Ο Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης 1 και η Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ) 2 κατοχυρώνουν το δικαίωμα κάθε προσώπου στην προστασία των προσωπικών του δεδομένων. Βάσει των εν λόγω νομικών μέσων και προκειμένου να μην υπονομεύεται το επίπεδο προστασίας που παρέχεται εντός της Ευρωπαϊκής Ένωσης, η δευτερογενής νομοθεσία της ΕΕ 3 καθορίζει τους κανόνες που ισχύουν για τις διεθνείς διαβιβάσεις προσωπικών δεδομένων. Σύμφωνα με τους κανόνες αυτούς, εάν η Ευρωπαϊκή Επιτροπή κρίνει ότι μια τρίτη χώρα εξασφαλίζει επαρκές επίπεδο προστασίας, η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς την εν λόγω χώρα μπορεί να πραγματοποιηθεί χωρίς περαιτέρω έγκριση, βάσει της απόφασης επάρκειας που εκδίδει η Επιτροπή. Ένα τέτοιο πλαίσιο, το οποίο θεσπίστηκε με την απόφαση επάρκειας που εκδόθηκε
από την Επιτροπή στις 10 Ιουλίου 2023 («αμφισβητούμενη απόφαση») 4, υφίσταται μεταξύ της Ευρωπαϊκής Ένωσης και των Ηνωμένων Ηνωμένες Πολιτείες της Αμερικής. Στο παρελθόν, στις αποφάσεις Schrems I 5 και Schrems II 6, το Δικαστήριο κήρυξε άκυρες τις δύο προηγούμενες αποφάσεις επάρκειας 7 σχετικά με τις Ηνωμένες Πολιτείες, με την αιτιολογία ότι δεν εξασφάλιζαν επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών ουσιαστικά ισοδύναμο με αυτό που εγγυάται το δίκαιο της ΕΕ.
Στις 7 Οκτωβρίου 2022, οι Ηνωμένες Πολιτείες της Αμερικής εξέδωσαν εκτελεστικό διάταγμα 8 που ενίσχυε τις εγγυήσεις προστασίας της ιδιωτικής ζωής που διέπουν τις δραστηριότητες των υπηρεσιών πληροφοριών που εδρεύουν στις Ηνωμένες Πολιτείες. Το διάταγμα αυτό
συμπληρώθηκε από κανονισμό του Γενικού Εισαγγελέα 9 που τροποποίησε τις διατάξεις που διέπουν τη σύσταση και τη λειτουργία του Δικαστηρίου Ελέγχου Προστασίας Δεδομένων («DPRC»). Μετά από εξέταση των εν λόγω ρυθμιστικών εξελίξεων στις Ηνωμένες Πολιτείες, η Επιτροπή εξέδωσε την προσβαλλόμενη απόφαση, η οποία θέσπισε το νέο διατλαντικό πλαίσιο για τη ροή δεδομένων προσωπικού χαρακτήρα μεταξύ της Ευρωπαϊκής Ένωσης και των Ηνωμένων Πολιτειών.
Σε αυτό το πλαίσιο, ο Philippe Latombe, Γάλλος πολίτης και χρήστης διαφόρων πλατφορμών πληροφορικής που συλλέγουν τα προσωπικά του δεδομένα και τα μεταφέρουν στις Ηνωμένες Πολιτείες, ζήτησε από το Γενικό Δικαστήριο να ακυρώσει την προσβαλλόμενη απόφαση.
Σύμφωνα με τον κ. Latombe, η DPRC δεν είναι ούτε αμερόληπτη ούτε ανεξάρτητη, αλλά εξαρτάται από την εκτελεστική εξουσία. Επιπλέον, υποστηρίζει ότι η πρακτική των υπηρεσιών πληροφοριών της εν λόγω χώρας να συλλέγουν μαζικά προσωπικά δεδομένα
που διακινούνται από την Ευρωπαϊκή Ένωση, χωρίς την προηγούμενη έγκριση δικαστηρίου ή ανεξάρτητης διοικητικής αρχής, δεν ορίζεται με επαρκώς σαφή και ακριβή τρόπο και, ως εκ τούτου, είναι παράνομη.
Το Γενικό Δικαστήριο απορρίπτει την αίτηση ακύρωσης.
Όσον αφορά, καταρχάς, την DPRC, το Γενικό Δικαστήριο αναφέρει, μεταξύ άλλων, ότι από τον φάκελο προκύπτει ότι ο διορισμός των δικαστών στην DPRC και η λειτουργία της DPRC συνοδεύονται από διάφορες εγγυήσεις και προϋποθέσεις που διασφαλίζουν την ανεξαρτησία των μελών της. Επιπλέον, οι δικαστές της DPRC μπορούν να απομακρυνθούν από τα καθήκοντά τους μόνο από τον Γενικός Εισαγγελέας και μόνο για συγκεκριμένο λόγο, ενώ ο Γενικός Εισαγγελέας και οι υπηρεσίες πληροφοριών δεν μπορούν να παρεμποδίζουν ή να
επηρεάζουν αθέμιτα το έργο τους.
Το Γενικό Δικαστήριο παρατηρεί επίσης ότι, σύμφωνα με την προσβαλλόμενη απόφαση, η Επιτροπή υποχρεούται να παρακολουθεί συνεχώς την εφαρμογή του νομικού πλαισίου στο οποίο βασίζεται η εν λόγω απόφαση. Επομένως, εάν το νομικό πλαίσιο που ισχύει στις Ηνωμένες Πολιτείες κατά τον χρόνο έκδοσης της προσβαλλόμενης απόφασης μεταβληθεί, η Επιτροπή μπορεί να αποφασίσει, εάν είναι αναγκαίο, να αναστείλει, να τροποποιήσει ή να καταργήσει την προσβαλλόμενη απόφαση ή να περιορίσει το πεδίο εφαρμογής της.
Λαμβάνοντας υπόψη τα ανωτέρω, το Γενικό Δικαστήριο απορρίπτει τον ισχυρισμό ότι η DPRC δεν είναι ανεξάρτητη.
Όσον αφορά, δεύτερον, τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα, το Γενικό Δικαστήριο επισημαίνει, ιδίως, ότι δεν υπάρχει τίποτα στην απόφαση Schrems II που να υποδηλώνει ότι η συλλογή αυτή πρέπει απαραιτήτως να υπόκειται σε προηγούμενη άδεια που εκδίδεται από ανεξάρτητη αρχή. Αντίθετα, από την εν λόγω απόφαση προκύπτει σαφώς ότι η απόφαση που επιτρέπει τη συλλογή αυτή πρέπει, τουλάχιστον, να υπόκειται σε εκ των υστέρων δικαστικό έλεγχο. Στην παρούσα υπόθεση, από τον φάκελο προκύπτει ότι, σύμφωνα με το αμερικανικό δίκαιο, οι δραστηριότητες συλλογής πληροφοριών από σήματα που ασκούν οι αμερικανικές υπηρεσίες πληροφοριών υπόκεινται σε εκ των υστέρων δικαστικό έλεγχο από το DPRC. Ως εκ τούτου, το Γενικό Δικαστήριο κρίνει ότι δεν μπορεί να θεωρηθεί ότι η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα από τις αμερικανικές υπηρεσίες πληροφοριών δεν πληροί τις απαιτήσεις που απορρέουν από την απόφαση Schrems II ως προς το θέμα αυτό ή ότι το αμερικανικό δίκαιο δεν εξασφαλίζει επίπεδο νομικής προστασίας ουσιαστικά ισοδύναμο με αυτό που εγγυάται το δίκαιο της Ένωσης.
Λαμβάνοντας υπόψη τα ανωτέρω, το Γενικό Δικαστήριο απορρίπτει τον ισχυρισμό σχετικά με τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα και, ως εκ τούτου, απορρίπτει την προσφυγή στο σύνολό της.
