået i Menneskerettighedsdomstolens dom af 4. december 2015, Roman Zakharov mod Rusland (CE:ECHR:2015:1204JUD004714306, herefter »Zakharov-dommen«), gør tildelingen af beføjelsen til at ajourføre disse specifikke formål det ikke muligt for de personer, der er berørt af en overførsel af personoplysninger, præcist at identificere den retlige ramme, inden for hvilken disse oplysninger behandles i USA.

155

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

156

Det skal bemærkes, at Menneskerettighedsdomstolen i Zakharov-dommen fastslog, at et indgreb i den grundlæggende ret til respekt for privatliv og familieliv kun kan retfærdiggøres i henhold til EMRK’s artikel 8, stk. 2, hvis det er i overensstemmelse med loven (Zakharov-dommen, § 227). Ifølge den nævnte domstol betød udtrykket »overensstemmelse med loven«, at den omtvistede foranstaltning skulle være tilgængelig for den berørte person, og at dens virkninger skulle være forudsigelige (Zakharov-dommen, § 228). På området for aflytning af kommunikation betød »forudsigelige« ikke, at en person skulle være i stand til at forudse, hvornår myndighederne kunne aflytte den pågældendes kommunikation, men at begrænsningerne af den pågældendes ret til respekt for privatliv og familieliv i det væsentlige skulle følge af klare regler (Zakharov-dommen, § 229).

157

Det skal ligeledes bemærkes, at i overensstemmelse med den retspraksis, der er nævnt i præmis 29 ovenfor, skal der, for så vidt som EMRK’s artikel 8 ligesom artikel 7 i chartret om grundlæggende rettigheder fastsætter retten til respekt for privatliv og familieliv, tages hensyn til Menneskerettighedsdomstolens praksis vedrørende EMRK’s artikel 8, herunder Zakharov-dommen, ved fortolkningen af chartrets artikel 7, således som det er tilfældet i den foreliggende sag.

158

I denne henseende fremgår det af afsnit 2, litra c), ii), C), i E.O. 14086, at den mulighed, som USA’s præsident har for at ajourføre listen over de specifikke formål med masseindsamling, ikke er ubegrænset, men er afgrænset til tilfælde, hvor denne ajourføring er nødvendig som følge af fremkomsten af nye hensyn til den nationale sikkerhed, såsom nye trusler eller øgede trusler mod den nationale sikkerhed, hvor masseindsamling af personoplysninger kan anvendes. Det fremgår endvidere af denne bestemmelse, hvilket er blevet bekræftet af USA i retsmødet, at præsidentens ajourføring af de specifikke formål med masseindsamling ikke er hemmelig, men offentliggøres af direktøren for den nationale efterretningstjeneste, medmindre præsidenten vurderer, at en offentliggørelse i sig selv udgør en risiko for landets nationale sikkerhed. I øvrigt er masseindsamling selv i dette tilfælde underlagt alle garantier og alle begrænsninger, der er fastsat i E.O. 14086, og såfremt en berørt person indgiver en klage vedrørende personoplysninger, vil masseindsamlingen blive genstand for et tilsyn af CLPO og i givet fald en prøvelse af DPRC.

159

På denne baggrund kan det ikke anses for godtgjort, at den mulighed, som USA’s præsident har for at ajourføre listen over specifikke formål med masseindsamling, er i strid med de krav, som Menneskerettighedsdomstolen opstillede i Zakharov-dommen.

160

Det andet anbringendes tredje klagepunkt og dermed det nævnte anbringende i sin helhed skal således forkastes.

161

Med sit fjerde anbringende har sagsøgeren gjort gældende, at Kommissionen tilsidesatte databeskyttelsesforordningens artikel 22, for så vidt som den ikke i den anfægtede afgørelse medtog en bestemmelse, der fastslår de registreredes ret til ikke at være genstand for en afgørelse, der er baseret alene på automatisk behandling af personoplysninger, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende (herefter »fuldt automatiserede beslutninger«).

162

Indledningsvis skal det bemærkes, at databeskyttelsesforordningens artikel 22 har følgende ordlyd:

»1.   Den registrerede har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende.

2.   Stk. 1 finder ikke anvendelse, hvis afgørelsen:

163

Det skal ligeledes bemærkes, at begrebet »profilering« i databeskyttelsesforordningens artikel 22, stk. 1, er defineret i samme forordnings artikel 4, stk. 4, som »enhver form for automatisk behandling af personoplysninger, der består i at anvende personoplysninger til at evaluere bestemte personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den fysiske persons arbejdsindsats, økonomiske situation, helbred, personlige præferencer, interesser, pålidelighed, adfærd, geografisk position eller bevægelser«.

164

Det følger heraf, at i henhold til databeskyttelsesforordningens artikel 22 har enhver registreret ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling af personoplysninger, herunder når denne foranstaltning består i at analysere og forudsige visse forhold vedrørende den pågældendes adfærd.

165

Det fremgår imidlertid af den anfægtede afgørelse, at den ikke specifikt behandler spørgsmålet om fuldt automatiserede beslutninger.

166

Det skal således afgøres, om en sådan undladelse kan påvirke lovligheden af den anfægtede afgørelse, for så vidt som den kan rejse tvivl om konklusionen i afgørelsens artikel 1, hvorefter USA sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger.

167

Det er i denne sammenhæng, at de tre klagepunkter, som sagsøgeren har fremført til støtte for sit fjerde anbringende, skal analyseres, idet der indledes med det første og det tredje klagepunkt, som skal behandles samlet.

168

Med det fjerde anbringendes første og tredje klagepunkt har sagsøgeren dels gjort gældende, at den omstændighed, at fuldt automatiserede beslutninger generelt træffes af dataansvarlige, der er etableret i Unionen, og som er omfattet af databeskyttelsesforordningen, ikke giver nogen garanti for så vidt angår andre tilfælde. Dels har sagsøgeren gjort gældende, at den omstændighed, at amerikansk ret giver sektorspecifik beskyttelse i tilfælde af, at vedtagelsen af sådanne afgørelser ikke er omfattet af den nævnte forordnings anvendelsesområde, er uden relevans i det foreliggende tilfælde, for så vidt som denne omstændighed ikke gør det muligt at konkludere, at den beskyttelse, som dette land yder med hensyn til alle fuldt automatiserede beslutninger, generelt svarer til den beskyttelse, der er sikret ved nævnte forordnings artikel 22.

169

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

170

Det skal bemærkes, at det fremgår af 33. betragtning til den anfægtede afgørelse, at der i tilfælde af overførsel af personoplysninger fra Unionen til USA skal sondres mellem tre tilfælde for så vidt angår vedtagelsen af fuldt automatiserede beslutninger.

171

For det første kan fuldt automatiserede beslutninger træffes af en dataansvarlig, der er etableret i Unionen, og som har indsamlet personoplysninger om registrerede i Unionen. Det skal i denne forbindelse bemærkes, at databeskyttelsesforordningens artikel 4, stk. 7, definerer den dataansvarlige som en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger. I dette tilfælde skal den dataansvarlige, for så vidt som den dataansvarlige i overensstemmelse med nævnte forordnings artikel 3, stk. 1, er underlagt samme forordning, overholde de krav, der er fastsat i denne forordnings artikel 22, for så vidt angår sådanne afgørelser.

172

For det andet kan fuldt automatiserede beslutninger træffes enten af en databehandler i et tredjeland, som handler på vegne af den dataansvarlige i Unionen, og som har overført de personoplysninger, som vedkommende har indsamlet i Unionen, til den dataansvarlige, eller af en underkontraheret databehandler, der handler på vegne af en databehandler i Unionen, som har modtaget oplysningerne fra den indsamlende dataansvarlige i Unionen. Det skal i den forbindelse bemærkes, at databeskyttelsesforordningens artikel 4, stk. 8, definerer en databehandler som en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der behandler personoplysninger på den dataansvarliges vegne. I disse tilfælde er udenlandske databehandlere, for så vidt som de handler på vegne af den dataansvarlige eller databehandleren i Unionen, omfattet af den nævnte forordning i henhold til dennes artikel 3, stk. 1. Hvad angår sådanne afgørelser skal den dataansvarlige og databehandleren således overholde de krav, der er fastsat i samme forordnings artikel 22.

173

For det tredje kan fuldt automatiserede beslutninger træffes af en dataansvarlig eller databehandler, der ikke er etableret i Unionen, men som henvender sig til registrerede personer, der befinder sig i Unionen, ved at tilbyde dem varer eller tjenesteydelser eller ved at følge deres adfærd. I dette tilfælde fastsætter databeskyttelsesforordningens artikel 3, stk. 2, imidlertid, at den dataansvarlige og den udenlandske databehandler er omfattet af nævnte forordning. For så vidt angår fuldt automatiserede beslutninger skal disse således overholde de krav, der er fastsat i den nævnte forordnings artikel 22.

174

Det følger af den anfægtede afgørelse, at de omstændigheder, hvorunder fuldt automatiserede beslutninger ikke er omfattet af anvendelsesområdet for databeskyttelsesforordningens artikel 22, er residuelle og er begrænset til det tilfælde, hvor databeskyttelsesrammens organisationer indsamler personoplysninger direkte i Unionen uden dog at tilbyde unionsborgere varer eller tjenesteydelser og uden at overvåge deres adfærd som omhandlet i artikel 3, stk. 2, i denne forordning.

175

Det fremgår imidlertid klart af 35. og 36. betragtning til den anfægtede afgørelse, uden at sagsøgeren har bestridt dette, at amerikansk ret under disse omstændigheder giver en sektoriel beskyttelse, der svarer til den, der er fastsat i databeskyttelsesforordningen, på områder såsom långivning, realkreditlån, ansættelse, bolig og forsikring, hvor databeskyttelsesrammens organisationer ofte anvender fuldt automatiserede beslutninger.

176

På forbrugerkreditområdet indeholder Fair Credit Reporting Act og Equal Credit Opportunity Act (lov om lige muligheder på kreditområdet) garantier, som giver forbrugerne en form for ret til en forklaring og ret til at anfægte fuldt automatiserede beslutninger. Disse love er relevante på en lang række områder, herunder långivning, ansættelse, bolig og forsikring. Desuden giver afsnit VII i Civil Rights Act (lov om borgerlige rettigheder) og Fair Housing Act (lov om retfærdig bolig) fysiske personer beskyttelse med hensyn til modeller, der anvendes i automatiserede beslutningsprocesser, som kan føre til forskelsbehandling på grundlag af visse kendetegn, og de giver personer ret til at anfægte sådanne beslutninger. For så vidt angår sundhedsoplysninger kræver de regler, som de amerikanske myndigheder har vedtaget i henhold til Health Insurance Portability and Accountability Act (lov om portabilitet og ansvar for sygeforsikring), at udbydere af sundhedsydelser modtager oplysninger, der gør det muligt for dem at informere enkeltpersoner om automatiserede beslutningssystemer, der anvendes i sundhedssektoren.

177

På denne baggrund kan det, i modsætning til hvad sagsøgeren har gjort gældende, ikke anses for godtgjort, at den sektorbestemte beskyttelse, der er fastsat i amerikansk ret, er irrelevant i den foreliggende sag, fordi den ikke har samme generelle anvendelsesområde som databeskyttelsesforordningens artikel 22.

178

I denne forbindelse skal det erindres, at Domstolen i Schrems I- og Schrems II-dommene fastslog, at udtrykket »tilstrækkeligt beskyttelsesniveau« i databeskyttelsesforordningens artikel 45, stk. 1, ikke kræver, at det pågældende tredjeland garanterer et beskyttelsesniveau, som er identisk med det niveau, som er sikret i EU-retten, men det skal forstås således, at det opstiller et krav om, at dette tredjeland som følge af sin nationale lovgivning eller sine internationale forpligtelser faktisk sikrer et beskyttelsesniveau for frihedsrettighederne og de grundlæggende rettigheder, som i det væsentlige svarer til det niveau, der er sikret inden for Unionen i medfør af den nævnte forordning, sammenholdt med chartret om grundlæggende rettigheder (jf. præmis 19 og 20 ovenfor).

179

Endvidere fastslog Domstolen i Schrems I-dommen, at selv om de midler, som tredjelandet anvender for at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, kan være forskellige fra de midler, som gennemføres inden for Unionen, skal disse midler ikke desto mindre i praksis vise sig at være effektive med henblik på at sikre en beskyttelse, som i det væsentlige svarer til den inden for Unionen sikrede beskyttelse (jf. præmis 20 ovenfor).

180

Henset til samtlige disse betragtninger skal det fjerde anbringendes første og tredje klagepunkt forkastes.

181

Med det fjerde anbringendes andet klagepunkt har sagsøgeren gjort gældende, at den omstændighed, at den undersøgelse vedrørende fuldt automatiserede beslutninger, som Kommissionen bestilte i 2018, og som er nævnt i 34. betragtning til den anfægtede afgørelse, hvis resultater fremgår af punkt 4.1.5 i rapport COM(2018) 860 final fra Kommissionen til Europa-Parlamentet og Rådet af 19. december 2018 om den anden årlige evaluering af EU’s og USA’s værn om privatlivets fred (herefter »undersøgelsen fra 2018«), konkluderede, at der ikke forelå beviser for, at der forelå fuldt automatiserede beslutninger truffet af organisationer i USA, der havde tilsluttet sig værnet om privatlivets fred, er uden relevans i det foreliggende tilfælde. Sagsøgeren har nærmere bestemt gjort gældende, at den nævnte undersøgelse henviser til afgørelsen om tilstrækkeligheden af værnet om privatlivets fred, som Domstolen annullerede i Schrems II-dommen, og at den ikke tager hensyn til den nuværende situation, der er kendetegnet ved en ekstremt hurtig udvikling af fuldt automatiserede tjenester baseret på kunstig intelligens.

182

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

183

Det fremgår bl.a. af undersøgelsen fra 2018 dels, at der på daværende tidspunkt ikke forelå oplysninger, der gjorde det muligt at antage, at de virksomheder, der var etableret i USA, og som havde tilsluttet sig værnet om privatlivets fred, havde truffet fuldt automatiserede beslutninger, dels at USA havde gennemført sektorspecifik lovgivning på områder som forbrugerkredit, beskæftigelse, bolig, forsikring og sundhed, hvor det var mere sandsynligt, at fuldt automatiserede beslutninger ville blive truffet.

184

I denne henseende skal det for det første bemærkes, at undersøgelsen fra 2018 ikke er nævnt i afgørelsen om tilstrækkeligheden af værnet om privatlivets fred, og den blev bestilt af Kommissionen efter nævnte afgørelses ikrafttræden. Den omstændighed, at denne afgørelse blev annulleret af Domstolen i Schrems II-dommen, er derfor uden betydning for den foreliggende sag. Desuden annullerede Domstolen i Schrems II-dommen ikke den nævnte afgørelse på grundlag af de oplysninger, der var anført i den nævnte undersøgelse.

185

For det andet tog undersøgelsen fra 2018 ganske vist ikke hensyn til den faktiske og retlige situation i USA i 2023 på tidspunktet for vedtagelsen af den anfægtede afgørelse, men til den situation, der forelå i 2018, da undersøgelsen blev gennemført. Den residuelle karakter af de tilfælde, hvor organisationer i USA, der havde tilsluttet sig værnet om privatlivets fred, havde truffet fuldt automatiserede beslutninger, blev imidlertid bekræftet i rapport COM(2019) 495 final fra Kommissionen til Europa-Parlamentet og Rådet af 23. oktober 2019 om den tredje årlige evaluering af EU-USA-privatlivsskjoldet. I denne rapport er det nemlig bl.a. anført, at antallet af organisationer i USA, der deltog i værnet om privatlivets fred, og som havde truffet fuldt automatiserede beslutninger, var begrænset, og at de afgørelser, som disse organisationer traf, generelt ikke havde retsvirkninger og ikke havde andre virkninger i forhold til de berørte personer.

186

For det tredje skal det bemærkes, at sagsøgeren i sine skriftlige indlæg ikke har fremlagt noget bevis, der gør det muligt at fastslå, at organisationer i USA efter gennemførelsen af undersøgelsen fra 2018 traf fuldt automatiserede beslutninger, og ikke i tilstrækkelig grad har forklaret, hvorfor udviklingen af kunstig intelligens ville fratage den nævnte undersøgelse sin relevans.

187

På denne baggrund skal det fjerde anbringendes andet klagepunkt forkastes, og dermed forkastes det nævnte anbringende i sin helhed.

188

Med det femte anbringende har sagsøgeren gjort gældende, at Kommissionen har tilsidesat databeskyttelsesforordningens artikel 32, sammenholdt med samme forordnings artikel 45, stk. 2, for så vidt som den i den anfægtede afgørelse vurderede, at USA tilbød et beskyttelsesniveau, der i det væsentlige svarede til det, der var garanteret i Unionen, for så vidt angår de dataansvarliges og databehandlernes gennemførelse i USA af passende tekniske og organisatoriske foranstaltninger til sikring af sikkerheden ved behandling af personoplysninger, der overføres fra Unionen til dette land.

189

I denne henseende har sagsøgeren for det første gjort gældende, at punkt II.4, litra a), i bilag 1 til den anfægtede afgørelse blot fastsætter, at databeskyttelsesrammens organisationer skal træffe rimelige og passende sikkerhedsforanstaltninger, når de opretter, vedligeholder, anvender eller udbreder personoplysninger. Der kræves således ingen sikkerhedsforanstaltninger, når disse organisationer tilgår personoplysninger fra Unionen. Sagsøgeren har gjort gældende, at en søgning imidlertid er en del af de operationer, der er omfattet af begrebet »behandling« af personoplysninger i databeskyttelsesforordningens artikel 4, stk. 2.

190

For det andet har sagsøgeren gjort gældende, at punkt III.6, litra f), i bilag 1 til den anfægtede afgørelse fastsætter en forpligtelse for organisationer i USA, som forlader databeskyttelsesrammen, til fortsat at overholde de principper, der fremgår af denne afgørelse, herunder principperne om behandlingssikkerhed, så længe de lagrer, anvender eller videregiver personoplysninger, der er overført fra Unionen til USA, men ikke fastsætter en sådan forpligtelse, når disse organisationer tilgår personoplysninger.

191

Kommissionen, støttet af Irland og USA, har bestridt sagsøgerens argumentation.

192

Først og fremmest bør det erindres, at databeskyttelsesforordningens artikel 32 har følgende ordlyd:

»1.   Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige og databehandleren passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, herunder bl.a. alt efter hvad der er relevant:

2.   Ved vurderingen af, hvilket sikkerhedsniveau der er passende, tages der navnlig hensyn til de risici, som behandling udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet.«

193

Endvidere er udtrykket »behandling« i databeskyttelsesforordningens artikel 32 defineret i samme forordnings artikel 4, stk. 2, som »enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse«.

194

Ifølge retspraksis følger det bl.a. af udtrykket »enhver aktivitet«, at EU-lovgiver havde tiltænkt begrebet »behandling« et bredt anvendelsesområde, hvilket bekræftes af den ikke-udtømmende karakter, som udtrykket »f.eks.« giver udtryk for, af de behandlinger, der er opregnet i denne bestemmelse (jf. dom af 7.3.2024, Endemol Shine Finland,C-740/22, EU:C:2024:216, præmis 29 og den deri nævnte retspraksis).

195

Endelig skal det bemærkes, at blandt de faktorer, som Kommissionen skal tage i betragtning ved vurderingen i henhold til databeskyttelsesforordningens artikel 45, stk. 2, litra a), af det beskyttelsesniveau, der tilbydes af et tredjeland, er de sikkerhedsforanstaltninger vedrørende personoplysninger, som dette land har indført.

196

Det er på denne baggrund, at de to argumenter, som sagsøgeren har fremført til støtte for dette anbringende, skal undersøges samlet.

197

Det skal i denne forbindelse bemærkes, at punkt II.4, litra a), i bilag 1 til den anfægtede afgørelse har følgende ordlyd:

»Organisationer, der opretter, vedligeholder, anvender eller videregiver personoplysninger, skal træffe rimelige og passende foranstaltninger for at beskytte disse oplysninger mod tab, misbrug og uautoriseret adgang, videregivelse, ændring og tilintetgørelse under behørig hensyntagen til de risici, som behandlingen indebærer, og de pågældende oplysningers karakter.«

198

Endvidere har punkt III.6, litra f), i bilag 1 til den anfægtede afgørelse følgende ordlyd:

»En organisation skal anvende principperne på alle personoplysninger modtaget fra EU under [databeskyttelsesrammen]. Tilslutningen til principperne er ikke tidsbegrænset med hensyn til de personoplysninger, der modtages i den periode, hvor organisationen drager fordel af [databeskyttelsesrammen]. Hvis en organisation først har tilsluttet sig principperne, skal den fortsat anvende dem på sådanne oplysninger, så længe den lagrer, anvender eller videregiver oplysningerne, også selv om den af en hvilken som helst grund efterfølgende forlader [databeskyttelsesrammen].«

199

Det følger heraf, at punkt II.4, litra a), og punkt III.6, litra f), i bilag 1 til den anfægtede afgørelse ikke vedrører alle former for behandling af personoplysninger som omhandlet i databeskyttelsesforordningens artikel 4, stk. 2. Tværtimod begrænser det første af disse punkter databeskyttelsesrammens organisationers forpligtelse til at vedtage sikkerhedsforanstaltninger til tilfælde, hvor de opretter, forvalter, bruger eller udbreder personoplysninger. Det andet af disse punkter fastsætter derimod, at organisationer, der forlader databeskyttelsesrammen, fortsat skal anvende de principper, der er fastsat i den anfægtede afgørelse, så længe de opbevarer, anvender eller videregiver personoplysninger, der er overført fra Unionen til USA.

200

Det skal imidlertid for det første bemærkes, at Domstolen i Schrems I-dommen og Schrems II-dommen fastslog, at det ikke var nødvendigt, at tredjelandet sikrede en retsbeskyttelse, der er identisk med den, der er sikret i EU-retten (jf. præmis 19 og 20 ovenfor). Det følger heraf, at hvis Kommissionen i den anfægtede afgørelse vurderer, at den amerikanske lovgivning, der var gældende på tidspunktet for vedtagelsen af denne afgørelse, sikrer et beskyttelsesniveau, der i det væsentlige svarer til det, der er fastsat i EU-retten, er det ikke nødvendigt, at nævnte afgørelse indeholder nøjagtig samme ordlyd som den, der fremgår af databeskyttelsesforordningen.

201

For det andet skal de principper, der er fastsat i punkt II.4, litra a), i bilag 1 til den anfægtede afgørelse, fortolkes i lyset af de forhold, der er anført i 23. betragtning til denne afgørelse, som i lighed med databeskyttelsesforordningens artikel 32 fastsætter følgende:

»Personoplysninger skal endvidere behandles på en måde, der garanterer deres sikkerhed, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse. Med henblik herpå skal de dataansvarlige og databehandlerne træffe passende tekniske eller organisatoriske foranstaltninger for at beskytte personoplysninger mod mulige trusler. Disse foranstaltninger skal vurderes under hensyntagen til det aktuelle tekniske niveau og de dermed forbundne omkostninger samt behandlingens karakter, omfang, sammenhæng og formål samt risiciene for den enkeltes rettigheder.«

202

For det tredje udgør ordene »opretter«, »vedligeholder«, »anvender« og »videregiver« i punkt II.4, litra a), i bilag 1 til den anfægtede afgørelse og udtrykkene »lagrer«, »anvender« og »videregiver« i punkt III.6, litra f), i samme bilag specifikke udtryk for den operation, der består i »behandling« af personoplysninger som omhandlet i databeskyttelsesforordningens artikel 32, og de har ligesom denne artikel til formål at dække en bred vifte af operationer vedrørende personoplysninger.

203

For det fjerde defineres udtrykket »anvender« i såvel punkt II.4, litra a), i bilag 1 til den anfægtede afgørelse som i samme bilags punkt III.6, litra f), som at gøre brug af noget til et formål eller en specifik anvendelse. Ud fra dette synspunkt omfatter anvendelsen af personoplysninger søgning i disse oplysninger, for så vidt som det pr. definition er nødvendigt at have adgang til oplysningerne og dermed konsultere dem for at kunne gøre brug af dem. Det følger heraf, at sagsøgerens argument om, at der ikke kræves sikkerhedsforanstaltninger i den anfægtede afgørelse, når databeskyttelsesrammens organisationer konsulterer personoplysninger, der stammer fra Unionen, er ugrundet.

204

Henset til samtlige ovenstående betragtninger skal det femte anbringende forkastes, og følgelig skal Kommissionen frifindes i det hele.

205

I henhold til procesreglementets artikel 134, stk. 1, pålægges det den tabende part at betale sagsomkostningerne, hvis der er nedlagt påstand herom.

206

Da Kommissionen har nedlagt påstand om, at sagsøgeren tilpligtes at betale sagsomkostningerne, og da denne har tabt sagen, bør det pålægges denne at bære sine egne omkostninger og betale Kommissionens omkostninger, herunder omkostningerne i forbindelse med sagen om foreløbige forholdsregler.

207

I henhold til procesreglementets artikel 138, stk. 1, bærer medlemsstater og institutioner, der er indtrådt i en sag, deres egne omkostninger. Irland bør derfor bære sine egne omkostninger.

208

I henhold til procesreglementets artikel 138, stk. 3, kan Retten desuden træffe afgørelse om, at andre intervenienter end de i samme artikels stk. 1 og 2 nævnte skal bære deres egne omkostninger. I det foreliggende tilfælde bestemmes det, at USA bærer sine egne omkostninger.

På grundlag af disse præmisser

udtaler og bestemmer

RETTEN (Tiende Udvidede Afdeling):