–

Data Protection Commissioner, edustajinaan D. Young, solicitor, B. Murray, SC, M. Collins, SC, ja C. Donnelly, BL,

–

Facebook Ireland Ltd, edustajinaan P. Gallagher, SC, N. Hyland, SC, A. Mulligan, BL, F. Kieran, BL, sekä P. Nolan, C. Monaghan, C. O’Neill ja R. Woulfe, solicitors,

–

Maximillian Schrems, edustajinaan H. Hofmann, Rechtsanwalt, E. McCullough, SC, J. Doherty, SC, S. O’Sullivan, SC, ja G. Rudden, solicitor,

–

Amerikan yhdysvallat, asiamiehinään E. Barrington, SC, S. Kingston, BL, sekä S. Barton ja B. Walsh, solicitors,

–

Electronic Privacy Information Centre, edustajinaan S. Lucey, solicitor, G. Gilmore, BL, A. Butler, BL, ja C. O’Dwyer, SC,

–

BSA Business Software Alliance Inc., edustajinaan B. Van Vooren ja K. Van Quathem, advocaten,

–

Digitaleurope, edustajinaan N. Cahill, barrister, J. Cahir, solicitor, ja M. Cush, SC,

–

Irlanti, asiamiehinään A. Joyce ja M. Browne, avustajanaan D. Fennelly, BL,

–

Belgian hallitus, asiamiehinään J.-C. Halleux ja P. Cottin,

–

Tšekin hallitus, asiamiehinään M. Smolek, J. Vláčil, O. Serdula ja A. Kasalická,

–

Saksan hallitus, asiamiehinään J. Möller, D. Klebs ja T. Henze,

–

Ranskan hallitus, asiamiehenään A.-L. Desjonquères,

–

Alankomaiden hallitus, asiamiehinään C. S. Schillemans, M. K. Bulterman ja M. Noort,

–

Itävallan hallitus, asiamiehinään J. Schmoll ja G. Kunnert,

–

Puolan hallitus, asiamiehenään B. Majczyna,

–

Portugalin hallitus, asiamiehinään L. Inez Fernandes, A. Pimenta ja C. Vieira Guerra,

–

Yhdistyneen kuningaskunnan hallitus, asiamiehenään S. Brandon, avustajinaan J. Holmes, QC, ja C. Knight, barrister,

–

Euroopan parlamentti, asiamiehinään M. J. Martínez Iglesias ja A. Caiola,

–

Euroopan komissio, asiamiehinään D. Nardi, H. Krämer ja H. Kranenborg,

–

Euroopan tietosuojaneuvosto (EDPB), asiamiehinään A. Jelinek ja K. Behn,

1

Ennakkoratkaisupyyntö koskee ennen kaikkea

2

Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat Data Protection Commissioner (tietosuojavaltuutettu, Irlanti; jäljempänä Irlannin tietosuojavaltuutettu) ja Facebook Ireland Ltd ja Maximillian Schrems ja jossa on kyse viimeksi mainitun tekemästä kantelusta, joka koski sitä, että Facebook Ireland oli siirtänyt hänen henkilötietojaan Facebook Inc:lle Yhdysvaltoihin.

3

Direktiivin 95/46 3 artiklan, jonka otsikkona on ”Soveltamisala”, 2 kohdassa säädettiin seuraavaa:

”Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,

– –”

4

Direktiivin 25 artiklassa säädettiin seuraavaa:

”1.   Jäsenvaltioiden on säädettävä siitä, että – – henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso, jollei tämän direktiivin muiden säännösten mukaisesti säädetyistä kansallisista säännöksistä muuta johdu.

2.   Kolmannessa maassa taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta; – –

– –

6.   Komissio voi 31 artiklan 2 kohdassa vahvistetun menettelyn mukaisesti todeta, että tietyssä kolmannessa maassa taataan tietosuojan riittävä taso tämän artiklan 2 kohdan tarkoittamassa merkityksessä, mikä johtuu kyseisen maan sisäisestä lainsäädännöstä tai kansainvälisistä sitoumuksista, jotka on tehty erityisesti 5 kohdassa tarkoitettujen neuvottelujen yhteydessä henkilöiden yksityiselämän ja perusoikeuksien ja ‑vapauksien turvaamiseksi.

Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.”

5

Mainitun direktiivin 26 artiklan 2 ja 4 kohdassa säädettiin seuraavaa:

”2.   Jäsenvaltio voi hyväksyä henkilötietojen siirron tai siirtojen sarjan sellaiseen kolmanteen maahan, jossa ei taata 25 artiklan 2 kohdassa tarkoitettua tietosuojan riittävää tasoa, jos rekisterinpitäjä antaa riittävät takeet henkilöiden yksityisyyden suojasta ja perusoikeuksien ja ‑vapauksien suojasta sekä vastaavien oikeuksien soveltamisesta, sanotun kuitenkaan rajoittamatta 1 kohdan soveltamista; nämä takeet voivat erityisesti johtua soveltuvista sopimuslausekkeista.

– –

4.   Jos komissio päättää 31 artiklan 2 kohdassa mainitun menettelyn mukaisesti, että tietyillä mallisopimuslausekkeilla annetaan riittävät tämän artiklan 2 kohdassa tarkoitetut takeet, jäsenvaltioiden on toteutettava tarvittavat toimenpiteet noudattaakseen komission päätöstä.”

6

Saman direktiivin 28 artiklan 3 kohdassa säädettiin seuraavaa:

”Kullakin valvontaviranomaisella on erityisesti oltava:

– –”

7

Direktiivi 95/46 kumottiin ja korvattiin luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46 kumoamisesta 27.4.2016 annetulla Euroopan parlamentin ja neuvoston asetuksella (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus).

8

Yleisen tietosuoja-asetuksen johdanto-osan 6, 10, 101, 103, 104, 107–109, 114, 116 ja 141 perustelukappaleessa todetaan seuraavaa:

– –

– –

– –

– –

– –

– –

– –

9

Kyseisen asetuksen 2 artiklan 1 ja 2 kohdassa säädetään seuraavaa:

”1.   Tätä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

2.   Tätä asetusta ei sovelleta henkilötietojen käsittelyyn,

10

Mainitun asetuksen 4 artiklassa säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan:

– –

– –

– –”

11

Saman asetuksen 23 artiklassa säädetään seuraavaa:

”1.   Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata

– –

2.   Edellä 1 kohdassa tarkoitettujen lainsäädäntötoimenpiteiden on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat ainakin

12

Yleisen tietosuoja-asetuksen V luku, jonka otsikko on ”Henkilötietojen siirrot kolmansiin maihin tai kansainvälisille järjestöille”, sisältää asetuksen 44–50 artiklan. Tämän asetuksen 44 artiklassa, jonka otsikko on ”Siirtoja koskeva yleinen periaate”, säädetään seuraavaa:

”Sellaisten henkilötietojen siirto, joita käsitellään tai joita on tarkoitus käsitellä kolmanteen maahan tai kansainväliselle järjestölle siirtämisen jälkeen, toteutetaan vain, jos rekisterinpitäjä ja henkilötietojen käsittelijä noudattavat tässä luvussa vahvistettuja edellytyksiä ja ellei tämän asetuksen muista säännöksistä muuta johdu; tämä koskee myös henkilötietojen siirtämistä edelleen kyseisestä kolmannesta maasta tai kansainvälisestä järjestöstä toiseen kolmanteen maahan tai toiselle kansainväliselle järjestölle. Kaikkia tämän luvun säännöksiä on sovellettava, jotta varmistetaan, että tällä asetuksella taattua luonnollisten henkilöiden henkilötietojen suojan tasoa ei vaaranneta.”

13

Asetuksen 45 artiklan, jonka otsikko on ”Siirto tietosuojan riittävyyttä koskevan päätöksen perusteella”, 1–3 kohdassa säädetään seuraavaa:

”1.   Henkilötietojen siirto johonkin kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa, jos komissio on päättänyt, että kyseinen kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kyseinen kansainvälinen järjestö varmistaa riittävän tietosuojan tason. Tällaiselle siirrolle ei tarvita erityistä lupaa.

2.   Arvioidessaan tietosuojan riittävyyttä komissio ottaa huomioon etenkin seuraavat seikat:

3.   Komissio voi suojan riittävyyttä arvioituaan päättää, että kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö tarjoaa tämän artiklan 2 kohdassa tarkoitetun riittävän tietosuojan tason. Täytäntöönpanosäädöksessä on säädettävä vähintään joka neljäs vuosi tehtävästä määräaikaistarkastelusta, jossa on otettava huomioon kaikki asiaan liittyvä kehitys kyseisessä kolmannessa maassa tai kansainvälisessä järjestössä. Täytäntöönpanosäädöksessä määritellään sen maantieteellinen soveltamisala ja alakohtainen soveltaminen ja tarvittaessa nimetään tämän artiklan 2 kohdan b alakohdassa tarkoitettu valvontaviranomainen tai valvontaviranomaiset. Täytäntöönpanosäädös hyväksytään 93 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.”

14

Mainitun asetuksen 46 artikla, jonka otsikko on ”Siirto asianmukaisia suojatoimia soveltaen”, on muotoiltu seuraavasti:

”1.   Jollei 45 artiklan 3 kohdan mukaista päätöstä ole tehty, rekisterinpitäjä tai henkilötietojen käsittelijä voi siirtää henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle vain, jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja.

2.   Edellä 1 kohdassa tarkoitettuja asianmukaisia suojatoimia voivat olla seuraavat, ilman että edellytetään erityistä valvontaviranomaisen antamaa lupaa:

3.   Toimivaltaisen valvontaviranomaisen luvalla 1 kohdassa tarkoitettuja asianmukaisia suojatoimia voivat olla myös erityisesti seuraavat:

15

Saman asetuksen 49 artiklassa, jonka otsikko on ”Erityistilanteita koskevat poikkeukset”, säädetään seuraavaa:

”1.   Jos ei ole tehty 45 artiklan 3 kohdan mukaista tietosuojan tason riittävyyttä koskevaa päätöstä tai ei ole toteutettu 46 artiklassa tarkoitettuja asianmukaisia suojatoimia yritystä koskevat sitovat säännöt mukaan lukien, henkilötietojen siirrot tai siirtojen sarjat kolmanteen maahan tai kansainväliselle järjestölle voidaan suorittaa jollakin seuraavista edellytyksistä:

Jos siirto ei voi perustua 45 tai 46 artiklassa oleviin sääntöihin, kuten yritystä koskeviin sitoviin sääntöihin, eikä mikään tämän kohdan ensimmäisen alakohdan mukaisista erityistilanteita koskevista poikkeuksista sovellu, henkilötietoja voidaan siirtää kolmanteen maahan tai kansainväliselle järjestölle ainoastaan, jos siirto ei ole toistuva, koskee ainoastaan rajallista määrää rekisteröityjä ja on tarpeen rekisterinpitäjän sellaisten pakottavien ja oikeutettujen etujen toteuttamiseksi, joita rekisteröidyn edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä, sekä jos rekisterinpitäjä on arvioinut kaikkia tiedonsiirtoon liittyviä seikkoja ja toteuttanut tämän arvioinnin perusteella henkilötietojen suojaa koskevat asianmukaiset suojatoimet. Rekisterinpitäjän on ilmoitettava siirrosta valvontaviranomaiselle. Edellä 13 ja 14 artiklassa mainittujen tietojen lisäksi rekisterinpitäjän on annettava rekisteröidylle tiedot siirrosta sekä pakottavista ja oikeutetuista eduista.

2.   Edellä olevan 1 kohdan ensimmäisen alakohdan g alakohdan mukainen siirto ei saa käsittää rekisteriin sisältyviä henkilötietoja kokonaisuudessaan eikä kokonaisia henkilötietoryhmiä. Jos rekisteri on tarkoitettu sellaisten henkilöiden käyttöön, joilla on siihen oikeutettu etu, siirto tehdään ainoastaan näiden henkilöiden pyynnöstä tai jos he ovat henkilötietojen vastaanottajia.

3.   Edellä olevan 1 kohdan ensimmäisen alakohdan a, b ja c alakohtaa ja toista alakohtaa ei sovelleta toimiin, joita viranomaiset suorittavat osana julkisen vallan käyttöä.

4.   Edellä 1 kohdan ensimmäisen alakohdan d alakohdassa tarkoitettu yleinen etu on tunnustettava unionin oikeudessa tai sen jäsenvaltion lainsäädännössä, jota rekisterinpitäjään sovelletaan.

5.   Ellei tietosuojan riittävyyttä koskevaa päätöstä ole annettu, unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan tärkeää yleistä etua koskevista syistä nimenomaisesti rajoittaa tiettyjen henkilötietoryhmien siirtoa kolmanteen maahan tai kansainväliselle järjestölle. Jäsenvaltioiden on ilmoitettava tällaisista säännöksistä komissiolle.

6.   Rekisterinpitäjän tai henkilötietojen käsittelijän on dokumentoitava arviointi ja tämän artiklan 1 kohdan toisessa alakohdassa tarkoitetut asianmukaiset suojatoimet 30 artiklassa tarkoitettuun selosteeseen.”

16

Yleisen tietosuoja-asetuksen 51 artiklan 1 kohdan sanamuoto on seuraava:

”Kunkin jäsenvaltion on varmistettava, että yksi tai useampi riippumaton viranomainen on vastuussa tämän asetuksen soveltamisen valvonnasta luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi käsittelyssä ja henkilötietojen vapaan liikkuvuuden helpottamiseksi unionissa, jäljempänä ’valvontaviranomainen’.”

17

Tämän asetuksen 55 artiklan 1 kohdassa säädetään, että ”jokaisella valvontaviranomaisella on sille tämän asetuksen mukaisesti annettujen tehtävien hoitoa ja valtuuksien käyttöä koskeva toimivalta oman jäsenvaltionsa alueella”.

18

Mainitun asetuksen 57 artiklan 1 kohdassa säädetään seuraavaa:

Tämän asetuksen mukaisesti vahvistettuja muita tehtäviä rajoittamatta jokaisen valvontaviranomaisen on alueellaan

– –

– –”

19

Asetuksen 58 artiklan 2 ja 4 momentissa säädetään seuraavaa:

”2.   Jokaisella valvontaviranomaisella on kaikki seuraavat korjaavat toimivaltuudet:

– –

– –

– –

4.   Valvontaviranomaiselle tämän artiklan nojalla annettujen valtuuksien käyttöön sovelletaan asianmukaisia suojatoimia, muun muassa tehokkaita oikeussuojakeinoja ja oikeudenmukaista menettelyä, joista säädetään unionin oikeudessa ja jäsenvaltion lainsäädännössä perusoikeuskirjan mukaisesti.”

20

Yleisen tietosuoja-asetuksen 64 artiklan 2 kohdassa säädetään seuraavaa:

”Jokainen valvontaviranomainen, tietosuojaneuvoston puheenjohtaja tai komissio voi pyytää minkä tahansa yleisluonteisen tai useammassa kuin yhdessä jäsenvaltiossa vaikutuksia tuottavan asian käsittelyä tietosuojaneuvostossa lausunnon saamiseksi, etenkin jos toimivaltainen valvontaviranomainen ei noudata keskinäistä avunantoa koskevia velvollisuuksia 61 artiklan mukaisesti tai yhteisiä operaatioita koskevia velvollisuuksia 62 artiklan mukaisesti.”

21

Kyseisen asetuksen 65 artiklan 1 kohdassa säädetään seuraavaa:

”Varmistaakseen, että tätä asetusta sovelletaan yksittäistapauksissa asianmukaisesti ja yhtenäisesti, tietosuojaneuvosto antaa seuraavissa tapauksissa sitovan päätöksen:

– –

22

Kyseisen asetuksen 77 artiklassa, jonka otsikko on ”Oikeus tehdä valitus valvontaviranomaiselle”, säädetään seuraavaa:

”1.   Jokaisella rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.

2.   Valvontaviranomaisen, jolle valitus on jätetty, on ilmoitettava valituksen tekijälle valituksen etenemisestä ja ratkaisusta, mukaan lukien 78 artiklan mukaisten oikeussuojakeinojen mahdollisuudesta.”

23

Asetuksen 78 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.   Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.

2.   Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos 55 ja 56 artiklan nojalla toimivaltainen valvontaviranomainen ei ole käsitellyt valitusta tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa 77 artiklan nojalla tehdyn valituksen etenemisestä tai ratkaisusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.”

24

Yleisen tietosuoja-asetuksen 94 artiklassa säädetään seuraavaa:

”1.   Kumotaan direktiivi [95/46] 25 päivästä toukokuuta 2018.

2.   Viittauksia kumottuun direktiiviin pidetään viittauksina tähän asetukseen. Viittauksia direktiivin [95/46] 29 artiklalla perustettuun tietosuojatyöryhmään pidetään viittauksina tällä asetuksella perustettuun Euroopan tietosuojaneuvostoon.”

25

Kyseisen asetuksen 99 artiklassa todetaan seuraavaa:

”1.   Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

2.   Sitä sovelletaan 25 päivästä toukokuuta 2018.”

26

Päätöksen 2010/87 johdanto-osan 11 perustelukappaleessa todetaan seuraavaa:

”Tässä sopimusmenettelyssä jäsenvaltioiden valvontaviranomaisilla on keskeinen tehtävä sen varmistamisessa, että henkilötietoja suojataan riittävästi niiden siirron jälkeen. Poikkeustapauksissa, joissa tietojen viejä kieltäytyy antamasta tietojen tuojalle ohjeita tai ei kykene antamaan niitä asianmukaisesti, ja on olemassa välitön vaara vakavasta haitasta rekisteröidyille, mallisopimuslausekkeiden olisi mahdollistettava se, että valvontaviranomaiset voivat tarkastaa tietojen tuojien ja alihankkijoina toimivien käsittelijöiden toimintaa ja tarvittaessa tehdä tietojen tuojia ja alihankkijana toimivia käsittelijöitä velvoittavia päätöksiä. Valvontaviranomaisilla olisi oltava oikeus kieltää tai lykätä mallisopimuslausekkeisiin perustuva tietojen siirto tai siirtojen sarja tietyin edellytyksin niissä poikkeustapauksissa, joissa sopimusperusteisella siirrolla todennäköisesti on merkittävä haitallinen vaikutus takeisiin ja velvoitteisiin, joilla rekisteröidylle annetaan riittävä tietosuoja.”

27

Kyseisen päätöksen 1 artiklassa säädetään seuraavaa:

”Liitteessä olevien mallisopimuslausekkeiden katsotaan antavan riittävät takeet yksityisyyden ja yksilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi ja vastaavien oikeuksien toteutumiseksi direktiivin [95/46] 26 artiklan 2 kohdassa edellytetyllä tavalla.”

28

Mainitun päätöksen 2 artiklan toisessa kohdassa säädetään, että ”tätä päätöstä sovelletaan Euroopan unioniin sijoittautuneiden rekisterinpitäjien suorittamaan henkilötietojen siirtoon vastaanottajille, jotka ovat sijoittautuneet Euroopan unionin alueen ulkopuolelle ja jotka toimivat ainoastaan käsittelijöinä”.

