Информация о Постановлении Суда ЕС (Большая палата) от 06.10.2015 по делу «Максимиллиан Шремс (Maximillian Schrems) против Уполномоченного по защите данных» (жалоба № C362/14)

По делу обжалуется передача персональных данных социальной сетью Facebook в США в рамках программы «Принципы обеспечения приватности».

Максимиллиан Шремс против Уполномоченного по защите данных (Maximillian Schrems v. Data Protection Commissioner) (жалоба № C362/14)

По материалам Постановления Суда Европейского Союза от 6 октября 2015 года (вынесено Большой Палатой)

---

<*> Перевод с английского и французского языков ООО «Развитие правовых систем» / Под ред. Ю.Ю. Берестнева (примеч. редактора).

По делу обжалуется передача персональных данных социальной сетью Facebook в США в рамках программы «Принципы обеспечения приватности».

Настоящее дело касается запроса Высокого суда Ирландии о вынесении предварительного постановления относительно толкования статей 25(6) и 28 Директивы о защите данных <*> и обоснованности Решения Комиссии Европейского союза от 26 июля 2000 г. <**>, касающегося вопроса об адекватности защиты данных, предоставляемой в Соединенных Штатах Америки (далее — Решение Комиссии).

---

<*> Директива 95/46/ЕС Европейского парламента и Совета Европейского союза от 24 октября 1995 г. о защите частных лиц в отношении обработки персональных данных и о свободном движении таких данных.

<**> Решение комиссии Европейского союза 2000/520/ЕС от 26 июля 2000 г. во исполнение Директивы 95/46/ЕС Европейского парламента и Совета Европейского союза об адекватности защиты, обеспечиваемой «Принципами обеспечения приватности» и связанных с ними часто задаваемыми вопросами Министерства торговли США.

Директива предусматривает, что персональные данные могут быть переданы государствам, которые не являются членами Европейского союза, только если они обеспечивают надлежащий уровень защиты данных. В своем Решении Комиссия Европейского союза установила, что адекватная защита должна быть обеспечена в случаях передачи данных в Соединенные Штаты Америки в соответствии с программой «Принципы обеспечения приватности», принятой в Министерстве торговли США 21 июля 2000 г., к которой организации США могут присоединиться на добровольной основе.

Истцом в ирландском разбирательстве выступил пользователь социальной сети Facebook, который был обеспокоен тем, что данные, которые он предоставил в Facebook, были переведены из вспомогательного сервера Facebook Ирландии на серверы, находящиеся в Соединенных Штатах Америки, о законе и практике которых, по его мнению, в свете разоблачений Эдварда Сноудена в 2013 году, касающихся деятельности американских спецслужб, нельзя сказать, что они предлагают достаточную защиту от контроля со стороны государственных органов.

Суд Европейского союза постановил, во-первых, что существование вывода в Решении Комиссии о том, что государство, не являющееся членом Европейского союза, обеспечивает адекватный уровень защиты переданных персональных данных, не может устранить или даже уменьшить полномочия внутригосударственных надзорных органов в рамках Хартии Европейского союза об основных правах (далее — Хартия) и Директивы. Тем не менее Суд Европейского союза обладает юрисдикцией самостоятельно объявлять акт Европейского союза, такой как Решение Комиссии, недействительным. Следовательно, в тех случаях, когда внутригосударственный орган власти или лицо, которое передает дело во внутригосударственный орган власти, считает, что Решение Комиссии является недействительным, то данный орган или лицо должны иметь возможность возбуждать дела во внутригосударственных судах, поэтому они могли бы передать дело в Суд Европейского союза, если у них есть сомнения в правомерности Решения Комиссии.

Что касается вопроса о правомерности Решения Комиссии, то Суд Европейского союза отметил, что, учитывая важность защиты персональных данных и большое количество лиц, основные права которых могут быть нарушены, усмотрение Комиссии относительно адекватности уровня защиты, обеспечиваемой третьей страной, сокращается, в результате чего проверка требований, следующих из статьи 25 Директивы, истолкованной в свете Хартии, должна быть узкой.

Решение Комиссии касалось лишь адекватности защиты согласно программе «Принципы обеспечения приватности». Без необходимости устанавливать, обеспечивают ли эти принципы уровень защиты, по существу эквивалентный тому, которая гарантируется в пределах Европейского союза, Суд Европейского союза отметил, что они применяются исключительно к самосертифицированным организациям США, получающим персональные данные из Европейского союза, и государственные органы Соединенных Штатов Америки не обязаны соблюдать их. Кроме того, национальная безопасность США, интересы общества и требования правоохранительной деятельности преобладают над «Принципами обеспечения приватности», и организации США обязаны игнорировать данные принципы в тех случаях, когда они противоречат указанным требованиям. Несмотря на потенциальное вмешательство в осуществление основных прав лиц, персональные данные которых могут быть переданы в Соединенные Штаты Америки, Решение Комиссии не содержит какого-либо вывода относительно существования правил, направленных на ограничение любого подобного вмешательства, или о наличии эффективной правовой защиты против такого вмешательства.

Обращаясь к вопросу об уровне защиты в рамках Европейского союза, Суд Европейского союза подчеркнул необходимость наличия четких и точных правил и достаточных гарантий против злоупотреблений, особенно в тех случаях, когда данные подвергаются автоматической обработке и существует значительный риск незаконного доступа к ним. Прежде всего отступления и ограничения в отношении защиты персональных данных применяются лишь постольку, поскольку они строго необходимы. Законодательство не ограничивается тем, что строго необходимо, в тех случаях, когда оно разрешает на обобщенной основе хранение персональных данных всех лиц, данные которых были перенесены из Европейского союза в Соединенные Штаты Америки без каких-либо дифференциаций, ограничений или исключений в свете преследуемой цели и без объективного критерия, по которому можно определять ограничения на доступ государственных органов к данным и последующего их использования. В частности, законодательство, разрешающее государственным органам доступ на обобщенной основе к содержанию сообщений по электронной почте, должно считаться компрометацией фундаментального права на уважение частной жизни. Аналогичным образом законодательство, не предоставляющее гражданину возможности применять средства правовой защиты для того, чтобы иметь доступ к персональным данным, относящимся к нему, или добиться исправления или уничтожения таких данных, не уважает суть фундаментального права на эффективную судебную защиту.

В целом Комиссия не указала в своем Решении, что Соединенные Штаты Америки фактически «обеспечили» адекватный уровень защиты в силу своего законодательства или своих международных обязательств. Следовательно, не имея необходимости исследовать содержание «Принципов обеспечения приватности», Решение 2000/520 не выполнило требования, изложенного в статье 25(6) Директивы, истолкованной с учетом Хартии, и, соответственно, оно является недействительным.

---