Филип Латомб смята, че Data Protection Review Court не е нито безпристрастен, нито независим
Филип Латомб, френски гражданин и потребител на различни IT платформи, които събират личните му данни и ги прехвърлят в Съединените щати, поиска от Общия съд да отмени Решение за изпълнение (ЕС) 2023/1795 на Комисията от 10 юли 2023 година съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни в Рамката за защита на личните данни в отношенията между ЕС и САЩ (ОВ L 231, 2023 г. стр. 118)
Според г-н Латомб DPRC не е нито безпристрастен, нито независим, а зависим от изпълнителната власт.
Хартата на основните права на Европейския съюз1 и Договорът за функционирането на Европейския съюз2 (ДФЕС) утвърждават правото на всяко лице на защита на личните му данни. Въз основа на тези правни инструменти на Съюза и за д а се избегне компрометиране на нивото на защита, предоставено в рамките на Европейския съюз, вторичното законодателство на ЕС, 3 определя правилата, приложими за международното предаване на лични данни. В съответствие с тези правила, ако Европейската комисия счете, че дадена трета държава осигурява адекватно ниво на защита, предаването на лични данни към тази държава може да се извършва без допълнително разрешение, въз основа на решението за адекватно ниво на защита, прието от Комисията. Такава рамка, установена с решението за адекватно ниво на защита, прието от Комисията на 10 юли 2023 г. („обжалваното решение“)4, съществува между Европейския съюз и Съединените американски щати. В миналото, в решенията по делата Schrems I5 и Schrems II6, Съдът на ЕС обяви двете предишни решения относно адекватното ниво7, отнасящи се до Съединените щати, за невалидни, с мотива, че те не осигуряват ниво на защита на основните права и свободи, което е по същество еквивалентно на гарантираното от правото на ЕС.
На 7 октомври 2022 г. Съединените американски щати приеха Изпълнителна заповед8, която засили гаранциите за поверителност, регулиращи дейностите, извършвани от разузнавателните агенции, установени в Съединените щати. Тази заповед беше допълнена от Наредба на главния прокурор 9, която измени разпоредбите, уреждащи създаването и функционирането на Съда за преглед на защитата на данните (DPRC). След преглед на тези регулаторни развития в Съединените щати, Комисията прие обжалваното решение, с което се въвежда новата трансатлантическа рамка за потоците от лични данни между Европейския съюз и Съединените щати.
Г-н Латомб твърди, че практиката на разузнавателните агенции на САЩ да събират масово лични данни, идващи от Европейския съюз, без предварителното разрешение на съд или независим административен орган, не е достатъчно ясна и точна и следователно е незаконна.
Общият съд отхвърля иска за отмяна.
Що се отнася, на първо място, до Комисията за обществени въпроси (DPRC), Общият съд заявява, inter alia, че от преписката е видно, че назначаването на съдии в DPRC и функционирането на DPRC са съпътствани от няколко гаранции и условия, за да се гарантира независимостта на членовете му. Освен това, съдиите от DPRC могат да бъдат освобождавани от длъжност само от главния прокурор и само по основателна причина, а главният прокурор и разузнавателните служби не могат да възпрепятстват или неправомерно да влияят на работата им.
Общият съд отбелязва също, че съгласно обжалваното решение Комисията е длъжна да следи непрекъснато прилагането на правната рамка, на която се основава това решение. Следователно, ако действащата правна рамка в Съединените щати към момента на приемане на обжалваното решение се промени, Комисията може да реши, ако е необходимо, да спре, измени или отмени обжалваното решение или да ограничи обхвата му.
В светлината на тези съображения Общият съд отхвърля възражението, изведено от липсата на независимост на DPRC.
Що се отнася, на второ място, до събирането на лични данни в големи количества, Общият съд посочва по-специално, че в решението по дело Schrems II няма нищо, което да предполага, че това събиране задължително трябва да бъде предмет на предварително разрешение, издадено от независим орган. По-скоро от това решение е ясно, че решението, разрешаващо такова събиране, трябва най-малкото да подлежи на последващ съдебен контрол. В настоящия случай от преписката е видно, че съгласно законодателството на САЩ дейностите по signals intelligence activities, извършвани от разузнавателните агенции на САЩ, подлежат на последващ съдебен контрол от страна на DPRC. Следователно Общият съд установява, че не може да се счита, че събирането на лични данни в големи количества от американските разузнавателни агенции не отговаря на изискванията, произтичащи от Schrems II в това отношение, или че правото на САЩ не успява да гарантира ниво на правна защита, което е по същество еквивалентно на гарантираното от правото на ЕС.
В светлината на тези съображения Общият съд отхвърля възражението относно събирането на лични данни в големи количества и следователно отхвърля иска в неговата цялост.
1 Член 8(1) от Хартата.
2 Член 16(1) от ДФЕС.
3 Регламент (ЕС) 2016/679
4 Решение за изпълнение (ЕС) 2023/1795 на Комисията от 10 юли 2023 г. съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни съгласно Рамката за защита на данните между ЕС и САЩ.
5 Решение от 6 октомври 2015 г., Schrems (Schrems I) C-362/14 (вж. също Прессъобщение № 117/15).
6 Решение от 16 юли 2020 г., Facebook Ireland и Schrems (Schrems II), C-311/18 (вж. също Прессъобщение № 91/20).
7 Решение 2000/520/ЕО на Комисията от 26 юли 2000 г. съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, предоставяна от принципите за „сфера на неприкосновеност на личния живот“, и свързаните с тях често задавани въпроси, издадени от Министерството на търговията на САЩ; и Решение за изпълнение (ЕС) 2016/1250 на Комисията от 12 юли 2016 г. съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, предоставяна от Щита за личните данни между ЕС и САЩ.
8 Изпълнителна заповед 14086.
9 Регламент 28 CFR Част 201 на главния прокурор.