ΔΕΕ 553/2023 Διαβίβαση προσωπικών δεδομένων στις Ηνωμένες Πολιτείες – Προστασία, δικαιώματα και ασφάλεια

«Διαβίβαση δεδομένων προσωπικού χαρακτήρα στις Ηνωμένες Πολιτείες – Εκτελεστική απόφαση της Επιτροπής με την οποία διαπιστώνεται η επάρκεια του επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα που διασφαλίζεται από τις Ηνωμένες Πολιτείες – Δικαίωμα αποτελεσματικής προσφυγής – Δικαίωμα στην ιδιωτική και οικογενειακή ζωή – Αποφάσεις που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα – Ασφάλεια της επεξεργασίας δεδομένων προσωπικού χαρακτήρα»

Στην υπόθεση T‑553/23,

Philippe Latombe, κάτοικος Νάντης (Γαλλία), εκπροσωπούμενος από τους δικηγόρους ^N.  Coutrelis, J.-B. Soufron και T. Lamballe,

αιτών,

κατά

Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους D. Calleja Crespo, A. Bouchagiar, H. Kranenborg και C. Ladenburger, που ενεργούν ως πράκτορες,

εναγόμενος,

υποστηρίζεται από

Ιρλανδία, εκπροσωπούμενη από την κα ^M.  Browne, την κα S. Finnegan και την κα A. Joyce, επικουρούμενες από την κα S. Brittain, δικηγόρο, και την κα ^C.  Donnelly, SC,

και από

Ηνωμένες Πολιτείες Αμερικής, εκπροσωπούμενες από τους κ.κ. B. Walsh, S. Barton και A. Finlay, solicitors, την κα ^E.  Barrington, SC, και τον κ. D. Hardiman, barrister,

παρεμβαίνοντα μέρη,

ΤΟ ΔΙΚΑΣΤΗΡΙΟ (Δέκατο Πενταμελές Τμήμα),

συγκροτούμενο από την κα ^Ο.  Πορχία, πρόεδρο, Μ.Μ. M. Jaeger (εισηγητής), L. Madise, P. Nihoul και S. Verschuur, δικαστές,

υπάλληλος: κα. ^Ι.  Κούρμε, διοικητική υπάλληλος,

έχοντας υπόψη τη διάταξη της 12ης Οκτωβρίου 2023, Latombe κατά Επιτροπής (T‑553/23 R, μη δημοσιευμένη, EU:T:2023:621),

λαμβάνοντας υπόψη το γραπτό στάδιο της διαδικασίας,

μετά την ακρόαση της 1ης Απριλίου ²⁰²⁵  ,

κάνει το παρόν

Στάση

1         Με την προσφυγή του, η οποία στηρίζεται στο άρθρο 263 ΣΛΕΕ, ο προσφεύγων, κ. Philippe Latombe, ζητεί, κατ’ ουσίαν, την ακύρωση της εκτελεστικής απόφασης (ΕΕ) 2023/1795 της Επιτροπής, της 10ης Ιουλίου 2023, με την οποία θεσπίζεται, σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, το επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διασφαλίζεται από το πλαίσιο προστασίας δεδομένων ΕΕ-ΗΠΑ (ΕΕ 2023 L 231, σ. 118, στο εξής: η προσβαλλόμενη απόφαση).

I.       Ιστορικό της διαφοράς

2         Ο αιτών είναι Γάλλος πολίτης που ισχυρίζεται ότι χρησιμοποιεί διάφορες πλατφόρμες πληροφορικής για τη συλλογή των προσωπικών του δεδομένων και τη μεταφορά τους στις Ηνωμένες Πολιτείες.

3         Όσον αφορά τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση προς τις Ηνωμένες Πολιτείες, πρώτον, με την απόφαση της 6ης Οκτωβρίου 2015, Schrems (C‑362/14, στο εξής: απόφαση Schrems I, EU:C:2015:650), το Δικαστήριο κήρυξε άκυρη την απόφαση 2000/520/ΕΚ της Επιτροπής, της 26ης Ιουλίου 2000, κατ’ εφαρμογή της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, σχετικά με την επάρκεια της προστασίας που παρέχεται από τις Αρχές Ασφαλούς Λιμένα και τις συναφείς συχνές ερωτήσεις, οι οποίες δημοσιεύθηκαν από το Υπουργείο Εμπορίου των Ηνωμένων Πολιτειών Αμερικής (ΕΕ 2000 L 215, σ. 7).

4         Δεύτερον, με την απόφαση της 16ης Ιουλίου 2020, Facebook Ireland και Schrems (C‑311/18, στο εξής: απόφαση Schrems II, EU:C:2020:559), το Δικαστήριο κήρυξε άκυρη την εκτελεστική απόφαση (ΕΕ) 2016/1250 της Επιτροπής, της 12ης Ιουλίου 2016, σύμφωνα με την οδηγία 95/46, σχετικά με την επάρκεια της προστασίας που παρέχεται από την Ασπίδα Προστασίας Προσωπικών Δεδομένων ΕΕ-ΗΠΑ (ΕΕ 2016 L 207, σ. 1, στο εξής: απόφαση περί επάρκειας της Ασπίδας Προστασίας Προσωπικών Δεδομένων).

5         Στις αποφάσεις Schrems I και Schrems II, το Δικαστήριο, αφού κλήθηκε να εκδώσει προδικαστική απόφαση επί του κύρους της υπόθεσης, έκρινε ειδικότερα ότι, σε αντίθεση με την εκτίμηση της Ευρωπαϊκής Επιτροπής στις αποφάσεις περί επάρκειας που αναφέρονται στις παραγράφους 3 και 4 ανωτέρω, το σύστημα Safe Harbour και το σύστημα Privacy Shield (εφεξής «Privacy Shield») που διέπουν τη διαβίβαση δεδομένων προσωπικού χαρακτήρα δεν εγγυώνται επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών ουσιαστικά ισοδύναμο με αυτό που εγγυάται το δίκαιο της Ένωσης.

6         Μετά την έκδοση της απόφασης Schrems II, η Επιτροπή ξεκίνησε συζητήσεις με την Κυβέρνηση των Ηνωμένων Πολιτειών με σκοπό την έκδοση πιθανής νέας απόφασης περί επάρκειας, η οποία θα συμμορφωνόταν με τις απαιτήσεις του άρθρου 45, παράγραφος 2, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46 (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016 L 119, σ. 1, διορθωτικό ΕΕ 2018 L 127, σ. 2, στο εξής: ΓΚΠΔ), όπως ερμηνεύτηκε από το Δικαστήριο.

7         Έτσι, στις 7 Οκτωβρίου 2022, οι Ηνωμένες Πολιτείες Αμερικής εξέδωσαν το Εκτελεστικό Διάταγμα 14086 (Προεδρικό Διάταγμα Αρ. ¹⁴⁰⁸⁶  , εφεξής «EO 14086»), το οποίο ενισχύει την προστασία της ιδιωτικής ζωής που διέπει τις δραστηριότητες συλλογής πληροφοριών σημάτων που διεξάγονται από υπηρεσίες πληροφοριών που είναι εγκατεστημένες στις Ηνωμένες Πολιτείες. Το διάταγμα αυτό συμπληρώθηκε με το Διάταγμα Αρ. 5517–2022 του Γενικού Εισαγγελέα (Κανονισμός Αρ. ^5517–2022 του Γενικού Εισαγγελέα  , εφεξής «Κανονισμός AG»), το οποίο πρόσθεσε το Μέρος 201 στον Τίτλο 28 του Κώδικα Ομοσπονδιακών Κανονισμών (CFR), που διέπει τη δημιουργία και λειτουργία του Δικαστηρίου Επανεξέτασης Προστασίας Δεδομένων (εφεξής «DPRC»).

8         Στις 10 Ιουλίου 2023, αφού εξέτασε αυτές τις κανονιστικές εξελίξεις στις Ηνωμένες Πολιτείες, η Επιτροπή εξέδωσε, βάσει του άρθρου 45(3) του ΓΚΠΔ, την προσβαλλόμενη απόφαση, η οποία θεσπίζει το νέο διατλαντικό πλαίσιο για τη ροή δεδομένων προσωπικού χαρακτήρα μεταξύ της Ένωσης και των Ηνωμένων Πολιτειών. Το άρθρο 1 ^της εν λόγω απόφασης ορίζει ότι οι Ηνωμένες Πολιτείες Αμερικής διασφαλίζουν επαρκές επίπεδο προστασίας για τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ένωση σε οργανισμούς εγκατεστημένους στη χώρα αυτή και περιλαμβάνονται στον κατάλογο «Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ» («DPF») που τηρείται και δημοσιεύεται από το Υπουργείο Εμπορίου τους («οργανισμοί DPF»).

II.     Συμπεράσματα των μερών

9         Ο αιτών υποστηρίζει ότι το Δικαστήριο πρέπει:

– να ακυρώσει την προσβαλλόμενη απόφαση, κατ’ ουσίαν, στο σύνολό της·

– να καταδικάσει την Επιτροπή στα δικαστικά έξοδα.

10       Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, υποστηρίζει ότι το Δικαστήριο θα πρέπει:

– να απορρίψει την έφεση ως απαράδεκτη·

– επικουρικώς, να απορρίψει την έφεση ως αβάσιμη·

– να καταδικάσει την προσφεύγουσα στα δικαστικά έξοδα.

III.  Νομικά

Α.       Επί της ενστάσεως απαραδέκτου

11       Με χωριστό δικόγραφο που κατέθεσε στη Γραμματεία του Γενικού Δικαστηρίου την 1η ^{Δεκεμβρίου}  2023, η Επιτροπή προέβαλε ένσταση απαραδέκτου, βάσει του άρθρου 130 του Κανονισμού Διαδικασίας του Γενικού Δικαστηρίου.

12       Η Επιτροπή υποστηρίζει ότι η προσφυγή είναι απαράδεκτη για τον λόγο ότι ο προσφεύγων δεν νομιμοποιείται ενεργητικά, ότι δεν έχει έννομο συμφέρον προς άσκηση προσφυγής και ότι το μέρος της προσβαλλόμενης αποφάσεως του οποίου ζητεί την ακύρωση είναι άρρηκτα συνδεδεμένο με το υπόλοιπο μέρος της εν λόγω αποφάσεως.

13       Ο προσφεύγων αμφισβητεί τα επιχειρήματα της Επιτροπής και υποστηρίζει ότι η προσφυγή του είναι παραδεκτή.

14       Υπενθυμίζεται ότι το Δικαστήριο της Ένωσης δικαιούται να εκτιμήσει, ανάλογα με τις περιστάσεις κάθε υπόθεσης, εάν η ορθή απονομή της δικαιοσύνης δικαιολογεί την απόρριψη μιας προσφυγής επί της ουσίας, χωρίς να αποφανθεί προηγουμένως επί του παραδεκτού της (βλ., συναφώς, απόφαση της 26ης Φεβρουαρίου 2002, Συμβούλιο κατά Boehringer, C‑23/00 P, EU:C:2002:118, σκέψεις 51 και 52).

15       Συνεπώς, λαμβάνοντας υπόψη τις περιστάσεις της υπό κρίση υπόθεσης, το Δικαστήριο κρίνει ότι, εφόσον η αγωγή είναι, εν πάση περιπτώσει και για τους λόγους που εκτίθενται στις σκέψεις 16 έως 204 κατωτέρω, αβάσιμη, είναι σκόπιμο, προς το συμφέρον της ορθής απονομής της δικαιοσύνης, να εξεταστεί η ουσία της, χωρίς προηγουμένως να κριθεί το παραδεκτό της (βλ., συναφώς, αποφάσεις της 10ης Οκτωβρίου 2014, Marchiani κατά Κοινοβουλίου, T‑479/13, μη δημοσιευμένη, EU:T:2014:866, σκέψη 23, και της 20ής Δεκεμβρίου 2023, Naturstrom κατά Επιτροπής, T‑60/21, μη δημοσιευμένη, EU:T:2023:839, σκέψη 74).

Β.       Επί της ουσίας

16       Προς στήριξη της έφεσης, ο αιτών προβάλλει πέντε λόγους, οι οποίοι βασίζονται στα εξής:

– ο πρώτος, σχετικά με την παραβίαση των άρθρων 3 και 4 του κανονισμού ^1/1958  του Συμβουλίου, της 15ης Απριλίου 1958, περί καθορισμού των γλωσσών που θα χρησιμοποιούνται από την Ευρωπαϊκή Οικονομική Κοινότητα (ΕΕ 1958, 17, σ. 385)·

– ο δεύτερος λόγος, περί παραβίασης των άρθρων 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης·

– ο τρίτος, σχετικά με την παραβίαση του άρθρου 47, δεύτερη παράγραφος, του εν λόγω χάρτη και του άρθρου 45, παράγραφος 2, του ΓΚΠΔ·

– το τέταρτο, της παραβίασης του άρθρου 22 του ΓΚΠΔ·

– ο πέμπτος, σχετικά με την παραβίαση του άρθρου 32 του ΓΚΠΔ, σε συνδυασμό με το άρθρο 45, παράγραφος 2, του ίδιου κανονισμού.

17       Κατά την επ’ ακροατηρίου συζήτηση, ο προσφεύγων παραιτήθηκε από τον πρώτο λόγο ακυρώσεως που αφορούσε την παράβαση των άρθρων 3 και 4 του κανονισμού ^1/1958  . Συνεπώς, είναι σκόπιμο να εξεταστούν μόνο ο δεύτερος έως ο πέμπτος λόγος ακυρώσεώς του.

1.       Προκαταρκτικές παρατηρήσεις

18       Καταρχάς, πρέπει να σημειωθεί ότι το άρθρο 45, παράγραφος 1, του ΓΚΠΔ ορίζει ότι η διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα μπορεί να εγκριθεί με απόφαση της Επιτροπής, σύμφωνα με την οποία η εν λόγω τρίτη χώρα, ένα έδαφος ή ένας ή περισσότεροι συγκεκριμένοι τομείς εντός αυτού διασφαλίζουν επαρκές επίπεδο προστασίας. Η διάταξη αυτή περιλαμβάνεται στο κεφάλαιο V του εν λόγω κανονισμού, το οποίο, όπως έχει επισημάνει το Δικαστήριο, έχει ως γενικό στόχο να διασφαλίσει τη συνέχεια του υψηλού επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται από το δίκαιο της Ένωσης βάσει του εν λόγω κανονισμού, όταν τα δεδομένα αυτά διαβιβάζονται σε τρίτη χώρα (βλ., συναφώς, Schrems II, σκέψη 93).

19       Συναφώς, το Δικαστήριο διευκρίνισε ότι, χωρίς να απαιτείται από την οικεία τρίτη χώρα να εγγυηθεί επίπεδο προστασίας πανομοιότυπο με αυτό που κατοχυρώνεται στην έννομη τάξη της Ένωσης, η έκφραση «επαρκές επίπεδο προστασίας» στο άρθρο 45, παράγραφος 1, του ΓΚΠΔ πρέπει να νοείται ως απαίτηση η εν λόγω τρίτη χώρα να διασφαλίζει πράγματι, λόγω της εσωτερικής της νομοθεσίας ή των διεθνών της δεσμεύσεων, επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών ουσιαστικά ισοδύναμο με αυτό που κατοχυρώνεται εντός της Ένωσης βάσει του εν λόγω κανονισμού, ερμηνευόμενο υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων (βλ., συναφώς, Schrems II, σκέψεις 94 και 162).

20       Το Δικαστήριο έκρινε επίσης ότι, ακόμη και αν τα μέσα που χρησιμοποιεί η τρίτη χώρα για να διασφαλίσει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα ενδέχεται να διαφέρουν από εκείνα που εφαρμόζονται εντός της Ένωσης για να διασφαλιστεί η συμμόρφωση με τις απαιτήσεις που απορρέουν από την οδηγία 95/46, ερμηνευόμενα υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων, τα εν λόγω μέσα πρέπει παρόλα αυτά να αποδεικνύονται, στην πράξη, αποτελεσματικά προκειμένου να διασφαλιστεί προστασία ουσιαστικά ισοδύναμη με αυτήν που εγγυάται εντός της Ένωσης (απόφαση Schrems I, σκέψη 74).

21       Επιπλέον, το Δικαστήριο έκρινε ότι, δεδομένου, αφενός, του σημαντικού ρόλου που διαδραματίζει η προστασία των δεδομένων προσωπικού χαρακτήρα υπό το πρίσμα του θεμελιώδους δικαιώματος σεβασμού της ιδιωτικής ζωής και, αφετέρου, του σημαντικού αριθμού προσώπων των οποίων τα θεμελιώδη δικαιώματα είναι πιθανό να παραβιαστούν σε περίπτωση διαβίβασης δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα η οποία δεν διασφαλίζει επαρκές επίπεδο προστασίας, η διακριτική ευχέρεια της Επιτροπής ως προς την επάρκεια του επιπέδου προστασίας που διασφαλίζεται από τρίτη χώρα ήταν μειωμένη, με αποτέλεσμα να είναι απαραίτητο ο δικαστής της Ένωσης να ασκεί αυστηρό έλεγχο της νομιμότητας μιας απόφασης περί επάρκειας (απόφαση Schrems I, σκέψη 78).

22       Δεύτερον, υπενθυμίζεται ότι, κατά πάγια νομολογία, η νομιμότητα μιας πράξης της Ένωσης πρέπει να αξιολογείται με βάση τα πραγματικά και νομικά στοιχεία που υφίστανται κατά την ημερομηνία έκδοσης της εν λόγω πράξης, επομένως οι πράξεις που εκδίδονται μετά την έκδοση αποφάσεως δεν μπορούν να επηρεάσουν το κύρος της (βλ. αποφάσεις της 17ης Οκτωβρίου 2019, Alcogroup και Alcodis κατά Επιτροπής, C‑403/18 P, EU:C:2019:870, σκέψη 45 και την εκεί παρατιθέμενη νομολογία, και της 28ης Ιανουαρίου 2021, Qualcomm και Qualcomm Europe κατά Επιτροπής, C‑466/19 P, EU:C:2021:76, σκέψη 82 και την εκεί παρατιθέμενη νομολογία). Συνεπώς, εν προκειμένω, οι εκτιμήσεις στις οποίες προέβη η Επιτροπή σχετικά με τη νομιμότητα της προσβαλλόμενης απόφασης πρέπει να εξετάζονται αποκλειστικά με βάση τις πληροφορίες που είχε στη διάθεσή της κατά τον χρόνο έκδοσής τους.

23       Σε αυτό το πλαίσιο, τα επιχειρήματα που προβάλλει ο αιτών θα πρέπει να αναλυθούν εξετάζοντας πρώτα το τρίτο επιχείρημα, στη συνέχεια το δεύτερο επιχείρημα, στη συνέχεια το τέταρτο επιχείρημα και τέλος το πέμπτο επιχείρημα.

2.       Επί του τρίτου λόγου, που αφορά παραβίαση του άρθρου 47, δεύτερη παράγραφος, του Χάρτη των Θεμελιωδών Δικαιωμάτων και του άρθρου 45, παράγραφος 2, του ΓΚΠΔ

24       Με τον τρίτο λόγο ακυρώσεως, ο προσφεύγων υποστηρίζει ότι η Επιτροπή παρέβη το άρθρο 47, δεύτερο εδάφιο, του Χάρτη των Θεμελιωδών Δικαιωμάτων και το άρθρο 45, παράγραφος 2, του ΓΚΠΔ, καθόσον, στην προσβαλλόμενη απόφαση, έκρινε ότι η DPRC προσέφερε επαρκές επίπεδο προστασίας όσον αφορά το δικαίωμα των πολιτών της Ένωσης να έχουν πρόσβαση σε ανεξάρτητο και αμερόληπτο δικαστήριο που έχει συσταθεί προηγουμένως νόμιμα.

25       Προκαταρκτικά, πρέπει να σημειωθεί ότι το άρθρο 47, δεύτερο εδάφιο, του Χάρτη των Θεμελιωδών Δικαιωμάτων ορίζει τα εξής:

«Κάθε πρόσωπο έχει δικαίωμα σε δίκαιη και δημόσια ακρόαση εντός εύλογου χρονικού διαστήματος από ανεξάρτητο και αμερόληπτο δικαστήριο που έχει συσταθεί προηγουμένως με νόμο. Κάθε πρόσωπο έχει την ευκαιρία να συμβουλεύεται, να υπερασπίζεται και να εκπροσωπείται.»

26       Σύμφωνα με τις Επεξηγήσεις σχετικά με τον Χάρτη των Θεμελιωδών Δικαιωμάτων (ΕΕ 2007, C 303, σ. 17), το άρθρο 47, δεύτερο εδάφιο, του εν λόγω Χάρτη αντιστοιχεί στο άρθρο 6, παράγραφος 1, της Σύμβασης για την Προάσπιση των Δικαιωμάτων του Ανθρώπου και των Θεμελιωδών Ελευθεριών, η οποία υπογράφηκε στη Ρώμη στις 4 Νοεμβρίου 1950 (στο εξής: ΕΣΔΑ). Η διατύπωση της τελευταίας αυτής διάταξης έχει ως εξής:

«Κατά τον καθορισμό των πολιτικών του δικαιωμάτων και υποχρεώσεων ή οποιασδήποτε ποινικής κατηγορίας εναντίον του, κάθε πρόσωπο έχει δικαίωμα σε δίκαιη και δημόσια δίκη εντός εύλογου χρόνου από ανεξάρτητο και αμερόληπτο δικαστήριο που έχει συσταθεί νόμιμα.»

27       Συναφώς, υπενθυμίζεται ότι, κατά τη νομολογία, δεδομένου ότι η ΕΣΔΑ δεν αποτελεί, μέχρις ότου η Ένωση προσχωρήσει σε αυτήν, νομική πράξη που έχει ενσωματωθεί τυπικά στην έννομη τάξη της Ένωσης, η εξέταση του κύρους μιας πράξης παράγωγου δικαίου πρέπει να διενεργείται αποκλειστικά σε σχέση με τα θεμελιώδη δικαιώματα που κατοχυρώνονται από τον Χάρτη των Θεμελιωδών Δικαιωμάτων (απόφαση της 3ης Σεπτεμβρίου 2015, Inuit Tapiriit Kanatami κ.λπ. κατά Επιτροπής, C‑398/13 P, EU:C:2015:535, σκέψεις 45 και 46).

28       Ωστόσο, η νομολογία αναγνωρίζει ότι, αφενός, βάσει του άρθρου 6, παράγραφος 3, ΣΕΕ, τα θεμελιώδη δικαιώματα που αναγνωρίζονται από την ΕΣΔΑ αποτελούν μέρος του δικαίου της Ένωσης ως γενικές αρχές και, αφετέρου, από το άρθρο 52, παράγραφος 3, του Χάρτη των Θεμελιωδών Δικαιωμάτων προκύπτει ότι τα δικαιώματα που περιέχονται στον Χάρτη, τα οποία αντιστοιχούν σε δικαιώματα που κατοχυρώνονται από την ΕΣΔΑ, έχουν την ίδια έννοια και την ίδια εμβέλεια με αυτά που τους απονέμει η ΕΣΔΑ (βλ. απόφαση της 31ης Μαΐου 2018, Korwin-Mikke κατά Κοινοβουλίου, T‑770/16, EU:T:2018:320, σκέψη 38 και την εκεί παρατιθέμενη νομολογία).

29       Κατά συνέπεια, σύμφωνα με τη νομολογία, προς το συμφέρον της συνέπειας και χωρίς να θίγεται η αυτονομία του δικαίου της Ένωσης και του Δικαστηρίου της Ευρωπαϊκής Ένωσης, τα δικαιώματα που περιλαμβάνονται στον Χάρτη των Θεμελιωδών Δικαιωμάτων και τα οποία αντιστοιχούν σε εκείνα που κατοχυρώνονται από την ΕΣΔΑ πρέπει επίσης να ερμηνεύονται υπό το πρίσμα της νομολογίας του Ευρωπαϊκού Δικαστηρίου Δικαιωμάτων του Ανθρώπου (στο εξής: ΕΔΔΑ) (βλ., συναφώς, αποφάσεις της 9ης Νοεμβρίου 2023, Staatssecretaris van Justitie en Veiligheid (Έννοια της σοβαρής βλάβης), C‑125/22, EU:C:2023:843, σκέψη 59, και της 31ης Μαΐου 2018, Korwin-Mikke κατά Κοινοβουλίου, T‑770/16, EU:T:2018:320, σκέψη 38).

30       Συνεπώς, σύμφωνα με τη νομολογία, το Δικαστήριο οφείλει να διασφαλίζει, δυνάμει του άρθρου 52, παράγραφος 3, του Χάρτη των Θεμελιωδών Δικαιωμάτων, ότι η ερμηνεία του άρθρου 47, δεύτερο εδάφιο, του εν λόγω Χάρτη διασφαλίζει επίπεδο προστασίας που δεν παραβιάζει αυτό που κατοχυρώνεται από το άρθρο 6, παράγραφος 1, της ΕΣΔΑ, όπως ερμηνεύεται από το ΕΔΔΑ (βλ. απόφαση της 6ης Οκτωβρίου 2021, W.Ż. (Έκτακτο Τμήμα Ελέγχου και Δημοσίων Υποθέσεων του Ανωτάτου Δικαστηρίου – Διορισμοί), C‑487/19, EU:C:2021:798, σκέψη 123 και την εκεί παρατιθέμενη νομολογία).

31       Θα πρέπει επίσης να σημειωθεί ότι το άρθρο 45(2) του ΓΚΠΔ ορίζει ότι, κατά την αξιολόγηση της επάρκειας του επιπέδου προστασίας που προσφέρεται από τρίτη χώρα, η Επιτροπή λαμβάνει υπόψη, ιδίως, τα ακόλουθα:

«(α) […] τα αποτελεσματικά και εκτελεστά δικαιώματα που απολαμβάνουν τα υποκείμενα των δεδομένων και τα διοικητικά και δικαστικά μέσα έννομης προστασίας που τα υποκείμενα των δεδομένων των οποίων τα προσωπικά δεδομένα διαβιβάζονται μπορούν πράγματι να ασκήσουν·

β) την ύπαρξη και την αποτελεσματική λειτουργία μίας ή περισσότερων ανεξάρτητων εποπτικών αρχών στην τρίτη χώρα ή στις οποίες υπόκειται ένας διεθνής οργανισμός, οι οποίες είναι υπεύθυνες για τη διασφάλιση της συμμόρφωσης με τους κανόνες προστασίας δεδομένων και για την επιβολή τους, μεταξύ άλλων μέσω κατάλληλων εξουσιών για την εφαρμογή των εν λόγω κανόνων, για την παροχή βοήθειας και συμβουλών στα υποκείμενα των δεδομένων κατά την άσκηση των δικαιωμάτων τους και για τη συνεργασία με τις εποπτικές αρχές των κρατών μελών.

32       Υπό το πρίσμα αυτών των στοιχείων πρέπει να εξεταστούν οι δύο αιτιάσεις που προβάλλει ο προσφεύγων προς στήριξη του παρόντος λόγου ακυρώσεως.

(α)       Επί του πρώτου αιτιάσματος του τρίτου λόγου, σύμφωνα με το οποίο η DPRC δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο

33       Με την πρώτη αιτίαση του τρίτου λόγου ακυρώσεως, ο προσφεύγων υποστηρίζει ότι η DPRC δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο κατά την έννοια του άρθρου 47, δεύτερο εδάφιο, του Χάρτη των Θεμελιωδών Δικαιωμάτων, αλλά παραδικαστικό όργανο εξαρτώμενο από την εκτελεστική εξουσία.

34       Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί τα επιχειρήματα της προσφεύγουσας.

35       Προκαταρκτικά, πρέπει να σημειωθεί ότι, κατά τη νομολογία, η απαίτηση περί δικαστικής ανεξαρτησίας, η οποία είναι συμφυής με το καθήκον της εκδίκασης, εμπίπτει στο ουσιώδες περιεχόμενο του δικαιώματος σε αποτελεσματική δικαστική προστασία και του θεμελιώδους δικαιώματος σε δίκαιη δίκη, το οποίο έχει πρωταρχική σημασία ως εγγυητής της προστασίας όλων των δικαιωμάτων που τα άτομα αντλούν από το δίκαιο της Ένωσης και της διατήρησης των κοινών στα κράτη μέλη αξιών που κατοχυρώνονται στο άρθρο 2 ΣΕΕ, ιδίως της αξίας του κράτους δικαίου (απόφαση της 15ης Ιουλίου 2021, Επιτροπή κατά Πολωνίας (Πειθαρχικό καθεστώς για τους δικαστές), C‑791/19, EU:C:2021:596, σκέψη 58 και η εκεί παρατιθέμενη νομολογία). Σύμφωνα με την αρχή της διάκρισης των εξουσιών που χαρακτηρίζει τη λειτουργία ενός κράτους δικαίου, η ανεξαρτησία των δικαστηρίων πρέπει να διασφαλίζεται ιδίως όσον αφορά τη νομοθετική και την εκτελεστική εξουσία (βλ. απόφαση της 18ης Μαΐου 2021, Asociaţia “Forumul Judecătorilor din România” κ.λπ., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 και C‑397/19, EU:C:2021:393, σκέψη 195 και την εκεί παρατιθέμενη νομολογία).

36       Η νομολογία ορίζει ότι η απαίτηση ανεξαρτησίας των δικαστηρίων έχει δύο πτυχές. Η πρώτη, η εξωτερική πτυχή, απαιτεί το εν λόγω όργανο να ασκεί τα καθήκοντά του με πλήρη αυτονομία, χωρίς να υπόκειται σε καμία ιεραρχική σύνδεση ή υποταγή σε κανέναν και χωρίς να λαμβάνει εντολές ή οδηγίες από οποιαδήποτε πηγή, προστατεύοντας έτσι από εξωτερικές παρεμβάσεις ή πιέσεις που είναι πιθανό να υπονομεύσουν την ανεξαρτησία της κρίσης των μελών του και να επηρεάσουν τις αποφάσεις τους. Η δεύτερη, η εσωτερική πτυχή, είναι παρόμοια με την έννοια της «αμεροληψίας» και στοχεύει στην ίση απόσταση από τα μέρη της διαφοράς και τα αντίστοιχα συμφέροντά τους σε σχέση με το αντικείμενο της διαφοράς. Αυτή η τελευταία πτυχή απαιτεί σεβασμό της αντικειμενικότητας και την απουσία οποιουδήποτε συμφέροντος στην επίλυση της διαφοράς πέραν της αυστηρής εφαρμογής του κανόνα δικαίου (βλ. απόφαση της 21ης ​​Δεκεμβρίου 2021, Euro Box Promotion κ.λπ., C‑357/19, C‑379/19, C‑547/19, C‑811/19 και C‑840/19, EU:C:2021:1034, σκέψη 224 και την εκεί παρατιθέμενη νομολογία).

37       Οι εγγυήσεις ανεξαρτησίας και αμεροληψίας που απαιτούνται από το δίκαιο της Ένωσης απαιτούν την ύπαρξη κανόνων, ιδίως όσον αφορά τη σύνθεση του οργάνου, τον διορισμό, τη διάρκεια της θητείας και τους λόγους αποχής, εξαίρεσης και απόλυσης των μελών του, οι οποίοι καθιστούν δυνατή την άρση κάθε εύλογης αμφιβολίας των ιδιωτών ως προς τη στεγανότητα του εν λόγω οργάνου σε εξωτερικούς παράγοντες και την ουδετερότητά του σε σχέση με τα διακυβευόμενα συμφέροντα (βλ. απόφαση της 15ης Ιουλίου 2021, Επιτροπή κατά Πολωνίας (Πειθαρχικό καθεστώς δικαστών), C‑791/19, EU:C:2021:596, σκέψη 59 και την εκεί παρατιθέμενη νομολογία).

38       Σε αυτό το πλαίσιο πρέπει να εξεταστούν τα τρία επιχειρήματα που προέβαλε ο αιτών προς υποστήριξη της υπό κρίση αιτίασης.

1)       Σχετικά με το πρώτο επιχείρημα, σύμφωνα με το οποίο η DPRC δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο, καθώς η αποστολή της είναι να επανεξετάζει τις αποφάσεις του Υπεύθυνου Προστασίας Πολιτικών Ελευθεριών του Διευθυντή Εθνικών Πληροφοριών

39       Με το πρώτο του επιχείρημα, ο προσφεύγων υποστηρίζει, κατ’ ουσίαν, ότι η DPRC δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο, δεδομένου ότι η αποστολή της είναι να επανεξετάζει τις αποφάσεις του Υπεύθυνου Προστασίας των Πολιτικών Ελευθεριών του Διευθυντή Εθνικών Πληροφοριών (στο εξής: «CLPO», Ηνωμένες Πολιτείες), ο οποίος υπάγεται στο γραφείο του Διευθυντή Εθνικών Πληροφοριών των Ηνωμένων Πολιτειών (στο εξής: «Διευθυντής Εθνικών Πληροφοριών»).

40       Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί το επιχείρημα της προσφεύγουσας.

41       Για λόγους σαφήνειας, πρέπει να σημειωθεί ότι το πρώτο επιχείρημα της πρώτης αιτίασης του τρίτου λόγου ακυρώσεως πρέπει να ερμηνευθεί υπό την έννοια ότι, κατ’ ουσίαν, κατά τον προσφεύγοντα, πρώτον, κατά την εξέταση καταγγελίας περί δεδομένων προσωπικού χαρακτήρα που υποβάλλεται από υποκείμενο των δεδομένων στην Ένωση, το οποίο επιθυμεί να επικαλεστεί παραβίαση του δικαίου των Ηνωμένων Πολιτειών που διέπει τις δραστηριότητες συλλογής πληροφοριών σημάτων, η οποία επηρεάζει αρνητικά τα συμφέροντά του στην προστασία της ιδιωτικής ζωής και των πολιτικών ελευθεριών («καταγγελία περί δεδομένων προσωπικού χαρακτήρα»), η CLPO δεν περιβάλλεται από επαρκείς εγγυήσεις για τη διασφάλιση της ανεξαρτησίας της, με το σκεπτικό ότι υπάγεται στο Γραφείο του Διευθυντή Εθνικών Πληροφοριών, και, δεύτερον, ότι η DPRC δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο λόγω της ανεπάρκειας των εγγυήσεων που εφαρμόζονται στην CLPO.

42       Καταρχάς, πρέπει να σημειωθεί ότι η εξέταση των εγγυήσεων που αφορούν την ανεξαρτησία του CLPO είναι άνευ σημασίας για την αξιολόγηση του κατά πόσον η DPRC αποτελεί ανεξάρτητο και αμερόληπτο δικαστήριο. Πράγματι, η DPRC συστάθηκε ως εποπτικό όργανο ανεξάρτητο από την CLPO, στο οποίο, όπως προκύπτει σαφώς από την αιτιολογική σκέψη 184 της προσβαλλομένης αποφάσεως, το πρόσωπο που υπέβαλε την καταγγελία σχετικά με τα δεδομένα προσωπικού χαρακτήρα, καθώς και κάθε συνιστώσα της κοινότητας πληροφοριών, μπορούν να ζητήσουν την αναθεώρηση της απόφασης της CLPO, και στο έγγραφο EO 14086 έχουν παρασχεθεί αρκετές εγγυήσεις, ώστε οι αποφάσεις της CLPO να μπορούν να αναθεωρηθούν και, όπου είναι σκόπιμο, να αναθεωρηθούν ανεξάρτητα και αμερόληπτα από την DPRC.

43       Πρώτον, από τις αιτιολογικές σκέψεις 185 και 186 της προσβαλλομένης αποφάσεως προκύπτει, χωρίς ο προσφεύγων να το αμφισβητήσει, ότι η DPRC αποτελείται από τουλάχιστον έξι δικαστές που διορίζονται από τον Γενικό Εισαγγελέα (Γενικό Εισαγγελέα των Ηνωμένων Πολιτειών, στο εξής: Γενικός Εισαγγελέας), μετά από διαβούλευση με το Συμβούλιο Εποπτείας της Ιδιωτικής Ζωής και των Πολιτικών Ελευθεριών (Επιτροπή Εποπτείας της Ιδιωτικής Ζωής και των Πολιτικών Ελευθεριών των Ηνωμένων Πολιτειών, στο εξής: PCLOB), τον Υπουργό Εμπορίου (Γραμματέα Εμπορίου των Ηνωμένων Πολιτειών) και τον Διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών, για ανανεώσιμες θητείες τεσσάρων ετών, χρησιμοποιώντας τα ίδια κριτήρια με αυτά που ισχύουν για τους δικαστές της ομοσπονδιακής δικαστικής εξουσίας και λαμβάνοντας υπόψη την προηγούμενη δικαστική τους εμπειρία. Επομένως, οι δικαστές πρέπει να είναι νομικοί ασκούντες επαγγέλματα -ενεργά μέλη με έντιμο δικηγορικό σύλλογο που διαθέτουν νόμιμη άδεια ασκήσεως δικηγορίας – και πρέπει να έχουν την κατάλληλη εμπειρία στο δίκαιο της ιδιωτικής ζωής και της εθνικής ασφάλειας. Επιπλέον, ο Γενικός Εισαγγελέας πρέπει να διασφαλίζει ότι τουλάχιστον οι μισοί από τους δικαστές έχουν προηγούμενη δικαστική εμπειρία και όλοι οι δικαστές πρέπει να διαθέτουν διαβαθμίσεις ασφαλείας για την πρόσβαση σε διαβαθμισμένες πληροφορίες σχετικές με την εθνική ασφάλεια. Μόνο άτομα που πληρούν τα παραπάνω προσόντα και δεν είναι υπάλληλοι της εκτελεστικής εξουσίας κατά τον χρόνο του διορισμού τους ή δεν ήταν υπάλληλοι της εκτελεστικής εξουσίας κατά τα προηγούμενα δύο έτη μπορούν να διοριστούν στην DPRC. Ομοίως, κατά τη διάρκεια της θητείας τους, οι δικαστές της DPRC δεν μπορούν να κατέχουν κανένα επίσημο αξίωμα ή να έχουν απασχόληση στην κυβέρνηση των Ηνωμένων Πολιτειών.

44       Δεύτερον, από τις αιτιολογικές σκέψεις 188 και 189 της προσβαλλόμενης απόφασης προκύπτει, χωρίς ο προσφεύγων να το αμφισβητήσει αυτό, ότι οι αποφάσεις του CLPO εξετάζονται στο σύνολό τους από ομάδα τριών δικαστών του DPRC, επικουρούμενοι από ειδικό δικηγόρο. Ωστόσο, κατά την εξέταση αυτή, το DPRC δεν βασίζεται αποκλειστικά στον φάκελο που παρέχεται από το CLPO, αλλά και στις πληροφορίες και τις παρατηρήσεις που υποβάλλονται από τον καταγγέλλοντα, από τον ειδικό δικηγόρο που επικουρεί τους δικαστές του και από τις υπηρεσίες πληροφοριών και, κατά περίπτωση, στις πρόσθετες πληροφορίες που ζήτησε κατά την έρευνα της καταγγελίας σχετικά με τα προσωπικά δεδομένα. Επιπλέον, κατά την εξέταση αυτή, οφείλει να εφαρμόσει τη σχετική νομολογία του Ανωτάτου Δικαστηρίου των Ηνωμένων Πολιτειών.

45       Τρίτον, από τις αιτιολογικές σκέψεις 190 και 191 της προσβαλλομένης αποφάσεως προκύπτει σαφώς, χωρίς ο προσφεύγων να τις αμφισβητήσει, ότι η DPRC έχει την εξουσία επανεξέτασης, δεν δεσμεύεται από την απόφαση της CLPO και, σε περίπτωση διαφωνίας με την τελευταία, μπορεί να εκδώσει τη δική της απόφαση επί της καταγγελίας που αφορά τα δεδομένα προσωπικού χαρακτήρα. Επιπλέον, οποιαδήποτε απόφαση λάβει η DPRC, η απόφαση αυτή είναι δεσμευτική και οριστική. Συνεπώς, τόσο οι υπηρεσίες πληροφοριών όσο και η κυβέρνηση των Ηνωμένων Πολιτειών υποχρεούνται να συμμορφωθούν με αυτήν.

46       Από τα ανωτέρω προκύπτει ότι οι εγγυήσεις που προβλέπονται από το EO 14086 όσον αφορά τη λειτουργία και τις εξουσίες της DPRC επιτρέπουν την ανεξάρτητη και αμερόληπτη επανεξέταση των αποφάσεων που λαμβάνονται από την CLPO. Συνεπώς, ο αιτών δεν δικαιολογείται να υποστηρίζει ότι η ανεπάρκεια των εγγυήσεων που εφαρμόζονται στην CLPO επηρεάζει την ανεξαρτησία και την αμεροληψία της DPRC.

47       Σε κάθε περίπτωση, όσον αφορά την φερόμενη ανεπάρκεια των εγγυήσεων που αποσκοπούν στη διασφάλιση της ανεξαρτησίας του CLPO, θα πρέπει να επισημανθούν τα ακόλουθα.

48       Πρέπει να σημειωθεί, όπως προκύπτει από τις αιτιολογικές σκέψεις 176 έως 181 της προσβαλλομένης αποφάσεως, χωρίς ο προσφεύγων να το αμφισβητήσει, ότι το έγγραφο EO 14086, το οποίο συμπληρώθηκε με τον κανονισμό AG, θέσπισε έναν ειδικό μηχανισμό προσφυγής για την διεκπεραίωση καταγγελιών σχετικά με δεδομένα προσωπικού χαρακτήρα. Η καταγγελία αυτή πρέπει να υποβάλλεται στην εποπτική αρχή που είναι αρμόδια, σε κάθε κράτος μέλος, για την εποπτεία της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η οποία στη συνέχεια τη διαβιβάζει στην CLPO, υπό την προϋπόθεση ότι περιέχει τα στοιχεία που αναφέρονται στην παράγραφο 178 της προσβαλλομένης αποφάσεως, δηλαδή πληροφορίες σχετικά με τα δεδομένα προσωπικού χαρακτήρα που εύλογα πιστεύεται ότι διαβιβάστηκαν στις Ηνωμένες Πολιτείες, τα μέσα με τα οποία μπορεί να υποτεθεί ότι διαβιβάστηκαν, την ταυτότητα, εάν είναι γνωστή, των φορέων της κυβέρνησης των Ηνωμένων Πολιτειών που είναι ύποπτοι ότι εμπλέκονται στην φερόμενη παράβαση, τη βάση της φερόμενης παράβασης του δικαίου των Ηνωμένων Πολιτειών και τη φύση του ζητούμενου ένδικου βοηθήματος. Στο πλαίσιο αυτό, η CLPO πρέπει να διαπιστώσει εάν οι υπηρεσίες πληροφοριών έχουν παραβιάσει το εφαρμοστέο δίκαιο των ΗΠΑ και, εάν ναι, μπορεί να τους διατάξει να εφαρμόσουν διορθωτικά μέτρα. Η απόφαση της CLPO επί της καταγγελίας είναι δεσμευτική.

49       Βεβαίως, στην αιτιολογική σκέψη 179 της προσβαλλομένης αποφάσεως, η Επιτροπή αναφέρει ότι η CLPO αποτελεί μέρος του Γραφείου του Διευθυντή Εθνικών Πληροφοριών και ότι, πέραν της ειδικής αρμοδιότητάς της να εξετάζει την καταγγελία που αφορά τα προσωπικά δεδομένα, υποχρεούται, γενικότερα, να διασφαλίζει ότι η προστασία των πολιτικών ελευθεριών και της ιδιωτικής ζωής ενσωματώνεται κατάλληλα στις πολιτικές και τις διαδικασίες του εν λόγω γραφείου και των υπηρεσιών πληροφοριών και ότι αυτές συμμορφώνονται με τις ισχύουσες απαιτήσεις σχετικά με την προστασία της ιδιωτικής ζωής και των πολιτικών ελευθεριών. Ωστόσο, αφενός, πρέπει να σημειωθεί ότι, όπως αναφέρεται στην εν λόγω αιτιολογική σκέψη, προκειμένου να διασφαλιστεί η ανεξαρτησία της CLPO, το EO 14086 ορίζει ότι η CLPO μπορεί να παυθεί από τα καθήκοντά της μόνο από τον εν λόγω Διευθυντή και για βάσιμο λόγο, δηλαδή σε περίπτωση παράνομης ενέργειας, ανάρμοστης συμπεριφοράς, παραβίασης της ασφάλειας, αμέλειας ή ανικανότητας. Αφετέρου, όπως προκύπτει σαφώς από την αιτιολογική σκέψη 180 της προσβαλλομένης αποφάσεως, οι υπηρεσίες πληροφοριών και ο Διευθυντής της Εθνικής Υπηρεσίας Πληροφοριών απαγορεύεται να παρεμποδίζουν ή να επηρεάζουν αδικαιολόγητα το έργο της CLPO, η οποία, κατά την εξέταση της καταγγελίας που αφορά δεδομένα προσωπικού χαρακτήρα, οφείλει να εφαρμόζει τον νόμο αμερόληπτα, λαμβάνοντας υπόψη τόσο τα συμφέροντα εθνικής ασφάλειας όσο και την προστασία της ιδιωτικής ζωής.

50       Υπό τις συνθήκες αυτές, το επιχείρημα αυτό πρέπει να απορριφθεί.

2)       Σχετικά με το δεύτερο επιχείρημα, σύμφωνα με το οποίο η DPRC δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο, καθώς αποτελείται από δικαστές που διορίζονται από τον Γενικό Εισαγγελέα μετά από διαβούλευση με την PCLOB

51       Με το δεύτερο επιχείρημά του, ο προσφεύγων υποστηρίζει, κατ’ ουσίαν, ότι η DPRC δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο, δεδομένου ότι αποτελείται από δικαστές που διορίζονται από τον Γενικό Εισαγγελέα κατόπιν διαβούλευσης με την PCLOB, η οποία είναι όργανο που εξαρτάται από την εκτελεστική εξουσία.

52       Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί το επιχείρημα της προσφεύγουσας.

53       Πρώτον, από την αιτιολογική σκέψη 110 της προσβαλλομένης αποφάσεως προκύπτει ότι η PCLOB είναι ανεξάρτητη υπηρεσία, η οποία έχει συσταθεί εντός της εκτελεστικής εξουσίας. Η ανεξαρτησία της εν λόγω υπηρεσίας προκύπτει ιδίως από τη σύνθεσή της. Πράγματι, αποτελείται από ένα δικομματικό συμβούλιο πέντε μελών που διορίζονται από τον Πρόεδρο των Ηνωμένων Πολιτειών, με την έγκριση της Γερουσίας, για καθορισμένη θητεία έξι ετών. Τα μέλη αυτά πρέπει να επιλέγονται με βάση τα επαγγελματικά τους προσόντα, τα επιτεύγματά τους, τη δημόσια θέση τους, την εμπειρογνωμοσύνη τους στην προστασία της ιδιωτικής ζωής και των πολιτικών ελευθεριών, καθώς και την εμπειρία τους, ανεξάρτητα από την πολιτική τους τοποθέτηση. Η PCLOB δεν μπορεί να έχει περισσότερα από τρία μέλη που να ανήκουν στο ίδιο πολιτικό κόμμα. Πρόσωπο που διορίζεται ως μέλος της PCLOB δεν μπορεί, κατά τη διάρκεια της θητείας του, να είναι αιρετός αξιωματούχος, δημόσιος υπάλληλος ή υπάλληλος της Ομοσπονδιακής Κυβέρνησης, εκτός από την ιδιότητά του ως μέλους της PCLOB.

54       Συνεπώς, παρόλο που η PCLOB συστάθηκε εντός της εκτελεστικής εξουσίας, σχεδιάστηκε, από το ιδρυτικό της καταστατικό, ως ανεξάρτητη υπηρεσία, αποστολή της οποίας είναι να επιβλέπει, αμερόληπτα, το έργο που εκτελείται από την εκτελεστική εξουσία με σκοπό την προστασία, ιδίως, της ιδιωτικής ζωής και των πολιτικών ελευθεριών. Έτσι, όπως αναφέρεται στην αιτιολογική σκέψη 194 της προσβαλλόμενης απόφασης, χωρίς να το αμφισβητεί ο προσφεύγων, οφείλει να παρακολουθεί ετησίως εάν η CLPO και η DPRC έχουν χειριστεί τις υποθέσεις που έχουν παραληφθεί εντός των ταχθεισών προθεσμιών, εάν είχαν πρόσβαση σε όλες τις απαραίτητες πληροφορίες, εάν έχουν λάβει υπόψη όλες τις εγγυήσεις που προβλέπονται στο EO 14086 και εάν οι υπηρεσίες πληροφοριών έχουν συμμορφωθεί με τις αποφάσεις τους. Μετά την επαλήθευση αυτή, οφείλει να βεβαιώσει δημόσια ότι η CLPO και η DPRC έχουν τηρήσει αυτές τις εγγυήσεις. Επιπλέον, οφείλει να υποβάλει έκθεση στον Πρόεδρο των Ηνωμένων Πολιτειών, στον Γενικό Εισαγγελέα, στον Διευθυντή Εθνικής Υπηρεσίας Πληροφοριών, στους επικεφαλής των υπηρεσιών πληροφοριών, στην CLPO και στις επιτροπές πληροφοριών του Κογκρέσου των Ηνωμένων Πολιτειών. Η έκθεση αυτή δημοσιοποιείται σε μη διαβαθμισμένη μορφή. Ο Γενικός Εισαγγελέας, ο Διευθυντής της Εθνικής Υπηρεσίας Πληροφοριών, η CLPO και οι επικεφαλής των υπηρεσιών πληροφοριών υποχρεούνται να εφαρμόσουν όλες τις συστάσεις που περιέχονται στην έκθεση.

55       Υπό αυτές τις συνθήκες, το γεγονός ότι η PCLOB συστάθηκε εντός της εκτελεστικής εξουσίας δεν επιτρέπει από μόνο του το συμπέρασμα ότι, λόγω της διαβούλευσής της πριν από τον διορισμό των δικαστών της DPRC, η τελευταία δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο.

56       Δεύτερον, πρέπει να σημειωθεί ότι, προκειμένου να διασφαλιστεί η ανεξαρτησία των δικαστών του DPRC από την εκτελεστική εξουσία, το EO 14086 ορίζει ότι, κατά τον διορισμό τους, ο Γενικός Εισαγγελέας πρέπει να συμμορφώνεται με τα κριτήρια και τις προϋποθέσεις που αναφέρονται στην παράγραφο 43 ανωτέρω. Επιπλέον, όπως προκύπτει από την αιτιολογική σκέψη 187 της προσβαλλόμενης απόφασης, οι δικαστές του DPRC μπορούν να απομακρυνθούν από τα καθήκοντά τους μόνο από τον Γενικό Εισαγγελέα και μόνο για βάσιμους λόγους, δηλαδή παράνομη ενέργεια, παράπτωμα, κίνδυνο ασφάλειας, αμέλεια ή ανικανότητα, μετά από δέουσα εξέταση των προτύπων που ισχύουν για τους ομοσπονδιακούς δικαστές και ορίζονται στους Κανόνες Δικαστικής Συμπεριφοράς και στη Διαδικασία για την Δικαστική Ανικανότητα.

57       Συνεπώς, οι κανόνες που αφορούν τον διορισμό και την απόλυση δικαστών της DPRC δεν μπορούν να θέσουν υπό αμφισβήτηση την ανεξαρτησία και την αμεροληψία της.

58       Τρίτον, πρέπει να σημειωθεί ότι, βάσει του άρθρου 3, παράγραφος 1, της προσβαλλόμενης απόφασης, η Επιτροπή υποχρεούται να παρακολουθεί σε συνεχή βάση την εφαρμογή του νομικού πλαισίου στο οποίο βασίζεται η εν λόγω απόφαση, ιδίως τους όρους υπό τους οποίους πραγματοποιούνται οι μεταγενέστερες διαβιβάσεις δεδομένων προσωπικού χαρακτήρα, ασκούνται τα ατομικά δικαιώματα και οι δημόσιες αρχές των Ηνωμένων Πολιτειών έχουν πρόσβαση στα δεδομένα που διαβιβάζονται βάσει της εν λόγω απόφασης, με σκοπό να διαπιστωθεί εάν οι Ηνωμένες Πολιτείες Αμερικής εξακολουθούν να διασφαλίζουν επαρκές επίπεδο προστασίας. Συνεπώς, σύμφωνα με το άρθρο 3, παράγραφος 5, όταν έχει στην κατοχή της αποδεικτικά στοιχεία που δείχνουν ότι δεν διασφαλίζεται πλέον επαρκές επίπεδο προστασίας, η Επιτροπή ενημερώνει τις αρχές των Ηνωμένων Πολιτειών και, εάν είναι απαραίτητο, αποφασίζει να αναστείλει, να τροποποιήσει, να καταργήσει την προσβαλλόμενη απόφαση ή να περιορίσει το πεδίο εφαρμογής της. Συνεπώς, εάν το νομικό πλαίσιο που ίσχυε στις Ηνωμένες Πολιτείες κατά τον χρόνο έκδοσης της προσβαλλόμενης απόφασης, το οποίο οδήγησε την Επιτροπή να θεωρήσει, στην εν λόγω απόφαση, ότι η DPRC προσέφερε έννομη προστασία ουσιαστικά ισοδύναμη με αυτήν που εγγυάται το δίκαιο της Ένωσης, αλλάξει, η Επιτροπή αποφασίζει, εάν είναι απαραίτητο, να αναστείλει, να τροποποιήσει ή να καταργήσει την προσβαλλόμενη απόφαση ή να περιορίσει το πεδίο εφαρμογής της.

59       Λαμβάνοντας υπόψη όλες αυτές τις σκέψεις, το επιχείρημα αυτό πρέπει να απορριφθεί.

3)       Επί του τρίτου επιχειρήματος, σύμφωνα με το οποίο η DPRC δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο, δεδομένου ότι ο κανονισμός του Γενικού Εισαγγελέα δεν αποκλείει την πιθανότητα οι δικαστές της να υπόκεινται σε μορφές εποπτείας άλλες από την καθημερινή από την εκτελεστική εξουσία

60       Με το τρίτο επιχείρημά του, ο προσφεύγων υποστηρίζει, κατ’ ουσίαν, ότι η DPRC δεν είναι ανεξάρτητο και αμερόληπτο δικαστήριο, δεδομένου ότι ο κανονισμός περί του Γενικού Εισαγγελέα δεν αποκλείει την πιθανότητα οι δικαστές της να υπόκεινται σε μορφές εποπτείας άλλες από την καθημερινή εποπτεία από την εκτελεστική εξουσία.

61       Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί το επιχείρημα της προσφεύγουσας.

62       Πρέπει να σημειωθεί ότι, ενώ από τη δικογραφία προκύπτει σαφώς ότι, βάσει του άρθρου 201.7(δ) του κανονισμού περί Γενικού Εισαγγελέα, οι δικαστές της DPRC δεν πρέπει να υπόκεινται στην καθημερινή εποπτεία του Γενικού Εισαγγελέα, η αιτιολογική σκέψη 187 της προσβαλλόμενης απόφασης αναφέρει επίσης ότι, βάσει του EO 14086, οι υπηρεσίες πληροφοριών και ο Γενικός Εισαγγελέας δεν πρέπει να παρεμποδίζουν ή να επηρεάζουν αδικαιολόγητα το έργο της DPRC. Επιπλέον, από τη δικογραφία προκύπτει σαφώς ότι το EO 14086 και ο κανονισμός περί Γενικού Εισαγγελέα περιορίζουν τη δυνατότητα της εκτελεστικής εξουσίας να επηρεάζει το έργο της DPRC, ορίζοντας ότι οι δικαστές της μπορούν να απολυθούν μόνο από τον Γενικό Εισαγγελέα και μόνο για τους λόγους που αναφέρονται στην παράγραφο 56 ανωτέρω.

63       Στο πλαίσιο αυτό, το επιχείρημα αυτό πρέπει να απορριφθεί και, ως εκ τούτου, η πρώτη αιτίαση του τρίτου λόγου ακυρώσεως στο σύνολό της.

(β)       Επί του δεύτερου αιτιάσματος του τρίτου λόγου, σύμφωνα με το οποίο η DPRC δεν είναι δικαστήριο που έχει συσταθεί προηγουμένως με νόμο

64       Με τη δεύτερη αιτίαση του τρίτου λόγου ακυρώσεώς του, ο προσφεύγων υποστηρίζει ότι η DPRC δεν είχε προηγουμένως συσταθεί με νόμο, κατά την έννοια του άρθρου 47, δεύτερο εδάφιο, του Χάρτη των Θεμελιωδών Δικαιωμάτων, στο μέτρο που δεν συστάθηκε με νόμο που εκδόθηκε από το Κογκρέσο των Ηνωμένων Πολιτειών, αλλά με πράξη της εκτελεστικής εξουσίας, δηλαδή με απόφαση του Γενικού Εισαγγελέα.

65       Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί τα επιχειρήματα της προσφεύγουσας.

66       Καταρχάς, από τη νομολογία του Δικαστηρίου, η οποία έχει αναπτυχθεί υπό το πρίσμα της νομολογίας του ΕΔΔΑ σχετικά με το άρθρο 6(1) της ΕΣΔΑ (ΕΔΔΑ, 1 ^{Δεκεμβρίου}  2020, Guðmundur Andri Ástráðsson κατά Ισλανδίας, CE:ECHR:2020:1201JUD002637418, §§ 231 και 233), προκύπτει ότι, ενώ το δικαίωμα σε δικαστήριο που έχει συσταθεί προηγουμένως με νόμο αποτελεί αυτόνομο δικαίωμα, έχει ωστόσο πολύ στενούς δεσμούς με τις εγγυήσεις ανεξαρτησίας και αμεροληψίας που περιέχονται στην ίδια διάταξη. Πιο συγκεκριμένα, αν και όλες οι απαιτήσεις που υπαγορεύονται από αυτές τις έννοιες επιδιώκουν η καθεμία έναν συγκεκριμένο στόχο που τις καθιστά συγκεκριμένες εγγυήσεις δίκαιης δίκης, οι εν λόγω εγγυήσεις επιδιώκουν να σέβονται τις ίδιες θεμελιώδεις αρχές του κράτους δικαίου και της διάκρισης των εξουσιών. Στο επίκεντρο καθεμίας από αυτές τις απαιτήσεις βρίσκεται, επομένως, η επιτακτική ανάγκη να διατηρηθεί η εμπιστοσύνη που πρέπει να εμπνέει η δικαστική εξουσία στο άτομο και η ανεξαρτησία της εξουσίας αυτής σε σχέση με τις άλλες εξουσίες (βλ. αποφάσεις της 22ας Φεβρουαρίου 2022, Openbaar Ministerie (Δικαστήριο που ιδρύθηκε νόμιμα στο κράτος μέλος έκδοσης), C‑562/21 PPU και C‑563/21 PPU, EU:C:2022:100, σκέψη 56 και την εκεί παρατιθέμενη νομολογία, και της 29ης Μαρτίου 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, σκέψη 117 και την εκεί παρατιθέμενη νομολογία).

67       Το Δικαστήριο διευκρίνισε επίσης, απηχώντας τη νομολογία του ΕΔΔΑ (ΕΔΔΑ, 8 Ιουλίου 2014, Biagioli κατά Σαν Μαρίνο, CE:ECHR:2014:0708DEC000816213, §§ 72 έως 74· βλ. επίσης ΕΔΔΑ, 2 Μαΐου 2019, Pasquini κατά Σαν Μαρίνο, CE:ECHR:2019:0502JUD005095616, §§ 100 και 101 και εκεί παρατιθέμενη νομολογία), ότι η έκφραση «προηγουμένως θεσπισμένο με νόμο» αποσκοπεί στο να αποτρέψει την επαφίεση της οργάνωσης του δικαστικού συστήματος στη διακριτική ευχέρεια της εκτελεστικής εξουσίας και να διασφαλίσει ότι το ζήτημα αυτό διέπεται από νόμο που θεσπίζεται από τη νομοθετική εξουσία κατά τρόπο συνεπή με τους κανόνες που διέπουν την άσκηση της δικαιοδοσίας της. Η έκφραση αυτή αντικατοπτρίζει επομένως την αρχή του κράτους δικαίου και αφορά όχι μόνο τη νομική βάση για την ίδια την ύπαρξη του δικαστηρίου, αλλά και τη σύνθεση του δικαστηρίου σε κάθε υπόθεση και οποιαδήποτε άλλη διάταξη του εσωτερικού δικαίου η μη τήρηση της οποίας καθιστά παράνομη τη συμμετοχή ενός ή περισσότερων δικαστών στην εξέταση της υπόθεσης, η οποία περιλαμβάνει, ιδίως, διατάξεις που αφορούν την ανεξαρτησία και την αμεροληψία των μελών του οικείου δικαστηρίου (βλ. απόφαση της 29ης Μαρτίου 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, σκέψη 121 και την εκεί παρατιθέμενη νομολογία).

68       Στο πλαίσιο αυτό, το Δικαστήριο έκρινε ότι η διαπίστωση σχετικά με την ύπαρξη παραβίασης της απαίτησης για δικαστήριο που έχει συσταθεί προηγουμένως νόμιμα και οι συνέπειες μιας τέτοιας παραβίασης υπόκειτο σε συνολική αξιολόγηση ορισμένων παραγόντων οι οποίοι, συνολικά, συμβάλλουν στη δημιουργία, στη συνείδηση ​​των ιδιωτών, εύλογων αμφιβολιών ως προς την ανεξαρτησία και την αμεροληψία των δικαστών (βλ. απόφαση της 22ας Φεβρουαρίου 2022, Openbaar Ministerie (Δικαστήριο που έχει συσταθεί νόμιμα στο κράτος μέλος έκδοσης), C‑562/21 PPU και C‑563/21 PPU, EU:C:2022:100, σκέψη 74 και την εκεί παρατιθέμενη νομολογία).

69       Έτσι, το Δικαστήριο έκρινε ότι το γεγονός ότι ένα όργανο, όπως ένα εθνικό δικαστικό συμβούλιο, που εμπλέκεται στη διαδικασία διορισμού δικαστών αποτελείται κυρίως από μέλη που επιλέγονται από τη νομοθετική εξουσία δεν μπορεί, αυτό καθαυτό, να οδηγήσει σε αμφιβολίες σχετικά με την ανεξαρτησία των δικαστών που διορίζονται στο τέλος της διαδικασίας αυτής, αλλά ότι, ωστόσο, η κατάσταση μπορεί να είναι διαφορετική όταν η εν λόγω περίσταση, σε συνδυασμό με άλλους σχετικούς παράγοντες και τις συνθήκες υπό τις οποίες έγιναν οι επιλογές αυτές, οδηγεί σε τέτοιες αμφιβολίες (βλ. απόφαση της 22ας Φεβρουαρίου 2022, Openbaar Ministerie (Δικαστήριο που ιδρύθηκε νομίμως στο κράτος μέλος έκδοσης), C‑562/21 PPU και C‑563/21 PPU, EU:C:2022:100, σκέψη 75 και την εκεί παρατιθέμενη νομολογία).

70       Επιπλέον, στην απόφασή του της 1ης ^{Δεκεμβρίου}  2020, Guðmundur Andri Ástráðsson κατά Ισλανδίας (CE:ECHR:2020:1201JUD002637418, §§ 207 και 212), το ΕΔΔΑ έκρινε ότι ο διορισμός δικαστών από την εκτελεστική ή τη νομοθετική εξουσία είναι παραδεκτός, υπό την προϋπόθεση ότι οι διοριζόμενοι δικαστές είναι απαλλαγμένοι από οποιαδήποτε πίεση ή επιρροή κατά την άσκηση του δικαστικού τους ρόλου.

71       Από την εν λόγω νομολογία προκύπτει, κατ’ ουσίαν, ότι, προκειμένου να εκτιμηθεί εάν πληρούνται οι απαιτήσεις που απορρέουν από το άρθρο 47, δεύτερο εδάφιο, του Χάρτη των Θεμελιωδών Δικαιωμάτων, δεν είναι απαραίτητο να περιοριστούμε στην αξιολόγηση της τυπικής φύσης του νομικού κειμένου που ιδρύει δικαστήριο και ορίζει τους κανόνες λειτουργίας του, αλλά είναι απαραίτητο να επαληθεύσουμε εάν το εν λόγω νομικό κείμενο παρέχει επαρκείς εγγυήσεις που αποσκοπούν στη διασφάλιση της ανεξαρτησίας και της αμεροληψίας του έναντι των άλλων εξουσιών, ιδίως της εκτελεστικής εξουσίας.

72       Δεύτερον, πρέπει να υπενθυμιστεί ότι, όπως έκρινε το Δικαστήριο στις υποθέσεις Schrems I και Schrems II, στο πλαίσιο απόφασης περί επάρκειας, η Επιτροπή δεν υποχρεούται να διασφαλίσει ότι οι σχετικές διατάξεις της τρίτης χώρας είναι πανομοιότυπες με εκείνες που ισχύουν στην Ευρωπαϊκή Ένωση, αλλά ότι είναι ουσιαστικά ισοδύναμες με εκείνες που κατοχυρώνονται από το δίκαιο της ΕΕ βάσει του ΓΚΠΔ, ερμηνευόμενες υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων (βλ. σκέψεις 19 και 20 ανωτέρω). Συνεπώς, στην υπό κρίση υπόθεση, το Γενικό Δικαστήριο υποχρεούται να επαληθεύσει το βάσιμο της διαπίστωσης περί επάρκειας στην οποία προέβη η Επιτροπή στην προσβαλλόμενη απόφαση, σύμφωνα με την οποία οι διατάξεις του δικαίου των Ηνωμένων Πολιτειών σχετικά με την ίδρυση και τη λειτουργία της DPRC προσφέρουν εγγυήσεις ουσιαστικά ισοδύναμες με εκείνες που προβλέπονται από το δίκαιο της ΕΕ στο άρθρο 47, δεύτερο εδάφιο, του εν λόγω Χάρτη. Τέτοιες εγγυήσεις προσφέρονται, ιδίως, όταν το νομικό κείμενο που ιδρύει το εν λόγω δικαστήριο και ορίζει τους κανόνες λειτουργίας του αποσκοπεί στη διασφάλιση της ανεξαρτησίας και της αμεροληψίας του έναντι άλλων εξουσιών, ιδίως της εκτελεστικής εξουσίας, παρά το γεγονός ότι το εν λόγω κείμενο δεν συνιστά, από τυπικής άποψης, νόμο.

73       Εν προκειμένω, από την αιτιολογική σκέψη 185 της προσβαλλομένης αποφάσεως προκύπτει, χωρίς ο προσφεύγων να το αμφισβητήσει, ότι η DPRC ιδρύθηκε με τον κανονισμό AG. Συνεπώς, η DPRC δεν συστάθηκε με νόμο που θεσπίστηκε από τη νομοθετική εξουσία, δηλαδή το Κογκρέσο των Ηνωμένων Πολιτειών, αλλά με πράξη που προέρχεται από την εκτελεστική εξουσία. Ο Γενικός Εισαγγελέας είναι, στην πραγματικότητα, ο επικεφαλής του Υπουργείου Δικαιοσύνης των Ηνωμένων Πολιτειών και ο κύριος αξιωματικός επιβολής του νόμου εντός της ομοσπονδιακής κυβέρνησης των Ηνωμένων Πολιτειών. Είναι ο κύριος σύμβουλος του Προέδρου των Ηνωμένων Πολιτειών για όλα τα νομικά θέματα και είναι μέλος του υπουργικού του συμβουλίου.

74       Στο πλαίσιο αυτό, είναι σκόπιμο να επαληθευτεί εάν, κατά τρόπο ουσιαστικά ισοδύναμο με το δίκαιο της Ένωσης, το EO 14086 και ο κανονισμός AG παρέχουν εγγυήσεις που αποσκοπούν στη διασφάλιση της ανεξαρτησίας και της αμεροληψίας της DPRC.

75       Συναφώς, καταρχάς, πρέπει να σημειωθεί ότι από τον φάκελο προκύπτει σαφώς, χωρίς να αμφισβητηθεί, ότι:

– ο Γενικός Εισαγγελέας εξέδωσε τον Κανονισμό Γενικού Εισαγγελέα βάσει της εκ του νόμου εξουσιοδότησής του να εκδίδει δεσμευτικές αποφάσεις επί ζητημάτων του δικαίου των ΗΠΑ, συμπεριλαμβανομένων εκείνων που αφορούν τη διαβίβαση δεδομένων από την Ένωση που διέπονται από το EO 14086·

– με την ίδρυση της DPRC, ο Γενικός Εισαγγελέας της ανέθεσε την εξουσία του να αποφαίνεται επί της νομιμότητας των δραστηριοτήτων ηλεκτρονικής συλλογής πληροφοριών που αμφισβητούνται από πολίτη της Ένωσης· επομένως, ο Γενικός Εισαγγελέας δεν έχει πλέον de jure εξουσία να ασκεί την εξουσία που ανέθεσε στην DPRC όσο αυτή υφίσταται·

– όπως αναφέρεται στην υποσημείωση ³⁶⁶  στη σελίδα 63 της προσβαλλόμενης απόφασης, το Ανώτατο Δικαστήριο των Ηνωμένων Πολιτειών αναγνώρισε τη δυνατότητα του Γενικού Εισαγγελέα να συστήνει ανεξάρτητα όργανα με εξουσία λήψης αποφάσεων, όπως η DPRC· επιπλέον, έκρινε ότι η ανάθεση εξουσίας από τον Γενικό Εισαγγελέα στον εκπρόσωπό του είναι δεσμευτική για την εκτελεστική εξουσία· επομένως, από τη νομολογία του εν λόγω δικαστηρίου προκύπτει σαφώς ότι, εφόσον ο κανονισμός περί Γενικού Εισαγγελέα παραμένει σε ισχύ, η εκτελεστική εξουσία δεσμεύεται από αυτόν και ότι ούτε οι υπηρεσίες πληροφοριών ούτε η κυβέρνηση των Ηνωμένων Πολιτειών μπορούν να επανεξετάσουν ή να ανακαλέσουν τις αποφάσεις του.

76       Δεύτερον, αφενός, πρέπει να υπομνησθεί ότι από την προσβαλλόμενη απόφαση προκύπτει, κατ’ ουσίαν, ότι:

– οι δικαστές της DPRC διορίζονται από τον Γενικό Εισαγγελέα βάσει των κριτηρίων και σύμφωνα με τους όρους που αναφέρονται στο σημείο 43 ανωτέρω·

– οι δικαστές της DPRC μπορούν να απομακρυνθούν από τα καθήκοντά τους μόνο από τον Γενικό Εισαγγελέα για τους αποκλειστικούς λόγους που αναφέρονται στο σημείο 56 ανωτέρω και σύμφωνα με τα πρότυπα που ισχύουν για τους ομοσπονδιακούς δικαστές, όπως ορίζονται στους κανόνες που αφορούν τη δικαστική δεοντολογία και τη διαδικασία για τη δικαστική ανικανότητα·

– η απόφαση που λαμβάνεται από την DPRC είναι δεσμευτική και οριστική. Συνεπώς, τόσο η εκτελεστική εξουσία όσο και οι υπηρεσίες πληροφοριών υποχρεούνται να συμμορφώνονται με αυτήν·

– το έργο που εκτελείται από την DPRC υπόκειται στην εποπτεία της PCLOB, εντός των ορίων που αναφέρονται στο σημείο 54 ανωτέρω.

77       Επιπλέον, όπως προκύπτει σαφώς από τις αιτιολογικές σκέψεις 187 έως 189 της προσβαλλομένης αποφάσεως, οι δικαστές του DPRC οφείλουν να σέβονται, κατά την εκτέλεση των καθηκόντων τους στο πλαίσιο του τελευταίου, τις ακόλουθες διαδικαστικές εγγυήσεις:

– πρέπει να εξετάσουν την αξίωση περί προσωπικών δεδομένων στο πλαίσιο τριμελούς σώματος δικαστών, συμπεριλαμβανομένου ενός προεδρεύοντος δικαστή· για κάθε υπόθεση, η σύνθεση του τριμελούς σώματος δικαστών επιλέγεται, εκ περιτροπής, από το Γραφείο Πολιτικών Ελευθεριών και Προστασίας Προσωπικών Δεδομένων του Υπουργείου Δικαιοσύνης, το οποίο είναι υπεύθυνο για την παροχή διοικητικής υποστήριξης στην DPRC, διασφαλίζοντας ότι κάθε σώμα περιλαμβάνει τουλάχιστον έναν δικαστή με προηγούμενη δικαστική εμπειρία·

– κατά την εξέταση της αξίωσης περί προσωπικών δεδομένων, επικουρούνται από ειδικό σύμβουλο ο οποίος διορίζεται από τον Γενικό Εισαγγελέα, μετά από διαβούλευση με τον Υπουργό Εμπορίου, τον Διευθυντή Εθνικών Πληροφοριών και την PCLOB, για ανανεώσιμη διετή θητεία· ο ειδικός σύμβουλος πρέπει να έχει την κατάλληλη εμπειρία στο δίκαιο περί απορρήτου και εθνικής ασφάλειας, να είναι έμπειρος δικηγόρος και ενεργό μέλος του δικηγορικού συλλόγου· επιπλέον, κατά τον διορισμό του, δεν πρέπει να έχει διατελέσει υπάλληλος της εκτελεστικής εξουσίας κατά τα προηγούμενα δύο έτη· ο ειδικός σύμβουλος έχει πρόσβαση σε όλες τις πληροφορίες, συμπεριλαμβανομένων των διαβαθμισμένων πληροφοριών, και, παρόλο που δεν εκπροσωπεί τα συμφέροντα του καταγγέλλοντος και δεν έχει σχέση δικηγόρου-πελάτη με τον καταγγέλλοντα, πρέπει να διασφαλίζει ότι, σε κάθε περίπτωση, τα συμφέροντα του καταγγέλλοντος εκπροσωπούνται και οι δικαστές της DPRC είναι καλά ενημερωμένοι για όλα τα σχετικά νομικά και πραγματικά ζητήματα·

– για να λάβουν την απόφασή τους, πρέπει να λάβουν υπόψη τον φάκελο της έρευνας, τις πληροφορίες και τις παρατηρήσεις που παρείχε ο καταγγέλλων, ο ειδικός εισαγγελέας, οι υπηρεσίες πληροφοριών και η CLPO, καθώς και, κατά περίπτωση, πρόσθετες πληροφορίες που διαβίβασε η CLPO κατόπιν αιτήματος της DPRC·

– πρέπει να λάβουν απόφαση επί της καταγγελίας που αφορά προσωπικά δεδομένα εγγράφως και με πλειοψηφία ψήφων.

78       Τρίτον, θα πρέπει να σημειωθεί ότι οι ελλείψεις που εντόπισε το Δικαστήριο στην απόφαση Schrems II σχετικά με την έλλειψη εγγυήσεων σχετικά με την ανάκληση, από την εκτελεστική εξουσία, του διαμεσολαβητή της ασπίδας προστασίας και την έλλειψη δεσμευτικού χαρακτήρα των αποφάσεών του έχουν διορθωθεί. Πράγματι, από τη δικογραφία προκύπτει σαφώς ότι το EO 14086 περιορίζει τις περιστάσεις υπό τις οποίες ο Γενικός Εισαγγελέας μπορεί να απολύσει δικαστές της ΛΔΚ και ορίζει ότι οι αποφάσεις του είναι δεσμευτικές.

79       Στο πλαίσιο αυτό, η δεύτερη αιτίαση του τρίτου λόγου ακυρώσεως πρέπει να απορριφθεί.

80       Το συμπέρασμα αυτό δεν μπορεί να αμφισβητηθεί από το γεγονός ότι από τα πρακτικά προκύπτει σαφώς ότι, όπως και άλλα δικαστήρια στο νομικό σύστημα των Ηνωμένων Πολιτειών, ενώ έχει εξουσία να αποφαίνεται επί νομικών ζητημάτων, η DPRC δεν αποτελεί δικαστική αρχή που έχει συσταθεί βάσει του Άρθρου III του Συντάγματος των Ηνωμένων Πολιτειών.

81       Πράγματι, στην απόφαση Schrems II, το Δικαστήριο έκρινε ότι η αποτελεσματική δικαστική προστασία μπορούσε να διασφαλιστεί όχι μόνο από δικαστήριο που ανήκει στο δικαστικό σύστημα, αλλά και από οποιοδήποτε άλλο «όργανο» που προσέφερε στα πρόσωπα των οποίων τα δεδομένα διαβιβάζονται στις Ηνωμένες Πολιτείες εγγυήσεις ουσιαστικά ισοδύναμες με εκείνες που απαιτούνται από το Άρθρο 47 του Χάρτη των Θεμελιωδών Δικαιωμάτων (απόφαση Schrems II, παράγραφος 197).

82       Λαμβανομένων υπόψη όλων των προεκτεθέντων, ο τρίτος λόγος ακυρώσεως πρέπει να απορριφθεί στο σύνολό του.

3.       Επί του δεύτερου λόγου, που βασίζεται στην παραβίαση των άρθρων 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων

83       Με τον δεύτερο λόγο ακυρώσεως, ο προσφεύγων υποστηρίζει ότι η Επιτροπή παρέβη τα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων, καθόσον, στην προσβαλλόμενη απόφαση, έκρινε ότι οι Ηνωμένες Πολιτείες Αμερικής διασφάλιζαν επαρκές επίπεδο προστασίας έναντι της μαζικής συλλογής δεδομένων προσωπικού χαρακτήρα από τις υπηρεσίες πληροφοριών της χώρας αυτής.

(α)       Επί του δεύτερου λόγου ακυρώσεως

84       Πρέπει να σημειωθεί ότι, στις σελίδες 2 και 23 του δικογράφου της προσφυγής και στη σελίδα 4 του υπομνήματος απαντήσεως, κατά την παράθεση του δεύτερου λόγου ακυρώσεως, ο προσφεύγων αναφέρεται στην παράβαση των άρθρων 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων από την Επιτροπή όχι μόνο σε σχέση με τη μαζική συλλογή, αλλά και με τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα. Ωστόσο, στις εξελίξεις που ακολούθησαν την παράθεση του λόγου αυτού, ο προσφεύγων επικεντρώνει τα επιχειρήματά του αποκλειστικά στη μαζική συλλογή των εν λόγω δεδομένων.

85       Από την υποσημείωση ²⁵⁰  στη σελίδα 46 της προσβαλλομένης αποφάσεως, από την αιτιολογική σκέψη 141 της εν λόγω αποφάσεως, χωρίς να αμφισβητηθεί, και από τις απαντήσεις που παρείχαν οι διάδικοι στα ερωτήματα που τέθηκαν μέσω μέτρου οργανώσεως της διαδικασίας και κατά την επ’ ακροατηρίου συζήτηση προκύπτει σαφώς ότι:

– στις Ηνωμένες Πολιτείες, η συλλογή πληροφοριών σημάτων για σκοπούς εθνικής ασφάλειας, συμπεριλαμβανομένων των δεδομένων που διαβιβάζονται από την Ένωση, μπορεί να λάβει μόνο τη μορφή «στοχευμένης συλλογής»· ο όρος αυτός δεν ορίζεται στο δίκαιο των Ηνωμένων Πολιτειών, αλλά χρησιμοποιείται γενικά για να περιγράψει τη συλλογή πληροφοριών που απευθύνονται σε συγκεκριμένο πρόσωπο, λογαριασμό επικοινωνιών ή άλλον προσδιορισμένο στόχο, η οποία διεξάγεται από υπηρεσίες πληροφοριών βάσει του νόμου περί επιτήρησης ξένων πληροφοριών (FISA) και του EO 14086.

– εκτός των Ηνωμένων Πολιτειών, συμπεριλαμβανομένων των περιπτώσεων κατά τις οποίες δεδομένα προσωπικού χαρακτήρα διακινούνται από την Ένωση σε οργανισμούς Συνεχιζόμενης Επαγγελματικής Ανάπτυξης (CPD), η συλλογή πληροφοριών σημάτων για σκοπούς εθνικής ασφάλειας γίνεται κυρίως μέσω στοχευμένης συλλογής· ωστόσο, όταν είναι απαραίτητο να προωθηθεί μια επικυρωμένη προτεραιότητα πληροφοριών, όπως ορίζεται στο Άρθρο 2(β)(iii) του EO 14086, η οποία δεν μπορεί εύλογα να επιτευχθεί μέσω στοχευμένης συλλογής, οι υπηρεσίες πληροφοριών μπορούν να διεξάγουν «μαζική συλλογή» δεδομένων προσωπικού χαρακτήρα· η μαζική συλλογή ορίζεται στο δίκαιο των Ηνωμένων Πολιτειών από το Άρθρο 4(β) του EO 14086 ως η εξουσιοδοτημένη συλλογή μεγάλων ποσοτήτων πληροφοριών σημάτων που, για τεχνικούς ή επιχειρησιακούς λόγους, διεξάγεται χωρίς τη χρήση διακριτικών παραγόντων, για παράδειγμα, συγκεκριμένων αναγνωριστικών στοιχείων ή κριτηρίων επιλογής· η μαζική συλλογή διέπεται από το EO 14086 και το Εκτελεστικό Διάταγμα 12333, Δραστηριότητες Πληροφοριών των Ηνωμένων Πολιτειών  , όπως τροποποιήθηκε από τα Εκτελεστικά Διατάγματα 13284 (2003), 13355 (2004) και 13470 (2008), ^{τα οποία την υποβάλλουν}  σε διάφορες διασφαλίσεις και περιορισμούς·

– η «μαζική συλλογή» δεδομένων προσωπικού χαρακτήρα, την οποία η Επιτροπή αναφέρει στην υποσημείωση  250 της προσβαλλομένης αποφάσεως ως συλλογή που πραγματοποιείται κατά τρόπο γενικευμένο και αδιάκριτο χωρίς περιορισμούς ή εγγυήσεις, δεν επιτρέπεται στις Ηνωμένες Πολιτείες και δεν μπορεί να πραγματοποιηθεί ούτε εντός ούτε εκτός της επικράτειάς τους ^.

86       Από τα προεκτεθέντα προκύπτει ότι, δεδομένου ότι η μαζική συλλογή δεν επιτρέπεται στις Ηνωμένες Πολιτείες και η μαζική συλλογή μπορεί να πραγματοποιηθεί μόνο εκτός των Ηνωμένων Πολιτειών, το αντικείμενο του παρόντος λόγου ακυρώσεως περιορίζεται, εν προκειμένω, στην εκτίμηση της ύπαρξης παραβίασης, από την Επιτροπή, των άρθρων 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων όσον αφορά τη μαζική συλλογή, από τις υπηρεσίες πληροφοριών των Ηνωμένων Πολιτειών, δεδομένων προσωπικού χαρακτήρα κατά τη διαμετακόμιση από την Ένωση προς τους οργανισμούς CPD, εξαιρουμένης οποιασδήποτε συλλογής δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται, κατά περίπτωση, στο έδαφος της Ένωσης από τις υπηρεσίες πληροφοριών των Ηνωμένων Πολιτειών ή των κρατών μελών.

(β)       Επί του πρώτου λόγου ακυρώσεως του δεύτερου λόγου ακυρώσεως, σύμφωνα με τον οποίο οι δραστηριότητες συλλογής πληροφοριών που διεξάγονται βάσει του άρθρου 702 του FISA δεν υπόκεινται στις εγγυήσεις που προβλέπονται από το EO 14086

87       Με την πρώτη αιτίαση του δεύτερου λόγου ακυρώσεως, ο προσφεύγων υποστηρίζει ότι η Επιτροπή παρέβη τα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων, καθόσον, στην προσβαλλόμενη απόφαση, έκρινε, κατ’ ουσίαν, ότι οι Ηνωμένες Πολιτείες Αμερικής προσέφεραν επίπεδο προστασίας ουσιαστικά ισοδύναμο με αυτό που εγγυάται το δίκαιο της Ένωσης βάσει του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα του εν λόγω Χάρτη, παρά το γεγονός ότι το άρθρο 702 του FISA παρέχει στις υπηρεσίες πληροφοριών των Ηνωμένων Πολιτειών τη δυνατότητα να συλλέγουν μαζικά τα προσωπικά δεδομένα υπηκόων άλλων χωρών.

88       Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί τα επιχειρήματα της προσφεύγουσας.

89       Πρέπει να σημειωθεί ότι το άρθρο 702 του FISA δεν επιτρέπει τη μαζική συλλογή, αλλά μόνο τη στοχευμένη συλλογή δεδομένων προσωπικού χαρακτήρα.

90       Συνεπώς, στο βαθμό που το άρθρο 702 του FISA δεν αφορά τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα, είναι άνευ σημασίας στην προκειμένη περίπτωση.

91       Συνεπώς, η πρώτη αιτίαση του δεύτερου λόγου ακυρώσεως πρέπει να απορριφθεί.

(γ)       Επί του δεύτερου λόγου ακυρώσεως του δεύτερου λόγου ακυρώσεως, σύμφωνα με τον οποίο το EO 14086 δεν εξαρτά τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα από προηγούμενη άδεια δικαστικής ή διοικητικής αρχής

92       Με τη δεύτερη αιτίαση του δεύτερου λόγου ακυρώσεώς του, ο προσφεύγων υποστηρίζει ότι η Επιτροπή παρέβη τα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων, καθόσον, στην προσβαλλόμενη απόφαση, έκρινε ότι οι Ηνωμένες Πολιτείες Αμερικής προσέφεραν επίπεδο προστασίας ουσιαστικά ισοδύναμο με αυτό που εγγυάται το δίκαιο της Ένωσης βάσει του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα του εν λόγω Χάρτη, παρά το γεγονός ότι το EO 14086 δεν θεσπίζει υποχρέωση για τις υπηρεσίες πληροφοριών των Ηνωμένων Πολιτειών να λαμβάνουν, πριν από τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα, προηγούμενη άδεια από δικαστική ή διοικητική αρχή.

93       Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί τα επιχειρήματα της προσφεύγουσας.

94       Εν προκειμένω, από τη δικογραφία προκύπτει σαφώς, χωρίς αυτό να αμφισβητηθεί από τους διαδίκους, ότι το δίκαιο των Ηνωμένων Πολιτειών δεν θεσπίζει υποχρέωση για τις υπηρεσίες πληροφοριών να λαμβάνουν προηγούμενη άδεια από δικαστική ή διοικητική αρχή πριν από τη διεξαγωγή μαζικής συλλογής δεδομένων προσωπικού χαρακτήρα κατά τη μεταφορά τους από την Ένωση προς τους οργανισμούς CPD.

95       Πρέπει να διαπιστωθεί εάν η εν λόγω έλλειψη προηγούμενης άδειας είναι πιθανό να επηρεάσει τη νομιμότητα της προσβαλλόμενης απόφασης, στο μέτρο που θα μπορούσε να θέσει υπό αμφισβήτηση το συμπέρασμα που διατυπώνεται στο άρθρο 1 ^της εν λόγω απόφασης, σύμφωνα με το οποίο οι Ηνωμένες Πολιτείες Αμερικής παρέχουν επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα.

96       Προκαταρκτικά, υπενθυμίζεται ότι, όπως έκρινε το Δικαστήριο στην απόφαση Schrems II, για την αξιολόγηση της νομιμότητας μιας απόφασης περί επάρκειας, είναι απαραίτητο να αξιολογηθεί εάν το δίκαιο της τρίτης χώρας διασφαλίζει επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών ουσιαστικά ισοδύναμο με αυτό που κατοχυρώνεται εντός της Ένωσης βάσει του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων (βλ. παράγραφο 19 ανωτέρω).

97       Σε αυτό το πλαίσιο θα πρέπει να εξεταστούν τα τέσσερα επιχειρήματα που προέβαλε ο αιτών προς υποστήριξη της παρούσας αιτίασης.

1)       Επί του πρώτου επιχειρήματος, βασισμένου στην απόφαση Schrems II

98       Με το πρώτο του επιχείρημα, ο προσφεύγων υποστηρίζει, κατ’ ουσίαν, ότι, όπως συνέβη και στην περίπτωση της απόφασης περί επάρκειας σχετικά με την ασπίδα προστασίας της ιδιωτικής ζωής, η οποία ακυρώθηκε από το Δικαστήριο με την απόφαση Schrems II, ιδίως λόγω της μη θέσπισης δικαστικού ελέγχου, η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται, εν προκειμένω, από τις υπηρεσίες πληροφοριών των Ηνωμένων Πολιτειών δεν υπόκειται σε δικαστικό έλεγχο και δεν διέπεται από αρκούντως σαφείς και ακριβείς κανόνες.

99       Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί το επιχείρημα της προσφεύγουσας.

100     Πρέπει να σημειωθεί ότι, στην απόφαση Schrems II, το Δικαστήριο έκρινε ότι τα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων αποτελούσαν μέρος του απαιτούμενου επιπέδου προστασίας εντός της Ένωσης, η συμμόρφωση με το οποίο έπρεπε να διαπιστωθεί από την Επιτροπή πριν από την έκδοση απόφασης επάρκειας βάσει του άρθρου 45(1) του ΓΚΠΔ. Πράγματι, σύμφωνα με το Δικαστήριο, οποιαδήποτε επεξεργασία δεδομένων προσωπικού χαρακτήρα φυσικού προσώπου, συμπεριλαμβανομένης της διαβίβασής τους σε τρίτη χώρα στο πλαίσιο απόφασης επάρκειας, επηρεάζει τόσο το θεμελιώδες δικαίωμα του εν λόγω προσώπου στον σεβασμό της ιδιωτικής ζωής, που κατοχυρώνεται στο άρθρο 7 του εν λόγω Χάρτη, όσο και το δικαίωμά του στην προστασία των δεδομένων προσωπικού χαρακτήρα του, που κατοχυρώνεται στο άρθρο 8 του εν λόγω Χάρτη (απόφαση Schrems II, σκέψεις 169 έως 171).

101     Ωστόσο, το Δικαστήριο διευκρίνισε ότι τα δικαιώματα που κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων δεν ήταν απόλυτα προνόμια, αλλά έπρεπε να λαμβάνονται υπόψη σε σχέση με τη λειτουργία τους στην κοινωνία (απόφαση Schrems II, παράγραφος 172).

102     Συνεπώς, σύμφωνα με το άρθρο 52, παράγραφος 1, του Χάρτη των Θεμελιωδών Δικαιωμάτων, κάθε περιορισμός στην άσκηση των δικαιωμάτων και ελευθεριών που αναγνωρίζονται στα άρθρα 7 και 8 του εν λόγω Χάρτη πρέπει να προβλέπεται από τον νόμο και να σέβεται την ουσία των εν λόγω δικαιωμάτων και ελευθεριών. Επιπλέον, σύμφωνα με την αρχή της αναλογικότητας, περιορισμοί μπορούν να επιβληθούν στα εν λόγω δικαιώματα και ελευθερίες μόνο εάν είναι απαραίτητοι και ανταποκρίνονται πραγματικά σε στόχους γενικού συμφέροντος που αναγνωρίζονται από την Ένωση ή στην ανάγκη προστασίας των δικαιωμάτων και ελευθεριών των άλλων (απόφαση Schrems II, παράγραφος 174).

103     Στο πλαίσιο αυτό, το Δικαστήριο έκρινε ότι η δυνατότητα που παρέχεται με το προεδρικό διάταγμα αριθ. ¹²³³³  , όπως τροποποιήθηκε, στις υπηρεσίες πληροφοριών των Ηνωμένων Πολιτειών να έχουν πρόσβαση σε δεδομένα προσωπικού χαρακτήρα που διακινούνται από την Ένωση, χωρίς η πρόσβαση αυτή να υπόκειται σε δικαστική εποπτεία, δεν επέτρεπε ένα αρκούντως σαφές και ακριβές πλαίσιο για το πεδίο εφαρμογής της μαζικής συλλογής δεδομένων προσωπικού χαρακτήρα που διενεργείται από τις υπηρεσίες πληροφοριών. Ως εκ τούτου, έκρινε ότι το εν λόγω προεδρικό διάταγμα δεν αντιστοιχούσε στις ελάχιστες απαιτήσεις που συνδέονται, στο δίκαιο της Ένωσης, με την αρχή της αναλογικότητας και ότι τα προγράμματα παρακολούθησης που εκτελούνταν βάσει του εν λόγω διατάγματος δεν περιορίζονταν σε ό,τι ήταν απολύτως απαραίτητο (Schrems II, σκέψεις 183 και 184).

104     Είναι απαραίτητο να διευκρινιστεί η ερμηνεία που πρέπει να δοθεί στην έκφραση «οποιαδήποτε δικαστική εποπτεία» που εμφανίζεται στη σκέψη 183 της αποφάσεως Schrems II.

105     Συναφώς, πρέπει να σημειωθεί ότι κανένα στοιχείο της αποφάσεως Schrems II, και ιδίως της σκέψης 183 της εν λόγω αποφάσεως και της εκφράσεως «οποιαδήποτε δικαστική εποπτεία», δεν υποδηλώνει ότι η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα πρέπει οπωσδήποτε να υπόκειται σε προηγούμενη άδεια που εκδίδεται από ανεξάρτητη αρχή. Αντιθέτως, από τη συνδυασμένη ερμηνεία της εν λόγω εκφράσεως και των σκέψεων 186 έως 197 της εν λόγω αποφάσεως προκύπτει ότι η απόφαση που επιτρέπει τη συλλογή αυτή πρέπει, τουλάχιστον, να υπόκειται σε δικαστικό έλεγχο εκ των υστέρων.

106     Εν προκειμένω, όπως αναφέρεται στις σκέψεις 24 έως 82 ανωτέρω, το EO 14086 και ο Κανονισμός AG υποδεικνύουν τις δραστηριότητες συλλογής πληροφοριών που διεξάγονται από τις υπηρεσίες πληροφοριών των ΗΠΑ, συμπεριλαμβανομένης της μαζικής συλλογής δεδομένων προσωπικού χαρακτήρα, στην εκ των υστέρων δικαστική εποπτεία της DPRC, οι αποφάσεις της οποίας είναι οριστικές και δεσμευτικές τόσο για την κυβέρνηση των ΗΠΑ όσο και για τις εν λόγω υπηρεσίες. Κατά συνέπεια, σε αντίθεση με τους ισχυρισμούς του προσφεύγοντος, δεν μπορεί να θεωρηθεί ότι η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα που διεξάγεται από τις υπηρεσίες πληροφοριών βάσει της προσβαλλόμενης απόφασης δεν πληροί τις απαιτήσεις που απορρέουν από την απόφαση Schrems II ως προς αυτό.

107     Επιπλέον, καταρχάς, πρέπει να υπομνησθεί ότι, όπως προκύπτει από την αιτιολογική σκέψη 141 της προσβαλλομένης αποφάσεως, χωρίς ο προσφεύγων να το αμφισβητήσει, το έγγραφο EO 14086 ορίζει ότι οι υπηρεσίες πληροφοριών πρέπει να δίνουν προτεραιότητα στη στοχευμένη συλλογή δεδομένων προσωπικού χαρακτήρα. Επομένως, η μαζική συλλογή επιτρέπεται μόνο για την προώθηση μιας επικυρωμένης προτεραιότητας πληροφοριών που δεν μπορεί εύλογα να επιτευχθεί μέσω της στοχευμένης συλλογής. Συναφώς, πρέπει να σημειωθεί ότι από την αιτιολογική σκέψη 135 της εν λόγω αποφάσεως προκύπτει ότι οι επικυρωμένες προτεραιότητες πληροφοριών καθορίζονται μέσω ειδικής διαδικασίας που έχει σχεδιαστεί για να διασφαλίζει τη συμμόρφωση με τις ισχύουσες νομικές απαιτήσεις, συμπεριλαμβανομένων εκείνων που αφορούν την ιδιωτικότητα και τις πολιτικές ελευθερίες. Πιο συγκεκριμένα, οι προτεραιότητες πληροφοριών ορίζονται από τον Διευθυντή Εθνικών Πληροφοριών και υπόκεινται στην έγκριση του Προέδρου των Ηνωμένων Πολιτειών. Ωστόσο, πριν προτείνει προτεραιότητες πληροφοριών στον Πρόεδρο των Ηνωμένων Πολιτειών, ο Διευθυντής πρέπει να λάβει, για κάθε προτεραιότητα, αξιολόγηση από την CLPO. Κατά την αξιολόγηση αυτή, η CLPO πρέπει να καθορίσει εάν η επίμαχη προτεραιότητα προωθεί έναν ή περισσότερους από τους θεμιτούς στόχους που αναφέρονται στο EO 14086, εάν δεν σχεδιάστηκε για τη συλλογή πληροφοριών σημάτων για απαγορευμένους σκοπούς και εάν καθορίστηκε μετά από δέουσα εξέταση των πτυχών της ιδιωτικής ζωής και των πολιτικών ελευθεριών όλων των εμπλεκομένων ατόμων, ανεξάρτητα από την ιθαγένειά τους και τον τόπο διαμονής τους.

108     Δεύτερον, πρέπει να σημειωθεί ότι, όπως επισημαίνεται στις αιτιολογικές σκέψεις 127 έως 131, 134 και 135 της προσβαλλομένης αποφάσεως, χωρίς ο αιτών να το αμφισβητήσει, το έγγραφο EO 14086 ορίζει θεμελιώδεις απαιτήσεις που ισχύουν για όλες τις δραστηριότητες συλλογής πληροφοριών σημάτων, συμπεριλαμβανομένων των περιπτώσεων όπου αυτές διεξάγονται μέσω μαζικής συλλογής δεδομένων προσωπικού χαρακτήρα.

109     Πρώτον, οι δραστηριότητες συλλογής πληροφοριών σημάτων πρέπει να βασίζονται σε νόμο ή προεδρική εξουσιοδότηση και πρέπει να διεξάγονται σύμφωνα με το δίκαιο των Ηνωμένων Πολιτειών, συμπεριλαμβανομένου του Συντάγματός τους.

110     Δεύτερον, οι δραστηριότητες συλλογής πληροφοριών σημάτων μπορούν να διεξάγονται μόνο αφού κριθεί, βάσει εύλογης αξιολόγησης όλων των σχετικών παραγόντων, ότι είναι απαραίτητες για την επιδίωξη μιας επικυρωμένης προτεραιότητας συλλογής πληροφοριών.

111     Τρίτον, οι δραστηριότητες συλλογής πληροφοριών σημάτων πρέπει να διεξάγονται κατά τρόπο ανάλογο προς την επικυρωμένη προτεραιότητα συλλογής πληροφοριών για την οποία έχουν εγκριθεί, προκειμένου να επιτυγχάνεται δίκαιη ισορροπία μεταξύ της σημασίας της επιδιωκόμενης προτεραιότητας συλλογής πληροφοριών και του αντίκτυπου στην ιδιωτικότητα και τις πολιτικές ελευθερίες του ενδιαφερόμενου ατόμου, ανεξάρτητα από την ιθαγένειά του και τον τόπο διαμονής του.

112     Τέταρτον, το EO 14086 απαριθμεί γενικούς στόχους που δεν μπορούν να επιδιωχθούν μέσω δραστηριοτήτων συλλογής πληροφοριών σημάτων. Σε αυτούς περιλαμβάνονται στόχοι παρεμπόδισης της κριτικής, της διαφωνίας ή της ελεύθερης έκφρασης πολιτικών ιδεών ή απόψεων από άτομα ή τον Τύπο· διακρίσεων εις βάρος ατόμων με βάση την εθνικότητα, τη φυλή, το φύλο, την ταυτότητα φύλου, τον σεξουαλικό προσανατολισμό ή τη θρησκεία· ή παροχής ανταγωνιστικού πλεονεκτήματος σε επιχειρήσεις με έδρα τις ΗΠΑ.

113     Τρίτον, από την αιτιολογική σκέψη 141 της προσβαλλομένης αποφάσεως προκύπτει σαφώς, χωρίς η προσφεύγουσα να την αμφισβητήσει, ότι το έγγραφο EO 14086 θεσπίζει συγκεκριμένες εγγυήσεις που ισχύουν για τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα.

114     Πρώτον, το EO 14086 ορίζει ότι πρέπει να εφαρμόζονται μέθοδοι και τεχνικά μέτρα για τον περιορισμό των δεδομένων που συλλέγονται σε ό,τι είναι απαραίτητο για την επιδίωξη μιας επικυρωμένης προτεραιότητας πληροφοριών, ελαχιστοποιώντας παράλληλα τη συλλογή άσχετων πληροφοριών.

115     Στη συνέχεια, το EO 14086 ορίζει ότι η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα μπορεί να πραγματοποιείται μόνο για την εκπλήρωση έξι συγκεκριμένων σκοπών (εφεξής οι «ειδικοί σκοποί μαζικής συλλογής»), δηλαδή την προστασία από την τρομοκρατία, την κατασκοπεία, τα όπλα μαζικής καταστροφής, τις κυβερνοαπειλές, τις απειλές κατά του προσωπικού των ΗΠΑ ή των συμμάχων τους και το διεθνικό έγκλημα. Προβλέπει τη δυνατότητα στον Πρόεδρο των Ηνωμένων Πολιτειών να ενημερώνει αυτούς τους συγκεκριμένους σκοπούς εάν προκύψουν νέες επιταγές εθνικής ασφάλειας, όπως νέες ή αυξημένες απειλές κατά της εθνικής ασφάλειας για τις οποίες ο Πρόεδρος θεωρεί ότι θα μπορούσε να χρησιμοποιηθεί μαζική συλλογή δεδομένων προσωπικού χαρακτήρα. Οι εν λόγω ενημερώσεις πρέπει, καταρχήν, να δημοσιοποιούνται από τον Διευθυντή Εθνικής Υπηρεσίας Πληροφοριών, εκτός εάν ο Πρόεδρος των Ηνωμένων Πολιτειών κρίνει ότι αυτό από μόνο του θα αποτελούσε κίνδυνο για την εθνική ασφάλεια της εν λόγω χώρας.

116     Τέλος, το EO 14086 ορίζει ότι οποιαδήποτε έρευνα δεδομένων μαζικών πληροφοριών σημάτων μπορεί να πραγματοποιηθεί μόνο εάν είναι απαραίτητο για την επιδίωξη επικυρωμένης προτεραιότητας πληροφοριών, για την προώθηση των συγκεκριμένων στόχων της μαζικής συλλογής και σύμφωνα με πολιτικές και διαδικασίες που λαμβάνουν δεόντως υπόψη τον αντίκτυπο των ερωτήσεων τέτοιων δεδομένων στην ιδιωτικότητα και τις πολιτικές ελευθερίες όλων των εμπλεκομένων ατόμων, ανεξάρτητα από την ιθαγένειά τους ή τον τόπο διαμονής τους.

117     Υπό αυτές τις συνθήκες, δεν μπορεί να υποστηριχθεί βάσιμα ότι η εφαρμογή της μαζικής συλλογής δεν ρυθμίζεται με επαρκώς σαφή και ακριβή τρόπο.

118     Λαμβάνοντας υπόψη όλες αυτές τις σκέψεις, το επιχείρημα αυτό πρέπει να απορριφθεί.

2)       Επί του δεύτερου επιχειρήματος, βασισμένου στην απόφαση της 6ης Οκτωβρίου 2020, La Quadrature du Net ea (C ‑ 511/18, C ‑ 512/18 και C ‑ 520/18)

119     Με το δεύτερο επιχείρημά του, ο προσφεύγων, αναφερόμενος ρητά στη σκέψη 189 της αποφάσεως της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ. (C‑511/18, C‑512/18 και C‑520/18, EU:C:2020:791), υποστηρίζει ότι το Δικαστήριο έχει θεσπίσει την υποχρέωση των υπηρεσιών πληροφοριών να λαμβάνουν προηγούμενη άδεια από δικαστική ή διοικητική αρχή πριν από τη συλλογή δεδομένων σύνδεσης από τους φορείς εκμετάλλευσης που τα κατείχαν. Κατά την άποψή του, η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα κατά τη μεταφορά από την Ένωση από τις υπηρεσίες πληροφοριών των ΗΠΑ δεν θα υπόκειτο, εν προκειμένω, σε τέτοια προηγούμενη άδεια.

120     Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί το επιχείρημα της προσφεύγουσας.

121     Πρέπει να σημειωθεί ότι, στην απόφαση της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ. (C‑511/18, C‑512/18 και C‑520/18, EU:C:2020:791), το Δικαστήριο έκρινε, ειδικότερα, ότι το άρθρο 15, παράγραφος 1, της οδηγίας 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών (οδηγία για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες) (ΕΕ 2002 L 201, σ. 37), όπως τροποποιήθηκε με την οδηγία 2009/136/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 25ης Νοεμβρίου 2009 (ΕΕ 2009 L 337, σ. 11), ερμηνευόμενο υπό το πρίσμα των άρθρων 7, 8 και 11 και του άρθρου 52, παράγραφος 1, του Χάρτη των Θεμελιωδών Δικαιωμάτων, έπρεπε να να ερμηνευθεί υπό την έννοια ότι δεν αντιτίθεται σε εθνική νομοθεσία που απαιτεί από τους παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών να καταφεύγουν στη συλλογή δεδομένων κίνησης και θέσης σε πραγματικό χρόνο, όταν η συλλογή αυτή περιοριζόταν σε πρόσωπα για τα οποία υπήρχε εύλογη υποψία ότι εμπλέκονταν σε τρομοκρατικές δραστηριότητες και υπόκεινταν σε προηγούμενο έλεγχο από δικαστήριο ή ανεξάρτητη διοικητική αρχή (σκέψη 192 ​​της εν λόγω αποφάσεως).

122     Συνεπώς, η υπό κρίση περίπτωση στην υπόθεση επί της οποίας εκδόθηκε η απόφαση της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ. (C‑511/18, C‑512/18 και C‑520/18, EU:C:2020:791) διαφέρει από την υπό κρίση. Στην προκειμένη περίπτωση, δεν τίθεται ζήτημα αξιολόγησης της ανάγκης υπαγωγής της συλλογής, από παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών, δεδομένων κίνησης και δεδομένων θέσης χρηστών για τους οποίους υπάρχουν υποψίες ότι εμπλέκονται με τον έναν ή τον άλλον τρόπο σε τρομοκρατικές δραστηριότητες σε προηγούμενο έλεγχο από δικαστική ή διοικητική αρχή, αλλά εκτίμησης του κατά πόσον το γεγονός ότι το δίκαιο των Ηνωμένων Πολιτειών δεν προβλέπει υποχρέωση των υπηρεσιών πληροφοριών να λαμβάνουν, πριν από τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα υπό διαμετακόμιση προς τη χώρα αυτή, την προηγούμενη άδεια δικαστικής ή διοικητικής αρχής αμφισβητεί το βάσιμο της διαπιστώσεως περί επάρκειας που διατύπωσε η Επιτροπή στην προσβαλλόμενη απόφαση.

123     Υπό τις συνθήκες αυτές, συνάγεται το συμπέρασμα ότι η παραπομπή στην απόφαση της 6ης Οκτωβρίου 2020, La Quadrature du Net κ.λπ. (C‑511/18, C‑512/18 και C‑520/18, EU:C:2020:791) δεν είναι λυσιτελής στην προκειμένη περίπτωση.

124     Το συμπέρασμα αυτό δεν μπορεί να αμφισβητηθεί λαμβανομένης υπόψη της απόφασης της 30ής Απριλίου 2024, La Quadrature du Net ea (Προσωπικά δεδομένα και καταπολέμηση της παραποίησης/απομίμησης) (C‑470/21, EU:C:2024:370), επί της οποίας οι διάδικοι της υπό κρίση υπόθεσης κλήθηκαν να αποφανθούν μέσω μέτρου οργανώσεως της διαδικασίας.

125     Το ζήτημα που τέθηκε στην υπόθεση επί της οποίας εκδόθηκε η απόφαση της 30ής Απριλίου 2024, La Quadrature du Net κ.λπ. (Προσωπικά δεδομένα και καταπολέμηση της παραποίησης/απομίμησης) (C‑470/21, EU:C:2024:370), ήταν η νομιμότητα της πρόσβασης, από εθνική δημόσια αρχή υπεύθυνη για την προστασία του δικαιώματος πνευματικής ιδιοκτησίας και των συγγενικών δικαιωμάτων από παραβιάσεις των εν λόγω δικαιωμάτων που διαπράττονται στο διαδίκτυο, σε δεδομένα που αποθηκεύονται από παρόχους υπηρεσιών ηλεκτρονικών επικοινωνιών σχετικά με την ταυτότητα του πολίτη που αντιστοιχεί σε διευθύνσεις IP για τους σκοπούς της καταπολέμησης της παραποίησης/απομίμησης. Πιο συγκεκριμένα, η πρόσβαση αυτή δικαιολογούνταν ενόψει του σκοπού της ταυτοποίησης του κατόχου διεύθυνσης IP που είχε επιδοθεί σε δραστηριότητα που παραβίαζε το δικαίωμα πνευματικής ιδιοκτησίας ή τα συγγενικά δικαιώματα, δεδομένου ότι είχε παράνομα διαθέσει προστατευόμενα έργα στο διαδίκτυο με σκοπό την τηλεφόρτωσή τους από άλλα πρόσωπα. Υπό τις συνθήκες αυτές, το Δικαστήριο έκρινε ότι ο προηγούμενος έλεγχος από δικαστήριο ή από ανεξάρτητο διοικητικό φορέα:

– δεν θα πρέπει να θεσπίζεται όταν η αρμόδια εθνική αρχή είχε πρόσβαση σε δεδομένα σχετικά με την ταυτότητα ενός προσώπου που αντιστοιχούν σε διεύθυνση IP, με αποκλειστικό σκοπό την ταυτοποίηση του οικείου χρήστη και χωρίς τα δεδομένα αυτά να μπορούν να συσχετιστούν με πληροφορίες σχετικά με τις πραγματοποιούμενες επικοινωνίες, δεδομένου ότι η παρέμβαση που συνεπάγεται τέτοια πρόσβαση δεν μπορούσε να χαρακτηριστεί ως σοβαρή (σκέψεις 133 και 134 της εν λόγω αποφάσεως)·

– έπρεπε να τεθεί σε εφαρμογή προτού η αρμόδια εθνική αρχή συνδέσει τα δεδομένα ταυτότητας ενός προσώπου που αντιστοιχούν σε μια διεύθυνση IP και το αρχείο που αφορά το έργο που διατέθηκε παρανόμως στο διαδίκτυο για λήψη από άλλα πρόσωπα και αποστείλει στο εν λόγω πρόσωπο επιστολή στην οποία θα δηλώνει ότι το τελευταίο είχε διαπράξει παράνομες πράξεις (βλ., συναφώς, σκέψη 141 της εν λόγω αποφάσεως).

126     Συνεπώς, η υπόθεση επί της οποίας εκδόθηκε η απόφαση της 30ής Απριλίου 2024, La Quadrature du Net κ.λπ. (Προσωπικά δεδομένα και καταπολέμηση της παραποίησης/απομίμησης) (C‑470/21, EU:C:2024:370), αφορά την πρόσβαση των εθνικών αρχών σε διεύθυνση IP με σκοπό την καταπολέμηση της παραποίησης/απομίμησης και ότι ένα τέτοιο αντικείμενο διακρίνεται από τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα κατά τη διαμετακόμιση από την Ένωση από τις υπηρεσίες πληροφοριών. Συνεπώς, δεν μπορεί να θεωρηθεί, υπό το πρίσμα της εν λόγω αποφάσεως, ότι η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα κατά τη διαμετακόμιση από την Ένωση από τις υπηρεσίες πληροφοριών των ΗΠΑ απαιτεί προηγούμενη άδεια.

127     Συνεπώς, το επιχείρημα αυτό πρέπει να απορριφθεί.

3)       Επί του τρίτου επιχειρήματος, βασισμένου στην απόφαση του ΕΔΔΑ της 25ης Μαΐου 2021, Big Brother Watch και άλλοι κατά Ηνωμένου Βασιλείου (CE:ECHR:2021:0525JUD005817013)

128     Με το τρίτο επιχείρημά του, ο προσφεύγων υποστηρίζει, κατ’ ουσίαν, ότι, στην απόφαση του ΕΔΔΑ της 25ης Μαΐου 2021, Big Brother Watch κ.λπ. κατά Ηνωμένου Βασιλείου (CE:ECHR:2021:0525JUD005817013, στο εξής: απόφαση Big Brother Watch), το ΕΔΔΑ έκρινε ότι η μαζική παρακολούθηση δεδομένων προσωπικού χαρακτήρα πρέπει να υπόκειται σε προηγούμενη άδεια από ανεξάρτητη αρχή από τη στιγμή που ορίζονται οι στόχοι και το πεδίο εφαρμογής της επιχείρησης παρακολούθησης. Κατά την άποψή του, η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα από τις υπηρεσίες πληροφοριών των ΗΠΑ κατά τη μεταφορά τους από την Ένωση δεν υπόκειται, εν προκειμένω, σε τέτοια προηγούμενη άδεια.

129     Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί το επιχείρημα της προσφεύγουσας.

130     Πρέπει να σημειωθεί ότι η υπόθεση επί της οποίας εκδόθηκε η απόφαση Big Brother Watch αφορούσε, ειδικότερα, τη συμβατότητα, υπό το πρίσμα του άρθρου 8 της ΕΣΔΑ, του βρετανικού καθεστώτος μυστικής παρακολούθησης, το οποίο παρείχε στις υπηρεσίες πληροφοριών την εξουσία να παρακολουθούν μαζικά ηλεκτρονικές επικοινωνίες και συναφή δεδομένα επικοινωνιών, δηλαδή δεδομένα κίνησης που σχετίζονται με τις παρακολουθούμενες επικοινωνίες, οι οποίες κατ’ αρχήν διεξήχθησαν εκτός των Βρετανικών Νήσων.

131     Επιπλέον, όπως προκύπτει από την νομολογία που παρατίθεται στην παράγραφο 29 ανωτέρω, στο μέτρο που το Άρθρο 8 της ΕΣΔΑ κατοχυρώνει, όπως και το Άρθρο 7 του Χάρτη των Θεμελιωδών Δικαιωμάτων, το δικαίωμα σεβασμού της ιδιωτικής και οικογενειακής ζωής, η νομολογία του ΕΔΔΑ σχετικά με το Άρθρο 8 της ΕΣΔΑ πρέπει να λαμβάνεται υπόψη κατά την ερμηνεία του πεδίου εφαρμογής του Άρθρου 7 του εν λόγω Χάρτη. Συνεπώς, εάν το Γενικό Δικαστήριο κρίνει ότι η απόφαση Big Brother Watch είναι λυσιτελής στην υπό κρίση υπόθεση, οι σκέψεις που προέβαλε το ΕΔΔΑ στην εν λόγω απόφαση, όσον αφορά το πεδίο εφαρμογής του Άρθρου 8 της ΕΣΔΑ, θα πρέπει να λαμβάνονται υπόψη κατά την ερμηνεία του πεδίου εφαρμογής του Άρθρου 7 του εν λόγω Χάρτη.

132     Συναφώς, υπενθυμίζεται ότι, στην απόφαση Big Brother Watch, το ΕΔΔΑ αποφάνθηκε επί της νομιμότητας της μαζικής παρακολούθησης ηλεκτρονικών επικοινωνιών και συναφών δεδομένων επικοινωνιών από τις βρετανικές υπηρεσίες πληροφοριών, η οποία πραγματοποιήθηκε κατ’ αρχήν εκτός των Βρετανικών Νήσων.

133     Ωστόσο, όπως σημείωσαν οι διάδικοι στην υπό κρίση υπόθεση στην απάντησή τους στο μέτρο οργάνωσης της διαδικασίας και κατά την επ’ ακροατηρίου συζήτηση, τα επιχειρήματα που προέβαλε το ΕΔΔΑ στην απόφαση Big Brother Watch είναι λυσιτελή στην παρούσα υπόθεση, στο μέτρο που η μαζική παρακολούθηση δεδομένων προσωπικού χαρακτήρα που αφορούσε την υπόθεση επί της οποίας εκδόθηκε η εν λόγω απόφαση μπορεί να θεωρηθεί ότι περιλαμβάνει τη μαζική συλλογή δεδομένων που αποτελεί αντικείμενο της προσβαλλόμενης απόφασης.

134     Καταρχάς, πρέπει να σημειωθεί ότι, ενώ η γαλλική έκδοση της απόφασης Big Brother Watch χρησιμοποιεί την έκφραση «μαζική παρακολούθηση» δεδομένων, η αγγλική έκδοση χρησιμοποιεί την έκφραση «μαζική παρακολούθηση», η οποία αντιστοιχεί ακριβέστερα στη γαλλική έννοια της «παρακολούθησης εντός της οδού».

135     Δεύτερον, σε αντίθεση με την στοχευμένη παρακολούθηση, η παρακολούθηση πληροφοριών που αποτελεί αντικείμενο της απόφασης Big Brother Watch ορίστηκε από το ΕΔΔΑ ως αυτή που δεν στοχεύει συγκεκριμένα άτομα και, κατά συνέπεια, ήταν πιθανό να επηρεάσει μεγάλο αριθμό ατόμων και συναφή δεδομένα επικοινωνιών και, ως εκ τούτου, να έχει πολύ ευρύ πεδίο εφαρμογής, καθώς κατέστησε δυνατή, ιδίως, τη συλλογή πληροφοριών στο πλαίσιο εξωτερικών πληροφοριών και την ανίχνευση νέων απειλών από γνωστούς ή άγνωστους παράγοντες. Επιπλέον, σύμφωνα με το Δικαστήριο αυτό, λόγω του σκοπού της που συνδέεται με την προστασία της εθνικής ασφάλειας, η μαζική παρακολούθηση διεξαγόταν γενικά από τις αρμόδιες αρχές μυστικά, πράγμα που σήμαινε ότι δημοσιοποιούσαν ελάχιστες ή καθόλου πληροφορίες σχετικά με τη λειτουργία του συστήματος (βλ., συναφώς, απόφαση Big Brother Watch, σκέψη 322).

136     Τρίτον, στην απόφαση Big Brother Watch, το ΕΔΔΑ έκρινε ότι, παρόλο που τα καθεστώτα μαζικής παρακολούθησης δεν είχαν σχεδιαστεί όλα με βάση το ίδιο μοντέλο και οι μέθοδοι εφαρμογής τους μπορούσαν να αλλάξουν χωρίς να τηρείται πάντα μια αυστηρή χρονολογική σειρά, η μαζική παρακολούθηση ήταν μια σταδιακή διαδικασία που έλαβε χώρα, ουσιαστικά, στα ακόλουθα τέσσερα στάδια (εφεξής τα «στάδια της παρακολούθησης»):

(α) η μαζική παρακολούθηση και η αρχική διατήρηση ηλεκτρονικών επικοινωνιών που ανήκουν σε μεγάλο αριθμό ατόμων και συναφών δεδομένων επικοινωνιών·

(β) την εφαρμογή συγκεκριμένων επιλογέων σε διατηρούμενες επικοινωνίες και συναφή δεδομένα επικοινωνιών, με σκοπό τον εντοπισμό επικοινωνιών που είναι πιθανό να ενδιαφέρουν τις υπηρεσίες πληροφοριών·

(γ) την εξέταση από αναλυτές επιλεγμένων δεδομένων επικοινωνιών και συναφών δεδομένων επικοινωνιών·

(δ) η επακόλουθη διατήρηση των δεδομένων και η χρήση τους με σκοπό την συμπερίληψη σε έκθεση πληροφοριών, την κοινοποίηση σε άλλες υπηρεσίες πληροφοριών της χώρας ή τη διαβίβασή τους σε ξένες υπηρεσίες πληροφοριών (βλ., συναφώς, απόφαση Big Brother Watch, παράγραφοι 325 έως 329).

137     Συνεπώς, μια πράξη μαζικής συλλογής δεδομένων προσωπικού χαρακτήρα, όπως αυτή που αποτελεί αντικείμενο της προσβαλλόμενης απόφασης, εμπίπτει στο πεδίο εφαρμογής του πρώτου από τα στάδια της παρακολούθησης που προσδιορίζονται από το ΕΔΔΑ στην απόφαση Big Brother Watch, στο μέτρο που συνίσταται στη συλλογή, για τους σκοπούς της προστασίας της εθνικής ασφάλειας, των δεδομένων προσωπικού χαρακτήρα που διακινούνται από την Ένωση και αφορούν μεγάλο αριθμό φυσικών προσώπων.

138     Στο πλαίσιο αυτό, οι συνέπειες της απόφασης Big Brother Watch θα πρέπει να συναχθούν στο πλαίσιο της αξιολόγησης της νομιμότητας μιας απόφασης επάρκειας που εκδόθηκε βάσει του άρθρου 45(3) του ΓΚΠΔ, όπως η προσβαλλόμενη απόφαση.

139     Συναφώς, καταρχάς, θα πρέπει να σημειωθεί ότι, στην απόφαση Big Brother Watch, το ΕΔΔΑ διευκρίνισε ότι το Άρθρο 8 της ΕΣΔΑ δεν απαγορεύει τη χρήση μαζικής παρακολούθησης με σκοπό την προστασία της εθνικής ασφάλειας ή άλλων ουσιωδών εθνικών συμφερόντων από σοβαρές εξωτερικές απειλές και ότι τα κράτη απολάμβαναν ευρύ περιθώριο εκτίμησης κατά τον καθορισμό του είδους του καθεστώτος παρακολούθησης που χρειάζονταν (απόφαση Big Brother Watch, παράγραφος 347).

140     Δεύτερον, το ΕΔΔΑ υπέδειξε ότι η μαζική παρακολούθηση δεδομένων προσωπικού χαρακτήρα πρέπει να διέπεται από διάφορες διατερματικές εγγυήσεις οι οποίες, συνολικά, αποτελούν τον ακρογωνιαίο λίθο κάθε συστήματος μαζικής παρακολούθησης, δηλαδή:

– λήψη άδειας από ανεξάρτητη αρχή μόλις καθοριστεί ο σκοπός και το πεδίο εφαρμογής της εν λόγω επιχείρησης παρακολούθησης (απόφαση Big Brother Watch, παράγραφος 350)·

– η καθιέρωση ενός συστήματος εποπτείας και ανεξάρτητου εκ των υστέρων δικαστικού ελέγχου (βλ., συναφώς, απόφαση Big Brother Watch, παράγραφοι 336 και 347)·

– η πρόβλεψη νομικών κανόνων που κατέστησαν δυνατή τη διασφάλιση, για κάθε στάδιο της παρακολούθησης, της αναγκαιότητας και της αναλογικότητας των ληφθέντων μέτρων (βλ., συναφώς, απόφαση Big Brother Watch, σκέψη 350)· συναφώς, το Δικαστήριο υπενθύμισε ότι η επέμβαση στα δικαιώματα που κατοχυρώνονται από το Άρθρο 8 της ΕΣΔΑ μπορούσε να δικαιολογηθεί βάσει της παραγράφου 2 του εν λόγω άρθρου μόνο εάν προβλεπόταν από τον νόμο, επιδιώκει έναν ή περισσότερους από τους θεμιτούς σκοπούς που απαριθμούνται στην εν λόγω παράγραφο και ήταν απαραίτητη, σε μια δημοκρατική κοινωνία, για την επίτευξη των εν λόγω σκοπών· ωστόσο, όσον αφορά τη μυστική παρακολούθηση, η προβλεψιμότητα των μέτρων που ελήφθησαν υπονοούσε ότι το εσωτερικό δίκαιο ήταν επαρκώς σαφές ώστε να υποδεικνύει επαρκώς σε όλους υπό ποιες συνθήκες και υπό ποιες προϋποθέσεις οι δημόσιες αρχές είχαν το δικαίωμα να καταφύγουν σε τέτοια μέτρα (απόφαση Big Brother Watch, σκέψεις 332 και 333).

141     Τρίτον, το ΕΔΔΑ έκρινε ότι, ενώ το Άρθρο 8 της ΕΣΔΑ ίσχυε για κάθε στάδιο της παρακολούθησης, η ανάγκη παροχής εγγυήσεων αυξανόταν καθώς η διαδικασία προχωρούσε μέσα από αυτά τα διαφορετικά στάδια και, κατά συνέπεια, καθώς η ένταση της παρέμβασης στο δικαίωμα σεβασμού της ιδιωτικής ζωής γινόταν μεγαλύτερη. Έτσι, κατά την άποψή του, στο τέλος της διαδικασίας, όταν αναλύονται πληροφορίες που αφορούν ένα συγκεκριμένο πρόσωπο ή εξετάζεται το περιεχόμενο των επικοινωνιών από έναν αναλυτή, η ύπαρξη εγγυήσεων είναι πιο απαραίτητη από ποτέ (βλ., υπό την έννοια αυτή, Big Brother Watch, παράγραφοι 330 και 331).

142     Τέταρτον, το ΕΔΔΑ έκρινε ότι, δεδομένου ότι η συμπερίληψη όλων των επιλογέων που απασχολούνται από τις υπηρεσίες πληροφοριών για το φιλτράρισμα των συλλεγόμενων επικοινωνιών στο πεδίο εφαρμογής της προηγούμενης άδειας δεν ήταν εφικτή στην πράξη, το πεδίο εφαρμογής της εν λόγω άδειας έπρεπε να περιοριστεί ώστε να περιλαμβάνει τουλάχιστον τους τύπους ή τις κατηγορίες των επιλογέων που θα χρησιμοποιούνταν (απόφαση Big Brother Watch, παράγραφος 354).

143     Εν προκειμένω, καταρχάς, πρέπει να υπομνησθεί ότι, όπως έκρινε το Δικαστήριο στις αποφάσεις Schrems I και Schrems II, η Επιτροπή δεν υποχρεούται, στο πλαίσιο αποφάσεως περί επάρκειας, να διασφαλίσει ότι οι σχετικές διατάξεις της τρίτης χώρας είναι πανομοιότυπες με εκείνες που ισχύουν στην Ευρωπαϊκή Ένωση, αλλά ότι είναι ουσιαστικά ισοδύναμες (βλ. σκέψεις 19 και 20 ανωτέρω).

144     Από την άλλη πλευρά, πρέπει να ληφθεί υπόψη ότι, δεδομένου ότι η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα που διενεργείται από τις υπηρεσίες πληροφοριών των Ηνωμένων Πολιτειών, η οποία αμφισβητείται στην παρούσα διαδικασία, μπορεί να εξομοιωθεί με την παρακολούθηση δεδομένων που διενεργείται στο πλαίσιο του πρώτου από τα στάδια της παρακολούθησης που προσδιορίζονται από το ΕΔΔΑ στην απόφαση Big Brother Watch, η ανάγκη να προβλεφθούν, για αυτό το συγκεκριμένο στάδιο της μαζικής συλλογής, εγγυήσεις που περιορίζουν τη διακριτική ευχέρεια των υπηρεσιών πληροφοριών είναι πιο περιορισμένη, λαμβάνοντας υπόψη το πλαίσιο στο οποίο διενεργείται η παρακολούθηση. Πράγματι, το ζήτημα στην υπό κρίση υπόθεση είναι μόνο η αρχική μαζική παρακολούθηση δεδομένων προσωπικού χαρακτήρα από τις υπηρεσίες πληροφοριών, εξαιρουμένων των μεταγενέστερων δραστηριοτήτων, οι οποίες δεν αποτελούν αντικείμενο της παρούσας αγωγής και οι οποίες θα μπορούσαν να συνίστανται, κατά περίπτωση, στην εφαρμογή συγκεκριμένων επιλογέων, στην εξέταση των συλλεγόμενων δεδομένων και στην επακόλουθη χρήση ή κοινοποίησή τους.

145     Συνεπώς, η διάταξη για προηγούμενη άδεια δεν είναι η μόνη εγγύηση που πρέπει να διέπει τη μαζική παρακολούθηση δεδομένων προσωπικού χαρακτήρα, αλλά αποτελεί ένα από τα στοιχεία που, συνολικά, αποτελούν τον ακρογωνιαίο λίθο κάθε καθεστώτος μαζικής παρακολούθησης. Συναφώς, πρέπει να υπενθυμιστεί ότι η ισχύουσα νομοθεσία των Ηνωμένων Πολιτειών προβλέπει νομικούς κανόνες που διέπουν με επαρκώς σαφή και ακριβή τρόπο την εφαρμογή, από τις υπηρεσίες πληροφοριών των Ηνωμένων Πολιτειών, της μαζικής συλλογής δεδομένων προσωπικού χαρακτήρα (βλ. σκέψεις 107 έως 116 ανωτέρω) και παρέχει στα πρόσωπα που αφορά η διαβίβαση των δεδομένων τους το δικαίωμα αποτελεσματικής δικαστικής προσφυγής ενώπιον της DPRC (βλ. σκέψεις 33 έως 63 ανωτέρω). Επιπλέον, οι αιτιολογικές σκέψεις 162 έως 169 της προσβαλλόμενης απόφασης αναφέρουν, χωρίς ο αιτών να το αμφισβητήσει αυτό, ότι οι δραστηριότητες πληροφοριών που διεξάγονται από τις υπηρεσίες πληροφοριών ελέγχονται από την PCLOB, η οποία, όπως προκύπτει σαφώς από την παράγραφο 54 ανωτέρω, σχεδιάστηκε από το ιδρυτικό της καταστατικό ως ανεξάρτητη υπηρεσία. Ομοίως, οι δραστηριότητες αυτές υπόκεινται σε εποπτεία, πρώτον, από τους νομικούς υπαλλήλους και τους εκπροσώπους οι οποίοι, εντός κάθε υπηρεσίας πληροφοριών, είναι υπεύθυνοι για την παρακολούθηση και τη διασφάλιση της συμμόρφωσης με τον εν λόγω νόμο. δεύτερον, από τον ανεξάρτητο Γενικό Επιθεωρητή που είναι υπεύθυνος για την παρακολούθηση των δραστηριοτήτων ξένων πληροφοριών κάθε υπηρεσίας πληροφοριών· και τρίτον, από το Συμβούλιο Εποπτείας Πληροφοριών (Ηνωμένες Πολιτείες), το οποίο συστάθηκε στο πλαίσιο του Συμβουλευτικού Συμβουλίου Πληροφοριών του Προέδρου (Ηνωμένες Πολιτείες) και υποχρεούται να επιβλέπει την τήρηση του νόμου από τις αρχές των Ηνωμένων Πολιτειών· και τέταρτον, από τις ειδικές επιτροπές που συστάθηκαν στο πλαίσιο του Κογκρέσου των Ηνωμένων Πολιτειών, οι οποίες ασκούν εποπτικά καθήκοντα σε σχέση με όλες τις δραστηριότητες ξένων πληροφοριών αυτής της χώρας.

146     Υπό το πρίσμα των ανωτέρω σκέψεων, δεν μπορεί να συναχθεί το συμπέρασμα ότι το γεγονός ότι δεν προβλέπεται προηγούμενη άδεια για την αρχική μαζική συλλογή, από τις υπηρεσίες πληροφοριών των Ηνωμένων Πολιτειών, δεδομένων προσωπικού χαρακτήρα που διαμετακομίζονται από την Ένωση αρκεί για να θεωρηθεί ότι το δίκαιο των Ηνωμένων Πολιτειών δεν παρέχει, υπό το πρίσμα των διδαγμάτων που αντλήθηκαν από την απόφαση Big Brother Watch, εγγυήσεις ουσιαστικά ισοδύναμες με αυτές που προβλέπονται από το δίκαιο της Ένωσης.

147     Συνεπώς, το επιχείρημα αυτό πρέπει να απορριφθεί.

4)       Επί του τέταρτου επιχειρήματος, βάσει της Γνώμης 5/2023 του Ευρωπαίου Επόπτη Προστασίας Δεδομένων

148     Με το τέταρτο επιχείρημά του, ο προσφεύγων υποστηρίζει ότι, στη γνώμη του 5/2023, της 28ης Φεβρουαρίου 2023, σχετικά με το σχέδιο εκτελεστικής απόφασης της Επιτροπής για τον καθορισμό του επαρκούς επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα που διασφαλίζεται από το πλαίσιο προστασίας δεδομένων ΕΕ-ΗΠΑ («Γνώμη 5/2023»), το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων («ΕΕΠΔ») τόνισε τη σημασία της υπαγωγής της μαζικής συλλογής δεδομένων προσωπικού χαρακτήρα σε προηγούμενη άδεια. Κατά την άποψή του, η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα από τις υπηρεσίες πληροφοριών των ΗΠΑ κατά τη διαμετακόμιση από την Ένωση δεν υπόκειται, εν προκειμένω, σε προηγούμενη άδεια.

149     Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί το επιχείρημα της προσφεύγουσας.

150     Πρέπει να σημειωθεί ότι η Γνώμη 5/2023 εκδόθηκε από τον ΕΕΠΔ βάσει του άρθρου 70(1)(ιθ) του ΓΚΠΔ. Η διάταξη αυτή ορίζει ότι, με δική του πρωτοβουλία ή κατόπιν αιτήματος της Επιτροπής, ο ΕΕΠΔ μπορεί να εκδώσει, προς όφελός της τελευταίας, γνώμη σχετικά με την αξιολόγηση της επάρκειας του επιπέδου προστασίας που παρέχεται από τρίτη χώρα.

151     Ωστόσο, όταν ενεργεί βάσει του άρθρου 70(1) του ΓΚΠΔ, ο ΕΕΠΔ ασκεί απλώς συμβουλευτική λειτουργία συντάσσοντας γνωμοδοτήσεις, κατευθυντήριες γραμμές, συστάσεις και συστάσεις βέλτιστων πρακτικών που δεν παράγουν δεσμευτικά έννομα αποτελέσματα (βλ., συναφώς, διάταξη του Προέδρου του Δικαστηρίου της 29ης Νοεμβρίου 2023, EDPS κατά CRU, C-413/23 P, μη δημοσιευμένη, EU:C:2023:1036, παράγραφος 11). Συνεπώς, η εν λόγω γνωμοδότηση δεν είναι δεσμευτική για την Επιτροπή, η οποία παραμένει ελεύθερη να αξιολογήσει εάν το δίκαιο της εν λόγω χώρας προσφέρει συνολικά επίπεδο προστασίας ουσιαστικά ισοδύναμο με αυτό που εγγυάται το δίκαιο της ΕΕ όσον αφορά τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα. Σε κάθε περίπτωση, πρέπει να σημειωθεί ότι, στην εν λόγω γνωμοδότηση, ο ΕΕΠΔ δεν ανέφερε ότι η μη καθιέρωση προηγούμενου ελέγχου σε σχέση με τη μαζική συλλογή δεδομένων προσωπικού χαρακτήρα υπονόμευε κατ’ ανάγκη τη θετική αξιολόγηση της Επιτροπής σχετικά με την επάρκεια του επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα που προσφέρει ο ΕΠΔ. Αντιθέτως, σημείωσε, στην παράγραφο 165 της εν λόγω γνωμοδότησης, ότι η εν λόγω εκτίμηση εξαρτιόταν από όλες τις περιστάσεις της υπόθεσης και, ιδίως, από την καθιέρωση από τις Ηνωμένες Πολιτείες ενός ex post δικαστικού ελέγχου και ενός μηχανισμού επανεξέτασης.

152     Στο πλαίσιο αυτό, η Γνώμη 5/2023 δεν επιτρέπει το συμπέρασμα ότι η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα από τις υπηρεσίες πληροφοριών των ΗΠΑ κατά τη μεταφορά τους από την Ένωση πρέπει να υπόκειται σε προηγούμενη άδεια και ότι η προστασία που προσφέρει η εν λόγω χώρα δεν είναι ουσιαστικά ισοδύναμη με αυτήν που εγγυάται το δίκαιο της Ένωσης.

153     Συνεπώς, το επιχείρημα αυτό πρέπει να απορριφθεί, και ως εκ τούτου η δεύτερη αιτίαση του δεύτερου λόγου ακυρώσεως στο σύνολό της.

(δ)       Επί του τρίτου αιτιάσματος του δεύτερου λόγου, σύμφωνα με το οποίο το EO 14086 δίνει στον Πρόεδρο των Ηνωμένων Πολιτειών την εξουσία να εγκρίνει μυστική ενημέρωση των συγκεκριμένων στόχων της μαζικής συλλογής

154     Με την τρίτη αιτίαση του δεύτερου λόγου ακυρώσεώς του, ο προσφεύγων υποστηρίζει ότι η Επιτροπή παρέβη τα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων, όταν έκρινε, στην προσβαλλόμενη απόφαση, ότι οι Ηνωμένες Πολιτείες Αμερικής προσέφεραν επίπεδο προστασίας ουσιαστικά ισοδύναμο με αυτό που εγγυάται το δίκαιο της Ένωσης βάσει του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα του εν λόγω Χάρτη, παρά το γεγονός ότι το EO 14086 παρέχει στον Πρόεδρο των Ηνωμένων Πολιτειών, για λόγους εθνικής ασφάλειας, την εξουσία να επιτρέπει τη μυστική ενημέρωση των συγκεκριμένων σκοπών της μαζικής συλλογής. Πιο συγκεκριμένα, θεωρεί ότι, σε αντίθεση με όσα έκρινε το ΕΔΔΑ της 4ης Δεκεμβρίου 2015, Roman Zakharov κατά Ρωσίας (CE:ECHR:2015:1204JUD004714306, στο εξής: «απόφαση Zakharov»), η παραχώρηση της εξουσίας ενημέρωσης αυτών των συγκεκριμένων σκοπών στον εν λόγω Πρόεδρο δεν επιτρέπει στα πρόσωπα που αφορά η διαβίβαση δεδομένων προσωπικού χαρακτήρα να προσδιορίσουν, με ακριβή τρόπο, το νομικό πλαίσιο εντός του οποίου τα δεδομένα προσωπικού χαρακτήρα τους υποβάλλονται σε επεξεργασία στις Ηνωμένες Πολιτείες.

155     Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί τα επιχειρήματα της προσφεύγουσας.

156     Πρέπει να σημειωθεί ότι, στην απόφαση Ζαχάροφ, το ΕΔΔΑ έκρινε ότι η παρέμβαση στο θεμελιώδες δικαίωμα σεβασμού της ιδιωτικής και οικογενειακής ζωής μπορούσε να δικαιολογηθεί μόνο βάσει του άρθρου 8(2) της ΕΣΔΑ εάν προβλεπόταν από τον νόμο (απόφαση Ζαχάροφ, παράγραφος 227). Ωστόσο, σύμφωνα με το Δικαστήριο αυτό, η έκφραση «προβλεπόμενο από τον νόμο» σήμαινε ότι το εν λόγω μέτρο έπρεπε να είναι προσβάσιμο στο ενδιαφερόμενο πρόσωπο και ότι έπρεπε να είναι προβλέψιμο ως προς τα αποτελέσματά του (απόφαση Ζαχάροφ, παράγραφος 228). Στην περίπτωση της παρακολούθησης επικοινωνιών, η «προβλεψιμότητα» δεν σήμαινε ότι ένα άτομο έπρεπε να είναι σε θέση να προβλέψει πότε οι αρχές ήταν πιθανό να παρακολουθήσουν τις επικοινωνίες του, αλλά ότι, κατ’ ουσίαν, οι περιορισμοί στο δικαίωμά του σεβασμού της ιδιωτικής και οικογενειακής ζωής έπρεπε να προκύπτουν από σαφείς κανόνες (απόφαση Ζαχάροφ, παράγραφος 229).

157     Υπενθυμίζεται επίσης ότι, σύμφωνα με τη νομολογία που παρατίθεται στην παράγραφο 29 ανωτέρω, στο μέτρο που το Άρθρο 8 της ΕΣΔΑ κατοχυρώνει, όπως και το Άρθρο 7 του Χάρτη των Θεμελιωδών Δικαιωμάτων, το δικαίωμα σεβασμού της ιδιωτικής και οικογενειακής ζωής, η νομολογία του ΕΔΔΑ σχετικά με το Άρθρο 8 της ΕΣΔΑ, συμπεριλαμβανομένης, επομένως, της απόφασης Ζαχάροφ, πρέπει να λαμβάνεται υπόψη κατά την ερμηνεία, όπως εν προκειμένω, του Άρθρου 7 του εν λόγω Χάρτη.

158     Συναφώς, από το άρθρο 2(c)(ii)(C) του EO 14086 προκύπτει σαφώς ότι η εξουσία που δίνεται στον Πρόεδρο των Ηνωμένων Πολιτειών να ενημερώνει τον κατάλογο των συγκεκριμένων σκοπών για τη μαζική συλλογή δεν είναι απεριόριστη, αλλά περιορίζεται σε περιπτώσεις όπου η ενημέρωση αυτή καθίσταται απαραίτητη λόγω της εμφάνισης νέων επιταγών εθνικής ασφάλειας, όπως νέες ή αυξημένες απειλές για την εθνική ασφάλεια για τις οποίες θα μπορούσε να χρησιμοποιηθεί η μαζική συλλογή δεδομένων προσωπικού χαρακτήρα. Επιπλέον, από την εν λόγω διάταξη προκύπτει σαφώς, και επιβεβαιώθηκε από τις Ηνωμένες Πολιτείες Αμερικής κατά την επ’ ακροατηρίου συζήτηση, ότι η ενημέρωση από τον εν λόγω Πρόεδρο των εν λόγω συγκεκριμένων σκοπών δεν είναι μυστική, αλλά αποτελεί αντικείμενο δημοσιότητας από τον Διευθυντή Εθνικών Πληροφοριών, εκτός εάν ο εν λόγω Πρόεδρος κρίνει ότι η εν λόγω δημοσιότητα συνιστά από μόνη της κίνδυνο για την εθνική ασφάλεια της χώρας του. Επιπλέον, ακόμη και σε αυτή την υπόθεση, η μαζική συλλογή υπόκειται σε όλες τις εγγυήσεις και τους περιορισμούς που προβλέπονται από το EO 14086 και, εάν ένα υποκείμενο των δεδομένων υποβάλει την καταγγελία σχετικά με τα δεδομένα προσωπικού χαρακτήρα, υπόκειται σε παρακολούθηση από την CLPO και, εάν είναι απαραίτητο, σε έλεγχο από την DPRC.

159     Στο πλαίσιο αυτό, δεν μπορεί να θεωρηθεί ότι η εξουσία που δόθηκε στον Πρόεδρο των Ηνωμένων Πολιτειών να ενημερώνει τον κατάλογο των συγκεκριμένων σκοπών της μαζικής συλλογής είναι αντίθετη με τις απαιτήσεις που όρισε το ΕΔΔΑ στην απόφαση Ζαχάροφ.

160     Συνεπώς, η τρίτη αιτίαση του δεύτερου λόγου ακυρώσεως πρέπει να απορριφθεί και, ως εκ τούτου, ο εν λόγω λόγος ακυρώσεως στο σύνολό του.

4.       Επί του τέταρτου λόγου, βάσει της παραβίασης του άρθρου 22 του ΓΚΠΔ

161     Με τον τέταρτο λόγο ακυρώσεως, ο προσφεύγων υποστηρίζει ότι η Επιτροπή παρέβη το άρθρο 22 του ΓΚΠΔ, καθόσον, στην προσβαλλόμενη απόφαση, δεν συμπεριέλαβε διάταξη που να θεσπίζει το δικαίωμα των υποκειμένων των δεδομένων να μην υπόκεινται σε αποφάσεις που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένης της κατάρτισης προφίλ, οι οποίες παράγουν έννομα αποτελέσματα που τα αφορούν ή τα επηρεάζουν σημαντικά (στο εξής: πλήρως αυτοματοποιημένες αποφάσεις).

162     Προκαταρκτικά, θα πρέπει να σημειωθεί ότι οι όροι του άρθρου 22 του ΓΚΠΔ έχουν ως εξής:

«1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση που βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία, συμπεριλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει έννομα αποτελέσματα που το αφορούν ή το επηρεάζουν σημαντικά με παρόμοιο τρόπο.»

2. Η παράγραφος 1 δεν εφαρμόζεται όταν η απόφαση:

(α) είναι απαραίτητο για τη σύναψη ή την εκτέλεση σύμβασης μεταξύ του υποκειμένου των δεδομένων και ενός υπευθύνου επεξεργασίας·

(β) επιτρέπεται από το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο ορίζει επίσης κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων· ή

(γ) βασίζεται στη ρητή συγκατάθεση του υποκειμένου των δεδομένων.

163     Θα πρέπει επίσης να σημειωθεί ότι ο όρος «κατάρτιση προφίλ», που εμφανίζεται στο άρθρο 22(1) του ΓΚΠΔ, ορίζεται στο άρθρο 4(4) του ίδιου κανονισμού ως «κάθε μορφή αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα που συνίσταται στη χρήση δεδομένων προσωπικού χαρακτήρα για την αξιολόγηση ορισμένων προσωπικών πτυχών που αφορούν ένα φυσικό πρόσωπο, ιδίως για την ανάλυση ή την πρόβλεψη πτυχών που αφορούν την απόδοση στην εργασία, την οικονομική κατάσταση, την υγεία, τις προσωπικές προτιμήσεις, τα ενδιαφέροντα, την αξιοπιστία, τη συμπεριφορά, την τοποθεσία ή τις κινήσεις του εν λόγω φυσικού προσώπου».

164     Συνεπώς, σύμφωνα με το άρθρο 22 του ΓΚΠΔ, κάθε υποκείμενο δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση που βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των περιπτώσεων όπου το μέτρο αυτό συνίσταται στην ανάλυση και πρόβλεψη ορισμένων πτυχών της συμπεριφοράς του.

165     Ωστόσο, από την προσβαλλόμενη απόφαση προκύπτει σαφώς ότι αυτή δεν εξετάζει ειδικά το ζήτημα που αφορά τις πλήρως αυτοματοποιημένες αποφάσεις.

166     Συνεπώς, πρέπει να κριθεί αν μια τέτοια παράλειψη είναι πιθανό να επηρεάσει τη νομιμότητα της προσβαλλόμενης απόφασης, στο μέτρο που θα μπορούσε να θέσει υπό αμφισβήτηση το συμπέρασμα που διατυπώνεται στο άρθρο 1 ^της εν λόγω απόφασης, σύμφωνα με το οποίο οι Ηνωμένες Πολιτείες Αμερικής παρέχουν επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα.

167     Στο πλαίσιο αυτό, είναι σκόπιμο να αναλυθούν οι τρεις αιτιάσεις που προβάλλει ο προσφεύγων προς στήριξη του τετάρτου λόγου ακυρώσεώς του, ξεκινώντας από την πρώτη και την τρίτη αιτίαση, οι οποίες πρέπει να εξεταστούν από κοινού.

(α)       Επί της πρώτης και της τρίτης αιτιάσεως του τέταρτου λόγου αναίρεσης, σύμφωνα με τις οποίες, αφενός, το γεγονός ότι οι πλήρως αυτοματοποιημένες αποφάσεις λαμβάνονται γενικά από υπεύθυνους επεξεργασίας δεδομένων οι οποίοι, όντας εγκατεστημένοι στην Ένωση, υπόκεινται στον ΓΚΠΔ δεν παρέχει εγγύηση σε σχέση με άλλες περιπτώσεις και, αφετέρου, η θέσπιση, από το δίκαιο των Ηνωμένων Πολιτειών , τομεακών προστασιών σε περιπτώσεις όπου η έκδοση πλήρως αυτοματοποιημένων αποφάσεων δεν εμπίπτει στο πεδίο εφαρμογής του εν λόγω κανονισμού είναι άνευ σημασίας στην υπό κρίση υπόθεση

168     Με την πρώτη και την τρίτη αιτίαση του τέταρτου λόγου ακυρώσεώς του, ο προσφεύγων υποστηρίζει, πρώτον, ότι το γεγονός ότι οι πλήρως αυτοματοποιημένες αποφάσεις λαμβάνονται γενικά από υπεύθυνους επεξεργασίας δεδομένων οι οποίοι, όντας εγκατεστημένοι στην Ένωση, υπόκεινται στον ΓΚΠΔ δεν παρέχει καμία εγγύηση σε σχέση με άλλες περιπτώσεις. Δεύτερον, επισημαίνει ότι το γεγονός ότι το δίκαιο των Ηνωμένων Πολιτειών παρέχει τομεακή προστασία σε περίπτωση που η έκδοση τέτοιων αποφάσεων δεν εμπίπτει στο πεδίο εφαρμογής του εν λόγω κανονισμού είναι άνευ σημασίας στην υπό κρίση υπόθεση, στο μέτρο που η περίσταση αυτή δεν επιτρέπει το συμπέρασμα ότι, γενικά, η προστασία που παρέχει η εν λόγω χώρα έναντι όλων των πλήρως αυτοματοποιημένων αποφάσεων είναι ισοδύναμη με αυτήν που κατοχυρώνεται από το άρθρο 22 του εν λόγω κανονισμού.

169     Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί τα επιχειρήματα της προσφεύγουσας.

170     Επισημαίνεται ότι από την αιτιολογική σκέψη 33 της προσβαλλομένης αποφάσεως προκύπτει σαφώς ότι, σε περίπτωση διαβίβασης δεδομένων προσωπικού χαρακτήρα από την Ένωση προς τις Ηνωμένες Πολιτείες, πρέπει να διακριθούν τρία σενάρια όσον αφορά την έκδοση πλήρως αυτοματοποιημένων αποφάσεων.

171     Πρώτον, είναι πιθανό οι πλήρως αυτοματοποιημένες αποφάσεις να λαμβάνονται από υπεύθυνο επεξεργασίας εγκατεστημένο στην Ένωση, ο οποίος έχει συλλέξει, στην Ένωση, τα προσωπικά δεδομένα των υποκειμένων των δεδομένων. Στο πλαίσιο αυτό, πρέπει να σημειωθεί ότι το άρθρο 4(7) του ΓΚΠΔ ορίζει τον υπεύθυνο επεξεργασίας ως το φυσικό ή νομικό πρόσωπο, τη δημόσια αρχή, την υπηρεσία ή άλλον φορέα που, μόνο του ή από κοινού με άλλους, καθορίζει τους σκοπούς και τα μέσα επεξεργασίας των προσωπικών δεδομένων. Στην περίπτωση αυτή, στο βαθμό που, σύμφωνα με το άρθρο 3(1) του εν λόγω κανονισμού, ο υπεύθυνος επεξεργασίας υπόκειται στον ίδιο κανονισμό, πρέπει να συμμορφώνεται με τις απαιτήσεις που ορίζονται στο άρθρο 22 του εν λόγω κανονισμού όσον αφορά τις εν λόγω αποφάσεις.

172     Δεύτερον, είναι πιθανό να λαμβάνονται πλήρως αυτοματοποιημένες αποφάσεις είτε από έναν επεξεργαστή εγκατεστημένο σε τρίτη χώρα, ο οποίος ενεργεί για λογαριασμό του υπευθύνου επεξεργασίας εγκατεστημένου στην Ένωση, ο οποίος του διαβίβασε τα προσωπικά δεδομένα που συνέλεξε στην Ένωση, είτε από έναν υπεργολάβο επεξεργασίας, ο οποίος ενεργεί για λογαριασμό του υπευθύνου επεξεργασίας εγκατεστημένου στην Ένωση, ο οποίος του διαβίβασε τα προσωπικά δεδομένα που συνέλεξε στην Ένωση. Στο πλαίσιο αυτό, πρέπει να σημειωθεί ότι το άρθρο 4(8) του ΓΚΠΔ ορίζει τον επεξεργαστή ως το φυσικό ή νομικό πρόσωπο, τη δημόσια αρχή, την υπηρεσία ή άλλον φορέα που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του υπευθύνου επεξεργασίας. Σε αυτές τις περιπτώσεις, στο βαθμό που αλλοδαποί επεξεργαστές ενεργούν για λογαριασμό του υπευθύνου επεξεργασίας ή του επεξεργαστή στην Ένωση, υπόκεινται στον εν λόγω κανονισμό σύμφωνα με το άρθρο 3(1) του εν λόγω κανονισμού. Συνεπώς, όσον αφορά τις εν λόγω αποφάσεις, ο υπεύθυνος επεξεργασίας και ο επεξεργαστής πρέπει να συμμορφώνονται με τις απαιτήσεις που προβλέπονται στο άρθρο 22 του ίδιου κανονισμού.

173     Τρίτον, είναι πιθανό να λαμβάνονται πλήρως αυτοματοποιημένες αποφάσεις από υπεύθυνο επεξεργασίας ή εκτελούντα την επεξεργασία που δεν είναι εγκατεστημένος στην Ένωση, αλλά απευθύνεται σε υποκείμενα δεδομένων που βρίσκονται στην Ένωση προσφέροντάς τους αγαθά ή υπηρεσίες ή παρακολουθώντας τη συμπεριφορά τους. Στην προκειμένη περίπτωση, το άρθρο 3(2) του ΓΚΠΔ ορίζει ότι ο αλλοδαπός υπεύθυνος επεξεργασίας και ο επεξεργαστής υπόκεινται στον εν λόγω κανονισμό. Έτσι, στην περίπτωση πλήρως αυτοματοποιημένων αποφάσεων, πρέπει να συμμορφώνονται με τις απαιτήσεις που ορίζονται στο άρθρο 22 του εν λόγω κανονισμού.

174     Συνεπώς, από την προσβαλλόμενη απόφαση προκύπτει ότι οι περιπτώσεις στις οποίες οι πλήρως αυτοματοποιημένες αποφάσεις δεν εμπίπτουν στο πεδίο εφαρμογής του άρθρου 22 του ΓΚΠΔ είναι επικουρικές και περιορίζονται στην περίπτωση κατά την οποία οι οργανισμοί συνεχιζόμενης επαγγελματικής ανάπτυξης συλλέγουν δεδομένα προσωπικού χαρακτήρα απευθείας στην Ένωση, χωρίς, ωστόσο, να προσφέρουν στους πολίτες της Ένωσης αγαθά ή υπηρεσίες και χωρίς να παρακολουθούν τη συμπεριφορά τους, κατά την έννοια του άρθρου 3, παράγραφος 2, του εν λόγω κανονισμού.

175     Ωστόσο, από τις αιτιολογικές σκέψεις 35 και 36 της προσβαλλομένης αποφάσεως προκύπτει, χωρίς η προσφεύγουσα να το αμφισβητήσει, ότι, στις περιπτώσεις αυτές, το δίκαιο των Ηνωμένων Πολιτειών προσφέρει τομεακή προστασία παρόμοια με αυτήν που προβλέπεται από τον ΓΚΠΔ σε τομείς όπως η χορήγηση πιστώσεων, οι προσφορές δανείων για ακίνητα, οι αποφάσεις πρόσληψης, η απασχόληση, η στέγαση και η ασφάλιση, στους οποίους είναι πιθανότερο οι οργανισμοί συνεχιζόμενης επαγγελματικής ανάπτυξης να λαμβάνουν πλήρως αυτοματοποιημένες αποφάσεις.

176     Έτσι, στην καταναλωτική πίστη, ο Νόμος περί Δίκαιης Αναφοράς Πιστωτικών Δεδομένων και ο Νόμος περί Ίσων Πιστωτικών Ευκαιριών περιέχουν διασφαλίσεις που παρέχουν στους καταναλωτές μια μορφή δικαιώματος σε εξηγήσεις και το δικαίωμα να αμφισβητήσουν πλήρως αυτοματοποιημένες αποφάσεις. Αυτοί οι νόμοι ισχύουν σε ένα ευρύ φάσμα τομέων, όπως η πίστωση, η απασχόληση, η στέγαση και η ασφάλιση. Επιπλέον, ο Τίτλος VII του Νόμου περί Πολιτικών Δικαιωμάτων και ο Νόμος περί Δίκαιης Στέγασης προστατεύουν τα άτομα από πρότυπα που χρησιμοποιούνται σε πλήρως αυτοματοποιημένες αποφάσεις που θα μπορούσαν να οδηγήσουν σε διακρίσεις βάσει ορισμένων χαρακτηριστικών και τους παρέχουν το δικαίωμα να αμφισβητήσουν τέτοιες αποφάσεις. Επιπλέον, όσον αφορά τις πληροφορίες για την υγεία, οι κανόνες που θεσπίζονται από τις αρχές των ΗΠΑ βάσει του Νόμου περί Φορητότητας και Λογοδοσίας Ασφάλισης Υγείας απαιτούν να παρέχονται στους παρόχους ιατρικών υπηρεσιών πληροφορίες που τους επιτρέπουν να ενημερώνουν τα άτομα σχετικά με τα πλήρως αυτοματοποιημένα συστήματα λήψης αποφάσεων που χρησιμοποιούνται στον ιατρικό τομέα.

177     Στο πλαίσιο αυτό, σε αντίθεση με όσα υποστηρίζει ο αιτών, δεν μπορεί να θεωρηθεί ότι οι τομεακές προστασίες που προβλέπονται από το δίκαιο των Ηνωμένων Πολιτειών είναι άνευ σημασίας στην προκειμένη περίπτωση, δεδομένου ότι δεν έχουν το ίδιο γενικό πεδίο εφαρμογής με το άρθρο 22 του ΓΚΠΔ.

178     Συναφώς, υπενθυμίζεται ότι, στις αποφάσεις Schrems I και Schrems II, το Δικαστήριο έκρινε ότι, χωρίς να απαιτείται από την οικεία τρίτη χώρα να εγγυηθεί επίπεδο προστασίας πανομοιότυπο με αυτό που κατοχυρώνεται στην έννομη τάξη της Ένωσης, η έκφραση «επαρκές επίπεδο προστασίας», στο άρθρο 45, παράγραφος 1, του ΓΚΠΔ, πρέπει να νοείται ως απαίτηση από την εν λόγω τρίτη χώρα να διασφαλίζει πράγματι, λόγω της εσωτερικής της νομοθεσίας ή των διεθνών της δεσμεύσεων, επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών ουσιαστικά ισοδύναμο με αυτό που κατοχυρώνεται εντός της Ένωσης βάσει του εν λόγω κανονισμού, ερμηνευόμενο υπό το πρίσμα του Χάρτη των Θεμελιωδών Δικαιωμάτων (βλ. σκέψεις 19 και 20 ανωτέρω).

179     Επιπλέον, στην απόφαση Schrems I, το Δικαστήριο έκρινε ότι, ακόμη και αν τα μέσα που χρησιμοποιεί η τρίτη χώρα για να διασφαλίσει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα ενδέχεται να διαφέρουν από εκείνα που εφαρμόζονται εντός της Ένωσης, τα εν λόγω μέσα πρέπει παρ’ όλα αυτά να αποδεικνύονται, στην πράξη, αποτελεσματικά, προκειμένου να διασφαλίζεται προστασία ουσιαστικά ισοδύναμη με αυτήν που εγγυάται εντός της Ένωσης (βλ. παράγραφο 20 ανωτέρω).

180     Λαμβανομένων υπόψη όλων αυτών των σκέψεων, η πρώτη και η τρίτη αιτίαση του τετάρτου λόγου ακυρώσεως πρέπει να απορριφθούν.

(β)       Επί της δεύτερης αιτίασης του τέταρτου λόγου ακυρώσεως, σύμφωνα με την οποία η μελέτη που ανέθεσε η Επιτροπή το 2018, η οποία κατέδειξε τον υπολειμματικό χαρακτήρα των περιπτώσεων στις οποίες οργανισμοί εγκατεστημένοι στις Ηνωμένες Πολιτείες που είχαν προσχωρήσει στην ασπίδα προστασίας έλαβαν πλήρως αυτοματοποιημένες αποφάσεις, είναι άνευ σημασίας στην προκειμένη περίπτωση

181     Με τη δεύτερη αιτίαση του τέταρτου λόγου ακυρώσεως, ο προσφεύγων υποστηρίζει ότι το γεγονός ότι η μελέτη σχετικά με τις πλήρως αυτοματοποιημένες αποφάσεις, η οποία αναφέρεται στην αιτιολογική σκέψη 34 της προσβαλλόμενης απόφασης, την οποία η Επιτροπή ανέθεσε το 2018 και τα αποτελέσματα της οποίας παρατίθενται στο σημείο 4.1.5 της έκθεσης COM(2018) 860 final της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, της 19ης Δεκεμβρίου 2018, σχετικά με τη δεύτερη ετήσια επανεξέταση της λειτουργίας της Ασπίδας Προστασίας Προσωπικών Δεδομένων (στο εξής: μελέτη του 2018), κατέληξε στο συμπέρασμα ότι δεν υπήρχαν στοιχεία για την ύπαρξη πλήρως αυτοματοποιημένων αποφάσεων που ελήφθησαν από οργανισμούς εγκατεστημένους στις Ηνωμένες Πολιτείες οι οποίοι είχαν προσχωρήσει στην Ασπίδα Προστασίας Προσωπικών Δεδομένων είναι άνευ σημασίας στην υπό κρίση υπόθεση. Ειδικότερα, υποστηρίζει ότι η εν λόγω μελέτη αναφέρεται στην απόφαση επάρκειας σχετικά με την Ασπίδα Προστασίας Προσωπικών Δεδομένων, η οποία ακυρώθηκε από το Δικαστήριο με την απόφαση Schrems II και ότι δεν λαμβάνει υπόψη την τρέχουσα κατάσταση, η οποία χαρακτηρίζεται από εξαιρετικά ταχεία ανάπτυξη πλήρως αυτοματοποιημένων υπηρεσιών που βασίζονται στην τεχνητή νοημοσύνη.

182     Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί τα επιχειρήματα της προσφεύγουσας.

183     Από τη μελέτη του 2018 προκύπτει ιδίως ότι, αφενός, δεν υπήρχαν δεδομένα εκείνη την εποχή που να υποδηλώνουν ότι εταιρείες με έδρα τις Ηνωμένες Πολιτείες που είχαν ενταχθεί στην ασπίδα προστασίας είχαν λάβει πλήρως αυτοματοποιημένες αποφάσεις και, αφετέρου, οι Ηνωμένες Πολιτείες Αμερικής είχαν εφαρμόσει τομεακή νομοθεσία σε τομείς όπως η καταναλωτική πίστη, η απασχόληση, η στέγαση, οι ασφάλειες και η υγεία, στους οποίους ήταν πιο πιθανό να ληφθούν πλήρως αυτοματοποιημένες αποφάσεις.

184     Συναφώς, καταρχάς, πρέπει να σημειωθεί ότι η μελέτη του 2018 δεν αναφέρεται στην απόφαση περί επάρκειας σχετικά με την Ασπίδα Προστασίας Προσωπικών Δεδομένων και ανατέθηκε από την Επιτροπή μετά την έναρξη ισχύος της εν λόγω απόφασης. Το γεγονός ότι η εν λόγω απόφαση ακυρώθηκε από το Δικαστήριο στην υπόθεση Schrems II είναι, επομένως, άνευ σημασίας στην υπό κρίση υπόθεση. Επιπλέον, στην υπόθεση Schrems II, το Δικαστήριο δεν ακύρωσε την εν λόγω απόφαση βάσει των στοιχείων που αναφέρονται στην εν λόγω μελέτη.

185     Δεύτερον, είναι αλήθεια ότι η μελέτη του 2018 δεν έλαβε υπόψη την πραγματική και νομική κατάσταση στις Ηνωμένες Πολιτείες το 2023, κατά την ημερομηνία έκδοσης της προσβαλλόμενης απόφασης, αλλά μάλλον την κατάσταση το 2018, όταν αυτή διεξήχθη. Ωστόσο, ο υπολειμματικός χαρακτήρας των περιπτώσεων στις οποίες οργανισμοί εγκατεστημένοι στις Ηνωμένες Πολιτείες που είχαν ενταχθεί στην Ασπίδα Προστασίας Προσωπικών Δεδομένων είχαν λάβει πλήρως αυτοματοποιημένες αποφάσεις επιβεβαιώθηκε από την έκθεση COM(2019) 495 final της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο, της 23ης Οκτωβρίου 2019, σχετικά με την τρίτη ετήσια επανεξέταση της λειτουργίας της Ασπίδας Προστασίας Προσωπικών Δεδομένων. Πράγματι, στην εν λόγω έκθεση, αναφέρθηκε, μεταξύ άλλων, ότι ο αριθμός των οργανισμών εγκατεστημένων στις Ηνωμένες Πολιτείες που συμμετείχαν στην Ασπίδα Προστασίας Προσωπικών Δεδομένων και είχαν λάβει πλήρως αυτοματοποιημένες αποφάσεις ήταν περιορισμένος και ότι οι αποφάσεις που έλαβαν οι εν λόγω οργανισμοί γενικά δεν είχαν έννομα αποτελέσματα και δεν παρήγαγαν κανένα άλλο αποτέλεσμα έναντι των υποκειμένων των δεδομένων.

186     Τρίτον, πρέπει να σημειωθεί ότι, στα υπομνήματά του, ο αιτών δεν προσκόμισε κανένα στοιχείο που να υποδηλώνει ότι, μετά την εκπόνηση της μελέτης του 2018, οργανισμοί με έδρα τις Ηνωμένες Πολιτείες έλαβαν πλήρως αυτοματοποιημένες αποφάσεις και δεν εξήγησε επαρκώς νομικά γιατί η ανάπτυξη της τεχνητής νοημοσύνης θα καθιστούσε την εν λόγω μελέτη άνευ αντικειμένου.

187     Στο πλαίσιο αυτό, η δεύτερη αιτίαση του τετάρτου λόγου ακυρώσεως πρέπει να απορριφθεί και, ως εκ τούτου, ο εν λόγω λόγος ακυρώσεως στο σύνολό του.

5.       Επί του πέμπτου λόγου ακυρώσεως, που αφορά παράβαση του άρθρου 32 του ΓΚΠΔ, σε συνδυασμό με το άρθρο 45, παράγραφος 2, του ίδιου κανονισμού

188     Με τον πέμπτο λόγο ακυρώσεως, η προσφεύγουσα υποστηρίζει ότι η Επιτροπή παρέβη το άρθρο 32 του ΓΚΠΔ, σε συνδυασμό με το άρθρο 45, παράγραφος 2, του εν λόγω κανονισμού, καθόσον, στην προσβαλλόμενη απόφαση, έκρινε ότι οι Ηνωμένες Πολιτείες Αμερικής προσέφεραν επίπεδο προστασίας ουσιαστικά ισοδύναμο με αυτό που εγγυάται η Ευρωπαϊκή Ένωση όσον αφορά την εφαρμογή, από τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία που είναι εγκατεστημένοι στις Ηνωμένες Πολιτείες, επαρκών τεχνικών και οργανωτικών μέτρων για την κατοχύρωση της ασφάλειας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση προς τη χώρα αυτή.

189     Συναφώς, πρώτον, ο προσφεύγων υποστηρίζει ότι το σημείο II.4(α) του παραρτήματος 1 της προσβαλλόμενης απόφασης ορίζει απλώς ότι οι οργανισμοί CPD πρέπει να λαμβάνουν εύλογα και κατάλληλα μέτρα ασφαλείας αποκλειστικά όταν δημιουργούν, διατηρούν, χρησιμοποιούν ή διαδίδουν δεδομένα προσωπικού χαρακτήρα. Συνεπώς, δεν απαιτούνται μέτρα ασφαλείας όταν οι εν λόγω οργανισμοί συμβουλεύονται δεδομένα προσωπικού χαρακτήρα που προέρχονται από την Ένωση. Ο προσφεύγων υποστηρίζει, ωστόσο, ότι η διαβούλευση είναι μία από τις πράξεις που περιλαμβάνονται στην έννοια της «επεξεργασίας» δεδομένων προσωπικού χαρακτήρα του άρθρου 4, παράγραφος 2, του ΓΚΠΔ.

190     Δεύτερον, η προσφεύγουσα υποστηρίζει ότι το σημείο III.6(στ) του παραρτήματος 1 της προσβαλλόμενης απόφασης προβλέπει την υποχρέωση των οργανισμών που είναι εγκατεστημένοι στις Ηνωμένες Πολιτείες και εγκαταλείπουν την Επιτροπή Προστασίας Δεδομένων (ΕΠΔ) να συνεχίσουν να τηρούν τις αρχές που ορίζονται στην εν λόγω απόφαση, συμπεριλαμβανομένων εκείνων που αφορούν την ασφάλεια της επεξεργασίας, για όσο διάστημα αποθηκεύουν, χρησιμοποιούν ή αποκαλύπτουν δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ένωση στις Ηνωμένες Πολιτείες, αλλά δεν προβλέπει τέτοια υποχρέωση όταν οι ίδιοι αυτοί οργανισμοί συμβουλεύονται δεδομένα προσωπικού χαρακτήρα.

191     Η Επιτροπή, υποστηριζόμενη από την Ιρλανδία και τις Ηνωμένες Πολιτείες Αμερικής, αμφισβητεί τα επιχειρήματα του προσφεύγοντος.

192     Προκαταρκτικά, υπενθυμίζεται καταρχάς ότι οι όροι του άρθρου 32 του ΓΚΠΔ έχουν ως εξής:

«1. Λαμβάνοντας υπόψη την τρέχουσα κατάσταση της τεχνολογίας, το κόστος εφαρμογής και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους, η πιθανότητα και η σοβαρότητα των οποίων ποικίλλουν, για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας και ο εκτελών την επεξεργασία εφαρμόζουν κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίσουν επίπεδο ασφάλειας κατάλληλο για τον κίνδυνο, συμπεριλαμβανομένων, μεταξύ άλλων, κατά περίπτωση:

(α) ψευδωνυμοποίηση και κρυπτογράφηση δεδομένων προσωπικού χαρακτήρα·

(β) μέσα διασφάλισης της συνεχούς εμπιστευτικότητας, ακεραιότητας, διαθεσιμότητας και ανθεκτικότητας των συστημάτων και υπηρεσιών επεξεργασίας·

(γ) μέσα αποκατάστασης της διαθεσιμότητας και της πρόσβασης σε δεδομένα προσωπικού χαρακτήρα εντός κατάλληλων χρονικών πλαισίων σε περίπτωση φυσικού ή τεχνικού συμβάντος·

(δ) μια διαδικασία για την τακτική δοκιμή, ανάλυση και αξιολόγηση της αποτελεσματικότητας των τεχνικών και οργανωτικών μέτρων για την εξασφάλιση της ασφάλειας της επεξεργασίας.

2. Κατά την αξιολόγηση του κατάλληλου επιπέδου ασφάλειας, λαμβάνονται ιδιαίτερα υπόψη οι κίνδυνοι που ενέχει η επεξεργασία, ιδίως από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη αποκάλυψη ή πρόσβαση σε δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται, αποθηκεύονται ή υποβάλλονται σε επεξεργασία με άλλο τρόπο.

193     Στη συνέχεια, ο όρος «επεξεργασία», που εμφανίζεται στο άρθρο 32 του ΓΚΠΔ, ορίζεται στο άρθρο 4 παράγραφος 2 του ίδιου κανονισμού ως «κάθε πράξη ή σειρά πράξεων που εκτελείται σε δεδομένα προσωπικού χαρακτήρα ή σε σύνολα δεδομένων προσωπικού χαρακτήρα, με ή χωρίς τη χρήση αυτοματοποιημένων μέσων, όπως συλλογή, καταγραφή, οργάνωση, διάρθρωση, αποθήκευση, προσαρμογή ή τροποποίηση, ανάκτηση, αναζήτηση πληροφοριών, χρήση, κοινολόγηση με διαβίβαση, διάδοση ή κάθε άλλη διάθεση, συσχέτιση ή συνδυασμός, περιορισμός, διαγραφή ή καταστροφή».

194     Σύμφωνα με τη νομολογία, προκύπτει ιδίως από την έκφραση «οποιαδήποτε πράξη» στο άρθρο 4, παράγραφος 2, του ΓΚΠΔ ότι ο νομοθέτης της Ένωσης είχε την πρόθεση να προσδώσει στην έννοια της «επεξεργασίας» ευρύ πεδίο εφαρμογής, κάτι που επιβεβαιώνεται από τον μη εξαντλητικό χαρακτήρα, που εκφράζεται με τη φράση «όπως», των πράξεων που απαριθμούνται στην εν λόγω διάταξη (βλ. απόφαση της 7ης Μαρτίου 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, σκέψη 29 και την εκεί παρατιθέμενη νομολογία).

195     Τέλος, θα πρέπει να σημειωθεί ότι, μεταξύ των παραγόντων που η Επιτροπή πρέπει να λαμβάνει υπόψη όταν αξιολογεί, βάσει του άρθρου 45 παράγραφος 2 στοιχείο α) του ΓΚΠΔ, το επίπεδο προστασίας που προσφέρει μια τρίτη χώρα, είναι τα μέτρα ασφαλείας που εφαρμόζονται από την εν λόγω χώρα σχετικά με τα δεδομένα προσωπικού χαρακτήρα.

196     Στο πλαίσιο αυτό, είναι σκόπιμο να εξεταστούν από κοινού τα δύο επιχειρήματα που προέβαλε ο προσφεύγων προς υποστήριξη του παρόντος λόγου ακυρώσεως.

197     Συναφώς, υπενθυμίζεται ότι το σημείο II.4(α) του παραρτήματος 1 της προσβαλλόμενης απόφασης έχει ως εξής:

«Οι οργανισμοί που δημιουργούν, διαχειρίζονται, χρησιμοποιούν ή διαδίδουν δεδομένα προσωπικού χαρακτήρα οφείλουν να λαμβάνουν εύλογα και επαρκή μέτρα για την αποτροπή της απώλειας, της κακής χρήσης, της παράνομης πρόσβασης, της κοινολόγησης, της αλλοίωσης και της καταστροφής των εν λόγω δεδομένων, λαμβάνοντας δεόντως υπόψη τους κινδύνους που σχετίζονται με την επεξεργασία και τη φύση των δεδομένων προσωπικού χαρακτήρα.»

198     Επιπλέον, το σημείο III.6, στοιχείο στ), του παραρτήματος 1 της προσβαλλόμενης απόφασης έχει ως εξής:

«Ένας οργανισμός πρέπει να εφαρμόζει τις Αρχές σε όλα τα προσωπικά δεδομένα που λαμβάνει από την Ένωση βάσει του [DPC]. Η δέσμευση για την τήρηση των Αρχών δεν περιορίζεται χρονικά σε σχέση με τα προσωπικά δεδομένα που λαμβάνονται κατά την περίοδο κατά την οποία ο οργανισμός απολαμβάνει τα οφέλη του [DPC]. Η δέσμευσή του σημαίνει ότι θα συνεχίσει να εφαρμόζει τις Αρχές στα εν λόγω δεδομένα για όσο διάστημα τα αποθηκεύει, τα χρησιμοποιεί ή τα αποκαλύπτει, ακόμη και αν στη συνέχεια εγκαταλείψει το [DPC] για οποιονδήποτε λόγο.»

199     Συνεπώς, τα σημεία II.4(α) και III.6(στ) του παραρτήματος 1 της προσβαλλόμενης απόφασης δεν αφορούν καμία μορφή επεξεργασίας δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 4, παράγραφος 2, του ΓΚΠΔ. Αντιθέτως, αφενός, το πρώτο από τα σημεία αυτά περιορίζει την υποχρέωση των οργανισμών CPD να θεσπίζουν μέτρα ασφαλείας αποκλειστικά στις περιπτώσεις στις οποίες δημιουργούν, διαχειρίζονται, χρησιμοποιούν ή διαδίδουν δεδομένα προσωπικού χαρακτήρα. Αφετέρου, το δεύτερο από τα σημεία αυτά ορίζει ότι οι οργανισμοί που αποχωρούν από την CPD πρέπει να συνεχίσουν να εφαρμόζουν τις αρχές που ορίζονται στην προσβαλλόμενη απόφαση για όσο διάστημα αποθηκεύουν, χρησιμοποιούν ή αποκαλύπτουν δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση στις Ηνωμένες Πολιτείες.

200     Ωστόσο, καταρχάς, πρέπει να υπενθυμιστεί ότι, στις αποφάσεις Schrems I και Schrems II, το Δικαστήριο έκρινε ότι δεν ήταν απαραίτητο η τρίτη χώρα να διασφαλίσει έννομη προστασία πανομοιότυπη με αυτήν που κατοχυρώνεται στην έννομη τάξη της ΕΕ (βλ. σκέψεις 19 και 20 ανωτέρω). Συνεπώς, εάν, στην προσβαλλόμενη απόφαση, η Επιτροπή κρίνει ότι το δίκαιο των Ηνωμένων Πολιτειών που ίσχυε κατά τον χρόνο έκδοσης της εν λόγω απόφασης εγγυάται επίπεδο προστασίας ουσιαστικά ισοδύναμο με αυτό που προβλέπεται στο δίκαιο της ΕΕ, δεν είναι απαραίτητο η απόφαση αυτή να περιέχει ακριβώς τους ίδιους όρους με αυτούς που περιλαμβάνονται στον ΓΚΠΔ.

201     Δεύτερον, οι αρχές που ορίζονται στο σημείο II.4(α) του παραρτήματος 1 της προσβαλλόμενης απόφασης πρέπει να ερμηνευθούν υπό το πρίσμα των στοιχείων που αναφέρονται στην αιτιολογική σκέψη 23 της εν λόγω απόφασης, η οποία, όπως και το άρθρο 32 του ΓΚΠΔ, ορίζει τα εξής:

«Τα προσωπικά δεδομένα θα πρέπει επίσης να υποβάλλονται σε επεξεργασία κατά τρόπο που να διασφαλίζει την ασφάλειά τους, συμπεριλαμβανομένης της προστασίας από μη εξουσιοδοτημένη ή παράνομη επεξεργασία και από τυχαία απώλεια, καταστροφή ή ζημία. Για τον σκοπό αυτό, οι υπεύθυνοι επεξεργασίας και οι επεξεργαστές θα πρέπει να λαμβάνουν κατάλληλα τεχνικά ή οργανωτικά μέτρα για την προστασία των προσωπικών δεδομένων από πιθανές απειλές. Τα μέτρα αυτά θα πρέπει να αξιολογούνται λαμβάνοντας υπόψη την τρέχουσα κατάσταση της τεχνολογίας, το σχετικό κόστος και τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τους κινδύνους για τα δικαιώματα των ατόμων.»

202     Τρίτον, πρέπει να σημειωθεί ότι οι όροι «δημιουργώ», «διαχειρίζομαι», «χρησιμοποιώ» και «διαδίδω» στο σημείο II.4(α) του παραρτήματος 1 της προσβαλλομένης αποφάσεως και οι όροι «αποθήκευση», «χρησιμοποιώ» και «γνωστοποιώ» στο σημείο III.6(στ) του ίδιου παραρτήματος αποτελούν συγκεκριμένες εκδηλώσεις της πράξης που συνίσταται στην «επεξεργασία» δεδομένων προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 32 του ΓΚΠΔ, και ότι, όπως και το εν λόγω άρθρο, προορίζονται να καλύψουν ένα ευρύ φάσμα πράξεων που αφορούν δεδομένα προσωπικού χαρακτήρα.

203     Τέταρτον, ο όρος «χρήση», ο οποίος εμφανίζεται τόσο στο σημείο II.4(α) του παραρτήματος 1 της προσβαλλομένης αποφάσεως όσο και στο σημείο III.6(στ) του ίδιου παραρτήματος, ορίζεται ως η πράξη της χρήσης κάποιου πράγματος για συγκεκριμένο σκοπό ή χρήση. Υπό το πρίσμα αυτό, η χρήση δεδομένων προσωπικού χαρακτήρα περιλαμβάνει την αναζήτησή τους, δεδομένου ότι, εξ ορισμού, για να είναι δυνατή η χρήση δεδομένων, είναι απαραίτητο να υπάρχει πρόσβαση σε αυτά και, ως εκ τούτου, να γίνεται η ανάγνωσή τους. Συνεπώς, το επιχείρημα του προσφεύγοντος ότι δεν απαιτούνται μέτρα ασφαλείας στην προσβαλλομένη απόφαση όταν οι οργανισμοί συνεχιζόμενης επαγγελματικής ανάπτυξης ανατρέχουν σε δεδομένα προσωπικού χαρακτήρα που προέρχονται από την Ένωση είναι αβάσιμο.

204     Λαμβανομένων υπόψη όλων αυτών των στοιχείων, ο πέμπτος λόγος ακυρώσεως και, ως εκ τούτου, η προσφυγή στο σύνολό της πρέπει να απορριφθούν.

IV.     Κόστος

205     Κατά το άρθρο 134, παράγραφος 1, του Κανονισμού Διαδικασίας, ο ηττηθείς διάδικος καταδικάζεται στα δικαστικά έξοδα, εφόσον υπάρχει σχετικό αίτημα του νικήσαντος διαδίκου.

206     Δεδομένου ότι η Επιτροπή κατέληξε στο συμπέρασμα ότι ο προσφεύγων έπρεπε να καταδικαστεί και ο προσφεύγων ηττήθηκε, πρέπει να καταδικαστεί να φέρει, εκτός από τα δικά του δικαστικά έξοδα, και τα έξοδα στα οποία υποβλήθηκε η Επιτροπή, συμπεριλαμβανομένων των δικαστικών εξόδων ασφαλιστικών μέτρων.

207     Επιπλέον, σύμφωνα με το άρθρο 138, παράγραφος 1, του Κανονισμού Διαδικασίας, τα κράτη μέλη και τα θεσμικά όργανα που παρεμβαίνουν στη δίκη φέρουν τα δικαστικά τους έξοδα. Κατά συνέπεια, η Ιρλανδία φέρει τα δικαστικά της έξοδα.

208     Επιπλέον, σύμφωνα με το άρθρο 138, παράγραφος 3, του Κανονισμού Διαδικασίας, το Δικαστήριο μπορεί να διατάξει ότι ο παρεμβαίνων, εκτός από αυτούς που αναφέρονται στις παραγράφους 1 και 2 του εν λόγω άρθρου, φέρει τα δικά του δικαστικά έξοδα. Στην υπό κρίση υπόθεση, είναι σκόπιμο να διαταχθεί ότι οι Ηνωμένες Πολιτείες Αμερικής φέρουν τα δικά τους δικαστικά έξοδα.

Για αυτούς τους λόγους,

ΤΟ ΔΙΚΑΣΤΗΡΙΟ (Δέκατο Πεντάτμημα)

δηλώνει και διατάζει:

1)       Η έφεση απορρίπτεται.

2)       Ο κ. Philippe Latombe φέρει τα δικαστικά του έξοδα καθώς και τα έξοδα στα οποία υποβλήθηκε η Ευρωπαϊκή Επιτροπή, συμπεριλαμβανομένων των εξόδων στο πλαίσιο της διαδικασίας ασφαλιστικών μέτρων.

3)       Η Ιρλανδία φέρει τα δικαστικά της έξοδα.

4)       Οι Ηνωμένες Πολιτείες Αμερικής φέρουν τα δικά τους δικαστικά έξοδα.

Πόρχια

Γιάγκερ

Μάντις

Νίχουλ

Βερσούουρ

Δημοσιεύτηκε σε δημόσια συνεδρίαση στο Λουξεμβούργο στις 3 Σεπτεμβρίου 2025.

Ο υπάλληλος

Ο Πρόεδρος

Β. Ντι Μπούτσι

Ο. Πόρχια