Mål T‑553/23

Philippe Latombe

mot

Europeiska kommissionen

Tribunalens dom av den 3 september 2025

”Överföring av personuppgifter till Förenta staterna – Kommissionens genomförandebeslut i vilket det fastställs att den skyddsnivå för personuppgifter som Förenta staterna säkerställer är adekvat – Rätten till ett effektivt rättsmedel – Rätten till privat- och familjeliv – Beslut som uteslutande grundar sig på automatisk behandling av personuppgifter – Säkerhet vid behandling av personuppgifter”

Talan om ogiltigförklaring – Villkor för att ansökan ska tas upp till prövning – Ogillande av en talan i sak utan föregående prövning av huruvida talan kan tas upp till prövning – Unionsdomstolens utrymme för skönsmässig bedömning

(Artikel 263 FEUF)

(se punkterna 14 och 15)
Talan om ogiltigförklaring – Lagenlighetsprövning – Kriterier – Endast de faktiska och rättsliga omständigheter som förelåg vid tidpunkten för antagandet av den omtvistade rättsakten ska beaktas

(Artikel 263 FEUF)

(se punkt 22)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Överföring av personuppgifter till tredjeland – Kommissionens beslut i vilket det konstateras att en adekvat skyddsnivå är säkerställd i ett tredjeland – Beslut 2023/1795 i vilket det konstateras att Förenta staterna säkerställer en adekvat skyddsnivå – Åsidosättande av rätten till ett effektivt domstolsskydd – Åsidosättande av rätten att få sin sak prövad av en oavhängig och opartisk domstol som har inrättats enligt lag – Föreligger inte

(Artikel 2 FEU; Europeiska unionens stadga om de grundläggande rättigheterna, artikel 47 andra stycket; Europaparlamentets och rådets direktiv 2016/679, artikel 45.2)

(se punkterna 24, 35–37, 39, 42, 46, 51, 53–58, 60, 62, 64 och 66–82)
Grundläggande rättigheter – Rätt till ett effektivt domstolsskydd – Stadfäst i artikel 47 andra stycket i stadgan om de grundläggande rättigheterna och artikel 6.1 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna – Samma innebörd och räckvidd – Den skyddsnivå som säkerställs genom stadgan står inte i strid med det skydd som garanteras i nämnda konvention

(Artikel 6.3 FEUF; Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 47 andra stycket och 52.3)

(se punkterna 27–30)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Överföring av personuppgifter till tredjeland – Kommissionens beslut i vilket det konstateras att en adekvat skyddsnivå är säkerställd i ett tredjeland – Beslut 2023/1795 i vilket det konstateras att Förenta staterna säkerställer en adekvat skyddsnivå – Insamling i bulk, som utförs av Förenta staternas underrättelsetjänster, av personuppgifter under transitering från unionen – Åsidosättande av de grundläggande rättigheterna om respekt för privatlivet och skydd för personuppgifter – Föreligger inte – Villkor

(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7 och 8; Europaparlamentets och rådets direktiv 2016/679, artikel 45)

(se punkterna 83, 92, 98, 105–108, 113, 117, 119, 122, 123, 128, 137–146, 148 och 150–153)

Resumé

Tribunalen (tionde avdelningen i utökad sammansättning) ogillar den talan om ogiltigförklaring som väckts av en fransk medborgare mot Europeiska kommissionens beslut om adekvat skyddsnivå, genom vilket den nya transatlantiska ramen för flöden av personuppgifter mellan Europeiska unionen och Förenta staterna inrättas ( 1 ). Tribunalen lämnar härigenom, samtidigt som den följer domstolens praxis på området, ( 2 ) upplysningar om bedömningen av opartiskheten och oberoendet hos Data Protection Review Court ( 3 ) (domstolen för granskning av uppgiftsskydd, Amerikas förenta stater) (nedan kallad DPRC) och om lagenligheten av den bulkinsamling av personuppgifter som transiteras från unionen som utförs av underrättelsetjänsterna i detta land.

I domarna Schrems I och Schrems II ogiltigförklarade domstolen de två tidigare besluten om adekvat skyddsnivå med motiveringen att systemet med Safe Harbor och systemet med skölden för skydd av privatlivet, vilka reglerar överföring av personuppgifter från unionen till Förenta staterna, inte garanterar en skyddsnivå för grundläggande fri- och rättigheter som är väsentligen likvärdig med den som garanteras i unionsrätten. Till följd av dessa domar inledde kommissionen samtal med den amerikanska regeringen i syfte att fatta ett eventuellt nytt beslut om adekvat skyddsnivå som skulle uppfylla kraven i dataskyddsförordningen ( 4 ), såsom dessa har tolkats av EU-domstolen.

Den 7 oktober 2022 antog Amerikas förenta stater Executive Order 14086 (presidentdekret nr 14086) (nedan kallat E.O. 14086), som skärper de åtgärder för skydd av privatlivet som ska följas inom ramen för den signalspaningsverksamhet som utförs av underrättelsetjänster som är etablerade i Förenta staterna. Detta dekret kompletterades av Attorney General Order 28 CFR Part 201 (justitieministerns förordning 28 CFR Part 201) (nedan kallad justitieministerns förordning), genom vilken bestämmelserna om inrättandet av DPRC och dess verksamhet ändrades.

Efter att ha granskat denna utveckling av lagstiftningen antog kommissionen det angripna beslutet den 10 juli 2023. Med anledning av förevarande talan om ogiltigförklaring har tribunalen att pröva lagenligheten av detta beslut, bland annat mot bakgrund av dataskyddsförordningen och Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).

Tribunalens bedömning

Tribunalen uttalar sig först i frågan huruvida kommissionen har åsidosatt artikel 47 andra stycket i stadgan och artikel 45.2 i dataskyddsförordningen, eftersom kommissionen i det angripna beslutet fann att DPRC erbjuder en ”adekvat skyddsnivå” vad gäller unionsmedborgarnas rätt till att få sin sak prövad inför en oavhängig och opartisk domstol som har inrättats enligt lag.

I detta sammanhang underkänner tribunalen anmärkningen att DPRC inte är en oavhängig och opartisk domstol, utan ett organ som är avhängigt den verkställande makten.

För att göra detta underkänner tribunalen, för det första, argumentet att DPRC inte är en oavhängig och opartisk domstol, eftersom dess uppgift består i att ompröva beslut från Civil Liberties Protection Officer of the Director of National Intelligence (tjänsteman med ansvar för skyddet av medborgerliga friheter hos Director of National Intelligence) (nedan kallad CLPO) som är knuten till Office of the Director of National Intelligence.

Tribunalen påpekar att prövningen av garantierna för CLPO:s oberoende saknar relevans för bedömningen av huruvida DPRC utgör en oavhängig och opartisk domstol. DPRC inrättades nämligen som ett oberoende tillsynsorgan för CLPO och flera garantier har föreskrivits i E.O. 14086 för att CLPO:s beslut, på ett oberoende och opartiskt sätt, ska kunna omprövas och, i förekommande fall, ändras av DPRC.

Sökanden kan således inte med framgång hävda att de garantier som är tillämpliga på CLPO är otillräckliga på ett sätt som påverkar DPRC:s oberoende och opartiskhet.

För det andra underkänner tribunalen argumentet att DPRC inte är en oavhängig och opartisk domstol, eftersom detta organ består av domare som har utnämnts av justitieministern efter samråd med Privacy and Civil Liberties Oversight Board (styrelsen för tillsyn av personlig integritet och medborgerliga fri- och rättigheter) (nedan kallad PCLOB), som är ett organ som är avhängigt den verkställande makten.

Tribunalen konstaterar inledningsvis att även om PCLOB har inrättats inom ramen för den verkställande makten, med hänsyn till dess sammansättning, så är detta organ ett oberoende organ, vars uppgift är att på ett opartiskt sätt övervaka den verkställande maktens arbete för att bland annat skydda personlig integritet och de medborgerliga fri- och rättigheterna.

Under dessa omständigheter kan den omständigheten att PCLOB inrättades inom ramen för den verkställande makten inte i sig leda till slutsatsen att DPRC inte är en oberoende och opartisk domstol, av det enda skälet att den verkställande makten rådfrågades innan domarna i DPRC utsågs.

Tribunalen preciserar vidare att det i E.O. 14086, för att säkerställa att domarna i DPRC är oavhängiga i förhållande till den verkställande makten, föreskrivs att justitieministern vid utnämningen av dessa domare ska iaktta ett antal kriterier och villkor.

Domarna i DPRC får dessutom endast avsättas av justitieministern och endast på grund av sakförhållanden, efter att vederbörligen ha beaktat de normer som gäller för federala domare i enlighet med reglerna om domaretik och jäv.

Tribunalen drar härav slutsatsen att bestämmelserna om utnämning och entledigande av domare i DPRC inte kan påverka detta organs oavhängighet och opartiskhet.

Tribunalen påpekar slutligen att kommissionen är skyldig att fortlöpande övervaka tillämpningen av den rättsliga ram som det angripna beslutet grundar sig på, i syfte att avgöra huruvida Amerikas förenta stater fortsatt säkerställer en adekvat skyddsnivå. Om den rättsliga ram som var i kraft i Förenta staterna vid tidpunkten för antagandet av det angripna beslutet ändras, så kan kommissionen vid behov besluta att återkalla, ändra eller upphäva det angripna beslutet eller att begränsa dess tillämpningsområde.

För det tredje underkänner tribunalen argumentet att DPRC inte är en oavhängig och opartisk domstol, eftersom justitieministerns förordning inte utesluter möjligheten att DPRC:s domare kan utsättas för andra former av tillsyn än daglig tillsyn från den verkställande maktens sida.

Tribunalen noterar i detta avseende att även om det framgår av handlingarna i målet att domarna i DPRC inte ska stå under justitieministerns dagliga tillsyn, anges det även i det angripna beslutet att underrättelsetjänsterna och justitieministern enligt E.O. 14086 inte på ett otillbörligt sätt får hindra eller påverka DPRC:s arbete. Det framgår dessutom av handlingarna i målet att presidentdekretet och justitieministerns förordning begränsar den verkställande maktens möjlighet att påverka DPRC:s arbete genom att fastställa att DPRC:s domare endast kan avsättas av justitieministern och endast av legitima skäl.

För det andra underkänner tribunalen anmärkningen att DPRC inte har inrättats enligt lag, eftersom DPRC inte har inrättats genom en lag som antagits av Förenta staternas kongress, utan genom en rättsakt från den verkställande makten, nämligen ett beslut av justitieministern.

Tribunalen erinrar inledningsvis om att bedömningen huruvida de krav som följer av artikel 47 andra stycket i stadgan om de grundläggande rättigheterna är uppfyllda inte ska begränsas till en bedömning av den formella karaktären hos den rättsakt genom vilken en domstol inrättas och reglerna för dess funktionssätt fastställs. Det ska istället dessutom prövas huruvida det i denna rättsakt föreskrivs tillräckliga garantier för att säkerställa den aktuella domstolens oavhängighet och opartiskhet i förhållande till andra myndigheter, särskilt den verkställande makten.

Vidare påpekar tribunalen att kommissionen, såsom domstolen slog fast i domarna Schrems I och Schrems II, vilka avser ett beslut om adekvat skyddsnivå, inte är skyldig att försäkra sig om att de relevanta bestämmelserna i tredjelandet är identiska med de bestämmelser som är i kraft i unionen, utan endast att de är väsentligen likvärdiga med dem som garanteras i unionsrätten enligt dataskyddsförordningen, jämförd med stadgan. Av detta följer att tribunalen i förevarande fall är skyldig att pröva huruvida kommissionens konstaterande i det angripna beslutet om adekvat skyddsnivå, enligt vilket bestämmelserna i amerikansk rätt varigenom DPRC inrättas och dess verksamhetsregler fastställs ger garantier som är väsentligen likvärdiga med dem som föreskrivs i unionsrätten, i artikel 47 andra stycket i stadgan, är välgrundade. Sådana garantier erbjuds i synnerhet när den lagtext genom vilken denna domstol inrättas och dess verksamhetsregler fastställs syftar till att säkerställa dess oberoende och opartiskhet i förhållande till andra myndigheter, däribland den verkställande makten, och detta trots att nämnda lagtext formellt sett inte utgör en lag.

I förevarande fall framgår det av det angripna beslutet att DPRC inte har inrättats genom en lag som antagits av den lagstiftande makten, det vill säga Förenta staternas kongress, utan genom en rättsakt från den verkställande makten.

I detta sammanhang prövar tribunalen huruvida E.O. 14086 och justitieministerns förordning, på ett sätt som är väsentligen likvärdigt med unionsrätten, föreskriver garantier som syftar till att säkerställa DPRC:s oberoende och opartiskhet.

Efter att bland annat ha undersökt formerna för inrättandet av DPRC i egenskap av oberoende organ med beslutanderätt, villkoren för utnämning och entledigande av dess domare samt de processrättsliga skyddsregler som gäller för utövandet av dessa domares uppdrag, konstaterar tribunalen att de brister som domstolen konstaterade i domen Schrems II har åtgärdats.

Mot bakgrund av det ovan anförda underkänner tribunalen grunden avseende åsidosättande av artikel 47 andra stycket i stadgan och artikel 45.2 i dataskyddsförordningen i dess helhet.

Tribunalen uttalar sig därefter i frågan huruvida kommissionen har åsidosatt artiklarna 7 och 8 i stadgan, vilka avser rätten till respekt för privatlivet respektive skydd av personuppgifter, i den mån kommissionen ansåg att Amerikas förenta stater har säkerställt en adekvat skyddsnivå vad gäller landets underrättelsetjänsters bulkinsamling av personuppgifter, trots att E.O. 14086 inte föreskriver någon skyldighet för dessa underrättelsetjänster att före bulkinsamlingen av personuppgifter inhämta förhandstillstånd från en domstol eller en förvaltningsmyndighet.

I detta sammanhang underkänner tribunalen för det första argumentet att den bulkinsamling av personuppgifter som utförs av Förenta staternas underrättelsetjänster inte är föremål för en domstols tillsyn och inte omfattas av tillräckligt klara och precisa bestämmelser.

Till att börja med understryker tribunalen att det inte finns något i domen i målet Schrems II som tyder på att bulkinsamling av personuppgifter måste föregås av ett förhandstillstånd från en oberoende myndighet. Tvärtom framgår det av denna dom att ett beslut om att tillåta en sådan insamling åtminstone ska bli föremål för domstolsprövning i efterhand.

I förevarande fall innebär E.O. 14086 och justitieministerns förordning att den signalspaningsverksamhet som utförs av Förenta staternas underrättelsetjänster omfattas av DPRC:s domstolsprövning i efterhand. Det kan följaktligen inte anses att den bulkinsamling av personuppgifter som utförs av underrättelsetjänsterna på grundval av det angripna beslutet inte uppfyller de krav som följer av domen Schrems II i detta avseende.

Tribunalen påpekar vidare att E.O. 14086 fastställer att bulkinsamling endast är tillåten om den används för att främja en validerad underrättelseprioritering som inte rimligen kan erhållas genom riktad insamling, fastställer grundläggande krav som är tillämpliga på all signalspaningsverksamhet och fastställer särskilda garantier som är tillämpliga på bulkinsamling av personuppgifter.

Under dessa omständigheter anser tribunalen att det inte med framgång kan göras gällande att genomförandet av bulkinsamling inte är tillräckligt klart och precist reglerat.

För det andra underkänner tribunalen argumentet att bulkinsamling, som utförs av Förenta staternas underrättelsetjänster, av personuppgifter under transitering från unionen ska vara föremål för ett förhandstillstånd enligt domen La Quadrature du Net m.fl. ( 5 ).

Tribunalen konstaterar i detta avseende att situationen i det mål som gav upphov till domen La Quadrature du Net m.fl. skiljer sig från den situation som är aktuell i förevarande fall och drar slutsatsen att hänvisningen till nämnda dom saknar relevans.

För det tredje underkänner tribunalen argumentet att insamling i bulk, som utförs av Förenta staternas underrättelsetjänster, av personuppgifter under transitering från unionen ska omfattas av ett förhandstillstånd enligt Europadomstolens dom Big Brother Watch ( 6 ).

Efter att ha konstaterat att en bulkinsamling av personuppgifter, såsom den som är föremål för det angripna beslutet, omfattas av det första steget av de avlyssningssteg som Europeiska domstolen för de mänskliga rättigheterna identifierade i domen Big Brother Watch, eftersom den består i att, för att skydda nationell säkerhet, samla in personuppgifter som transiteras från unionen av ett stort antal personer, drar tribunalen konsekvenserna av denna dom inom ramen för bedömningen av det angripna beslutets lagenlighet.

Tribunalen påpekar således att Europeiska domstolen för de mänskliga rättigheterna, i domen Big Brother Watch, angav att massavlyssning av personuppgifter ska omfattas av flera garantier, såsom erhållande av tillstånd från en oberoende myndighet redan vid fastställandet av föremålet för och omfattningen av den aktuella övervakningsåtgärden, inrättande av ett system för övervakning och oberoende domstolsprövning i efterhand, och fastställande av rättsliga regler som gör det möjligt att, för varje avlyssningssteg, säkerställa att de vidtagna åtgärderna är nödvändiga och proportionerliga.

Europeiska domstolen för de mänskliga rättigheterna har dessutom gjort gällande att behovet av garantier ökar i takt med att förfarandet passerar dessa olika steg, varvid intrånget i rätten till respekt för privatlivet blir större och större.

Tribunalen erinrar i detta sammanhang om att kommissionen, inom ramen för ett beslut om adekvat skyddsnivå, inte är skyldig att försäkra sig om att de relevanta bestämmelserna i tredjelandet är identiska med dem som är i kraft i unionen, utan endast att de är väsentligen likvärdiga.

Tribunalen anser således, i förevarande fall, att behovet av att för denna specifika fas av bulkinsamlingen föreskriva garantier som begränsar underrättelsetjänsternas utrymme för skönsmässig bedömning är mindre omfattande, med hänsyn till det sammanhang i vilket avlyssningen sker. Det som är i fråga i förevarande fall är nämligen endast underrättelsetjänsternas inledande bulkavlyssning av personuppgifter, och inte senare verksamhet.

Tribunalen erinrar dessutom om att kravet på förhandstillstånd inte är den enda garanti som måste omgärda massavlyssning av personuppgifter, utan utgör en av de beståndsdelar som tillsammans utgör hörnstenen i varje system för massavlyssning. Tribunalen påpekar i detta hänseende att gällande amerikansk rätt innehåller rättsregler som på ett tillräckligt klart och precist sätt reglerar hur Förenta staternas underrättelsetjänster genomför bulkinsamling av personuppgifter och ger de personer som berörs av överföringen av deras uppgifter rätt till ett effektivt rättsmedel vid DPRC. I skälen 162–169 i det angripna beslutet anges dessutom, utan att sökanden har bestritt detta, att underrättelsetjänsternas underrättelseverksamhet kontrolleras av PCLOB, som, enligt den rättsakt varigenom detta organ har inrättats, är tänkt som en oberoende myndighet. Nämnda verksamhet är även föremål för tillsyn, för det första, av de juridiskt ansvariga och bemyndigade inom varje underrättelsetjänst som ansvarar för övervakning och efterlevnad av denna lagstiftning, för det andra, av den oberoende generalinspektör som för varje underrättelsetjänst ansvarar för att kontrollera den utländska underrättelseverksamhet som utförs av den aktuella underrättelsetjänsten och, för det tredje, av Intelligence Oversight Board (Tillsynsstyrelsen för underrättelseverksamhet, Förenta staterna), vilken har inrättats inom President’s Intelligence Advisory Board (presidentens rådgivande nämnd för underrättelsefrågor, Förenta staterna), vilken är skyldig att övervaka de amerikanska myndigheternas efterlevnad av lagen samt, för det fjärde, de särskilda kommittéer som inrättats inom Förenta staternas kongress och som utövar tillsyn över all underrättelseverksamhet utanför landet.

Mot bakgrund av dessa överväganden finner tribunalen att den omständigheten att det inte föreskrivs något förhandstillstånd som är tillämpligt på Förenta staternas underrättelsetjänsters inledande bulkinsamling av personuppgifter under transitering från unionen inte räcker för att det ska anses att Förenta staternas lagstiftning inte ger garantier som är väsentligen likvärdiga med dem som föreskrivs i unionsrätten.

För det fjärde och slutligen godtar tribunalen inte argumentet att insamling i bulk, som utförs av Förenta staternas underrättelsetjänster, av personuppgifter under transitering från unionen ska vara föremål för ett förhandstillstånd enligt yttrande 5/2023 från Europeiska dataskyddsstyrelsen ( 7 ).

Tribunalen noterar i detta avseende att yttrande 5/2023 utfärdades med stöd av artikel 70.1 s i dataskyddsförordningen. När dataskyddsstyrelsen agerar på denna grund utövar den endast en rådgivande funktion. Detta yttrande är således inte bindande för kommissionen.

Under alla omständigheter konstaterar tribunalen att Europeiska dataskyddsstyrelsen i nämnda yttrande inte angav att underlåtenheten att införa en förhandskontroll av bulkinsamling av personuppgifter med nödvändighet påverkade kommissionens positiva bedömning i frågan huruvida den skyddsnivå för personuppgifter som erbjuds genom ramen för dataskydd mellan EU och Förenta staterna är adekvat.

Tribunalen finner således att talan inte kan vinna bifall såvitt avser grunden avseende åsidosättande av artiklarna 7 och 8 i stadgan och ogillar talan i dess helhet.

( 1 ) Kommissionens genomförandebeslut (EU) 2023/1795 av den 10 juli 2023 i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 om adekvat skydd av personuppgifter enligt ramen för dataskydd mellan EU och Förenta staterna (EUT L 231, 2023, s. 118) (nedan kallat det angripna beslutet).

( 2 ) Dom av den 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650) (nedan kallad domen Schrems I), och dom av den 16 juli 2020, Facebook Ireland och Schrems (C‑311/18, EU:C:2020:559) (nedan kallad domen Schrems II).

( 3 ) Det är det organ i Förenta staterna som ansvarar för att kontrollera lagenligheten av överföring av personuppgifter från Europeiska unionen.

( 4 ) Artikel 45.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen).

( 5 ) Dom av den 6 oktober 2020, La Quadrature du Net m.fl. (C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791) (nedan kallad domen La Quadrature du Net).

( 6 ) Europadomstolens dom av den 25 maj 2021, Big Brother Watch m.fl. mot Förenade kungariket (CE:ECHR:2021:0525JUD005817013) (nedan kallad domen Big Brother Watch).

( 7 ) Yttrande 5/2023 av den 28 februari 2023 om kommissionens utkast till genomförandebeslut om ett adekvat skydd för personuppgifter enligt ramen för dataskydd mellan EU och Förenta staterna (nedan kallat yttrande 5/2023).