29

Saman päätöksen 3 artiklassa säädetään seuraavaa:

”Tässä päätöksessä käytetään seuraavia määritelmiä:

– –

– –

– –”

30

Päätöksen 2010/87 4 artiklan alkuperäisessä, ennen täytäntöönpanopäätöstä 2016/2297 voimassa olleessa versiossa säädettiin seuraavaa:

”1.   Jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan kolmansiin maihin suuntautuvien tiedonsiirtojen kieltämiseksi tai lykkäämiseksi suojatakseen yksilöitä näiden henkilötietojen käsittelyssä, sanotun kuitenkaan rajoittamatta kyseisten viranomaisten toimivaltuuksia toteuttaa toimenpiteitä direktiivin [95/46] II, III, V ja VI luvun nojalla annettujen kansallisten säännösten noudattamisen varmistamiseksi, jos

2.   Edellä olevan 1 kohdan mukainen kielto tai lykkäys poistetaan heti kun lykkäyksen tai kiellon syyt ovat poistuneet.

3.   Toteuttaessaan 1 ja 2 kohdan mukaisia toimenpiteitä jäsenvaltioiden on ilmoitettava siitä viipymättä komissiolle, joka välittää tiedon edelleen muille jäsenvaltioille.”

31

Sen jälkeen, kun unionin tuomioistuin antoi 6.10.2015 tuomion Schrems (C‑362/14; EU:C:2015:650), annetun täytäntöönpanopäätöksen 2016/2297 johdanto-osan viidennessä perustelukappaleessa todetaan seuraavaa:

”Vastaavasti direktiivin [95/46] 26 artiklan 4 kohdan mukainen komission päätös sitoo kaikkia niiden jäsenvaltioiden elimiä, joille se on osoitettu, mukaan lukien riippumattomat valvontaviranomaiset, siltä osin kuin päätöksessä vahvistetaan, että siirroissa, joissa hyödynnetään päätöksessä määriteltyjä mallisopimuslausekkeita, tarjotaan riittävät takeet siten kuin kyseisen direktiivin 26 artiklan 2 kohdassa edellytetään. Tämä ei estä kansallista valvontaviranomaista käyttämästä valtuuksiaan tietovirtojen valvonnassa, ja kyseinen viranomainen voi esimerkiksi keskeyttää tai kieltää henkilötietojen siirron, jos se katsoo, että tietojen siirrossa on rikottu EU:n tai kansallisen tietosuojalainsäädännön säännöksiä. Tällaisesta rikkomuksesta voi olla kyse esimerkiksi silloin, kun tietojen tuoja ei noudata mallisopimuslausekkeita.”

32

Päätöksen 2010/87 tällä hetkellä voimassa olevan version, joka perustuu täytäntöönpanopäätökseen 2016/2297, 4 artiklassa säädetään seuraavaa:

”Kun jäsenvaltioiden toimivaltaiset viranomaiset käyttävät direktiivin [95/46] 28 artiklan 3 kohdan mukaisia toimivaltuuksiaan ja tästä seuraa se, että tiedonsiirrot kolmansiin maihin keskeytetään väliaikaisesti tai kielletään kokonaan yksilöiden suojelemiseksi heidän henkilötietojensa käsittelyssä, asianomaisen jäsenvaltion on viipymättä ilmoitettava asiasta komissiolle, joka välittää tiedon edelleen muille jäsenvaltioille.”

33

Päätöksen 2010/87 liite, jonka otsikko on ”Mallisopimuslausekkeet (henkilötietojen käsittelijät)”, sisältää 12 mallilauseketta. Liitteessä olevassa lausekkeessa 3, jonka otsikko puolestaan on ”Kolmatta osapuolta suojaava edunsaajalauseke”, todetaan seuraavaa:

”1. Rekisteröity voi panna täytäntöön tämän lausekkeen, lausekkeen 4 kohdan b–i, lausekkeen 5 kohdan a–e sekä kohdan g–j, lausekkeen 6 kohdan 1 ja 2, lausekkeen 7, lausekkeen 8 kohdan 2 ja lausekkeen 9–12 tietojen viejää vastaan edunsaajana olevan kolmannen osapuolen ominaisuudessa.

2. Rekisteröity voi panna täytäntöön tämän lausekkeen, lausekkeen 5 kohdan a–e ja g, lausekkeen 6 ja 7, lausekkeen 8 kohdan 2 ja lausekkeen 9–12 tietojen tuojaa vastaan tapauksissa, joissa tietojen viejä on tosiasiallisesti lakkautettu tai lakannut oikeudellisesti olemasta, ellei mahdollinen seuraaja ole ottanut hoitaakseen tietojen viejän kaikkia oikeudellisia velvoitteita sopimuksella tai lain perusteella, minkä tuloksena se ottaa vastaan tietojen viejän oikeudet ja velvoitteet, jolloin rekisteröity voi panna lausekkeet täytäntöön tällaista seuraajaa vastaan.

– –”

34

Tässä liitteessä olevassa lausekkeessa 4, jonka otsikko on ”Tietojen viejän velvollisuudet”, todetaan seuraavaa:

”Tietojen viejä hyväksyy ja takaa, että

– –

– –”

35

Mainitussa liitteessä olevassa lausekkeessa 5, jonka otsikko on ”Tietojen tuojan velvollisuudet – –”, todetaan seuraavaa:

”Tietojen tuoja hyväksyy ja takaa, että

– –

– –”

36

Alaviitteessä, johon kyseisen lausekkeen 5 otsikossa viitataan, todetaan seuraavaa:

”Tietojen tuojaan sovellettavat kansallisen lainsäädännön sisältämät pakolliset vaatimukset, jotka eivät mene pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin 95/46/EY 13 artiklan 1 kohdassa lueteltujen etujen perusteella, toisin sanoen vaatimukset, jotka ovat välttämättömiä, jotta varmistettaisiin valtion turvallisuus, puolustus, yleinen turvallisuus, rikosten tai, säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjunta, tutkinta, selvittäminen ja syyteharkinta, valtion tärkeä taloudellinen tai rahoituksellinen etu tai rekisteröidyn suojelu tai muiden oikeudet ja vapaudet, ja jotka eivät ole ristiriidassa mallisopimuslausekkeiden kanssa. – –”

37

Päätöksen 2010/87 liitteessä olevassa lausekkeessa 6, jonka otsikko on ”Vastuu”, todetaan seuraavaa:

”1. Sopimuspuolet sopivat, että rekisteröidyllä, jolle on koitunut vahinkoa jonkin sopimuspuolen tai alihankkijana toimivan käsittelijän rikottua lausekkeessa 3 tai lausekkeessa 11 tarkoitettuja velvoitteita, on oikeus saada tietojen viejältä korvaus aiheutuneista vahingoista.

2. Jos rekisteröity ei voi nostaa kohdan 1 mukaista vahingonkorvauskannetta tietojen viejää vastaan, kun tietojen tuoja tai sen alihankkijana toimiva käsittelijä ei ole täyttänyt lausekkeessa 3 tai 11 tarkoitettuja velvoitteitaan, sen vuoksi, että tietojen viejä on tosiasiallisesti lakkautettu, lakannut oikeudellisesti olemasta tai todettu maksukyvyttömäksi, tietojen tuoja hyväksyy, että rekisteröity voi nostaa kanteen tietojen tuojaa vastaan samaan tapaan kuin tietojen viejää vastaan – –.

– –”

38

Tässä liitteessä olevan lausekkeen 8, jonka otsikko on ”Yhteistyö valvontaviranomaisten kanssa”, kohdassa 2 todetaan seuraavaa:

”Sopimuspuolet sopivat, että valvontaviranomaisella on oikeus tehdä tietojen tuojaan ja kaikkiin alihankkijoina toimiviin käsittelijöihin kohdistuvia tarkastuksia samassa laajuudessa ja samoin edellytyksin kuin se voisi tehdä tietojen viejään kohdistuvia tarkastuksia sovellettavan tietosuojalainsäädännön nojalla.”

39

Tässä liitteessä olevassa lausekkeessa 9, jonka otsikko on ”Sovellettava laki”, todetaan, että lausekkeisiin sovelletaan sen jäsenvaltion lakia, johon tietojen viejä on sijoittautunut.

40

Tässä samassa liitteessä olevassa lausekkeessa 11, jonka otsikko on ”Alihankintana suoritettava käsittely”, todetaan seuraavaa:

”1. Tietojen tuoja ei anna alihankintana suoritettavaksi mitään tietojen viejän puolesta lausekkeiden mukaisesti hoidettavia käsittelytoimintoja ilman tietojen viejän ennakkoon antamaa kirjallista suostumusta. Jos tietojen tuoja antaa näiden lausekkeiden mukaisia velvoitteitaan suoritettaviksi alihankintana tietojen viejän suostumuksella, sen on tehtävä alihankkijana toimivan käsittelijän kanssa kirjallinen sopimus, jossa tälle määrätään samat velvoitteet kuin lausekkeiden nojalla määrätään tietojen tuojalle. – –

2. Ennakkoon tehdyssä tietojen tuojan ja alihankkijana toimivan käsittelijän välisessä kirjallisessa sopimuksessa on myös oltava lausekkeessa 3 määrätty kolmatta osapuolta suojaava edunsaajalauseke niitä tapauksia varten, joissa rekisteröity ei voi nostaa lausekkeen 6 kohdassa 1 tarkoitettua vahingonkorvauskannetta tietojen viejää tai tietojen tuojaa vastaan, koska ne on tosiasiallisesti lakkautettu, ovat lakanneet oikeudellisesti olemasta tai ne on todettu maksukyvyttömiksi, eikä mikään seuraaja ole ottanut hoitaakseen tietojen viejän tai tietojen tuojan kaikkia oikeudellisia velvoitteita sopimuksen tai lain perusteella. Tällainen alihankkijana toimivan käsittelijän yksityisoikeudellinen vastuu koskee ainoastaan sen lausekkeiden mukaista omaa käsittelytoimintaa.”

41

Päätöksen 2010/87 liitteessä olevan lausekkeen 12, jonka otsikko on ”Tietojen käsittelypalvelujen päättymisen jälkeiset velvoitteet”, kohdassa 1 todetaan seuraavaa:

”Sopimuspuolet sopivat, että tietojen käsittelypalvelujen päättymisen jälkeen tietojen tuojan ja alihankkijana toimivan käsittelijän on tietojen viejän valinnan mukaan palautettava kaikki siirretyt henkilötiedot ja jäljennökset näistä tiedoista tietojen viejälle tai hävitettävä kaikki henkilötiedot ja annettava tietojen viejälle todistus tästä, jollei tietojen tuojaan sovellettavalla lainsäädännöllä estetä tietojen tuojaa palauttamasta tai hävittämästä siirrettyjä henkilötietoja kokonaan tai osittain. – –”

42

Unionin tuomioistuin totesi 6.10.2015 antamassaan tuomiossa Schrems (C‑362/14, EU:C:2015:650) pätemättömäksi direktiivin 95/46 mukaisesti yksityisyyden suojaa koskevien safe harbor ‑periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä 26.7.2000 tehdyn komission päätöksen 2000/520/EY (EYVL 2000, L 215, s. 7), jossa komissio oli todennut, että kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso.

43

Mainitun tuomion antamisen jälkeen komissio antoi Privacy Shield ‑päätöksen sen jälkeen, kun se oli sen antamista varten arvioinut Yhdysvaltojen säännöstöä, kuten mainitun päätöksen johdanto-osan 65 perustelukappaleessa täsmennetään:

”Komissio on arvioinut Yhdysvaltojen lainsäädännön mukaiset rajoitukset ja suojatoimet siltä osin kuin on kyse yhdysvaltalaisten viranomaisten pääsystä [Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa siirrettyihin henkilötietoihin ja niiden käytöstä kansallisen turvallisuuden, lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä. Lisäksi Yhdysvaltojen hallitus on toimittanut komissiolle kansallisen tiedusteluviraston johtajan (Office of the Director of National Intelligence, ODNI) – – kautta yksityiskohtaisia lausumia ja sitoumuksia, jotka sisältyvät tämän päätöksen liitteeseen VI. Yhdysvaltojen hallitus on myös ulkoministerin allekirjoittamalla ja tämän päätöksen liitteessä III olevalla kirjeellä sitoutunut luomaan uuden valvontamekanismin, joka liittyy tietoihin pääsyyn kansallisen turvallisuuden vuoksi, eli tiedusteluyhteisöstä riippumattoman, tietosuojasta vastaavan oikeusasiamiehen viran. Lisäksi tämän päätöksen liitteeseen VII sisältyvässä Yhdysvaltojen oikeusministeriön lausumassa kuvataan rajoituksia ja suojatoimia, joita sovelletaan viranomaisten pääsyyn tietoihin ja niiden käyttöön lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä. Avoimuuden lisäämiseksi ja näiden sitoumusten oikeudellisen luonteen huomioon ottamiseksi jokainen lueteltu ja tämän päätöksen liitteenä oleva asiakirja julkaistaan Yhdysvaltojen Federal Register ‑lehdessä.”

44

Komission näitä rajoituksia ja näitä suojatoimia koskevasta tarkastelusta esitetään yhteenveto Privacy Shield ‑päätöksen johdanto-osan 67–135 perustelukappaleessa, kun taas komission päätelmät riittävästä tietosuojan tasosta Euroopan unionin ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn yhteydessä sisältyvät sen 136–141 perustelukappaleeseen.

45

Erityisesti tämän päätöksen johdanto-osan 68, 69, 76, 77, 109, 112–116, 120, 136 ja 140 perustelukappaleessa todetaan seuraavaa:

– –

– –

– –

– –

– –

– –

46

Privacy Shield ‑päätöksen 1 artiklassa säädetään seuraavaa:

”1.   Komissio katsoo direktiivin [95/46] 25 artiklan 2 kohdan soveltamiseksi, että Yhdysvallat takaa riittävän suojan henkilötiedoille, jotka siirretään [Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa unionista Yhdysvalloissa oleville organisaatioille.

2.   [Euroopan unionin] ja Yhdysvaltojen välinen Privacy Shield ‑järjestely muodostuu Yhdysvaltojen kauppaministeriön 7 päivänä heinäkuuta 2016 antamista järjestelyn periaatteista, jotka on esitetty liitteessä II, ja virallisista lausumista ja sitoumuksista, jotka sisältyvät liitteissä I ja III–VII lueteltuihin asiakirjoihin.

3.   Edellä olevan 1 kohdan soveltamiseksi henkilötietoja siirretään [Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa silloin, kun ne siirretään unionista sellaisille Yhdysvalloissa oleville organisaatioille, jotka on sisällytetty Yhdysvaltojen kauppaministeriön liitteessä II esitettyjen järjestelyn periaatteiden I ja III jakson mukaisesti ylläpitämään ja julkisesti saataville asettamaan Privacy Shield ‑luetteloon.”

47

Privacy Shield ‑päätöksen liitteessä II, jonka otsikko on ”Yhdysvaltojen kauppaministeriön hyväksymät [Euroopan unionin] ja Yhdysvaltojen Privacy Shield ‑järjestelyn periaatteet”, olevassa I.5 kohdassa todetaan, että järjestelyn periaatteiden noudattamista voidaan rajoittaa muun muassa ”kansallisen turvallisuuden, julkisen edun tai lainvalvonnan vaatimusten vuoksi”.

48

Tämän päätöksen liitteessä III on silloisen Secretary of Staten (ulkoministeri, Yhdysvallat) John Kerryn 7.7.2016 päivätty, oikeus-, kuluttaja- ja tasa-arvoasioista vastaavalle komission jäsenelle osoitettu kirje, johon on liitteenä A liitetty muistio, jonka otsikko on ”[Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn signaalitiedustelua koskeva oikeusasiamiesmekanismi” ja johon sisältyy seuraava kappale:

”[Euroopan unionin] ja Yhdysvaltojen Privacy Shield ‑järjestely on tärkeä, ja sitä silmällä pitäen tässä muistiossa selostetaan menettelyt, joiden mukaisesti pannaan täytäntöön presidentin määräyksen 28 (PPD-28) mukainen signaalitiedustelua koskeva mekanismi.

– – Presidentti Obama ilmoitti antavansa uuden presidentin määräyksen, PPD‑28:n, ’määrätäkseen tarkasti, mitä me teemme ja mitä me emme tee, kun kyse on meidän ulkomaille suuntautuvasta tarkkailutoiminnastamme’.

PPD-28:n 4 § d kohdassa määrätään ulkoministeri nimeämään tietotekniikkaan liittyvän kansainvälisen diplomatian johtava koordinaattori. Tämä ’toimii yhteyspisteenä, jonka kautta ulkomaiset hallitukset voivat esittää Yhdysvalloille sen signaalitiedustelutoimintaa koskevia kysymyksiä’.

– –

– –”

49

Privacy Shield ‑päätöksen liitteeseen VI sisältyy kansallisen tiedusteluviraston johtajan (Office of the Director of National Intelligence) Yhdysvaltojen kauppaministerille ja kauppaministeriön kansainvälisen kaupan osastolle osoittama, 21.6.2016 päivätty kirje, jossa täsmennetään, että PPD-28 mahdollistaa ”valikoimattoman” keruun, joka koskee ”verrattain suuren tietomäärän hankkimista signaalitiedustelun avulla olosuhteissa, joissa tiedusteluyhteisöllä ei ole käytössään tiettyyn kohteeseen liittyvää tunnistetta – – eikä keruuta voi tästä syystä kohdentaa tuohon nimenomaiseen kohteeseen”.

50

Maximillian Schrems, joka on Itävallan kansalainen ja asuu Itävallassa, on ollut Facebook-verkkoyhteisöpalvelun (jäljempänä Facebook) käyttäjä vuodesta 2008.

51

Kukin unionin alueella asuva henkilö, joka haluaa käyttää Facebookia, joutuu siihen liittyessään tekemään sopimuksen Facebook Irelandin kanssa; tämä on Facebook Inc:n, jonka kotipaikka on Yhdysvalloissa, tytäryhtiö. Unionin alueella asuvien Facebookin käyttäjien henkilötiedot siirretään kokonaan tai osittain käsiteltäviksi Facebook Inc:lle kuuluville palvelimille, jotka sijaitsevat Yhdysvaltojen alueella.

52

Schrems teki 25.6.2013 Irlannin tietosuojavaltuutetulle kantelun, jossa hän pääasiallisesti vaati tätä kieltämään Facebook Irelandia siirtämästä hänen henkilötietojaan Yhdysvaltoihin ja väitti, että kyseisessä maassa voimassa olevat oikeussäännöt ja käytännöt eivät takaa sen alueella säilytetyille henkilötiedoille riittävää suojaa viranomaisten siellä harjoittamaa tarkkailutoimintaa vastaan. Kantelu hylättiin erityisesti sillä perusteella, että komissio oli päätöksessään 2000/520 todennut, että Yhdysvalloissa taataan riittävä tietosuojan taso.

53

High Court (ylempi piirituomioistuin, Irlanti), jossa Schrems nosti kanteen kantelunsa hylkäävästä päätöksestä, esitti unionin tuomioistuimelle ennakkoratkaisukysymyksen päätöksen 2000/520 tulkinnasta ja pätevyydestä. Unionin tuomioistuin totesi 6.10.2015 antamassaan tuomiossa Schrems (C‑362/14, EU:C:2015:650) tämän päätöksen pätemättömäksi.

54

Ennakkoratkaisua pyytänyt tuomioistuin kumosi tuomion Schrems seurauksena päätöksen, jolla Schremsin kantelu oli hylätty, ja palautti sen Irlannin tietosuojavaltuutetun käsiteltäväksi. Viimeksi mainitun aloittaman tutkinnan yhteydessä Facebook Ireland selitti, että suuri osa henkilötiedoista siirrettiin Facebook Inc:lta päätöksen 2010/87 liitteessä olevien tietosuojaa koskevien vakiolausekkeiden perusteella. Nämä seikat huomioon ottaen Irlannin tietosuojavaltuutettu kehotti Schremsiä muotoilemaan kantelunsa uudelleen.

55

Schrems väitti uudelleen muotoillussa kantelussaan, jonka hän teki 1.12.2015, muun muassa, että Yhdysvaltojen oikeudessa Facebook Inc. velvoitetaan saattamaan sille siirretyt henkilötiedot Yhdysvaltojen viranomaisten, kuten National Security Agencyn (NSA) ja Federal Bureau of Investigationin (FBI) saataville. Hän väitti, että koska näitä tietoja käytetään erilaisten tarkkailuohjelmien yhteydessä tavalla, joka on ristiriidassa perusoikeuskirjan 7, 8 ja 47 artiklan kanssa, päätös 2010/87 ei voi olla perusteena näiden tietojen Yhdysvaltoihin siirrolle. Schrems vaati näin ollen Irlannin tietosuojavaltuutettua kieltämään henkilötietojensa siirron Facebook Inc:lle tai lykkäämään sitä.

56

Irlannin tietosuojavaltuutettu julkaisi 24.5.2016 päätösluonnoksen, johon sisältyi yhteenveto hänen suorittamansa tutkinnan alustavista päätelmistä. Hän katsoi päätösluonnoksessa alustavasti, että on vaarana, että Yhdysvaltojen viranomaiset käsittelevät unionin kansalaisten Yhdysvaltoihin siirrettyjä henkilötietoja perusoikeuskirjan 7 ja 8 artiklan kanssa yhteensopimattomalla tavalla ja että Yhdysvaltojen oikeudessa ei anneta näille kansalaisille perusoikeuskirjan 47 artiklan kanssa yhteensopivia oikeussuojakeinoja. Irlannin tietosuojavaltuutettu katsoi, että päätöksen 2010/87 liitteessä olevat tietosuojaa koskevat vakiolausekkeet eivät korjaa tätä puutetta, koska niillä annetaan rekisteröidyille vain sopimukseen perustuvia oikeuksia tietojen viejää ja tuojaa vastaan eivätkä ne kuitenkaan sido Yhdysvaltojen viranomaisia.

57

Koska Irlannin tietosuojavaltuutettu katsoi tässä tilanteessa, että Schremsin uudelleen muotoiltu kantelu nosti esiin kysymyksen päätöksen 2010/87 pätevyydestä, hän saattoi 6.10.2015 annettuun tuomioon Schrems (C‑362/14, EU:C:2015:650, 65 kohta) nojautuen High Courtissa 31.5.2016 vireille menettelyn, jotta tämä esittäisi tämän kysymyksen unionin tuomioistuimelle. High Court saattoi 4.5.2018 tekemällään päätöksellä nyt käsiteltävänä olevan ennakkoratkaisupyynnön unionin tuomioistuimen käsiteltäväksi.

58

High Court liitti tähän ennakkoratkaisupyyntöön 3.10.2017 antamansa tuomion, johon se oli sisällyttänyt sille kansallisessa menettelyssä – johon Yhdysvaltojen hallitus osallistui – esitettyjen todisteiden tutkimisen tulokset.

59

Kyseisessä tuomiossa, johon ennakkoratkaisupyynnössä useaan otteeseen viitataan, ennakkoratkaisua pyytänyt tuomioistuin totesi, että lähtökohtaisesti sillä on oikeus mutta myös velvollisuus tutkia kaikki sille esitetyt tosiseikat ja argumentit ja ratkaista niiden perusteella, tarvitaanko ennakkoratkaisua vai ei. Sen on joka tapauksessa otettava huomioon muutokset, jotka lainsäädäntöön mahdollisesti on tehty kanteen nostamisen ja istuntokäsittelyn välisenä aikana. Kyseinen tuomioistuin täsmensi, että pääasiassa sen oma arviointi ei rajoitu Irlannin tietosuojavaltuutetun esittämiin pätemättömyysperusteisiin, vaan se voi ottaa viran puolesta huomioon muita pätemättömyysperusteita ja päättää niiden perusteella esittää ennakkoratkaisupyynnön.

60

Kyseisessä tuomiossa esitettyjen toteamusten mukaan Yhdysvaltojen viranomaisten Yhdysvaltoihin siirrettyjä henkilötietoja koskeva tiedustelutoiminta perustuu erityisesti FISA:n 702 §:ään ja E.O. 12333:een.

61

Ennakkoratkaisua pyytänyt tuomioistuin täsmentää samassa tuomiossa FISA:n 702 §:n osalta, että kyseisen pykälän mukaan oikeusministeri ja kansallisen tiedusteluviraston johtaja voivat, FISC‑tuomioistuimen annettua hyväksyntänsä, yhdessä antaa ”ulkomaantiedustelutietojen” hankkimiseksi luvan tarkkailla henkilöitä, jotka eivät ole Yhdysvaltojen kansalaisia ja jotka eivät oleskele Yhdysvaltojen alueella, ja joka toimii erityisesti PRISM- ja UPSTREAM‑tarkkailuohjelmien perustana. Tämän tuomioistuimen tekemien toteamusten mukaan PRISM-ohjelmassa internetpalvelujen tarjoajien on toimitettava NSA:lle kaikki sen ilmoittaman valintakriteerin ”lähtevä” tai ”saapuva” viestintä, ja osa tästä viestinnästä toimitetaan myös FBI:lle ja Central Intelligence Agencylle (CIA) (keskustiedustelupalvelu).

62

Mainittu tuomioistuin totesi UPSTREAM-ohjelmasta, että tässä ohjelmassa sähköisen viestinnän yritykset, jotka ylläpitävät internetin runkoverkkoa – eli kaapeliverkkoja, verkkokytkimiä ja verkkoreitittimiä – ovat velvollisia antamaan NSA:n kopioida ja suodattaa internetliikennettä sellaisen henkilön, joka ei ole Yhdysvaltojen kansalainen ja johon on yhdistetty valintakriteeri, lähtevän tai saapuvan viestinnän tai tätä henkilöä koskevan viestinnän hankkimiseksi. Saman tuomioistuimen tekemien toteamusten mukaan NSA:lla on tämän ohjelman puitteissa pääsy sekä metatietoihin että viestinnän sisältöön.

63

Siltä osin kuin kyse on E.O. 12333:sta, ennakkoratkaisua pyytänyt tuomioistuin toteaa, että se mahdollistaa NSA:n pääsyn tietoihin, joita ollaan siirtämässä Yhdysvaltoihin, merenalaisten kaapeleiden kautta, jotka sijaitsevat Atlantin valtameren pohjassa, sekä näiden tietojen keräämisen ja säilyttämisen ennen kuin ne saapuvat Yhdysvaltoihin, jossa niihin sovelletaan FISA:n säännöksiä. Se täsmentää, että E.O. 12333:een perustuvia toimintoja ei säännellä lailla.

64

Siltä osin kuin kyse on tiedustelutoiminnalle asetetuista rajoituksista, ennakkoratkaisua pyytänyt tuomioistuin korostaa, että ei-yhdysvaltalaisiin henkilöihin sovelletaan ainoastaan PPD-28:aa ja että siinä todetaan vain, että tiedustelutoiminnan on oltava ”mahdollisimman räätälöityä” (as tailored as feasible). Ennakkoratkaisua pyytänyt tuomioistuin katsoo näiden toteamusten perusteella, että Yhdysvallat harjoittaa valikoimatonta tietojen käsittelyä takaamatta suojaa, joka pääosiltaan vastaisi perusoikeuskirjan 7 ja 8 artiklassa taattua suojaa.

65

Oikeussuojan osalta tämä tuomioistuin toteaa, että unionin kansalaisilla ei ole käytettävissään samoja oikeussuojakeinoja kuin Yhdysvaltojen kansalaisilla Yhdysvaltojen viranomaisten käsitellessä heidän henkilötietojaan, koska Yhdysvaltojen perustuslain (Constitution of the United States) neljäs lisäys, joka Yhdysvaltojen oikeudessa muodostaa tärkeimmän suojan lainvastaista valvontaa vastaan, ei ole sovellettavissa unionin kansalaisiin. Ennakkoratkaisua pyytänyt tuomioistuin täsmentää tältä osin, että viimeksi mainittujen käytettäviksi jäävien oikeussuojakeinojen käytölle on huomattavia esteitä, erityisesti velvollisuus osoittaa asiavaltuus, mikä sen mukaan on kohtuuttoman vaikeasti täytettävissä. Lisäksi tämän tuomioistuimen toteamusten mukaan NSA:n E.O. 12333:een perustuviin tehtäviin ei kohdistu tuomioistuinvalvonta eikä niiden osalta ole käytettävissä oikeussuojakeinoja. Kyseinen tuomioistuin katsoo, että koska sen mukaan Privacy Shield ‑järjestelyn oikeusasiamies ei ole perusoikeuskirjan 47 artiklassa tarkoitettu tuomioistuin, Yhdysvaltojen oikeudessa ei varmisteta unionin kansalaisille suojan tasoa, joka pääosiltaan vastaa tässä artiklassa vahvistetulla perusoikeudella taatun suojan tasoa.

66

Ennakkoratkaisua pyytänyt tuomioistuin täsmentää ennakkoratkaisupyynnössään vielä, että pääasian asianosaiset ovat eri mieltä erityisesti siitä, sovelletaanko unionin oikeutta sellaisiin kolmanteen maahan tehtäviin siirtoihin, jotka koskevat henkilötietoja, joita kyseisen maan viranomaiset voivat käsitellä muun muassa kansallista turvallisuutta varten, sekä siitä, mitä seikkoja on otettava huomioon arvioitaessa kyseisen maan varmistaman suojan tason riittävyyttä. Erityisesti tämä tuomioistuin huomauttaa, että Facebook Irelandin mukaan kolmannen maan varmistaman suojan tason riittävyyttä koskevat komission toteamukset, sellaisina kuin ne esitetään Privacy Shield ‑päätöksessä, sitovat valvontaviranomaisia myös sellaisen henkilötietojen siirron yhteydessä, joka perustuu päätöksen 2010/87 liitteessä oleviin tietosuojaa koskeviin vakiolausekkeisiin.

67

Siltä osin kuin kyse on tietosuojaa koskevista vakiolausekkeista, kyseinen tuomioistuin pohtii, voidaanko päätöstä 2010/87 pitää pätevänä, vaikka kyseisen tuomioistuimen mukaan nämä lausekkeet eivät ole luonteeltaan asianomaisen kolmannen maan viranomaisia sitovia eivätkä ne siis korjaa riittävän suojan tason mahdollista puuttumista tässä maassa. Se katsoo tältä osin, että päätöksen 2010/87, sellaisena kuin se oli voimassa ennen täytäntöönpanopäätöksen 2016/2297 voimaantuloa, 4 artiklan 1 kohdan a alakohdassa jäsenvaltion toimivaltaisille viranomaisille annettu mahdollisuus kieltää henkilötietojen siirto kolmanteen maahan, joka asettaa tietojen tuojalle velvollisuuksia, jotka ovat yhteensopimattomia näihin samoihin lausekkeisiin sisältyvien takeiden kanssa, osoittaa, että kolmannen maan oikeuden tila voi olla perusteena tietojen siirron kieltämiselle, vaikka siirto toteutettaisiin päätöksen 2010/87 liitteessä olevien tietosuojaa koskevien vakiolausekkeiden perusteella, ja siitä voidaan päätellä, että lausekkeet eivät välttämättä riitä varmistamaan riittävää suojaa. Ennakkoratkaisua pyytänyt tuomioistuin pohtii silti, minkä laajuinen on Irlannin tietosuojavaltuutetun valta kieltää näihin lausekkeisiin perustuva tietojen siirto, mutta se katsoo kuitenkin, että valtuutetun harkintavalta ei voi riittää varmistamaan riittävää suojaa.

68

Näissä olosuhteissa High Court päätti lykätä ratkaisun antamista ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

69

Facebook Ireland sekä Saksan ja Yhdistyneen kuningaskunnan hallitukset katsovat, että ennakkoratkaisupyyntö on jätettävä tutkimatta.

70

Facebook Ireland toteaa esittämässään väitteessä, että direktiivin 95/46 säännökset, joihin ennakkoratkaisukysymykset perustuvat, on kumottu yleisellä tietosuoja-asetuksella.

71

Tästä on todettava, että vaikka direktiivi 95/46 kumottiin yleisen tietosuoja-asetuksen 94 artiklan 1 kohdan nojalla 25.5.2018 alkavin vaikutuksin, se oli vielä voimassa 4.5.2018, kun tämä ennakkoratkaisupyyntö, joka saapui unionin tuomioistuimeen 9.5.2018, esitettiin. Lisäksi direktiivin 95/46 3 artiklan 2 kohdan ensimmäinen luetelmakohta, 25 ja 26 artikla sekä 28 artiklan 3 kohta, joihin ennakkoratkaisupyynnöissä viitataan, on pääosin toistettu yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa sekä 45, 46 ja 58 artiklassa. Lisäksi on syytä palauttaa mieleen, että unionin tuomioistuimen tehtävänä on tulkita kaikkia unionin oikeuden säännöksiä ja määräyksiä, joita kansalliset tuomioistuimet tarvitsevat ratkaistessaan niiden käsiteltäväksi saatettuja asioita, vaikka näitä säännöksiä ja määräyksiä ei olisi nimenomaisesti mainittu kansallisten tuomioistuinten unionin tuomioistuimelle esittämissä kysymyksissä (tuomio 2.4.2020, Ruska Federacija, C‑897/19 PPU, EU:C:2020:262, 43 kohta oikeuskäytäntöviittauksineen). Näistä eri syistä se, että ennakkoratkaisua pyytänyt tuomioistuin muotoili ennakkoratkaisukysymykset viittaamalla ainoastaan direktiivin 95/46 säännöksiin, ei voi merkitä sitä, että tämä ennakkoratkaisupyyntö on jätettävä tutkimatta.

72

Saksan hallitus puolestaan perustaa oikeudenkäyntiväitteensä yhtäältä siihen, että Irlannin tietosuojavaltuutettu on ilmaissut vain epäilyksiä eikä lopullista mielipidettä päätöksen 2010/87 pätevyydestä, ja toisaalta siihen, että ennakkoratkaisua pyytänyt tuomioistuin ei ole tarkistanut, oliko Schrems epäilyksettä antanut suostumuksensa pääasiassa kyseessä olevien tietojen siirtoon, mikä, jos näin olisi, tekisi vastauksen antamisen tähän kysymykseen tarpeettomaksi. Lopuksi Yhdistyneen kuningaskunnan hallituksen mukaan ennakkoratkaisukysymykset ovat hypoteettisia, koska kyseinen tuomioistuin ei ole todennut, että nämä tiedot oli tosiasiallisesti siirretty tämän päätöksen perusteella.

73

Unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan yksinomaan kansallisen tuomioistuimen, jossa asia on vireillä ja joka vastaa annettavasta ratkaisusta, tehtävänä on kunkin asian erityispiirteiden perusteella harkita, onko ennakkoratkaisu tarpeen asian ratkaisemiseksi ja onko sen unionin tuomioistuimelle esittämillä kysymyksillä merkitystä asian kannalta. Jos esitetyt kysymykset koskevat unionin oikeusäännön tulkintaa tai pätevyyttä, unionin tuomioistuimen on siten lähtökohtaisesti ratkaistava ne. Tästä seuraa, että unionin oikeutta koskevilla kysymyksillä oletetaan olevan merkitystä asian ratkaisemisen kannalta. Unionin tuomioistuin voi kieltäytyä vastaamasta kansallisen tuomioistuimen esittämään ennakkoratkaisukysymykseen vain, jos ilmenee, että unionin oikeuden tulkitsemisella, jota kansallinen tuomioistuin on pyytänyt, ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, tai jos kyseinen ongelma on luonteeltaan hypoteettinen taikka unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin (tuomio 16.6.2015, Gauweiler ym., C‑62/14, EU:C:2015:400, 24 ja 25 kohta; tuomio 2.10.2018, Ministerio Fiscal, C‑207/16, EU:C:2018:788, 45 kohta ja tuomio 19.12.2019, Dobersberger, C‑16/18, EU:C:2019:1110, 18 ja 19 kohta).

74

Käsiteltävässä asiassa ennakkoratkaisupyynnön esittämisestä tehty päätös sisältää riittävät tosiseikat ja oikeudelliset seikat ennakkoratkaisukysymysten ulottuvuuden ymmärtämiseksi. Lisäksi ja ennen kaikkea on niin, että unionin tuomioistuimen käytettävissä olevassa asiakirja-aineistossa ei ole mitään, minkä perusteella voitaisiin katsoa, että pyydetyllä unionin oikeuden tulkinnalla ei olisi yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen tai että se olisi luonteeltaan hypoteettinen, erityisesti siitä syystä, että pääasiassa kyseessä oleva henkilötietojen siirto perustuisi rekisteröidyn tähän siirtoon antamaan nimenomaiseen suostumukseen eikä päätökseen 2010/87. Tässä pyynnössä esitettyjen tietojen mukaan Facebook Ireland on näet myöntänyt, että se siirtää Facebook Inc:lle unionissa asuvien käyttäjiensä henkilötiedot ja että suuri osa näistä siirroista, joiden laillisuuden Schrems riitauttaa, toteutetaan päätöksen 2010/87 liitteessä olevien tietosuojaa koskevien vakiolausekkeiden perusteella.

75

Lisäksi tämän ennakkoratkaisupyynnön tutkittavaksi ottamiseen ei vaikuta se, että Irlannin tietosuojavaltuutettu ei ole esittänyt lopullista mielipidettä tämän päätöksen pätevyydestä, koska ennakkoratkaisua pyytänyt tuomioistuin katsoo, että vastaus ennakkoratkaisukysymyksiin, jotka koskevat unionin oikeussääntöjen tulkintaa ja pätevyyttä, on tarpeen pääasian ratkaisemiseksi.

76

Tästä seuraa, että ennakkoratkaisupyyntö on otettava tutkittavaksi.

77

Aluksi on syytä palauttaa mieleen, että käsiteltävänä olevan ennakkoratkaisupyynnön taustalla on Schremsin tekemä kantelu, jolla hän pyrki saamaan Irlannin tietosuojavaltuutetun keskeyttämään tai kieltämään tulevaisuudessa sen, että Facebook Ireland siirtää henkilötietoja Facebook Inc:lle. Vaikka ennakkoratkaisukysymyksissä viitataan direktiivin 95/46 säännöksiin, on kiistatonta, että Irlannin tietosuojavaltuutettu ei vielä ollut tehnyt tästä kantelusta lopullista päätöstä, kun kyseinen direktiivi kumottiin ja korvattiin yleisellä tietosuoja-asetuksella 25.5.2018 alkavin vaikutuksin.

78

Tämä kansallisen päätöksen puuttuminen erottaa pääasiassa kyseessä olevan tilanteen tilanteista, jotka johtivat 24.9.2019 annettuun tuomioon Google (Hakutulosten luettelosta poistamisen alueellinen ulottuvuus) (C‑507/17, EU:C:2019:772) ja 1.10.2019 annettuun tuomioon Planet49 (C‑673/17, EU:C:2019:801), joissa kyseessä olivat ennen mainitun direktiivin kumoamista annetut päätökset.

79

Ennakkoratkaisukysymyksiin on siis vastattava yleisen tietosuoja-asetuksen säännösten eikä direktiivin 95/46 säännösten perusteella.

80

Ennakkoratkaisua pyytänyt tuomioistuin haluaa ensimmäisellä kysymyksellään selvittää ennen kaikkea, onko yleisen tietosuoja-asetuksen 2 artiklan 1 kohtaa ja 2 artiklan 2 kohdan a, b ja d alakohtaa, luettuina yhdessä SEU 4 artiklan 2 kohdan kanssa, tulkittava siten, että tämän asetuksen soveltamisalaan kuuluu henkilötietojen siirto, jonka jäsenvaltioon sijoittautunut talouden toimija toteuttaa siirtämällä tiedot kolmanteen maahan sijoittautuneelle talouden toimijalle, kun kyseisen kolmannen maan viranomaiset voivat tämän siirron kuluessa tai sen jälkeen käsitellä näitä tietoja yleistä turvallisuutta, puolustusta ja valtion turvallisuutta varten.

81

Tältä osin on aluksi todettava, että SEU 4 artiklan 2 kohtaan sisältyvä määräys, jonka mukaan unionissa kansallinen turvallisuus säilyy yksinomaan kunkin jäsenvaltion vastuulla, koskee ainoastaan unionin jäsenvaltioita. Tämä määräys ei näin ollen ole tässä tapauksessa merkityksellinen yleisen tietosuoja-asetuksen 2 artiklan 1 kohdan ja 2 artiklan 2 kohdan a, b ja d alakohdan tulkitsemiseksi.

82

Yleisen tietosuoja-asetuksen 2 artiklan 1 kohdan mukaan tätä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Kyseisen asetuksen 4 artiklan 2 kohtaan sisältyvän määritelmän mukaan ”käsittelyllä” tarkoitetaan ”toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti”, ja siinä mainitaan esimerkkeinä ”tietojen luovuttami[nen] siirtämällä, levittämällä tai asettamalla ne muutoin saataville” tekemättä eroa sen mukaan, toteutetaanko nämä toiminnot unionin sisällä vai onko niillä yhteys kolmanteen maahan. Lisäksi kyseisessä asetuksessa henkilötietojen siirtoa kolmansiin maihin koskevat erityiset säännökset, jotka sisältyvät sen V lukuun, jonka otsikko on ”Henkilötietojen siirrot kolmansiin maihin tai kansainvälisille järjestöille”, ja siinä annetaan lisäksi valvontaviranomaisille tätä varten erityisiä toimivaltuuksia, jotka sisältyvät asetuksen 58 artiklan 2 kohdan j alakohtaan.

83

Tästä seuraa, että toiminnossa, jolla henkilötietoja siirretään jäsenvaltiosta kolmanteen maahan, on sellaisenaan kyse yleisen tietosuoja-asetuksen 4 artiklan 2 kohdassa tarkoitetusta henkilötietojen käsittelystä jäsenvaltion alueella; tähän käsittelyyn sovelletaan asetusta sen 2 artiklan 1 kohdan nojalla (ks. analogisesti direktiivin 95/46 2 artiklan b alakohdasta ja 3 artiklan 1 kohdasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 45 kohta oikeuskäytäntöviittauksineen).

84

Siltä osin kuin kyse on siitä, voidaanko tällaisen toimenpiteen katsoa jäävän yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle sen 2 artiklan 2 kohdan nojalla, on muistettava, että kyseisessä säännöksessä säädetään poikkeuksista direktiivin 2 artiklan 1 kohdassa määriteltyyn soveltamisalaan ja että näitä poikkeuksia on tulkittava suppeasti (ks. analogisesti direktiivin 95/46 3 artiklan 2 kohdasta tuomio 10.7.2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, 37 kohta oikeuskäytäntöviittauksineen).

85

Koska pääasiassa kyseessä olevan henkilötietojen siirron suorittaa Facebook Ireland Facebook Inc:lle eli siirto on kahden oikeushenkilön välinen, se ei kuulu yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan c alakohdan, joka koskee tietojenkäsittelyä, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa, soveltamisalaan. Mainittu siirto ei kuulu myöskään tämän asetuksen 2 artiklan 2 kohdan a, b ja d alakohdassa tarkoitettujen poikkeusten alaan, koska niissä esimerkkeinä mainitut toimet ovat kussakin tapauksessa valtiolle tai valtion viranomaisille tyypillisiä toimintoja, jotka eivät liity yksityisten henkilöiden toiminta-aloihin (ks. analogisesti direktiivin 95/46 3 artiklan 2 kohdasta tuomio 10.7.2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, 38 kohta oikeuskäytäntöviittauksineen).

86

Se mahdollisuus, että kyseisen kolmannen maan viranomaiset käsittelevät kahden talouden toimijan välillä kaupallisissa tarkoituksissa siirrettyjä henkilötietoja siirron yhteydessä tai sen jälkeen yleistä turvallisuutta, puolustusta ja valtion turvallisuutta varten, ei voi sulkea tätä siirtoa yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle.

87

Lisäksi on niin, että kun tämän asetuksen 45 artiklan 2 kohdan a alakohdassa nimenomaisesti asetetaan komissiolle velvollisuus, arvioidessaan kolmannen maan tarjoaman tietosuojan tason riittävyyttä, ottaa huomioon muun muassa ”sekä yleinen että alakohtainen asiaankuuluva lainsäädäntö, joka koskee muun muassa yleistä turvallisuutta, puolustusta, kansallista turvallisuutta ja rikosoikeutta sekä viranomaisten pääsyä henkilötietoihin, sekä tällaisen lainsäädännön täytäntöönpano”, kyseissä säännöksessä tuodaan esiin, että se, että kolmas maa mahdollisesti käsittelee asianomaisia tietoja yleistä turvallisuutta, puolustusta ja valtion turvallisuutta varten, ei saata kyseenalaiseksi mainitun asetuksen sovellettavuutta kyseessä olevaan siirtoon.

88

Tästä seuraa, että tällainen siirto ei voi jäädä yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle siitä syystä, että kyseisen kolmannen maan viranomaiset voivat tämän siirron kuluessa tai sen jälkeen käsitellä näitä tietoja yleistä turvallisuutta, puolustusta ja valtion turvallisuutta varten.

89

Ensimmäiseen kysymykseen on siis vastattava, että yleisen tietosuoja-asetuksen 2 artiklan 1 ja 2 kohtaa on tulkittava siten, että tämän asetuksen soveltamisalaan kuuluu henkilötietojen siirto, jonka jäsenvaltioon sijoittautunut talouden toimija toteuttaa kaupallisessa tarkoituksessa siirtämällä tiedot kolmanteen maahan sijoittautuneelle talouden toimijalle, riippumatta siitä, että kyseisen kolmannen maan viranomaiset voivat tämän siirron kuluessa tai sen jälkeen käsitellä näitä tietoja yleistä turvallisuutta, puolustusta ja valtion turvallisuutta varten.

90

Ennakkoratkaisua pyytänyt tuomioistuin kysyy toisella, kolmannella ja kuudennella kysymyksellään unionin tuomioistuimelta ennen kaikkea yleisen tietosuoja-asetuksen 46 artiklan 1 kohdassa ja 2 kohdan c alakohdassa vaadittavasta tietosuojan tasosta siinä yhteydessä, kun henkilötietoja siirretään kolmanteen maahan tietosuojaa koskevien vakiolausekkeiden nojalla. Erityisesti kyseinen tuomioistuin pyytää unionin tuomioistuinta täsmentämään, mitkä seikat on otettava huomioon ratkaistaessa, varmistetaanko tämä suojan taso tällaisen siirron yhteydessä.

91

Siltä osin kuin kyse on vaadittavasta suojan tasosta, näistä säännöksistä yhdessä luettuina seuraa, että jollei tämän asetuksen 45 artiklan 3 kohdan mukaista tietosuojan riittävyyttä koskevaa päätöstä ole tehty, rekisterinpitäjä tai henkilötietojen käsittelijä voi siirtää henkilötietoja kolmanteen maahan vain, jos se on toteuttanut ”asianmukaiset suojatoimet” ja jos rekisteröityjen saatavilla on ”täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja”; nämä asianmukaiset suojatoimet voidaan tarjota muun muassa komission antamilla tietosuojaa koskevilla vakiolausekkeilla.

92

Vaikka yleisen tietosuoja-asetuksen 46 artiklassa ei täsmennetä niiden vaatimusten luonnetta, jotka johtuvat tästä viittauksesta ”asianmukaisiin suojatoimiin”, ”täytäntöönpanokelpoisiin oikeuksiin” ja ”tehokkaisiin oikeussuojakeinoihin”, on syytä huomauttaa, että kyseinen artikla sisältyy asetuksen V lukuun ja että sitä on siis luettava asetuksen 44 artiklan valossa, jonka otsikko on ”Siirtoja koskeva yleinen periaate” ja jossa säädetään, että ”kaikkia tämän luvun säännöksiä on sovellettava, jotta varmistetaan, että tällä asetuksella taattua luonnollisten henkilöiden henkilötietojen suojan tasoa ei vaaranneta”. Tämän suojan taso on näin ollen varmistettava riippumatta siitä, minkä kyseisen luvun säännöksen nojalla henkilötietojen siirto kolmanteen maahan on toteutettu.

93

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 117 kohdassa, yleisen tietosuoja-asetuksen V luvun säännöksillä pyritään varmistamaan tämän suojan korkean tason jatkuvuus, kun henkilötietoja siirretään unionin ulkopuolelle, kyseisen asetuksen johdanto-osan kuudennessa perustelukappaleessa täsmennetyn tavoitteen mukaisesti.

94

Yleisen tietosuoja-asetuksen 45 artiklan 1 kohdan ensimmäisessä virkkeessä säädetään, että henkilötietojen siirto johonkin kolmanteen maahan voidaan toteuttaa, jos komissio on päättänyt, että kyseinen kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori varmistaa riittävän tietosuojan tason. Tältä osin ilman että vaadittaisiin, että asianomainen kolmas maa takaa täysin saman suojan kuin unionin oikeusjärjestyksessä taataan, ilmaus ”tietosuojan riittävä taso” on ymmärrettävä, kuten tämän asetuksen johdanto-osan 104 perustelukappale vahvistaa, siten, että se edellyttää, että tämä kolmas maa tosiasiallisesti takaa maan sisäisen lainsäädäntönsä tai kansainvälisten sitoumustensa johdosta perusvapauksien ja ‑oikeuksien suojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka taataan unionissa tämän asetuksen, luettuna perusoikeuskirjan valossa, nojalla. Jollei tällaista vaatimusta asetettaisi, tämän tuomion edellisessä kohdassa mainittu tavoite jäisi huomiotta (ks. analogisesti direktiivin 95/46 25 artiklan 6 kohdasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 73 kohta).

95

Tässä asiayhteydessä yleisen tietosuoja-asetuksen johdanto-osan 107 perustelukappaleessa todetaan, että jos ”jokin kolmas maa – – ei enää tarjoa riittävän tasoista tietosuojaa – – henkilötietojen siirtäminen kyseiseen kolmanteen maahan – – olisi kiellettävä, elleivät tässä asetuksessa säädetyt edellytykset, jotka liittyvät siirtoihin asianmukaisia suojatoimia soveltaen, – –, täyty”. Mainitun asetuksen johdanto-osan 108 perustelukappaleessa täsmennetään, että jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, rekisterinpitäjän tai henkilötietojen käsittelijän olisi toteutettava saman asetuksen 46 artiklan 1 kohdan mukaisesti asianmukaiset suojatoimet ”kolmannen maan puutteellisen tietosuojan kompensoimiseksi” ja niillä olisi ”varmistettava tietosuojavaatimusten noudattaminen ja unionin sisäiselle tietojenkäsittelylle ominainen rekisteröityjen oikeuksien kunnioittaminen”.

96

Tästä seuraa, kuten julkisasiamies on todennut ratkaisuehdotuksensa 115 kohdassa, että näillä asianmukaisilla suojatoimilla on varmistettava, että henkilöt, joiden henkilötietoja siirretään kolmanteen maahan tietosuojaa koskevien vakiolausekkeiden perusteella, saavat, samoin kuin tietosuojan riittävyyttä koskevaan päätökseen perustuvassa siirrossa, hyväkseen suojan tason, joka pääosiltaan vastaa unionissa taattua suojan tasoa.

97

Ennakkoratkaisua pyytänyt tuomioistuin pohtii myös sitä, onko tämä suojan taso, joka pääosiltaan vastaa unionissa taattua suojan tasoa, määritettävä unionin oikeuden ja erityisesti perusoikeuskirjassa taattujen oikeuksien perusteella ja/vai ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen (jäljempänä Euroopan ihmisoikeussopimus) perusteella vaiko jäsenvaltioiden kansallisen lainsäädännön perusteella.

98

Tältä osin on muistettava, että vaikka SEU 6 artiklan 3 kohdassa vahvistetuin tavoin Euroopan ihmisoikeussopimuksessa tunnustetut perusoikeudet ovat osa unionin oikeutta yleisinä periaatteina ja vaikka perusoikeuskirjan 52 artiklan 3 kohdassa määrätään, että perusoikeuskirjan oikeuksilla, jotka vastaavat Euroopan ihmisoikeussopimuksessa taattuja oikeuksia, on sama merkitys ja sama ulottuvuus kuin mainitussa sopimuksessa, sopimusta ei voida pitää – niin kauan kuin unioni ei ole siihen liittynyt – muodollisesti unionin oikeusjärjestykseen sisältyvänä oikeudellisena välineenä (tuomio 26.2.2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, 44 kohta oikeuskäytäntöviittauksineen ja tuomio 20.3.2018, Menci, C‑524/15, EU:C:2018:197, 22 kohta).

99

Näissä olosuhteissa unionin tuomioistuin on katsonut, että unionin oikeutta on tulkittava ja unionin toimien pätevyyttä tutkittava perusoikeuskirjassa taattujen perusoikeuksien perusteella (ks. analogisesti tuomio 20.3.2018, Menci, C‑524/15, EU:C:2018:197, 24 kohta).

100

Vakiintuneessa oikeuskäytännössä on lisäksi katsottu, että unionin oikeussääntöjen pätevyyttä ja – jos nimenomaista viittausta jäsenvaltioiden kansalliseen oikeuteen ei ole – niiden tulkintaa ei voida arvioida tämän kansallisen oikeuden perusteella, ei edes perustuslain tasoisen oikeuden, erityisesti niiden perustuslaissa vahvistettujen perusoikeuksien, perusteella (ks. vastaavasti tuomio 17.12.1970, Internationale Handelsgesellschaft, 11/70, EU:C:1970:114, 3 kohta; tuomio 13.12.1979, Hauer, 44/79, EU:C:1979:290, 14 kohta ja tuomio 18.10.2016, Nikiforidis, C‑135/15, EU:C:2016:774, 28 kohta oikeuskäytäntöviittauksineen).

101

Tästä seuraa, että kun yhtäältä pääasiassa kysymyksessä olevan kaltainen henkilötietojen siirto, jonka jäsenvaltioon sijoittautunut talouden toimija toteuttaa siirtämällä tiedot kaupallisissa tarkoituksissa kolmanteen maahan sijoittautuneelle toiselle talouden toimijalle, kuuluu, kuten ensimmäiseen kysymykseen annetusta vastauksesta ilmenee, yleisen tietosuoja-asetuksen soveltamisalaan ja kun toisaalta tällä asetuksella pyritään erityisesti, kuten sen johdanto-osan kymmenennestä perustelukappaleesta ilmenee, varmistamaan luonnollisten henkilöiden yhdenmukainen ja korkeatasoinen suojelu unionissa ja tätä varten varmistamaan näiden henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen kaikkialla unionissa, tämän asetuksen 46 artiklan 1 kohdassa edellytetty perusoikeuksien suojan taso on määritettävä tämän saman asetuksen säännösten perusteella, luettuina perusoikeuskirjassa taattujen perusoikeuksien valossa.

102

Ennakkoratkaisua pyytänyt tuomioistuin haluaa vielä tietää, mitä seikkoja on otettava huomioon määritettäessä suojan tason riittävyyttä, kun henkilötietoja siirretään kolmanteen maahan yleisen tietosuoja-asetuksen 46 artiklan 2 kohdan c alakohdan nojalla annettujen tietosuojaa koskevien vakiolausekkeiden perusteella.

103

Tältä osin on niin, että vaikka mainitussa säännöksessä ei luetella niitä eri seikkoja, jotka on otettava huomioon tällaisen siirron yhteydessä noudatettavan tietosuojan tason riittävyyden arvioinnissa, saman asetuksen 46 artiklan 1 kohdassa täsmennetään, että rekisteröityjen on saatava edukseen asianomaiset suojatoimet ja heidän saatavillaan on oltava täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja.

104

Arvioinnissa, jota tätä varten edellytetään tällaisen siirron yhteydessä, on muun muassa otettava huomioon yhtäältä unioniin sijoittautuneen rekisterinpitäjän tai sen henkilötietojen käsittelijän ja asianomaiseen kolmanteen maahan sijoittautuneen siirron vastaanottajan välillä sovitut sopimusmääräykset ja toisaalta, siltä osin kuin kyse on tämän kolmannen maan viranomaisten mahdollisesta pääsystä siirrettyihin henkilötietoihin, tämän maan oikeusjärjestelmään liittyvät merkitykselliset tekijät. Viimeksi mainituilta osin tämän asetuksen 46 artiklan yhteydessä huomioon otettavat seikat vastaavat niitä, jotka on ilmaistu – esimerkinomaisesti – sen 45 artiklan 2 kohdassa.

105

Toiseen, kolmanteen ja kuudenteen kysymykseen on siis vastattava, että yleisen tietosuoja-asetuksen 46 artiklan 1 kohtaa ja 2 kohdan c alakohtaa on tulkittava siten, että näissä säännöksissä vaadituilla asianmukaisilla suojatoimenpiteillä, täytäntöönpanokelpoisilla oikeuksilla ja tehokkailla oikeussuojakeinoilla on varmistettava, että henkilöiden, joiden henkilötietoja siirretään kolmanteen maahan tietosuojaa koskevien vakiolausekkeiden perusteella, saavat edukseen sellaisen tietosuojan tason, joka pääosiltaan vastaa tasoa, joka taataan unionissa tällä asetuksella, luettuna perusoikeuskirjan valossa. Tätä varten tällaisen siirron yhteydessä varmistetun suojan tason arvioinnissa on muun muassa otettava huomioon yhtäältä unioniin sijoittautuneen rekisterinpitäjän tai sen henkilötietojen käsittelijän ja asianomaiseen kolmanteen maahan sijoittautuneen siirron vastaanottajan välillä sovitut sopimusmääräykset ja toisaalta, siltä osin kuin kyse on tämän kolmannen maan viranomaisten mahdollisesta pääsystä näin siirrettyihin henkilötietoihin, tämän maan oikeusjärjestelmään liittyvät merkitykselliset tekijät, erityisesti mainitun asetuksen 45 artiklan 2 kohdassa mainitut tekijät.

106

Ennakkoratkaisua pyytänyt tuomioistuin pyrkii kahdeksannella kysymyksellään selvittämään ennen kaikkea, onko yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan f ja j alakohtaa tulkittava siten, että toimivaltaisen valvontaviranomaisen on keskeytettävä tai kiellettävä komission antamiin tietosuojaa koskeviin vakiolausekkeisiin perustuva henkilötietojen siirto kolmanteen maahan, jos tämä valvontaviranomainen katsoo, että näitä lausekkeita ei noudateta tai voida noudattaa tässä kolmannessa maassa ja jos unionin oikeudessa, erityisesti yleisessä tietosuoja-asetuksen 45 ja 46 artiklassa sekä perusoikeuskirjassa vaadittua siirrettyjen tietojen suojaa ei voida varmistaa, vai siten, että tämän toimivallan käyttö on rajattu poikkeuksellisiin tilanteisiin.

107

Perusoikeuskirjan 8 artiklan 3 kohdan ja yleisen tietosuoja-asetuksen 51 artiklan 1 kohdan ja 57 artiklan 1 kohdan a alakohdan mukaan kansalliset valvontaviranomaiset ovat vastuussa niiden unionin säännösten noudattamisen valvonnasta, jotka koskevat luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä. Näin ollen kukin niistä on toimivaltainen selvittämään, onko henkilötietojen siirto kolmanteen maahan jäsenvaltiosta, johon kyseinen viranomainen kuuluu, tässä asetuksessa säädettyjen vaatimusten mukaista (ks. analogisesti direktiivin 95/46 28 artiklasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 47 kohta).

108

Näistä säännöksistä johtuu, että valvontaviranomaisten ensisijainen tehtävä on valvoa yleisen tietosuoja-asetuksen soveltamista ja huolehtia sen täytäntöönpanosta. Tämän tehtävän toteuttamisella on erityinen merkitys siirrettäessä henkilötietoja kolmanteen maahan, koska, kuten mainitun asetuksen johdanto-osan 116 perustelukappaleen sanamuodosta käy ilmi, ”henkilötietojen siirtäminen valtioiden rajojen yli unionin ulkopuolelle voi vaikeuttaa luonnollisten henkilöiden mahdollisuuksia käyttää oikeuttaan tietosuojaan ja erityisesti suojata henkilötietojaan laittomalta käytöltä tai luovuttamiselta”. Tässä tilanteessa on niin, kuten samassa perustelukappaleessa täsmennetään, että ”valvontaviranomaiset eivät välttämättä pysty käsittelemään valituksia tai toteuttamaan tutkimuksia, jotka liittyvät toimintaan valtion rajojen ulkopuolella”.

109

Lisäksi yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdan nojalla jokaisen valvontaviranomaisen on alueellaan käsiteltävä valitukset, joita tämän asetuksen 77 artiklan 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehdä, jos hän katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, ja tutkittava siinä määrin kuin se on asianmukaista valituksen kohdetta. Valvontaviranomaisen asiana on tutkia tällainen valitus kaikkea asianmukaista huolellisuutta noudattaen (ks. analogisesti direktiivin 95/46 25 artiklan 6 kohdasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 63 kohta).

110

Yleisen tietosuoja-asetuksen 78 artiklan 1 ja 2 kohdassa tunnustetaan jokaiselle oikeus käyttää tehokkaita oikeussuojakeinoja muun muassa silloin, jos valvontaviranomainen ei käsittele hänen valitustaan. Tämän asetuksen johdanto-osan 141 perustelukappaleessa viitataan niin ikään tähän ”oikeu[teen] soveltaa tehokkaita oikeussuojakeinoja perusoikeuskirjan 47 artiklan mukaisesti”, jos ”valvontaviranomainen ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi”.

111

Yleisen tietosuoja-asetuksen 58 artiklan 1 kohdassa annetaan kullekin valvontaviranomaiselle valitusten käsittelemistä varten merkittävät tutkintavaltuudet. Jos tällainen viranomainen tutkintansa päätteeksi katsoo, että rekisteröity, jonka henkilötietoja on siirretty kolmanteen maahan, ei saa siellä hyväkseen riittävää tietosuojan tasoa, viranomaisen on unionin oikeuden mukaisesti reagoitava asianmukaisesti todetun puutteellisuuden korjaamiseksi ja näin on riippumatta tämän puutteellisuuden alkuperästä tai luonteesta. Tätä varten asetuksen 58 artiklan 2 kohdassa luetellaan korjaavat toimenpiteet, joita valvontaviranomainen voi käyttää.

112

Vaikka asianmukaisen ja tarpeellisen keinon valinta on valvontaviranomaisen tehtävä ja vaikka sen on tehtävä tämä valinta kyseessä olevan henkilötietojen siirron kaikki olosuhteet huomioon ottaen, tämän viranomaisen on kuitenkin suoritettava kaikkea vaadittavaa huolellisuutta noudattaen tehtävänsä, joka koskee tietosuoja-asetuksen kaikilta osin noudattamisen valvontaa.

113

Tältä osin, kuten julkisasiamies on myös todennut ratkaisuehdotuksensa 148 kohdassa, on niin, että valvontaviranomaisen on kyseisen asetuksen 58 artiklan 2 kohdan f ja j alakohdan nojalla keskeytettävä tai kiellettävä henkilötietojen siirto kolmanteen maahan, jos se katsoo tämän siirron kaikkien olosuhteiden valossa, että tietosuojaa koskevia vakiolausekkeita ei noudateta tai voida noudattaa tässä kolmannessa maassa ja että unionin oikeudessa edellytettyä siirrettyjen tietojen suojaa ei voida varmistaa muilla keinoilla, siltä osin kuin unioniin sijoittautunut rekisterinpitäjä tai sen henkilötietojen käsittelijä ei itse ole keskeyttänyt tai lopettanut siirtoa.

114

Edellisessä kohdassa esitettyä tulkintaa ei horjuta Irlannin tietosuojavaltuutetun väite, jonka mukaan päätöksen 2010/87 4 artiklassa, sellaisena kuin se oli ennen täytäntöönpanopäätöksen 2016/2297 voimaantuloa, luettuna yhdessä päätöksen 2010/87 johdanto-osan 11 perustelukappaleen kanssa, rajoitettiin tiettyihin poikkeuksellisiin tilanteisiin valvontaviranomaisen toimivalta keskeyttää tai kieltää henkilötietojen siirto kolmanteen maahan. Päätöksen 2010/87 4 artiklan täytäntöönpanopäätöksen 2016/2297 mukaisessa versiossa tuodaan näet esiin näillä viranomaisilla nykyisin yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan f ja j alakohdassa oleva toimivalta keskeyttää tai kieltää tällainen siirto, eikä siinä millään tavoin rajoiteta tämän toimivallan käyttöä poikkeuksellisiin olosuhteisiin.

115

Joka tapauksessa on niin, että yleisen tietosuoja-asetuksen 46 artiklan 2 kohdan c alakohdassa komissiolle annettu täytäntöönpanovalta tietosuojaa koskevien vakiolausekkeiden antamista varten ei merkitse sitä, että komissiolla olisi toimivalta rajoittaa valtuuksia, jotka kansallisilla valvontaviranomaisilla on saman asetuksen 58 artiklan 2 kohdan nojalla (ks. analogisesti direktiivin 95/46 25 artiklan 6 kohdasta ja 28 artiklasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 102 ja 103 kohta). Lisäksi täytäntöönpanopäätöksen 2016/2297 johdanto-osan viides perustelukappale vahvistaa, että päätös 2010/87 ”ei estä kansallista valvontaviranomaista käyttämästä valtuuksiaan tietovirtojen valvonnassa, ja kyseinen viranomainen voi esimerkiksi keskeyttää tai kieltää henkilötietojen siirron, jos se katsoo, että tietojen siirrossa on rikottu EU:n tai kansallisen tietosuojalainsäädännön säännöksiä”.

116

On kuitenkin täsmennettävä, että toimivaltaisen valvontaviranomaisen on valtuuksiaan käyttäessään kaikilta osin noudatettava päätöstä, jolla komissio tarvittaessa yleisen tietosuoja-asetuksen 45 artiklan 1 kohdan ensimmäisen virkkeen mukaisesti toteaa, että tietty kolmas maa varmistaa tietosuojan riittävän tason. Tällaisessa tilanteessa asetuksen 45 artiklan 1 kohdan toisesta virkkeestä, luettuna yhdessä asetuksen johdanto-osan 103 perustelukappaleen kanssa, seuraa, että henkilötietojen siirroille asianomaiseen kolmanteen maahan ei tarvita erityistä lupaa.

117

Komission tietosuojan riittävyydestä tekemä päätös sitoo SEUT 288 artiklan neljännen kohdan nojalla kaikilta osiltaan kaikkia jäsenvaltioita, joille se on osoitettu, ja velvoittaa siten kaikkia niiden elimiä siltä osin kuin siinä todetaan, että asianomainen kolmas maa varmistaa riittävän tietosuojan tason, ja sen vaikutuksesta tämä tietojen siirto on sallittu (ks. analogisesti direktiivin 95/46 25 artiklan 6 kohdasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 51 kohta oikeuskäytäntöviittauksineen).

118

Niin kauan kuin unionin tuomioistuin ei ole todennut tietosuojan riittävyydestä tehtyä päätöstä pätemättömäksi, jäsenvaltiot ja niiden elimet, joihin niiden itsenäiset valvontaviranomaiset kuuluvat, eivät siis voi toteuttaa kyseisen päätöksen vastaisia toimenpiteitä, kuten toimia, joilla olisi tarkoitus todeta sitovasti, ettei päätöksen kohteena oleva kolmas maa varmista tietosuojan riittävää tasoa (tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 52 kohta oikeuskäytäntöviittauksineen), ja tämän johdosta keskeyttää tai kieltää henkilötietojen siirtoa tähän kolmanteen maahan.

119

Komission yleisen tietosuoja-asetuksen 45 artiklan 3 kohdan perusteella tekemä tietosuojan riittävyyttä koskeva päätös ei kuitenkaan voi estää henkilöitä, joiden henkilötiedot on siirretty tai voitaisiin siirtää kolmanteen maahan, saattamasta toimivaltaisen kansallisen valvontaviranomaisen käsiteltäväksi yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan mukaisesti valitusta, joka koskee hänen oikeuksiensa ja vapauksiensa suojelua näiden tietojen käsittelyssä. Tällainen päätös ei myöskään voi tehdä tyhjäksi eikä heikentää valtuuksia, jotka kansallisille valvontaviranomaisille nimenomaisesti annetaan perusoikeuskirjan 8 artiklan 3 kohdassa ja mainitun asetuksen 51 artiklan 1 kohdassa ja 57 artiklan 1 kohdan a alakohdassa (ks. analogisesti direktiivin 95/46 25 artiklan 6 kohdasta ja 28 artiklasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 53 kohta).

120

Niinpä silloinkin, kun komissio on tehnyt tietosuojan riittävyyttä koskevan päätöksen, toimivaltaisen kansallisen valvontaviranomaisen, jonka käsiteltäväksi henkilö on saattanut valituksen oikeuksiensa ja vapauksiensa suojelusta henkilötietojensa käsittelyssä, on voitava tutkia täysin itsenäisesti, noudatetaanko näiden tietojen siirrossa yleisessä tietosuoja-asetuksessa säädettyjä vaatimuksia, ja tarvittaessa nostaa kanne kansallisissa tuomioistuimissa, jotta nämä voisivat, mikäli ne yhtyvät kyseisen viranomaisen epäilyihin tietosuojan riittävyyttä koskevan päätöksen pätevyydestä, pyytää ennakkoratkaisua tästä pätevyydestä (ks. analogisesti direktiivin 95/46 25 artiklan 6 kohdasta ja 28 artiklasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 57 ja 65 kohta).

121

Edellä esitetyn perusteella kahdeksanteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan f ja j alakohtaa on tulkittava siten, että jollei komissio ole pätevästi tehnyt tietosuojan riittävyyttä koskevaa päätöstä, toimivaltaisen valvontaviranomaisen on keskeytettävä tai kiellettävä komission antamiin tietosuojaa koskeviin vakiolausekkeisiin perustuva henkilötietojen siirto kolmanteen maahan, jos tämä valvontaviranomainen katsoo kaikkien tämän siirron olosuhteiden valossa, että näitä lausekkeita ei noudateta tai voida noudattaa tässä kolmannessa maassa ja että unionin oikeudessa, erityisesti yleisen tietosuoja-asetuksen 45 ja 46 artiklassa ja perusoikeuskirjassa, vaadittua siirrettyjen tietojen suojaa ei voida varmistaa muilla keinoilla, siltä osin kuin unioniin sijoittautunut rekisterinpitäjä tai sen henkilötietojen käsittelijä ei itse ole keskeyttänyt tai lopettanut siirtoa.

122

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee seitsemännellä ja yhdennellätoista kysymyksellään, joita on syytä tarkastella yhdessä, unionin tuomioistuimen näkemystä päätöksen 2010/87 pätevyydestä perusoikeuskirjan 7, 8 ja 47 artiklan kannalta.

123

Erityisesti, kuten seitsemännen kysymyksen sanamuodosta ja siihen liittyvistä, ennakkoratkaisupyyntöön sisältyvistä selityksistä ilmenee, ennakkoratkaisua pyytänyt tuomioistuin pohtii, voiko päätös 2010/87 varmistaa kolmanteen maahan siirrettyjen henkilötietojen riittävän suojan tason siltä osin kuin siinä säädetyt tietosuojaa koskevat vakiolausekkeet eivät sido näiden kolmansien maiden viranomaisia.

124

Päätöksen 2010/87 1 artiklassa säädetään, että sen liitteessä olevien mallisopimuslausekkeiden katsotaan antavan riittävät takeet yksityisyyden ja yksilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi direktiivin 95/46 26 artiklan 2 kohdassa edellytetyllä tavalla. Viimeksi mainittu säännös on pääosin toistettu yleisen tietosuoja-asetuksen 46 artiklan 1 kohdassa ja 2 kohdan c alakohdassa.

125

Vaikka nämä lausekkeet sitovat unioniin sijoittautunutta rekisterinpitäjää ja kolmanteen maahan sijoittautunutta henkilötietojen siirron vastaanottajaa, jos ne ovat tehneet näiden lausekkeiden mukaisen sopimuksen, on kuitenkin riidatonta, että nämä lausekkeet eivät voi sitoa tämän kolmannen maan viranomaisia, koska viimeksi mainitut eivät ole sopimuspuolia.

126

Vaikka näin ollen on olemassa tilanteita, joissa asianomaisen kolmannen maan lainsäädännön tilan ja siellä vallitsevien käytäntöjen vuoksi tällaisen siirron vastaanottaja kykenee varmistamaan tarvittavan tietosuojan yksin tietosuojaa koskevien vakiolausekkeiden perusteella, on olemassa muita tilanteita, joissa näihin lausekkeisiin sisältyvät määräykset eivät voi olla riittävä keino, jonka avulla voidaan käytännössä varmistaa asianomaiseen kolmanteen maahan siirrettyjen henkilötietojen tehokas suoja. Näin on muun muassa silloin, kun tämän kolmannen maan viranomaiset voivat sen lainsäädännön nojalla puuttua rekisteröityjen näitä tietoja koskeviin oikeuksiin.

127

Esiin tulee siis kysymys siitä, onko tietosuojaa koskevia vakiolausekkeita koskeva komission päätös, joka on annettu yleisen tietosuoja-asetuksen 46 artiklan 2 kohdan c alakohdan perusteella, pätemätön, jos tähän päätökseen ei sisälly suojatoimia, joihin voidaan vedota sen kolmannen maan viranomaisia vastaan, johon henkilötiedot on siirretty tai voidaan siirtää näiden lausekkeiden perusteella.

128

Yleisen tietosuoja-asetuksen 46 artiklan 1 kohdassa säädetään, että jollei tietosuojan riittävyyttä koskevaa päätöstä ole tehty, rekisterinpitäjä tai henkilötietojen käsittelijä voi siirtää henkilötietoja kolmanteen maahan vain, jos se on toteuttanut asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja. Tämän asetuksen 46 artiklan 2 kohdan c alakohdan mukaan näitä suojatoimia voivat olla komission antamat tietosuojaa koskevat vakiolausekkeet. Näissä säännöksissä ei kuitenkaan todeta, että kaikista mainituista suojatoimista olisi välttämättä säädettävä päätöksen 2010/87 kaltaisella komission päätöksellä.

129

Tältä osin on todettava, että tällainen päätös poikkeaa yleisen tietosuoja-asetuksen 45 artiklan 3 kohdan nojalla annetusta tietosuojan riittävyyttä koskevasta päätöksestä, jonka tarkoituksena on asianomaisen kolmannen maan säännöstön arvioinnin, jossa otetaan huomioon erityisesti kansallista turvallisuutta koskeva merkityksellinen lainsäädäntö ja viranomaisten pääsy henkilötietoihin, perusteella todeta sitovasti, että kolmas maa tai sen alue tai yksi tai useampi sen tietty sektori tarjoaa riittävän tietosuojan tason ja että näin ollen se, että mainituilla kolmannen maan viranomaisilla on pääsy tällaisiin tietoihin, ei estä tietojen siirtoa tähän kolmanteen maahan. Komissio voi tehdä tällaisen tietosuojan riittävyyttä koskevan päätöksen siis vain sillä edellytyksellä, että se on todennut, että kolmannen maan tämän alan merkityksellinen lainsäädäntö tosiasiallisesti sisältää kaikki vaadittavat suojatoimet, joiden perusteella voidaan katsoa, että se varmistaa riittävän tietosuojan tason.

130

Sitä vastoin tarkasteltaessa päätöksen 2010/87 kaltaista komission päätöstä, jossa annetaan tietosuojaa koskevia vakiolausekkeita ja joka ei koske kolmatta maata, sen maan aluetta tai sen yhtä tai useampaa tiettyä sektoria, yleisen tietosuoja-asetuksen 46 artiklan 1 kohdasta ja 2 kohdan c alakohdasta ei voida päätellä, että komission olisi ennen tällaisen päätöksen antamista arvioitava sen kolmannen maan tietosuojan tason riittävyys, johon henkilötiedot voitaisiin tällaisten lausekkeiden perusteella siirtää.

131

Tältä osin on muistettava, että kyseisen asetuksen 46 artiklan 1 kohdassa säädetään, että jollei komissio ole tehnyt tietosuojan riittävyyttä koskevaa päätöstä, unioniin sijoittautuneen rekisterinpitäjän tai henkilötietojen käsittelijän on toteutettava asianmukaiset suojatoimet. Mainitun asetuksen johdanto-osan 108 ja 114 perustelukappale vahvistavat, että jos komissio ei ole tehnyt tietosuojan riittävyyttä koskevaa päätöstä, rekisterinpitäjän tai tarvittaessa sen henkilötietojen käsittelijän ”olisi toteutettava toimenpiteitä, joiden avulla rekisteröidylle voidaan tarjota asianmukaiset suojatoimet kolmannen maan puutteellisen tietosuojan kompensoimiseksi”, ja että ”näillä suojatoimilla olisi varmistettava tietosuojavaatimusten noudattaminen ja unionin sisäiselle tietojenkäsittelylle ominainen rekisteröityjen oikeuksien kunnioittaminen, mukaan lukien rekisteröityjen täytäntöönpanokelpoisten oikeuksien ja tehokkaiden oikeussuojakeinojen – – saatavuus unionissa tai kolmannessa maassa”.

132

Näin ollen on niin, että kuten tämän tuomion 125 kohdasta ilmenee, tietosuojaa koskevien vakiolausekkeiden sopimusluonteisuuteen kuuluu se, että ne eivät voi sitoa kolmannen maan viranomaisia, mutta koska yleisen tietosuoja-asetuksen 44 artiklassa sekä 46 artiklan 1 kohdassa ja 2 kohdan c alakohdassa, luettuina perusoikeuskirjan 7, 8 ja 47 artiklan valossa, vaaditaan, että tässä asetuksessa luonnollisille henkilöille taattua tietosuojan tasoa ei vaaranneta, voi osoittautua tarpeelliseksi täydentää tietosuojaa koskeviin vakiolausekkeisiin sisältyviä suojatoimia. Tältä osin mainitun asetuksen johdanto-osan 109 perustelukappaleessa todetaan, että ”se, että rekisterinpitäjä – – voi käyttää – – komission – – hyväksymiä tietosuojaa koskevia vakiolausekkeita, ei saisi estää rekisterinpitäjää – – lisäämästä muita lausekkeita tai toteuttamasta muita suojatoimia”, ja täsmennetään erityisesti, että niitä ”olisi kannustettava tarjoamaan lisäsuojaa – –, joilla täydennetään [tietosuojaa koskevia] vakiosuojalausekkeita”.

133

On siis ilmeistä, että komission saman asetuksen 46 artiklan 2 kohdan c alakohdan nojalla antamilla tietosuojaa koskevilla vakiolausekkeilla pyritään ainoastaan tarjoamaan unioniin sijoittautuneille rekisterinpitäjille tai henkilötietojen käsittelijöille sopimukseen perustuvia suojatoimia, joita sovelletaan yhtenäisesti kaikissa kolmansissa maissa ja näin ollen riippumatta kussakin maassa varmistetusta tietosuojan tasosta. Siltä osin kuin nämä tietosuojaa koskevat vakiolausekkeet eivät luonteensa vuoksi voi tarjota suojatoimia, jotka menevät yli sopimusperusteisen velvollisuuden huolehtia siitä, että unionin oikeudessa vaadittua tietosuojan tasoa noudatetaan, jossakin kolmannessa maassa vallitsevan tilanteen perusteella voi olla näiden lausekkeiden täydentämiseksi tarpeen, että rekisterinpitäjä toteuttaa lisätoimenpiteitä varmistaakseen tämän suojan tason noudattamisen.

134

Tältä osin, kuten julkisasiamies on todennut ratkaisuehdotuksensa 126 kohdassa, on niin, että yleisen tietosuoja-asetuksen 46 artiklan 2 kohdan c alakohdassa säädetty sopimusmekanismi perustuu siihen, että vastuu asetetaan unioniin sijoittautuneelle rekisterinpitäjälle tai sen henkilötietojen käsittelijälle ja toissijaisesti valvontaviranomaisille. Tämän rekisterinpitäjän tai sen henkilötietojen käsittelijän on näin ollen ennen kaikkea tapauskohtaisesti ja tarvittaessa yhteistyössä siirron vastaanottajan kanssa tarkistettava, varmistetaanko kohdemaana olevan kolmannen maan oikeudessa tietosuojaa koskevien vakiolausekkeiden perusteella siirrettyjen henkilötietojen asianmukainen suoja unionin oikeuden kannalta, ja järjestettävä tarvittaessa näillä lausekkeilla tarjottujen suojatoimien täydentämiseksi lisäsuojatoimia.

135

Jos unioniin sijoittautunut rekisterinpitäjä tai sen henkilötietojen käsittelijä ei voi toteuttaa riittäviä lisätoimenpiteitä tällaisen suojan varmistamiseksi, sen – tai toissijaisesti toimivaltaisen valvontaviranomaisen – on keskeytettävä tai lopetettava henkilötietojen siirto asianomaiseen kolmanteen maahan. Näin on erityisesti silloin, jos kyseisen kolmannen maan oikeudessa asetetaan unionista lähtöisin olevien henkilötietojen siirron vastaanottajalle velvollisuuksia, jotka ovat näiden lausekkeiden vastaisia ja siis omiaan horjuttamaan sopimukseen perustuvaa taetta riittävästä suojan tasosta mainitun kolmannen maan viranomaisten näihin tietoihin pääsyä vastaan.

136

Niinpä pelkästään se, että komission yleisen tietosuoja-asetuksen 46 artiklan 2 kohdan c alakohdan nojalla tekemään päätökseen sisältyvät päätöksen 2010/87 liitteessä olevan kaltaiset tietosuojaa koskevat vakiolausekkeet eivät sido sen kolmannen maan viranomaisia, johon henkilötietoja voidaan siirtää, ei voi vaikuttaa tämän päätöksen pätevyyteen.

137

Tämä pätevyys sen sijaan riippuu siitä, sisältyykö tällaiseen päätökseen yleisen tietosuoja-asetuksen 46 artiklan 1 kohdasta ja 2 kohdan c alakohdasta, tulkittuina perusoikeuskirjan 7, 8 ja 47 artiklan valossa, johtuvan vaatimuksen mukaisesti tehokkaita mekanismeja, jotka käytännössä varmistavat, että unionin oikeudessa edellytettyä tietosuojan tasoa noudatetaan ja että tällaisiin lausekkeisiin perustuvat henkilötietojen siirrot keskeytetään tai kielletään, jos näitä lausekkeita rikotaan tai niiden noudattaminen on mahdotonta.

138

Siltä osin kuin kyse on päätöksen 2010/87 liitteessä oleviin tietosuojaa koskeviin vakiolausekkeisiin sisältyvistä suojatoimista, lausekkeen 4 kohdista a ja b, lausekkeen 5 kohdasta a, lausekkeesta 9 sekä lausekkeen 11 kohdasta 1 käy ilmi, että unioniin sijoittautunut rekisterinpitäjä, henkilötietojen siirron vastaanottaja ja viimeksi mainitun mahdollinen henkilötietojen käsittelijä sitoutuvat vastavuoroisesti siihen, että näiden tietojen käsittely, mukaan lukien niiden siirto, on toteutettu ja tullaan edelleen toteuttamaan ”sovellettavan tietosuojalainsäädännön mukaisesti”, jolla mainitun päätöksen 3 artiklan f alakohtaan sisältyvän määritelmän mukaan tarkoitetaan ”lainsäädäntöä, jolla suojataan yksilöiden perusoikeudet ja ‑vapaudet ja erityisesti näiden yksilöiden oikeus yksityisyyteen henkilötietojen käsittelyssä ja jota sovelletaan rekisterinpitäjään siinä jäsenvaltioissa, johon tietojen viejä on sijoittautunut”. Yleisen tietosuoja-asetuksen säännökset, perusoikeuskirjan valossa luettuina, ovat osa tätä lainsäädäntöä.

139

Lisäksi kolmanteen maahan sijoittautunut henkilötietojen siirron vastaanottaja sitoutuu lausekkeen 5 kohdan a nojalla ilmoittamaan viipymättä unioniin sijoittautuneelle rekisterinpitäjälle, jos se ei voi noudattaa tehdyn sopimuksen nojalla sille kuuluvia velvoitteita. Erityisesti mainitun lausekkeen 5 kohdan b mukaan tämä vastaanottaja vakuuttaa, että sillä ei ole mitään syytä olettaa, että siihen sovellettava lainsäädäntö estäisi sille sopimuksen mukaan kuuluvien velvoitteiden täyttämisen, ja jos kansallista lainsäädäntöä muutetaan ja muutoksella on todennäköisesti merkittävä haitallinen vaikutus päätöksen 2010/87 liitteenä olevilla tietosuojaa koskevilla vakiolausekkeilla annettaviin takeisiin ja lausekkeiden mukaisiin velvoitteisiin, se antaa muutoksen tiedoksi rekisterinpitäjälle viipymättä saatuaan itse tiedon siitä. Lisäksi on niin, että vaikka saman lausekkeen 5 kohdan d alakohdan i nojalla henkilötietojen siirron vastaanottaja voi silloin, kun kyse on lainsäädännössä esitetystä kiellosta – kuten rikoslainsäädännön mukainen kielto lainvalvontaan liittyvien tutkimusten luottamuksellisuuden säilyttämiseksi – olla antamatta unioniin sijoittautuneelle rekisterinpitäjälle tiedoksi täytäntöönpanosta vastaavan viranomaisen oikeudellisesti sitovaa pyyntöä luovuttaa henkilötietoja, sen on kuitenkin päätöksen 2010/87 lausekkeen 5 kohdan a nojalla ilmoitettava rekisterinpitäjälle, että se ei voi noudattaa mallisopimuslausekkeita.

140

Lausekkeen 5 kohdissa a ja b tarkoitetuissa kahdessa tilanteessa annetaan unioniin sijoittautuneelle rekisterinpitäjälle oikeus keskeyttää tietojen siirtoa ja/tai irtisanoa sopimus. Kun otetaan huomioon yleisen tietosuoja-asetuksen 46 artiklan 1 kohdasta ja 2 kohdan c alakohdasta johtuvat vaatimukset, luettuina perusoikeuskirjan 7 ja 8 artiklan valossa, tietojen siirron keskeyttäminen ja/tai sopimuksen irtisanominen ovat rekisterinpitäjään nähden pakottavia, kun siirron vastaanottaja ei voi tai ei enää voi noudattaa tietosuojaa koskevia vakiolausekkeita. Muutoin rekisterinpitäjä jättäisi noudattamatta vaatimuksia, jotka sille johtuvat päätöksen 2010/87 liitteessä olevan lausekkeen 4 kohdasta a, tulkittuna yleisen tietosuoja-asetuksen ja perusoikeuskirjan valossa.

141

On siis ilmeistä, että tässä liitteessä olevan lausekkeen 4 kohdassa a ja lausekkeen 5 kohdissa a ja b asetetaan unioniin sijoittautuneelle rekisterinpitäjälle ja henkilötietojen siirron vastaanottajalle velvollisuus varmistautua siitä, että kohdemaana olevan kolmannen maan lainsäädäntö mahdollistaa sen, että mainittu vastaanottaja voi noudattaa päätöksen 2010/87 liitteessä olevia tietosuojaa koskevia vakiolausekkeita, ennen kuin henkilötietoja siirretään tähän kolmanteen maahan. Siltä osin kuin kyse on tästä tarkistuksesta, mainittuun lausekkeeseen 5 liittyvässä alaviitteessä täsmennetään, että tämän lainsäädännön sisältämät pakolliset vaatimukset, jotka eivät mene pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa, muun muassa valtion turvallisuuden, puolustuksen ja yleisen turvallisuuden varmistamiseksi, eivät ole ristiriidassa näiden tietosuojaa koskevien vakiolausekkeiden kanssa. Kääntäen, kuten julkisasiamies on todennut ratkaisuehdotuksensa 131 kohdassa, näiden lausekkeiden noudattamatta jättämistä kohdemaana olevan kolmannen maan oikeuteen perustuvan sellaisen velvollisuuden noudattamiseksi, jolla ylitetään se, mikä on tätä varten tarpeen, on pidettävä kyseisten lausekkeiden rikkomisena. Näiden toimijoiden on arvioidessaan tällaisen velvollisuuden tarpeellisuutta otettava tarvittaessa huomioon komission yleisen tietosuoja-asetuksen 45 artiklan 3 kohdan nojalla tekemään tietosuojan riittävyyttä koskevaan päätökseen sisältyvä toteamus asianomaisen kolmannen maan varmistaman tietosuojan riittävyydestä.

142

Tästä seuraa, että unioniin sijoittautuneen rekisterinpitäjän ja henkilötietojen siirron vastaanottajan on ennalta varmistettava, että asianomaisessa kolmannessa maassa noudatetaan unionin oikeudessa edellytettyä tietosuojan tasoa. Tämän siirron vastaanottajalla on tarvittaessa saman lausekkeen 5 kohdan b nojalla velvollisuus ilmoittaa rekisterinpitäjälle, jos se ei voi noudattaa näitä lausekkeita, jolloin viimeksi mainitun on keskeytettävä tietojen siirto ja/tai irtisanottava sopimus.

143

Jos kolmanteen maahan siirrettävien henkilötietojen vastaanottaja ilmoittaa rekisterinpitäjälle päätöksen 2010/87 liitteessä olevan lausekkeen 5 kohdan b nojalla, että se ei asianomaisen kolmannen maan lainsäädännön vuoksi voi noudattaa tässä liitteessä olevia tietosuojaa koskevia vakiolausekkeita, tässä liitteessä olevasta lausekkeesta 12 ilmenee, että kaikki tähän kolmanteen maahan jo siirretyt henkilötiedot ja jäljennökset näistä tiedoista on palautettava tai hävitettävä. Joka tapauksessa on niin, että samassa liitteessä olevan lausekkeen 6 mukaan näiden lausekkeiden rikkomisesta seuraa, että rekisteröidyllä on oikeus saada korvaus aiheutuneista vahingoista.

144

Lisättäköön, että päätöksen 2010/87 liitteessä olevan lausekkeen 4 kohdan f mukaan on niin, että jos erityisiä tietoryhmiä voitaisiin siirtää kolmanteen maahan, jossa ei taata tietosuojan riittävää tasoa, rekisterinpitäjä sitoutuu ilmoittamaan tästä rekisteröidylle ennen siirtoa tai mahdollisimman pian sen jälkeen. Tämä ilmoitus mahdollistaa sen, että rekisteröity voi käyttää hänelle tässä liitteessä olevan lausekkeen 3 kohdassa 1 tunnustettua oikeussuojakeinoa rekisterinpitäjää vastaan, jotta tämä lykkää aiottua siirtoa, irtisanoo henkilötietojen siirron vastaanottajan kanssa tehdyn sopimuksen tai tarvittaessa vaatii viimeksi mainittua palauttamaan tai tuhoamaan siirretyt tiedot.

145

Lopuksi mainitussa liitteessä olevan lausekkeen 4 kohdan g nojalla unioniin sijoittautuneen rekisterinpitäjän on silloin, kun henkilötietojen siirron vastaanottaja ilmoittaa sille liitteessä olevan lausekkeen 5 kohdan b mukaisesti, että sitä koskevaan lainsäädäntöön tehtävällä muutoksella on todennäköisesti merkittävä haitallinen vaikutus lausekkeilla annettaviin takeisiin ja tietosuojaa koskevien vakiolausekkeiden mukaisiin velvoitteisiin, toimitettava tämä tieto toimivaltaiselle valvontaviranomaiselle, kun se päättää jatkaa siirtoa tai lopettaa lykkäyksen tästä ilmoituksesta huolimatta. Tällaisen tiedon toimittaminen valvontaviranomaiselle ja tämän oikeus tehdä henkilötietojen siirron vastaanottajaan kohdistuvia tarkastuksia lausekkeen 8 kohdan 2 mukaisesti mahdollistaa sen, että valvontaviranomainen voi tarkistaa, onko aiotun siirron lykkäämiseen tai kieltämiseen syytä riittävän tietosuojan tason varmistamiseksi.

146

Tässä yhteydessä päätöksen 2010/87 4 artikla, luettuna täytäntöönpanopäätöksen 2016/2297 johdanto-osan viidennen perustelukappaleen valossa, vahvistaa, että päätös 2010/87 ei millään tavoin estä toimivaltaista viranomaista keskeyttämästä tai kieltämästä tarvittaessa tämän päätöksen liitteessä oleviin tietosuojaa koskeviin vakiolausekkeisiin perustuvaa henkilötietojen siirtoa kolmanteen maahan. Tältä osin, kuten kahdeksanteen kysymyksen annetusta vastauksesta ilmenee, on niin, että jollei komissio ole pätevästi tehnyt tietosuojan riittävyyttä koskevaa päätöstä, toimivaltaisen valvontaviranomaisen on yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan f ja j alakohdan nojalla keskeytettävä tai kiellettävä tällainen siirto, jos se katsoo tämän siirron kaikkien olosuhteiden valossa, että näitä lausekkeita ei noudateta tai voida noudattaa tässä kolmannessa maassa ja että unionin oikeudessa edellytettyä siirrettyjen tietojen suojaa ei voida varmistaa muilla keinoilla, siltä osin kuin unioniin sijoittautunut rekisterinpitäjä tai sen henkilötietojen käsittelijä ei itse ole keskeyttänyt tai lopettanut siirtoa.

147

Siltä osin kuin kyse on siitä Irlannin tietosuojavaltuutetun esiin tuomasta seikasta, että henkilötietojen siirto tällaiseen kolmanteen maahan voi johtaa eri jäsenvaltioiden valvontaviranomaisten toisistaan poikkeaviin ratkaisuihin, on lisättävä, että kuten yleisen tietosuoja-asetuksen 55 artiklan 1 kohdasta ja 57 artiklan 1 kohdan a alakohdasta käy ilmi, tämän asetuksen noudattamisen valvontaa koskeva tehtävä on annettu lähtökohtaisesti jokaiselle valvontaviranomaiselle oman jäsenvaltionsa alueella. Lisäksi toisistaan poikkeavien ratkaisujen välttämiseksi mainitun asetuksen 64 artiklan 2 kohdassa säädetään valvontaviranomaisen, joka katsoo, että tietojen siirto kolmanteen maahan pitäisi yleisesti kieltää, mahdollisuudesta saattaa asia tietosuojaneuvoston käsiteltäväksi; tietosuojaneuvosto voi saman asetuksen 65 artiklan 1 kohdan c alakohdan mukaisesti tehdä sitovan päätöksen muun muassa silloin, kun valvontaviranomainen ei noudata annettua lausuntoa.

148

Päätöksessä 2010/87 säädetään näin ollen tehokkaista mekanismeista, joilla voidaan käytännössä varmistaa, että henkilötietojen siirto kolmanteen maahan tämän päätöksen liitteessä olevien tietosuojaa koskevien vakiolausekkeiden perusteella keskeytetään tai kielletään, jos siirron vastaanottaja ei noudata näitä lausekkeita tai ei voi noudattaa niitä.

149

Kaiken edellä esitetyn perusteella seitsemänteen ja yhdenteentoista kysymykseen on vastattava, että perusoikeuskirjan 7, 8 ja 47 artiklan kannalta suoritetussa päätöksen 2010/87 tarkastelussa ei ole tullut esiin mitään seikkaa, joka vaikuttaisi tämän päätöksen pätevyyteen.

150

Ennakkoratkaisua pyytänyt tuomioistuin haluaa yhdeksännellä kysymyksellään ennen kaikkea tietää, sitovatko jäsenvaltion valvontaviranomaista Privacy Shield ‑päätökseen sisältyvät toteamukset, joiden mukaan Yhdysvallat varmistaa riittävän tietosuojan tason, ja jos sitovat, missä määrin. Ennakkoratkaisua pyytänyt tuomioistuin kysyy neljännellä, viidennellä ja kymmenennellä kysymyksellään ennen kaikkea, loukkaako – kun otetaan huomioon sen omat Yhdysvaltojen oikeutta koskevat toteamukset – henkilötietojen siirto päätöksen 2010/87 liitteessä olevien tietosuojaa koskevien vakiolausekkeiden perusteella perusoikeuskirjan 7, 8 ja 47 artiklassa taattuja oikeuksia, ja tiedustelee unionin tuomioistuimelta erityisesti, onko Privacy Shield ‑päätöksen liitteessä III mainitun oikeusasiamiesmekanismin käyttöönotto yhteensopivaa tämän 47 artiklan kanssa.

151

Aluksi on huomattava, että vaikka Irlannin tietosuojavaltuutetun pääasiassa nostamassa kanteessa asetetaan kyseenalaiseksi ainoastaan päätös 2010/87, kanne nostettiin ennakkoratkaisua pyytäneessä tuomioistuimessa ennen Privacy Shield ‑päätöksen antamista. Siltä osin kuin kyseinen tuomioistuin tiedustelee neljännellä ja viidennellä kysymyksellään unionin tuomioistuimelta yleisesti suojasta, joka tällaisen siirron yhteydessä on perusoikeuskirjan 7, 8 ja 47 artiklan nojalla varmistettava, unionin tuomioistuimen on tarkastelussaan otettava huomioon seuraukset, jotka johtuvat siitä, että tällä välin annettiin Privacy Shield ‑päätös. Näin on sitäkin suuremmalla syyllä, koska ennakkoratkaisua pyytänyt tuomioistuin kysyy kymmenennellä kysymyksellään nimenomaisesti, varmistetaanko tässä 47 artiklassa edellytetty suoja viimeksi mainitussa päätöksessä mainitun oikeusasiamiehen avulla.

152

Ennakkoratkaisupyyntöön sisältyvistä tiedoista käy lisäksi ilmi, että pääasian oikeudenkäynnissä Facebook Ireland väitti, että Privacy Shield ‑päätös tuottaa suhteessa Irlannin tietosuojavaltuutettuun sitovia vaikutuksia siltä osin kuin kyse on Yhdysvaltojen varmistaman suojan tason riittävyyttä koskevasta toteamuksesta ja tämän vuoksi päätöksen 2010/87 liitteessä olevien tietosuojaa koskevien vakiolausekkeiden perusteella toteutetun henkilötietojen Yhdysvaltoihin siirtämisen laillisuudesta.

153

Kuten tämän tuomion 59 kohdasta ilmenee, ennakkoratkaisua pyytänyt tuomioistuin korosti ennakkoratkaisupyynnön liitteenä olevassa 3.10.2017 antamassaan tuomiossa, että sen oli otettava huomioon muutokset, jotka lainsäädäntöön on tehty kanteen nostamisen ja istuntokäsittelyn välisenä aikana. Kyseisen tuomioistuimen on ilmeisesti pääasian ratkaisemisessa otettava huomioon Privacy Shield ‑päätöksen antamisesta aiheutunut olosuhteiden muutos sekä sen mahdolliset sitovat vaikutukset.

154

Erityisesti niiden sitovien vaikutusten olemassaololla, jotka liittyvät siihen, että Privacy Shield ‑päätöksessä todetaan riittävä suojan taso Yhdysvalloissa, on merkitystä arvioitaessa sekä tämän tuomion 141 ja 142 kohdassa mainittuja velvollisuuksia, jotka rekisterinpitäjällä ja siirron vastaanottajalla on päätöksen 2010/87 liitteessä olevien tietosuojaa koskevien vakiolausekkeiden perusteella toteutetun henkilötietojen kolmanteen maahan siirron yhteydessä, että arvioitaessa velvollisuuksia, jotka valvontaviranomaisella tarvittaessa on tällaisen siirron keskeyttämisen tai kieltämisen osalta.

155

Siltä osin kuin kyse on Privacy Shield ‑päätöksen sitovista vaikutuksista, päätöksen 1 artiklan 1 kohdassa säädetään, että yleisen tietosuoja-asetuksen 45 artiklan 1 kohdan soveltamiseksi ”Yhdysvallat takaa riittävän suojan henkilötiedoille, jotka siirretään [Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa unionista Yhdysvalloissa oleville organisaatioille”. Kyseisen päätöksen 1 artiklan 3 kohdan mukaan henkilötietoja siirretään Privacy Shield ‑järjestelyn puitteissa silloin, kun ne siirretään unionista sellaisille Yhdysvalloissa oleville organisaatioille, jotka on sisällytetty Yhdysvaltojen kauppaministeriön liitteessä II esitettyjen järjestelyn periaatteiden I ja III jakson mukaisesti ylläpitämään ja julkisesti saataville asettamaan Privacy Shield ‑luetteloon.

156

Kuten tämän tuomion 117 ja 118 kohdassa mainitusta oikeuskäytännöstä ilmenee, Privacy Shield ‑päätös on luonteeltaan valvontaviranomaisia sitova siltä osin kuin siinä todetaan, että Yhdysvallat takaa riittävän tietosuojan, ja siis sallitaan henkilötietojen siirtäminen Euroopan unionista Yhdysvaltoihin Privacy Shield ‑järjestelyn puitteissa. Näin ollen niin kauan kuin unionin tuomioistuin ei ole todennut tätä päätöstä pätemättömäksi, toimivaltainen valvontaviranomainen ei voi keskeyttää tai kieltää henkilötietojen siirtoa tähän järjestelyyn kuuluvalle järjestölle sillä perusteella, että se katsoo – toisin kuin komissio mainitussa päätöksessä – että Yhdysvaltojen lainsäädännössä, joka koskee pääsyä tämän järjestelyn puitteissa siirrettyihin henkilötietoihin ja sitä, miten tämän kolmannen maan viranomaiset käyttävät näitä tietoja kansallisen turvallisuuden, lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä, ei varmisteta riittävää suojan tasoa.

157

On kuitenkin niin, että tämän tuomion 119 ja 120 kohdassa mainitun oikeuskäytännön mukaisesti toimivaltaisen valvontaviranomaisen, jonka käsiteltäväksi henkilö on saattanut valituksen, on voitava tutkia täysin itsenäisesti, noudatetaanko näiden tietojen siirrossa yleisessä tietosuoja-asetuksessa säädettyjä vaatimuksia, ja siinä tapauksessa, että se pitää kyseisen henkilön tietosuojan riittävyyttä koskevan päätöksen pätevyydestä esittämiä väitteitä perusteltuina, nostaa kanne kansallisissa tuomioistuimissa, jotta nämä voisivat, mikäli ne yhtyvät kyseisen viranomaisen epäilyihin, pyytää ennakkoratkaisua kyseisen päätöksen pätevyydestä.

158

Yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla tehty valitus, jossa henkilö, jonka henkilötiedot on siirretty tai voitaisiin siirtää kolmanteen maahan, vetoaa siihen, ettei kyseisen maan oikeudessa ja käytännöissä taata tietosuojan riittävää tasoa huolimatta siitä, mitä komissio on todennut saman asetuksen 45 artiklan 3 kohtaan perustuvassa päätöksessä, on ymmärrettävä siten, että se koskee pääasiallisesti kyseisen päätöksen yhteensoveltuvuutta henkilöiden yksityiselämän sekä perusvapauksien ja ‑oikeuksien suojan kanssa (ks. analogisesti direktiivin 95/46 25 artiklan 6 kohdasta ja 28 artiklan 4 kohdasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 59 kohta).

159

Tässä tapauksessa Schrems on pyytänyt Irlannin tietosuojaviranomaista kieltämään tai keskeyttämään henkilötietojen siirron Facebook Irelandilta Yhdysvaltoihin sijoittautuneelle Facebook Inc:lle siitä syystä, että tämä kolmas maa ei varmista riittävää tietosuojan tasoa. Kun Irlannin tietosuojavaltuutettu tutkittuaan Schremsin väitteet saattoi asian ennakkoratkaisua pyytäneen tuomioistuimen käsiteltäväksi, viimeksi mainittu vaikuttaa sille esitettyjen todisteiden ja siinä käydyn kontradiktorisen menettelyn perusteella pohtivan, ovatko Schremsin epäilyt mainitussa kolmannessa maassa tarjottavan tietosuojan tason riittävyydestä perusteltuja, huolimatta siitä, mitä komissio on tällä välin todennut Privacy Shield ‑päätöksessä, mikä johti siihen, että tämä tuomioistuin esitti unionin tuomioistuimelle neljännen, viidennen ja kymmenennen ennakkoratkaisukysymyksen.

160

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 175 kohdassa, nämä ennakkoratkaisukysymykset on ymmärrettävä siten, että niillä lähinnä asetetaan kyseenalaiseksi Privacy Shield ‑päätökseen sisältyvä komission toteamus, jonka mukaan Yhdysvallat takaa riittävän suojan henkilötiedoille, jotka siirretään unionista tähän kolmanteen maahan, ja siis tämän päätöksen pätevyys.

161

Tämän tuomion 121 ja 157–160 kohdassa esiin tuotujen seikkojen perusteella ja kattavan vastauksen antamiseksi ennakkoratkaisua pyytäneelle tuomioistuimelle on siis tutkittava, onko Privacy Shield ‑päätös yleisestä tietosuoja-asetuksesta, luettuna perusoikeuskirjan valossa, johtuvien vaatimusten mukainen (ks. analogisesti tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 67 kohta).

162

Komissio voi tehdä yleisen tietosuoja-asetuksen 45 artiklan 3 kohtaan perustuvan tietosuojan riittävyyttä koskevan päätöksen sillä edellytyksellä, että tämä toimielin toteaa asianmukaisin perusteluin, että asianomainen kolmas maa tosiasiallisesti takaa sisäisen lainsäädäntönsä tai kansainvälisten sitoumustensa johdosta perusoikeuksien suojan sellaisen tason, joka pääosiltaan vastaa unionin oikeusjärjestyksessä taattua tasoa (ks. analogisesti direktiivin 95/46 25 artiklan 6 kohdasta tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 96 kohta).

163

Komissio on Privacy Shield ‑päätöksen 1 artiklan 1 kohdassa todennut, että Yhdysvallat takaa riittävän suojan henkilötiedoille, jotka siirretään Euroopan unionin ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa unionista Yhdysvalloissa oleville organisaatioille, ja tämä järjestely muodostuu tämän päätöksen 1 artiklan 2 kohdan mukaan muun muassa Yhdysvaltojen kauppaministeriön7.7.2016 antamista järjestelyn periaatteista, jotka on esitetty tämän päätöksen liitteessä II, ja virallisista lausumista ja sitoumuksista, jotka sisältyvät saman päätöksen liitteissä I ja III–VII lueteltuihin asiakirjoihin.

164

Privacy Shield ‑päätöksen liitteessä II, jonka otsikko on ”[Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn periaatteet”, olevassa I.5 kohdassa kuitenkin täsmennetään myös, että näiden periaatteiden noudattamista voidaan rajoittaa muun muassa ”kansallisen turvallisuuden, julkisen edun tai lainvalvonnan vaatimusten vuoksi.” Niinpä tässä päätöksessä vahvistetaan, kuten päätöksessä 2000/520, näiden vaatimusten ensisijaisuus mainittuihin periaatteisiin nähden, eli ensisijaisuus, jonka nojalla yhdysvaltalaisorganisaatiot, jotka ovat antaneet oman varmennuksensa ja jotka saavat henkilötietoja unionista, ovat velvollisia syrjäyttämään mainitut periaatteet rajoituksetta silloin, kun nämä ovat ristiriidassa ja osoittautuvat siis yhteensoveltumattomiksi kyseisten vaatimusten kanssa (ks. analogisesti päätöksestä 2000/520 tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 86 kohta).

165

Kun Privacy Shield ‑päätöksen liitteessä II olevaan I.5 kohtaan sisältyvän poikkeuksen yleinen luonne otetaan huomioon, päätös mahdollistaa siten Yhdysvaltojen kansallisen turvallisuuden ja yleisen edun tai sisäisen lainsäädännön vaatimuksiin perustuvan puuttumisen niiden henkilöiden perusoikeuksiin, joiden henkilötietoja siirretään tai voitaisiin siirtää unionista Yhdysvaltoihin (ks. analogisesti päätöksestä 2000/520 tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 87 kohta). Erityisemmin, ja kuten Privacy Shield ‑päätöksessä on todettu, tällaiset puuttumiset voivat johtua siitä, että Yhdysvaltojen viranomaiset saavat unionista Yhdysvaltoihin siirrettyjä henkilötietoja ja käyttävät näitä tietoja FISA:n 702 §:n nojalla perustettujen PRISM- ja UPSTREAM-tarkkailuohjelmien puitteissa sekä E.O. 12333:n perusteella.

166

Tässä yhteydessä komissio arvioi Privacy Shield ‑päätöksen johdanto-osan 67–135 perustelukappaleessa Yhdysvaltojen säännöstössä, erityisesti FISA:n 702 §:ssä, E.O. 12333:ssa ja PPD-28:ssa, vahvistetut rajoitukset ja suojatoimet siltä osin kuin on kyse yhdysvaltalaisten viranomaisten pääsystä unionin ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa siirrettyihin henkilötietoihin ja niiden käytöstä kansallisen turvallisuuden, lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä.

167

Komissio totesi tämän arvioinnin päätteeksi kyseisen päätöksen johdanto-osan 136 perustelukappaleessa, että ”Yhdysvallat takaa riittävän suojan henkilötiedoille, jotka siirretään – – unionista Yhdysvalloissa oleville oman varmennuksen antaneille organisaatioille”, ja katsoi mainitun päätöksen 140 perustelukappaleessa, että ”Yhdysvaltojen oikeusjärjestystä koskevien käytettävissä olevien tietojen – – perusteella, että Yhdysvaltojen viranomaisten mahdollinen puuttuminen niiden henkilöiden perusoikeuksiin, joiden tietoja siirretään Privacy Shield ‑järjestelyn puitteissa unionista Yhdysvaltoihin, kansallisen turvallisuuden, lainvalvonnan tai muun yleisen edun nimissä ja tästä seuraavat rajoitukset, joita asetetaan oman varmennuksen antaneille organisaatioille – – periaatteiden noudattamisen osalta, rajoitetaan siihen, mikä on ehdottomasti tarpeen oikeutetun tavoitteen saavuttamiseksi, ja että tällaista perusoikeuksiin puuttumista vastaan on olemassa tehokkaita oikeussuojakeinoja”.

168

Komission Privacy Shield ‑päätöksessä mainitsemien seikkojen ja ennakkoratkaisua pyytäneen tuomioistuimen pääasiassa toteamien seikkojen vuoksi kyseisellä tuomioistuimella on epäilyksiä siitä, varmistetaanko Yhdysvaltojen oikeudessa tosiasiallisesti yleisen tietosuoja-asetuksen 45 artiklassa, luettuna perusoikeuskirjan 7, 8 ja 47 artiklassa vahvistettujen perusoikeuksien valossa, vaadittu riittävä tietosuojan taso. Erityisesti ennakkoratkaisua pyytänyt tuomioistuin katsoo, että tämän kolmannen maan oikeudessa ei säädetä tarvittavista rajoituksista ja suojatoimista sen kansallisessa säännöstössä sallittujen puuttumisten varalta, eikä myöskään varmisteta tehokasta oikeussuojaa näitä puuttumisia vastaan. Viimeksi mainituilta osin se lisää, että Privacy Shield ‑järjestelyn oikeusasiamiesmekanismin käyttöönotto ei sen mukaan voi korjata näitä puutteita, koska oikeusasiamiestä ei voida rinnastaa perusoikeuskirjan 47 artiklassa tarkoitettuun tuomioistuimeen.

169

Siltä osin kuin kyse on ensiksi perusoikeuskirjan 7 ja 8 artiklasta, jotka liittyvät unionissa vaadittavaan tietosuojan tasoon, jonka noudattaminen komission on todettava ennen kuin se tekee tietosuojan riittävyyttä koskevan päätöksen yleisen tietosuoja-asetuksen 45 artiklan 1 kohdan nojalla, on muistettava, että perusoikeuskirjan 7 artiklassa taataan jokaiselle oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan. Perusoikeuskirjan 8 artiklan 1 kohdassa puolestaan tunnustetaan nimenomaisesti jokaiselle oikeus henkilötietojensa suojaan.

170

Niinpä luonnollisen henkilön henkilötietoihin pääsy niiden säilyttämistä tai käyttöä varten vaikuttaa tämän henkilön perusoikeuskirjan 7 artiklassa taattuun yksityiselämän kunnioittamista koskevaan perusoikeuteen, ja tämä oikeus liittyy kaikkeen yksilöityä tai yksilöitävissä olevaa luonnollista henkilöä koskevaan tietoon. Tällainen tietojen käsittely kuuluu myös perusoikeuskirjan 8 artiklan soveltamisalaan, koska se merkitsee tässä artiklassa tarkoitettua henkilötietojen käsittelyä ja sen on näin ollen välttämättä täytettävä tästä artiklasta johtuvat tietojen suojan vaatimukset (ks. vastaavasti tuomio 9.11.2010, Volker und Markus Schecke ja Eifert, C‑92/09 ja C‑93/09, EU:C:2010:662, 49 ja 52 kohta; tuomio 8.4.2014, Digital Rights Ireland ym., C‑293/12 ja C‑594/12, EU:C:2014:238, 29 kohta ja lausunto 1/15 (EU:n ja Kanadan välinen PNR-tietoja koskeva sopimus), 26.7.2017, EU:C:2017:592; 122 ja 123 kohta).

171

Unionin tuomioistuin on jo katsonut, että henkilötietojen välittäminen kolmannelle, kuten viranomaiselle, merkitsee puuttumista perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin välitettyjen tietojen myöhemmästä käytöstä riippumatta. Sama koskee henkilötietojen säilyttämistä sekä pääsyä kyseisiin tietoihin niiden käyttämiseksi viranomaisissa riippumatta siitä, ovatko kyseessä olevat yksityiselämään liittyvät tiedot arkaluonteisia vai eivät tai onko asianomaisille mahdollisesti aiheutunut haittaa tästä puuttumisesta (ks. vastaavasti tuomio 20.5.2003, Österreichischer Rundfunk ym., C‑465/00, C‑138/01 ja C‑139/01, EU:C:2003:294, 74 ja 75 kohta; tuomio 8.4.2014, Digital Rights Ireland ym., C‑293/12 ja C‑594/12, EU:C:2014:238, 33–36 kohta ja lausunto 1/15 (EU:n ja Kanadan välinen PNR-tietoja koskeva sopimus), 26.7.2017, EU:C:2017:592; 124 ja 126 kohta).

172

Perusoikeuskirjan 7 ja 8 artiklassa vahvistetut oikeudet eivät kuitenkaan ole ehdottomia, vaan ne on suhteutettava siihen tehtävään, joka niillä on yhteiskunnassa (ks. vastaavasti tuomio 9.11.2010, Volker und Markus Schecke ja Eifert, C‑92/09 ja C‑93/09, EU:C:2010:662, 48 kohta oikeuskäytäntöviittauksineen; tuomio 17.10.2013, Schwarz, C‑291/12, EU:C:2013:670, 33 kohta oikeuskäytäntöviittauksineen ja lausunto 1/15 (EU:n ja Kanadan välinen PNR-tietoja koskeva sopimus), 26.7.2017, EU:C:2017:592, 136 kohta).

173

Tässä yhteydessä on huomattava myös, että perusoikeuskirjan 8 artiklan 2 kohdan mukaan henkilötietojen käsittelyn on muun muassa ”tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla”.

174

Perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisen virkkeen mukaan siinä tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten oikeuksien keskeistä sisältöä kunnioittaen. Perusoikeuskirjan 52 artiklan 1 kohdan toisessa virkkeessä määrätään, että suhteellisuusperiaatteen mukaisesti näille oikeuksille ja vapauksille voidaan säätää rajoituksia ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.

175

Viimeksi mainituilta osin on lisättävä, että edellytys, jonka mukaan perusoikeuksien käyttämistä voidaan rajoittaa ainoastaan lailla, tarkoittaa sitä, että itse siinä oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin, on määritettävä asianomaisen oikeuden käyttämiselle asetettavien rajoitusten laajuus (lausunto 1/15 (EU:n ja Kanadan välinen PNR-tietoja koskeva sopimus), 26.7.2017, EU:C:2017:592, 139 kohta oikeuskäytäntöviittauksineen).

176

Sen oikeasuhteisuutta koskevan edellytyksen täyttämiseksi, jonka mukaan henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa, kyseessä olevassa säännöstössä, joka merkitsee puuttumista kyseiseen suojaan, on säädettävä selvistä ja täsmällisistä asianomaisen toimenpiteen laajuutta ja soveltamista koskevista säännöistä, joissa asetetaan vähimmäisvaatimukset, jotta henkilöillä, joiden tietoja on siirretty, on riittävät takeet, joiden avulla heidän henkilötietojaan voidaan tehokkaasti suojata väärinkäytön vaaroilta. Siinä on erityisesti mainittava, missä olosuhteissa ja millä edellytyksillä tällaisten tietojen käsittelyä koskeva toimenpide voidaan toteuttaa, jotta taataan, että puuttuminen rajoittuu täysin välttämättömään. Tarve tällaisista takeista on tärkeä varsinkin silloin, kun henkilötietoja käsitellään automaattisesti (ks. vastaavasti lausunto 1/15 (EU:n ja Kanadan välinen PNR-tietoja koskeva sopimus), 26.7.2017, EU:C:2017:592, 140 ja 141 kohta oikeuskäytäntöviittauksineen)

177

Yleisen tietosuoja-asetuksen 45 artiklan 2 kohdan a alakohdassa täsmennetään tässä tarkoituksessa, että arvioidessaan kolmannen maan varmistaman tietosuojan riittävyyttä komissio ottaa huomioon muun muassa niille ”rekisteröidyille kuuluvat vaikuttavat ja täytäntöönpanokelpoiset oikeudet”, joiden henkilötietoja siirretään.

178

Nyt käsiteltävässä tapauksessa komission Privacy Shield ‑päätöksessä tekemä toteamus, jonka mukaan Yhdysvallat varmistaa tietosuojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka unionissa varmistetaan yleisellä tietosuoja-asetuksella, luettuna perusoikeuskirjan 7 ja 8 artiklan valossa, on kyseenalaistettu muun muassa sillä perusteella, että FISA:n 702 §:ään ja E.O. 12333:een perustuvista tarkkailuohjelmista johtuvia puuttumisia eivät koske vaatimukset, joilla suhteellisuusperiaatetta noudattaen varmistetaan suoja, joka pääosiltaan vastaa perusoikeuskirjan 52 artiklan 1 kohdan toisessa virkkeessä taattua suojaa. On siis tutkittava, toteutetaanko nämä tarkkailuohjelmat näitä vaatimuksia noudattaen, eikä ole tarpeen ennalta selvittää, noudattaako kyseinen kolmas maa edellytyksiä, jotka pääosiltaan vastaavat perusoikeuskirjan 52 artiklan 1 kohdan ensimmäisessä virkkeessä määrättyjä edellytyksiä.

179

Siltä osin kuin kyse on FISA:n 702 §:ään perustuvista tarkkailuohjelmista komissio on todennut Privacy Shield ‑päätöksen johdanto-osan 109 perustelukappaleessa, että kyseisen pykälän mukaan ”FISC‑tuomioistuin ei – – anna lupaa yksittäisille valvontatoimenpiteille. Sen sijaan se hyväksyy valvontaohjelmia (kuten PRISM, UPSTREAM) oikeusministerin ja kansallisen tiedusteluviraston johtajan valmistelemien vuotuisten sertifiointihakemusten perusteella”. Kuten samasta perustelukappaleesta ilmenee, FISC‑tuomioistuin valvoo, vastaavatko nämä tarkkailuohjelmat tavoitteeseen hankkia ulkomaantiedustelutietoja, mutta sen valvonta ei koske sitä, ”onko henkilöt kohdennettu asianmukaisesti ulkomaantiedustelutietojen hankkimiseksi”.

180

FISA:n 702 §:stä ei siis millään tavoin ilmene, että olisi olemassa rajoituksia sen sisältämään valtuutukseen, joka koskee tarkkailuohjelmien käyttöönottoa ulkomaantiedustelua varten, eikä myöskään, että ei-yhdysvaltalaisia henkilöitä varten, joita nämä ohjelmat mahdollisesti koskevat, olisi olemassa suojatoimia. Näin ollen, ja kuten julkisasiamies on todennut lähinnä ratkaisuehdotuksensa 291, 292 ja 297 kohdassa, on niin, että tällä pykälällä ei voida varmistaa tietosuojan tasoa, joka pääosiltaan vastaa suojaa, joka on taattu perusoikeuskirjassa, sellaisena kuin sitä on tulkittu tämän tuomion 175 ja 176 kohdassa mainitussa oikeuskäytännössä, jonka mukaan oikeusperustassa, joka mahdollistaa puuttumisen perusoikeuksiin, on, jotta suhteellisuusperiaatetta noudatetaan, itsessään määritettävä asianomaisen oikeuden käyttämiselle asetettavien rajoitusten laajuus ja säädettävä kyseisen toimenpiteen laajuutta ja soveltamista koskevista selkeistä ja täsmällisistä säännöistä, joissa asetetaan vähimmäisvaatimuksia.

181

Privacy Shield ‑päätökseen sisältyvien toteamusten mukaan FISA:n 702 §:ään perustuvat tarkkailuohjelmat on tosin pantava täytäntöön PPD-28:sta johtuvia vaatimuksia noudattaen. Vaikka komissio on Privacy Shield ‑päätöksen johdanto-osan 69 ja 77 perustelukappaleessa korostanut, että PPD‑28:sta johtuvat vaatimukset sitovat Yhdysvaltojen tiedustelupalveluja, Yhdysvaltojen hallitus myönsi unionin tuomioistuimen esittämään kysymykseen antamassaan vastauksessa, että PPD‑28:lla ei anneta rekisteröidyille oikeuksia, joihin voitaisiin vedota Yhdysvaltojen viranomaisia vastaan tuomioistuimissa. Sillä ei näin ollen voida varmistaa tietosuojan tasoa, joka pääosiltaan vastaa perusoikeuskirjasta johtuvaa tasoa, mikä on ristiriidassa yleisen tietosuoja-asetuksen 45 artiklan 2 kohdan a alakohdan kanssa, jonka mukaan tällaista tasoa koskeva toteamus edellyttää muun muassa sitä, että olemassa ovat vaikuttavat ja täytäntöönpanokelpoiset oikeudet niitä rekisteröityjä varten, joiden henkilötietoja siirretään.

182

Siltä osin kuin kyse on E.O. 12333:een perustuvista tarkkailuohjelmista, unionin tuomioistuimen käytettävissä olevasta asiakirja-aineistosta ilmenee, että tässä toimeenpanoasetuksessa ei myöskään anneta oikeuksia, joihin voitaisiin vedota Yhdysvaltojen viranomaisia vastaan tuomioistuimissa.

183

On syytä lisätä, että PPD‑28:ssa, jota on noudatettava kahdessa edellisessä kohdassa mainittuja ohjelmia sovellettaessa, sallitaan ”valikoimaton” keruu, joka koskee ”verrattain suuren tietomäärän hankkimista signaalitiedustelun avulla olosuhteissa, joissa tiedusteluyhteisöllä ei ole käytössään tiettyyn kohteeseen liittyvää tunnistetta – – eikä keruuta voi tästä syystä kohdentaa tuohon nimenomaiseen kohteeseen”, kuten todetaan Privacy Shield ‑päätöksen liitteeseen VI sisältyvässä kansallisen tiedusteluviraston johtajan (Office of the Director of National Intelligence) Yhdysvaltojen kauppaministerille ja kansainvälisen kaupan osastolle osoittamassa, 21.6.2016 päivätyssä kirjeessä. Tämä mahdollisuus, joka sallii E.O. 12333:een perustuvien tarkkailuohjelmien yhteydessä pääsyn Yhdysvaltoihin siirrettäviin tietoihin ilman että tähän pääsyyn kohdistuisi minkäänlaista tuomioistuinvalvontaa, ei kuitenkaan missään tapauksessa rajaa riittävän selvästi ja täsmällisesti tällaisen valikoimattoman henkilötietojen keruun ulottuvuutta.

184

On näin ollen ilmeistä, etteivät FISA:n 702 § ja E.O. 12333, luettuina yhdessä PPD‑28:n kanssa, täytä niitä vähimmäisvaatimuksia, jotka unionin oikeudessa liittyvät suhteellisuusperiaatteeseen, joten ei voida katsoa, että näihin säännöksiin perustuvat tarkkailuohjelmat olisi rajattu vain täysin välttämättömään.

185

Näissä olosuhteissa Yhdysvaltojen sisäisestä säännöstöstä, joka koskee Yhdysvaltojen viranomaisten pääsyä unionista Yhdysvaltoihin siirrettyihin henkilötietoihin ja näiden tietojen käyttöä, johtuvia henkilötietojen suojan rajoituksia, joita komissio on arvioinut Privacy Shield ‑päätöksessä, ei ole rajattu tavalla, joka täyttäisi vaatimukset, jotka pääosiltaan vastaavat vaatimuksia, jotka unionin oikeudessa sisältyvät perusoikeuskirjan 52 artiklan 1 kohdan toiseen virkkeeseen.

186

Siltä osin kuin toiseksi on kyse perusoikeuskirjan 47 artiklasta, joka myös liittyy unionissa vaadittavaan tietosuojan tasoon, jonka noudattaminen komission on todettava ennen kuin se tekee yleisen tietosuoja-asetuksen 45 artiklan 1 kohdan nojalla tietosuojan riittävyyttä koskevan päätöksen, on muistutettava, että tämän 47 artiklan ensimmäisessä kohdassa edellytetään, että jokaisella, jonka unionin oikeudessa taattuja oikeuksia ja vapauksia on loukattu, on oltava tässä artiklassa määrättyjen edellytysten mukaisesti käytettävissään tehokkaat oikeussuojakeinot tuomioistuimessa. Tämän artiklan toisen kohdan mukaan jokaisella on oikeus oikeudenkäyntiin riippumattomassa ja puolueettomassa tuomioistuimessa.

187

Vakiintuneen oikeuskäytännön mukaan unionin oikeuden määräysten ja säännösten noudattamisen varmistamiseen tarkoitetun tehokkaan tuomioistuinvalvonnan itse olemassaolo kuuluu erottamattomana osana oikeusvaltioon. Niinpä säännöstö, jossa yksityisille ei anneta mitään mahdollisuutta käyttää oikeussuojakeinoja, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi, ei ole tehokasta oikeussuojaa koskevan perusoikeuden, sellaisena kuin se vahvistetaan perusoikeuskirjan 47 artiklassa, keskeisen sisällön mukainen (tuomio 6.10.2015, Schrems, C‑362/14, EU:C:2015:650, 95 kohta oikeuskäytäntöviittauksineen).

188

Yleisen tietosuoja-asetuksen 45 artiklan 2 kohdan a alakohdassa edellytetään tässä tarkoituksessa, että arvioidessaan kolmannen maan varmistaman tietosuojan riittävyyttä komissio ottaa huomioon muun muassa ”tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot niitä rekisteröityjä varten, joiden henkilötietoja siirretään”. Yleisen tietosuoja-asetuksen johdanto-osan 104 perustelukappaleessa korostetaan tältä osin, että kolmannen maan ”olisi erityisesti varmistettava tehokas ja riippumaton tietosuojavalvonta ja huolehdittava jäsenvaltioiden tietosuojaviranomaisten kanssa käytettävistä yhteistyömekanismeista”, ja täsmennetään, että ”rekisteröidyille olisi taattava vaikuttavat ja täytäntöönpanokelpoiset oikeudet ja tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot”.

189

Sillä, että asianomaisessa kolmannessa maassa on olemassa tehokkaat muutoksenhakukeinot, on erityinen merkitys siirrettäessä henkilötietoja tähän kolmanteen maahan, koska, kuten yleisen tietosuoja-asetuksen johdanto-osan 116 perustelukappaleesta ilmenee, rekisteröidyt voivat joutua toteamaan, että jäsenvaltioiden hallinto- ja oikeusviranomaisilla on riittämättömät toimivaltuudet ja keinot käsitellä heidän valituksiaan, jotka koskevat heidän näin siirrettyjen tietojensa väitetysti lainvastaista käsittelyä tässä kolmannessa maassa, mikä johtaa siihen, että heidän on käännyttävä tämän kolmannen maan viranomaisten ja tuomioistuinten puoleen.

190

Nyt käsiteltävässä tapauksessa komission Privacy Shield ‑päätöksessä tekemä toteamus, jonka mukaan Yhdysvallat varmistaa tietosuojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka varmistetaan perusoikeuskirjan 47 artiklassa, on kyseenalaistettu muu muassa sillä perusteella, että Privacy Shield ‑järjestelmän oikeusasiamiesmekanismin käyttöön ottaminen ei poista puutteita, jotka komissio itse on todennut niiden henkilöiden oikeussuojassa, joiden henkilötietoja on siirretty tähän kolmanteen maahan.

191

Komissio on tältä osin todennut Privacy Shield ‑päätöksen johdanto-osan 115 perustelukappaleessa, että vaikka ”henkilöiden, myös EU:n rekisteröityjen, käytettävissä on tämän vuoksi useita oikeussuojakeinoja, kun he ovat olleet laittoman (sähköisen) valvonnan kohteena kansallisen turvallisuuden nimissä, on kuitenkin selvää, että tämä ei koske eräitä Yhdysvaltojen tiedusteluviranomaisten käytössä olevia oikeusperustoja (esim. toimeenpanoasetus (E.O.) 12333)”. Se korosti siis E.O. 12333:n osalta kyseisessä 115 perustelukappaleessa kaikkien oikeussuojakeinojen puuttumista. Tämän tuomion 187 kohdassa mainitun oikeuskäytännön mukaan on kuitenkin niin, että tällainen puute oikeussuojassa presidentin toimeenpanoasetukseen perustuviin tiedusteluohjelmiin liittyviä puuttumisia vastaan on esteenä sellaisen päätelmän tekemiselle, jonka komissio on tehnyt Privacy Shield ‑päätöksessä ja jonka mukaan Yhdysvaltojen oikeudessa varmistetaan tietosuojan taso, joka pääosiltaan vastaa tasoa, joka taataan perusoikeuskirjan 47 artiklan nojalla.

192

Lisäksi siltä osin kuin kyse on sekä FISA:n 702 §:ään että E.O. 12333:een perustuvista tarkkailuohjelmista, tämän tuomion 181 ja 182 kohdassa on todettu, ettei PPD-28:lla eikä E.O. 12333:lla anneta rekisteröidyille oikeuksia, joihin voidaan vedota Yhdysvaltojen viranomaisia vastaan tuomioistuimissa, joten näillä rekisteröidyillä ei ole käytettävissään tehokasta oikeussuojakeinoa.

193

Komissio on kuitenkin Privacy Shield ‑päätöksen johdanto-osan 115 ja 116 perustelukappaleessa todennut, että sen vuoksi, että olemassa on Yhdysvaltojen viranomaisten käyttöön ottama oikeusasiamiesmekanismi, joka on kuvattu tämän päätöksen liitteessä III olevassa Yhdysvaltojen ulkoministerin kirjeessä oikeus-, kuluttaja- ja tasa-arvoasioista vastaavalle komission jäsenelle, ja oikeusasiamiehelle uskotun tehtävän laadun vuoksi, joka tässä tapauksessa on ”tietotekniikkaan liittyvän kansainvälisen diplomatian johtava koordinaattori”, Yhdysvaltojen voidaan katsoa takaavan tietosuojan sellaisen taso, joka pääosiltaan vastaa tasoa, joka taataan perusoikeuskirjan 47 artiklan nojalla.

194

Sen tutkimisen, onko Privacy Shield ‑päätöksessä tarkoitettu oikeusasiamiesmekanismi luonteeltaan tosiasiallisesti sellainen, että sillä korjataan komission toteamat tehokasta oikeussuojaa koskevaan oikeuteen liittyvät puutteet, on perusoikeuskirjan 47 artiklasta ja tämän tuomion 187 kohdassa mainitusta oikeuskäytännöstä johtuvien vaatimusten mukaisesti lähdettävä siitä periaatteesta, että yksityisillä on oltava mahdollisuus käyttää oikeussuojakeinoja riippumattomassa ja puolueettomassa tuomioistuimessa, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi.

195

Tämän tuomion 193 kohdassa mainitussa kirjeessä Privacy Shield ‑järjestelyn oikeusasiamiehen tosin kuvataan olevan ”riippumaton tiedusteluyhteisöstä”, mutta siinä todetaan myös, että hän ”raportoi suoraan ulkoministerille. Tämä varmistaa, että oikeusasiamies suorittaa tehtävänsä puolueettomasti ja ettei mikään vaikuta epäasianmukaisesti oikeusasiamiehen antamiin vastauksiin”. Sen lisäksi, että komissio on todennut kyseisen päätöksen johdanto-osan 116 perustelukappaleessa, että ulkoministeri nimeää oikeusasiamiehen ja että tämä kuuluu erottamattomasti Yhdysvaltojen ulkoasiainministeriöön, mainitussa päätöksessä ei, kuten julkisasiamies on todennut ratkaisuehdotuksensa 337 kohdassa, ole mitään viitettä siitä, että oikeusasiamiehen irtisanomiseen tai nimityksen kumoamiseen liittyisi erityisiä takeita, mikä on omiaan asettamaan kyseenalaiseksi hänen riippumattomuutensa toimeenpanovallasta (ks. vastaavasti tuomio 21.2.2020, Banco de Santander, C‑274/14, EU:C:2020:17, 60 ja 63 kohta oikeuskäytäntöviittauksineen).

196

Kuten julkisasiamies on korostanut ratkaisuehdotuksensa 338 kohdassa, on samoin niin, että vaikka Privacy Shield ‑päätöksen johdanto-osan 120 perustelukappaleessa tuodaan esiin, että Yhdysvaltojen hallitus on sitoutunut siihen, että tiedustelupalvelujen asianomaisen toimijan on korjattava kaikki oikeusasiamiehen havaitsemat sovellettavien sääntöjen rikkomiset, mainittuun päätökseen ei sisälly mitään viitettä siitä, että kyseisellä oikeusasiamiehellä olisi toimivalta tehdä näitä toimijoita sitovia päätöksiä, eikä siinä myöskään viitata lakisääteisiin takeisiin, jotka liittyisivät tähän sitoumukseen ja joihin kyseiset henkilöt voisivat vedota.

197

Näin ollen Privacy Shield ‑päätöksessä tarkoitettu oikeusasiamiesmekanismi ei merkitse oikeussuojakeinoa sellaisessa elimessä, joka antaa henkilöille, joiden tiedot on siirretty Yhdysvaltoihin, takeet, jotka pääosiltaan vastaavat perusoikeuskirjan 47 artiklassa edellytettyjä takeita.

198

Kun siis komissio on Privacy Shield ‑päätöksen 1 artiklan 1 kohdassa todennut, että Yhdysvallat takaa riittävän suojan henkilötiedoille, jotka siirretään unionin ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa unionista Yhdysvalloissa oleville organisaatioille, se on jättänyt noudattamatta yleisen tietosuoja-asetuksen 45 artiklan 1 kohdasta, luettuna perusoikeuskirjan 7, 8 ja 47 artiklan valossa, johtuvia vaatimuksia.

199

Tästä seuraa, että Privacy Shield ‑päätöksen 1 artikla ei ole yhteensopiva yleisen tietosuoja-asetuksen 45 artiklan 1 kohdan kanssa, luettuna perusoikeuskirjan 7, 8 ja 47 artiklan valossa, ja että se on tämän vuoksi pätemätön.

200

Koska Privacy Shield ‑päätöksen 1 artiklaa ei voida erottaa päätöksen 2–6 artiklasta eikä päätöksen liitteistä, 1 artiklan pätemättömyys vaikuttaa koko päätöksen pätevyyteen.

201

Kaiken edellä esitetyn perusteella on katsottava, että Privacy Shield ‑päätös on pätemätön.

202

Siltä osin kuin kyse on siitä, onko tämän päätöksen vaikutukset pysytettävä lakiaukon muodostumisen välttämiseksi (ks. vastaavasti tuomio 28.4.2016, Borealis Polyolefine ym., C‑191/14, C‑192/14, C‑295/14, C‑389/14 ja C‑391/14–C‑393/14, EU:C:2016:311, 106 kohta), todettakoon, että joka tapauksessa yleisen tietosuoja-asetuksen 49 artiklan valossa Privacy Shield ‑päätöksen kaltaisen tietosuojan riittävyyttä koskevan päätöksen kumoaminen ei ole omiaan luomaan tällaista lakiaukkoa. Tässä artiklassa näet vahvistetaan täsmällisesti edellytykset, joiden täyttyessä henkilötietoja voidaan siirtää kolmanteen maahan, jos ei ole tehty mainitun asetuksen 45 artiklan 3 kohdan mukaista tietosuojan tason riittävyyttä koskevaa päätöstä tai ei ole toteutettu saman asetuksen 46 artiklassa tarkoitettuja asianmukaisia suojatoimia.

203

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti: