Przekazywanie z zastrzeżeniem odpowiednich zabezpieczeń (art. 46 RODO)

Art. 46 RODO znajduje się w rozdziale V rozporządzenia i, co za tym idzie, należy go interpretować w świetle art. 44  rozporządzenia nr 2016/679, który jest zatytułowany „Ogólna zasada przekazywania” i stanowi, że „[w]szystkie przepisy [tego] rozdziału należy stosować z myślą o zapewnieniu, by nie został naruszony stopień ochrony osób fizycznych zagwarantowany w [tym] rozporządzeniu”. Ten stopień ochrony powinien więc być zapewniony niezależnie od podstawy, na jakiej dokonywane jest przekazywanie danych osobowych do państwa trzeciego.

Przepisy rozdziału V RODO mają na celu zapewnienie ciągłości stopnia tej ochrony w sytuacji, gdy dane te są przekazywane do państwa trzeciego, zgodnie z celem określonym w motywie 6 tego rozporządzenia.

Choć art. 46 ust. 2 lit. c) RODO. nie wymienia poszczególnych czynników, które należy wziąć pod uwagę w celu dokonania oceny tego, czy stopień ochrony, jakiego należy przestrzegać w ramach takiego przekazania, jest odpowiedni, o tyle w art. 46 ust. 1 tego rozporządzenia wyjaśniono, że osoby, których dane dotyczą, powinny korzystać z odpowiednich zabezpieczeń oraz winny im przysługiwać egzekwowalne prawa oraz skuteczne środki ochrony prawnej.

Ocena stopnia ochrony, jaką należy przeprowadzić w kontekście takiego przekazania, powinna w szczególności uwzględniać zarówno postanowienia umowne uzgodnione między mającymi siedzibę w Unii administratorem danych lub podmiotem przetwarzającym a odbierającym dane podmiotem mającym siedzibę w danym państwie trzecim, jak i, w odniesieniu do ewentualnego dostępu organów władzy publicznej tego państwa trzeciego do przekazanych w ten sposób danych osobowych, istotne elementy składające się na jego system prawny. W tym względzie elementy, jakie należy wziąć pod uwagę w kontekście art. 46 tego rozporządzenia, odpowiadają tym przedstawionym w niewyczerpujący sposób w jego art. 45 ust. 2.

W związku z powyższym art. 46 ust. 1 i art. 46 ust. 2 lit. c) RODO należy interpretować w ten sposób, że wymagane przez te przepisy odpowiednie zabezpieczenia, egzekwowalne prawa oraz skuteczne środki ochrony prawnej powinny zapewniać, by prawa osób, których dane osobowe są przekazywane do państwa trzeciego na podstawie klauzul ochrony danych, były chronione w stopniu merytorycznie równoważnym temu gwarantowanemu w Unii przez to rozporządzenie, interpretowane w świetle karty. W tym celu w ramach oceny stopnia ochrony zapewnianego w kontekście takiego przekazywania należy w szczególności uwzględniać zarówno postanowienia umowne uzgodnione między mającymi siedzibę w Unii administratorem danych lub podmiotem przetwarzającym a podmiotem odbierającym dane mającym siedzibę w danym państwie trzecim, jak i, w odniesieniu do ewentualnego dostępu organów władzy publicznej tego państwa trzeciego do przekazywanych w ten sposób danych osobowych, istotne elementy składające się na jego system prawny, w szczególności te wymienione w art. 45 ust. 2 wspomnianego rozporządzenia.

Uprawnienia wykonawcze, które art. 46 ust. 2 lit. c) RODO przyznaje Komisji celem przyjęcia standardowych klauzul ochrony danych, nie przyznają jej kompetencji do ograniczania uprawnień przysługujących organom nadzorczym na podstawie art. 58 ust. 2 tego rozporządzenia (zob. analogicznie, w odniesieniu do art. 25 ust. 6 i art. 28 dyrektywy 95/46, wyrok z dnia 6 października 2015 r., Schrems, C-362/14). Wreszcie brzmienie motywu 5 decyzji wykonawczej 2016/2297 potwierdza to, że decyzja w sprawie klauzul standardowych „nie uniemożliwia […] organowi nadzorczemu wykonywania swoich uprawnień w zakresie kontroli przepływów danych, w tym uprawnienia do zawieszenia lub zakazu przekazywania danych osobowych, jeżeli stwierdzi on, że przekazywanie danych odbywa się z naruszeniem unijnych lub krajowych przepisów o ochronie danych”.

Przysługujące właściwemu organowi nadzorczemu uprawnienia muszą być w pełni wykonywane zgodnie z decyzją, w której Komisja stwierdza, w stosownym przypadku, w zastosowaniu art. 45 ust. 1 zdanie pierwsze RODO, iż określone państwo trzecie zapewnia odpowiedni stopień ochrony. W takim przypadku z art. 45 ust. 1 zdanie drugie tego rozporządzenia w związku z jego motywem 103 wynika bowiem, że przekazywanie danych osobowych do danego państwa trzeciego może mieć miejsce bez potrzeby uzyskania specjalnego zezwolenia.

Zgodnie z art. 288 akapit czwarty TFUE wydana przez Komisję decyzja stwierdzająca odpowiedni stopień ochrony jest w całości wiążąca dla wszystkich państw członkowskich, do których została skierowana, a zatem dla wszystkich ich organów w zakresie, w jakim stwierdza ona, że dane państwo trzecie zapewnia odpowiedni stopień ochrony i – efektem tego – dopuszcza takie przekazywanie danych (zob. analogicznie, w odniesieniu do art. 25 ust. 6 dyrektywy 95/46, wyrok z dnia 6 października 2015 r., Schrems, C-362/14).

Dopóki zatem Trybunał nie stwierdzi nieważności decyzji stwierdzającej odpowiedni stopień ochrony, dopóty państwa członkowskie i ich organy, w tym ich niezależne organy nadzorcze, nie mogą przyjmować środków sprzecznych z tą decyzją, takich jak akty zmierzające do stwierdzenia w sposób wiążący, że państwo trzecie, którego dotyczy dana decyzja, nie zapewnia odpowiedniego stopnia ochrony (wyrok z dnia 6 października 2015 r., Schrems, C‑362/14), i w konsekwencji do zawieszenia czy też zakazania przekazywania danych osobowych do tego państwa trzeciego.

Niemniej jednak decyzja Komisji przyjęta na podstawie art. 45 ust. 3 RODO nie uniemożliwia osobom, których dane osobowe zostały lub mogły zostać przekazane do państwa trzeciego, wniesienia do właściwego krajowego organu nadzorczego w zastosowaniu art. 77 ust. 1 RODO skargi dotyczącej ochrony ich praw i wolności w związku z przetwarzaniem tych danych. Podobnie decyzja tego rodzaju nie może zanegować ani ograniczyć kompetencji wyraźnie przyznanych krajowym organom nadzorczym w art. 8 ust. 3 karty oraz w art. 51 ust. 1 i art. 57 ust. 1 lit. a) tego rozporządzenia (zob. analogicznie, w odniesieniu do art. 25 ust. 6 i art. 28 dyrektywy 95/46, wyrok z dnia 6 października 2015 r., Schrems, C-362/14).

A zatem nawet w przypadku wydania przez Komisję decyzji stwierdzającej odpowiedni stopień ochrony właściwy krajowy organ nadzorczy, do którego dana osoba wniosła skargę dotyczącą ochrony jej praw i wolności w związku z przetwarzaniem dotyczących jej danych osobowych, powinien mieć możliwość zbadania w sposób całkowicie niezależny tego, czy przekazywanie tych danych spełnia wymogi ustanowione w RODO oraz, w odpowiednim przypadku, wniesienia do sądów krajowych skargi mającej na celu skierowanie przez te sądy, jeśli podzielą one wątpliwości tego organu co do ważności tej decyzji stwierdzającej odpowiedni stopień ochrony, odesłania prejudycjalnego mającego doprowadzić do przeanalizowania tej ważności (zob. analogicznie, w odniesieniu do art. 25 ust. 6 i art. 28 dyrektywy 95/46, wyrok z dnia 6 października 2015 r., Schrems, C-362/14).

W świetle powyższych art. 58 ust. 2 lit. f) i j) RODO należy interpretować w ten sposób, że – o ile nie istnieje ważna decyzja Komisji stwierdzająca odpowiedni stopień ochrony danych – właściwy organ nadzorczy jest zobowiązany do zawieszenia lub zakazania przekazywania danych do państwa trzeciego na podstawie standardowych klauzul ochrony danych przyjętych przez Komisję, jeżeli ten organ nadzorczy w świetle całokształtu okoliczności towarzyszących temu przekazywaniu uzna, że klauzule te nie są lub nie mogą być przestrzegane w tym państwie trzecim, a ochrona przekazywanych danych, jakiej wymaga prawo Unii, a w szczególności art. 45 i 46 RODO i karta, nie może być zapewniona za pomocą innych środków, jeśli to przekazywanie danych nie zostało zawieszone lub zakończone przez samego administratora lub podmiot przetwarzający z siedzibą w Unii.

Wyrok TSUE z dnia 16 lipca 2020 r., C-311/18

Standard: 84182 (pełna treść orzeczenia)