1

Met zijn beroep krachtens artikel 263 VWEU vordert verzoeker, Philippe Latombe, in essentie nietigverklaring van uitvoeringsbesluit (EU) 2023/1795 van de Commissie van 10 juli 2023 overeenkomstig verordening (EU) 2016/679 van het Europees Parlement en de Raad inzake het passende niveau van bescherming van persoonsgegevens krachtens het EU-VS-kader voor gegevensbescherming (PB 2023, L 231, blz. 118; hierna: „bestreden besluit”).

2

Verzoeker is een Frans staatsburger die stelt gebruik te maken van verschillende IT-platforms die zijn persoonsgegevens verzamelen en naar de Verenigde Staten doorgeven.

3

Wat de doorgifte van persoonsgegevens vanuit de Europese Unie naar de Verenigde Staten betreft, heeft het Hof bij arrest van 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650; hierna: „arrest Schrems I”), beschikking 2000/520/EG van de Commissie van 26 juli 2000 overeenkomstig richtlijn 95/46/EG van het Europees Parlement en de Raad, betreffende de gepastheid van de bescherming geboden door de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer en de daarmee verband houdende Vaak gestelde vragen, die door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd (PB 2000, L 215, blz. 7), ongeldig verklaard.

4

Vervolgens heeft het Hof bij arrest van 16 juli 2020, Facebook Ireland en Schrems (C‑311/18, EU:C:2020:559; hierna: „arrest Schrems II”), uitvoeringsbesluit (EU) 2016/1250 van de Commissie van 12 juli 2016 overeenkomstig richtlijn 95/46/EG betreffende de gepastheid van de door het EU-VS-privacyschild geboden bescherming (PB 2016, L 207, blz. 1; hierna: „adequaatheidsbesluit over het privacyschild”) ongeldig verklaard.

5

In de arresten Schrems I en Schrems II heeft het Hof, naar aanleiding van een verzoek om een prejudiciële beslissing ter beoordeling van geldigheid, met name geoordeeld, in tegenstelling tot het oordeel van de Europese Commissie dat voortvloeit uit de in de punten 3 en 4 hierboven genoemde adequaatheidsbesluiten, dat het systeem van de veilige haven en dat van het privacyschild, die de doorgifte van persoonsgegevens regelden, geen niveau van bescherming van de grondrechten en fundamentele vrijheden waarborgden dat in grote lijnen overeenkomt met het door het Unierecht gewaarborgde beschermingsniveau.

6

Na het arrest Schrems II is de Commissie besprekingen aangegaan met de Amerikaanse overheid met het oog op een mogelijk nieuw adequaatheidsbesluit dat zou voldoen aan de vereisten van artikel 45, lid 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2; hierna: „AVG”), zoals uitgelegd door het Hof.

7

Bijgevolg hebben de Verenigde Staten op 7 oktober 2022 Executive Order 14086 (presidentieel decreet nr. 14086; hierna: „EO 14086”) vastgesteld, ter versterking van de maatregelen ter bescherming van de privacy met betrekking tot de activiteiten van in de Verenigde Staten gevestigde inlichtingendiensten op het gebied van inlichtingen uit berichtenverkeer. Dit decreet is aangevuld bij Attorney General Order No. 5517‑2022 (besluit nr. 5517‑2022 van de minister van Justitie; hierna: „AG Order”), waarbij aan titel 28 van de Code of Federal Regulations (CFR, federale reglementen) een deel 201 is toegevoegd, betreffende de oprichting en het functioneren van de Data Protection Review Court (Gerecht voor de toetsing van gegevensbescherming; hierna: „DPRC”).

8

Op 10 juli 2023 heeft de Commissie, nadat zij deze ontwikkelingen in de Amerikaanse regelgeving had onderzocht, op grond van artikel 45, lid 3, AVG het bestreden besluit vastgesteld, waarbij het nieuwe trans-Atlantische kader voor persoonsgegevensstromen tussen de Unie en de Verenigde Staten is vastgesteld. In artikel 1 van dit besluit wordt vastgesteld dat de Verenigde Staten een passend beschermingsniveau waarborgen voor persoonsgegevens die vanuit de Unie worden doorgegeven aan organisaties in dat land die zijn opgenomen in de lijst van het „EU-VS-kader voor gegevensbescherming” (hierna: „DPF”) die wordt bijgehouden en openbaar gemaakt door hun ministerie van Handel (hierna: „DPF‑organisaties”).

9

Verzoeker verzoekt het Gerecht om:

10

De Commissie, daarin ondersteund door Ierland en de Verenigde Staten, verzoekt het Gerecht om:

11

Bij afzonderlijke akte, neergelegd ter griffie van het Gerecht op 1 december 2023, heeft de Commissie op grond van artikel 130 van het Reglement voor de procesvoering van het Gerecht een exceptie van niet-ontvankelijkheid opgeworpen.

12

De Commissie betoogt dat het beroep niet-ontvankelijk is op grond dat verzoeker geen procesbevoegdheid heeft, dat hij geen procesbelang heeft en dat het deel van het bestreden besluit waarvan hij nietigverklaring vordert, onlosmakelijk verbonden is met de rest van dit besluit.

13

Verzoeker betwist de argumenten van de Commissie en stelt dat zijn beroep ontvankelijk is.

14

Er zij aan herinnerd dat de Unierechter mag beoordelen of het in de omstandigheden van het geval in het belang van een goede rechtsbedeling is om een beroep ten gronde te verwerpen zonder eerst te beslissen over de ontvankelijkheid ervan (zie in die zin arrest van 26 februari 2002, Raad/Boehringer, C‑23/00 P, EU:C:2002:118, punten 51 en 52).

15

Gelet op de omstandigheden van de onderhavige zaak is het Gerecht van oordeel dat het beroep, aangezien het hoe dan ook om de in de punten 16 tot en met 204 hierna uiteengezette redenen ongegrond is, met het oog op een goede rechtsbedeling inhoudelijk dient te worden onderzocht zonder eerst te beslissen over de ontvankelijkheid ervan (zie in die zin arresten van 10 oktober 2014, Marchiani/Parlement, T‑479/13, niet gepubliceerd, EU:T:2014:866, punt 23, en 20 december 2023, Naturstrom/Commissie, T‑60/21, niet gepubliceerd, EU:T:2023:839, punt 74).

16

Ter ondersteuning van zijn beroep voert verzoeker vijf middelen aan:

17

Ter terechtzitting heeft verzoeker afstand gedaan van zijn eerste middel, betreffende schending van de artikelen 3 en 4 van verordening nr. 1/1958. Derhalve dienen enkel het tweede tot en met het vijfde middel te worden onderzocht.

18

In de eerste plaats zij opgemerkt dat artikel 45, lid 1, AVG bepaalt dat de doorgifte van persoonsgegevens naar een derde land kan worden toegestaan bij besluit van de Commissie tot vaststelling dat dat derde land, een gebied of een of meerdere nader bepaalde sectoren in dat derde land een passend beschermingsniveau waarborgt. Deze bepaling is opgenomen in hoofdstuk V van deze verordening, dat, zoals het Hof heeft aangegeven, het overkoepelende doel heeft om de continuïteit te waarborgen van het hoge niveau van bescherming van persoonsgegevens dat door het Unierecht wordt gewaarborgd op grond van deze verordening, wanneer die gegevens naar een derde land worden doorgegeven (zie in die zin arrest Schrems II, punt 93).

19

In dit verband heeft het Hof aangegeven dat de uitdrukking „passend beschermingsniveau” in artikel 45, lid 1, AVG aldus moet worden opgevat dat het niet vereist dat het betrokken derde land hetzelfde beschermingsniveau waarborgt als dat binnen de rechtsorde van de Unie, maar vereist dat dit derde land, op grond van zijn nationale wetgeving of zijn internationale verbintenissen, daadwerkelijk een niveau van bescherming van de vrijheden en grondrechten waarborgt dat in grote lijnen overeenkomt met het niveau dat binnen de Unie wordt gewaarborgd op grond van deze verordening, gelezen in het licht van het Handvest (zie in die zin arrest Schrems II, punten 94 en 162).

20

Daarnaast heeft het Hof geoordeeld dat, ook al kunnen de middelen die het derde land aanwendt om een passend niveau van bescherming van persoonsgegevens te waarborgen anders zijn dan die welke binnen de Unie worden ingezet om de vereisten van richtlijn 95/46, gelezen in samenhang met het Handvest, na te leven, deze middelen niettemin in de praktijk doeltreffend genoeg moeten blijken te zijn om een bescherming te bieden die in grote lijnen overeenkomt met die welke binnen de Unie wordt gewaarborgd (arrest Schrems I, punt 74).

21

Bovendien heeft het Hof geoordeeld dat, gelet op de belangrijke rol die de bescherming van persoonsgegevens speelt voor het fundamentele recht op eerbiediging van het privéleven en het grote aantal personen van wie de grondrechten zouden kunnen worden geschonden indien persoonsgegevens worden doorgegeven naar een derde land dat geen waarborgen voor een passend beschermingsniveau biedt, de beoordelingsbevoegdheid van de Commissie ten aanzien van de gepastheid van het door een derde land geboden beschermingsniveau beperkt is, zodat de Unierechter strikt toezicht moet uitoefenen op de rechtmatigheid van een adequaatheidsbesluit (arrest Schrems I, punt 78).

22

In de tweede plaats zij eraan herinnerd dat de rechtmatigheid van een Uniehandeling volgens vaste rechtspraak dient te worden beoordeeld aan de hand van de feiten en de juridische situatie op de datum waarop die handeling werd vastgesteld, zodat aan de geldigheid van een besluit geen afbreuk kan worden gedaan door later vastgestelde handelingen (zie arresten van 17 oktober 2019, Alcogroup en Alcodis/Commissie, C‑403/18 P, EU:C:2019:870, punt 45 en aldaar aangehaalde rechtspraak, en 28 januari 2021, Qualcomm en Qualcomm Europe/Commissie, C‑466/19 P, EU:C:2021:76, punt 82 en aldaar aangehaalde rechtspraak). In casu moeten de beoordelingen door de Commissie van de rechtmatigheid van de bestreden beschikking dus uitsluitend worden onderzocht aan de hand van de gegevens waarover zij beschikte op het tijdstip waarop zij die beoordelingen verrichtte.

23

De door verzoeker aangevoerde middelen moeten in deze context worden onderzocht, waarbij eerst het derde middel, daarna het tweede middel, vervolgens het vierde middel en ten slotte het vijfde middel zal worden onderzocht.

24

Met zijn derde middel betoogt verzoeker dat de Commissie artikel 47, tweede alinea, van het Handvest en artikel 45, lid 2, AVG heeft geschonden, door in het bestreden besluit te oordelen dat de DPRC een adequaat beschermingsniveau bood met betrekking tot het recht van burgers van de Unie op toegang tot een onafhankelijk en onpartijdig gerecht dat vooraf bij wet is ingesteld.

25

Vooraf zij opgemerkt dat artikel 47, tweede alinea, van het Handvest luidt als volgt:

„Eenieder heeft recht op een eerlijke en openbare behandeling van zijn zaak, binnen een redelijke termijn, door een onafhankelijk en onpartijdig gerecht dat vooraf bij wet is ingesteld. Eenieder heeft de mogelijkheid zich te laten adviseren, verdedigen en vertegenwoordigen.”

26

Volgens de toelichtingen bij het Handvest (PB 2007, C 303, blz. 17) correspondeert artikel 47, tweede alinea, van het Handvest met artikel 6, lid 1, van het op 4 november 1950 te Rome ondertekende Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM). Laatstgenoemde bepaling luidt als volgt:

„Bij het vaststellen van zijn burgerlijke rechten en verplichtingen of bij het bepalen van de gegrondheid van een tegen hem ingestelde vervolging heeft eenieder recht op een eerlijke en openbare behandeling van zijn zaak, binnen een redelijke termijn, door een onafhankelijk en onpartijdig gerecht dat bij de wet is ingesteld.”

27

In dit verband zij eraan herinnerd dat het EVRM, zolang de Unie er geen partij bij is, geen formeel in de rechtsorde van de Unie opgenomen rechtsinstrument is, zodat volgens vaste rechtspraak het onderzoek naar de geldigheid van een handeling van afgeleid recht van de Unie uitsluitend op de door het Handvest gewaarborgde grondrechten moet worden gebaseerd (arrest van 3 september 2015, Inuit Tapiriit Kanatami e.a./Commissie, C‑398/13 P, EU:C:2015:535, punten 45 en 46).

28

In de rechtspraak wordt evenwel erkend dat de door het EVRM gewaarborgde grondrechten krachtens artikel 6, lid 3, VEU, als algemene beginselen deel uitmaken van het Unierecht en dat uit artikel 52, lid 3, van het Handvest voortvloeit dat rechten uit het Handvest die corresponderen met rechten die worden gewaarborgd door het EVRM, dezelfde inhoud en reikwijdte hebben als die welke er door het EVRM aan worden toegekend (zie arrest van 31 mei 2018, Korwin-Mikke/Parlement, T‑770/16, EU:T:2018:320, punt 38 en aldaar aangehaalde rechtspraak).

29

Om redenen van samenhang en zonder de autonomie van het Unierecht of van het Hof van Justitie van de Europese Unie aan te tasten, moeten derhalve volgens de rechtspraak rechten uit het Handvest die corresponderen met rechten die worden gewaarborgd door het EVRM ook worden uitgelegd in het licht van de rechtspraak van het Europees Hof voor de Rechten van de Mens (EHRM) [zie in die zin arresten van 9 november 2023, Staatssecretaris van Justitie en Veiligheid (Begrip ernstige schade), C‑125/22, EU:C:2023:843, punt 59, en 31 mei 2018, Korwin-Mikke/Parlement, T‑770/16, EU:T:2018:320, punt 38].

30

Volgens vaste rechtspraak volgt hieruit dat het Hof op grond van artikel 52, lid 3, van het Handvest erop moet toezien dat de uitlegging die het aan artikel 47, tweede alinea, van het Handvest geeft, zodanig is dat het daardoor geboden beschermingsniveau niet in strijd komt met het niveau dat wordt geboden door artikel 6, lid 1, EVRM, zoals uitgelegd door het EHRM [zie arrest van 6 oktober 2021, W.Ż. (Kamer voor bijzondere controle en publieke zaken van de Sąd Najwyższy – Benoeming), C‑487/19, EU:C:2021:798, punt 123 en aldaar aangehaalde rechtspraak].

31

Voorts moet worden opgemerkt dat artikel 45, lid 2, AVG bepaalt dat de Commissie bij de beoordeling van de vraag of het door een derde land geboden beschermingsniveau adequaat is, met name rekening houdt met de volgende aspecten:

32

De twee grieven die verzoeker tot staving van dit middel heeft aangevoerd, moeten worden onderzocht in het licht van de voorgaande overwegingen.

33

Met de eerste grief van zijn derde middel betoogt verzoeker dat de DPRC geen onafhankelijk en onpartijdig gerecht in de zin van artikel 47, tweede alinea, van het Handvest is, maar een quasi‑gerechtelijk orgaan dat afhankelijk is van de uitvoerende macht.

34

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers betoog.

35

Om te beginnen zij opgemerkt dat volgens de rechtspraak het vereiste van onafhankelijkheid van rechterlijke instanties, dat onlosmakelijk verbonden is met de taak van de rechter, behoort tot de kern van het fundamentele recht op effectieve rechterlijke bescherming en een eerlijk proces, dat van het grootste belang is als waarborg dat alle door de justitiabelen aan het Unierecht ontleende rechten worden beschermd en tevens de in artikel 2 VEU verankerde waarden die de lidstaten gemeen hebben, met name de rechtsstaat, worden behouden [arrest van 15 juli 2021, Commissie/Polen (Tuchtregeling voor rechters), C‑791/19, EU:C:2021:596, punt 58 en aldaar aangehaalde rechtspraak]. In overeenstemming met het voor de werking van een rechtsstaat kenmerkende beginsel van de scheiding der machten moet met name worden gewaarborgd dat de rechterlijke macht onafhankelijk is ten opzichte van de wetgevende en de uitvoerende macht (zie arrest van 18 mei 2021, Asociaţia Forumul Judecătorilor din România e.a., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 en C‑397/19, EU:C:2021:393, punt 195 en aldaar aangehaalde rechtspraak).

36

In de rechtspraak is toegelicht dat het vereiste van onafhankelijkheid van rechterlijke instanties twee aspecten kent. Het eerste, externe, aspect vereist dat de betrokken instantie haar taken volledig autonoom uitoefent, zonder enig hiërarchisch verband en zonder aan wie dan ook ondergeschikt te zijn of van waar dan ook bevelen of instructies te ontvangen, en aldus beschermd is tegen inmenging of druk van buitenaf die de onafhankelijkheid van de oordeelsvorming van haar leden in gevaar zou kunnen brengen en van invloed zou kunnen zijn op hun beslissingen. Het tweede, interne, aspect sluit aan bij het begrip „onpartijdigheid” en heeft betrekking op het houden van gelijke afstand ten opzichte van de partijen bij het geding en hun respectieve belangen met betrekking tot het voorwerp van het geding. Voor laatstgenoemd aspect is het nodig dat objectiviteit in acht wordt genomen en dat elk belang bij de oplossing van het geschil, buiten de strikte toepassing van de rechtsregel, ontbreekt (zie arrest van 21 december 2021, Euro Box Promotion e.a., C‑357/19, C‑379/19, C‑547/19, C‑811/19 en C‑840/19, EU:C:2021:1034, punt 224 en aldaar aangehaalde rechtspraak).

37

Voor de krachtens Unierecht vereiste waarborgen van onafhankelijkheid en onpartijdigheid zijn regels nodig, onder andere met betrekking tot de samenstelling van rechterlijke instanties en de benoeming, de ambtstermijn en de gronden voor verschoning, wraking en afzetting van hun leden. Die regels moeten geschikt zijn om bij justitiabelen elke legitieme twijfel erover weg te nemen dat deze instanties zich niet laten beïnvloeden door externe factoren en onpartijdig zijn ten opzichte van de met elkaar strijdende belangen [zie arrest van 15 juli 2021, Commissie/Polen (Tuchtregeling voor rechters), C‑791/19, EU:C:2021:596, punt 59 en aldaar aangehaalde rechtspraak].

38

De drie argumenten die verzoeker tot staving van de onderhavige grief heeft aangevoerd moeten tegen deze achtergrond worden onderzocht.

39

Met zijn eerste argument betoogt verzoeker in essentie dat de DPRC geen onafhankelijk en onpartijdig gerecht is, aangezien zijn taak bestaat in het herzien van de beslissingen van de Civil Liberties Protection Officer (functionaris voor de bescherming van de burgerlijke vrijheden, Verenigde Staten; hierna: „CLPO”), van het Office of the Director of National Intelligence (bureau van de directeur van de nationale inlichtingendienst, Verenigde Staten).

40

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers argument.

41

Voor de duidelijkheid moet worden opgemerkt dat het eerste argument van de eerste grief van het derde middel aldus moet worden uitgelegd dat verzoeker in essentie betoogt, ten eerste, dat bij de behandeling van een klacht betreffende persoonsgegevens die is ingediend door een betrokkene in de Unie die zich wil beroepen op een schending van het recht van de Verenigde Staten inzake activiteiten op het gebied van inlichtingen uit berichtenverkeer waardoor zijn belangen op het gebied van de bescherming van de privacy en de burgerlijke vrijheden worden geschaad (hierna: „klacht betreffende persoonsgegevens”), de CLPO niet beschikt over voldoende waarborgen om zijn onafhankelijkheid te waarborgen, omdat hij verbonden is met het bureau van de Director of National Intelligence, en, ten tweede, dat de DPRC geen onafhankelijk en onpartijdig gerecht is omdat de voor de CLPO geldende waarborgen ontoereikend zijn.

42

Om te beginnen moet worden opgemerkt dat het onderzoek van de waarborgen met betrekking tot de onafhankelijkheid van de CLPO irrelevant is voor de beoordeling of de DPRC een onafhankelijk en onpartijdig gerecht is. De DPRC is namelijk opgericht als onafhankelijk controleorgaan van de CLPO waarbij, zoals blijkt uit overweging 184 van het bestreden besluit, de persoon die de klacht betreffende persoonsgegevens heeft ingediend alsmede ieder lid van de inlichtingengemeenschap de beslissing van de CLPO kan laten toetsen. Daarnaast zijn in EO 14086 verschillende waarborgen opgenomen om ervoor te zorgen dat de beslissingen van de CLPO op onafhankelijke en onpartijdige wijze kunnen worden getoetst en, in voorkomend geval, herzien door de DPRC.

43

Ten eerste blijkt uit de overwegingen 185 en 186 van het bestreden besluit, hetgeen verzoeker niet betwist, dat de DPRC bestaat uit ten minste zes rechters die worden benoemd door de Attorney General (minister van Justitie, Verenigde Staten) na raadpleging van de Privacy and Civil Liberties Oversight Board (raad van toezicht op privacy en burgerlijke vrijheden, Verenigde Staten; hierna: „PCLOB”), de Secretary of Trade (minister van Handel, Verenigde Staten) en de Director of National Intelligence, voor hernieuwbare termijnen van vier jaar, aan de hand van dezelfde criteria als die welke gelden voor rechters van de federale rechterlijke macht, waarbij belang wordt gehecht aan eerdere rechterlijke ervaring. De rechters moeten dus beoefenaars van juridische beroepen zijn (dat wil zeggen actieve leden van de balie met een goede reputatie die naar behoren zijn gemachtigd voor de advocatuur) en beschikken over voldoende relevante ervaring op het gebied van privacy en nationale veiligheidswetgeving. Bovendien moet de Attorney General ernaar streven dat te allen tijde ten minste de helft van de rechters eerdere rechterlijke ervaring heeft en moeten alle rechters over een veiligheidsmachtiging beschikken om toegang te kunnen krijgen tot gerubriceerde nationale veiligheidsinformatie. Alleen personen die voldoen aan bovengenoemde kwalificaties en die op het tijdstip van hun benoeming of in de twee voorafgaande jaren geen werknemer van de uitvoerende macht zijn geweest, kunnen tot lid van de DPRC worden benoemd. Evenzo mogen de rechters van de DPRC tijdens hun ambtstermijn geen officiële taken of banen binnen de Amerikaanse regering hebben.

44

Ten tweede blijkt uit de overwegingen 188 en 189 van het bestreden besluit en wordt door verzoeker niet betwist, dat de beslissingen van de CLPO volledig worden getoetst door een panel van drie rechters van de DPRC, bijgestaan door een speciale advocaat. Bij die toetsing baseert de DPRC zich niet alleen op het door de CLPO verstrekte dossier, maar ook op de informatie en opmerkingen van de klager, de speciale advocaat die de rechters van de DPRC bijstaat en de inlichtingendiensten, alsook, in voorkomend geval, op de aanvullende informatie waarom hij tijdens het onderzoek van de klacht betreffende persoonsgegevens heeft verzocht. Bovendien moet hij bij die toetsing de relevante rechtspraak van de Supreme Court of the United States (hooggerechtshof van de Verenigde Staten; hierna: „Supreme Court”) toepassen.

45

Ten derde blijkt uit de overwegingen 190 en 191 van het bestreden besluit en wordt door verzoeker niet betwist, dat de DPRC bevoegd is tot herziening, niet gebonden is aan de beslissing van de CLPO en, indien hij het niet eens is met laatstgenoemde, zijn eigen beslissing over de klacht betreffende persoonsgegevens kan nemen. Bovendien is de beslissing van de DPRC, ongeacht welke beslissing dat is, bindend en definitief. Zowel de inlichtingendiensten als de overheid van de Verenigde Staten zijn dus verplicht zich hieraan te houden.

46

Uit het voorgaande volgt dat de waarborgen van EO 14086 met betrekking tot het functioneren en de bevoegdheden van de DPRC een onafhankelijke en onpartijdige toetsing van de beslissingen van de CLPO mogelijk maken. Verzoeker kan dus niet op goede gronden stellen dat er sprake is van een gebrek aan op de CLPO toepasselijke waarborgen dat de onafhankelijkheid en onpartijdigheid van de DPRC aantast.

47

Wat de gestelde ontoereikendheid betreft van de waarborgen die de onafhankelijkheid van de CLPO moeten garanderen, moet hoe dan ook het volgende worden opgemerkt.

48

Zoals blijkt uit de overwegingen 176 tot en met 181 van het bestreden besluit en niet door verzoeker wordt betwist, is bij EO 14086, zoals aangevuld bij de AG Order, voor de behandeling van klachten betreffende persoonsgegevens een specifiek beroepsmechanisme ingesteld. Deze klacht moet in elke lidstaat worden ingediend bij de toezichthoudende autoriteit die bevoegd is voor het toezicht op de verwerking van persoonsgegevens. Deze autoriteit stuurt de klacht vervolgens door aan de CLPO, mits deze de in punt 178 van het bestreden besluit genoemde elementen bevat, te weten informatie over persoonsgegevens waarvan redelijkerwijs mag worden aangenomen dat zij aan de Verenigde Staten zijn doorgegeven en over de wijze waarop dat is gebeurd, de identiteit, indien bekend, van de Amerikaanse overheidsinstellingen die vermoedelijk bij de vermeende schending betrokken zijn, de grondslag van de bewering dat het Amerikaanse recht is geschonden en de aard van de gevorderde vergoeding. In dit verband moet de CLPO nagaan of de inlichtingendiensten het toepasselijke Amerikaanse recht hebben geschonden en kan hij, indien dat het geval is, opdracht geven tot het nemen van corrigerende maatregelen. De beslissing van de CLPO op de klacht is bindend.

49

Het is juist dat de Commissie in overweging 179 van het bestreden besluit aangeeft dat de CLPO deel uitmaakt van het bureau van de Director of National Intelligence en dat hij, naast zijn specifieke bevoegdheid om de klacht betreffende persoonsgegevens te toetsen, zich er meer in het algemeen van dient te vergewissen dat de bescherming van de burgerlijke vrijheden en de privacy op passende wijze wordt opgenomen in het beleid en de procedures van dat bureau en van de inlichtingendiensten en dat deze diensten de toepasselijke voorschriften inzake burgerlijke vrijheden en privacy naleven. Evenwel moet ten eerste worden opgemerkt dat, om de onafhankelijkheid van de CLPO te waarborgen, EO 14086 bepaalt, zoals in die overweging is vermeld, dat de CLPO alleen door de Director of National Intelligence kan worden ontslagen en om gegronde redenen, dat wil zeggen in geval van wangedrag, een ambtsmisdrijf, aantasting van de veiligheid, plichtsverzuim of onbekwaamheid. Ten tweede blijkt uit overweging 180 van het bestreden besluit dat het de inlichtingendiensten en de Director of National Intelligence verboden is om het werk van de CLPO te belemmeren of op ongepaste wijze te beïnvloeden. Bij het onderzoek van de klacht betreffende persoonsgegevens moet de CLPO de wet onpartijdig toepassen, met inachtneming van zowel de nationale veiligheidsbelangen als de bescherming van de privacy.

50

In die omstandigheden moet het onderhavige argument worden verworpen.

51

Met zijn tweede argument voert verzoeker in essentie aan dat de DPRC geen onafhankelijk en onpartijdig gerecht is, aangezien hij bestaat uit rechters die door de Attorney General zijn benoemd na raadpleging van de PCLOB, een orgaan dat onder de uitvoerende macht valt.

52

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers argument.

53

In de eerste plaats blijkt uit overweging 110 van het bestreden besluit dat de PCLOB een onafhankelijk agentschap binnen de uitvoerende macht is. De onafhankelijkheid van dit agentschap blijkt met name uit de samenstelling ervan. De PCLOB bestaat namelijk uit een raad van vijf leden uit beide politieke partijen die door de president van de Verenigde Staten met goedkeuring van de Senaat voor een vaste ambtstermijn van zes jaar worden benoemd. De leden moeten worden geselecteerd op basis van hun beroepskwalificaties, prestaties, publieke aanzien, deskundigheid op het gebied van burgerlijke vrijheden en privacy, en ervaring, en ongeacht hun politieke kleur. In geen geval mogen meer dan drie leden van de raad tot dezelfde politieke partij behoren. Een in de PCLOB benoemde persoon mag tijdens zijn mandaat geen verkozen ambtenaar, functionaris of werknemer van de federale overheid zijn, anders dan in de hoedanigheid van lid van de PCLOB.

54

Hieruit volgt dat de PCLOB, hoewel opgericht binnen de uitvoerende macht, bij zijn oprichtingsstatuut is opgezet als een onafhankelijk agentschap dat tot taak heeft om op onpartijdige wijze toe te zien op het werk van de uitvoerende macht, ter bescherming van met name de privacy en de burgerlijke vrijheden. Zoals in overweging 194 van het bestreden besluit is aangegeven en niet is betwist door verzoeker, moet de PCLOB dus jaarlijks beoordelen of de CLPO en de DPRC de aan hen voorgelegde zaken tijdig hebben verwerkt, of zij toegang hebben gehad tot alle noodzakelijke informatie, of zij alle waarborgen van EO 14086 in aanmerking hebben genomen en of de inlichtingendiensten hebben voldaan aan de vaststellingen van de CLPO en de DPRC. Na deze verificatie moet de PCLOB publiekelijk verklaren dat de CLPO en de DPRC aan deze garanties hebben voldaan. Bovendien moet hij een verslag opstellen voor de president van de Verenigde Staten, de Attorney General, de Director of National Intelligence, de hoofden van de inlichtingendiensten, de CLPO en de inlichtingencommissie van het Amerikaanse Congres. Dit verslag wordt in een niet-gerubriceerde versie openbaar gemaakt. De Attorney General, de Director of National Intelligence, de CLPO en de hoofden van de inlichtingendiensten zijn verplicht om alle aanbevelingen in dat verslag uit te voeren.

55

Tegen deze achtergrond kan uit het feit dat de PCLOB is opgericht binnen de uitvoerende macht op zichzelf niet worden afgeleid dat de DPRC geen onafhankelijk en onpartijdig gerecht is omdat vóór de benoeming van de daarin zetelende rechters de PCLOB wordt geraadpleegd.

56

In de tweede plaats moet worden opgemerkt dat EO 14086, om ervoor te zorgen dat de rechters van de DPRC onafhankelijk zijn van de uitvoerende macht, bepaalt dat de Attorney General bij hun benoeming de in punt 43 hierboven genoemde criteria en voorwaarden in acht moet nemen. Bovendien kunnen de rechters van de DPRC, zoals blijkt uit overweging 187 van het bestreden besluit, uitsluitend om gegronde redenen (te weten wangedrag, een ambtsmisdrijf, aantasting van de veiligheid, plichtsverzuim of onbekwaamheid) en uitsluitend door de Attorney General worden ontslagen, nadat naar behoren rekening is gehouden met de normen voor federale rechters zoals vastgelegd in de „Rules for Judicial-Conduct and Judicial-Disability Proceedings” (regels voor het gedrag van rechters en voor procedures inzake de onbekwaamheid van rechters).

57

Hieruit volgt dat de regels inzake de benoeming en het ontslag van rechters van de DPRC geen afbreuk kunnen doen aan hun onafhankelijkheid en onpartijdigheid.

58

In de derde plaats moet worden opgemerkt dat de Commissie volgens artikel 3, lid 1, van het bestreden besluit voortdurend toezicht dient te houden op de toepassing van het rechtskader waarop dat besluit is gestoeld, met name van de voorwaarden voor de verdere doorgifte van persoonsgegevens, voor de uitoefening van individuele rechten en voor toegang van Amerikaanse overheidsinstanties tot gegevens die op basis van dit besluit worden doorgegeven, teneinde te beoordelen of de Verenigde Staten een passend beschermingsniveau blijven waarborgen. Aldus moet de Commissie overeenkomstig lid 5 van dat artikel, wanneer zij aanwijzingen heeft dat er niet langer een passend beschermingsniveau wordt gewaarborgd, de bevoegde Amerikaanse autoriteiten daarvan in kennis stellen en, indien noodzakelijk, besluiten het bestreden besluit te schorsen, te wijzigen, in te trekken of de werkingssfeer ervan te beperken. Hieruit volgt dat indien het rechtskader dat in de Verenigde Staten van kracht was ten tijde van de vaststelling van het bestreden besluit op basis waarvan zij in dit besluit heeft geoordeeld dat de DPRC een rechtsbescherming bood die in grote lijnen overeenkwam met die welke door het Unierecht werd gewaarborgd, de Commissie zo nodig besluit om het bestreden besluit te schorsen, te wijzigen, in te trekken of om de werkingssfeer ervan te beperken.

59

Gelet op een en ander moet het onderhavige argument worden verworpen.

60

Met zijn derde argument voert verzoeker in essentie aan dat de DPRC geen onafhankelijk en onpartijdig gerecht is omdat de AG Order niet uitsluit dat de rechters van de DPRC kunnen worden onderworpen aan andere dan dagelijkse vormen van toezicht door de uitvoerende macht.

61

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers argument.

62

Opgemerkt zij dat uit het dossier weliswaar blijkt dat in § 201.7, onder d), van de AG Order enkel wordt bepaald dat de rechters van de DPRC niet onderworpen mogen zijn aan dagelijks toezicht door de Attorney General, maar dat in overweging 187 van het bestreden besluit ook staat te lezen dat het de inlichtingendiensten en de Attorney General op grond van EO 14086 niet is toegestaan om zich te mengen in het werk van de DPRC of om dit werk op ongepaste wijze te beïnvloeden. Bovendien blijkt uit het dossier dat EO 14086 en de AG Order de mogelijkheid voor de uitvoerende macht om invloed uit te oefenen op het werk van de DPRC beperken door vast te stellen dat zijn rechters uitsluitend door de Attorney General en uitsluitend om de in punt 56 hierboven genoemde redenen kunnen worden ontslagen.

63

In deze context moet het onderhavige argument, en dus de eerste grief van het derde middel in haar geheel, worden verworpen.

64

Met de tweede grief van zijn derde middel voert verzoeker aan dat de DPRC niet vooraf bij wet is ingesteld in de zin van artikel 47, tweede alinea, van het Handvest, aangezien hij niet is opgericht bij een door het Amerikaanse Congres vastgestelde wet, maar bij een handeling van de uitvoerende macht, namelijk een besluit van de Attorney General.

65

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers betoog.

66

In de eerste plaats volgt uit de rechtspraak van het Hof, die is ontwikkeld in het licht van die van het EHRM met betrekking tot artikel 6, lid 1, EVRM (EHRM, 1 december 2020, Guðmundur Andri Ástráðsson tegen IJsland, CE:ECHR:2020:1201JUD002637418, §§ 231 en 233), dat het recht op een vooraf bij wet ingesteld gerecht weliswaar een autonoom recht is, maar niettemin zeer nauw verbonden is met de in deze bepaling opgenomen waarborgen van onafhankelijkheid en onpartijdigheid. Meer in het bijzonder wordt met elk van de uit deze begrippen voortvloeiende vereisten weliswaar een nauwkeurig omschreven doel nagestreefd waardoor zij specifieke waarborgen voor een eerlijk proces vormen, maar strekken zij tot naleving van dezelfde fundamentele beginselen van de rechtsstaat en de scheiding der machten. Aan elk van deze vereisten ligt dus de noodzaak ten grondslag om het vertrouwen te bewaren dat de rechterlijke macht de justitiabele moet inboezemen en om de onafhankelijkheid van deze macht ten opzichte van de andere machten in stand te houden [zie arresten van 22 februari 2022, Openbaar Ministerie (Bij wet ingesteld gerecht in de uitvaardigende lidstaat), C‑562/21 PPU en C‑563/21 PPU, EU:C:2022:100, punt 56 en aldaar aangehaalde rechtspraak, en 29 maart 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, punt 117 en aldaar aangehaalde rechtspraak].

67

Het Hof heeft tevens aangegeven, onder verwijzing naar de rechtspraak van het EHRM (EHRM, 8 juli 2014, Biagioli tegen San Marino, CE:ECHR:2014:0708DEC000816213, §§ 72‑74; zie ook EHRM, 2 mei 2019, Pasquini tegen San Marino, CE:ECHR:2019:0502JUD005095616, §§ 100 en 101 en aldaar aangehaalde rechtspraak), dat de uitdrukking „vooraf bij wet ingesteld” tot doel heeft te voorkomen dat de organisatie van de rechterlijke macht wordt overgelaten aan de uitvoerende macht, alsmede ervoor te zorgen dat deze aangelegenheid wordt geregeld bij een wet die door de wetgevende macht is vastgesteld in overeenstemming met de regels voor de uitoefening van haar bevoegdheid. Die uitdrukking weerspiegelt dus het beginsel van de rechtsstaat en heeft niet alleen betrekking op de rechtsgrondslag voor het bestaan zelf van de betreffende rechterlijke instantie, maar ook op de samenstelling van de rechtsprekende formatie in elke zaak en op alle overige nationaalrechtelijke bepalingen waarvan de niet-inachtneming meebrengt dat de deelname van een of meerdere rechters aan het onderzoek van de zaak onregelmatig is. Tot deze bepalingen behoren met name bepalingen over de onafhankelijkheid en onpartijdigheid van de leden van de rechterlijke instantie in kwestie (zie arrest van 29 maart 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, punt 121 en aldaar aangehaalde rechtspraak).

68

In deze context heeft het Hof geoordeeld dat, om een schending van het vereiste van een vooraf bij wet ingesteld gerecht en de gevolgen van een dergelijke schending te kunnen vaststellen, een algehele beoordeling nodig is van een aantal elementen die, in hun totaliteit beschouwd, bij de justitiabelen legitieme twijfel doen ontstaan over de onafhankelijkheid en onpartijdigheid van de rechters [zie arrest van 22 februari 2022, Openbaar Ministerie (Bij wet ingesteld gerecht in de uitvaardigende lidstaat), C‑562/21 PPU en C‑563/21 PPU, EU:C:2022:100, punt 74 en aldaar aangehaalde rechtspraak].

69

Zo heeft het Hof geoordeeld dat de omstandigheid dat een orgaan dat betrokken is bij de procedure voor de benoeming van rechters, zoals een nationale raad voor de rechtspraak overwegend bestaat uit door de wetgevende macht gekozen leden, er dus op zich niet toe kan leiden dat wordt getwijfeld aan de onafhankelijkheid van de rechters die door middel van die procedure zijn benoemd, maar dat dit ook anders kan zijn wanneer deze omstandigheid in combinatie met andere relevante elementen en de omstandigheden waaronder die keuzen zijn gemaakt, dergelijke twijfels doet rijzen [zie arrest van 22 februari 2022, Openbaar Ministerie (Bij wet ingesteld gerecht in de uitvaardigende lidstaat), C‑562/21 PPU en C‑563/21 PPU, EU:C:2022:100, punt 75 en aldaar aangehaalde rechtspraak].

70

Voorts heeft het EHRM in zijn arrest van 1 december 2020, Guðmundur Andri Ástráðsson tegen IJsland (CE:ECHR:2020:1201JUD002637418, §§ 207 en 212), geoordeeld dat de benoeming van rechters door de uitvoerende macht of de wetgever toelaatbaar is, mits de aldus benoemde rechters vrij zijn van elke druk of invloed bij de uitoefening van hun rechterlijke rol.

71

Uit deze rechtspraak volgt in wezen dat het onderzoek of aan de vereisten van artikel 47, tweede alinea, van het Handvest is voldaan, niet moet worden beperkt tot een beoordeling van de formele aard van de juridische tekst tot instelling van een gerecht en tot vaststelling van de regels voor het functioneren ervan, maar daarbij moet worden nagegaan of deze juridische tekst voldoende waarborgen biedt om de onafhankelijkheid en onpartijdigheid van dat gerecht ten opzichte van de andere machten, met name de uitvoerende macht, te waarborgen.

72

In de tweede plaats zij eraan herinnerd dat, zoals het Hof in de arresten Schrems I en Schrems II heeft geoordeeld, de Commissie zich er in het kader van een adequaatheidsbesluit niet van hoeft te vergewissen dat de relevante bepalingen van het derde land identiek zijn aan die welke in de Unie gelden, maar enkel dat zij in grote lijnen overeenkomen met die welke door het Unierecht worden gewaarborgd krachtens de AVG, gelezen in het licht van het Handvest (zie de punten 19 en 20 hierboven). Hieruit volgt dat het Gerecht in casu de gegrondheid moet nagaan van de door de Commissie in het bestreden besluit gedane vaststelling dat de bepalingen van het recht van de Verenigde Staten betreffende de instelling en de werking van de DPRC waarborgen bieden die in grote lijnen overeenkomen met die waarin het Unierecht in artikel 47, tweede alinea, van het Handvest voorziet. Dergelijke waarborgen worden met name geboden wanneer de juridische tekst tot instelling van dat gerecht en tot vaststelling van de regels voor het functioneren ervan tot doel heeft de onafhankelijkheid en onpartijdigheid van het gerecht ten opzichte van de andere machten, met name de uitvoerende macht, te waarborgen, ook al is die tekst formeel gezien geen wet.

73

In casu blijkt uit overweging 185 van het bestreden besluit en wordt door verzoeker niet betwist, dat de DPRC is ingesteld bij de AG Order. Hieruit vloeit voort dat de DPRC niet is opgericht bij een wet die is vastgesteld door de wetgevende macht, te weten het Amerikaanse Congres, maar bij een handeling van de uitvoerende macht. De Attorney General is namelijk het hoofd van het Amerikaanse ministerie van Justitie en de hoofdverantwoordelijke voor rechtshandhaving binnen de federale overheid van de Verenigde Staten. Hij is de belangrijkste adviseur van de Amerikaanse president voor alle juridische kwesties en maakt deel uit van zijn kabinet.

74

In deze context moet worden nagegaan of EO 14086 en de AG Order, op een wijze die in grote lijnen overeenkomt met het Unierecht, voorzien in waarborgen die de onafhankelijkheid en onpartijdigheid van de DPRC beogen te verzekeren.

75

In dit verband moet ten eerste worden opgemerkt dat uit het dossier blijkt en niet is betwist dat:

76

Ten tweede zij eraan herinnerd dat uit het bestreden besluit in essentie blijkt dat:

77

Voorts moeten de rechters van de DPRC, zoals blijkt uit de overwegingen 187 tot en met 189 van het bestreden besluit, bij de vervulling van hun taak binnen de DPRC de volgende procedurele waarborgen in acht nemen:

78

Ten derde moet worden opgemerkt dat de door het Hof in het arrest Schrems II vastgestelde tekortkomingen in de zin van het ontbreken van waarborgen met betrekking tot het ontslag van de privacyschildombudsman door de uitvoerende macht en het feit dat diens beslissingen niet bindend waren, zijn verholpen. Uit het dossier blijkt namelijk dat EO 14086 de gevallen beperkt waarin de Attorney General de rechters van de DPRC kan ontslaan en bepaalt dat zijn beslissingen bindend zijn.

79

In deze context moet de tweede grief van het derde middel worden verworpen.

80

Aan deze gevolgtrekking wordt niet afgedaan door het feit dat uit het dossier blijkt dat de DPRC, net zoals andere gerechten in het rechtsstelsel van de Verenigde Staten, weliswaar bevoegd is om uitspraak te doen over rechtsvragen, maar geen rechterlijke instantie is die is opgericht krachtens artikel III van de grondwet van de Verenigde Staten.

81

In het arrest Schrems II heeft het Hof namelijk geoordeeld dat een effectieve rechterlijke bescherming niet alleen kan worden gewaarborgd door een rechterlijke instantie die behoort tot de rechterlijke macht, maar ook door elk ander „orgaan” dat personen wier gegevens naar de Verenigde Staten worden doorgegeven, waarborgen biedt die in grote lijnen overeenkomen met die welke door artikel 47 van het Handvest worden vereist (arrest Schrems II, punt 197).

82

Gelet op een en ander moet het derde middel in zijn geheel worden afgewezen.

83

Met zijn tweede middel voert verzoeker aan dat de Commissie de artikelen 7 en 8 van het Handvest heeft geschonden, aangezien zij in het bestreden besluit heeft geoordeeld dat de Verenigde Staten een passend beschermingsniveau boden met betrekking tot de bulksgewijze verzameling van persoonsgegevens door de inlichtingendiensten van dat land.

84

Opgemerkt zij dat verzoeker op de bladzijden 2 en 23 van het verzoekschrift en op bladzijde 4 van de repliek in zijn omschrijving van het tweede middel verwijst naar schending door de Commissie van de artikelen 7 en 8 van het Handvest, met betrekking tot niet alleen de bulksgewijze verzameling, maar ook de massale verzameling van persoonsgegevens. Na de omschrijving van dit middel concentreert verzoeker zijn betoog evenwel uitsluitend op de bulksgewijze verzameling van die gegevens.

85

Uit voetnoot 250 op bladzijde 46 van het bestreden besluit, uit overweging 141 ervan, hetgeen niet wordt betwist, en uit de antwoorden die partijen op vragen in het kader van een maatregel tot organisatie van de procesgang en ter terechtzitting hebben gegeven, blijkt dat:

86

Uit het voorgaande volgt dat, aangezien massale verzameling van gegevens in de Verenigde Staten niet is toegestaan en bulksgewijze verzameling uitsluitend buiten de Verenigde Staten kan worden verricht, het voorwerp van het onderhavige middel zich in casu beperkt tot de beoordeling of de Commissie de artikelen 7 en 8 van het Handvest heeft geschonden wat betreft de bulksgewijze verzameling, door de Amerikaanse inlichtingendiensten, van persoonsgegevens die vanuit de Unie worden doorgegeven aan de DPF-organisaties, met uitsluiting van elke verzameling van persoonsgegevens die in voorkomend geval op het grondgebied van de Unie door de Amerikaanse inlichtingendiensten of de lidstaten wordt verricht.

87

Met de eerste grief van zijn tweede middel voert verzoeker aan dat de Commissie de artikelen 7 en 8 van het Handvest heeft geschonden, aangezien zij in het bestreden besluit in essentie heeft geoordeeld dat de Verenigde Staten een beschermingsniveau bieden dat in grote lijnen overeenkomt met het niveau dat door het Unierecht wordt gewaarborgd krachtens de AVG, gelezen in het licht van het Handvest, terwijl Section 702 FISA de Amerikaanse inlichtingendiensten de mogelijkheid biedt om bulksgewijs persoonsgegevens van staatsburgers van andere landen te verzamelen.

88

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers betoog.

89

Opgemerkt zij dat Section 702 FISA geen bulksgewijze verzameling maar enkel de doelgerichte verzameling van persoonsgegevens toestaat.

90

Hieruit volgt dat Section 702 FISA, aangezien zij geen betrekking heeft op de bulksgewijze verzameling van persoonsgegevens, in casu irrelevant is.

91

Bijgevolg moet de eerste grief van het tweede middel worden verworpen.

92

Met de tweede grief van zijn tweede middel voert verzoeker aan dat de Commissie de artikelen 7 en 8 van het Handvest heeft geschonden, aangezien zij in het bestreden besluit heeft geoordeeld dat de Verenigde Staten een beschermingsniveau bieden dat in grote lijnen overeenkomt met het niveau dat door het Unierecht wordt gewaarborgd krachtens de AVG, gelezen in het licht van het Handvest, terwijl EO 14086 de Amerikaanse inlichtingendiensten niet verplicht om voor de bulksgewijze verzameling van persoonsgegevens de voorafgaande toestemming van een rechterlijke of administratieve autoriteit te verkrijgen.

93

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers betoog.

94

In casu blijkt uit het dossier en staat tussen partijen niet ter discussie dat het recht van de Verenigde Staten niet voorziet in de verplichting voor inlichtingendiensten om voorafgaande toestemming van een rechterlijke of administratieve autoriteit te verkrijgen voordat zij bulksgewijs persoonsgegevens verzamelen die vanuit de Unie worden doorgegeven aan DPF-organisaties.

95

Onderzocht moet worden of het ontbreken van voorafgaande toestemming de rechtmatigheid van het bestreden besluit kan aantasten, doordat dit afbreuk zou kunnen doen aan de gevolgtrekking in artikel 1 van dit besluit dat de Verenigde Staten een passend niveau van bescherming van persoonsgegevens bieden.

96

Vooraf zij eraan herinnerd dat het, zoals het Hof in het arrest Schrems II heeft geoordeeld, ter beoordeling van de rechtmatigheid van een adequaatheidsbesluit noodzakelijk is om te onderzoeken of het recht van het derde land een niveau van bescherming van de vrijheden en grondrechten verzekert dat in grote lijnen overeenkomt met het niveau dat binnen de Unie wordt gewaarborgd krachtens de AVG, gelezen in het licht van het Handvest (zie punt 19 hierboven).

97

De vier argumenten die verzoeker ter ondersteuning van de onderhavige grief heeft aangevoerd moeten tegen deze achtergrond worden onderzocht.

98

Met zijn eerste argument voert verzoeker in essentie aan dat, zoals het geval was bij het adequaatheidsbesluit betreffende het privacyschild dat door het Hof ongeldig is verklaard in het arrest Schrems II, met name omdat er niet was voorzien in rechterlijke toetsing, de in casu door de Amerikaanse inlichtingendiensten verrichte bulksgewijze verzameling van persoonsgegevens niet aan gerechtelijk toezicht is onderworpen en niet is afgebakend door voldoende duidelijke en nauwkeurige regels.

99

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers argument.

100

Opgemerkt zij dat het Hof in het arrest Schrems II heeft geoordeeld dat de artikelen 7 en 8 van het Handvest bijdragen tot het binnen de Unie vereiste beschermingsniveau, waarvan de Commissie moet vaststellen dat het wordt eerbiedigt alvorens een adequaatheidsbesluit op grond van artikel 45, lid 1, AVG vast te stellen. Volgens het Hof tast elke verwerking van persoonsgegevens van een natuurlijke persoon, daaronder begrepen de doorgifte ervan naar een derde land in het kader van een adequaatheidsbesluit, namelijk zowel het door artikel 7 van het Handvest gewaarborgde grondrecht van die persoon op eerbiediging van het privéleven, als zijn in artikel 8 van dat Handvest vastgelegde recht op bescherming van zijn persoonsgegevens (arrest Schrems II, punten 169‑171).

101

Het Hof heeft evenwel aangegeven dat de in de artikelen 7 en 8 van het Handvest verankerde rechten geen absolute gelding hebben, maar in relatie tot hun functie in de samenleving moeten worden beschouwd (arrest Schrems II, punt 172).

102

Volgens artikel 52, lid 1, van het Handvest moeten beperkingen op de uitoefening van de in de artikelen 7 en 8 van het Handvest erkende rechten en vrijheden dus bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. Bovendien kunnen, met inachtneming van het evenredigheidsbeginsel, alleen beperkingen aan deze rechten en vrijheden worden gesteld indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen (arrest Schrems II, punt 174).

103

In die context heeft het Hof geoordeeld dat de door presidentieel decreet nr. 12333, zoals gewijzigd, aan de Amerikaanse inlichtingendiensten geboden mogelijkheid om toegang te krijgen tot persoonsgegevens tijdens hun doorgifte vanuit de Unie, zonder dat die toegang aan enig gerechtelijk toezicht was onderworpen, het niet mogelijk maakte om op voldoende duidelijke en nauwkeurige wijze de reikwijdte af te bakenen van de bulksgewijze verzameling van persoonsgegevens door de inlichtingendiensten. Derhalve heeft het geoordeeld dat dit presidentieel decreet niet overeenstemde met de minimale vereisten die in het Unierecht voortvloeien uit het evenredigheidsbeginsel en dat de op basis van dit presidentieel decreet uitgevoerde surveillanceprogramma’s niet waren beperkt tot het strikt noodzakelijke (arrest Schrems II, punten 183 en 184).

104

Verduidelijkt moet worden welke uitlegging moet worden gegeven aan het begrip „gerechtelijk toezicht” in punt 183 van het arrest Schrems II.

105

In dit verband moet worden opgemerkt dat niets in het arrest Schrems II, in het bijzonder in punt 183 van dat arrest en in de uitdrukking „enig rechterlijk toezicht”, erop wijst dat voor het bulksgewijs verzamelen van persoonsgegevens de voorafgaande toestemming van een onafhankelijke autoriteit vereist is. Integendeel, uit dit begrip, gelezen in samenhang met de punten 186 tot en met 197 van dat arrest, blijkt dat de beslissing waarbij een dergelijke inzameling wordt toegestaan, op zijn minst achteraf door de rechter moet worden getoetst.

106

Zoals in de punten 24 tot en met 82 hierboven is aangegeven, worden de door de Amerikaanse inlichtingendiensten verrichte activiteiten op het gebied van inlichtingen uit berichtenverkeer, ook wanneer zij bulksgewijs persoonsgegevens verzamelen, in casu door EO 14086 en de AG Order achteraf onderworpen aan gerechtelijk toezicht door de DPRC, waarvan de beslissingen definitief en bindend zijn voor zowel de Amerikaanse overheid als genoemde diensten. Bijgevolg kan, anders dan verzoeker stelt, niet worden geoordeeld dat het op basis van het bestreden besluit bulksgewijs verzamelen van persoonsgegevens door de inlichtingendiensten niet voldoet aan de vereisten die dienaangaande voortvloeien uit het arrest Schrems II.

107

Bovendien moet er in de eerste plaats aan worden herinnerd dat, zoals blijkt uit overweging 141 van het bestreden besluit en niet door verzoeker wordt betwist, EO 14086 bepaalt dat de inlichtingendiensten prioriteit moeten geven aan gerichte verzameling van persoonsgegevens. Zo is bulksgewijze verzameling alleen toegestaan ter verwezenlijking van een gevalideerde inlichtingenprioriteit wanneer de betrokken informatie redelijkerwijs niet kan worden verkregen door gerichte verzameling. In dit verband zij opgemerkt dat uit overweging 135 van dit besluit blijkt dat gevalideerde inlichtingenprioriteiten worden vastgesteld via een specifiek proces dat gericht is op de naleving van de toepasselijke wettelijke voorschriften, waaronder die betreffende privacy en burgerlijke vrijheden. Meer bepaald worden inlichtingenprioriteiten uitgewerkt door de Director of National Intelligence en ter goedkeuring voorgelegd aan de president van de Verenigde Staten. Alvorens inlichtingenprioriteiten aan de president voor te stellen, moet elke prioriteit worden beoordeeld door de CLPO. In het kader van deze beoordeling moet de CLPO nagaan of de prioriteit in kwestie een of meer van de in EO 14086 genoemde legitieme doelstellingen nastreeft, of deze niet is bedoeld voor of naar verwachting zal resulteren in het voor een verboden doel verzamelen van inlichtingen uit berichtenverkeer en of deze is vastgesteld met inachtneming van de privacy en de burgerlijke vrijheden van alle betrokkenen, ongeacht hun nationaliteit of verblijfplaats.

108

In de tweede plaats moet worden opgemerkt dat EO 14086, zoals blijkt uit de overwegingen 127 tot en met 131, 134 en 135 van het bestreden besluit en niet door verzoeker wordt betwist, verregaande eisen stelt die gelden voor alle activiteiten op het gebied van inlichtingen uit berichtenverkeer, ook wanneer deze worden verricht door middel van bulksgewijze verzameling van persoonsgegevens.

109

Ten eerste moeten activiteiten op het gebied van inlichtingen uit berichtenverkeer gebaseerd zijn op een wet of een presidentiële machtiging en in overeenstemming zijn met het Amerikaanse recht, met inbegrip van de grondwet.

110

Ten tweede mogen activiteiten op het gebied van inlichtingen uit berichtenverkeer alleen worden uitgevoerd nadat op basis van een redelijke beoordeling van alle relevante factoren is vastgesteld dat zij noodzakelijk zijn om vooruitgang te boeken met betrekking tot een gevalideerde inlichtingenprioriteit.

111

Ten derde moeten de activiteiten op het gebied van inlichtingen uit berichtenverkeer worden uitgevoerd op een wijze die evenredig is met de gevalideerde inlichtingenprioriteit waarvoor zij zijn toegestaan, teneinde een juist evenwicht te vinden tussen het belang van de nagestreefde inlichtingenprioriteit en de gevolgen voor de privacy en de burgerlijke vrijheden van de betrokkenen, ongeacht hun nationaliteit of verblijfplaats.

112

Ten vierde somt EO 14086 de algemene doelstellingen op die niet mogen worden nagestreefd met activiteiten op het gebied van inlichtingen uit berichtenverkeer. Het gaat onder meer om doelstellingen die gericht zijn op het verhinderen van kritiek, afwijkende meningen of de vrije uiting van ideeën of politieke meningen door personen of de pers, op het benadelen van personen op grond van hun etniciteit, ras, geslacht, genderidentiteit, seksuele geaardheid of godsdienst, of op het verschaffen van een concurrentievoordeel aan in de Verenigde Staten gevestigde bedrijven.

113

In de derde plaats blijkt uit overweging 141 van het bestreden besluit en wordt door verzoeker niet betwist dat EO 14086 specifieke waarborgen verbindt aan de bulksgewijze verzameling van persoonsgegevens.

114

Om te beginnen bepaalt EO 14086 dat er methoden en technische maatregelen moeten worden toegepast om de verzamelde gegevens te beperken tot wat nodig is om een gevalideerde inlichtingenprioriteit na te streven, waarbij het verzamelen van niet-relevante informatie tot een minimum wordt beperkt.

115

Vervolgens geeft EO 14086 aan dat bulksgewijze verzameling van persoonsgegevens alleen kan worden verricht met het oog op zes specifieke doelstellingen (hierna: „specifieke doelstellingen van bulksgewijze verzameling”), te weten bescherming tegen terrorisme, spionage, massavernietigingswapens, cyberdreigingen, bedreigingen tegen personeel van de Verenigde Staten of hun bondgenoten, en grensoverschrijdende criminaliteit. EO 14086 biedt de president van de Verenigde Staten de mogelijkheid om deze specifieke doelstellingen te actualiseren als zich nieuwe vereisten in verband met de nationale veiligheid voordoen, zoals nieuwe bedreigingen of grotere bedreigingen voor de nationale veiligheid, ten aanzien waarvan hij van mening is dat de bulksgewijze verzameling van persoonsgegevens zou kunnen worden gebruikt. Deze actualiseringen moeten in beginsel openbaar worden gemaakt door de Director of National Intelligence, tenzij de president van de Verenigde Staten bepaalt dat dit zelf een risico voor de nationale veiligheid van dat land zou vormen.

116

Ten slotte bepaalt EO 14086 dat bulksgewijs verzamelde inlichtingen uit berichtenverkeer alleen mogen worden doorzocht wanneer dat nodig is om een gevalideerde inlichtingenprioriteit na te streven, ter verwezenlijking van de specifieke doelstellingen van de bulksgewijze verzameling en in overeenstemming met beleid en procedures die op passende wijze rekening houden met het effect van de doorzoekingen van die gegevens op de privacy en de burgerlijke vrijheden van alle betrokkenen, ongeacht hun nationaliteit of verblijfplaats.

117

Tegen deze achtergrond kan niet op goede gronden worden gesteld dat uitvoering van bulksgewijze verzamelingen niet voldoende duidelijk en nauwkeurig is afgebakend.

118

Gelet op een en ander moet het onderhavige argument worden verworpen.

119

Met zijn tweede argument betoogt verzoeker, onder uitdrukkelijke verwijzing naar punt 189 van het arrest van 6 oktober 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791), dat het Hof heeft vastgesteld dat inlichtingendiensten de voorafgaande toestemming van een rechterlijke of bestuurlijke autoriteit moeten verkrijgen voordat zij verbindingsgegevens verzamelen bij de exploitanten die over die gegevens beschikken. Volgens hem is voor de bulksgewijze verzameling, door de Amerikaanse inlichtingendiensten, van persoonsgegevens die worden doorgegeven vanuit de Unie in casu geen dergelijke voorafgaande toestemming vereist.

120

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers argument.

121

Opgemerkt zij dat het Hof in het arrest van 6 oktober 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791), met name heeft geoordeeld dat artikel 15, lid 1, van richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB 2002, L 201, blz. 37), zoals gewijzigd bij richtlijn 2009/136/EG van het Europees Parlement en de Raad van 25 november 2009 (PB 2009, L 337, blz. 11), gelezen in het licht van de artikelen 7, 8 en 11 en artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat het zich niet verzet tegen een nationale regeling die aanbieders van elektronischecommunicatiediensten verplicht om verkeers- en locatiegegevens in real time op te vragen, wanneer dat opvragen beperkt is tot personen ten aanzien van wie er een geldige reden bestaat om te vermoeden dat zij betrokken zijn bij terroristische activiteiten en zijn onderworpen aan voorafgaande toetsing door een rechterlijke instantie of onafhankelijke bestuurlijke autoriteit (punt 192 van dat arrest).

122

Hieruit volgt dat de situatie die aan de orde was in de zaak die heeft geleid tot het arrest van 6 oktober 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791), verschilt van de situatie die in casu aan de orde is. In casu gaat het er niet om te beoordelen in hoeverre het noodzakelijk is dat het verzamelen, door aanbieders van elektronischecommunicatiediensten, van verkeers- en locatiegegevens van gebruikers van wie wordt vermoed dat zij op de een of andere wijze betrokken zijn bij terroristische activiteiten, wordt onderworpen aan voorafgaande toetsing door een rechterlijke of bestuurlijke autoriteit, maar om te beoordelen of het feit dat het Amerikaanse recht niet voorziet in een verplichting voor de inlichtingendiensten om, voorafgaand aan het bulksgewijs verzamelen van persoonsgegevens die worden doorgegeven aan de Verenigde Staten, de toestemming van een rechterlijke of bestuurlijke autoriteit te verkrijgen, afbreuk doet aan de gegrondheid van de vaststelling van adequaatheid door de Commissie in het bestreden besluit.

123

Tegen deze achtergrond moet worden geconcludeerd dat de verwijzing naar het arrest van 6 oktober 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791), in casu niet relevant is.

124

Aan deze conclusie wordt niet afgedaan door de inaanmerkingneming van het arrest van 30 april 2024, La Quadrature du Net e.a. (Persoonsgegevens en bestrijding van namaak) (C‑470/21, EU:C:2024:370), waarover de partijen in de onderhavige zaak zijn verzocht om zich uit te spreken in het kader van een maatregel tot organisatie van de procesgang.

125

In de zaak die heeft geleid tot het arrest van 30 april 2024, La Quadrature du Net e.a. (Persoonsgegevens en bestrijding van namaak) (C‑470/21, EU:C:2024:370), was de rechtmatigheid aan de orde van de toegang van een nationale overheidsinstantie die belast is met de bescherming van auteursrechten en naburige rechten tegen op het internet gepleegde inbreuken op die rechten, tot gegevens betreffende de burgerlijke identiteit die zijn bewaard door de aanbieders van elektronischecommunicatiediensten en die overeenkomen met IP-adressen, met het oog op de bestrijding van namaak. Meer bepaald was deze toegang gerechtvaardigd gelet op de doelstelling van identificatie van de houder van een IP-adres die activiteiten had verricht die inbreuk maakten op auteursrechten of naburige rechten, aangezien hij beschermde werken illegaal op het internet ter beschikking had gesteld, opdat anderen deze konden downloaden. In die omstandigheden heeft het Hof geoordeeld dat een voorafgaande toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke autoriteit:

126

Hieruit volgt dat de zaak die heeft geleid tot het arrest van 30 april 2024, La Quadrature du Net e.a. (Persoonsgegevens en bestrijding van namaak) (C‑470/21, EU:C:2024:370), betrekking heeft op de toegang van de nationale autoriteiten tot een IP-adres met het oog op de bestrijding van namaak en dat een dergelijk voorwerp zich onderscheidt van het bulksgewijs verzamelen, door inlichtingendiensten, van persoonsgegevens die worden doorgegeven vanuit de Unie. Bijgevolg kan in het licht van dat arrest niet worden geoordeeld dat voorafgaande toestemming vereist is voor de bulksgewijze verzameling, door de Amerikaanse inlichtingendiensten, van persoonsgegevens die worden doorgegeven vanuit de Unie.

127

Bijgevolg moet het onderhavige argument worden verworpen.

128

Met zijn derde argument voert verzoeker in essentie aan dat het EHRM in het arrest van 25 mei 2021, Big Brother Watch e.a. tegen Verenigd Koninkrijk (CE:ECHR:2021:0525JUD005817013; hierna: „arrest Big Brother Watch”), heeft geoordeeld dat voor massale onderschepping van persoonsgegevens de voorafgaande toestemming van een onafhankelijke autoriteit vereist is vanaf het tijdstip waarop de doelstellingen en de omvang van de toezichtoperatie zijn omschreven. Volgens verzoeker is in casu voor het bulksgewijs verzamelen, door de Amerikaanse inlichtingendiensten, van persoonsgegevens die worden doorgegeven vanuit de Unie geen dergelijke voorafgaande toestemming vereist.

129

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers argument.

130

Opgemerkt zij dat de zaak die heeft geleid tot het arrest Big Brother Watch met name betrekking had op de verenigbaarheid, in het licht van artikel 8 EVRM, van het Britse stelsel van geheime surveillance dat inlichtingendiensten de mogelijkheid bood om op grote schaal elektronische communicatie en daarmee verband houdende communicatiegegevens te onderscheppen, dat wil zeggen verkeersgegevens over de onderschepte communicatie, die in beginsel buiten de Britse eilanden plaatsvond.

131

Bovendien moet, zoals blijkt uit de in punt 29 hierboven aangehaalde rechtspraak, aangezien artikel 8 EVRM evenals artikel 7 van het Handvest het recht op eerbiediging van het privéleven en van het familie- en gezinsleven vastlegt, bij de uitlegging van de draagwijdte van artikel 7 van het Handvest rekening worden gehouden met de rechtspraak van het EHRM over artikel 8 EVRM. Hieruit volgt dat, indien het Gerecht zou oordelen dat het arrest Big Brother Watch in casu relevant is, de overwegingen van het EHRM in dat arrest met betrekking tot de draagwijdte van artikel 8 EVRM in aanmerking moeten worden genomen bij de uitlegging van de draagwijdte van artikel 7 van het Handvest.

132

In dit verband zij eraan herinnerd dat het EHRM zich in het arrest Big Brother Watch heeft uitgesproken over de rechtmatigheid van de massale onderschepping door de Britse inlichtingendiensten van elektronische communicatie en daarmee verband houdende communicatiegegevens, die in beginsel buiten de Britse eilanden plaatsvond.

133

Zoals de partijen in de onderhavige zaak in hun antwoord op de maatregel tot organisatie van de procesgang en ter terechtzitting hebben opgemerkt, zijn de overwegingen van het EHRM in het arrest Big Brother Watch in casu relevant, aangezien de massale onderschepping van persoonsgegevens die aan de orde was in de zaak die tot dat arrest heeft geleid, kan worden geacht de bulksgewijze verzameling te omvatten waarop het bestreden besluit betrekking heeft.

134

Ten eerste moet worden opgemerkt dat, terwijl in de Franstalige versie van het arrest Big Brother Watch de uitdrukking „interception en massive” wordt gebruikt, in de Engelstalige versie de uitdrukking „bulk interception” wordt gebruikt, die meer overeenkomt met het Nederlandse begrip „bulksgewijze verzameling”.

135

Ten tweede is de onderschepping van inlichtingen die in het arrest Big Brother Watch aan de orde was, in tegenstelling tot gerichte onderschepping, door het EHRM gedefinieerd als een onderschepping die geen betrekking had op bepaalde personen, zodat zij een groot aantal personen en gerelateerde communicatiegegevens kon betreffen en dus een zeer ruime omvang kon hebben, aangezien deze onderschepping het met name mogelijk maakte om in het kader van externe inlichtingen informatie te verzamelen en nieuwe bedreigingen van bekende of onbekende actoren op te sporen. Bovendien was het EHRM van oordeel dat, gelet op het feit dat de massale onderschepping gericht was op bescherming van de nationale veiligheid, de bevoegde autoriteiten deze in het algemeen in het geheim uitvoerden, wat betekende dat zij slechts weinig of geen informatie over de werking van het systeem openbaar maakten (zie in die zin arrest Big Brother Watch, punt 322).

136

Ten derde heeft het EHRM in het arrest Big Brother Watch geoordeeld dat massale onderschepping – hoewel niet alle systemen daarvoor op hetzelfde model zijn gebaseerd en de uitvoeringsmodaliteiten ervan kunnen verschillen zonder altijd een strikte chronologische volgorde in acht te nemen – een geleidelijk proces is dat in wezen verloopt in de volgende vier fasen (hierna: „onderscheppingsfasen”):

137

Hieruit volgt dat een handeling bestaande in het bulksgewijs verzamelen van persoonsgegevens, zoals die waarop het bestreden besluit betrekking heeft, valt binnen de eerste door het EHRM in het arrest Big Brother Watch geïdentificeerde onderscheppingsfase, aangezien deze bestaat in de verzameling, met het oog op de bescherming van de nationale veiligheid, van de vanuit de Unie doorgevoerde persoonsgegevens van een groot aantal personen.

138

In deze context moeten uit het arrest Big Brother Watch consequenties worden getrokken in het kader van de beoordeling van de rechtmatigheid van een op grond van artikel 45, lid 3, AVG vastgesteld adequaatheidsbesluit, zoals het bestreden besluit.

139

In dit verband moet in de eerste plaats worden opgemerkt dat het EHRM in het arrest Big Brother Watch heeft aangegeven dat artikel 8 EVRM het gebruik van massale onderschepping ter bescherming van de nationale veiligheid of andere wezenlijke nationale belangen tegen ernstige externe bedreigingen, niet verbiedt, en dat de staten over een ruime beoordelingsmarge beschikken om te bepalen welk soort onderscheppingsregeling zij nodig hebben (arrest Big Brother Watch, punt 347).

140

In de tweede plaats heeft het EHRM erop gewezen dat de massale onderschepping van persoonsgegevens moet worden begrensd door meerdere integrale waarborgen, die samen de hoeksteen vormen van elk systeem voor massale onderschepping, te weten:

141

In de derde plaats heeft het EHRM verklaard dat artikel 8 EVRM weliswaar van toepassing is op elke fase van de onderschepping, maar de noodzaak om te voorzien in waarborgen toeneemt naarmate het proces deze verschillende fasen doorloopt en naarmate de intensiteit van de aantasting van het recht op eerbiediging van het privéleven daardoor groter wordt. Volgens het EHRM is het juist aan het einde van het proces, wanneer informatie over een specifieke persoon wordt geanalyseerd of de inhoud van de communicatie door een analist wordt onderzocht, meer dan ooit noodzakelijk dat er waarborgen zijn (zie in die zin arrest Big Brother Watch, punten 330 en 331).

142

In de vierde plaats heeft het EHRM geoordeeld dat, aangezien het in de praktijk niet haalbaar is om alle selectietermen te noemen die door de inlichtingendiensten worden gebruikt om de met voorafgaande toestemming verzamelde communicatie te filteren, de draagwijdte van die toestemming zodanig moet worden beperkt dat deze op zijn minst de te gebruiken soorten of categorieën selectietermen omvat (arrest Big Brother Watch, punt 354).

143

In casu zij er ten eerste aan herinnerd dat, zoals het Hof in de arresten Schrems I en Schrems II heeft geoordeeld, de Commissie zich er in het kader van een adequaatheidsbesluit niet van hoeft te vergewissen dat de relevante bepalingen van het derde land identiek zijn aan die welke in de Unie gelden, maar enkel dat zij in grote lijnen overeenkomen (zie de punten 19 en 20 hierboven).

144

Ten tweede moet worden geoordeeld dat, aangezien het bulksgewijs verzamelen van persoonsgegevens door de Amerikaanse inlichtingendiensten waartegen in het onderhavige geding wordt opgekomen kan worden gelijkgesteld met het onderscheppen van gegevens in het kader van de eerste van de door het EHRM in het arrest Big Brother Watch bedoelde onderscheppingsfasen, de noodzaak om voor deze specifieke fase van de bulksgewijze verzameling te voorzien in waarborgen die de discretionaire bevoegdheid van de inlichtingendiensten afbakenen, beperkter is, gelet op de context waarin de onderschepping plaatsvindt. In casu gaat het namelijk uitsluitend om de initiële bulksgewijze onderschepping van persoonsgegevens door de inlichtingendiensten, en niet om latere activiteiten, die niet het voorwerp van dit beroep vormen en in voorkomend geval kunnen bestaan in de toepassing van specifieke selectietermen, het onderzoeken van de verzamelde gegevens en het latere gebruik of de latere mededeling ervan.

145

Hieruit volgt dat het vereiste van voorafgaande toestemming niet de enige waarborg is waarmee de massale onderschepping van persoonsgegevens gepaard moet gaan, maar een van de elementen is die, samen beschouwd, de hoeksteen vormen van elke regeling voor massale onderschepping. In dit verband zij eraan herinnerd dat het geldende Amerikaanse recht voorziet in rechtsregels die voldoende duidelijk en nauwkeurig de uitvoering van het bulksgewijs verzamelen van persoonsgegevens door de Amerikaanse inlichtingendiensten regelen (zie de punten 107 tot en met 116 hierboven), en dat dit recht de personen van wie de gegevens worden doorgegeven het recht verleent op een doeltreffende voorziening in rechte bij de DPRC (zie de punten 33 tot en met 63 hierboven). Bovendien staat in de overwegingen 162 tot en met 169 van het bestreden besluit te lezen en wordt door verzoeker niet betwist dat op de inlichtingenactiviteiten van de inlichtingendiensten toezicht wordt gehouden door de PCLOB, die, zoals blijkt uit punt 54 hierboven, bij zijn oprichtingsstatuut is opgezet als een onafhankelijke instantie. Voorts staan deze activiteiten onder toezicht van, in de eerste plaats, juridische verantwoordelijken en afgevaardigden die binnen elke inlichtingendienst belast zijn met het toezicht op en de naleving van het recht op een doeltreffende voorziening in rechte, in de tweede plaats, de onafhankelijke inspecteur-generaal die voor elke inlichtingendienst belast is met het toezicht op de externe inlichtingenactiviteiten van die dienst, en, in de derde plaats, de Intelligence Oversight Board (toezichtsraad inzake inlichtingen, Verenigde Staten), die is opgericht binnen de President’s Intelligence Advisory Board (adviesraad van de president inzake inlichtingen, Verenigde Staten) en toezicht houdt op de naleving van de wet door de Amerikaanse autoriteiten alsmede, in de vierde plaats, de speciale commissies van het Amerikaanse Congres die toezicht uitoefenen op alle buitenlandse inlichtingenactiviteiten van de Verenigde Staten.

146

Gelet op deze overwegingen kan niet worden geconcludeerd dat het feit dat niet is voorzien in voorafgaande toestemming voor de initiële bulksgewijze verzameling, door de Amerikaanse inlichtingendiensten, van persoonsgegevens die vanuit de Unie worden doorgevoerd, volstaat om aan te nemen dat het recht van de Verenigde Staten, in het licht van de lering die is getrokken uit het arrest Big Brother Watch, geen waarborgen biedt die in grote lijnen overeenkomen met die waarin het Unierecht voorziet.

147

Het onderhavige argument moet dus worden verworpen.

148

Met zijn vierde argument voert verzoeker aan dat het Europees Comité voor gegevensbescherming (hierna: „EDPB”) in advies 5/2023 van 28 februari 2023 betreffende het ontwerp van uitvoeringsbesluit van de Europese Commissie inzake het passende niveau van bescherming van persoonsgegevens krachtens het EU-VS-kader voor gegevensbescherming (hierna: „advies 5/2023”) het belang onderstreept van het instellen van voorafgaande toestemming voor de bulksgewijze verzameling van persoonsgegevens. Volgens hem is in casu voor het bulksgewijs verzamelen, door de Amerikaanse inlichtingendiensten, van persoonsgegevens die worden doorgegeven vanuit de Unie geen voorafgaande toestemming vereist.

149

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers argument.

150

Opgemerkt zij dat de EDPB advies 5/2023 heeft uitgebracht op grond van artikel 70, lid 1, onder s), AVG. Volgens deze bepaling kan de EDPB, op eigen initiatief of op verzoek van de Commissie, ten behoeve van de Commissie advies uitbrengen om haar in staat te stellen te beoordelen of het beschermingsniveau in een derde land adequaat is.

151

Wanneer de EDPB handelt op grond van artikel 70, lid 1, AVG, vervult hij slechts een adviserende functie door het opstellen van adviezen, richtsnoeren, aanbevelingen, en aanbevelingen voor goede praktijken die geen bindende rechtsgevolgen sorteren (zie in die zin beschikking van de president van het Hof van 29 november 2023, EDPS/GAR, C‑413/23 P, niet gepubliceerd, EU:C:2023:1036, punt 11). Aangezien dit advies de Commissie dus niet bindt, blijft zij vrij om te beoordelen of het recht van het betrokken land over het geheel genomen een beschermingsniveau biedt dat in grote lijnen overeenkomt met het niveau dat door het Unierecht wordt gewaarborgd met betrekking tot de bulksgewijze verzameling van persoonsgegevens. Hoe dan ook moet worden vastgesteld dat de EDPB in dat advies niet heeft aangegeven dat het ontbreken van voorafgaande toetsing van het bulksgewijs verzamelen van persoonsgegevens noodzakelijkerwijs afbreuk deed aan de positieve beoordeling door de Commissie van de adequaatheid van het niveau van bescherming van persoonsgegevens krachtens het DPF. Integendeel, de EDPB heeft er in punt 165 van dat advies op gewezen dat deze beoordeling afhing van alle omstandigheden van het concrete geval en met name van de instelling door de Verenigde Staten van een rechterlijke toetsing achteraf en van een beroepsmechanisme.

152

In deze context kan op basis van advies 5/2023 niet worden geoordeeld dat voor de bulksgewijze verzameling, door de Amerikaanse inlichtingendiensten, van persoonsgegevens die worden doorgegeven vanuit de Unie voorafgaande toestemming vereist is en dat de door dat land geboden bescherming niet in grote lijnen overeenkomt met die welke door het Unierecht wordt gewaarborgd.

153

Bijgevolg moet het onderhavige argument, en dus de tweede grief van het tweede middel in haar geheel, worden verworpen.

154

Met de derde grief van zijn tweede middel voert verzoeker aan dat de Commissie de artikelen 7 en 8 van het Handvest heeft geschonden door in het bestreden besluit te oordelen dat de Verenigde Staten een beschermingsniveau bieden dat in grote lijnen overeenkomt met het niveau dat door het Unierecht wordt gewaarborgd krachtens de AVG, gelezen in het licht van het Handvest, terwijl EO 14086 de president van de Verenigde Staten om redenen van nationale veiligheid de mogelijkheid biedt om toe te staan dat de specifieke doelstellingen van de bulksgewijze verzameling in het geheim worden geactualiseerd. Meer bepaald is hij van mening dat, anders dan is geoordeeld in het arrest van het EHRM van 4 december 2015, Roman Zakharov tegen Rusland (CE:ECHR:2015:1204JUD004714306; hierna: „arrest Zakharov”), de toekenning aan die president van de bevoegdheid om deze specifieke doelstellingen te actualiseren, de personen op wie een doorgifte van persoonsgegevens betrekking heeft niet in staat stelt om nauwkeurig het rechtskader te identificeren waarbinnen deze gegevens in de Verenigde Staten worden verwerkt.

155

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers betoog.

156

Opgemerkt zij dat het EHRM in het arrest Zakharov heeft geoordeeld dat een inmenging in het grondrecht op eerbiediging van het privéleven en van het familie- en gezinsleven alleen kan worden gerechtvaardigd op grond van artikel 8, lid 2, EVRM indien deze bij wet is voorgeschreven (arrest Zakharov, punt 227). Volgens het EHRM betekent de uitdrukking „bij wet voorgeschreven” dat de litigieuze maatregel toegankelijk moet zijn voor de betrokken persoon en dat de gevolgen ervan voorzienbaar moeten zijn (arrest Zakharov, punt 228). Op het gebied van de onderschepping van communicatie betekent „voorzienbaarheid” niet dat een persoon in staat moet zijn te voorzien wanneer de autoriteiten zijn communicatie kunnen onderscheppen, maar dat de beperkingen van zijn recht op eerbiediging van het privéleven en van het familie- en gezinsleven in wezen moeten voortvloeien uit duidelijke regels (arrest Zakharov, punt 229).

157

Ook zij eraan herinnerd dat, overeenkomstig de in punt 29 hierboven aangehaalde rechtspraak, aangezien artikel 8 EVRM evenals artikel 7 van het Handvest het recht op eerbiediging van het privéleven en van het familie- en gezinsleven vastlegt, bij de uitlegging van de draagwijdte van artikel 7 van het Handvest, zoals in casu, rekening moet worden gehouden met de rechtspraak van het EHRM over artikel 8 EVRM, dus ook met het arrest Zakharov.

158

In dit verband blijkt uit deel 2, onder c), ii), C) van EO 14086 dat de aan de president van de Verenigde Staten geboden mogelijkheid om de lijst van de specifieke doelstellingen van de bulksgewijze verzameling te actualiseren, niet onbegrensd is, maar zich beperkt tot gevallen waarin die actualisering noodzakelijk is omdat zich nieuwe vereisten in verband met de nationale veiligheid voordoen, zoals nieuwe of grotere bedreigingen voor de nationale veiligheid, ten aanzien waarvan de bulksgewijze verzameling van persoonsgegevens zou kunnen worden ingezet. Daarnaast blijkt uit deze bepaling en is door de Verenigde Staten ter terechtzitting bevestigd dat de actualisering van die specifieke doelstellingen door de president niet geheim is, maar wordt bekendgemaakt door de Director of National Intelligence, tenzij de president van mening is dat bekendmaking op zichzelf een gevaar zou vormen voor de nationale veiligheid van zijn land. Bovendien is de bulksgewijze verzameling zelfs in dat geval onderworpen aan alle waarborgen en beperkingen waarin EO 14086 voorziet en wordt, indien een betrokkene een klacht betreffende persoonsgegevens indient, deze klacht door de CLPO gemonitord en, in voorkomend geval, getoetst door de DPRC.

159

In deze context kan niet worden geoordeeld dat de aan de president van de Verenigde Staten verleende bevoegdheid om de lijst van specifieke doelstellingen voor de bulksgewijze verzameling te actualiseren, in strijd is met de vereisten die het EHRM in het arrest Zakharov heeft geformuleerd.

160

Bijgevolg moet de derde grief van het tweede middel, en dus dit middel in zijn geheel, worden afgewezen.

161

Met zijn vierde middel betoogt verzoeker dat de Commissie artikel 22 AVG heeft geschonden omdat zij in het bestreden besluit geen bepaling heeft opgenomen op grond waarvan de betrokkenen het recht hebben niet te worden onderworpen aan uitsluitend op geautomatiseerde verwerking van persoonsgegevens, waaronder profilering, gebaseerde besluiten waaraan voor hen rechtsgevolgen zijn verbonden of die hen in aanmerkelijke mate treffen (hierna: „volledig geautomatiseerde besluiten”).

162

Vooraf zij opgemerkt dat artikel 22 AVG het volgende bepaalt:

„1.   De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

2.   Lid 1 geldt niet indien het besluit:

163

Tevens moet worden opgemerkt dat het begrip „profilering”, dat voorkomt in artikel 22, lid 1, AVG, in artikel 4, punt 4, van deze verordening wordt gedefinieerd als „elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen”.

164

Hieruit volgt dat volgens artikel 22 AVG iedere betrokkene het recht heeft om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking van persoonsgegevens gebaseerd besluit, onder meer wanneer die maatregel bestaat in het analyseren en voorspellen van bepaalde aspecten van zijn gedrag.

165

Uit het bestreden besluit blijkt echter dat het niet specifiek betrekking heeft op de kwestie van volledig geautomatiseerde besluiten.

166

Derhalve moet worden beslist of een dergelijke omissie de rechtmatigheid van het bestreden besluit kan aantasten door afbreuk te doen aan de conclusie in artikel 1 van dit besluit dat de Verenigde Staten een passend niveau van bescherming van persoonsgegevens bieden.

167

De drie grieven die verzoeker ter ondersteuning van zijn vierde middel heeft aangevoerd, dienen in deze context te worden geanalyseerd, te beginnen met de eerste en de derde grief, die samen moeten worden onderzocht.

168

Met de eerste en de derde grief van zijn vierde middel betoogt verzoeker ten eerste dat het feit dat volledig geautomatiseerde besluiten in het algemeen worden vastgesteld door verwerkingsverantwoordelijken, op wie, aangezien zij in de Unie gevestigd zijn, de AVG van toepassing is, geen garantie biedt voor de overige gevallen. Ten tweede merkt hij op dat in casu irrelevant is dat het Amerikaanse recht sectorale bescherming biedt voor gevallen waarin de vaststelling van dergelijke besluiten niet binnen de werkingssfeer van deze verordening valt, aangezien uit deze omstandigheid niet kan worden afgeleid dat de bescherming die dit land voor alle volledig geautomatiseerde besluiten biedt, in het algemeen overeenkomt met die welke door artikel 22 AVG wordt gewaarborgd.

169

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers betoog.

170

Opgemerkt zij dat uit overweging 33 van het bestreden besluit blijkt dat in geval van doorgifte van persoonsgegevens van de Unie naar de Verenigde Staten drie situaties moeten worden onderscheiden wat de vaststelling van volledig geautomatiseerde besluiten betreft.

171

In de eerste plaats kunnen volledig geautomatiseerde besluiten worden vastgesteld door een in de Unie gevestigde verwerkingsverantwoordelijke die de persoonsgegevens van de betrokkenen in de Unie heeft verzameld. In dit verband moet worden opgemerkt dat artikel 4, punt 7, AVG de verwerkingsverantwoordelijke definieert als een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. In die situatie moet de verwerkingsverantwoordelijke, aangezien hij aan deze verordening is onderworpen krachtens artikel 3, lid 1, AVG, voldoen aan de in artikel 22 ervan gestelde vereisten met betrekking tot dergelijke besluiten.

172

In de tweede plaats kunnen volledig geautomatiseerde besluiten worden vastgesteld door een in een derde land gevestigde verwerker die optreedt namens de in de Unie gevestigde verwerkingsverantwoordelijke die de door hem in de Unie verzamelde persoonsgegevens aan hem heeft doorgegeven, of door een subverwerker die handelt namens de in de Unie gevestigde verwerker die de door hem in de Unie verzamelde gegevens aan hem heeft doorgegeven. In dit verband moet worden opgemerkt dat artikel 4, punt 8, AVG de verwerker definieert als een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. In die situaties zijn buitenlandse verwerkers, aangezien zij namens de verwerkingsverantwoordelijke of de verwerker in de Unie handelen, aan deze verordening onderworpen krachtens artikel 3, lid 1, ervan. In geval van dergelijke besluiten moeten de verwerkingsverantwoordelijke en de verwerker dus voldoen aan de vereisten van artikel 22 van deze verordening.

173

In de derde plaats kunnen volledig geautomatiseerde besluiten worden vastgesteld door een verwerkingsverantwoordelijke of verwerker die buiten de Unie is gevestigd maar zich tot betrokkenen in de Unie richt door hun goederen of diensten aan te bieden of hun gedrag te volgen. Volgens artikel 3, lid 2, AVG is in die situatie de verordening van toepassing op de buitenlandse verwerkingsverantwoordelijke of verwerker. In geval van volledig geautomatiseerde besluiten moeten zij dus voldoen aan de vereisten van artikel 22 van deze verordening.

174

Hieruit volgt dat uit het bestreden besluit blijkt dat de situaties waarin volledig geautomatiseerde besluiten niet binnen de werkingssfeer van artikel 22 AVG vallen, incidenteel van aard zijn en zich beperken tot de situatie waarin de DPF‑organisaties de persoonsgegevens rechtstreeks in de Unie verzamelen, zonder de Unieburgers evenwel goederen of diensten aan te bieden en hun gedrag te volgen in de zin van artikel 3, lid 2, van deze verordening.

175

Uit de overwegingen 35 en 36 van het bestreden besluit blijkt, en door verzoeker wordt niet betwist, dat de Amerikaanse wetgeving in die situaties sectorale bescherming biedt die vergelijkbaar is met die waarin de AVG voorziet op gebieden als kredietverschaffing, aanbiedingen van hypothecaire leningen, aanwerving, werkgelegenheid, huisvesting en verzekeringen, waarin het waarschijnlijker is dat DPF-organisaties volledig geautomatiseerde besluiten vaststellen.

176

Op het gebied van consumentenkrediet bijvoorbeeld bevatten de Fair Credit Reporting Act (wet billijke kredietrapportage) en de Equal Credit Opportunity Act (wet gelijke kredietkansen) waarborgen die de consument een vorm van recht op uitleg bieden evenals een recht om volledig geautomatiseerde besluiten aan te vechten. Deze wetten gelden voor een groot aantal gebieden, zoals krediet, werkgelegenheid, huisvesting en verzekeringen. Bovendien beschermen titel VII van de Civil Rights Act (wet burgerrechten) en de Fair Housing Act (wet billijke huisvesting) natuurlijke personen tegen bij volledig geautomatiseerde besluiten gehanteerde modellen die kunnen leiden tot discriminatie op grond van bepaalde kenmerken, en verlenen zij het recht om dergelijke besluiten aan te vechten. Met betrekking tot gezondheidsinformatie vereisen voorts de regels die de Amerikaanse autoriteiten hebben vastgesteld ter uitvoering van de Health Insurance Portability and Accountability Act (wet overdraagbaarheid en verantwoording zorgverzekeringen) dat medische zorgverleners informatie ontvangen aan de hand waarvan zij personen op de hoogte kunnen stellen van geautomatiseerde besluitvormingssystemen die in de medische sector worden gebruikt.

177

In deze context kan, anders dan verzoeker betoogt, niet worden geoordeeld dat de sectorale bescherming waarin het Amerikaanse recht voorziet in casu irrelevant is omdat deze niet dezelfde algemene strekking heeft als artikel 22 AVG.

178

In dit verband zij eraan herinnerd dat het Hof in de arresten Schrems I en Schrems II heeft geoordeeld dat de uitdrukking „passend beschermingsniveau” in artikel 45, lid 1, AVG aldus moet worden opgevat dat het – zonder te eisen dat het betrokken derde land hetzelfde beschermingsniveau waarborgt als de rechtsorde van de Unie – vereist dat dit derde land, op grond van zijn nationale wetgeving of internationale verbintenissen, daadwerkelijk een niveau van bescherming van de vrijheden en grondrechten waarborgt dat in grote lijnen overeenkomt met het niveau dat binnen de Unie wordt gewaarborgd krachtens de AVG, gelezen in het licht van het Handvest (zie de punten 19 en 20 hierboven).

179

Bovendien heeft het Hof in het arrest Schrems I geoordeeld dat, ook al kunnen de middelen waarmee het derde land een passend niveau van bescherming van persoonsgegevens waarborgt, anders zijn dan die welke binnen de Unie worden ingezet, deze middelen in de praktijk niettemin doeltreffend genoeg moeten blijken om een bescherming te bieden die in grote lijnen overeenkomt met die welke binnen de Unie wordt gewaarborgd (zie punt 20 hierboven).

180

Gelet op een en ander moeten de eerste en de derde grief van het vierde middel worden verworpen.

181

Met de tweede grief van zijn vierde middel betoogt verzoeker dat in casu irrelevant is dat in de in overweging 34 van het bestreden besluit aangehaalde studie betreffende volledig geautomatiseerde besluiten, waartoe de Commissie in 2018 opdracht had gegeven en waarvan de resultaten zijn opgenomen in punt 4.1.5 van verslag COM(2018) 860 final van de Commissie aan het Europees Parlement en de Raad van 19 december 2018 over de tweede evaluatie van de werking van het EU‑VS‑privacyschild (hierna: „studie van 2018”), is geconcludeerd dat er geen bewijs was van het bestaan van volledig geautomatiseerde besluiten van in de Verenigde Staten gevestigde organisaties die deelnamen aan het privacyschild. Meer bepaald voert hij aan dat die studie verwijst naar het adequaatheidsbesluit betreffende het privacyschild, dat het Hof nietig heeft verklaard in het arrest Schrems II, en geen rekening houdt met de huidige situatie die wordt gekenmerkt door een uiterst snelle ontwikkeling van volledig geautomatiseerde diensten op basis van kunstmatige intelligentie.

182

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers betoog.

183

Uit de studie van 2018 blijkt met name dat er toentertijd geen gegevens voorhanden waren op grond waarvan kon worden aangenomen dat de in de Verenigde Staten gevestigde ondernemingen die deelnamen aan het privacyschild volledig geautomatiseerde besluiten hadden genomen, en dat de Verenigde Staten sectorale wetgeving hadden ingevoerd op gebieden waarop het waarschijnlijker was dat volledig geautomatiseerde besluiten zouden worden genomen, zoals consumentenkrediet, werkgelegenheid, huisvesting, verzekeringen en gezondheidszorg.

184

In dit verband moet in de eerste plaats worden opgemerkt dat de studie van 2018 niet wordt genoemd in het adequaatheidsbesluit betreffende het privacyschild en na de inwerkingtreding van dat besluit is verricht in opdracht van de Commissie. Het feit dat het Hof dit besluit nietig heeft verklaard in het arrest Schrems II, is in casu dus irrelevant. Bovendien was de nietigverklaring van dit besluit door het Hof in het arrest Schrems II niet gebaseerd op in die studie vermelde gegevens.

185

In de tweede plaats is in de studie van 2018 weliswaar geen rekening gehouden met de feitelijke en juridische situatie in de Verenigde Staten in 2023, op het tijdstip van vaststelling van het bestreden besluit, maar met die in 2018, toen deze studie werd uitgevoerd. De omstandigheid dat organisaties in de Verenigde Staten die deelnemen aan het privacyschild slechts in een beperkt aantal gevallen volledig geautomatiseerde besluiten hebben genomen, is evenwel bevestigd in verslag COM(2019) 495 final van de Commissie aan het Europees Parlement en de Raad van 23 oktober 2019 over de derde jaarlijkse evaluatie van de werking van het EU-VS-privacyschild. In dat verslag is namelijk met name aangegeven dat slechts een beperkt aantal van de in de Verenigde Staten gevestigde organisaties die aan het privacyschild deelnamen volledig geautomatiseerde besluiten hadden genomen en dat de door die organisaties genomen besluiten over het algemeen geen rechtsgevolgen hadden noch andere gevolgen teweegbrachten voor de betrokkenen.

186

In de derde plaats moet worden opgemerkt dat verzoeker in zijn stukken geen enkel bewijs heeft aangedragen op grond waarvan kan worden geoordeeld dat in de Verenigde Staten gevestigde organisaties na de uitvoering van de studie van 2018 volledig geautomatiseerde besluiten hebben genomen, en dat hij niet rechtens genoegzaam heeft uitgelegd waarom de ontwikkeling van kunstmatige intelligentie die studie irrelevant zou maken.

187

In deze context moet de tweede grief van het vierde middel, en dus dit middel in zijn geheel, worden afgewezen.

188

Met zijn vijfde middel voert verzoeker aan dat de Commissie artikel 32 AVG, gelezen in samenhang met artikel 45, lid 2, AVG, heeft geschonden door in het bestreden besluit vast te stellen dat de Verenigde Staten een beschermingsniveau bieden dat in grote lijnen overeenkomt met het niveau dat in de Unie wordt gewaarborgd met betrekking tot de invoering, door in de Verenigde Staten gevestigde verwerkingsverantwoordelijken en verwerkers, van passende technische en organisatorische maatregelen ter waarborging van de beveiliging van de verwerking van persoonsgegevens die vanuit de Unie naar dat land worden doorgegeven.

189

In dit verband merkt verzoeker in de eerste plaats op dat in punt II.4, onder a), van bijlage I bij het bestreden besluit enkel is bepaald dat DPF-organisaties uitsluitend bij het creëren, bewaren, gebruiken of verspreiden van persoonsgegevens redelijke en passende beveiligingsmaatregelen moeten nemen. Er is dus geen enkele beveiligingsmaatregel vereist wanneer deze organisaties persoonsgegevens uit de Unie raadplegen. Verzoeker betoogt dat raadpleging nochtans deel uitmaakt van de bewerkingen die vallen onder het begrip „verwerking” van persoonsgegevens in de zin van artikel 4, punt 2, AVG.

190

In de tweede plaats betoogt verzoeker dat punt III.6, onder f), van bijlage I bij het bestreden besluit voorziet in de verplichting voor in de Verenigde Staten gevestigde organisaties die niet meer aan het DPF deelnemen, om de in dit besluit vastgelegde beginselen, waaronder de beginselen inzake de beveiliging van de verwerking, te blijven eerbiedigen zolang zij persoonsgegevens opslaan, gebruiken of openbaar maken die vanuit de Unie naar de Verenigde Staten zijn doorgegeven, maar geen dergelijke verplichting oplegt voor het raadplegen van persoonsgegevens door die organisaties.

191

De Commissie, ondersteund door Ierland en de Verenigde Staten, betwist verzoekers betoog.

192

Vooraf zij er om te beginnen aan herinnerd dat artikel 32 AVG luidt als volgt:

„1.   Rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, treffen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer het volgende omvatten:

2.   Bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met de verwerkingsrisico’s, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig.”

193

Voorts wordt het in artikel 32 AVG gehanteerde begrip „verwerking” in artikel 4, punt 2, AVG gedefinieerd als „een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”.

194

Volgens de rechtspraak blijkt met name uit de woorden „een bewerking” in artikel 4, punt 2, AVG dat de Uniewetgever aan het begrip „verwerking” een ruime strekking heeft willen geven. Deze uitlegging vindt steun in het feit dat de in die bepaling opgesomde bewerkingen niet uitputtend zijn, wat tot uitdrukking komt in het woord „zoals” (zie arrest van 7 maart 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, punt 29 en aldaar aangehaalde rechtspraak).

195

Ten slotte moet worden opgemerkt dat de Commissie bij de beoordeling van het door een derde land geboden beschermingsniveau krachtens artikel 45, lid 2, onder a), AVG onder meer rekening moet houden met de veiligheidsmaatregelen die dat land met betrekking tot persoonsgegevens heeft getroffen.

196

De twee argumenten die verzoeker ter ondersteuning van het onderhavige middel heeft aangevoerd, moeten in deze context en gezamenlijk worden onderzocht.

197

In dit verband zij eraan herinnerd dat punt II.4, onder a), van bijlage I bij het bestreden besluit als volgt is verwoord:

„Organisaties die persoonlijke informatie creëren, bewaren, gebruiken of verspreiden moeten redelijke en passende maatregelen nemen om deze te beschermen tegen verlies, misbruik en onbevoegde toegang, bekendmaking, wijziging of vernietiging, daarbij rekening houdend met de specifieke risico’s in verband met de verwerking van en de aard van persoonsgegevens.”

198

Voorts luidt punt III.6, onder f), van bijlage I bij het bestreden besluit als volgt:

„Een organisatie moet de beginselen toepassen op alle vanuit de EU op basis van het [DPF] ontvangen persoonsgegevens. Voor persoonsgegevens die worden ontvangen tijdens de periode waarin de organisatie de voordelen van het [DPF] geniet, is de verplichting de beginselen na te leven niet in de tijd beperkt; deze beginselen blijven op die gegevens van toepassing zolang de organisatie ze opslaat, gebruikt of openbaar maakt, zelfs indien de organisatie nadien om enigerlei reden niet langer aan het [DPF] deelneemt. [...]”

199

Hieruit volgt dat punt II.4, onder a) en punt III.6, onder f), van bijlage I bij het bestreden besluit geen betrekking hebben op elke vorm van verwerking van persoonsgegevens in de zin van artikel 4, punt 2, AVG. Integendeel, ten eerste beperkt het eerstgenoemde punt de verplichting van DPF-organisaties om veiligheidsmaatregelen vast te stellen tot enkel de gevallen waarin zij persoonsgegevens bewaren, creëren, gebruiken of verspreiden. Ten tweede bepaalt het tweede genoemde punt dat organisaties die niet meer aan het DPF deelnemen de in het bestreden besluit vervatte beginselen moeten blijven toepassen zolang zij persoonsgegevens die vanuit de Unie naar de Verenigde Staten zijn doorgegeven, opslaan, gebruiken of openbaar maken.

200

Ten eerste zij eraan herinnerd dat het Hof in de arresten Schrems I en Schrems II heeft geoordeeld dat het derde land niet dezelfde rechtsbescherming behoeft te bieden als die welke in de rechtsorde van de Unie wordt gewaarborgd (zie de punten 19 en 20 hierboven). Hieruit volgt dat, hoewel de Commissie in het bestreden besluit van mening is dat het ten tijde van de vaststelling van dit besluit geldende recht van de Verenigde Staten een beschermingsniveau waarborgt dat in grote lijnen overeenkomt met dat waarin het Unierecht voorziet, het niet noodzakelijk is dat dit besluit exact dezelfde bewoordingen bevat als die in de AVG.

201

Ten tweede moeten de beginselen in punt II.4, onder a), van bijlage I bij het bestreden besluit worden uitgelegd in het licht van de elementen in overweging 23 van dit besluit, waarin, op een vergelijkbare wijze als in artikel 32 AVG, staat te lezen:

„Persoonsgegevens moeten ook op een dusdanige manier worden verwerkt dat de beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Daartoe moeten verwerkingsverantwoordelijken en verwerkers passende technische of organisatorische maatregelen treffen om de persoonsgegevens te beschermen tegen mogelijke bedreigingen. Deze maatregelen moeten worden beoordeeld met inachtneming van de stand van de techniek, de daaraan verbonden kosten en de aard, de reikwijdte, de context en de doeleinden van de verwerking, alsmede de risico’s voor de rechten van natuurlijke personen.”

202

Ten derde zij opgemerkt dat de termen „creëren”, „bewaren”, „gebruiken” en „verspreiden” in punt II.4, onder a), van bijlage I bij het bestreden besluit, alsmede de termen „opslaan”, „gebruiken” en „openbaar maken” in punt III.6, onder f), van deze bijlage specifieke uitingen zijn van de activiteit bestaande in de „verwerking” van persoonsgegevens in de zin van artikel 32 AVG, en dat zij, net zoals dit artikel, een breed scala aan activiteiten met betrekking tot persoonsgegevens beogen te bestrijken.

203

Ten vierde wordt de term „gebruiken”, die zowel in punt II.4, onder a), van bijlage I bij het bestreden besluit als in punt III.6, onder f), van die bijlage voorkomt, gedefinieerd als het gebruik van iets voor een specifiek doel of gebruik. In dit verband omvat het gebruik van persoonsgegevens de raadpleging ervan, aangezien het, om gebruik te kunnen maken van gegevens, per definitie noodzakelijk is om eerst toegang tot die gegevens te hebben en deze dus te raadplegen. Hieruit volgt dat verzoekers argument dat het bestreden besluit geen enkele beveiligingsmaatregel vereist wanneer DPF-organisaties persoonsgegevens uit de Unie raadplegen, ongegrond is.

204

Gelet op een en ander moet het vijfde middel worden afgewezen en moet het beroep dus in zijn geheel worden verworpen.

205

Volgens artikel 134, lid 1, van het Reglement voor de procesvoering wordt de in het ongelijk gestelde partij verwezen in de kosten, voor zover dat is gevorderd.

206

Aangezien verzoeker in het ongelijk is gesteld, dient hij overeenkomstig de vordering van de Commissie te worden verwezen in zijn eigen kosten en in die van de Commissie, met inbegrip van de kosten van de procedure in kort geding.

207

Verder dragen op grond van artikel 138, lid 1, van het Reglement voor de procesvoering de lidstaten en de instellingen die in het geding hebben geïntervenieerd, hun eigen kosten. Ierland zal dus zijn eigen kosten dragen.

208

Voorts kan het Gerecht volgens artikel 138, lid 3, van het Reglement voor de procesvoering bepalen dat andere interveniënten dan de in de leden 1 en 2 van dat artikel bedoelde, hun eigen kosten zullen dragen. In het onderhavige geval moet worden beslist dat de Verenigde Staten van Amerika hun eigen kosten zullen dragen.

HET GERECHT (Tiende kamer – uitgebreid),

rechtdoende, verklaart: