1

Mediante su recurso, basado en el artículo 263 TFUE, el demandante, el Sr. Philippe Latombe, solicita, fundamentalmente, la anulación de la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, relativa a la adecuación del nivel de protección de los datos personales en el Marco de Privacidad de Datos UE‑EE. UU. con arreglo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (DO 2023, L 231, p. 118; en lo sucesivo, «Decisión impugnada»).

2

El demandante es un ciudadano francés que alega que utiliza diversas plataformas informáticas que recogen sus datos personales y los transfieren a los Estados Unidos.

3

Por lo que respecta a la transferencia de datos personales desde la Unión Europea a los Estados Unidos, en un primer momento, mediante la sentencia de 6 de octubre de 2015, Schrems (C‑362/14, en lo sucesivo, «sentencia Schrems I, EU:C:2015:650), el Tribunal de Justicia declaró inválida la Decisión 2000/520/CE de la Comisión, de 26 de julio de 2000, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Ministerio de Comercio de Estados Unidos de América (DO 2000, L 215, p. 7).

4

En un segundo momento, mediante la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems (C‑311/18, en lo sucesivo, «sentencia Schrems II, EU:C:2020:559), el Tribunal de Justicia declaró inválida la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, con arreglo a la Directiva 95/46/CE, sobre la adecuación de la protección conferida por el escudo de la privacidad UE‑EE. UU. (DO 2016, L 207, p. 1; en lo sucesivo, «Decisión sobre la adecuación del escudo de la privacidad»).

5

En las sentencias Schrems I y Schrems II, el Tribunal de Justicia, al que se había sometido una petición de decisión prejudicial de apreciación de validez, estimó, en particular, que, contrariamente a la apreciación de la Comisión Europea resultante de las decisiones de adecuación mencionadas en los anteriores apartados 3 y 4, el sistema de puerto seguro y el sistema del escudo de la privacidad (en lo sucesivo, «escudo de la privacidad») que regulan la transferencia de datos personales no garantizaban un nivel de protección de las libertades y de los derechos fundamentales sustancialmente equivalente al garantizado por el Derecho de la Unión.

6

A raíz de la sentencia Schrems II, la Comisión entabló negociaciones con el Gobierno de los Estados Unidos para adoptar una nueva decisión de adecuación que cumpliera los requisitos del artículo 45, apartado 2, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 3, y en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»), tal como han sido interpretados por el Tribunal de Justicia.

7

De este modo, el 7 de octubre de 2022, los Estados Unidos de América aprobaron el Executive Order 14086 (Decreto Presidencial n.o 14086) (en lo sucesivo, «E.O. 14086»), que refuerza las medidas de protección de la vida privada aplicables a las actividades de inteligencia de origen electromagnético llevadas a cabo por las agencias de inteligencia de los Estados Unidos. Este Decreto fue completado por el Attorney General Order n.o 5517‑2022 (Reglamento del Fiscal General n.o 5517‑2022) (en lo sucesivo, «Reglamento AG»), que añadió la parte 201 al título 28 del Code of Federal Regulations (CFR) (Código de los Reglamentos Federales), que regula la creación y el funcionamiento del Data Protection Review Court (tribunal encargado de supervisar la protección de los datos; en lo sucesivo, «DPRC»).

8

El 10 de julio de 2023, tras analizar estos cambios normativos en los Estados Unidos, la Comisión adoptó, sobre la base del artículo 45, apartado 3, del RGPD, la Decisión impugnada, que establece el nuevo marco transatlántico de flujo de datos personales entre la Unión y los Estados Unidos. El artículo 1 de dicha Decisión declara que los Estados Unidos de América garantizan un nivel de protección adecuado de los datos personales transferidos desde la Unión a las entidades estadounidenses que figuren en la lista del «Marco de Privacidad de Datos UE-EE. UU.» (en lo sucesivo, «MPD») publicada y actualizada por su Ministerio de Comercio (en lo sucesivo, «entidades del MPD»).

9

El demandante solicita al Tribunal General que:

10

La Comisión, apoyada por Irlanda y los Estados Unidos de América, solicita al Tribunal General que:

11

Mediante escrito separado presentado en la Secretaría del Tribunal General el 1 de diciembre de 2023, la Comisión propuso una excepción de inadmisibilidad con arreglo al artículo 130 del Reglamento de Procedimiento del Tribunal General.

12

La Comisión alega que el recurso es inadmisible porque el demandante carece de legitimación activa, no tiene interés en ejercitar la acción y la parte de la Decisión impugnada cuya anulación solicita es indisociable del resto de dicha Decisión.

13

El demandante rebate las alegaciones de la Comisión y sostiene que su recurso es admisible.

14

Procede recordar que el juez de la Unión está facultado para apreciar, según las circunstancias de cada caso concreto, si una buena administración de la justicia justifica que se desestime un recurso en cuanto al fondo, sin pronunciarse previamente sobre su admisibilidad (véase, en este sentido, la sentencia de 26 de febrero de 2002, Consejo/Boehringer,C‑23/00 P, EU:C:2002:118, apartados 51 y 52).

15

Así pues, habida cuenta de las circunstancias del presente asunto, el Tribunal General considera que, dado que, en cualquier caso y por las razones expuestas en los apartados 16 a 204 más adelante, el recurso es infundado, procede, en aras de una buena administración de la justicia, examinar su fundamento sin pronunciarse previamente sobre su admisibilidad (véanse, en este sentido, las sentencias de 10 de octubre de 2014, Marchiani/Parlamento, T‑479/13, no publicada, EU:T:2014:866, apartado 23, y de 20 de diciembre de 2023, Naturstrom/Comisión, T‑60/21, no publicada, EU:T:2023:839, apartado 74).

16

En apoyo de su recurso, el demandante invoca cinco motivos, basados:

17

En la vista, el demandante renunció a su primer motivo, relativo a la infracción de los artículos 3 y 4 del Reglamento n.o 1/1958. Por lo tanto, procede examinar únicamente sus motivos segundo a quinto.

18

En primer lugar, procede señalar que el artículo 45, apartado 1, del RGPD establece que podrá autorizarse una transferencia de datos personales a un tercer país mediante una decisión adoptada por la Comisión conforme a la cual ese tercer país, un territorio o uno o varios sectores específicos de ese tercer país garantizan un nivel de protección adecuado. Esta disposición está incluida en el capítulo V de dicho Reglamento, que, como ha indicado el Tribunal de Justicia, tiene como finalidad, en general, garantizar la continuidad del elevado nivel de protección de los datos personales garantizado por el Derecho de la Unión en virtud de dicho Reglamento cuando estos se transfieran a un tercer país (véase, en este sentido, la sentencia Schrems II, apartado 93).

19

A este respecto, el Tribunal de Justicia ha señalado que, sin exigir que el país tercero de que se trate garantice un nivel de protección idéntico al garantizado en el ordenamiento jurídico de la Unión, debe entenderse que la expresión «nivel de protección adecuado» que figura en el artículo 45, apartado 1, del RGPD exige que ese tercer país garantice efectivamente, por su legislación interna o sus compromisos internacionales, un nivel de protección de las libertades y de los derechos fundamentales sustancialmente equivalente al garantizado en la Unión en virtud del antedicho Reglamento, interpretado a la luz de la Carta de los Derechos Fundamentales (véase, en este sentido, la sentencia Schrems II, apartados 94 y 162).

20

El Tribunal de Justicia también ha declarado que, aunque los medios de los que se sirva el tercer país para garantizar un nivel adecuado de protección de los datos personales pueden ser diferentes de los aplicados en la Unión para garantizar el cumplimiento de las exigencias derivadas de la Directiva 95/46, interpretada a la luz de la Carta de los Derechos Fundamentales, tales medios deben ser eficaces en la práctica para garantizar una protección sustancialmente equivalente a la garantizada en la Unión (sentencia Schrems I, apartado 74).

21

Además, el Tribunal de Justicia ha considerado que, dado el importante papel que cumple la protección de los datos personales en relación con el derecho fundamental al respeto de la vida privada, así como el gran número de personas cuyos derechos fundamentales pueden ser vulnerados en caso de transferencia de datos personales a un tercer país que no garantice un nivel de protección adecuado, la facultad de apreciación de la Comisión sobre el carácter adecuado del nivel de protección garantizado por un tercer país queda reducida, por lo que el juez de la Unión debe ejercer un control estricto de la legalidad de una decisión de adecuación (sentencia Schrems I, apartado 78).

22

En segundo lugar, procede recordar que, según reiterada jurisprudencia, la legalidad de un acto de la Unión debe apreciarse en función de los elementos de hecho y de Derecho existentes en la fecha en que el acto fue adoptado, de modo que los actos posteriores a la adopción de una decisión no pueden afectar a su validez (véanse las sentencias de 17 de octubre de 2019, Alcogroup y Alcodis/Comisión, C‑403/18 P, EU:C:2019:870, apartado 45 y jurisprudencia citada, y de 28 de enero de 2021, Qualcomm y Qualcomm Europe/Comisión, C‑466/19 P, EU:C:2021:76, apartado 82 y jurisprudencia citada). Por consiguiente, en el caso de autos, las apreciaciones efectuadas por la Comisión sobre la legalidad de la Decisión impugnada deben examinarse únicamente en función de los elementos de que disponía en el momento en que efectuó dichas apreciaciones.

23

Este es el contexto en el que procede analizar los motivos invocados por el demandante examinando primero el tercer motivo, después el segundo motivo, a continuación el cuarto motivo y, por último, el quinto motivo.

24

Mediante su tercer motivo, el demandante sostiene que la Comisión infringió el artículo 47, párrafo segundo, de la Carta de los Derechos Fundamentales y el artículo 45, apartado 2, del RGPD, dado que, en la Decisión impugnada, consideró que el DPRC ofrecía un nivel de protección adecuado en lo que respecta al derecho de los ciudadanos de la Unión a un juez independiente e imparcial establecido previamente por la ley.

25

Con carácter preliminar, procede señalar que el tenor del artículo 47, párrafo segundo, de la Carta de los Derechos Fundamentales es el siguiente:

«Toda persona tiene derecho a que su causa sea oída equitativa y públicamente y dentro de un plazo razonable por un juez independiente e imparcial, establecido previamente por la ley. Toda persona podrá hacerse aconsejar, defender y representar.»

26

Según las Explicaciones sobre la Carta de los Derechos Fundamentales (DO 2007, C 303, p. 17), el artículo 47, párrafo segundo, de dicha Carta corresponde al artículo 6, apartado 1, del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950 (en lo sucesivo, «CEDH»). El tenor de esta última disposición es el siguiente:

«Toda persona tiene derecho a que su causa sea oída equitativa, públicamente y dentro de un plazo razonable, por un tribunal independiente e imparcial, establecido por la ley, que decidirá los litigios sobre sus derechos y obligaciones de carácter civil o sobre el fundamento de cualquier acusación en materia penal dirigida contra ella.»

27

A este respecto, procede recordar que, según la jurisprudencia, toda vez que el CEDH no constituye, dado que la Unión no se ha adherido a él, un instrumento jurídico integrado formalmente en el ordenamiento jurídico de la Unión, el examen de la validez de un acto de Derecho derivado debe efectuarse únicamente a la luz de los derechos fundamentales garantizados por la Carta de los Derechos Fundamentales (sentencia de 3 de septiembre de 2015, Inuit Tapiriit Kanatami y otros/Comisión, C‑398/13 P, EU:C:2015:535, apartados 45 y 46).

28

No obstante, la jurisprudencia reconoce que, por una parte, en virtud del artículo 6 TUE, apartado 3, los derechos fundamentales reconocidos por el CEDH forman parte del Derecho de la Unión como principios generales y, por otra parte, según el artículo 52, apartado 3, de la Carta de los Derechos Fundamentales, los derechos contenidos en ella que correspondan a derechos garantizados por el CEDH tendrán el mismo sentido y el mismo alcance que los que les confiere el CEDH (véase la sentencia de 31 de mayo de 2018, Korwin-Mikke/Parlamento, T‑770/16, EU:T:2018:320, apartado 38 y jurisprudencia citada).

29

Por consiguiente, según la jurisprudencia, en aras de la coherencia y sin que ello afecte a la autonomía del Derecho de la Unión y del Tribunal de Justicia de la Unión Europea, los derechos que contiene la Carta de los Derechos Fundamentales que correspondan a los garantizados por el CEDH también deben interpretarse a la luz de la jurisprudencia del Tribunal Europeo de Derechos Humanos (en lo sucesivo, «TEDH») [véanse, en este sentido, las sentencias de 9 de noviembre de 2023, Staatssecretaris van Justitie en Veiligheid (Concepto de daños graves), C‑125/22, EU:C:2023:843, apartado 59, y de 31 de mayo de 2018, Korwin-Mikke/Parlamento, T‑770/16, EU:T:2018:320, apartado 38].

30

De ello se deduce, según la jurisprudencia, que el Tribunal de Justicia debe velar, con arreglo al artículo 52, apartado 3, de la Carta de los Derechos Fundamentales, por que su interpretación del artículo 47, párrafo segundo, de dicha Carta garantice un nivel de protección que respete el garantizado por el artículo 6, apartado 1, del CEDH, según lo interpreta el TEDH [véase la sentencia de 6 de octubre de 2021, W. Ż. (Sala de Control Extraordinario y de Asuntos Públicos del Tribunal Supremo — Nombramiento), C‑487/19, EU:C:2021:798, apartado 123 y jurisprudencia citada].

31

Asimismo, cabe señalar que el artículo 45, apartado 2, del RGPD establece que, al evaluar la adecuación del nivel de protección ofrecido por un tercer país, la Comisión tendrá en cuenta, en particular, los siguientes elementos:

32

Las dos imputaciones formuladas por el demandante en apoyo del presente motivo deben examinarse a la luz de estas consideraciones.

33

Mediante la primera imputación de su tercer motivo, el demandante sostiene que el DPRC no es un tribunal independiente e imparcial en el sentido del artículo 47, párrafo segundo, de la Carta de los Derechos Fundamentales, sino un órgano parajurisdiccional dependiente del poder ejecutivo.

34

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate el argumento del demandante.

35

Con carácter preliminar, procede señalar que, según la jurisprudencia, la exigencia de independencia de los tribunales, inherente a la función jurisdiccional, está integrada en el contenido esencial del derecho a la tutela judicial efectiva y del derecho fundamental a un proceso equitativo, que reviste una importancia capital como garante de la protección del conjunto de los derechos que el Derecho de la Unión confiere a los justiciables y de la salvaguarda de los valores comunes de los Estados miembros proclamados en el artículo 2 TUE, en particular el valor del Estado de Derecho [sentencia de 15 de julio de 2021, Comisión/Polonia (Régimen disciplinario de los jueces), C‑791/19, EU:C:2021:596, apartado 58 y jurisprudencia citada]. Conforme al principio de separación de poderes que caracteriza el funcionamiento de un Estado de Derecho, debe garantizarse la independencia de los tribunales, en particular frente a los Poderes Legislativo y Ejecutivo (véase la sentencia de 18 de mayo de 2021, Asociaţia Forumul Judecătorilor din România y otros, C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 y C‑397/19, EU:C:2021:393, apartado 195 y jurisprudencia citada).

36

La jurisprudencia precisa que la exigencia de independencia de los órganos jurisdiccionales comprende dos aspectos. El primero de ellos, de orden externo, supone que el órgano en cuestión ejerza sus funciones con plena autonomía, sin estar sometido a ningún vínculo jerárquico o de subordinación respecto a terceros y sin recibir órdenes ni instrucciones de ningún tipo, cualquiera que sea su procedencia, de tal modo que quede protegido de injerencias o presiones externas que puedan hacer peligrar la independencia de sus miembros a la hora de juzgar o que puedan influir en sus decisiones. El segundo aspecto, de orden interno, se asocia al concepto de imparcialidad y se refiere a la equidistancia que debe guardar el órgano de que se trate con respecto a las partes del litigio y a sus intereses respectivos en relación con el objeto de dicho litigio. Este último aspecto exige el respeto de la objetividad y la inexistencia de cualquier interés en la solución del litigio que no sea el de la aplicación estricta de la norma jurídica (véase la sentencia de 21 de diciembre de 2021, Euro Box Promotion y otros, C‑357/19, C‑379/19, C‑547/19, C‑811/19 y C‑840/19, EU:C:2021:1034, apartado 224 y jurisprudencia citada).

37

Las garantías de independencia e imparcialidad exigidas por el Derecho de la Unión postulan la existencia de normas, especialmente en lo referente a la composición del órgano jurisdiccional, así como al nombramiento, a la duración del mandato y a las causas de inhibición, recusación y cese de sus miembros, que permitan excluir toda duda legítima en los justiciables en lo que respecta a la impermeabilidad de dicho órgano frente a elementos externos y en lo que respecta a la neutralidad de este ante los intereses en litigio [véase la sentencia de 15 de julio de 2021, Comisión/Polonia (Régimen disciplinario de los jueces), C‑791/19, EU:C:2021:596, apartado 59 y jurisprudencia citada].

38

Las tres alegaciones formuladas por el demandante en apoyo de la presente imputación deben examinarse en este contexto.

39

Mediante su primera alegación, el demandante sostiene, en esencia, que el DPRC no es un tribunal independiente e imparcial, dado que su misión consiste en revisar las decisiones del Civil Liberties Protection Officer of the Director of National Intelligence (responsable de la protección de las libertades civiles de la Oficina del Director de Inteligencia Nacional, en lo sucesivo, «CLPO», Estados Unidos), adscrito a la Oficina del Director de Inteligencia Nacional de los Estados Unidos (en lo sucesivo, «director de Inteligencia Nacional»).

40

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate la alegación del demandante.

41

En aras de la claridad, ha de precisarse que la primera alegación de la primera imputación del tercer motivo debe interpretarse en el sentido de que, en esencia, según el demandante, por una parte, al tramitar una reclamación relativa a los datos personales presentada por un interesado en la Unión que desea invocar una infracción del Derecho de los Estados Unidos que regula las actividades de inteligencia de origen electromagnético que afecta a sus intereses en materia de protección de la vida privada y de las libertades civiles (en lo sucesivo, «reclamación relativa a los datos personales»), el CLPO no cuenta con suficientes garantías para asegurar su independencia, ya que está adscrito a la Oficina del Director de Inteligencia Nacional y, por otra parte, el DPRC no es un tribunal independiente e imparcial debido a la insuficiencia de las garantías aplicables al CLPO.

42

De entrada, procede señalar que el examen de las garantías relativas a la independencia del CLPO carece de pertinencia para apreciar si el DPRC constituye un tribunal independiente e imparcial. En efecto, el DPRC fue creado como órgano de control independiente del CLPO, al que, como se desprende del considerando 184 de la Decisión impugnada, la persona que ha presentado la reclamación relativa a los datos personales y cada servicio de la Comunidad de Inteligencia pueden solicitar la revisión de la decisión del CLPO y en el E. O. 14086 se establecieron varias garantías para que las decisiones del CLPO pudieran ser revisadas y, en su caso, modificadas por el DPRC de manera independiente e imparcial.

43

En primer término, de los considerandos 185 y 186 de la Decisión impugnada se desprende, sin que el demandante lo niegue, que el DPRC está compuesto por al menos seis magistrados nombrados por el Attorney General (Fiscal General, Estados Unidos) (en lo sucesivo, «Fiscal General»), tras consultar al Privacy and Civil Liberties Oversight Board (Consejo de Vigilancia de la Vida Privada y de las Libertades Civiles; en lo sucesivo, «PCLOB»), al Secretary of Commerce (Secretario de Estado de Comercio, Estados Unidos) y al director de Inteligencia Nacional, para mandatos renovables de cuatro años, utilizando los mismos criterios que se aplican a los jueces de la magistratura federal y teniendo en cuenta su experiencia judicial anterior. Así, los magistrados deben ser profesionales del Derecho, es decir, miembros colegiados en activo y debidamente autorizados para ejercer la abogacía, y deben tener la experiencia adecuada en materia de normativa de privacidad y de seguridad nacional. Además, el Fiscal General debe procurar que al menos la mitad de los magistrados en cualquier momento tengan experiencia judicial previa, y todos los magistrados deben contar con las habilitaciones de seguridad necesarias para poder acceder a información clasificada de seguridad nacional. Solo las personas que reúnan las cualificaciones mencionadas y que no sean empleadas del poder ejecutivo en el momento de su nombramiento o en los dos años anteriores pueden ser nombradas para el DPRC. Del mismo modo, durante su mandato, los magistrados del DPRC no pueden desempeñar ninguna función o empleo oficial en el Ejecutivo estadounidense.

44

En segundo término, de los considerandos 188 y 189 de la Decisión impugnada se desprende, sin que el demandante lo niegue, que las decisiones del CLPO son revisadas, de manera íntegra, por una sala de tres magistrados del DPRC asistidos por un abogado especial. Pues bien, para realizar dicha revisión, el DPRC no se basa únicamente en el expediente facilitado por el CLPO, sino también en la información y en las observaciones transmitidas por el denunciante, por el abogado especial que asiste a sus magistrados y por las agencias de inteligencia, así como, en su caso, en la información adicional que solicitó durante la tramitación de la reclamación relativa a los datos personales. Además, al llevar a cabo esa revisión, debe aplicar la jurisprudencia pertinente de la Supreme Court of the United States (Tribunal Supremo de los Estados Unidos).

45

En tercer término, de los considerandos 190 y 191 de la Decisión impugnada se desprende, sin que el demandante lo niegue, que el DPRC tiene una facultad de modificación, no está vinculado por la decisión del CLPO y, en caso de desacuerdo con este, puede adoptar su propio fallo acerca de la reclamación relativa a los datos personales. Además, cualquiera que sea la resolución adoptada por el DPRC, esta resolución es vinculante y definitiva. Así pues, tanto las agencias de inteligencia como el Gobierno de los Estados Unidos están obligados a cumplirla.

46

De lo anterior resulta que las garantías previstas por el E. O. 14086 por lo que respecta al funcionamiento y a las facultades del DPRC permiten una revisión independiente e imparcial de las decisiones adoptadas por el CLPO. Por lo tanto, el demandante no puede sostener fundadamente que una insuficiencia de las garantías aplicables al CLPO afecta a la independencia y a la imparcialidad del DPRC.

47

En cualquier caso, por lo que respecta a la supuesta insuficiencia de las garantías dirigidas a asegurar la independencia del CLPO, procede observar lo siguiente.

48

Ha de señalarse que, como se desprende de los considerandos 176 a 181 de la Decisión impugnada, sin que el demandante lo niegue, el E. O. 14086, completado por el Reglamento AG, estableció un mecanismo específico de recurso para tramitar la reclamación relativa a los datos personales. Esta reclamación debe presentarse ante la autoridad de control encargada, en cada Estado miembro, de la supervisión del tratamiento de los datos personales, que la transmite a continuación al CLPO, siempre que contenga los elementos indicados en el apartado 178 de la Decisión impugnada, a saber, la información relativa a los datos personales que sea razonable suponer que han sido transferidos a Estados Unidos, los medios por los que puede considerarse que han sido transferidos, la identidad, si se conoce, de las entidades del Gobierno estadounidense sospechosas de estar implicadas en la presunta infracción, el fundamento de la supuesta infracción del Derecho estadounidense y la naturaleza de la indemnización solicitada. En este contexto, el CLPO debe determinar si las agencias de inteligencia han infringido la legislación de los Estados Unidos aplicable y, en caso afirmativo, si puede ordenar que apliquen medidas correctoras. La decisión del CLPO sobre dicha reclamación es vinculante.

49

Es cierto que, en el considerando 179 de la Decisión impugnada, la Comisión indica que el CLPO forma parte de la Oficina del Director de Inteligencia Nacional y que, además de su competencia específica para examinar la reclamación relativa a los datos personales, está obligado, con carácter más general, a garantizar que la protección de las libertades civiles y de la privacidad se integre adecuadamente en las directrices y procedimientos de dicha oficina y de las agencias de inteligencia y que estos respeten los requisitos aplicables en materia de privacidad y de las libertades civiles. No obstante, por una parte, procede señalar que, como se menciona en dicho considerando, para garantizar la independencia del CLPO, el E. O. 14086 establece que este solo puede ser destituido por dicho director en supuestos justificados, a saber, en caso de falta administrativa, delito contra la Administración pública, violación de la seguridad, incumplimiento de deberes o incapacidad. Por otra parte, como se desprende del considerando 180 de la Decisión impugnada, se prohíbe a los servicios de inteligencia y al director de Inteligencia Nacional impedir o influir indebidamente en el trabajo del CLPO, que, al examinar la reclamación relativa a los datos personales, debe aplicar la normativa de manera imparcial, teniendo en cuenta tanto los intereses de seguridad nacional como la protección de la privacidad.

50

En estas circunstancias, procede desestimar la presente alegación.

51

Mediante su segunda alegación, el demandante sostiene, en esencia, que el DPRC no es un tribunal independiente e imparcial, puesto que está integrado por jueces nombrados por el Fiscal General tras consultar al PCLOB, que es un órgano dependiente del poder ejecutivo.

52

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate la alegación del demandante.

53

En primer lugar, del considerando 110 de la Decisión impugnada se desprende que el PCLOB es una agencia independiente, creada en el seno del poder ejecutivo. La independencia de esta agencia se desprende, en particular, de su composición. En efecto, está compuesta por una junta de cinco miembros nombrados por el presidente de los Estados Unidos, con la aprobación del Senado, para un mandato fijo de seis años. Dichos miembros deben ser escogidos sobre la base de sus cualificaciones profesionales, sus logros, su prestigio, su conocimiento en materia de libertades civiles y privacidad y su experiencia, sin tener en cuenta su afiliación política. El PCLOB no puede tener más de tres miembros que pertenezcan al mismo partido político. Para formar parte del PCLOB, los miembros nombrados no pueden ser cargos públicos electos, funcionarios o empleados públicos del Gobierno Federal en activo; solo pueden ejercer de miembros del PCLOB.

54

De ello se deduce que, aunque el PCLOB se creó en el seno del poder ejecutivo, es, de conformidad con la ley que lo crea, una agencia independiente, cuya misión consiste en supervisar, de manera imparcial, el trabajo realizado por el poder ejecutivo con el fin de proteger, en particular, la vida privada y las libertades civiles. Así, como se indica en el considerando 194 de la Decisión impugnada, sin que el demandante lo niegue, debe controlar cada año si el CLPO y el DPRC tramitaron los asuntos recibidos de manera oportuna, si tuvieron acceso a toda la información necesaria, si tuvieron en cuenta todas las garantías previstas por el E. O. 14086 y si los servicios de inteligencia cumplieron sus resoluciones. Tras esta verificación, debe certificar públicamente que el CLPO y el DPRC han respetado estas garantías. Además, debe presentar un informe al presidente de los Estados Unidos, al Fiscal General, al director de Inteligencia Nacional, a los jefes de los servicios de inteligencia, al CLPO y a los comités de inteligencia del United States Congress (Congreso de los Estados Unidos). Este informe se hace público en una versión no clasificada. El Fiscal General, el director de Inteligencia Nacional, el CLPO y los jefes de los servicios de inteligencia están obligados a cumplir todas las recomendaciones que figuran en dicho informe.

55

Así pues, el hecho de que el PCLOB se haya creado en el seno del poder ejecutivo no permite por sí solo concluir que, debido a su consulta antes del nombramiento de los jueces del DPRC, este último no sea un tribunal independiente e imparcial.

56

En segundo lugar, ha de señalarse que, para garantizar que los jueces del DPRC sean independientes del poder ejecutivo, el E. O. 14086 establece que, en el momento de su nombramiento, el Fiscal General debe respetar los criterios y requisitos indicados en el anterior apartado 43. Además, como se desprende del considerando 187 de la Decisión impugnada, los jueces del DPRC únicamente pueden ser destituidos por el Fiscal General y solo si media causa justa, a saber, falta administrativa, delito contra la Administración pública, violación de la seguridad, incumplimiento de deberes o incapacidad, y tras haber tenido debidamente en cuenta el régimen aplicable a los jueces federales, establecido en las normas relativas a la deontología judicial y al procedimiento de incapacidad de jueces.

57

De ello se deduce que las normas relativas al nombramiento y a la destitución de los jueces del DPRC no permiten cuestionar su independencia e imparcialidad.

58

En tercer lugar, procede señalar que, a tenor del artículo 3, apartado 1, de la Decisión impugnada, la Comisión está obligada a realizar un seguimiento continuo de la aplicación del marco jurídico objeto de dicha Decisión, especialmente las condiciones en que se realizan las transferencias ulteriores de datos personales, se ejercen los derechos individuales y tienen acceso los poderes públicos estadounidenses a los datos transferidos en el marco de dicha Decisión, a fin de evaluar si los Estados Unidos siguen garantizando un nivel de protección adecuado. Así, de conformidad con el apartado 5 de dicho artículo, en caso de que la Comisión tenga indicios de que ya no se garantiza un nivel de protección adecuado, la Comisión informará de ello a las autoridades estadounidenses y, si es necesario, suspenderá, modificará o derogará la Decisión impugnada o limitará su ámbito de aplicación. De ello se deduce que si cambia el marco jurídico vigente en los Estados Unidos en el momento de la adopción de la Decisión impugnada, que llevó a la Comisión a considerar, en esta, que el DPRC ofrecía una protección jurídica sustancialmente equivalente a la garantizada por el Derecho de la Unión, la Comisión decidirá, si fuera necesario, suspender, modificar o derogar la Decisión impugnada o limitar su ámbito de aplicación.

59

Habida cuenta de todas estas consideraciones, procede desestimar la presente alegación.

60

Mediante su tercera alegación, el demandante alega, en esencia, que el DPRC no es un tribunal independiente e imparcial, dado que el Reglamento AG no excluye la posibilidad de que sus jueces queden expuestos a formas de supervisión distintas de las cotidianas por parte del poder ejecutivo.

61

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate la alegación del demandante.

62

Ha de observarse que, aunque de los autos se desprende que, a tenor del artículo 201, apartado 7, letra d), del Reglamento AG, los jueces del DPRC no deben estar sujetos a la supervisión cotidiana del Fiscal General, el considerando 187 de la Decisión impugnada indica también que, con arreglo al E. O. 14086, las agencias de inteligencia y el Fiscal General no pueden entorpecer o ejercer una influencia indebida sobre la labor del DPRC. Además, de los autos se desprende que el E. O. 14086 y el Reglamento AG limitan la posibilidad de que el poder ejecutivo influya en el trabajo del DPRC al establecer que sus jueces solo pueden ser destituidos por el Fiscal General y únicamente por los motivos indicados en el anterior apartado 56.

63

En este contexto, procede desestimar la presente alegación y, en consecuencia, la primera imputación del tercer motivo en su totalidad.

64

Mediante la segunda imputación de su tercer motivo, el demandante alega que el DPRC no fue establecido previamente por la ley, en el sentido del artículo 47, párrafo segundo, de la Carta de los Derechos Fundamentales, en la medida en que no fue creado por una ley aprobada por el Congreso de los Estados Unidos, sino por un acto del ejecutivo, a saber, una decisión del Fiscal General.

65

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate el argumento del demandante.

66

En primer lugar, de la jurisprudencia del Tribunal de Justicia, desarrollada a la luz de la jurisprudencia del TEDH relativa al artículo 6, apartado 1, del CEDH (TEDH, sentencia de 1 de diciembre de 2020, Guðmundur Andri Ástráðsson c. Islandia, CE:ECHR:2020:1201JUD002637418, §§ 231 y 233), se desprende que si bien el derecho a un tribunal establecido previamente por la ley constituye un derecho autónomo, tiene vínculos muy estrechos con las garantías de independencia y de imparcialidad que figuran en esa misma disposición. Más concretamente, aunque cada una de las exigencias impuestas por estos conceptos pretende alcanzar un objetivo concreto, lo que las convierte en garantías específicas de todo proceso equitativo, tienen en común que persiguen el respeto de los principios fundamentales de supremacía de la ley y de separación de poderes. En la base de cada una de estas exigencias se halla, por tanto, el imperativo de preservar la confianza que el poder judicial debe inspirar en el justiciable y la independencia de este poder frente a los demás poderes [véanse las sentencias de 22 de febrero de 2022, Openbaar Ministerie (Tribunal establecido por la ley en el Estado miembro emisor), C‑562/21 PPU y C‑563/21 PPU, EU:C:2022:100, apartado 56 y jurisprudencia citada, y de 29 de marzo de 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, apartado 117 y jurisprudencia citada].

67

El Tribunal de Justicia también ha señalado, haciéndose eco de la jurisprudencia del TEDH (TEDH, sentencia de 8 de julio de 2014, Biagioli c. San Marino, CE:ECHR:2014:0708DEC000816213, §§ 72 a 74; véase también TEDH, sentencia de 2 de mayo de 2019, Pasquini c. San Marino, CE:ECHR:2019:0502JUD005095616, §§ 100 y 101 y jurisprudencia citada), que la expresión «establecido previamente por la ley» tiene por objeto que se evite que la organización del sistema judicial se deje a la discreción del Ejecutivo y que esta materia esté regulada por una ley adoptada por el Poder Legislativo de conformidad con las normas que delimitan el ejercicio de su competencia. Esta expresión refleja, por tanto, el principio del Estado de Derecho y se refiere no solo a la base jurídica de la propia existencia del tribunal, sino también a la composición del órgano enjuiciador en cada asunto, así como a cualquier otra disposición de Derecho interno cuyo incumplimiento conlleva la irregularidad de la participación de uno o varios jueces en el examen del asunto, lo que incluye, en particular, disposiciones relativas a la independencia e imparcialidad de los miembros del órgano jurisdiccional de que se trate (véase la sentencia de 29 de marzo de 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, apartado 121 y jurisprudencia citada).

68

En este contexto, el Tribunal de Justicia ha declarado que, para determinar que se ha incumplido la exigencia de un tribunal establecido previamente por la ley y las consecuencias de tal incumplimiento, es preciso realizar una apreciación global de un cierto número de elementos que, conjuntamente considerados, contribuyen a suscitar dudas legítimas en los justiciables en lo que respecta a la independencia e imparcialidad de los jueces [véase la sentencia de 22 de febrero de 2022, Openbaar Ministerie (Tribunal establecido por la ley en el Estado miembro emisor), C‑562/21 PPU y C‑563/21 PPU, EU:C:2022:100, apartado 74 y jurisprudencia citada].

69

De este modo, el Tribunal de Justicia ha considerado que la circunstancia de que un órgano, como un Consejo Nacional del Poder Judicial, que interviene en el proceso de designación de los jueces esté compuesto, de manera preponderante, por miembros elegidos por el poder legislativo no puede, por sí sola, llevar a dudar de la independencia de los jueces nombrados como resultado de dicho proceso, pero que, sin embargo, puede no ocurrir lo mismo cuando dicha circunstancia conjugada con otros elementos pertinentes y con las condiciones en las que se realizaron dichas elecciones llevan a que se susciten tales dudas [véase la sentencia de 22 de febrero de 2022, Openbaar Ministerie (Tribunal establecido por la ley en el Estado miembro emisor), C‑562/21 PPU y C‑563/21 PPU, EU:C:2022:100, apartado 75 y jurisprudencia citada].

70

Por otra parte, en su sentencia de 1 de diciembre de 2020, Guðmundur Andri Ástráðsson c. Islandia (CE:ECHR:2020:1201JUD002637418), §§ 207 y 212, el TEDH consideró que el nombramiento de jueces por el ejecutivo o por el legislador es admisible, siempre que los jueces así nombrados estén libres de toda presión o influencia cuando ejerzan su función jurisdiccional.

71

De esta jurisprudencia se desprende, en esencia, que, para apreciar si se cumplen las exigencias derivadas del artículo 47, párrafo segundo, de la Carta de los Derechos Fundamentales, no hay que limitarse a apreciar la naturaleza formal del texto jurídico por el que se establece un tribunal y por el que se definen sus normas de funcionamiento, sino que es preciso comprobar si dicho texto jurídico establece garantías suficientes para asegurar su independencia e imparcialidad frente a los demás poderes, en particular, frente al poder ejecutivo.

72

En segundo lugar, ha de recordarse que, como declaró el Tribunal de Justicia en las sentencias Schrems I y Schrems II, en el marco de una decisión de adecuación, la Comisión no está obligada a asegurarse de que las disposiciones pertinentes del tercer país sean idénticas a las vigentes en la Unión, sino que sean sustancialmente equivalentes a las garantizadas por el Derecho de la Unión en virtud del RGPD, interpretado a la luz de la Carta de los Derechos Fundamentales (véanse los apartados 19 y 20 anteriores). De ello se deduce que, en el presente asunto, el Tribunal General está obligado a comprobar si es fundada la apreciación realizada por la Comisión en la Decisión impugnada, según la cual las disposiciones del Derecho de los Estados Unidos relativas a la creación y al funcionamiento del DPRC ofrecen garantías sustancialmente equivalentes a las previstas por el Derecho de la Unión en el artículo 47, párrafo segundo, de la citada Carta. Tales garantías se ofrecen, en particular, cuando el texto jurídico por el que se crea dicho tribunal y por el que se definen sus normas de funcionamiento tiene por objeto garantizar su independencia e imparcialidad respecto de los demás poderes, en particular del poder ejecutivo, a pesar de que dicho texto no constituye, desde un punto de vista formal, una ley.

73

En el caso de autos, del considerando 185 de la Decisión impugnada se desprende, sin que el demandante lo niegue, que el DPRC fue establecido por el Reglamento AG. De ello se desprende que el DPRC no fue creado por una ley adoptada por el poder legislativo, esto es, el Congreso de los Estados Unidos, sino por un acto emanado del poder ejecutivo. En efecto, el Fiscal General es el jefe del Ministerio de Justicia de los Estados Unidos y el principal responsable de la aplicación de la ley en el Gobierno Federal de los Estados Unidos. Es el principal asesor del presidente de los Estados Unidos para todas las cuestiones jurídicas y forma parte de su gabinete.

74

En este contexto, es preciso comprobar si, de manera sustancialmente equivalente al Derecho de la Unión, el E. O. 14086 y el Reglamento AG establecen garantías dirigidas a garantizar la independencia y la imparcialidad del DPRC.

75

A este respecto, en primer término, procede señalar que de los autos se desprende, sin ser rebatido, que:

76

En segundo término, por una parte, procede recordar que de la Decisión impugnada se desprende, en esencia, que:

77

Por otra parte, como se desprende de los considerandos 187 a 189 de la Decisión impugnada, los jueces del DPRC deben respetar, en el cumplimiento de su misión en el seno de este, las siguientes garantías procesales:

78

En tercer término, procede señalar que se subsanaron las deficiencias señaladas por el Tribunal de Justicia en la sentencia Schrems II en lo referente a la falta de garantías relativas a la destitución, por parte del poder ejecutivo, del defensor del pueblo en el ámbito del escudo de la privacidad y a la falta de carácter vinculante de sus decisiones. En efecto, de los autos se desprende que el E. O. 14086 limita los supuestos en los que el Fiscal General puede destituir a los jueces del DPRC y establece que sus resoluciones son vinculantes.

79

En este contexto, procede desestimar la segunda imputación del tercer motivo.

80

Esta conclusión no queda desvirtuada por el hecho de que de los autos se desprenda que, al igual que otros tribunales del sistema jurídico de los Estados Unidos, aunque está facultado para pronunciarse sobre cuestiones jurídicas, el DPRC no constituye una autoridad judicial establecida en virtud del artículo III de la Constitución de los Estados Unidos.

81

En efecto, en la sentencia Schrems II, el Tribunal de Justicia estimó que no solo un órgano jurisdiccional perteneciente al orden judicial, sino también cualquier otro «órgano» que ofrezca a las personas cuyos datos se transfieren a los Estados Unidos garantías sustancialmente equivalentes a las exigidas en el artículo 47 de la Carta de los Derechos Fundamentales, puede garantizar la tutela judicial efectiva (sentencia Schrems II, apartado 197).

82

Habida cuenta de todas las consideraciones anteriores, procede desestimar el tercer motivo en su totalidad.

83

Mediante su segundo motivo, el demandante alega que la Comisión infringió los artículos 7 y 8 de la Carta de los Derechos Fundamentales, en la medida en que, en la Decisión impugnada, consideró que los Estados Unidos de América garantizaban un nivel de protección adecuado en lo que respecta a la recogida masiva de datos personales por parte de las agencias de inteligencia de ese país.

84

Procede señalar que, en las páginas 2 y 23 de la demanda y en la página 4 de la réplica, cuando enuncia el tenor del segundo motivo, el demandante se refiere a la infracción, por parte de la Comisión, de los artículos 7 y 8 de la Carta de los Derechos Fundamentales en lo que respecta no solo a la recogida masiva, sino también a la recogida de grandes cantidades de datos personales. No obstante, en las consideraciones que siguen a la enunciación del tenor de dicho motivo, el demandante concentra su argumentación únicamente en la recogida masiva de esos datos.

85

De la nota a pie de página n.o 250 que figura en la página 46 de la Decisión impugnada, del considerando 141 de dicha Decisión, sin ser rebatido, y de las respuestas dadas por las partes a las preguntas formuladas mediante una diligencia de ordenación del procedimiento y en la vista se desprende que:

86

De lo anterior resulta que, dado que la recogida de grandes cantidades no está autorizada en los Estados Unidos y que la recogida masiva solo puede efectuarse fuera de los Estados Unidos, el objeto del presente motivo se limita, en el caso de autos, a la apreciación de la existencia de una infracción, por parte de la Comisión, de los artículos 7 y 8 de la Carta de los Derechos Fundamentales en lo que respecta a la recogida masiva, por parte de las agencias de inteligencia de los Estados Unidos, de datos personales en tránsito desde la Unión hacia las organizaciones del MPD, con exclusión de toda recogida de datos personales efectuada, en su caso, en el territorio de la Unión por las agencias de inteligencia de los Estados Unidos o de los Estados miembros.

87

Mediante la primera imputación de su segundo motivo, el demandante alega que la Comisión infringió los artículos 7 y 8 de la Carta de los Derechos Fundamentales puesto que, en la Decisión impugnada, consideró, en esencia, que los Estados Unidos de América ofrecían un nivel de protección sustancialmente equivalente al garantizado por el Derecho de la Unión en virtud del RGPD, interpretado a la luz de dicha Carta, a pesar de que el artículo 702 de la FISA concede a las agencias de inteligencia de los Estados Unidos la posibilidad de recopilar masivamente los datos personales de nacionales de otros países.

88

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate el argumento del demandante.

89

Procede señalar que el artículo 702 de la FISA no autoriza la recogida masiva, sino únicamente la recogida selectiva de datos personales.

90

De ello se deduce que, en la medida en que el artículo 702 de la FISA no se refiere a la recogida masiva de datos personales, carece de pertinencia en el caso de autos.

91

En consecuencia, procede desestimar la primera imputación del segundo motivo.

92

Mediante la segunda imputación de su segundo motivo, el demandante alega que la Comisión infringió los artículos 7 y 8 de la Carta de los Derechos Fundamentales puesto que, en la Decisión impugnada, consideró que los Estados Unidos de América ofrecían un nivel de protección sustancialmente equivalente al garantizado por el Derecho de la Unión en virtud del RGPD, interpretado a la luz de dicha Carta, a pesar de que el E. O. 14086 no obliga a las agencias de inteligencia de los Estados Unidos a obtener, antes de la recogida masiva de datos personales, la autorización previa de una autoridad judicial o administrativa.

93

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate el argumento del demandante.

94

En el presente asunto, de los autos se desprende, sin que las partes lo hayan negado, que el Derecho de los Estados Unidos no establece la obligación de que las agencias de inteligencia obtengan la autorización previa de una autoridad judicial o administrativa antes de efectuar la recogida masiva de datos personales en tránsito desde la Unión hacia las organizaciones del MPD.

95

Es preciso determinar si esta falta de autorización previa puede afectar a la legalidad de la Decisión impugnada, en la medida en que podría poner en entredicho la conclusión que figura en el artículo 1 de dicha Decisión, según la cual los Estados Unidos de América ofrecen un nivel adecuado de protección de los datos personales.

96

Con carácter preliminar, procede recordar que, como declaró el Tribunal de Justicia en la sentencia Schrems II, para evaluar la legalidad de una decisión de adecuación, es necesario apreciar si el Derecho del tercer país garantiza un nivel de protección de los derechos y libertades fundamentales sustancialmente equivalente al garantizado en la Unión en virtud del RGPD, interpretado a la luz de la Carta de los Derechos Fundamentales (véase el apartado 19 anterior).

97

Las cuatro alegaciones formuladas por el demandante en apoyo de la presente imputación deben examinarse en este contexto.

98

Mediante su primera alegación, el demandante sostiene, en esencia, que, como ocurría con la Decisión sobre la adecuación del escudo de la privacidad anulada por el Tribunal de Justicia en la sentencia Schrems II debido, en particular, a la falta de establecimiento de un control judicial, la recogida masiva de datos personales efectuada, en el caso de autos, por las agencias de inteligencia de los Estados Unidos no es objeto de control judicial y no está sujeta a normas suficientemente claras y precisas.

99

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate la alegación del demandante.

100

Debe señalarse que, en la sentencia Schrems II, el Tribunal de Justicia declaró que los artículos 7 y 8 de la Carta de los Derechos Fundamentales formaban parte del nivel de protección exigido dentro de la Unión cuyo respeto debe ser constatado por la Comisión antes de adoptar una decisión de adecuación en virtud del artículo 45, apartado 1, del RGPD. En efecto, según el Tribunal de Justicia, todo tratamiento de datos personales de una persona física, incluida su transferencia a un tercer país en el marco de una decisión de adecuación, afecta tanto al derecho fundamental de esa persona al respeto de la vida privada, garantizado en el artículo 7 de dicha Carta, como a su derecho a la protección de sus datos personales, que figura en el artículo 8 de dicha Carta (sentencia Schrems II, apartados 169 a 171).

101

No obstante, el Tribunal de Justicia ha precisado que los derechos consagrados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales no constituyen prerrogativas absolutas, sino que deben considerarse según su función en la sociedad (sentencia Schrems II, apartado 172).

102

Así, conforme al artículo 52, apartado 1, de la Carta de los Derechos Fundamentales, cualquier limitación del ejercicio de los derechos y libertades reconocidos por los artículos 7 y 8 de dicha Carta deberá ser establecida por la ley y respetar el contenido esencial de dichos derechos y libertades. Además, dentro del respeto del principio de proporcionalidad, solo podrán introducirse limitaciones a dichos derechos y libertades cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás (sentencia Schrems II, apartado 174).

103

En este contexto, el Tribunal de Justicia declaró que la posibilidad que el Decreto Presidencial n.o 12333, en su versión modificada, ofrecía a las agencias de inteligencia de los Estados Unidos de acceder a los datos personales en tránsito desde la Unión, sin que dicho acceso haya sido objeto de ningún control judicial, no permitía regular de manera suficientemente clara y precisa el alcance de la recogida masiva de datos personales efectuada por las agencias de inteligencia. Así, consideró que dicho Decreto Presidencial no se ajustaba a las exigencias mínimas establecidas por el Derecho de la Unión con respecto al principio de proporcionalidad y que los programas de vigilancia realizados sobre la base de dicho Decreto no se limitaban a lo estrictamente necesario (sentencia Schrems II, apartados 183 y 184).

104

Ha de precisarse la interpretación que debe darse a la expresión «ningún control judicial» que figura en el apartado 183 de la sentencia Schrems II.

105

A este respecto, procede señalar que ningún elemento de la sentencia Schrems II, en particular en el apartado 183 de dicha sentencia y en la expresión «ningún control judicial», sugiere que la recogida masiva de datos personales deba obligatoriamente ser objeto de una autorización previa expedida por una autoridad independiente. Por el contrario, de la lectura conjunta de dicha expresión y de los apartados 186 a 197 de dicha sentencia se desprende que la decisión por la que se autoriza tal recogida debe, como mínimo, ser objeto de un control judicial a posteriori.

106

En el caso de autos, como se ha indicado en los anteriores apartados 24 a 82, el E. O. 14086 y el Reglamento AG someten las actividades de inteligencia de origen electromagnético llevadas a cabo por las agencias de inteligencia de los Estados Unidos, incluso cuando estas recogen datos personales de forma masiva, al control judicial a posteriori del DPRC, cuyas decisiones son definitivas y vinculantes y se imponen tanto al Gobierno de los Estados Unidos como a dichas agencias. Por consiguiente, contrariamente a lo que alega el demandante, no puede considerarse que la recogida masiva de datos personales efectuada por las agencias de inteligencia sobre la base de la Decisión impugnada no cumple las exigencias derivadas de la sentencia Schrems II a este respecto.

107

Además, en primer lugar, procede recordar que, como se desprende del considerando 141 de la Decisión impugnada, sin que el demandante lo niegue, el E. O. 14086 establece que las agencias de inteligencia deben dar prioridad a la recogida selectiva de datos personales. Así pues, la recogida masiva solo se permite para hacer avanzar una prioridad de inteligencia validada que no pueda obtenerse razonablemente mediante una recogida selectiva. A este respecto, debe señalarse que del considerando 135 de dicha Decisión se desprende que las prioridades de inteligencia validadas se establecen mediante un proceso específico destinado a garantizar el cumplimiento de los requisitos legales aplicables, como los relativos a la privacidad y las libertades civiles. Más concretamente, las prioridades de inteligencia las elabora el director de Inteligencia Nacional y se envían al presidente de los Estados Unidos para su aprobación. Pues bien, antes de proponer al presidente de los Estados Unidos prioridades en materia de información, dicho director debe obtener, para cada prioridad, una evaluación por parte del CLPO. En el marco de esta evaluación, el CLPO debe determinar si la prioridad en cuestión hace avanzar uno o varios de los objetivos legítimos enumerados en el E. O. 14086, si no fue concebida para la recogida de información de origen electromagnético con fines prohibidos y si se estableció tras haber tenido debidamente en cuenta los aspectos relativos a la vida privada y las libertades civiles de todas las personas afectadas, con independencia de su nacionalidad y lugar de residencia.

108

En segundo lugar, procede señalar que, como ponen de relieve los considerandos 127 a 131, 134 y 135 de la Decisión impugnada, sin que el demandante lo niegue, el E. O. 14086 establece exigencias fundamentales que se aplican a todas las actividades de inteligencia de origen electromagnético, incluso cuando estas se llevan a cabo mediante la recogida masiva de datos personales.

109

En primer término, las actividades de inteligencia de origen electromagnético deben basarse en una ley o en una autorización presidencial y deben llevarse a cabo de conformidad con la legislación de los Estados Unidos, especialmente su Constitución.

110

En segundo término, las actividades de inteligencia de origen electromagnético solo pueden llevarse a cabo después de que se haya determinado, sobre la base de una evaluación razonable de todos los factores pertinentes, que son necesarias para perseguir una prioridad de inteligencia validada.

111

En tercer término, las actividades de inteligencia de origen electromagnético deben llevarse a cabo de manera proporcionada a la prioridad de inteligencia validada para la que han sido autorizadas, a fin de lograr un equilibrio adecuado entre la importancia de la prioridad de inteligencia perseguida y el impacto en la privacidad y las libertades civiles del interesado, independientemente de su nacionalidad y lugar de residencia.

112

En cuarto término, el E. O. 14086 enumera los objetivos generales que no pueden perseguirse mediante actividades de inteligencia de origen electromagnético. Se trata, en particular, de los objetivos que consisten en hacer frente a las críticas, las opiniones disidentes o la libre expresión de ideas u opiniones políticas por parte de particulares o de la prensa, en perjudicar a las personas por razón de su etnia, raza, sexo, identidad de género, orientación sexual o religión o en ofrecer una ventaja competitiva a las empresas establecidas en los Estados Unidos.

113

En tercer lugar, del considerando 141 de la Decisión impugnada se desprende, sin que el demandante lo niegue, que el E. O. 14086 establece garantías específicas aplicables a la recogida masiva de datos personales.

114

Para empezar, el E. O. 14086 establece que deben aplicarse métodos y medidas técnicas para limitar los datos que se recogen únicamente a lo necesario para avanzar en una prioridad de inteligencia validada, minimizando al mismo tiempo la recogida de información no pertinente.

115

A continuación, el E. O. 14086 indica que la recogida masiva de datos personales solo puede realizarse para cumplir seis objetivos específicos (en lo sucesivo, «objetivos específicos de la recogida masiva»), a saber, la protección contra el terrorismo, el espionaje, las armas de destrucción masiva, las ciberamenazas, las amenazas dirigidas contra el personal de los Estados Unidos o sus aliados y la delincuencia transnacional. Prevé la posibilidad de que el presidente de los Estados Unidos actualice dichos objetivos específicos si surgen nuevos imperativos de seguridad nacional, como nuevas amenazas o mayores amenazas para la seguridad nacional para las que este considere que podría utilizarse la recogida masiva de datos personales. Estas actualizaciones deben, en principio, hacerse públicas por el director de Inteligencia Nacional, a menos que el presidente de los Estados Unidos considere que ello constituye en sí mismo un riesgo para la seguridad nacional de ese país.

116

Por último, el E. O. 14086 establece que toda consulta de los datos de inteligencia de origen electromagnético obtenidos de forma masiva solo podrá realizarse cuando sea necesaria para avanzar en una prioridad de inteligencia validada, para lograr los objetivos específicos de la recogida masiva y de conformidad con directrices y procedimientos que tengan debidamente en cuenta el efecto de las consultas de esos datos en la vida privada y las libertades civiles de todas las personas afectadas, independientemente de su nacionalidad o lugar de residencia.

117

En estas circunstancias, no cabe sostener fundadamente que la realización de la recogida masiva no esté regulada de manera suficientemente clara y precisa.

118

Habida cuenta de todas estas consideraciones, procede desestimar la presente alegación.

119

Mediante su segunda alegación, el demandante, remitiéndose expresamente al apartado 189 de la sentencia de 6 de octubre de 2020, La Quadrature du Net y otros (C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), sostiene que el Tribunal de Justicia estableció la obligación de las agencias de inteligencia de obtener la autorización previa de una autoridad judicial o administrativa antes de recabar datos de conexión de los operadores que los posean. En su opinión, la recogida masiva, por parte de las agencias de inteligencia de los Estados Unidos, de datos personales en tránsito desde la Unión no es objeto, en el caso de autos, de tal autorización previa.

120

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate la alegación del demandante.

121

Procede señalar que, en la sentencia de 6 de octubre de 2020, La Quadrature du Net y otros (C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), el Tribunal de Justicia consideró, en particular, que el artículo 15, apartado 1, de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO 2002, L 201, p. 37), en su versión modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (DO 2009, L 337, p. 11), en relación con los artículos 7, 8 y 11 y el artículo 52, apartado 1, de la Carta de los Derechos Fundamentales, debe interpretarse en el sentido de que no se opone a una normativa nacional que impone a los proveedores de servicios de comunicaciones electrónicas la obligación de recurrir a la recopilación en tiempo real de los datos de tráfico y de localización, cuando esta se limita a las personas respecto de las cuales existe una razón válida para sospechar que están implicadas en actividades terroristas y sujetas al control previo de un órgano jurisdiccional o de una entidad administrativa independiente (apartado 192 de dicha sentencia).

122

De ello se deduce que el supuesto de que se trataba en el asunto que dio lugar a la sentencia de 6 de octubre de 2020, La Quadrature du Net y otros (C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), difiere del controvertido en el presente asunto. En el caso de autos, no se trata de apreciar la necesidad de someter la recopilación, por parte de los proveedores de servicios de comunicaciones electrónicas, de los datos de tráfico y de localización de los usuarios sospechosos de estar implicados de un modo u otro en actividades terroristas al control previo de una autoridad judicial o administrativa, sino de apreciar si el hecho de que el Derecho de los Estados Unidos no imponga a las agencias de inteligencia la obligación de obtener, antes de la recopilación masiva de datos personales en tránsito hacia ese país, la autorización previa de una autoridad judicial o administrativa pone en entredicho la validez de la declaración de adecuación efectuada por la Comisión en la Decisión impugnada.

123

En estas circunstancias, procede concluir que la referencia a la sentencia de 6 de octubre de 2020, La Quadrature du Net y otros (C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), no es pertinente en el caso de autos.

124

Esta conclusión no queda desvirtuada por la toma en consideración de la sentencia de 30 de abril de 2024, La Quadrature du Net y otros (Datos personales y lucha contra la vulneración de derechos de propiedad intelectual) (C‑470/21, EU:C:2024:370), sobre la que se instó a las partes en el presente asunto a pronunciarse mediante una diligencia de ordenación del procedimiento.

125

Lo que se discutía en el asunto que dio lugar a la sentencia de 30 de abril de 2024, La Quadrature du Net y otros (Datos personales y lucha contra la vulneración de derechos de propiedad intelectual) (C‑470/21, EU:C:2024:370), era la legalidad del acceso, por parte de una autoridad pública nacional encargada de la protección de los derechos de autor y derechos afines contra las vulneraciones de esos derechos cometidas en Internet, a los datos conservados por los proveedores de servicios de comunicaciones electrónicas relativos a la identidad civil correspondientes a direcciones IP a efectos de lucha contra la vulneración de derechos de propiedad intelectual. Más concretamente, ese acceso se justificaba por el objetivo de identificar al titular de una dirección IP que realizó una actividad infractora de los derechos de autor o derechos afines, puesto que había puesto a disposición ilegalmente en Internet obras protegidas para su descarga por otras personas. En estas circunstancias, el Tribunal de Justicia declaró que un control previo por un órgano jurisdiccional o por una entidad administrativa independiente:

126

De ello se deduce que el asunto que dio lugar a la sentencia de 30 de abril de 2024, La Quadrature du Net y otros (Datos personales y contra la vulneración de derechos de propiedad intelectual) (C‑470/21, EU:C:2024:370), versa sobre el acceso, por parte de las autoridades nacionales, a una dirección IP con el propósito de luchar contra la vulneración del derecho de propiedad intelectual y que tal objeto es distinto de la recogida masiva, por parte de las agencias de inteligencia, de datos personales en tránsito desde la Unión. Por consiguiente, no puede considerarse, a la luz de dicha sentencia, que la recogida masiva, por parte de las agencias de inteligencia de los Estados Unidos, de datos personales en tránsito desde la Unión deba ser objeto de una autorización previa.

127

Así pues, procede desestimar la presente alegación.

128

Mediante su tercera alegación, el demandante aduce, en esencia, que, en la sentencia del TEDH de 25 de mayo de 2021, Big Brother Watch y otros c. Reino Unido (CE:ECHR:2021:0525JUD005817013; en lo sucesivo, «sentencia Big Brother Watch»), el TEDH consideró que las actividades de interceptación masiva de datos personales debían estar sujetas a la autorización previa de una autoridad independiente a partir del momento en que se definieran los objetivos y el alcance de la operación de vigilancia. En su opinión, la recogida masiva, por parte de las agencias de inteligencia de los Estados Unidos, de datos personales en tránsito desde la Unión no es objeto, en el caso de autos, de esa autorización previa.

129

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate la alegación del demandante.

130

Es preciso señalar que el asunto que dio lugar a la sentencia Big Brother Watch versaba, en particular, sobre la compatibilidad, a la luz del artículo 8 del CEDH, del régimen británico de vigilancia secreta que concedía a las agencias de inteligencia la facultad de interceptar en masa las comunicaciones electrónicas y los datos de comunicación asociados, es decir, los datos de tráfico relativos a las comunicaciones interceptadas, que se realizaban en principio fuera de las islas británicas.

131

Además, como se desprende de la jurisprudencia citada en el anterior apartado 29, en la medida en que el artículo 8 del CEDH consagra, al igual que el artículo 7 de la Carta de los Derechos Fundamentales, el derecho al respeto de la vida privada y familiar, la jurisprudencia del TEDH relativa al artículo 8 del CEDH debe tenerse en cuenta para interpretar el alcance del artículo 7 de dicha Carta. De ello se deduce que si el Tribunal General declarase que la sentencia Big Brother Watch es pertinente en el caso de autos, las consideraciones expuestas por el TEDH en dicha sentencia, por lo que respecta al alcance del artículo 8 del CEDH, deberían tenerse en cuenta para interpretar el alcance del artículo 7 de la Carta.

132

A este respecto, procede recordar que, en la sentencia Big Brother Watch, el TEDH se pronunció sobre la legalidad de la interceptación masiva por parte de los servicios de inteligencia británicos de las comunicaciones electrónicas y de los datos de comunicación asociados que se realizaban en principio fuera de las islas británicas.

133

Pues bien, como señalaron las partes en el presente asunto en su respuesta a la diligencia de ordenación del procedimiento y en la vista, los argumentos expuestos por el TEDH en la sentencia Big Brother Watch son pertinentes en el caso de autos, en la medida en que puede considerarse que la interceptación masiva de datos personales controvertida en el asunto que dio lugar a dicha sentencia incluye la recogida masiva objeto de la Decisión impugnada.

134

En primer término, procede señalar que, mientras que la versión francesa de la sentencia Big Brother Watch utiliza la expresión «interception en masse» de datos, la versión inglesa utiliza la expresión «bulk interception», que se corresponde más concretamente con el concepto francés de «interception en vrac».

135

En segundo término, a diferencia de la interceptación selectiva, la interceptación de inteligencia de que se trataba en la sentencia Big Brother Watch fue definida por el TEDH como aquella que no se refería a personas determinadas y, por consiguiente, podía afectar a un gran número de personas y de datos de comunicación asociados y tener así un alcance muy amplio, ya que permitía, en particular, recabar información en el marco de la inteligencia exterior y detectar nuevas amenazas procedentes de actores conocidos o desconocidos. Además, según dicho Tribunal, debido a su finalidad relacionada con la protección de la seguridad nacional, la interceptación en masa la efectuaban generalmente las autoridades competentes en secreto, lo que significaba que estas solo hacían pública poca información sobre el funcionamiento del sistema, o incluso ninguna. (véase, en este sentido, la sentencia Big Brother Watch, apartado 322).

136

En tercer término, en la sentencia Big Brother Watch, el TEDH consideró que, aunque no todos los regímenes de interceptación masiva estaban concebidos sobre el mismo modelo y sus modalidades de aplicación podían cambiar sin respetar siempre un orden cronológico estricto, la interceptación masiva era un proceso gradual que se desarrollaba, en esencia, según las cuatro etapas siguientes (en lo sucesivo, «etapas de la interceptación»):

137

De ello se deduce que una operación de recogida masiva de datos personales, como la que es objeto de la Decisión impugnada, está comprendida en el perímetro de la primera de las etapas de la interceptación identificadas por el TEDH en la sentencia Big Brother Watch, en la medida en que consiste en recoger, con fines de protección de la seguridad nacional, los datos personales en tránsito a partir de la Unión de un gran número de personas.

138

En este contexto, procede extraer las consecuencias de la sentencia Big Brother Watch en el marco de la apreciación de la legalidad de una decisión de adecuación adoptada sobre la base del artículo 45, apartado 3, del RGPD, como la Decisión impugnada.

139

A este respecto, en primer lugar, procede señalar que, en la sentencia Big Brother Watch, el TEDH precisó que el artículo 8 del CEDH no prohíbe el uso de la interceptación masiva para proteger la seguridad nacional u otros intereses nacionales esenciales frente a amenazas externas graves y que los Estados disfrutan de un amplio margen de apreciación al decidir el tipo de régimen de interceptación que necesitan (sentencia Big Brother Watch, apartado 347).

140

En segundo lugar, el TEDH indicó que la interceptación masiva de datos personales debe estar sujeta a salvaguardas de extremo a extremo que, consideradas conjuntamente, constituyen la piedra angular de cualquier régimen de interceptación masiva, a saber:

141

En tercer lugar, el TEDH señaló que, si bien el artículo 8 del CEDH se aplica a cada una de las etapas de la interceptación, la necesidad de salvaguardas será mayor a medida que el proceso atraviesa esas distintas fases y, por consiguiente, aumenta la intensidad de la injerencia en el derecho al respeto de la vida privada. Así pues, a su juicio, la necesidad de aplicar salvaguardias será máxima al final del proceso, cuando la información sobre una persona en particular es analizada o el contenido de las comunicaciones está siendo examinado por un analista (véase, en este sentido, la sentencia Big Brother Watch, apartados 330 y 331).

142

En cuarto lugar, el TEDH consideró que, en la medida en que la inclusión de todos los selectores empleados por las agencias de inteligencia para filtrar las comunicaciones recogidas en el perímetro de la autorización previa no sea factible en la práctica, el alcance de dicha autorización debe limitarse para incluir al menos los tipos o categorías de selectores que se utilizarán (sentencia Big Brother Watch, apartado 354).

143

En el presente asunto, por una parte, procede recordar que, como declaró el Tribunal de Justicia en las sentencias Schrems I y Schrems II, la Comisión no está obligada, en el marco de una decisión de adecuación, a asegurarse de que las disposiciones pertinentes del tercer país sean idénticas a las vigentes en la Unión, sino de que sean sustancialmente equivalentes (véanse los apartados 19 y 20 anteriores).

144

Por otra parte, ha de considerarse que, dado que la recogida masiva de datos personales efectuada por las agencias de inteligencia de los Estados Unidos que se cuestiona en el presente litigio puede asimilarse a la interceptación de datos efectuada en el marco de la primera de las etapas de la interceptación indicadas por el TEDH en la sentencia Big Brother Watch, la necesidad de prever, para esta etapa específica de la recogida masiva, garantías que limiten la facultad discrecional de las agencias de inteligencia es más limitada, habida cuenta del contexto en el que se efectúa la interceptación. En efecto, lo que se discute en el caso de autos es únicamente la interceptación inicial masiva de datos personales por parte de las agencias de inteligencia, con exclusión de las actividades posteriores, que no son objeto de este recurso y que podrían consistir, en su caso, en la aplicación de selectores específicos, en el examen de los datos recogidos y en su uso o su comunicación ulterior.

145

De ello se deduce que el hecho de establecer una autorización previa no es la única salvaguarda que debe aplicarse a la interceptación masiva de datos personales, sino que constituye uno de los elementos que, considerados conjuntamente, constituyen la piedra angular de cualquier régimen de interceptación masiva. A este respecto, ha de recordarse que el Derecho de los Estados Unidos en vigor establece normas jurídicas que regulan de manera suficientemente clara y precisa la realización, por parte de las agencias de inteligencia estadounidenses, de la recogida masiva de datos personales (véanse los apartados 107 a 116 anteriores) y concede a las personas afectadas por la transferencia de sus datos el derecho a la tutela judicial efectiva ante el DPRC (véanse los apartados 33 a 63 anteriores). Además, los considerandos 162 a 169 de la Decisión impugnada indican, sin que el demandante lo niegue, que las actividades de inteligencia llevadas a cabo por las agencias de inteligencia están controladas por el PCLOB, que, como resulta del apartado 54 anterior, fue concebido por su estatuto fundador como una agencia independiente. Asimismo, dichas actividades son objeto de supervisión, en primer lugar, por parte de los responsables jurídicos y de los delegados que, dentro de cada agencia de inteligencia, tienen encomendados la vigilancia y el respeto de dicho Derecho; en segundo lugar, por el inspector general independiente encargado, para cada agencia de inteligencia, de controlar las actividades de inteligencia exterior realizadas por la agencia en cuestión; en tercer lugar, por el Intelligence Oversight Board (Consejo de Vigilancia de la Inteligencia, Estados Unidos), creado en el seno del President’s Intelligence Advisory Board (Consejo Consultivo de Inteligencia del Presidente, Estados Unidos) y encargado de supervisar el cumplimiento de la ley por parte de las autoridades de los Estados Unidos, y, en cuarto lugar, por las comisiones especiales creadas en el seno del Congreso de los Estados Unidos que ejercen funciones de vigilancia de todas las actividades de inteligencia exterior de ese país.

146

Habida cuenta de estas consideraciones, no cabe concluir que el hecho de no establecer una autorización previa aplicable a la recogida inicial masiva, por parte de las agencias de inteligencia de los Estados Unidos, de datos personales en tránsito a partir de la Unión baste para considerar que el Derecho estadounidense no ofrezca, a la luz de la doctrina jurisprudencial dimanante de la sentencia Big Brother Watch, garantías sustancialmente equivalentes a las previstas por el Derecho de la Unión.

147

Por lo tanto, procede desestimar la presente alegación.

148

Mediante su cuarta alegación, el demandante sostiene que, en su Dictamen 5/2023, de 28 de febrero de 2023, sobre el proyecto de Decisión de Ejecución de la Comisión Europea relativa a la adecuación de la protección de los datos personales de acuerdo con el marco de privacidad de datos UE‑EE. UU. (en lo sucesivo, «Dictamen 5/2023»), el Comité Europeo de Protección de Datos (CEPD) subrayó la importancia de supeditar la recogida masiva de datos personales a autorización previa. En opinión del demandante, la recogida masiva, por parte de las agencias de inteligencia estadounidenses, de datos personales en tránsito desde la Unión no está sujeta a autorización previa en el presente asunto.

149

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate la alegación del demandante.

150

Ha de señalarse que el Dictamen 5/2023 fue emitido por el CEPD sobre la base del artículo 70, apartado 1, letra s), del RGPD. Esta disposición establece que, a iniciativa propia o a instancia de la Comisión, el CEPD podrá facilitar a esta última un dictamen para evaluar la adecuación del nivel de protección en un tercer país.

151

Pues bien, cuando actúa sobre la base del artículo 70, apartado 1, del RGPD, el CEPD se limita a ejercer una función de asesoramiento mediante la elaboración de dictámenes, directrices, recomendaciones y recomendaciones de buenas prácticas que no producen efectos jurídicos obligatorios (véase, en este sentido, el auto del Presidente del Tribunal de Justicia de 29 de noviembre de 2023, CEPD/JUR, C‑413/23 P, no publicado, EU:C:2023:1036, apartado 11). Así pues, este Dictamen no vincula a la Comisión, que sigue siendo libre de apreciar si el Derecho de ese país ofrece globalmente un nivel de protección sustancialmente equivalente al garantizado por el Derecho de la Unión en lo que respecta a la recogida masiva de datos personales. En cualquier caso, ha de constatarse que, en dicho Dictamen, el CEPD no indicó que la falta de establecimiento de un control previo relativo a la recogida masiva de datos personales repercutiera necesariamente de forma desfavorable sobre la evaluación positiva, por parte de la Comisión, del carácter adecuado del nivel de protección de los datos personales ofrecido por el MDP. Por el contrario, señaló, en el apartado 165 del mismo Dictamen, que dicha evaluación dependía de todas las circunstancias del caso y, en particular, del establecimiento por los Estados Unidos de América de un control judicial a posteriori y de un mecanismo de recurso.

152

En este contexto, el Dictamen 5/2023 no permite considerar que la recogida masiva, por parte de las agencias de inteligencia de los Estados Unidos, de datos personales en tránsito desde la Unión deba ser objeto de una autorización previa y que la protección ofrecida por ese país no sea sustancialmente equivalente a la garantizada por el Derecho de la Unión.

153

Por consiguiente, debe desestimarse la presente alegación y, en consecuencia, la segunda imputación del segundo motivo en su totalidad.

154

Mediante la tercera imputación de su segundo motivo, el demandante alega que la Comisión infringió los artículos 7 y 8 de la Carta de los Derechos Fundamentales al considerar, en la Decisión impugnada, que los Estados Unidos de América ofrecían un nivel de protección sustancialmente equivalente al garantizado por el Derecho de la Unión en virtud del RGPD, interpretado a la luz de dicha Carta, a pesar de que el E. O. 14086 concede al presidente de los Estados Unidos, por razones de seguridad nacional, la facultad de autorizar una actualización secreta de los objetivos específicos de la recogida masiva. Más concretamente, estima que, contrariamente a lo que se declaró en la sentencia del TEDH de 4 de diciembre de 2015, Roman Zakharov c. Rusia (CE:ECHR:2015:1204JUD004714306; en lo sucesivo, «sentencia Zakharov»), la atribución a dicho presidente de la facultad de actualizar esos objetivos específicos no permite a las personas afectadas por una transmisión de datos personales identificar de manera precisa el marco jurídico en el que estos son tratados en los Estados Unidos.

155

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate el argumento del demandante.

156

Ha de señalarse que, en la sentencia Zakharov, el TEDH consideró que una injerencia en el derecho fundamental al respeto de la vida privada y familiar solo puede justificarse a la luz del artículo 8, apartado 2, del CEDH si está prevista por la ley (sentencia Zakharov, apartado 227). Pues bien, según dicho Tribunal, la expresión «prevista por la ley» significa que la medida controvertida debe ser accesible para la persona afectada y que debe ser previsible en cuanto a sus efectos (sentencia Zakharov, apartado 228). En materia de interceptación de comunicaciones, la «previsibilidad» no significa que una persona deba estar en condiciones de prever cuándo las autoridades pueden interceptar sus comunicaciones, sino que, en esencia, las limitaciones a su derecho al respeto de la vida privada y familiar deben resultar de normas claras (sentencia Zakharov, apartado 229).

157

Asimismo, procede recordar que, de conformidad con la jurisprudencia citada en el anterior apartado 29, en la medida en que el artículo 8 del CEDH consagra, al igual que el artículo 7 de la Carta de los Derechos Fundamentales, el derecho al respeto de la vida privada y familiar, la jurisprudencia del TEDH relativa al artículo 8 del CEDH, incluida por tanto la sentencia Zakharov, debe tenerse en cuenta para interpretar, como en el caso de autos, el artículo 7 de dicha Carta.

158

A este respecto, del artículo 2, letra c), inciso ii), parte C, del E. O. 14086 se desprende que la facultad concedida al presidente de los Estados Unidos de actualizar la lista de los objetivos específicos de la recogida masiva no es ilimitada, sino que se circunscribe únicamente a los supuestos en los que dicha actualización resulte necesaria debido a la aparición de nuevos imperativos de seguridad nacional, como nuevas amenazas o mayores amenazas para la seguridad nacional para las que podría utilizarse la recogida masiva de datos personales. Además, de esta disposición resulta, y así lo confirmaron los Estados Unidos de América en la vista, que la actualización, por parte del presidente, de dichos objetivos específicos no es secreta, sino que es objeto de publicidad por parte del director de Inteligencia Nacional, salvo si el presidente considera que esa publicidad constituye en sí misma un riesgo para la seguridad nacional de su país. Además, incluso en este supuesto, la recogida masiva está sujeta a todas las garantías y limitaciones previstas por el E. O. 14086 y si un interesado presenta la reclamación relativa a los datos personales, esta es objeto de vigilancia por parte del CLPO y, en su caso, de revisión por parte del DPRC.

159

En este contexto, no puede considerarse que la facultad conferida al presidente de los Estados Unidos de actualizar la lista de objetivos específicos de la recogida masiva sea contraria a las exigencias establecidas por el TEDH en la sentencia Zakharov.

160

Por consiguiente, procede desestimar la tercera imputación del segundo motivo y, por tanto, dicho motivo en su totalidad.

161

Mediante su cuarto motivo, el demandante sostiene que la Comisión infringió el artículo 22 del RGPD en la medida en que, en la Decisión impugnada, no estableció una disposición que establezca el derecho de los interesados a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de datos personales, incluida la elaboración de perfiles, que produzcan efectos jurídicos en ellos o les afecten significativamente (en lo sucesivo, «decisiones totalmente automatizadas»).

162

Con carácter preliminar, procede señalar que los términos del artículo 22 del RGPD son los siguientes:

«1.   Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.

2.   El apartado 1 no se aplicará si la decisión:

163

Asimismo, procede señalar que el término «elaboración de perfiles» que figura en el artículo 22, apartado 1, del RGPD se define en el artículo 4, apartado 4, del mismo Reglamento como «toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física».

164

De ello se deduce que, a tenor del artículo 22 del RGPD, todo interesado tiene derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado de datos personales, incluso cuando dicha medida consista en analizar y predecir determinados aspectos de su comportamiento.

165

Pues bien, de la Decisión impugnada se desprende que no trata específicamente de la cuestión relativa a las decisiones totalmente automatizadas.

166

Así pues, es preciso determinar si esta omisión puede afectar a la legalidad de la Decisión impugnada, en la medida en que podría poner en entredicho la conclusión que figura en el artículo 1 de dicha Decisión, según la cual los Estados Unidos de América ofrecen un nivel adecuado de protección de los datos personales.

167

Este es el contexto en el que deben analizarse las tres imputaciones formuladas por el demandante en apoyo de su cuarto motivo, comenzando por las imputaciones primera y tercera, que procede examinar conjuntamente.

168

Mediante las imputaciones primera y tercera de su cuarto motivo, el demandante sostiene, por una parte, que el hecho de que las decisiones totalmente automatizadas sean adoptadas generalmente por responsables del tratamiento que, al estar establecidos en la Unión, están sujetos al RGPD no ofrece ninguna garantía en lo que respecta a los demás casos. Por otra parte, señala que el hecho de que el Derecho de los Estados Unidos ofrezca protecciones sectoriales en el supuesto de que la adopción de tales decisiones no esté comprendida en el ámbito de aplicación de dicho Reglamento carece de pertinencia en el caso de autos, en la medida en que esta circunstancia no permite concluir que, en el plano general, la protección que ofrece ese país para todas las decisiones totalmente automatizadas sea equivalente a la garantizada por el artículo 22 de dicho Reglamento.

169

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate el argumento del demandante.

170

Procede señalar que del considerando 33 de la Decisión impugnada se desprende que, en caso de transferencia de datos personales desde la Unión a los Estados Unidos, deben distinguirse tres supuestos en lo que respecta a la adopción de decisiones totalmente automatizadas.

171

En primer lugar, es posible que las decisiones totalmente automatizadas sean adoptadas por un responsable del tratamiento establecido en la Unión que haya recogido en la Unión los datos personales de las personas afectadas. A este respecto, procede señalar que el artículo 4, punto 7, del RGPD define al responsable del tratamiento como la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y los medios del tratamiento de datos personales. En este supuesto, en la medida en que, con arreglo al artículo 3, apartado 1, de dicho Reglamento, el responsable del tratamiento está sujeto al mismo Reglamento, debe cumplir los requisitos establecidos en el artículo 22 de dicho Reglamento por lo que respecta a tales decisiones.

172

En segundo lugar, las decisiones totalmente automatizadas pueden ser adoptadas bien por un encargado del tratamiento establecido en un tercer país que actúe en nombre del responsable del tratamiento establecido en la Unión que le haya transferido los datos personales que haya recogido en la Unión, bien por un subencargado que actúe por cuenta del encargado del tratamiento establecido en la Unión que le haya transferido los datos recogidos en la Unión. A este respecto, debe señalarse que el artículo 4, punto 8, del RGPD define al encargado del tratamiento como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En estos supuestos, en la medida en que los encargados extranjeros actúen en nombre del responsable del tratamiento o del encargado del tratamiento de la Unión, están sujetos a dicho Reglamento en virtud del artículo 3, apartado 1, del citado Reglamento. Así pues, por lo que respecta a tales decisiones, el responsable y el encargado del tratamiento deben cumplir los requisitos establecidos en el artículo 22 del mismo Reglamento.

173

En tercer lugar, es posible que las decisiones totalmente automatizadas sean adoptadas por un responsable del tratamiento o un encargado del tratamiento que no esté establecido en la Unión, pero que se dirija a personas afectadas que se encuentren en la Unión ofreciéndoles bienes o servicios o siguiendo su comportamiento. Pues bien, en este supuesto, el artículo 3, apartado 2, del RGPD establece que el responsable del tratamiento y el encargado del tratamiento extranjero están sujetos a dicho Reglamento. Así, por lo que respecta a las decisiones totalmente automatizadas, deben cumplir los requisitos establecidos en el artículo 22 de ese Reglamento.

174

Por lo tanto, de la Decisión impugnada se desprende que los supuestos en los que las decisiones totalmente automatizadas no están comprendidas en el ámbito de aplicación del artículo 22 del RGPD son residuales y se limitan al caso de que las organizaciones del MPD recojan directamente, en la Unión, los datos personales, sin ofrecer, no obstante, a los ciudadanos de la Unión bienes o servicios y sin seguir su comportamiento, en el sentido del artículo 3, apartado 2, de dicho Reglamento.

175

Pues bien, de los considerandos 35 y 36 de la Decisión impugnada se desprende, sin que el demandante lo niegue, que, en estos supuestos, el Derecho de los Estados Unidos ofrece protecciones sectoriales similares a las previstas por el RGPD en ámbitos como la concesión de créditos, las ofertas de préstamos inmobiliarios, las decisiones de contratación, el empleo, la vivienda y los seguros, en los que es más probable que las organizaciones del MPD adopten decisiones totalmente automatizadas.

176

Así, en materia de crédito al consumo, la Fair Credit Reporting Act (Ley sobre la Imparcialidad de las Fichas de Información Crediticia) y la Equal Credit Opportunity Act (Ley de Igualdad de Oportunidades de Crédito) contienen garantías que ofrecen a los consumidores una forma de derecho a la explicación y un derecho a impugnar las decisiones totalmente automatizadas. Estas Leyes son de aplicación a un amplio conjunto de ámbitos, tales como los préstamos, el empleo, la vivienda y los seguros. Además, el título VII de la Civil Rights Act (Ley de Derechos Civiles) y la Fair Housing Act (Ley de Vivienda Justa) protegen a las personas físicas contra los modelos utilizados en decisiones totalmente automatizadas que podrían dar lugar a discriminación sobre la base de determinadas características y les conceden el derecho a impugnar tales decisiones. Por otra parte, por lo que se refiere a la información sanitaria, las normas adoptadas por las autoridades estadounidenses en virtud de la Health Insurance Portability and Accountability Act (Ley de Portabilidad de los Seguros de Enfermedad y de Responsabilidad Respecto de Estos) exigen que los prestadores de servicios médicos reciban información que les permita informar a las personas de los sistemas de toma de decisiones totalmente automatizadas utilizadas en el sector médico.

177

En este contexto, contrariamente a lo que alega el demandante, no puede considerarse que las protecciones sectoriales previstas por el Derecho de los Estados Unidos carezcan de pertinencia en el presente asunto, puesto que no tienen el mismo alcance general que el artículo 22 del RGPD.

178

A este respecto, ha de recordarse que, en las sentencias Schrems I y Schrems II, el Tribunal de Justicia declaró que, sin exigir que el país tercero de que se trate garantice un nivel de protección idéntico al garantizado en el ordenamiento jurídico de la Unión, debe entenderse que la expresión «nivel de protección adecuado» que figura en el artículo 45, apartado 1, del RGPD exige que ese tercer país garantice efectivamente, por su legislación interna o sus compromisos internacionales, un nivel de protección de las libertades y de los derechos fundamentales sustancialmente equivalente al garantizado en la Unión en virtud del citado Reglamento, interpretado a la luz de la Carta de los Derechos Fundamentales (véanse los apartados 19 y 20 anteriores).

179

Además, en la sentencia Schrems I, el Tribunal de Justicia consideró que, aunque los medios de los que se sirva el tercer país para garantizar un nivel adecuado de protección de los datos personales pueden ser diferentes de los aplicados en la Unión, tales medios deben ser eficaces en la práctica para garantizar una protección sustancialmente equivalente a la garantizada en la Unión (véase el apartado 20 anterior).

180

Habida cuenta de todas estas consideraciones, procede desestimar las imputaciones primera y tercera del cuarto motivo.

181

Mediante la segunda imputación de su cuarto motivo, el demandante sostiene que el hecho de que el estudio relativo a las decisiones totalmente automatizadas, citado en el considerando 34 de la Decisión impugnada, que la Comisión había encargado en 2018 y cuyos resultados figuran en el punto 4.1.5 del Informe COM(2018) 860 final de la Comisión al Parlamento Europeo y al Consejo, de 19 de diciembre de 2018, sobre la segunda revisión anual del funcionamiento del escudo de la privacidad (en lo sucesivo, «estudio de 2018»), concluyera que no existían pruebas de la existencia de decisiones totalmente automatizadas adoptadas por entidades establecidas en los Estados Unidos que se adhirieron al escudo de protección carece de pertinencia en el caso de autos. Más concretamente, alega que dicho estudio se refiere a la Decisión sobre la adecuación del escudo de privacidad que fue anulada por el Tribunal de Justicia en la sentencia Schrems II y que no tiene en cuenta la situación actual, caracterizada por un desarrollo extremadamente rápido de los servicios totalmente automatizados basados en la inteligencia artificial.

182

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate el argumento del demandante.

183

Del estudio de 2018 se desprende, en particular, que, por una parte, ningún dato permitía considerar, en aquel momento, que las empresas establecidas en los Estados Unidos que se habían adherido al escudo de la privacidad hubieran adoptado decisiones totalmente automatizadas y, por otra parte, que los Estados Unidos de América hubieran adoptado legislaciones sectoriales en ámbitos como el crédito al consumo, el empleo, la vivienda, los seguros y la salud, en los que era más probable que se adoptaran decisiones totalmente automatizadas.

184

A este respecto, en primer lugar, procede señalar que el estudio de 2018 no se cita en la Decisión sobre la adecuación del escudo de la privacidad y fue encargado por la Comisión tras la entrada en vigor de dicha Decisión. Por lo tanto, el hecho de que esa Decisión fuera anulada por el Tribunal de Justicia en la sentencia Schrems II carece de pertinencia en el presente asunto. Además, en la sentencia Schrems II, el Tribunal de Justicia no anuló dicha Decisión sobre la base de los elementos indicados en dicho estudio.

185

En segundo lugar, es cierto que el estudio de 2018 no tuvo en cuenta la situación fáctica y jurídica existente en los Estados Unidos en 2023, en la fecha de adopción de la Decisión impugnada, sino la existente en 2018, cuando se realizó. Sin embargo, la naturaleza residual de los casos en los que las entidades establecidas en los Estados Unidos que se adhirieron al escudo de la privacidad habían adoptado decisiones totalmente automatizadas fue confirmada por el Informe COM(2019) 495 final de la Comisión al Parlamento Europeo y al Consejo, de 23 de octubre de 2019, sobre la tercera revisión anual del funcionamiento del escudo de la privacidad. En efecto, en dicho informe se indicaba, en particular, que el número de entidades establecidas en los Estados Unidos que participaban en el escudo de la privacidad que habían adoptado decisiones totalmente automatizadas era limitado y que las decisiones adoptadas por dichas entidades no tenían generalmente efectos jurídicos y no producían otros efectos frente a las personas afectadas.

186

En tercer lugar, es preciso señalar que, en sus escritos, el demandante no ha aportado ninguna prueba que permita considerar que, tras la realización del estudio de 2018, entidades establecidas en los Estados Unidos hayan adoptado decisiones totalmente automatizadas y no ha explicado de modo suficiente en Derecho la razón por la que la evolución de la inteligencia artificial priva de pertinencia a dicho estudio.

187

En este contexto, procede desestimar la segunda imputación del cuarto motivo y, por tanto, dicho motivo en su totalidad.

188

Mediante su quinto motivo, el demandante alega que la Comisión infringió el artículo 32 del RGPD, en relación con el artículo 45, apartado 2, del mismo Reglamento, en la medida en que, en la Decisión impugnada, consideró que los Estados Unidos de América ofrecían un nivel de protección sustancialmente equivalente al garantizado en la Unión respecto al establecimiento, por parte de los responsables y encargados del tratamiento establecidos en los Estados Unidos, de las medidas técnicas y organizativas adecuadas para garantizar la seguridad del tratamiento de los datos personales transferidos desde la Unión a ese país.

189

A este respecto, en primer lugar, el demandante alega que la sección II, punto 4, letra a), del anexo 1 de la Decisión impugnada se limita a establecer que las entidades del MPD deberán tomar medidas de seguridad razonables y apropiadas exclusivamente cuando creen, tengan, utilicen o difundan información personal. Por lo tanto, no se exige ninguna medida de seguridad cuando esas entidades consulten datos personales procedentes de la Unión. El demandante sostiene que, sin embargo, la consulta forma parte de las operaciones incluidas en el concepto de «tratamiento» de los datos personales que figura en el artículo 4, apartado 2, del RGPD.

190

En segundo lugar, el demandante sostiene que la sección III, punto 6, letra f), del anexo 1 de la Decisión impugnada impone a las entidades establecidas en los Estados Unidos que se den de baja en el MPD la obligación de seguir respetando los principios que figuran en dicha Decisión, incluidos los relativos a la seguridad del tratamiento, mientras almacenen, utilicen o divulguen datos personales transferidos desde la Unión a Estados Unidos, pero no establece tal obligación cuando esas mismas entidades consultan datos personales.

191

La Comisión, apoyada por Irlanda y los Estados Unidos de América, rebate el argumento del demandante.

192

Con carácter preliminar, procede recordar, en primer lugar, que el tenor del artículo 32 del RGPD es el siguiente:

«1   Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:

2.   Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.»

193

A continuación, el término «tratamiento», que figura en el artículo 32 del RGPD se define en el artículo 4, apartado 2, del mismo Reglamento como «cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción».

194

Según la jurisprudencia, de la expresión «cualquier operación» que figura en el artículo 4, apartado 2, del RGPD se desprende, en particular, que el legislador de la Unión quiso dar un alcance amplio al concepto de «tratamiento», lo que queda corroborado por el carácter no exhaustivo, expresado por el vocablo «como», de las operaciones enumeradas en dicha disposición (véase la sentencia de 7 de marzo de 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, apartado 29 y jurisprudencia citada).

195

Por último, procede señalar que, entre los elementos que la Comisión debe tener en cuenta al evaluar, con arreglo al artículo 45, apartado 2, letra a), del RGPD, el nivel de protección ofrecido por un país tercero, figuran las medidas de seguridad relativas a los datos personales aplicadas por ese país.

196

Este es el contexto en el que deben examinarse las dos alegaciones formuladas por el demandante en apoyo del presente motivo.

197

A este respecto, es preciso recordar que el tenor de la sección II, punto 4, letra a), del anexo 1 de la Decisión impugnada es el siguiente:

«Las entidades que creen, tengan, utilicen o difundan información personal deberán tomar medidas razonables y apropiadas para evitar su pérdida, su mal uso y consulta no autorizada, su comunicación, su modificación y su destrucción, teniendo en cuenta los riesgos inherentes al tratamiento y la naturaleza de los datos personales.»

198

Además, el tenor de la sección III, punto 6, letra f), del anexo 1 de la Decisión impugnada es el siguiente:

«Las entidades deberán someter a los principios en materia de privacidad todos los datos personales recibidos de la UE en el [MPD]. El compromiso de cumplir los principios en materia de privacidad no está limitado en el tiempo a los datos personales recibidos durante el período en el que la entidad esté acogida al [MPD]; dicho compromiso significa que la entidad seguirá aplicando los principios en materia de privacidad a dichos datos mientras los almacene o siempre que los utilice o comunique, aunque posteriormente se dé de baja en el [MPD] por algún motivo […]».

199

De ello se deduce que las secciones II, punto 4, letra a), y III, punto 6, letra f), del anexo 1 de la Decisión impugnada no se refieren a cualquier forma de tratamiento de datos personales, en el sentido del artículo 4, apartado 2, del RGPD. Al contrario, por una parte, la primera de dichas secciones limita la obligación de las organizaciones del MPD de adoptar medidas de seguridad únicamente a los supuestos en los que creen, gestionen, utilicen o difundan datos personales. Por otra parte, la segunda de dichas secciones establece que las entidades que se den de baja en el MPD deben seguir aplicando los principios que figuran en la Decisión impugnada mientras almacenen, utilicen o divulguen datos personales transferidos desde la Unión a los Estados Unidos.

200

Pues bien, en primer lugar, procede recordar que, en las sentencias Schrems I y Schrems II, el Tribunal de Justicia consideró que no es necesario que el tercer país garantice una protección jurídica idéntica a la garantizada en el ordenamiento jurídico de la Unión (véanse los apartados 19 y 20 anteriores). De ello se deduce que, si en la Decisión impugnada la Comisión estima que el Derecho de los Estados Unidos vigente en el momento de la adopción de dicha Decisión garantiza un nivel de protección sustancialmente equivalente al previsto en el Derecho de la Unión, no es necesario que dicha Decisión contenga exactamente los mismos términos que figuran en el RGPD.

201

En segundo lugar, los principios enunciados en la sección II, punto 4, letra a), del anexo 1 de la Decisión impugnada deben interpretarse a la luz de lo expuesto en el considerando 23 de dicha Decisión, que, de forma similar al artículo 32 del RGPD, establece lo siguiente:

«Los datos personales también deben ser tratados de tal manera que se garantice su seguridad, especialmente la protección contra su tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental. A tal fin, los responsables y encargados del tratamiento deben tomar las medidas técnicas u organizativas apropiadas para proteger los datos personales frente a posibles amenazas. Estas medidas deben evaluarse teniendo en cuenta el estado de la técnica, los costes conexos y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos de los particulares.»

202

En tercer lugar, procede señalar que los términos «crear», «tener», «utilizar» y «difundir» que figuran en la sección II, punto 4, letra a), del anexo 1 de la Decisión impugnada, así como los términos «almacenar», «utilizar» y «divulgar» que figuran en la sección III, punto 6, letra f), del mismo anexo, constituyen manifestaciones específicas de la operación consistente en el «tratamiento» de datos personales, en el sentido del artículo 32 del RGPD, y que, al igual que este, tienen por objeto abarcar un amplio abanico de operaciones relativas a los datos personales.

203

En cuarto lugar, el término «utilizar», que figura tanto en la sección II, punto 4, letra a), del anexo 1 de la Decisión impugnada como en la sección III, punto 6, letra f), del mismo anexo, se define como el hecho de recurrir a algo para un fin o un uso concretos. Desde este punto de vista, la utilización de los datos personales incluye su consulta, en la medida en que, por definición, para poder recurrir a los datos, es necesario previamente tener acceso a ellos y, por tanto, consultarlos. De ello se desprende que la alegación del demandante de que no se exige ninguna medida de seguridad en la Decisión impugnada cuando las organizaciones del MPD consultan datos personales procedentes de la Unión carece de fundamento.

204

Habida cuenta de todas estas consideraciones, procede desestimar el quinto motivo y, en consecuencia, el recurso en su totalidad.

205

A tenor del artículo 134, apartado 1, del Reglamento de Procedimiento, la parte que haya visto desestimadas sus pretensiones será condenada en costas, si así lo hubiera solicitado la otra parte.

206

Al haber solicitado la Comisión la condena en costas del demandante y al haber sido desestimadas las pretensiones formuladas por este, procede condenarlo a cargar, además de con sus propias costas, con las de la Comisión, incluidas las del procedimiento sobre medidas provisionales.

207

Por otro lado, en virtud del artículo 138, apartado 1, del Reglamento de Procedimiento, los Estados miembros y las instituciones que intervengan como coadyuvantes en el litigio cargarán con sus propias costas. Por consiguiente, Irlanda cargará con sus propias costas.

208

Además, a tenor del artículo 138, apartado 3, del Reglamento de Procedimiento, el Tribunal puede decidir que una parte coadyuvante distinta de las mencionadas en los apartados 1 y 2 de dicho artículo cargue con sus propias costas. En el caso de autos, procede decidir que los Estados Unidos de América carguen con sus propias costas.

En virtud de todo lo expuesto,

EL TRIBUNAL GENERAL (Sala Décima ampliada)

decide: