–

de Data Protection Commissioner, vertegenwoordigd door D. Young, solicitor, B. Murray en M. Collins, SC, en C. Donnelly, BL,

–

Facebook Ireland Ltd, vertegenwoordigd door P. Gallagher en N. Hyland, SC, A. Mulligan en F. Kieran, BL, en P. Nolan, C. Monaghan, C. O’Neill en R. Woulfe, solicitors,

–

Maximillian Schrems, vertegenwoordigd door H. Hofmann, Rechtsanwalt, E. McCullough, J. Doherty en S. O’Sullivan, SC, en G. Rudden, solicitor,

–

The United States of America, vertegenwoordigd door E. Barrington, SC, S. Kingston, BL, en S. Barton en B. Walsh, solicitors,

–

het Electronic Privacy Information Centre, vertegenwoordigd door S. Lucey, solicitor, G. Gilmore en A. Butler, BL, en C. O’Dwyer, SC,

–

de BSA Business Software Alliance Inc., vertegenwoordigd door B. Van Vooren en K. Van Quathem, advocaten,

–

Digitaleurope, vertegenwoordigd door N. Cahill, barrister, J. Cahir, solicitor, en M. Cush, SC,

–

Ierland, vertegenwoordigd door A. Joyce en M. Browne als gemachtigden, bijgestaan door D. Fennelly, BL,

–

de Belgische regering, vertegenwoordigd door J.‑C. Halleux en P. Cottin als gemachtigden,

–

de Tsjechische regering, vertegenwoordigd door M. Smolek, J. Vláčil, O. Serdula en A. Kasalická als gemachtigden,

–

de Duitse regering, vertegenwoordigd door J. Möller, D. Klebs en T. Henze als gemachtigden,

–

de Franse regering, vertegenwoordigd door A.-L. Desjonquères als gemachtigde,

–

de Nederlandse regering, vertegenwoordigd door C. S. Schillemans, K. Bulterman en M. Noort als gemachtigden,

–

de Oostenrijkse regering, vertegenwoordigd door J. Schmoll en G. Kunnert als gemachtigden,

–

de Poolse regering, vertegenwoordigd door B. Majczyna als gemachtigde,

–

de Portugese regering, vertegenwoordigd door L. Inez Fernandes, A. Pimenta en C. Vieira Guerra als gemachtigden,

–

de regering van het Verenigd Koninkrijk, vertegenwoordigd door S. Brandonals gemachtigde, bijgestaan door J. Holmes, QC, en C. Knight, barrister,

–

het Europees Parlement, vertegenwoordigd door M. J. Martínez Iglesias en A. Caiola als gemachtigden,

–

de Europese Commissie, vertegenwoordigd door D. Nardi, H. Krämer en H. Kranenborg als gemachtigden,

–

het Europees Comité voor gegevensbescherming (EDPB), vertegenwoordigd door A. Jelinek en K. Behn als gemachtigden,

1

Het verzoek om een prejudiciële beslissing betreft in wezen

2

Dit verzoek is ingediend in het kader van een geding tussen de Data Protection Commissioner (commissaris gegevensbescherming, Ierland; hierna: „DPC”) enerzijds en Facebook Ireland Ltd en Maximillian Schrems anderzijds, over een door Schrems ingediende klacht over de doorgifte van zijn persoonsgegevens door Facebook Ireland aan Facebook Inc. in de Verenigde Staten.

3

Artikel 3 van richtlijn 95/46, met als opschrift „Werkingssfeer”, bepaalde in lid 2:

„De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens:

[…]”

4

Artikel 25 van deze richtlijn bepaalde:

„1.   De lidstaten bepalen dat persoonsgegevens […] slechts naar een derde land mogen worden doorgegeven indien, onverminderd de naleving van de nationale bepalingen die zijn vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn, dat land een passend beschermingsniveau waarborgt.

2.   Het passend karakter van het door een derde land geboden beschermingsniveau wordt beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn […].

[…]

6.   De Commissie kan volgens de procedure van artikel 31, lid 2, constateren dat een derde land, op grond van zijn nationale wetgeving of zijn internationale verbintenissen, die het met name na de in lid 5 bedoelde onderhandelingen is aangegaan, waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt met het oog op de bescherming van de persoonlijke levenssfeer en de fundamentele vrijheden en rechten van personen.

De lidstaten nemen de nodige maatregelen om zich naar het besluit van de Commissie te voegen.”

5

Artikel 26, leden 2 en 4, van die richtlijn bepaalde het volgende:

„2.   Onverminderd het bepaalde in lid 1 kan een lidstaat toestemming geven voor een doorgifte of een categorie doorgiften van persoonsgegevens naar een derde land dat geen waarborgen voor een passend beschermingsniveau in de zin van artikel 25, lid 2, biedt, indien de voor de verwerking verantwoordelijke voldoende waarborgen biedt ten aanzien van de bescherming van de persoonlijke levenssfeer, de fundamentele rechten en vrijheden van personen, alsmede ten aanzien van de uitoefening van de daaraan verbonden rechten; deze waarborgen kunnen met name voortvloeien uit passende contractuele bepalingen.

[…]

4.   Wanneer de Commissie volgens de in artikel 31, lid 2, bedoelde procedure besluit dat bepaalde modelcontractbepalingen voldoende waarborgen bieden in de zin van lid 2, nemen de lidstaten de nodige maatregelen om zich naar het besluit van de Commissie te voegen.”

6

Artikel 28, lid 3, van diezelfde richtlijn luidde als volgt:

„Elke toezichthoudende autoriteit beschikt met name over:

[…]”

7

Richtlijn 95/46 is ingetrokken bij en vervangen door verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46 (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2; hierna: „AVG”).

8

In de overwegingen 6, 10, 101, 103, 104, 107 tot en met 109, 114, 116 en 141 AVG staat te lezen:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

9

Artikel 2, leden 1 en 2, van deze verordening bepaalt:

„1.   Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

2.   Deze verordening is niet van toepassing op de verwerking van persoonsgegevens:

10

Artikel 4 van die verordening bepaalt:

„In deze verordening wordt verstaan onder:

[…]

[…]

[…]”

11

In artikel 23 van diezelfde verordening is het volgende bepaald:

„1.   De reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 en artikel 34, alsmede in artikel 5 kan, voor zover de bepalingen van die artikelen overeenstemmen met de rechten en verplichtingen als bedoeld in de artikelen 12 tot en met [22], worden beperkt door middel van Unierechtelijke of lidstaatrechtelijke bepalingen die op de verwerkingsverantwoordelijke of de verwerker van toepassing zijn, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van:

[…]

2.   De in lid 1 bedoelde wettelijke maatregelen bevatten met name specifieke bepalingen met betrekking tot, in voorkomend geval, ten minste:

12

Hoofdstuk V AVG, met als opschrift „Doorgiften van persoonsgegevens naar derde landen of internationale organisaties”, bevat de artikelen 44 tot en met 50 van die verordening. Artikel 44 ervan, met als opschrift „Algemeen beginsel inzake doorgiften”, luidt:

„Persoonsgegevens die worden verwerkt of die zijn bestemd om na doorgifte aan een derde land of een internationale organisatie te worden verwerkt, mogen slechts worden doorgegeven indien, onverminderd de overige bepalingen van deze verordening, de verwerkingsverantwoordelijke en de verwerker aan de in dit hoofdstuk neergelegde voorwaarden hebben voldaan; dit geldt ook voor verdere doorgiften van persoonsgegevens vanuit het derde land of een internationale organisatie naar een ander derde land of aan een andere internationale organisatie. Alle bepalingen van dit hoofdstuk worden toegepast opdat het door deze verordening voor natuurlijke personen gewaarborgde beschermingsniveau niet wordt ondermijnd.”

13

Artikel 45 van deze verordening, met als opschrift „Doorgiften op basis van adequaatheidsbesluiten”, bepaalt in de leden 1 tot en met 3:

„1.   Een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie kan plaatsvinden wanneer de Commissie heeft besloten dat het derde land, een gebied of één of meerdere nader bepaalde sectoren in dat derde land, of de internationale organisatie in kwestie een passend beschermingsniveau waarborgt. Voor een dergelijke doorgifte is geen specifieke toestemming nodig.

2.   Bij de beoordeling van de vraag of het beschermingsniveau adequaat is, houdt de Commissie met name rekening met de volgende aspecten:

3.   De Commissie kan, na de beoordeling van de vraag of het beschermingsniveau adequaat is, door middel van een uitvoeringshandeling besluiten dat een derde land, een gebied of één of meerdere nader bepaalde sectoren in een derde land, of een internationale organisatie een passend beschermingsniveau in de zin van lid 2 van dit artikel waarborgt. De uitvoeringshandeling voorziet in een mechanisme voor periodieke toetsing, minstens om de vier jaar, waarbij alle relevante ontwikkelingen in het derde land of de internationale organisatie in aanmerking worden genomen. In de uitvoeringshandeling worden het territoriale en het sectorale toepassingsgebied vermeld, alsmede, in voorkomend geval, de in lid 2, punt b), van dit artikel genoemde toezichthoudende autoriteit(en). De uitvoeringshandeling wordt vastgesteld volgens de in artikel 93, lid 2, bedoelde onderzoeksprocedure.”

14

Artikel 46 van deze verordening, met als opschrift „Doorgiften op basis van passende waarborgen”, bepaalt in de leden 1 tot en met 3:

„1.   Bij ontstentenis van een besluit uit hoofde van artikel 45, lid 3, mag een doorgifte van persoonsgegevens aan een derde land of een internationale organisatie door een verwerkingsverantwoordelijke of een verwerker alleen plaatsvinden mits zij passende waarborgen bieden en betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken.

2.   De in lid 1 bedoelde passende waarborgen kunnen worden geboden door de volgende instrumenten, zonder dat daarvoor specifieke toestemming van een toezichthoudende autoriteit is vereist:

3.   Onder voorbehoud van de toestemming van de bevoegde toezichthoudende autoriteit kunnen de in lid 1 bedoelde passende waarborgen ook worden geboden door, met name:

15

Artikel 49 van diezelfde verordening, met als opschrift „Afwijkingen voor specifieke situaties”, bepaalt:

„1.   Bij ontstentenis van een adequaatheidsbesluit overeenkomstig artikel 45, lid 3, of van passende waarborgen overeenkomstig artikel 46, met inbegrip van bindende bedrijfsvoorschriften, kan een doorgifte of een reeks van doorgiften van persoonsgegevens aan een derde land of een internationale organisatie slechts plaatsvinden mits aan één van de volgende voorwaarden is voldaan:

Wanneer een doorgifte niet op een bepaling van de artikelen 45 of 46, met inbegrip van de bepalingen inzake bindende bedrijfsvoorschriften, kon worden gegrond en geen van de afwijkingen voor een specifieke situatie als bedoeld in de eerste alinea van dit lid van toepassing zijn, mag de doorgifte aan een derde land of aan een internationale organisatie alleen plaatsvinden indien de doorgifte niet repetitief is, een beperkt aantal betrokkenen betreft, noodzakelijk is voor dwingende gerechtvaardigde belangen van de verwerkingsverantwoordelijke die niet ondergeschikt zijn aan de belangen of rechten en vrijheden van de betrokkene, en de verwerkingsverantwoordelijke alle omstandigheden in verband met de gegevensdoorgifte heeft beoordeeld en op basis van die beoordeling passende waarborgen voor de bescherming van persoonsgegevens heeft geboden. De verwerkingsverantwoordelijke informeert de toezichthouder over de doorgifte. De verwerkingsverantwoordelijke verstrekt de betrokkene naast de in de artikelen 13 en 14 bedoelde informatie, ook informatie met betrekking tot de doorgifte en de door hem nagestreefde dwingende gerechtvaardigde belangen.

2.   Een doorgifte overeenkomstig lid 1, eerste alinea, onder g), mag geen betrekking hebben op alle persoonsgegevens of volledige categorieën van persoonsgegevens die in het register zijn opgeslagen. Wanneer een register bedoeld is om door personen met een gerechtvaardigd belang te worden geraadpleegd, kan de doorgifte slechts plaatsvinden op verzoek van die personen of wanneer de gegevens voor hen zijn bestemd.

3.   Lid 1, eerste alinea, onder a), b) en c), en tweede alinea, zijn niet van toepassing op activiteiten die door overheidsinstanties worden verricht bij de uitoefening van hun openbare bevoegdheden.

4.   Het in lid 1, eerste alinea, onder d), bedoelde openbaar belang moet zijn erkend bij een Unierechtelijke of nationaalrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is.

5.   Bij ontstentenis van een adequaatheidsbesluit kunnen in Unierechtelijke of lidstaatrechtelijke bepalingen of bepalingen om gewichtige redenen van openbaar belang uitdrukkelijk grenzen worden gesteld aan de doorgifte van specifieke categorieën van persoonsgegevens aan een derde land of een internationale organisatie. De lidstaten stellen de Commissie in kennis van dergelijke bepalingen.

6.   De verwerkingsverantwoordelijke of de verwerker staaft de beoordeling en de in lid 1, tweede alinea, van dit artikel bedoelde passende waarborgen in het artikel 30 bedoelde register.”

16

Artikel 51, lid 1, AVG luidt als volgt:

„Elke lidstaat bepaalt dat één of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken (‚toezichthoudende autoriteit’).”

17

Overeenkomstig artikel 55, lid 1, van deze verordening heeft „[e]lke toezichthoudende autoriteit […] de competentie om op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend”.

18

Artikel 57, lid 1, van die verordening is als volgt verwoord:

„Onverminderd andere uit hoofde van deze verordening vastgestelde taken, verricht elke toezichthoudende autoriteit op haar grondgebied de volgende taken:

[…]

[…]”

19

Artikel 58, leden 2 en 4, van diezelfde verordening bepaalt:

„2.   Elk toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende maatregelen:

[…]

[…]

[…]

4.   Op de uitoefening van de bevoegdheden die uit hoofde van dit artikel aan de toezichthoudende autoriteit worden verleend, zijn passende waarborgen van toepassing, daaronder begrepen een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling, zoals overeenkomstig het Handvest vastgelegd in het Unierecht en het lidstatelijke recht.”

20

Artikel 64, lid 2, AVG luidt:

„Een toezichthoudende autoriteit, de voorzitter van het [Europees Comité voor gegevensbescherming (EDPB)] of de Commissie kunnen elk verzoeken dat aangelegenheden van algemene strekking of met rechtsgevolgen in meer dan één lidstaat worden onderzocht door het [EDPB] teneinde advies te verkrijgen, met name wanneer een bevoegde toezichthoudende autoriteit haar verplichtingen tot wederzijdse bijstand overeenkomstig artikel 61, of tot gezamenlijke werkzaamheden overeenkomstig artikel 62, niet nakomt.”

21

Artikel 65, lid 1, van deze verordening luidt:

„Om te zorgen voor de correcte en consequente toepassing van deze verordening in individuele gevallen, stelt het [EDPB] een bindend besluit vast in de volgende gevallen:

[…]

22

Artikel 77 van die verordening, met als opschrift „Recht om een klacht in te dienen bij een toezichthoudende autoriteit”, bepaalt:

„1.   Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.

2.   De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van de voortgang en het resultaat van de klacht, alsmede van de mogelijke voorziening in rechte overeenkomstig artikel 78.”

23

Artikel 78 van deze verordening, met als opschrift „Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”, bepaalt in de leden 1 en 2:

„1.   Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.

2.   Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep heeft iedere betrokkene het recht om een doeltreffende voorziening in rechte in te stellen indien de overeenkomstig de artikelen 55 en 56 bevoegde toezichthoudende autoriteit een klacht niet behandelt of de betrokkene niet binnen drie maanden in kennis stelt van de voortgang of het resultaat van de uit hoofde van artikel 77 ingediende klacht.”

24

Artikel 94 AVG bepaalt:

„1.   [Richtlijn 95/46] wordt met ingang van 25 mei 2018 ingetrokken.

2.   Verwijzingen naar de ingetrokken richtlijn gelden als verwijzingen naar deze verordening. Verwijzingen naar de groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens, die bij artikel 29 van [richtlijn 95/46] is opgericht, gelden als verwijzingen naar het bij deze verordening opgerichte [EDPB].”

25

Artikel 99 van deze verordening bepaalt het volgende:

„1.   Deze verordening treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

2.   Zij is van toepassing met ingang van 25 mei 2018.”

26

In overweging 11 van het MCB-besluit wordt verklaard:

„De toezichthoudende autoriteiten van de lidstaten spelen een essentiële rol in dit contractmechanisme, door erop toe te zien dat persoonsgegevens na de doorgifte op passende wijze worden beschermd. In buitengewone gevallen waarin de [gegevensexporteurs] niet in staat zijn of weigeren de gegevensimporteurs naar behoren te instrueren en het risico van ernstige schade voor de betrokkenen bestaat, dienen de modelcontractbepalingen het voor de toezichthoudende autoriteiten mogelijk te maken de gegevensimporteurs en subverwerkers te controleren en zo nodig voor de gegevensimporteurs en subverwerkers bindende besluiten te nemen. De toezichthoudende autoriteiten dienen de bevoegdheid te hebben om een op basis van de modelcontractbepalingen gebaseerde doorgifte of categorie doorgiften te verbieden of op te schorten, in die uitzonderlijke gevallen waarin wordt vastgesteld dat een doorgifte op contractuele grondslag in aanzienlijke mate afbreuk dreigt te doen aan de waarborgen en verplichtingen die de betrokkene een passende bescherming bieden.”

27

Artikel 1 van dit besluit bepaalt:

„De in de bijlage opgenomen modelcontractbepalingen worden geacht voldoende waarborgen te bieden ten aanzien van de bescherming van de persoonlijke levenssfeer, de fundamentele rechten en vrijheden van personen, alsmede ten aanzien van de uitoefening van de daaraan verbonden rechten in de zin van artikel 26, lid 2, van [richtlijn 95/46].”

28

Volgens artikel 2, tweede alinea, van dit besluit is het „van toepassing op de doorgifte van persoonsgegevens door voor de verwerking verantwoordelijken die in de Europese Unie zijn gevestigd, aan ontvangers buiten het grondgebied van de Europese Unie die slechts als verwerkers optreden.”

29

Artikel 3 van dit besluit bepaalt:

„Voor de toepassing van dit besluit wordt verstaan onder:

[…]

[…]

[…]”

30

In de oorspronkelijke versie van vóór de inwerkingtreding van uitvoeringsbesluit 2016/2297 bepaalde artikel 4 van besluit 2010/87:

„1.   Onverminderd hun bevoegdheden maatregelen te treffen ter waarborging van de naleving van de krachtens de hoofdstukken II, III, V en VI van [richtlijn 95/46] vastgestelde nationale bepalingen, kunnen de bevoegde autoriteiten in de lidstaten hun bestaande bevoegdheden gebruiken om gegevensstromen naar derde landen te verbieden of op te schorten teneinde natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen, wanneer:

2.   Het verbod of de opschorting, als bedoeld in lid 1, wordt opgeheven, zodra de redenen voor het verbod of de opschorting niet meer bestaan.

3.   Wanneer een lidstaat op grond van de leden 1 en 2 maatregelen treft, stelt hij de Commissie daarvan onverwijld in kennis, waarna de Commissie de andere lidstaten hiervan in kennis stelt.”

31

Overweging 5 van uitvoeringsbesluit 2016/2297, dat is vastgesteld na de uitspraak van het arrest van 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650), luidt als volgt:

„Mutatis mutandis is een besluit dat de Commissie overeenkomstig artikel 26, lid 4, van [richtlijn 95/46] vaststelt, bindend voor alle organen van de lidstaten waaraan het is gericht, met inbegrip van hun onafhankelijke toezichthoudende autoriteiten, voor zover het tot gevolg heeft dat wordt erkend dat de doorgifte op basis van in het besluit uiteengezette modelcontractbepalingen voldoende waarborgen biedt zoals vereist krachtens artikel 26, lid 2, van de richtlijn. Dit staat er niet aan in de weg dat een nationale toezichthoudende autoriteit haar bevoegdheden om toezicht te houden op gegevensstromen uitoefent, met inbegrip van haar bevoegdheid de doorgifte van persoonsgegevens op te schorten of te verbieden wanneer zij vaststelt dat de doorgifte een inbreuk vormt op het nationale of EU-recht inzake gegevensbescherming, bijvoorbeeld wanneer de gegevensimporteur de modelcontractbepalingen niet naleeft.”

32

In zijn huidige versie, zoals die voortvloeit uit uitvoeringsbesluit 2016/2297, bepaalt artikel 4 van het MCB-besluit:

„Wanneer de bevoegde autoriteiten in een lidstaat hun bevoegdheden uit hoofde van artikel 28, lid 3, van [richtlijn 95/46] uitoefenen en dit leidt tot de opschorting van of een definitief verbod op gegevensstromen naar derde landen, teneinde natuurlijke personen met betrekking tot de verwerking van hun persoonsgegevens te beschermen, stelt de betrokken lidstaat de Commissie hiervan onverwijld in kennis, waarna de Commissie de andere lidstaten op de hoogte brengt.”

33

De bijlage bij het MCB-besluit, met als opschrift „Modelcontractbepalingen (verwerkers)”, bevat twaalf modelbepalingen. Bepaling 3 ervan, met als opschrift „Derdenbeding”, is als volgt geformuleerd:

„1. De betrokkenen kunnen deze bepaling en bepaling 4, onder b) tot en met i), bepaling 5, onder a) tot en met e) en g) tot en met j), bepaling 6, leden 1 en 2, bepaling 7, bepaling 8, lid 2, en de bepalingen 9 tot en met 12 als derde begunstigden tegenover de gegevensexporteur afdwingen.

2. De betrokkenen kunnen deze bepaling, bepaling 5, onder a) tot en met e) en onder g), bepaling 6, bepaling 7, bepaling 8, lid 2, en de bepalingen 9 tot en met 12 tegenover de gegevensimporteur afdwingen in gevallen waarin de gegevensexporteur feitelijk is verdwenen of heeft opgehouden rechtens te bestaan, tenzij een rechtsopvolger contractueel of rechtens alle wettelijke verplichtingen van de gegevensexporteur heeft overgenomen en daardoor de rechten en verplichtingen van de gegevensexporteur op zich neemt; in dit geval kunnen betrokkenen de genoemde bepalingen tegenover deze rechtsopvolger afdwingen.

[…]”

34

Bepaling 4 van deze bijlage, met als opschrift „Verplichtingen van de gegevensexporteur”, bepaalt:

„De gegevensexporteur stemt ermee in en garandeert dat:

[…]

[…]”

35

Bepaling 5 van deze bijlage, met als opschrift „Verplichtingen van de gegevensimporteur […]”, luidt als volgt:

„De gegevensimporteur stemt ermee in en garandeert dat:

[…]

[…]”

36

De voetnoot waarnaar het opschrift van deze bepaling 5 verwijst, is als volgt opgesteld:

„Vereisten van het nationale recht die op de gegevensimporteur van toepassing zijn en die niet verder gaan dan wat in een democratische samenleving noodzakelijk is op basis van een van de in artikel 13, lid 1, van [richtlijn 95/46] vermelde belangen, dat wil zeggen noodzakelijke maatregelen ter vrijwaring van de veiligheid van een staat, de landsverdediging, de openbare veiligheid, het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van de beroepscodes voor gereglementeerde beroepen, een belangrijk economisch en financieel belang van een lidstaat of de bescherming van de betrokkene of van de rechten en vrijheden van anderen, zijn niet in strijd met de bepalingen. […]”

37

Bepaling 6 van de bijlage bij het MCB-besluit, met als opschrift „Aansprakelijkheid”, bepaalt:

„1. De partijen komen overeen dat elke betrokkene die ten gevolge van een schending van de verplichtingen bedoeld in bepaling 3 of bepaling 11 door een partij of een subverwerker schade heeft geleden, het recht heeft van de gegevensexporteur vergoeding voor de geleden schade te ontvangen.

2. Wanneer de betrokkene geen vordering tot schadevergoeding wegens niet-nakoming door de gegevensimporteur of diens subverwerker van een van de in bepaling 3 of bepaling 11 bedoelde verplichtingen, als bedoeld in lid 1, tegen de gegevensexporteur kan instellen doordat de gegevensexporteur feitelijk is verdwenen, heeft opgehouden rechtens te bestaan of insolvent is geworden, stemt de gegevensimporteur ermee in dat de betrokkene een vordering kan instellen tegen de gegevensimporteur alsof hij de gegevensexporteur was […].

[…]”

38

Bepaling 8 van deze bijlage, met als opschrift „Samenwerking met de toezichthoudende autoriteiten”, bepaalt in lid 2:

„De partijen komen overeen dat de toezichthoudende autoriteit bevoegd is bij de gegevensimporteur en eventuele subverwerkers een controle te verrichten die dezelfde reikwijdte heeft en aan dezelfde voorwaarden is onderworpen als die welke krachtens het toepasselijke recht inzake gegevensbescherming voor haar controle van de gegevensexporteur zouden gelden.”

39

Bepaling 9 van deze bijlage, met als opschrift „Toepasselijk recht”, preciseert dat het recht van de lidstaat van vestiging van de gegevensexporteur van toepassing is op de bepalingen.

40

Bepaling 11 van diezelfde bijlage, met als opschrift „Subverwerking”, is als volgt verwoord:

„1. De gegevensimporteur besteedt de verwerkingsactiviteiten die hij overeenkomstig de bepalingen namens de gegevensexporteur uitvoert, niet uit zonder de voorafgaande schriftelijke toestemming van de gegevensexporteur. Indien de gegevensimporteur met toestemming van de gegevensexporteur zijn verplichtingen uit hoofde van de bepalingen uitbesteedt, dient hij met de subverwerker een schriftelijk contract te sluiten waarbij aan de subverwerker dezelfde verplichtingen worden opgelegd als die waaraan de gegevensimporteur uit hoofde van de bepalingen moet voldoen. […]

2. In het tevoren tussen de gegevensimporteur en de subverwerker te sluiten schriftelijke contract dient tevens een derdenbeding te zijn opgenomen zoals vervat in bepaling 3, dat voorziet in gevallen dat de betrokkene geen vordering tot schadevergoeding als bedoeld in bepaling 6, lid 1, kan instellen tegen de gegevensexporteur of de gegevensimporteur omdat deze feitelijk zijn verdwenen, hebben opgehouden rechtens te bestaan of insolvent zijn geworden, en er geen rechtsopvolger is die contractueel of rechtens alle wettelijke verplichtingen van de gegevensexporteur of de gegevensimporteur heeft overgenomen. Deze aansprakelijkheid van de subverwerker jegens derden blijft beperkt tot de verwerkingswerkzaamheden die deze zelf heeft uitgevoerd krachtens de bepalingen.

[…]”

41

Bepaling 12 van de bijlage bij het MCB-besluit, met als opschrift „Verplichting na de beëindiging van de verwerking van persoonsgegevens”, bepaalt in lid 1:

„De partijen komen overeen dat de gegevensimporteur en de subverwerker na het beëindigen van de verlening van de gegevensverwerkingsdiensten alle doorgegeven persoonsgegevens en kopieën daarvan aan de gegevensexporteur terugbezorgen of, indien de gegevensexporteur dat verkiest, alle persoonsgegevens vernietigen en aan de gegevensexporteur verklaren dat de vernietiging heeft plaatsgevonden, tenzij de op de gegevensimporteur toepasselijke wetgeving hem verbiedt alle of een gedeelte van de doorgegeven persoonsgegevens terug te bezorgen of te vernietigen. […]”

42

Bij arrest van 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650), heeft het Hof beschikking 2000/520/EG van de Commissie van 26 juli 2000 overeenkomstig richtlijn 95/46 betreffende de gepastheid van de bescherming geboden door de veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer en de daarmee verband houdende vaak gestelde vragen die door het ministerie van Handel van de Verenigde Staten van Amerika zijn gepubliceerd (PB 2000, L 215, blz. 7), waarbij de Commissie had vastgesteld dat dit derde land een passend beschermingsniveau waarborgde, ongeldig verklaard.

43

Naar aanleiding van de uitspraak van dat arrest heeft de Commissie het privacyschildbesluit vastgesteld, na een beoordeling van de regeling van de Verenigde Staten met het oog op de vaststelling van dat besluit, zoals in overweging 65 ervan wordt gepreciseerd:

„De Commissie heeft een beoordeling verricht van de in de Amerikaanse wetgeving opgenomen beperkingen en waarborgen met betrekking tot de toegang tot en het gebruik van in het kader van het EU-VS-privacyschild doorgegeven persoonsgegevens door Amerikaanse overheidsdiensten ten behoeve van de nationale veiligheid, de rechtshandhaving en andere doeleinden van openbaar belang. Daarnaast heeft de Amerikaanse overheid, via haar Office of the Director of National Intelligence (ODNI) (bureau van de directeur van het nationale inlichtingenwerk) […], de Commissie gedetailleerde verklaringen en toezeggingen verstrekt, die in bijlage VI bij dit besluit zijn opgenomen. In een brief die door de minister van Buitenlandse Zaken is ondertekend, en die in bijlage III bij dit besluit is opgenomen, heeft de Amerikaanse overheid tevens toegezegd een nieuw toezichtsmechanisme voor ingrepen ten behoeve van de nationale veiligheid in het leven te roepen, namelijk de privacyschildombudsman, die onafhankelijk is van de inlichtingendiensten. Ten slotte worden in een in bijlage VII bij dit besluit opgenomen verklaring van het Amerikaanse ministerie van Justitie de beperkingen en waarborgen beschreven met betrekking tot de toegang tot en het gebruik van gegevens door overheidsdiensten ten behoeve van de rechtshandhaving en andere doeleinden van openbaar belang. Met het oog op grotere transparantie en om de wettelijke aard van deze toezeggingen tot uitdrukking te brengen, zullen alle vermelde en bij dit besluit gevoegde documenten in het Federal Register van de Verenigde Staten worden bekendgemaakt.”

44

De door de Commissie uitgevoerde analyse van deze beperkingen en waarborgen is samengevat in de overwegingen 67 tot en met 135 van het privacyschildbesluit, terwijl de conclusies van deze instelling over het passende beschermingsniveau in het kader van het EU-VS-privacyschild zijn opgenomen in de overwegingen 136 tot en met 141 ervan.

45

In de overwegingen 68, 69, 76, 77, 109, 112 tot en met 116, 120, 136 en 140 van dat besluit staat te lezen:

[…]

[…]

[…]

[…]

[…]

[…]

46

Artikel 1 van het privacyschildbesluit luidt:

„1.   Voor de toepassing van artikel 25, lid 2, van [richtlijn 95/46] waarborgen de Verenigde Staten een passend beschermingsniveau voor persoonsgegevens die van de Unie naar organisaties in de Verenigde Staten worden doorgegeven in het kader van het EU-VS-privacyschild.

2.   Het EU-VS-privacyschild bestaat uit de beginselen die op 7 juli 2016 door het Amerikaanse ministerie van Handel zijn gepubliceerd en in bijlage II zijn opgenomen, en de officiële verklaringen en toezeggingen die in de in de bijlagen I en III tot en met VII opgenomen documenten zijn vervat.

3.   Voor de toepassing van lid 1 worden persoonsgegevens doorgegeven in het kader van het EU-VS-privacyschild wanneer ze worden doorgegeven uit de Unie naar organisaties in de Verenigde Staten die op de ‚privacyschildlijst’ staan, die door het Amerikaanse ministerie van Handel wordt bijgehouden en bekendgemaakt, overeenkomstig de secties I en III van de in bijlage II opgenomen beginselen.”

47

Bijlage II bij het privacyschildbesluit, met als opschrift „Beginselen inzake het EU-VS-privacyschildkader opgesteld door het Amerikaanse ministerie van Handel”, bepaalt in punt I.5 dat de onderschrijving van deze beginselen kan worden beperkt met name door „de vereisten inzake de nationale veiligheid, het algemeen belang of rechtshandhaving”.

48

Bijlage III bij dit besluit bevat een brief van 7 juli 2016 van John Kerry, de toenmalige Secretary of State (minister van Buitenlandse Zaken, Verenigde Staten) aan de commissaris voor Justitie, Consumentenzaken en Gendergelijkheid, waaraan als bijlage A een memorandum is gehecht met als opschrift „EU-VS-privacyschildombudsmanmechanisme met betrekking tot inlichtingen uit het berichtenverkeer”, die de volgende passage bevat:

„Gelet op het belang van het EU-VS-privacyschildkader bevat dit memorandum de procedure voor de uitvoering van een nieuw mechanisme, in overeenstemming met [PPD‑28], met betrekking tot inlichtingen uit het berichtenverkeer.

[…] President Obama kondigde de uitvaardiging aan van een nieuwe presidentiële richtlijn – PPD‑28 – teneinde ‚duidelijk te bepalen wat we doen, en niet doen, als het op onze overzeese observatie aankomt’.

Sectie 4(d) van [PPD‑28] geeft de minister van Buitenlandse Zaken de opdracht om een ‚Senior Coordinator for International Information Technology Diplomacy’ (Senior Coordinator) te benoemen, die moet ‚[dienen] als aanspreekpunt voor buitenlandse regeringen die bezorgd zijn over activiteiten van de Verenigde Staten met betrekking tot inlichtingen uit berichtenverkeer.’

[…]

[…]”

49

Bijlage VI bij het privacyschildbesluit bevat een brief van 21 juni 2016 van het ODNI aan het Amerikaanse ministerie van Handel en de administratie voor internationale handel, waarin wordt gepreciseerd dat PPD‑28 het „‚bulksgewij[s]’ [verkrijgen van] een relatief groot volume informatie of gegevens uit berichtenverkeer [mogelijk maakt] onder omstandigheden waarin de inlichtingendiensten geen gebruik kunnen maken van een identificator die verband houdt met een specifiek doelwit […] waarop de verzameling wordt gericht”.

50

Schrems is een Oostenrijks staatsburger die in Oostenrijk woont, en sinds 2008 een gebruiker van het sociale netwerk Facebook (hierna: „Facebook”).

51

Al wie op het grondgebied van de Unie woont en Facebook wil gebruiken, moet bij zijn inschrijving een overeenkomst ondertekenen met Facebook Ireland, een dochteronderneming van Facebook Inc., die zelf in de Verenigde Staten is gevestigd. De persoonsgegevens van de gebruikers van Facebook die op het grondgebied van de Unie wonen, worden geheel of gedeeltelijk doorgegeven naar servers van Facebook Inc., die zich op het grondgebied van de Verenigde Staten bevinden, en worden daar verwerkt.

52

Op 25 juni 2013 heeft Schrems bij de DPC een klacht ingediend en in wezen verzocht om Facebook Ireland te verbieden zijn persoonsgegevens naar de Verenigde Staten door te geven, waarbij hij aanvoerde dat het in dat land geldende recht en de daar gangbare praktijk geen waarborgen boden voor afdoende bescherming van de op dat grondgebied bewaarde persoonsgegevens tegen surveillanceactiviteiten die daar door de overheidsinstanties werden uitgevoerd. Deze klacht is afgewezen, onder meer op grond dat de Commissie in haar beschikking 2000/520 had vastgesteld dat de Verenigde Staten een passend beschermingsniveau waarborgden.

53

De High Court (rechter in eerste aanleg, Ierland), waarbij Schrems beroep had ingesteld tegen de afwijzing van zijn klacht, heeft het Hof verzocht om een prejudiciële beslissing over de uitlegging en de geldigheid van beschikking 2000/520. Bij arrest van 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650), heeft het Hof die beschikking ongeldig verklaard.

54

Naar aanleiding van dit arrest heeft de verwijzende rechter de afwijzing van de klacht van Schrems nietig verklaard en zijn klacht naar de DPC terugverwezen. In het kader van het door de DPC ingestelde onderzoek heeft Facebook Ireland uitgelegd dat een groot deel van de persoonsgegevens werd doorgegeven aan Facebook Inc. op basis van de standaardbepalingen inzake gegevensbescherming die zijn opgenomen in de bijlage bij het MCB-besluit. Gelet daarop heeft de DPC Schrems verzocht zijn klacht te herformuleren.

55

In zijn op 1 december 2015 ingediende en aldus geherformuleerde klacht heeft Schrems met name aangevoerd dat Facebook Inc. naar Amerikaans recht ertoe verplicht is om de aan haar doorgegeven persoonsgegevens ter beschikking te stellen aan de Amerikaanse autoriteiten, zoals de National Security Agency (NSA) en de Federal Bureau of Investigation (FBI). Hij heeft betoogd dat, aangezien deze gegevens in het kader van verschillende surveillanceprogramma’s zijn gebruikt op een wijze die onverenigbaar is met de artikelen 7, 8 en 47 van het Handvest, het MCB-besluit de doorgifte van die gegevens naar de Verenigde Staten niet kan rechtvaardigen. Daarom heeft Schrems de DPC verzocht de doorgifte van zijn persoonsgegevens aan Facebook Inc. te verbieden of op te schorten.

56

Op 24 mei 2016 heeft de DPC een „ontwerpbesluit” met een samenvatting van de voorlopige conclusies van zijn onderzoek bekendgemaakt. In dat ontwerp heeft hij zich voorlopig op het standpunt gesteld dat het gevaar bestaat dat de naar de Verenigde Staten doorgegeven persoonsgegevens van burgers van de Unie door de Amerikaanse autoriteiten worden geraadpleegd en verwerkt op een wijze die onverenigbaar is met de artikelen 7 en 8 van het Handvest, en dat het recht van de Verenigde Staten deze burgers geen beroepsgangen biedt die verenigbaar zijn met artikel 47 van het Handvest. De DPC heeft geoordeeld dat de standaardbepalingen inzake gegevensbescherming van de bijlage bij het MCB-besluit dit gebrek niet kunnen verhelpen, aangezien zij de betrokkenen slechts contractuele rechten jegens de gegevensimporteur en -exporteur verlenen zonder evenwel de Amerikaanse autoriteiten te binden.

57

Van oordeel dat de geherformuleerde klacht van Schrems in die omstandigheden de vraag naar de geldigheid van het MCB-besluit deed rijzen, heeft de DPC, onder verwijzing naar de rechtspraak die voortvloeit uit het arrest van 6 oktober 2015, Schrems (C‑362/14, EU:C:2015:650, punt 65), zich op 31 mei 2016 tot de High Court gewend, met verzoek het Hof daarover vragen te stellen. Bij beslissing van 4 mei 2018 heeft de High Court de onderhavige zaak prejudicieel naar het Hof verwezen.

58

De High Court heeft bij zijn verzoek om een prejudiciële beslissing een uitspraak van 3 oktober 2017 gevoegd, waarin deze rechter de uitkomst had vastgelegd van het onderzoek van de bewijzen die waren overgelegd in het kader van de nationale procedure waaraan de Amerikaanse regering had deelgenomen.

59

In die uitspraak, waarnaar het verzoek om een prejudiciële beslissing herhaaldelijk verwijst, heeft de verwijzende rechter opgemerkt dat hij in beginsel niet alleen het recht maar ook de verplichting heeft om alle voor hem aangevoerde feiten en argumenten te onderzoeken teneinde op basis daarvan te beslissen of een prejudiciële verwijzing vereist is. Hoe dan ook moet hij rekening houden met eventuele wijzigingen van het recht tussen de instelling van het beroep en de terechtzitting ten overstaan van de rechter. Deze rechter heeft gepreciseerd dat zijn eigen beoordeling in het hoofdgeding niet beperkt is tot de door de DPC aangevoerde middelen van ongeldigheid, zodat hij ook andere middelen van ongeldigheid ambtshalve kan opwerpen en op basis daarvan de zaak prejudicieel kan verwijzen.

60

Volgens de vaststellingen in die uitspraak zijn de inlichtingenactiviteiten van de Amerikaanse autoriteiten met betrekking tot de naar de Verenigde Staten doorgegeven persoonsgegevens met name gebaseerd op section 702 FISA en op E.O. 12333.

61

Wat section 702 FISA betreft, preciseert de verwijzende rechter in diezelfde uitspraak dat dit artikel de procureur-generaal en de directeur van de nationale inlichtingen de mogelijkheid biedt om, teneinde „buitenlandse inlichtingen” te verkrijgen, na goedkeuring door de FISC, gezamenlijk toestemming te verlenen voor de surveillance van niet-Amerikanen die zich buiten het grondgebied van de Verenigde Staten bevinden, met name ter ondersteuning van de surveillanceprogramma’s PRISM en Upstream. Volgens de vaststellingen van deze rechter zijn de aanbieders van internetdiensten in het kader van het PRISM-programma ertoe gehouden om de NSA alle aan de hand van een „selectieterm” verzonden en ontvangen communicatie te verstrekken, waarvan een deel ook aan de FBI en aan de Central Intelligence Agency (CIA) (centrale inlichtingendienst) wordt doorgegeven.

62

Wat het Upstream-programma betreft, heeft deze rechter vastgesteld dat in het kader van dit programma de telecommunicatiebedrijven die de „ruggengraat” van het internet exploiteren – dat wil zeggen het kabelnetwerk, de schakelaars en de routers – ertoe verplicht zijn om de NSA toe te laten om internetverkeersstromen te kopiëren en te filteren met het oog op het verzamelen van de door een „selectieterm” aangeduide communicatie die wordt verzonden of ontvangen door of betreffende een niet-Amerikaans staatsburger. In het kader van dat programma heeft de NSA volgens de vaststellingen van deze rechter toegang tot zowel de metadata als de inhoud van die communicatie.

63

Wat E.O. 12333 betreft, stelt de verwijzende rechter vast dat dit uitvoeringsbevel de NSA in staat stelt toegang te krijgen tot „gegevens tijdens de doorvoer” naar de Verenigde Staten, doordat toegang mogelijk is tot de onderzeese kabels op de Atlantische bodem, en deze gegevens te verzamelen en te bewaren voordat zij in de Verenigde Staten aankomen en aan de FISA-bepalingen worden onderworpen. Hij preciseert dat de op E.O. 12333 gebaseerde activiteiten niet aan de wet onderworpen zijn.

64

Wat de aan de inlichtingenactiviteiten gestelde beperkingen betreft, benadrukt de verwijzende rechter dat niet-Amerikanen uitsluitend onder PPD‑28 vallen en dat daarin enkel wordt aangegeven dat de inlichtingenactiviteiten „zo gericht mogelijk” (as tailored as feasible) zouden moeten zijn. Op basis van zijn vaststellingen is deze rechter van oordeel dat de Verenigde Staten massaal gegevens verwerken zonder een bescherming te bieden die in grote lijnen overeenkomt met die welke wordt gewaarborgd door de artikelen 7 en 8 van het Handvest.

65

Wat rechterlijke bescherming betreft, zet diezelfde rechter uiteen dat de burgers van de Unie geen toegang hebben tot dezelfde beroepsgangen als die waarover Amerikaanse staatsburgers beschikken tegen de verwerking van persoonsgegevens door de Amerikaanse autoriteiten, aangezien het vierde amendement van de Constitution of the United States (grondwet van de Verenigde Staten), dat naar Amerikaans recht de belangrijkste bescherming tegen onrechtmatige surveillance biedt, niet van toepassing is op Unieburgers. De verwijzende rechter preciseert in dat verband dat de beroepsgangen die dan nog overblijven voor deze burgers grote hindernissen opwerpen, met name de verplichting – die deze rechter uitermate moeilijk te vervullen noemt – voor deze personen om hun procesbevoegdheid aan te tonen. Volgens de vaststellingen van deze rechter zijn de op E.O. 12333 gebaseerde activiteiten van de NSA voorts niet onderworpen aan enig rechterlijk toezicht en kan er geen beroep in rechte tegen worden ingesteld. Ten slotte is deze rechter van oordeel dat, aangezien volgens hem de privacyschildombudsman geen gerecht in de zin van artikel 47 van het Handvest is, het Amerikaanse recht de burgers van de Unie geen niveau van bescherming biedt dat in grote lijnen overeenkomt met dat van het in dat artikel verankerde grondrecht.

66

In zijn verzoek om een prejudiciële beslissing preciseert de verwijzende rechter voorts dat de partijen in het hoofdgeding het met name oneens zijn over de vraag of het Unierecht van toepassing is op de doorgifte naar een derde land van persoonsgegevens die door de autoriteiten van dat land met name voor de nationale veiligheid kunnen worden verwerkt, en over welke elementen in aanmerking moeten worden genomen bij de beoordeling van het door dat land geboden passende beschermingsniveau. Deze rechter merkt in het bijzonder op dat volgens Facebook Ireland de vaststellingen van de Commissie over de gepastheid van het door een derde land gewaarborgde beschermingsniveau, zoals de vaststellingen in het privacyschildbesluit, de toezichthoudende autoriteiten ook binden in de context van een doorgifte van persoonsgegevens op basis van de standaardbepalingen inzake gegevensbescherming van de bijlage bij het MCB-besluit.

67

Wat deze standaardbepalingen inzake gegevensbescherming betreft, vraagt deze rechter zich af of het MCB-besluit kan worden geacht geldig te zijn, ook al zijn die bepalingen volgens diezelfde rechter niet bindend voor de overheidsinstanties van het betrokken derde land en kunnen zij dus het eventuele ontbreken van een passend beschermingsniveau in dat land niet verhelpen. In dit verband is hij van oordeel dat de bij artikel 4, lid 1, onder a), van besluit 2010/87, in de versie van vóór de inwerkingtreding van uitvoeringsbesluit 2016/2297, aan de bevoegde autoriteiten van de lidstaten toegekende mogelijkheid om de doorgifte van persoonsgegevens naar een derde land te verbieden, waarbij aan de importeur verplichtingen worden opgelegd die onverenigbaar zijn met de in die bepalingen vervatte waarborgen, illustreert dat de stand van het recht van het derde land het verbod van doorgifte van gegevens kan rechtvaardigen, zelfs indien deze gegevens op basis van de standaardbepalingen inzake gegevensbescherming van de bijlage bij het MCB-besluit zijn doorgegeven, en derhalve duidelijk maakt dat deze bepalingen ontoereikend kunnen zijn om een passende bescherming te waarborgen. De verwijzende rechter vraagt zich dan ook af wat de omvang is van de bevoegdheid van de DPC om de doorgifte van gegevens op basis van die bepalingen te verbieden, waarbij zijns inziens een discretionaire bevoegdheid niet kan volstaan om een passende bescherming te verzekeren.

68

Tegen deze achtergrond heeft de High Court de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

69

Facebook Ireland, de Duitse regering en de regering van het Verenigd Koninkrijk betogen dat het verzoek om een prejudiciële beslissing niet-ontvankelijk is.

70

Wat de door Facebook Ireland opgeworpen exceptie betreft, merkt deze vennootschap op dat de bepalingen van richtlijn 95/46 waarop de prejudiciële vragen zijn gebaseerd, bij de AVG zijn ingetrokken.

71

Hoewel het juist is dat richtlijn 95/46 krachtens artikel 94, lid 1, AVG met ingang van 25 mei 2018 is ingetrokken, was deze richtlijn nog van kracht toen op 4 mei 2018 het onderhavige verzoek om een prejudiciële beslissing, dat op 9 mei 2018 bij het Hof is ingekomen, werd ingediend. Bovendien zijn artikel 3, lid 2, eerste streepje, de artikelen 25 en 26, en artikel 28, lid 3, van richtlijn 95/46, waarnaar de prejudiciële vragen verwijzen, in wezen overgenomen in respectievelijk artikel 2, lid 2, en de artikelen 45, 46 en 58 AVG. Bovendien dient eraan te worden herinnerd dat het Hof tot taak heeft alle bepalingen van het recht van de Unie uit te leggen die noodzakelijk zijn voor de beslechting van bij de nationale rechterlijke instanties aanhangige gedingen, ook wanneer die bepalingen niet uitdrukkelijk worden genoemd in de door die rechterlijke instanties gestelde vragen (arrest van 2 april 2020, Ruska Federacija, C‑897/19 PPU, EU:C:2020:262, punt 43 en aldaar aangehaalde rechtspraak). Om die verschillende redenen kan de omstandigheid dat de verwijzende rechter bij de formulering van de prejudiciële vragen uitsluitend heeft verwezen naar de bepalingen van richtlijn 95/46, niet leiden tot de niet-ontvankelijkheid van het onderhavige verzoek om een prejudiciële beslissing.

72

De Duitse regering baseert haar exceptie van niet-ontvankelijkheid op de omstandigheid dat, ten eerste, de DPC slechts twijfels en geen definitief standpunt over de geldigheid van het MCB-besluit heeft geuit en dat, ten tweede, de verwijzende rechter heeft nagelaten na te gaan of Schrems zonder twijfel had ingestemd met de in het hoofdgeding aan de orde zijnde doorgifte van gegevens, hetgeen, indien dat het geval was, tot gevolg zou hebben dat een antwoord op deze vraag overbodig zou zijn. Ten slotte zijn de prejudiciële vragen volgens de regering van het Verenigd Koninkrijk hypothetisch aangezien deze rechter niet heeft vastgesteld dat de betreffende gegevens daadwerkelijk op basis van dat besluit zijn doorgegeven.

73

Volgens vaste rechtspraak van het Hof is het uitsluitend een zaak van de nationale rechter aan wie het geschil is voorgelegd en die de verantwoordelijkheid voor de te geven rechterlijke beslissing draagt, om, rekening houdend met de bijzonderheden van het geval, zowel de noodzaak van een prejudiciële beslissing voor het wijzen van zijn vonnis als de relevantie van de vragen die hij aan het Hof voorlegt, te beoordelen. Wanneer de gestelde vragen betrekking hebben op de uitlegging of de geldigheid van een Unierechtelijke regel, is het Hof derhalve in beginsel verplicht daarop te antwoorden. Bijgevolg geldt voor door nationale rechters gestelde vragen over het Unierecht een vermoeden van relevantie. Het Hof kan slechts weigeren uitspraak te doen op een door een nationale rechterlijke instantie gestelde prejudiciële vraag, wanneer blijkt dat de gevraagde uitlegging geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het vraagstuk van hypothetische aard is of wanneer het Hof niet beschikt over de gegevens, feitelijk en rechtens, die noodzakelijk zijn om een zinvol antwoord te geven op de gestelde vragen (arresten van 16 juni 2015, Gauweiler e.a., C‑62/14, EU:C:2015:400, punten 24 en 25; 2 oktober 2018, Ministerio Fiscal, C‑207/16, EU:C:2018:788, punt 45, en 19 december 2019, Dobersberger, C‑16/18, EU:C:2019:1110, punten 18 en 19).

74

In casu bevat het verzoek om een prejudiciële beslissing voldoende feitelijke en juridische gegevens om de reikwijdte van de prejudiciële vragen te begrijpen. Bovendien en vooral kan uit geen enkel element van het dossier waarover het Hof beschikt worden afgeleid dat de gevraagde uitlegging van het Unierecht geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, of hypothetisch van aard is, met name omdat de in het hoofdgeding aan de orde zijnde doorgifte van persoonsgegevens zou zijn gebaseerd op de uitdrukkelijke toestemming van de betrokkene met die doorgifte, en niet op het MCB-besluit. Volgens de aanwijzingen in dit verzoek heeft Facebook Ireland immers erkend dat zij de persoonsgegevens van haar in de Unie wonende gebruikers aan Facebook Inc. doorgeeft en dat een groot deel van deze doorgiften, waarvan Schrems de rechtmatigheid betwist, plaatsvindt op basis van de standaardbepalingen inzake gegevensbescherming van de bijlage bij het MCB-besluit.

75

Bovendien is het voor de ontvankelijkheid van het onderhavige verzoek om een prejudiciële beslissing niet van belang dat de DPC geen definitief standpunt heeft ingenomen over de geldigheid van dat besluit, aangezien de verwijzende rechter van oordeel is dat het antwoord op de prejudiciële vragen over de uitlegging en de geldigheid van regels van Unierecht noodzakelijk is voor de beslechting van het hoofdgeding.

76

Bijgevolg is het verzoek om een prejudiciële beslissing ontvankelijk.

77

Vooraf moet eraan worden herinnerd dat het onderhavige verzoek om een prejudiciële beslissing zijn oorsprong vindt in een klacht van Schrems waarin de DPC wordt verzocht om voor de toekomst de opschorting of het verbod te gelasten van de doorgifte van zijn persoonsgegevens door Facebook Ireland aan Facebook Inc. Ook al verwijzen de prejudiciële vragen naar richtlijn 95/46, het staat vast dat de DPC nog geen definitieve beslissing had genomen met betrekking tot deze klacht toen deze richtlijn werd ingetrokken en met ingang van 25 mei 2018 werd vervangen door de AVG.

78

Deze afwezigheid van een nationale beslissing vormt het punt van verschil tussen de situatie in het hoofdgeding en de situaties die hebben geleid tot de arresten van 24 september 2019, Google (Territoriale werkingssfeer van de verwijdering van links) (C‑507/17, EU:C:2019:772), en 1 oktober 2019, Planet49 (C‑673/17, EU:C:2019:801), waarin het ging om beslissingen die waren genomen vóór de intrekking van die richtlijn.

79

Bijgevolg moeten de prejudiciële vragen worden beantwoord in het licht van de bepalingen van de AVG en niet van die van richtlijn 95/46.

80

Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 2, lid 1, en artikel 2, lid 2, onder a), b) en d), AVG, gelezen in samenhang met artikel 4, lid 2, VEU, aldus moeten worden uitgelegd dat de doorgifte van persoonsgegevens door een in een lidstaat gevestigde marktdeelnemer aan een andere, in een derde land gevestigde marktdeelnemer binnen de werkingssfeer van die verordening valt wanneer deze gegevens tijdens of na die doorgifte door de autoriteiten van dit derde land kunnen worden verwerkt ten behoeve van de openbare veiligheid, defensie of de veiligheid van de staat.

81

In dit verband moet om te beginnen worden opgemerkt dat het bepaalde in artikel 4, lid 2, VEU, volgens hetwelk binnen de Unie de nationale veiligheid tot de uitsluitende verantwoordelijkheid van elke lidstaat behoort, uitsluitend betrekking heeft op de lidstaten van de Unie. Bijgevolg is deze bepaling in casu niet relevant voor de uitlegging van artikel 2, lid 1, en artikel 2, lid 2, onder a), b) en d), AVG.

82

Volgens artikel 2, lid 1, AVG is deze verordening van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Artikel 4, punt 2, van deze verordening definieert het begrip „verwerking” als „een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés” en verwijst bij wijze van voorbeeld naar „[het] verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen”, zonder onderscheid te maken naargelang deze bewerkingen binnen de Unie zijn verricht dan wel verband houden met een derde land. Bovendien onderwerpt die verordening de doorgifte van persoonsgegevens naar derde landen aan bijzondere regels, die zijn opgenomen in hoofdstuk V, met als opschrift „Doorgifte van persoonsgegevens naar derde landen of internationale organisaties”, en daarnaast verleent zij de toezichthoudende autoriteiten daartoe de in artikel 58, lid 2, onder j), van die verordening bedoelde specifieke bevoegdheden.

83

Hieruit volgt dat de bewerking die bestaat in de doorgifte van persoonsgegevens vanuit een lidstaat naar een derde land, als zodanig een verwerking van persoonsgegevens is in de zin van artikel 4, punt 2, AVG, uitgevoerd op het grondgebied van een lidstaat, en dat op die verwerking deze verordening van toepassing is op grond van artikel 2, lid 1, ervan [zie naar analogie over artikel 2, onder b), en artikel 3, lid 1, van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 45 en aldaar aangehaalde rechtspraak].

84

Wat de vraag betreft of een dergelijke bewerking kan worden geacht uitgesloten te zijn van de werkingssfeer van de AVG op grond van artikel 2, lid 2, ervan, moet eraan worden herinnerd dat deze bepaling voorziet in uitzonderingen op de in artikel 2, lid 1, omschreven werkingssfeer van deze verordening en dat deze uitzonderingen strikt moeten worden uitgelegd (zie naar analogie over artikel 3, lid 2, van richtlijn 95/46, arrest van 10 juli 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punt 37 en aldaar aangehaalde rechtspraak).

85

In casu valt de in het hoofdgeding aan de orde zijnde doorgifte van persoonsgegevens door Facebook Ireland aan Facebook Inc., te weten tussen twee rechtspersonen, niet onder artikel 2, lid 2, onder c), AVG, dat betrekking heeft op de verwerking van gegevens door een natuurlijke persoon in het kader van een strikt persoonlijke of huishoudelijke activiteit. Die doorgifte valt evenmin onder de uitzonderingen van artikel 2, lid 2, onder a), b), of d), van deze verordening, aangezien de daar als voorbeeld genoemde activiteiten in alle gevallen specifieke activiteiten van staten of overheidsdiensten zijn en niets van doen hebben met de gebieden waarop particulieren activiteiten ontplooien (zie naar analogie over artikel 3, lid 2, van richtlijn 95/46, arrest van 10 juli 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punt 38 en aldaar aangehaalde rechtspraak).

86

De mogelijkheid dat persoonsgegevens die voor commerciële doeleinden tussen twee marktdeelnemers worden doorgegeven, tijdens of na de doorgifte door de autoriteiten van het betrokken derde land worden verwerkt ten behoeve van de openbare veiligheid, defensie en de veiligheid van de staat, kan die doorgifte niet uitsluiten van de werkingssfeer van de AVG.

87

Doordat de Commissie uitdrukkelijk ertoe wordt verplicht om bij de beoordeling van de gepastheid van het door een derde land geboden beschermingsniveau met name rekening te houden met „de toepasselijke algemene en sectorale wetgeving, onder meer inzake openbare veiligheid, defensie, nationale veiligheid en strafrecht en de toegang van overheidsinstanties tot persoonsgegevens, evenals de tenuitvoerlegging van die wetgeving”, blijkt uit de bewoordingen zelf van artikel 45, lid 2, onder a), van die verordening overigens duidelijk dat de eventuele verwerking van de betrokken gegevens door een derde land voor doeleinden van openbare veiligheid, defensie en de veiligheid van de staat, geen afbreuk doet aan de toepasselijkheid van die verordening op de betrokken doorgifte.

88

Hieruit volgt dat een dergelijke doorgifte niet buiten de werkingssfeer van de AVG kan vallen op grond dat de betrokken gegevens tijdens of na die doorgifte door de autoriteiten van het betrokken derde land kunnen worden verwerkt ten behoeve van de openbare veiligheid, defensie en de veiligheid van de staat.

89

Bijgevolg moet op de eerste vraag worden geantwoord dat artikel 2, leden 1 en 2, AVG aldus moet worden uitgelegd dat de doorgifte van persoonsgegevens voor commerciële doeleinden door een in een lidstaat gevestigde marktdeelnemer aan een andere, in een derde land gevestigde marktdeelnemer binnen de werkingssfeer van deze verordening valt, ook al kunnen deze gegevens tijdens of na die doorgifte door de autoriteiten van het betrokken derde land worden verwerkt ten behoeve van de openbare veiligheid, defensie en de veiligheid van de staat.

90

Met zijn tweede, derde en zesde vraag wenst de verwijzende rechter in wezen van het Hof te vernemen wat het door artikel 46, lid 1 en lid 2, onder c), AVG vereiste beschermingsniveau is in het kader van de doorgifte van persoonsgegevens naar een derde land op basis van standaardbepalingen inzake gegevensbescherming. In het bijzonder verzoekt deze rechter het Hof te preciseren welke aspecten in aanmerking moeten worden genomen om te bepalen of dit beschermingsniveau in de context van een dergelijke doorgifte is gewaarborgd.

91

Wat het vereiste beschermingsniveau betreft, volgt uit deze bepalingen, in hun onderlinge samenhang gelezen, dat bij ontstentenis van een adequaatheidsbesluit uit hoofde van artikel 45, lid 3, van die verordening de verwerkingsverantwoordelijke of de verwerker persoonsgegevens slechts naar een derde land mag doorgeven indien hij in „passende waarborgen” heeft voorzien en op voorwaarde dat de betrokkenen beschikken over „afdwingbare rechten en doeltreffende rechtsmiddelen”, waarbij deze passende waarborgen met name kunnen worden geboden door middel van door de Commissie vastgestelde standaardbepalingen inzake gegevensbescherming.

92

Artikel 46 AVG preciseert weliswaar niet de aard van de eisen die voortvloeien uit deze verwijzing naar „passende waarborgen”, „afdwingbare rechten” en „doeltreffende rechtsmiddelen”, maar dit artikel staat in hoofdstuk V van deze verordening en moet bijgevolg worden gelezen in het licht van artikel 44 ervan, met als opschrift „Algemeen beginsel inzake doorgiften”, dat bepaalt dat „[a]lle bepalingen [van dit hoofdstuk] worden toegepast opdat het door deze verordening voor natuurlijke personen gewaarborgde beschermingsniveau niet wordt ondermijnd”. Dit beschermingsniveau moet bijgevolg worden gewaarborgd ongeacht de bepaling van dat hoofdstuk op basis waarvan persoonsgegevens naar een derde land worden doorgegeven.

93

Zoals de advocaat-generaal in punt 117 van zijn conclusie heeft opgemerkt, beogen de bepalingen van hoofdstuk V AVG immers de continuïteit van het hoge niveau van deze bescherming bij doorgifte van persoonsgegevens naar een derde land te waarborgen, overeenkomstig het in overweging 6 van die verordening nader omschreven doel.

94

Artikel 45, lid 1, eerste volzin, AVG bepaalt dat de doorgifte van persoonsgegevens naar een derde land kan worden toegestaan door middel van een besluit waarin de Commissie vaststelt dat dit derde land, een gebied of één of meerdere daarin bepaalde sectoren een passend beschermingsniveau waarborgen. In dit verband moet de uitdrukking „passend beschermingsniveau”, zoals wordt bevestigd door overweging 104 van die verordening, aldus worden opgevat dat het, zonder te eisen dat het betrokken derde land hetzelfde beschermingsniveau waarborgt als dat binnen de rechtsorde van de Unie, vereist dat dit derde land, op grond van zijn nationale wetgeving of zijn internationale verbintenissen, daadwerkelijk een niveau van bescherming van de vrijheden en grondrechten waarborgt dat in grote lijnen overeenkomt met het niveau dat binnen de Unie wordt gewaarborgd krachtens die verordening, gelezen in het licht van het Handvest. Zonder een dergelijk vereiste zou immers afbreuk worden gedaan aan het in het vorige punt vermelde doel (zie naar analogie over artikel 25, lid 6, van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 73).

95

In dit kader staat in overweging 107 AVG te lezen dat wanneer „een derde land, een gebied of een bepaalde verwerkingssector in een derde land […] geen passend beschermingsniveau meer [waarborgt,] [d]e doorgifte van persoonsgegevens naar dat derde land dient […] te worden verboden, tenzij aan de vereisten van deze verordening met betrekking tot doorgiften die onderworpen zijn aan passende waarborgen […] wordt voldaan”. Daartoe preciseert overweging 108 van die verordening dat, indien er geen adequaatheidsbesluit is genomen, de passende waarborgen die de verwerkingsverantwoordelijke of de verwerker overeenkomstig artikel 46, lid 1, van die verordening moet bieden, „het ontoereikende niveau van gegevensbescherming in een derde land […] [moeten] verhelpen” om „de naleving van gegevensbeschermingsvereisten en de geldende rechten van betrokkenen voor verwerkingen binnen de Unie [te] waarborgen”.

96

Zoals de advocaat-generaal in punt 115 van zijn conclusie heeft opgemerkt, volgt hieruit dat deze passende waarborgen moeten kunnen verzekeren dat personen wier persoonsgegevens naar een derde land worden doorgegeven op basis van standaardbepalingen inzake gegevensbescherming, zoals in het kader van doorgifte op basis van een adequaatheidsbesluit, een beschermingsniveau genieten dat in grote lijnen overeenkomt met het binnen de Unie gewaarborgde beschermingsniveau.

97

De verwijzende rechter vraagt zich tevens af of dit beschermingsniveau dat in grote lijnen overeenkomt met het binnen de Unie gewaarborgde beschermingsniveau, moet worden bepaald onder verwijzing naar het Unierecht, met name de door het Handvest gewaarborgde rechten en/of de grondrechten die zijn neergelegd in het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: „EVRM”), dan wel onder verwijzing naar het nationale recht van de lidstaten.

98

In dit verband dient eraan te worden herinnerd dat hoewel de door het EVRM gewaarborgde grondrechten, zoals artikel 6, lid 3, VEU bevestigt, als algemene beginselen deel uitmaken van het recht van de Unie en hoewel artikel 52, lid 3, van het Handvest bepaalt dat rechten uit het Handvest die corresponderen met rechten die zijn gegarandeerd door het EVRM, dezelfde inhoud en reikwijdte hebben als die welke er door dit verdrag aan worden toegekend, het EVRM, zolang de Unie er geen partij bij is, geen formeel in de rechtsorde van de Unie opgenomen rechtsinstrument is (arresten van 26 februari 2013, Åkerberg Fransson, C‑617/10, EU:C:2013:105, punt 44 en aldaar aangehaalde rechtspraak, en 20 maart 2018, Menci, C‑524/15, EU:C:2018:197, punt 22).

99

Gelet daarop heeft het Hof geoordeeld dat de uitlegging van het Unierecht en het onderzoek van de geldigheid van de Uniehandelingen dienen plaats te vinden aan de hand van de door het Handvest gewaarborgde grondrechten (zie naar analogie arrest van 20 maart 2018, Menci, C‑524/15, EU:C:2018:197, punt 24).

100

Het is bovendien vaste rechtspraak dat de geldigheid van Unierechtelijke bepalingen en, zonder een uitdrukkelijke verwijzing naar het nationale recht van de lidstaten, de uitlegging ervan niet mogen worden getoetst aan het nationale recht, zelfs niet aan het grondwettelijke recht, inzonderheid aan de grondrechten zoals die in de nationale grondwet zijn neergelegd (zie in die zin arresten van 17 december 1970, Internationale Handelsgesellschaft, 11/70, EU:C:1970:114, punt 3; 13 december 1979, Hauer, 44/79, EU:C:1979:290, punt 14, en 18 oktober 2016, Nikiforidis, C‑135/15, EU:C:2016:774, punt 28 en aldaar aangehaalde rechtspraak).

101

Hieruit volgt dat, aangezien, ten eerste, de doorgifte van persoonsgegevens – zoals in casu – voor commerciële doeleinden door een in een lidstaat gevestigde marktdeelnemer aan een andere, in een derde land gevestigde marktdeelnemer binnen de werkingssfeer van de AVG valt, zoals blijkt uit het antwoord op de eerste vraag, en, ten tweede, deze verordening, zoals blijkt uit overweging 10 ervan, met name een consistent en hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen en daartoe een coherente en homogene toepassing van de regels inzake bescherming van de grondrechten van deze personen in verband met de verwerking van persoonsgegevens binnen de gehele Unie wil verzekeren, het door artikel 46, lid 1, van deze verordening vereiste beschermingsniveau van de grondrechten met betrekking tot de verwerking van persoonsgegevens moet worden bepaald op grond van de bepalingen van diezelfde verordening, gelezen in het licht van de door het Handvest gewaarborgde grondrechten.

102

De verwijzende rechter wenst nog te vernemen met welke aspecten rekening moet worden gehouden om te bepalen of het beschermingsniveau passend is in het kader van de doorgifte van persoonsgegevens naar een derde land op basis van krachtens artikel 46, lid 2, onder c), AVG vastgestelde standaardbepalingen inzake gegevensbescherming.

103

Hoewel deze bepaling niet opsomt met welke verschillende aspecten rekening moet worden gehouden om te beoordelen of het bij een dergelijke doorgifte na te leven beschermingsniveau passend is, preciseert artikel 46, lid 1, van de verordening dat de betrokkenen over passende waarborgen, afdwingbare rechten en doeltreffende rechtsmiddelen moeten beschikken.

104

Bij de beoordeling die daartoe in het kader van een dergelijke doorgifte vereist is, moet met name rekening worden gehouden met zowel de contractuele bepalingen die zijn overeengekomen tussen de in de Unie gevestigde verwerkingsverantwoordelijke of zijn in de Unie gevestigde verwerker en de in het betrokken derde land gevestigde ontvanger van de doorgifte, als, wat een eventuele toegang van de overheidsinstanties van dat derde land tot de doorgegeven persoonsgegevens betreft, de relevante aspecten van het rechtsstelsel van dat derde land. Wat dit laatste element betreft, stemmen de aspecten die in de context van artikel 46 van deze verordening in aanmerking moeten worden genomen, overeen met die welke in artikel 45, lid 2, ervan op niet-uitputtende wijze zijn vermeld.

105

Bijgevolg dient op de tweede, de derde en de zesde vraag te worden geantwoord dat artikel 46, lid 1 en lid 2, onder c), AVG aldus moet worden uitgelegd dat de door deze bepaling vereiste passende waarborgen, afdwingbare rechten en doeltreffende rechtsmiddelen moeten verzekeren dat de rechten van personen wier persoonsgegevens op basis van standaardbepalingen inzake gegevensbescherming naar een derde land worden doorgegeven, in grote lijnen overeenkomen met het beschermingsniveau dat binnen de Unie wordt gewaarborgd door die verordening, gelezen in het licht van het Handvest. Daartoe moet bij de beoordeling van het bij een dergelijke doorgifte gewaarborgde beschermingsniveau rekening worden gehouden met zowel de contractuele bepalingen die zijn overeengekomen tussen de in de Unie gevestigde verwerkingsverantwoordelijke of zijn in de Unie gevestigde verwerker en de in het betrokken derde land gevestigde ontvanger van de doorgifte, als, wat een eventuele toegang van de overheidsinstanties van dat derde land tot de doorgegeven persoonsgegevens betreft, de relevante aspecten van het rechtsstelsel van dat derde land, met name die welke worden vermeld in artikel 45, lid 2, van die verordening.

106

Met zijn achtste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 58, lid 2, onder f) en j), AVG aldus moet worden uitgelegd dat de bevoegde toezichthoudende autoriteit ertoe verplicht is om de doorgifte van persoonsgegevens naar een derde land op basis van door de Commissie vastgestelde standaardbepalingen inzake gegevensbescherming op te schorten of te verbieden, wanneer deze toezichthoudende autoriteit van oordeel is dat die bepalingen in dat derde land niet worden of niet kunnen worden nageleefd en dat de bescherming van de doorgegeven gegevens, zoals vereist door het Unierecht, inzonderheid door de artikelen 45 en 46 AVG en door het Handvest, niet kan worden gewaarborgd, dan wel aldus dat de uitoefening van deze bevoegdheden slechts mogelijk is in uitzonderlijke gevallen.

107

Overeenkomstig artikel 8, lid 3, van het Handvest alsook artikel 51, lid 1, en artikel 57, lid 1, onder a), AVG zijn de nationale toezichthoudende autoriteiten belast met het toezicht op de naleving van de Unieregels inzake de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Elk van hen is derhalve bevoegd om na te gaan of bij doorgifte van persoonsgegevens vanuit de lidstaat waaronder zij valt naar een derde land is voldaan aan de vereisten van deze verordening (zie naar analogie over artikel 28 van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 47).

108

Uit deze bepalingen volgt dat de toezichthoudende autoriteiten in de eerste plaats tot taak hebben de toepassing van de AVG te controleren en toe te zien op de naleving ervan. De uitoefening van deze taak is van bijzonder belang in de context van de doorgifte van persoonsgegevens naar een derde land aangezien het, zoals blijkt uit de bewoordingen zelf van overweging 116 van die verordening, „[b]ij grensoverschrijdend verkeer van persoonsgegevens naar landen buiten de Unie […] voor natuurlijke personen moeilijker [kan] worden hun gegevensbeschermingsrechten uit te oefenen, met name teneinde zich te beschermen tegen onrechtmatig gebruik of onrechtmatige openbaarmaking van die informatie”. Zoals in diezelfde overweging wordt gepreciseerd, kan het in dat geval „voor de toezichthoudende autoriteiten onmogelijk worden klachten te behandelen of onderzoek te verrichten met betrekking tot activiteiten in het buitenland”.

109

Voorts bepaalt artikel 57, lid 1, onder f), AVG dat elke toezichthoudende autoriteit op haar grondgebied de klachten moet behandelen die eenieder overeenkomstig artikel 77, lid 1, van die verordening het recht heeft in te dienen wanneer hij van oordeel is dat een verwerking van hem betreffende persoonsgegevens schending van die verordening oplevert, en het voorwerp van die klachten voor zover nodig moet onderzoeken. De toezichthoudende autoriteit moet een dergelijke klacht met de nodige voortvarendheid en zorgvuldigheid onderzoeken (zie naar analogie over artikel 25, lid 6, van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 63).

110

Artikel 78, leden 1 en 2, AVG verleent iedere persoon het recht om een doeltreffende voorziening in rechte in te stellen, met name indien de toezichthoudende autoriteit zijn klacht niet behandelt. Overweging 141 van deze verordening verwijst ook naar dit „recht op een doeltreffende voorziening in rechte overeenkomstig artikel 47 van het Handvest” indien deze toezichthoudende autoriteit „niet optreedt wanneer zulk optreden noodzakelijk is ter bescherming van de rechten van de betrokkene”.

111

Voor de behandeling van klachten verleent artikel 58, lid 1, AVG elke toezichthoudende autoriteit ruime onderzoeksbevoegdheden. Wanneer een dergelijke autoriteit na afloop van haar onderzoek van mening is dat de betrokkene wiens persoonsgegevens naar een derde land zijn doorgegeven in dat derde land geen passend beschermingsniveau geniet, is zij op grond van het Unierecht ertoe verplicht om op gepaste wijze te reageren teneinde de vastgestelde ontoereikendheid te verhelpen, ongeacht de oorsprong of de aard van die ontoereikendheid. Daartoe somt artikel 58, lid 2, van deze verordening op welke corrigerende maatregelen de toezichthoudende autoriteit kan nemen.

112

Hoewel de keuze van het passende en noodzakelijke middel een zaak is van de toezichthoudende autoriteit en deze autoriteit bij het maken van die keuze alle omstandigheden van de betrokken doorgifte van persoonsgegevens in aanmerking moet nemen, is deze autoriteit niettemin ertoe gehouden zich met de nodige voortvarendheid en zorgvuldigheid te kwijten van haar taak om toe te zien op de volledige naleving van de AVG.

113

Zoals ook de advocaat-generaal in punt 148 van zijn conclusie heeft opgemerkt, moet voornoemde autoriteit op grond van artikel 58, lid 2, onder f) en j), van die verordening de doorgifte van persoonsgegevens naar een derde land opschorten of verbieden wanneer zij, gelet op alle omstandigheden van die doorgifte, van oordeel is dat de standaardbepalingen inzake gegevensbescherming in dat derde land niet worden of niet kunnen worden nageleefd en de door het Unierecht vereiste bescherming van de doorgegeven gegevens niet kan worden gewaarborgd met andere middelen, indien de in de Unie gevestigde verwerkingsverantwoordelijke of zijn in de Unie gevestigde verwerker niet zelf de doorgifte heeft opgeschort of beëindigd.

114

Aan de uitlegging in het vorige punt wordt niet afgedaan door het betoog van de DPC dat artikel 4 van besluit 2010/87, in de versie van vóór de inwerkingtreding van uitvoeringsbesluit 2016/2297 en gelezen in het licht van overweging 11 van dit besluit, de bevoegdheid van de toezichthoudende autoriteiten om de doorgifte van persoonsgegevens naar derde landen op te schorten of te verbieden beperkte tot bepaalde uitzonderlijke gevallen. Artikel 4 van het MCB-besluit, in de versie zoals gewijzigd bij uitvoeringsbesluit 2016/2297, verwijst immers naar de bevoegdheid waarover deze autoriteiten beschikken – thans krachtens artikel 58, lid 2, onder f) en j), AVG – om een dergelijke overdracht op te schorten of te verbieden, zonder dat de uitoefening van die bevoegdheid op enigerlei wijze wordt beperkt tot uitzonderlijke omstandigheden.

115

In ieder geval verleent de door artikel 46, lid 2, onder c), AVG aan de Commissie toegekende uitvoerende bevoegdheid om standaardbepalingen inzake gegevensbescherming vast te stellen, haar niet de bevoegdheid tot inperking van de bevoegdheden waarover de toezichthoudende autoriteiten beschikken krachtens artikel 58, lid 2, van die verordening (zie naar analogie over artikel 25, lid 6, en artikel 28 van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punten 102 en 103). Overigens bevestigt overweging 5 van uitvoeringsbesluit 2016/2297 dat het MCB-besluit „er niet aan in de weg [staat] dat een nationale toezichthoudende autoriteit haar bevoegdheden om toezicht te houden op gegevensstromen uitoefent, met inbegrip van haar bevoegdheid de doorgifte van persoonsgegevens op te schorten of te verbieden wanneer zij vaststelt dat de doorgifte een inbreuk vormt op het nationale of EU-recht inzake gegevensbescherming”.

116

Evenwel moet worden gepreciseerd dat de bevoegdheden van de bevoegde toezichthoudende autoriteit volledig in overeenstemming moeten zijn met het besluit waarbij de Commissie in voorkomend geval overeenkomstig artikel 45, lid 1, eerste volzin, AVG vaststelt dat een bepaald derde land een passend beschermingsniveau waarborgt. In een dergelijk geval blijkt uit artikel 45, lid 1, tweede volzin, van die verordening, gelezen in samenhang met overweging 103 ervan, immers dat de doorgifte van persoonsgegevens naar het betrokken derde land kan plaatsvinden zonder dat daarvoor specifieke toestemming noodzakelijk is.

117

Krachtens artikel 288, vierde alinea, VWEU is een adequaatheidsbesluit van de Commissie in al zijn onderdelen verbindend voor alle lidstaten waartoe dat besluit is gericht, zodat het ook verbindend is voor hun organen, voor zover daarin wordt geconstateerd dat het betrokken derde land waarborgen voor een passend beschermingsniveau biedt met als gevolg dat deze doorgiften van persoonsgegevens worden toegestaan (zie naar analogie over artikel 25, lid 6, van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 51 en aldaar aangehaalde rechtspraak).

118

Zolang het adequaatheidsbesluit niet ongeldig is verklaard door het Hof, mogen de lidstaten en hun organen, waaronder hun onafhankelijke toezichthoudende autoriteiten, dan ook geen met dit besluit strijdige maatregelen nemen, zoals handelingen die tot doel hebben dwingend vast te stellen dat het in dat besluit bedoelde derde land geen waarborgen voor een passend beschermingsniveau biedt (arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 52 en aldaar aangehaalde rechtspraak) en bijgevolg de doorgifte van persoonsgegevens naar dit derde land op te schorten of te verbieden.

119

Een krachtens artikel 45, lid 3, AVG vastgesteld adequaatheidsbesluit van de Commissie kan echter niet verhinderen dat personen wier persoonsgegevens zijn of zouden kunnen worden doorgegeven naar een derde land op grond van artikel 77, lid 1, AVG bij de bevoegde nationale toezichthoudende autoriteit een klacht indienen met betrekking tot de bescherming van hun rechten en vrijheden in verband met de verwerking van deze gegevens. Evenmin kan een dergelijk besluit de bevoegdheden waarover de nationale toezichthoudende autoriteiten uitdrukkelijk beschikken krachtens artikel 8, lid 3, van het Handvest alsook artikel 51, lid 1, en artikel 57, lid 1, onder a), van deze verordening, tenietdoen of beperken (zie naar analogie over artikel 25, lid 6, en artikel 28 van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 53).

120

Zelfs indien de Commissie een adequaatheidsbesluit heeft vastgesteld, moet de bevoegde nationale toezichthoudende autoriteit waarbij een persoon een klacht heeft ingediend met betrekking tot de bescherming van zijn rechten en vrijheden in verband met een verwerking van hem betreffende persoonsgegevens, dus in volledige onafhankelijkheid kunnen onderzoeken of de doorgifte van die gegevens voldoet aan de vereisten van de AVG en, in voorkomend geval, beroep kunnen instellen bij de nationale rechterlijke instanties, opdat laatstbedoelde instanties, indien zij de twijfels van die autoriteit over de geldigheid van het besluit delen, de vraag naar die geldigheid prejudicieel kunnen verwijzen (zie naar analogie over artikel 25, lid 6, en artikel 28 van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punten 57 en 65).

121

Gelet op een en ander moet op de achtste vraag worden geantwoord dat artikel 58, lid 2, onder f) en j), AVG aldus moet worden uitgelegd dat de bevoegde toezichthoudende autoriteit, tenzij de Commissie op geldige wijze een adequaatheidsbesluit heeft vastgesteld, ertoe verplicht is om de doorgifte van gegevens naar een derde land op basis van door de Commissie vastgestelde standaardbepalingen inzake gegevensbescherming op te schorten of te verbieden, wanneer deze toezichthoudende autoriteit, gelet op alle omstandigheden van die doorgifte, van oordeel is dat die bepalingen in dat derde land niet worden of niet kunnen worden nageleefd en dat de bescherming van de doorgegeven gegevens, zoals vereist door het Unierecht, inzonderheid door de artikelen 45 en 46 AVG en door het Handvest, niet kan worden gewaarborgd met andere middelen, indien de in de Unie gevestigde verwerkingsverantwoordelijke of zijn in de Unie gevestigde verwerker niet zelf de doorgifte heeft opgeschort of beëindigd.

122

Met zijn zevende en elfde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter van het Hof in wezen te vernemen of het MCB-besluit geldig is in het licht van de artikelen 7, 8 en 47 van het Handvest.

123

Zoals blijkt uit de bewoordingen van de zevende vraag en de toelichting daarbij in het verzoek om een prejudiciële beslissing, vraagt de verwijzende rechter zich met name af of het MCB-besluit een passend beschermingsniveau kan waarborgen voor naar derde landen doorgegeven persoonsgegevens, aangezien de daarin opgenomen standaardbepalingen inzake gegevensbescherming de autoriteiten van die derde landen niet binden.

124

Artikel 1 van het MCB-besluit bepaalt dat de in de bijlage erbij opgenomen standaardbepalingen inzake gegevensbescherming worden geacht voldoende waarborgen te bieden voor de bescherming van de persoonlijke levenssfeer en de fundamentele rechten en vrijheden van personen, alsmede voor de uitoefening van de daaraan verbonden rechten in de zin van artikel 26, lid 2, van richtlijn 95/46. Deze bepaling is in wezen overgenomen in artikel 46, lid 1 en lid 2, onder c), AVG.

125

Hoewel deze standaardbepalingen bindend zijn voor de in de Unie gevestigde verwerkingsverantwoordelijke en voor de in een derde land gevestigde ontvanger van de doorgifte van persoonsgegevens, wanneer zij een overeenkomst met een verwijzing naar die bepalingen hebben gesloten, staat echter vast dat die bepalingen de autoriteiten van het betrokken derde land niet kunnen binden aangezien die autoriteiten geen partij zijn bij de overeenkomst.

126

Hoewel er dus situaties bestaan waarin de ontvanger van een dergelijke doorgifte, afhankelijk van de stand van het recht en de praktijk in het betrokken derde land, ertoe in staat is de noodzakelijke gegevensbescherming enkel op basis van de standaardbepalingen inzake gegevensbescherming te waarborgen, zijn er ook andere situaties waarin de voorschriften van die bepalingen mogelijk onvoldoende zijn om de daadwerkelijke bescherming van de naar het betrokken derde land doorgegeven persoonsgegevens in de praktijk te waarborgen. Dat is met name het geval wanneer het recht van dat derde land de overheidsinstanties van dat land toestaat om in te grijpen in de rechten van de betrokkenen met betrekking tot die gegevens.

127

Aldus rijst de vraag of een op grond van artikel 46, lid 2, onder c), AVG vastgesteld besluit van de Commissie met betrekking tot standaardbepalingen inzake gegevensbescherming ongeldig is omdat dat besluit geen garanties bevat die kunnen worden tegengeworpen aan de overheidsinstanties van derde landen waarnaar persoonsgegevens op basis van die bepalingen worden of zouden kunnen worden doorgegeven.

128

Artikel 46, lid 1, AVG bepaalt dat bij ontstentenis van een adequaatheidsbesluit de doorgifte van persoonsgegevens naar een derde land door een verwerkingsverantwoordelijke of een verwerker alleen mag plaatsvinden mits zij passende waarborgen bieden en de betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken. Volgens artikel 46, lid 2, onder c), van deze verordening kunnen deze waarborgen worden geboden door middel van door de Commissie vastgestelde standaardbepalingen inzake gegevensbescherming. In dat artikel staat echter niet dat al deze garanties noodzakelijkerwijs moeten zijn opgenomen in een besluit van de Commissie zoals het MCB-besluit.

129

In dit verband moet worden opgemerkt dat een dergelijk besluit zich onderscheidt van een op grond van artikel 45, lid 3, AVG vastgesteld adequaatheidsbesluit, dat, na onderzoek van de regelgeving van het betrokken derde land waarbij met name rekening wordt gehouden met de relevante wetgeving op het gebied van de nationale veiligheid en de toegang van overheidsinstanties tot persoonsgegevens, ertoe strekt dwingend vast te stellen dat een derde land, een grondgebied of een of meer bepaalde sectoren in dat land een passend beschermingsniveau waarborgen, en dat de toegang van de overheidsinstanties van dat derde land tot dergelijke gegevens dus geen beletsel vormt voor de doorgifte van die gegevens naar dat derde land. Een dergelijk adequaatheidsbesluit kan dus door de Commissie slechts worden vastgesteld mits zij heeft vastgesteld dat de relevante wetgeving van dat derde land op dat gebied daadwerkelijk alle waarborgen bevat die vereist zijn om te kunnen aannemen dat zij een passend beschermingsniveau waarborgt.

130

Wanneer het daarentegen gaat om een besluit van de Commissie tot vaststelling van standaardbepalingen inzake gegevensbescherming, zoals het MCB-besluit, kan, aangezien een dergelijk besluit niet ziet op een derde land, een gebied of een of meer nader bepaalde sectoren in een derde land, uit artikel 46, lid 1 en lid 2, onder c), AVG niet worden afgeleid dat de Commissie, alvorens een dergelijk besluit vast te stellen, moet nagaan of het beschermingsniveau dat wordt gewaarborgd door de derde landen waarnaar de persoonsgegevens worden doorgegeven, passend is.

131

In dit verband zij eraan herinnerd dat artikel 46, lid 1, van deze verordening bepaalt dat wanneer de Commissie geen adequaatheidsbesluit vaststelt, het aan de in de Unie gevestigde verwerkingsverantwoordelijke of verwerker staat om met name te voorzien in passende waarborgen. De overwegingen 108 en 114 van die verordening bevestigen dat, wanneer de Commissie zich niet heeft uitgesproken over de gepastheid van het niveau van gegevensbescherming in een derde land, de verwerkingsverantwoordelijke of, in voorkomend geval, zijn verwerker „maatregelen [moeten] nemen om het ontoereikende niveau van gegevensbescherming in een derde land te verhelpen door middel van passende waarborgen voor de betrokkene” en dat „[d]ie waarborgen […] de naleving van gegevensbeschermingsvereisten en de geldende rechten van de betrokkenen voor verwerkingen binnen de Unie [moeten] waarborgen, waaronder de beschikbaarheid van afdwingbare rechten van betrokkenen en van doeltreffende beroepen […] in de Unie of in een derde land”.

132

Aangezien het, zoals blijkt uit punt 125 van het onderhavige arrest, inherent is aan het contractuele karakter van de standaardbepalingen inzake gegevensbescherming dat zij de overheidsinstanties van derde landen niet kunnen binden, maar artikel 44 alsook artikel 46, lid 1 en lid 2, onder c), AVG, uitgelegd in het licht van de artikelen 7, 8 en 47 van het Handvest, vereisen dat het door deze verordening gewaarborgde beschermingsniveau voor natuurlijke personen niet in gevaar wordt gebracht, kan het noodzakelijk blijken de in die standaardbepalingen inzake gegevensbescherming vervatte waarborgen aan te vullen. In dit verband dient volgens overweging 109 van deze verordening het feit „[d]at de verwerkingsverantwoordelijke of de verwerker gebruik kan maken van standaardbepalingen inzake gegevensbescherming die zijn vastgesteld door de Commissie […] niet in te houden dat hij […] geen andere bepalingen of extra waarborgen mag toevoegen” en preciseert die overweging in het bijzonder dat „[v]erwerkingsverantwoordelijken en verwerkers moeten worden aangemoedigd om […] meer waarborgen te bieden in aanvulling op de standaardbepalingen inzake gegevensbescherming”.

133

De door de Commissie op grond van artikel 46, lid 2, onder c), van diezelfde verordening vastgestelde standaardbepalingen inzake gegevensbescherming beogen dus enkel de in de Unie gevestigde verwerkingsverantwoordelijken of hun in de Unie gevestigde verwerkers contractuele waarborgen te bieden die in alle derde landen uniform en derhalve ongeacht het in elk van die landen gewaarborgde beschermingsniveau gelden. Aangezien die standaardbepalingen inzake gegevensbescherming, gelet op hun aard, geen waarborgen kunnen bieden die verder gaan dan een contractuele verplichting om ervoor te zorgen dat het door het Unierecht vereiste beschermingsniveau wordt geëerbiedigd, kunnen zij, afhankelijk van de situatie in een bepaald derde land, vereisen dat de verwerkingsverantwoordelijke aanvullende maatregelen neemt om de eerbiediging van dit beschermingsniveau te waarborgen.

134

Zoals de advocaat-generaal in punt 126 van zijn conclusie heeft opgemerkt, berust het contractuele mechanisme van artikel 46, lid 2, onder c), AVG op de responsabilisering van de in de Unie gevestigde verwerkingsverantwoordelijke of zijn in de Unie gevestigde verwerker en, subsidiair, van de bevoegde toezichthoudende autoriteit. Het staat derhalve bovenal aan die verwerkingsverantwoordelijke of aan zijn verwerker om van geval tot geval en eventueel in samenwerking met de ontvanger van de doorgifte na te gaan of het recht van het derde land van bestemming vanuit het oogpunt van het Unierecht een passende bescherming waarborgt voor persoonsgegevens die zijn doorgegeven op basis van standaardbepalingen inzake gegevensbescherming, en om zo nodig aanvullende waarborgen te bieden naast de door die bepalingen geboden waarborgen.

135

Indien de in de Unie gevestigde verwerkingsverantwoordelijke of zijn in de Unie gevestigde verwerker geen toereikende aanvullende maatregelen kunnen nemen om een dergelijke bescherming te waarborgen, zijn zij of, subsidiair, de bevoegde toezichthoudende autoriteit, ertoe verplicht om de doorgifte van persoonsgegevens naar het betrokken derde land op te schorten of te beëindigen. Dat is met name het geval wanneer het recht van dat derde land de ontvanger van een doorgifte van persoonsgegevens vanuit de Unie verplichtingen oplegt die in strijd zijn met die bepalingen en dus afbreuk kunnen doen aan de contractuele waarborg van een passend beschermingsniveau tegen de toegang van de overheidsinstanties van dat derde land tot die gegevens.

136

Het enkele feit dat standaardbepalingen inzake gegevensbescherming in een door de Commissie krachtens artikel 46, lid 2, onder c), AVG vastgesteld besluit – zoals die in de bijlage bij het MCB-besluit – niet bindend zijn voor de autoriteiten van de derde landen waarnaar persoonsgegevens kunnen worden doorgegeven, kan dus niet afdoen aan de geldigheid van dat besluit.

137

Of een dergelijk besluit geldig is, hangt daarentegen ervan af of het, overeenkomstig het vereiste dat voortvloeit uit artikel 46, lid 1 en lid 2, onder c), AVG, uitgelegd in het licht van de artikelen 7, 8 en 47 van het Handvest, doeltreffende mechanismen bevat waarmee in de praktijk kan worden gewaarborgd dat het door het Unierecht vereiste beschermingsniveau wordt geëerbiedigd en dat de doorgifte van persoonsgegevens op basis van dergelijke bepalingen wordt opgeschort of verboden ingeval die bepalingen worden geschonden of onmogelijk kunnen worden nageleefd.

138

Aangaande de waarborgen die zijn vervat in de standaardbepalingen inzake gegevensbescherming van de bijlage bij het MCB-besluit, volgt uit bepaling 4, onder a) en b), bepaling 5, onder a), bepaling 9, onder a), en bepaling 11, lid 1, ervan dat de in de Unie gevestigde verwerkingsverantwoordelijke, de ontvanger van de doorgifte van persoonsgegevens en zijn eventuele verwerker zich er ten opzichte van elkaar toe verbinden dat de verwerking van die gegevens, met inbegrip van hun doorgifte, plaatsvindt en zal blijven plaatsvinden overeenkomstig het „toepasselijke recht inzake gegevensbescherming”, namelijk – volgens de definitie van artikel 3, onder f), van het besluit – „de wettelijke bepalingen ter bescherming van de fundamentele rechten en vrijheden van personen, en met name hun recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens, die in de lidstaat van vestiging van de gegevensexporteur van toepassing zijn op een voor de verwerking verantwoordelijke”. De bepalingen van de AVG, gelezen in het licht van het Handvest, behoren tot die wettelijke bepalingen.

139

Bovendien verbindt de in een derde land gevestigde ontvanger van de doorgifte van persoonsgegevens zich op grond van deze bepaling 5, onder a), ertoe om de in de Unie gevestigde verwerkingsverantwoordelijke onverwijld in kennis te stellen indien hij niet in staat is te voldoen aan de verplichtingen die op hem rusten krachtens de gesloten overeenkomst. In het bijzonder garandeert deze ontvanger volgens deze bepaling 5, onder b), dat hij geen enkele reden heeft om aan te nemen dat de op hem toepasselijke wetgeving hem belet om zijn verplichtingen krachtens het contract na te leven, en verbindt hij zich ertoe om, zodra hij die kent, de verwerkingsverantwoordelijke onverwijld in kennis te stellen van elke wijziging van de op hem toepasselijke nationale wetgeving die in aanzienlijke mate afbreuk dreigt te doen aan de in de standaardbepalingen inzake gegevensbescherming opgenomen waarborgen en verplichtingen van de bijlage bij het MCB-besluit. Voorts biedt bepaling 5, onder d), i), de ontvanger van de doorgifte van persoonsgegevens weliswaar de mogelijkheid om, in geval van een wettelijk verbod, zoals een strafrechtelijk verbod dat ten doel heeft de vertrouwelijkheid van een wetshandhavingsonderzoek te bewaren, de verwerkingsverantwoordelijke niet in kennis te stellen van een juridisch bindend verzoek van een wetshandhavingsinstantie om verstrekking van persoonsgegevens, maar is hij overeenkomstig bepaling 5, onder a), van de bijlage bij het MCB-besluit niettemin ertoe verplicht om de verwerkingsverantwoordelijke in kennis te stellen van het feit dat hij er niet toe in staat is te voldoen aan de standaardbepalingen inzake gegevensbescherming.

140

In beide gevallen kent deze bepaling 5, onder a) en b), de in de Unie gevestigde verwerkingsverantwoordelijke het recht toe om de doorgifte van gegevens op te schorten en/of de overeenkomst op te zeggen. Gelet op de vereisten die voortvloeien uit artikel 46, lid 1 en lid 2, onder c), AVG, gelezen in het licht van de artikelen 7 en 8 van het Handvest, zijn de opschorting van de doorgifte van gegevens en/of de opzegging van de overeenkomst verplicht voor de verwerkingsverantwoordelijke wanneer de ontvanger van de doorgifte niet of niet meer in staat is om de standaardbepalingen inzake gegevensbescherming na te leven. Anders zou de verwerkingsverantwoordelijke niet voldoen aan de vereisten die op hem rusten krachtens bepaling 4, onder a), van de bijlage bij het MCB-besluit, uitgelegd in het licht van de bepalingen van de AVG en het Handvest.

141

Aldus blijkt dat bepaling 4, onder a), en bepaling 5, onder a) en b), van deze bijlage de in de Unie gevestigde verwerkingsverantwoordelijke en de ontvanger van de doorgifte van persoonsgegevens de verplichting opleggen om zich ervan te vergewissen dat de wetgeving van het derde land van bestemming die ontvanger toestaat zich te houden aan de standaardbepalingen inzake gegevensbescherming van de bijlage bij het MCB-besluit, alvorens persoonsgegevens naar dat derde land door te geven. Wat het onderzoek daartoe betreft, preciseert de voetnoot bij deze bepaling 5 dat de dwingende vereisten van deze wettelijke regeling die niet verder gaan dan wat in een democratische samenleving noodzakelijk is om met name de veiligheid van de staat, de landsverdediging en de openbare veiligheid te vrijwaren, niet in strijd zijn met deze standaardbepalingen inzake gegevensbescherming. Omgekeerd moet, zoals de advocaat-generaal in punt 131 van zijn conclusie heeft opgemerkt, de naleving van een naar het recht van het derde land van bestemming geldende verplichting die verder gaat dan nodig is voor die doeleinden, als een schending van die bepalingen worden beschouwd. Bij de beoordeling door deze marktdeelnemers of een dergelijke verplichting noodzakelijk is, moet in voorkomend geval rekening worden gehouden met de vaststelling dat het door het derde land gewaarborgde beschermingsniveau adequaat is, zoals die is neergelegd in een adequaatheidsbesluit van de Commissie dat op grond van artikel 45, lid 3, AVG is aangenomen.

142

Hieruit volgt dat de in de Unie gevestigde verwerkingsverantwoordelijke en de ontvanger van de doorgifte van persoonsgegevens vooraf moeten nagaan of het door het Unierecht vereiste beschermingsniveau in het betrokken derde land wordt geëerbiedigd. De ontvanger van deze doorgifte is in voorkomend geval op grond van diezelfde bepaling 5, onder b), ertoe verplicht om de verwerkingsverantwoordelijke in kennis te stellen indien hij er niet toe in staat is deze bepalingen na te leven, zodat die verwerkingsverantwoordelijke dan de doorgifte van gegevens moet opschorten en/of de overeenkomst moet beëindigen.

143

Indien de ontvanger van de doorgifte van persoonsgegevens naar een derde land op grond van bepaling 5, onder b), van de bijlage bij het MCB-besluit aan de verwerkingsverantwoordelijke heeft gemeld dat de wetgeving van het betrokken derde land hem niet in staat stelt om te voldoen aan de standaardbepalingen inzake gegevensbescherming van die bijlage, volgt uit bepaling 12 van die bijlage dat alle reeds naar dat derde land doorgegeven gegevens en de kopieën daarvan moeten worden terugbezorgd of vernietigd. Hoe dan ook bestaat de in bepaling 6 van diezelfde bijlage vervatte sanctie voor niet-naleving van deze standaardbepalingen erin dat de betrokkene een recht op vergoeding van de geleden schade wordt verleend.

144

Hieraan moet worden toegevoegd dat volgens bepaling 4, onder f), van de bijlage bij het MCB-besluit de in de Unie gevestigde verwerkingsverantwoordelijke zich ertoe verbindt om, indien bijzondere categorieën gegevens zouden kunnen worden doorgegeven naar een derde land dat geen passend beschermingsniveau biedt, de betrokkene vóór of zo spoedig mogelijk na de doorgifte daarvan in kennis te stellen. Deze informatie kan de betrokkene in staat stellen het hem door bepaling 3, lid 1, van die bijlage toegekende recht van beroep tegen de verwerkingsverantwoordelijke uit te oefenen, opdat deze de voorgenomen doorgifte opschort, de overeenkomst met de ontvanger van de doorgifte van persoonsgegevens beëindigt of, in voorkomend geval, deze laatste verzoekt om terugbezorging of vernietiging van de doorgegeven gegevens.

145

Ten slotte is de in de Unie gevestigde verwerkingsverantwoordelijke op grond van bepaling 4, onder g), van die bijlage ertoe verplicht om, indien de ontvanger van de doorgifte van persoonsgegevens hem overeenkomstig bepaling 5, onder b), van die bijlage ervan in kennis stelt dat een wijziging in de op hem toepasselijke wetgeving in aanzienlijke mate afbreuk kan doen aan de in de standaardbepalingen inzake gegevensbescherming opgenomen waarborgen en verplichtingen, en hij, ondanks die kennisgeving, beslist de doorgifte voort te zetten of de opschorting op te heffen, deze kennisgeving door te zenden aan de bevoegde toezichthoudende autoriteit. Het doorzenden van een dergelijke kennisgeving naar de toezichthoudende autoriteit en het recht van deze autoriteit om krachtens bepaling 8, lid 2, een controle te verrichten bij de ontvanger van de doorgifte van de persoonsgegevens maken het voor die toezichthoudende autoriteit mogelijk om te controleren of de voorgenomen doorgifte moet worden opgeschort of verboden teneinde een passend beschermingsniveau te waarborgen.

146

In deze context bevestigt artikel 4 van het MCB-besluit, gelezen in het licht van overweging 5 van uitvoeringsbesluit 2016/2297, dat het MCB-besluit de bevoegde toezichthoudende autoriteit geenszins belet om, in voorkomend geval, de doorgifte van persoonsgegevens naar een derde land op basis van de standaardbepalingen inzake gegevensbescherming van de bijlage bij dit besluit op te schorten of te verbieden. Zoals volgt uit het antwoord op de achtste vraag, is de bevoegde toezichthoudende autoriteit, tenzij de Commissie op geldige wijze een adequaatheidsbesluit heeft vastgesteld, op grond van artikel 58, lid 2, onder f) en j), AVG ertoe verplicht om een dergelijke doorgifte op te schorten of te verbieden wanneer zij, gelet op alle omstandigheden van die doorgifte, van oordeel is dat die bedingen niet worden of niet kunnen worden nageleefd in dat derde land en dat de door het Unierecht vereiste bescherming van de doorgegeven gegevens niet kan worden gewaarborgd met andere middelen, indien de in de Unie gevestigde verwerkingsverantwoordelijke of zijn in de Unie gevestigde verwerker niet zelf de doorgifte heeft opgeschort of beëindigd.

147

Aangaande de door de DPC benadrukte omstandigheid dat met betrekking tot de doorgifte van persoonsgegevens naar een dergelijk derde land mogelijk uiteenlopende beslissingen van toezichthoudende autoriteiten in verschillende lidstaten bestaan, moet daaraan worden toegevoegd dat, zoals blijkt uit artikel 55, lid 1, en artikel 57, lid 1, onder a), AVG, de taak om toe te zien op naleving van deze verordening in beginsel wordt toevertrouwd aan elke toezichthoudende autoriteit op het grondgebied van haar lidstaat. Ter voorkoming van uiteenlopende beslissingen voorziet artikel 64, lid 2, van die verordening bovendien in de mogelijkheid voor een toezichthoudende autoriteit die van mening is dat de doorgifte van gegevens naar een derde land in het algemeen moet worden verboden, om advies in te winnen bij het EDPB, dat krachtens artikel 65, lid 1, onder c), van die verordening een bindend besluit kan vaststellen, met name wanneer een toezichthoudende autoriteit het uitgebrachte advies niet volgt.

148

Hieruit volgt dat het MCB-besluit voorziet in doeltreffende mechanismen waarmee in de praktijk kan worden verzekerd dat de doorgifte van persoonsgegevens naar een derde land op basis van de standaardbepalingen inzake gegevensbescherming van de bijlage bij dat besluit wordt opgeschort of verboden wanneer de ontvanger van de doorgifte die bepalingen niet naleeft of niet in staat is die na te leven.

149

Gelet op een en ander moet op de zevende en de elfde vraag worden geantwoord dat bij de toetsing van het MCB-besluit aan de artikelen 7, 8 en 47 van het Handvest niet is gebleken van feiten of omstandigheden die de geldigheid van dat besluit kunnen aantasten.

150

Met zijn negende vraag wenst de verwijzende rechter in wezen te vernemen of en in hoeverre een toezichthoudende autoriteit van een lidstaat gebonden is aan de vaststellingen in het privacyschildbesluit dat de Verenigde Staten een passend beschermingsniveau waarborgen. Met zijn vierde, vijfde en tiende vraag wenst deze rechter in wezen te vernemen of, gelet op zijn eigen vaststellingen met betrekking tot het recht van de Verenigde Staten, de doorgifte van persoonsgegevens naar dat derde land op basis van de standaardbepalingen inzake gegevensbescherming van de bijlage bij het MCB-besluit schending oplevert van de door de artikelen 7, 8 en 47 van het Handvest gewaarborgde rechten, en wenst hij met name te vernemen of de instelling van de ombudsman als bedoeld in bijlage III bij het privacyschildbesluit verenigbaar is met dat artikel 47.

151

Vooraf moet worden opgemerkt dat het door de DPC ingestelde beroep in het hoofdgeding weliswaar enkel de geldigheid van het MCB-besluit in twijfel trekt, maar dat dit beroep bij de verwijzende rechter is ingesteld vóór de vaststelling van het privacyschildbesluit. Aangezien deze rechter met zijn vierde en vijfde vraag het Hof in algemene zin bevraagt over de bescherming die krachtens de artikelen 7, 8 en 47 van het Handvest moet worden gewaarborgd in het kader van een dergelijke doorgifte, moet het Hof bij zijn onderzoek rekening houden met de gevolgen van het ondertussen vastgestelde privacyschildbesluit. Dit geldt des te meer daar de verwijzende rechter met zijn tiende vraag uitdrukkelijk vraagt of de door dat artikel 47 vereiste bescherming wordt geboden via de ombudsman die in laatstgenoemd besluit wordt vermeld.

152

Bovendien blijkt uit de aanwijzingen in het verzoek om een prejudiciële beslissing dat Facebook Ireland in het hoofdgeding heeft aangevoerd dat het privacyschildbesluit voor de DPC bindende gevolgen heeft gesorteerd met betrekking tot de vaststelling van de gepastheid van het door de Verenigde Staten gewaarborgde beschermingsniveau en bijgevolg met betrekking tot de rechtmatigheid van de doorgifte naar dat derde land van persoonsgegevens op basis van de standaardbepalingen inzake gegevensbescherming van de bijlage bij het MCB-besluit.

153

Zoals blijkt uit punt 59 van het onderhavige arrest, heeft de verwijzende rechter in zijn uitspraak van 3 oktober 2017, die als bijlage bij het verzoek om een prejudiciële beslissing is gevoegd, benadrukt dat hij rekening moest houden met de wijzigingen van het recht die zich tussen de instelling van het beroep en de voor hem gehouden terechtzitting hebben voorgedaan. Bijgevolg blijkt dat deze rechter ertoe verplicht is om bij de beslechting van het hoofdgeding rekening te houden met de gewijzigde omstandigheden als gevolg van de vaststelling van het privacyschildbesluit en met de eventuele bindende gevolgen ervan.

154

In het bijzonder zijn de bindende gevolgen van de vaststelling in het privacyschildbesluit dat het beschermingsniveau in de Verenigde Staten passend is, relevant voor de beoordeling van zowel de in de punten 141 en 142 van het onderhavige arrest in herinnering gebrachte verplichtingen die rusten op de verwerkingsverantwoordelijke en de ontvanger van de doorgifte van persoonsgegevens naar een derde land op basis van de standaardbepalingen inzake gegevensbescherming van de bijlage bij het MCB-besluit, als de in voorkomend geval op de toezichthoudende autoriteit rustende verplichtingen om een dergelijke doorgifte op te schorten of te verbieden.

155

Wat immers de bindende gevolgen van het privacyschildbesluit betreft, bepaalt artikel 1, lid 1, van dat besluit dat voor de toepassing van artikel 45, lid 1, „de Verenigde Staten een passend beschermingsniveau [waarborgen] voor persoonsgegevens die van de Unie naar organisaties in de Verenigde Staten worden doorgegeven in het kader van het EU-VS-privacyschild”. Volgens artikel 1, lid 3, van dat besluit worden persoonsgegevens geacht in het kader van dit privacyschild te worden doorgegeven wanneer zij vanuit de Unie worden doorgegeven aan organisaties in de Verenigde Staten die op de privacyschildlijst staan, welke door het ministerie van Handel wordt bijgewerkt en gepubliceerd in overeenstemming met de secties I en III van de in bijlage II bij dat besluit genoemde beginselen.

156

Zoals blijkt uit de in de punten 117 en 118 van het onderhavige arrest in herinnering gebrachte rechtspraak, is het privacyschildbesluit bindend voor de toezichthoudende autoriteiten voor zover daarin wordt vastgesteld dat de Verenigde Staten een passend beschermingsniveau waarborgen en is de doorgifte van persoonsgegevens in het kader van het EU-VS privacyschild als gevolg daarvan toegestaan. Zolang dit besluit niet ongeldig is verklaard door het Hof, kan de bevoegde toezichthoudende autoriteit de doorgifte van persoonsgegevens aan een bij dit privacyschild aangesloten organisatie dus niet opschorten of verbieden op grond dat zij, anders dan de Commissie in dat besluit heeft geoordeeld, van mening is dat de wetgeving van de Verenigde Staten inzake de toegang tot in het kader van dat privacyschild doorgegeven persoonsgegevens en het gebruik van die gegevens door de overheidsinstanties van dat derde land voor de nationale veiligheid, de eerbiediging van de wet of het algemeen belang geen passend beschermingsniveau waarborgt.

157

Dit neemt niet weg dat, overeenkomstig de in de punten 119 en 120 van het onderhavige arrest in herinnering gebrachte rechtspraak, de bevoegde toezichthoudende autoriteit, wanneer een persoon bij haar een klacht heeft ingediend, in volledige onafhankelijkheid moet onderzoeken of de betrokken doorgifte van persoonsgegevens voldoet aan de door de AVG gestelde eisen en, indien zij van oordeel is dat de grieven van die persoon ter betwisting van de geldigheid van een adequaatheidsbesluit gegrond zijn, beroep moet instellen bij de nationale rechter, opdat deze rechter het Hof kan verzoeken om een prejudiciële beslissing omtrent de geldigheid van dat besluit.

158

Een klacht in de zin van artikel 77, lid 1, AVG waarbij een persoon wiens persoonsgegevens naar een derde land zijn of zouden kunnen worden doorgegeven stelt dat het recht en de praktijk in dat land in weerwil van een door de Commissie krachtens artikel 45, lid 3, van deze verordening vastgesteld besluit geen waarborgen voor een passend beschermingsniveau bieden, moet in wezen aldus worden opgevat dat daarmee de verenigbaarheid van dat besluit met het recht op een privéleven en de grondrechten en de fundamentele vrijheden van personen aan de orde wordt gesteld (zie naar analogie over artikel 25, lid 6, en artikel 28, lid 4, van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 59).

159

In casu heeft Schrems de DPC in wezen verzocht om de doorgifte door Facebook Ireland van zijn persoonsgegevens aan Facebook Inc., gevestigd in de Verenigde Staten, te verbieden of op te schorten op grond dat dit derde land geen waarborgen voor een passend beschermingsniveau biedt. Nu de DPC zich na een onderzoek van het betoog van Schrems tot de verwijzende rechter heeft gewend, blijkt deze rechter, gelet op de overgelegde bewijzen en het voor hem gevoerde debat op tegenspraak, zich af te vragen of de twijfels van Schrems over de gepastheid van het in dat derde land gewaarborgde beschermingsniveau gegrond zijn, ondanks hetgeen de Commissie ondertussen in het privacyschildbesluit heeft vastgesteld, zodat hij het aangewezen achtte het Hof de vierde, de vijfde en de tiende prejudiciële vraag te stellen.

160

Zoals de advocaat-generaal in punt 175 van zijn conclusie heeft opgemerkt, moeten deze prejudiciële vragen aldus worden opgevat dat daarmee in wezen wordt opgekomen tegen de constatering van de Commissie in het privacyschildbesluit dat de Verenigde Staten een passend beschermingsniveau waarborgen voor persoonsgegevens die vanuit de Unie naar dat derde land worden doorgegeven, en bijgevolg tegen de geldigheid van dat besluit.

161

Gelet op de overwegingen in de punten 121 en 157 tot en met 160 van het onderhavige arrest en teneinde de verwijzende rechter een volledig antwoord te geven, moet dus worden onderzocht of het privacyschildbesluit in overeenstemming is met de vereisten die voortvloeien uit de AVG, gelezen in het licht van het Handvest (zie naar analogie arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 67).

162

De Commissie kan slechts een adequaatheidsbesluit krachtens artikel 45, lid 3, AVG vaststellen mits door deze instelling naar behoren en met redenen omkleed wordt vastgesteld dat het betrokken derde land op grond van zijn nationale wetgeving of zijn internationale verbintenissen daadwerkelijk waarborgen biedt voor een niveau van bescherming van de grondrechten dat in grote lijnen overeenkomt met dat binnen de rechtsorde van de Unie (zie naar analogie over artikel 25, lid 6, van richtlijn 95/46, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 96).

163

De Commissie heeft in artikel 1, lid 1, van het privacyschildbesluit vastgesteld dat de Verenigde Staten een passend beschermingsniveau waarborgen voor persoonsgegevens die vanuit de Unie aan in de Verenigde Staten gevestigde organisaties worden doorgegeven in het kader van het EU-VS-privacyschild, dat volgens artikel 1, lid 2, van dit besluit met name bestaat uit de door het ministerie van Handel op 7 juli 2016 bekendgemaakte beginselen, die zijn opgenomen in bijlage II bij dat besluit, alsmede uit de officiële opmerkingen en verbintenissen die zijn vervat in de in bijlage I bij dat besluit opgesomde documenten.

164

Het privacyschildbesluit preciseert in punt I.5 van zijn bijlage II, met als opschrift „Beginselen inzake het EU-VS privacyschild”, eveneens dat de onderschrijving van deze beginselen kan worden beperkt door met name „vereisten inzake nationale veiligheid, het algemeen belang of rechtshandhaving”. In lijn met beschikking 2000/520 legt dit besluit dus de voorrang van deze vereisten op de genoemde beginselen vast, volgens welke de zelfgecertificeerde Amerikaanse organisaties die persoonsgegevens vanuit de Unie ontvangen, ertoe verplicht zijn om zonder beperking van die beginselen af te wijken wanneer laatstgenoemde beginselen en deze vereisten tegenstrijdig zijn en de beginselen dus met die vereisten onverenigbaar zijn (zie naar analogie over beschikking 2000/520, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 86).

165

Gelet op haar algemene aard maakt de afwijking in punt I.5 van bijlage II bij het privacyschildbesluit het mogelijk dat er op grond van eisen van nationale veiligheid en het algemeen belang of de nationale wetgeving van de Verenigde Staten inmenging plaatsvindt in de grondrechten van personen wier persoonsgegevens vanuit de Unie naar de Verenigde Staten worden of zouden kunnen worden doorgegeven (zie naar analogie over beschikking 2000/520, arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 87). Zoals in het privacyschildbesluit is vastgesteld, kan een dergelijke inmenging meer in het bijzonder voortvloeien uit de toegang tot persoonsgegevens die vanuit de Unie naar de Verenigde Staten worden doorgegeven en het gebruik van die gegevens door de Amerikaanse overheidsinstanties in het kader van de surveillanceprogramma’s PRISM en Upstream op basis van section 702 FISA en op basis van E.O. 12333.

166

Dienaangaande heeft de Commissie in de overwegingen 67 tot en met 135 van het privacyschildbesluit een beoordeling verricht van de beperkingen en de waarborgen die zijn opgenomen in de regelgeving van de Verenigde Staten, met name section 702 FISA, E.O. 12333 en PPD‑28, met betrekking tot de toegang tot de in het kader van het EU-VS-privacyschild doorgegeven persoonsgegevens en het gebruik van die gegevens door Amerikaanse overheidsinstanties ten behoeve van de nationale veiligheid, de rechtshandhaving en andere doeleinden van openbaar belang.

167

Tot slot van die beoordeling heeft de Commissie zich in overweging 136 van dit besluit op het standpunt gesteld dat „door de Verenigde Staten een passend beschermingsniveau wordt gewaarborgd voor de doorgifte van persoonsgegevens uit de Unie naar organisaties met zelfcertificering in de Verenigde Staten” en heeft zij in overweging 140 van dat besluit geoordeeld dat „op basis van de beschikbare informatie over de Amerikaanse rechtsorde, […] ingrepen door de Amerikaanse overheidsdiensten in de grondrechten van de personen van wie de persoonsgegevens in het kader van het privacyschild uit de Unie naar de Verenigde Staten worden doorgegeven, ten behoeve van de nationale veiligheid, de rechtshandhaving of andere doeleinden van openbaar belang, en de daaruit voortvloeiende beperkingen die aan organisaties met een zelfcertificering met betrekking tot de beginselen worden opgelegd, zullen worden beperkt tot hetgeen strikt noodzakelijk is om de betrokken legitieme doelstelling te bereiken, en dat er doeltreffende rechtsbescherming tegen dergelijke ingrepen bestaat”.

168

Gelet op de door de Commissie in het privacyschildbesluit vermelde gegevens en die welke de verwijzende rechter in het hoofdgeding heeft vastgesteld, betwijfelt deze rechter of het recht van de Verenigde Staten daadwerkelijk het passende beschermingsniveau waarborgt dat is vereist door artikel 45 AVG, gelezen in het licht van de door de artikelen 7, 8 en 47 van het Handvest gewaarborgde grondrechten. In het bijzonder is de verwijzende rechter van oordeel dat het recht van dat derde land niet voorziet in de noodzakelijke beperkingen en waarborgen ten aanzien van de door de nationale regeling ervan toegestane inmengingen en evenmin een doeltreffende rechterlijke bescherming tegen dergelijke inmengingen biedt. Wat dit laatste aspect betreft, voegt hij daaraan toe dat de aanstelling van de privacyschildombudsman die leemten volgens hem niet kan verhelpen, aangezien deze ombudsman niet kan worden gelijkgesteld met een gerecht in de zin van artikel 47 van het Handvest.

169

Wat in de eerste plaats de artikelen 7 en 8 van het Handvest betreft, die deel uitmaken van het binnen de Unie vereiste beschermingsniveau waarvan de Commissie de eerbiediging moet vaststellen alvorens een adquaatheidsbesluit op grond van artikel 45, lid 1, AVG vast te stellen, zij eraan herinnerd dat artikel 7 van het Handvest eenieder het recht waarborgt op eerbiediging van zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn communicatie. Voorts kent artikel 8, lid 1, van het Handvest uitdrukkelijk eenieder het recht toe op bescherming van zijn persoonsgegevens.

170

De toegang tot persoonsgegevens van een natuurlijke persoon met het oog op de bewaring of het gebruik ervan tast dus het door artikel 7 van het Handvest gewaarborgde grondrecht van die persoon op eerbiediging van het privéleven aan, aangezien dit recht betrekking heeft op elke informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Die gegevensverwerking valt tevens onder artikel 8 van het Handvest, aangezien het daarbij gaat om de verwerking van persoonsgegevens in de zin van dit artikel, welke bijgevolg noodzakelijkerwijze moet voldoen aan de uit dat artikel voortvloeiende vereisten voor de bescherming van gegevens [zie in die zin arresten van 9 november 2010, Volker und Markus Schecke en Eifert, C‑92/09 en C‑93/09, EU:C:2010:662, punten 49 en 52, en 8 april 2014, Digital Rights Ireland e.a., C‑293/12 en C‑594/12, EU:C:2014:238, punt 29, alsmede advies 1/15 (PNR-overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punten 122 en 123].

171

Zoals het Hof reeds heeft geoordeeld, vormt de mededeling van persoonsgegevens aan een derde, zoals een openbare instantie, een inmenging in de in de artikelen 7 en 8 van het Handvest verankerde grondrechten, ongeacht het latere gebruik van de aldus meegedeelde gegevens. Hetzelfde geldt voor de bewaring van persoonsgegevens en de toegang tot die gegevens met het oog op hun gebruik door de overheidsinstanties, ongeacht of de betreffende informatie met betrekking tot het privéleven al dan niet gevoelig is en of de betrokkenen al dan niet enig nadeel van de inmenging hebben ondervonden [zie in die zin arresten van 20 mei 2003, Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 en C‑139/01, EU:C:2003:294, punten 74 en 75, en 8 april 2014, Digital Rights Ireland e.a., C‑293/12 en C‑594/12, EU:C:2014:238, punten 33-36, alsmede advies 1/15 (PNR-overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punten 124 en 126].

172

De in de artikelen 7 en 8 van het Handvest verankerde rechten hebben echter geen absolute gelding, maar moeten worden beschouwd in relatie tot hun functie in de samenleving [zie in die zin arresten van 9 november 2010, Volker und Markus Schecke en Eifert, C‑92/09 en C‑93/09, EU:C:2010:662, punt 48 en aldaar aangehaalde rechtspraak, en 17 oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, punt 33 en aldaar aangehaalde rechtspraak, alsmede advies 1/15 (PNR-overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 136].

173

In dit verband moet tevens worden opgemerkt dat persoonsgegevens luidens artikel 8, lid 2, van het Handvest met name moeten worden verwerkt „voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet”.

174

Bovendien moeten volgens artikel 52, lid 1, eerste volzin, van het Handvest beperkingen op de uitoefening van de daarin erkende rechten en vrijheden bij wet worden gesteld en de wezenlijke inhoud van die rechten en vrijheden eerbiedigen. Volgens artikel 52, lid 1, tweede volzin, van het Handvest kunnen, met inachtneming van het evenredigheidsbeginsel, slechts beperkingen aan deze rechten en vrijheden worden gesteld indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen.

175

Wat dit laatste betreft dient hieraan te worden toegevoegd dat het vereiste volgens hetwelk elke beperking op de uitoefening van grondrechten bij wet wordt gesteld, inhoudt dat de rechtsgrond die de inmenging in die rechten toestaat zelf de reikwijdte van de beperking op de uitoefening van het betrokken recht moet bepalen [advies 1/15 (PNR-overeenkomst EU-Canada) van 26 juli 2017EU:C:2017:592, punt 139 en aldaar aangehaalde rechtspraak].

176

Ten slotte moet de betrokken regeling die de inmenging bevat, om te voldoen aan het evenredigheidsbeginsel volgens hetwelk de uitzonderingen op de bescherming van de persoonsgegevens en de beperkingen ervan binnen de grenzen van het strikt noodzakelijke moeten blijven, duidelijke en nauwkeurige regels over de reikwijdte en de toepassing van de maatregel bevatten die minimale eisen opleggen, zodat degenen van wie de gegevens zijn doorgegeven over voldoende garanties beschikken dat hun persoonsgegevens doeltreffend worden beschermd tegen het risico van misbruik. Zij moet in het bijzonder aangeven in welke omstandigheden en onder welke voorwaarden een maatregel die voorziet in de verwerking van dergelijke gegevens kan worden genomen, en aldus waarborgen dat de inmenging tot het strikt noodzakelijke wordt beperkt. De noodzaak om over dergelijke garanties te beschikken is des te groter wanneer de persoonsgegevens automatisch worden verwerkt [zie in die zin advies 1/15 (PNR-overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punten 140 en 141 en aldaar aangehaalde rechtspraak].

177

Daartoe preciseert artikel 45, lid 2, onder a), AVG dat de Commissie bij haar beoordeling of het door een derde land gewaarborgde beschermingsniveau passend is, met name rekening houdt met „effectieve en afdwingbare rechten van betrokkenen” van wie de persoonsgegevens worden doorgegeven.

178

In casu wordt de vaststelling van de Commissie in het privacyschildbesluit dat de Verenigde Staten een beschermingsniveau waarborgen dat in grote lijnen overeenkomt met datgene dat binnen de Unie wordt gewaarborgd door de AVG, gelezen in het licht van de artikelen 7 en 8 van het Handvest, met name ter discussie gesteld op grond dat de inmenging die voortvloeit uit de surveillanceprogramma’s gebaseerd op section 702 FISA en E.O. 12333 niet is onderworpen aan vereisten die met inachtneming van het evenredigheidsbeginsel een beschermingsniveau waarborgen dat in grote lijnen overeenkomt aan datgene dat wordt gewaarborgd door artikel 52, lid 1, tweede volzin, van het Handvest. Er moet dus onderzocht worden of deze surveillanceprogramma’s worden uitgevoerd met inachtneming van die vereisten, zonder dat eerst hoeft te worden nagegaan of dit derde land voorwaarden in acht neemt die in grote lijnen overeenkomen met die van artikel 52, lid 1, eerste volzin, van het Handvest.

179

Dienaangaande heeft de Commissie in overweging 109 van het privacyschildbesluit vastgesteld dat wat de op section 702 FISA gebaseerde surveillanceprogramma’s betreft, volgens het betreffende artikel „de FISC […] geen toestemming [geeft] voor individuele surveillancemaatregelen; de FISC geeft in plaats daarvan toestemming voor surveillanceprogramma’s (zoals PRISM en Upstream) op basis van jaarlijkse certificeringen die door de Attorney General en de Director of National Intelligence worden voorbereid”. Zoals uit diezelfde overweging blijkt, heeft de door de FISC uitgeoefende controle dus tot doel na te gaan of deze surveillanceprogramma’s beantwoorden aan de doelstelling om buitenlandse inlichtingen te verkrijgen maar betreft die controle niet de vraag of „natuurlijke personen het juiste doelwit zijn om buitenlandse inlichtingen te verwerven”.

180

Uit section 702 FISA blijkt dus op geen enkele wijze het bestaan van beperkingen van de daarin vervatte bevoegdheid voor de uitvoering van surveillanceprogramma’s met het oog op het verkrijgen van buitenlandse inlichtingen, noch het bestaan van garanties voor in die programma’s potentieel bedoelde niet-Amerikanen. In die omstandigheden en zoals de advocaat-generaal in de punten 291, 292 en 297 van zijn conclusie in wezen heeft opgemerkt, kan dit artikel geen beschermingsniveau waarborgen dat in grote lijnen overeenkomt met het niveau dat wordt gewaarborgd door het Handvest, zoals uitgelegd in de in de punten 175 en 176 van het onderhavige arrest in herinnering gebrachte rechtspraak, volgens welke een wettelijke grondslag op grond waarvan inmenging in de grondrechten mogelijk is, om te voldoen aan het evenredigheidsbeginsel, zelf de omvang van de beperking van de uitoefening van het betrokken recht moet bepalen en duidelijke en nauwkeurige regels moet bevatten die de reikwijdte en de toepassing van de betrokken maatregel bepalen en minimale eisen opleggen.

181

Volgens de constateringen in het privacyschildbesluit moeten de op section 702 FISA gebaseerde surveillanceprogramma’s inderdaad ten uitvoer worden gelegd met eerbiediging van de vereisten van PPD‑28. Hoewel de Commissie in de overwegingen 69 en 77 van het privacyschildbesluit heeft benadrukt dat dergelijke vereisten bindend zijn voor de Amerikaanse inlichtingendiensten, heeft de Amerikaanse regering in antwoord op een vraag van het Hof echter erkend dat PPD‑28 de betrokkenen geen rechten verschaft die zij voor de rechtbanken tegenover de Amerikaanse overheidsdiensten kunnen afdwingen. Derhalve kan PPD‑28 geen passend beschermingsniveau waarborgen dat in grote lijnen overeenkomt met het Handvest, anders dan is vereist door artikel 45, lid 2, onder a), AVG, volgens hetwelk de vaststelling van dit niveau met name afhangt van het bestaan van effectieve en afdwingbare rechten voor personen wier gegevens naar het betrokken derde land zijn doorgegeven.

182

Wat de op E.O. 12333 gebaseerde surveillanceprogramma’s betreft, blijkt uit het dossier waarover het Hof beschikt dat dit uitvoeringsbevel evenmin rechten verschaft die voor de rechtbanken tegenover de Amerikaanse overheidsdiensten afdwingbaar zijn.

183

Hieraan moet worden toegevoegd dat PPD‑28, welke beleidsrichtlijn in acht moet worden genomen bij de toepassing van de in de twee voorgaande punten bedoelde programma’s, het „bulksgewijs” verkrijgen mogelijk maakt van „een relatief groot volume informatie of gegevens uit berichtenverkeer onder omstandigheden waarin de inlichtingendiensten geen gebruik kunnen maken van een identificator die verband houdt met een specifiek doelwit […] waarop de verzameling wordt gericht”, zoals is gepreciseerd in een in bijlage VI bij het privacyschildbesluit opgenomen brief van 21 juni 2016 van het ODNI aan het Amerikaanse ministerie van Handel en de administratie voor internationale handel. Deze mogelijkheid om in het kader van op E.O. 12333 gebaseerde surveillanceprogramma’s toegang tot gegevens te krijgen tijdens hun doorgifte naar de Verenigde Staten, zonder dat die toegang aan enig gerechtelijk toezicht is onderworpen, bakent hoe dan ook niet op voldoende duidelijke en nauwkeurige wijze de reikwijdte af van een dergelijke bulksgewijze verzameling van persoonsgegevens.

184

Bijgevolg blijkt noch section 702 FISA, noch E.O. 12333, gelezen in samenhang met PPD‑28, overeen te stemmen met de minimale vereisten die in het Unierecht voortvloeien uit het evenredigheidsbeginsel, zodat niet kan worden geoordeeld dat de op deze bepalingen gebaseerde surveillanceprogramma’s tot het strikt noodzakelijke zijn beperkt.

185

In die omstandigheden zijn de beperkingen van de bescherming van persoonsgegevens die voortvloeien uit de interne regeling van de Verenigde Staten inzake de toegang tot en het gebruik door de Amerikaanse overheidsinstanties van dergelijke gegevens die vanuit de Unie naar de Verenigde Staten worden doorgegeven, en die de Commissie in het privacyschildbesluit heeft beoordeeld, niet zodanig afgebakend dat wordt voldaan aan vereisten die in grote lijnen overeenkomen met die welke in het Unierecht worden gesteld door artikel 52, lid 1, tweede volzin, van het Handvest.

186

Wat in de tweede plaats artikel 47 van het Handvest betreft, dat eveneens deel uitmaakt van het binnen de Unie vereiste beschermingsniveau en waarvan de Commissie de naleving moet vaststellen alvorens een adequaatheidsbesluit op grond van artikel 45, lid 1, AVG vast te stellen, zij eraan herinnerd dat de eerste alinea van dit artikel 47 vereist dat eenieder wiens door het recht van de Unie gewaarborgde rechten en vrijheden zijn geschonden, recht heeft op een doeltreffende voorziening in rechte, met inachtneming van de in dat artikel gestelde voorwaarden. Volgens de tweede alinea van dit artikel heeft eenieder recht op behandeling van zijn zaak door een onafhankelijk en onpartijdig gerecht.

187

Volgens vaste rechtspraak is het bestaan van effectieve rechterlijke toetsing om de naleving van de bepalingen van Unierecht te verzekeren, inherent aan het bestaan van een rechtsstaat. Een regeling die niet in enige beroepsmogelijkheid voor de justitiabele voorziet om toegang tot de hem betreffende persoonsgegevens te verkrijgen, of rectificatie of verwijdering van die gegevens, eerbiedigt de wezenlijke inhoud van het grondrecht op een effectieve voorziening in rechte zoals neergelegd in artikel 47 van het Handvest niet (arrest van 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 95 en aldaar aangehaalde rechtspraak).

188

Daartoe vereist artikel 45, lid 2, onder a), AVG dat de Commissie bij haar beoordeling of het door een derde land gewaarborgde beschermingsniveau passend is, met name rekening houdt met „effectieve en afdwingbare rechten van betrokkenen en effectieve mogelijkheden om administratief beroep of beroep in rechte in te stellen voor betrokkenen van wie de persoonsgegevens worden doorgegeven”. Overweging 104 AVG benadrukt dienaangaande dat het derde land met name dient „te zorgen voor effectief en onafhankelijk toezicht op de gegevensbescherming en voor mechanismen van samenwerking met de autoriteiten op het gebied van gegevensbescherming van de lidstaten. Voorts dienen de betrokkenen te beschikken over daadwerkelijke en afdwingbare rechten en daadwerkelijk administratief beroep en beroep in rechte te kunnen instellen.”

189

Het bestaan van dergelijke effectieve beroepsmogelijkheden in het betrokken derde land is van bijzonder belang in het kader van de doorgifte van persoonsgegevens naar dat derde land, aangezien de betrokkenen, zoals blijkt uit overweging 116 AVG, kunnen worden geconfronteerd met de ontoereikendheid van de bevoegdheden en middelen van de administratieve en rechterlijke autoriteiten van de lidstaten om een nuttig gevolg te geven aan hun klachten die zijn gebaseerd op een beweerdelijk onrechtmatige verwerking van hun aldus doorgegeven gegevens in dat derde land, waardoor zij verplicht kunnen zijn om zich te wenden tot de nationale rechterlijke instanties van datzelfde derde land.

190

In casu wordt de constatering van de Commissie in het privacyschildbesluit dat de Verenigde Staten een beschermingsniveau waarborgen dat in grote lijnen overeenkomt met het door artikel 47 van het Handvest gewaarborgde beschermingsniveau, met name ter discussie gesteld op grond dat de aanstelling van de privacyschildombudsman de door de Commissie zelf vastgestelde leemten met betrekking tot de rechterlijke bescherming van personen wier persoonsgegevens naar dat derde land worden doorgegeven, niet kan verhelpen.

191

In dat verband heeft de Commissie in overweging 115 van het privacyschildbesluit opgemerkt dat hoewel „natuurlijke personen, waaronder betrokkenen uit de EU, over een aantal verhaalsmogelijkheden beschikken wanneer zij aan onrechtmatige (elektronische) surveillance om doeleinden van nationale veiligheid zijn onderworpen, […] het evengoed duidelijk [is] dat ten minste enkele rechtsgrondslagen waarop de Amerikaanse inlichtingendiensten zich kunnen baseren (bv. E.O. 12333), niet worden bestreken”. Wat E.O. 12333 betreft heeft zij in die overweging 115 aldus de nadruk gelegd op de afwezigheid van elke verhaalsmogelijkheid. Volgens de in punt 187 van het onderhavige arrest in herinnering gebrachte rechtspraak staat een dergelijke leemte in de rechterlijke bescherming tegen inmengingen in verband met de op dat uitvoeringsbevel gebaseerde inlichtingenprogramma’s evenwel eraan in de weg dat wordt geconcludeerd, zoals de Commissie in het privacyschildbesluit heeft gedaan, dat het recht van de Verenigde Staten een beschermingsniveau waarborgt dat in grote lijnen overeenkomt met het door artikel 47 van het Handvest gewaarborgde beschermingsniveau.

192

Bovendien werd in de punten 181 en 182 van het onderhavige arrest voor zowel de surveillanceprogramma’s gebaseerd op section 702 FISA als die gebaseerd op E.O. 12333 opgemerkt dat noch PPD‑28, noch E.O. 12333 aan de betrokkenen rechten verschaft die zij voor de rechtbanken tegenover de Amerikaanse overheidsdiensten kunnen afdwingen, zodat deze betrokkenen niet beschikken over een doeltreffende voorziening in rechte.

193

De Commissie heeft in de overwegingen 115 en 116 van het privacyschildbesluit niettemin vastgesteld dat wegens het bestaan van het door de Amerikaanse overheidsdiensten ingevoerde ombudsmanmechanisme, zoals beschreven in de brief van 7 juli 2016 van de Amerikaanse minister van Buitenlandse Zaken aan de Europese commissaris voor Justitie, Consumentenzaken en Gendergelijkheid, die is opgenomen in bijlage III bij dat besluit, en gelet op de aard van de aan de ombudsman opgedragen taak, in casu een „coördinator van de internationale diplomatie op het gebied van informatietechnologie”, de Verenigde Staten konden worden geacht een beschermingsniveau te waarborgen dat in grote lijnen overeenkomt met het door artikel 47 van het Handvest gewaarborgde niveau.

194

Voor het onderzoek van de vraag of het in het privacyschildbesluit bedoelde ombudsmanmechanisme daadwerkelijk de door de Commissie vastgestelde beperkingen van het recht op rechterlijke bescherming kan verhelpen, moet overeenkomstig de uit artikel 47 van het Handvest voortvloeiende vereisten en de in punt 187 van het onderhavige arrest in herinnering gebrachte rechtspraak worden uitgegaan van het beginsel dat de justitiabelen moeten beschikken over de mogelijkheid om voor een onafhankelijk en onpartijdig gerecht rechtsmiddelen aan te wenden teneinde toegang te krijgen tot hun persoonsgegevens of rectificatie of verwijdering van dergelijke gegevens te verkrijgen.

195

In de in punt 193 van het onderhavige arrest genoemde brief wordt de privacyschildombudsman, hoewel hij wordt omschreven als „onafhankelijk van de inlichtingendiensten”, voorgesteld als „rechtstreeks [verslag uitbrengend] aan de minister van Buitenlandse Zaken, die ervoor zal zorgen dat de ombudsman zijn taak uitoefent op objectieve wijze en vrij van ongepaste beïnvloeding die gevolgen voor het te geven antwoord kan hebben”. Bovendien bevat dit besluit, afgezien van het feit dat, zoals de Commissie in overweging 116 ervan heeft vastgesteld, de ombudsman wordt aangesteld door de minister van Buitenlandse Zaken en integrerend deel uitmaakt van het ministerie van Buitenlandse Zaken, zoals de advocaat-generaal in punt 337 van zijn conclusie heeft opgemerkt, geen enkele aanwijzing dat het ontslag van de ombudsman of de intrekking van zijn aanstelling met specifieke waarborgen is omkleed, waardoor de onafhankelijkheid van de ombudsman ten opzichte van de uitvoerende macht in het gedrang komt (zie in die zin arrest van 21 januari 2020, Banco de Santander, C‑274/14, EU:C:2020:17, punten 60 en 63 en aldaar aangehaalde rechtspraak).

196

Zoals de advocaat-generaal in punt 338 van zijn conclusie heeft benadrukt, vermeldt overweging 120 van het privacyschildbesluit weliswaar dat de Amerikaanse regering heeft toegezegd dat het betrokken onderdeel van de inlichtingendiensten ertoe verplicht is om elke schending van de toepasselijke voorschriften die door de privacyschildombudsman wordt vastgesteld, te corrigeren, maar voorts blijkt nergens uit dit besluit dat deze ombudsman bevoegd is om bindende beslissingen te nemen ten aanzien van deze diensten en vermeldt het evenmin dat er wettelijke waarborgen zijn waarop de betrokken personen zich kunnen beroepen.

197

Bijgevolg biedt het in het privacyschildbesluit bedoelde ombudsmanmechanisme geen rechtsmiddel bij een orgaan dat personen wier gegevens naar de Verenigde Staten worden doorgegeven, waarborgen biedt die in grote lijnen overeenkomen met die welke door artikel 47 van het Handvest worden vereist.

198

Door in artikel 1, lid 1, van het privacyschildbesluit vast te stellen dat de Verenigde Staten een passend beschermingsniveau waarborgen voor persoonsgegevens die vanuit de Unie aan in dat derde land gevestigde organisaties worden doorgegeven in het kader van het EU-VS-privacyschild, is de Commissie derhalve voorbijgegaan aan de vereisten die voortvloeien uit artikel 45, lid 1, AVG, gelezen in het licht van de artikelen 7, 8 en 47 van het Handvest.

199

Hieruit volgt dat artikel 1 van het privacyschildbesluit onverenigbaar is met artikel 45, lid 1, AVG, gelezen in het licht van de artikelen 7, 8 en 47 van het Handvest, en bijgevolg ongeldig is.

200

Aangezien artikel 1 van het privacyschildbesluit onlosmakelijk verbonden is met de artikelen 2 en 6 en met de bijlagen bij dit besluit, heeft de ongeldigheid ervan tot gevolg dat de geldigheid van dit besluit in zijn geheel is aangetast.

201

Gelet op een en ander moet de conclusie luiden dat het privacyschildbesluit ongeldig is.

202

Wat de vraag betreft of de gevolgen van dit besluit moeten worden gehandhaafd teneinde een rechtsvacuüm te vermijden (zie in die zin arrest van 28 april 2016, Borealis Polyolefine e.a., C‑191/14, C‑192/14, C‑295/14, C‑389/14 en C‑391/14–C‑393/14, EU:C:2016:311, punt 106), dient te worden opgemerkt dat, gelet op artikel 49 AVG, de ongeldigverklaring van een adequaatheidsbesluit zoals het privacyschildbesluit in geen geval een rechtsvacuüm kan doen ontstaan. In dit artikel wordt immers nauwkeurig vastgesteld onder welke voorwaarden persoonsgegevens naar derde landen kunnen worden doorgegeven bij ontstentenis van een adequaatheidsbesluit overeenkomstig artikel 45, lid 3, van die verordening of van passende waarborgen overeenkomstig artikel 46 van diezelfde verordening.

203

Ten aanzien van de partijen in de hoofdzaak is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Grote kamer) verklaart voor recht: