Sprawa C-311/18: Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez High Court (Irlandia) w dniu 9 maja 2018 r. – Data Protection Commissioner / Facebook Ireland Limited, Maximillian Schrems
Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez High Court (Irlandia) w dniu 9 maja 2018 r. – Data Protection Commissioner / Facebook Ireland Limited, Maximillian Schrems
(Sprawa C-311/18)
2018/C 249/21Język postępowania: angielskiSąd odsyłający
High Court (Irlandia)
Strony w postępowaniu głównym
Strona skarżąca: Data Protection Commissioner
Strona przeciwna: Facebook Ireland Limited, Maximillian Schrems
Pytania prejudycjalne
1. |
W sytuacji, gdy dane osobowe są przekazywane przez prywatne przedsiębiorstwo z państwa członkowskiego Unii Europejskiej do prywatnego przedsiębiorstwa w państwie trzecim w celach komercyjnych na podstawie decyzji 2010/87/UE ( 1 ) w brzmieniu zmienionym decyzją Komisji 2016/2297 ( 2 ) i mogą być dalej przetwarzane w tym państwie trzecim przez jego organy dla celów bezpieczeństwa narodowego, ale także dla celów egzekwowania prawa i prowadzenia spraw zagranicznych w tym kraju trzecim, czy prawo Unii Europejskiej (w tym także Karta praw podstawowych Unii Europejskiej, zwana dalej „kartą”) ma zastosowanie do przekazywania danych niezależnie od postanowień art. 4 ust. 2 TUE w odniesieniu do bezpieczeństwa narodowego i od postanowień art. 3 ust. 2 tiret pierwsze dyrektywy 95/46/WE ( 3 ) (zwanej dalej „dyrektywą”) w odniesieniu do bezpieczeństwa publicznego, obronności i bezpieczeństwa państwa? |
2. |
|
3. |
Przy ocenie, czy państwo trzecie zapewnia poziom ochrony wymagany przez prawo Unii Europejskiej dla danych osobowych przekazywanych do tego państwa w rozumieniu art. 26 dyrektywy, czy poziom ochrony w państwie trzecim powinien być oceniany poprzez odniesienie do:
|
4. |
Przy uwzględnieniu stanu faktycznego ustalonego przez High Court w odniesieniu do prawa Stanów Zjednoczonych, czy przekazywanie danych osobowych z Unii Europejskiej do Stanów Zjednoczonych na podstawie decyzji 2010/87/UE narusza prawa osób fizycznych wynikające z art. 7 i/lub 8 karty? |
5. |
Przy uwzględnieniu stanu faktycznego ustalonego przez High Court w odniesieniu do prawa Stanów Zjednoczonych, jeżeli dane osobowe są przekazywane z Unii Europejskiej do Stanów Zjednoczonych na podstawie decyzji 2010/87/UE:
|
6. |
|
7. |
Czy okoliczność, że standardowe klauzule umowne obowiązują pomiędzy podmiotem przekazującym a odbierającym dane i nie są wiążące dla władz krajowych państwa trzeciego, które mogą wymagać od podmiotu odbierającego dane udostępniania jego służbom bezpieczeństwa w celu dalszego przetwarzania danych osobowych przekazywanych na mocy klauzul przewidzianych w decyzji 2010/87/UE, wyklucza zapewnienie przez te klauzule odpowiednich zabezpieczeń zgodnie z art. 26 ust. 2 dyrektywy? |
8. |
Jeżeli podmiot odbierający dane w państwie trzecim jest objęty przepisami dotyczącymi nadzoru, które zdaniem organu ochrony danych są sprzeczne z klauzulami załącznika do decyzji 2010/87/UE lub art. 25 i 26 dyrektywy i/lub kartą, czy organ ds. ochrony danych jest zobowiązany do skorzystania ze swoich uprawnień wykonawczych zgodnie z art. 28 ust. 3 dyrektywy w celu zawieszenia przepływu danych, czy też wykonywanie tych uprawnień jest ograniczone do sytuacji wyjątkowych, w świetle motywu 11 dyrektywy, względnie czy organ ochrony danych w ramach swobodnego uznania może nie zawieszać przepływu danych? |
9. |
|
10. |
Przy uwzględnieniu ustaleń High Court w odniesieniu do prawa Stanów Zjednoczonych, czy powołanie Rzecznika ds. Tarczy Prywatności zgodnie z załącznikiem A do załącznika III do decyzji w sprawie Tarczy Prywatności, w związku z istniejącym systemem w Stanach Zjednoczonych zapewnia, że prawo Stanów Zjednoczonych przewiduje środek ochrony prawnej dla osób, których dane osobowe są przekazywane do Stanów Zjednoczonych na podstawie decyzji 2010/87/UE, zgodny z art. 47 karty? |
11. |
Czy decyzja 2010/87/UE narusza art. 7, 8 i/lub 47 karty? |
( 1 ) Decyzja Komisji z dnia 5 lutego 2010 r. w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych podmiotom przetwarzającym dane mającym siedzibę w krajach trzecich na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady (Dz.U. 2010, L 39, s. 5).
( 2 ) Decyzja wykonawcza Komisji (UE) 2016/2297 z dnia 16 grudnia 2016 r. zmieniająca decyzje 2001/497/WE i 2010/87/UE w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych państwom trzecim oraz podmiotom przetwarzającym dane mającym siedzibę w takich państwach, na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady (Dz.U. 2016, L 344, s. 100).
( 3 ) Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31).
( 4 ) Decyzja wykonawcza Komisji (UE) 2016/1250 z dnia 12 lipca 2016 r. przyjęta na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady, w sprawie adekwatności ochrony zapewnianej przez Tarczę Prywatności UE-USA (Dz.U. 2016, L 207, s. 1).