HvJ EU, 06-10-2015, nr. C-362/14

De overwegingen 2, 10, 56, 57, 60, 62 en 63 van richtlijn 95/46 zijn als volgt verwoord:

De artikelen 1, 2, 25, 26, 28 en 31 van de richtlijn 95/46 bepalen het volgende:

Beschikking 2000/520 is door de Commissie vastgesteld op grond van artikel 25, lid 6, van richtlijn 95/46.

De overwegingen 2, 5 en 8 van deze beschikking zijn als volgt verwoord:

De artikelen 1 tot en met 4 van beschikking 2000/520 luiden als volgt:

Bijlage I bij beschikking 2000/520 is als volgt verwoord:

Bijlage II bij beschikking 2000/520 is in de volgende bewoordingen opgesteld:

Bijlage IV bij beschikking 2000/520 luidt:

Op 27 november 2013 heeft de Commissie een mededeling aan het Europees Parlement en de Raad vastgesteld met als titel ‘Herstel van vertrouwen in de gegevensstromen tussen de EU en de VS’ [COM(2013) 846 final] [hierna: ‘mededeling COM(2013) 846 final’]. Deze mededeling ging vergezeld van een verslag met de ‘bevindingen van de medevoorzitters van de EU over de ad-hocwerkgroep Gegevensbescherming van de EU en de VS’ (‘Report on the Findings by the EU Co-chairs of the ad hoc EU-US Working Group on Data Protection’). Zoals blijkt uit punt 1 ervan was dit verslag in samenwerking met de Verenigde Staten van Amerika opgesteld nadat was gebleken dat er in dat land surveillanceprogramma's bestonden in het kader waarvan op grote schaal persoonsgegevens werden verzameld en verwerkt. Dit verslag bevatte onder meer een gedetailleerde analyse van de rechtsorde van de Verenigde Staten, in het bijzonder voor zover betrekking hebbend op de rechtsgrondslagen op grond waarvan dergelijke surveillanceprogramma's kunnen bestaan en de autoriteiten van de Verenigde Staten persoonsgegevens kunnen verzamelen en verwerken.

In punt 1 van mededeling COM(2013) 846 final heeft de Commissie verduidelijkt dat ‘de commerciële uitwisselingen […] het voorwerp [vormen] van beschikking [2000/520]. Deze beschikking biedt een rechtsbasis voor de doorgifte van persoonsgegevens vanuit de EU naar in de VS gevestigde ondernemingen die de veiligehavenbeginselen hebben onderschreven’. In datzelfde punt 1 is er de nadruk op gelegd op de persoonsgegevensstromen steeds belangrijker worden, met name als gevolg van het feit dat de digitale economie ‘de omvang, de kwaliteit, de diversiteit en de aard van gegevenswerkingsactiviteiten exponentieel [heeft] doen toenemen’.

In punt 2 van die mededeling merkt de Commissie op dat ‘de bezorgdheid over het niveau van de bescherming van in het kader van de veiligehavenregeling aan de [Verenigde Staten] doorgegeven gegevens van [burgers van de Unie is] toegenomen’ en dat ‘[h]et vrijwillige en declaratoire karakter van de regeling […] de aandacht voor de transparantie en de handhaving ervan [heeft] verscherpt’.

Daarnaast heeft zij in datzelfde punt 2 aangegeven dat ‘[d]e autoriteiten van de [Verenigde Staten] zich toegang [kunnen] verschaffen tot persoonsgegevens die op grond van de veiligehavenregeling naar de [Verenigde Staten] zijn gezonden en deze gegevens verder verwerken op een wijze die niet verenigbaar is met de gronden waarop de gegevens oorspronkelijk in de [Unie] werden verzameld en met de doeleinden waarvoor deze aan de [Verenigde Staten] werden doorgegeven’ en dat ‘[e]en meerderheid van de internetondernemingen in de [Verenigde Staten] waarop [de surveilance]programma's directer betrekking lijken te hebben, […] door zelfcertificering bij de veiligehavenregeling [is] aangesloten’.

In punt 3.2 van mededeling COM(2013) 846 final wijst de Commissie op een aantal zwakke punten in het functioneren van beschikking 2000/520. Daarbij vermeldt zij in de eerste plaats dat sommige van de gecertificeerde Amerikaanse bedrijven de in artikel 1, lid 1, van beschikking 2000/520 genoemde beginselen (hierna: ‘veiligehavenbeginselen’) niet in acht namen en dat de verbeteringen in die beschikking betrekking zouden moeten hebben op ‘de structurele tekortkomingen in verband met de transparantie en de handhaving, de materiële veiligehavenbeginselen en de werking van de uitzondering inzake de nationale veiligheid’. In de tweede plaats merkt zij op dat de ‘veilige haven […] ook [fungeert] als een kanaal voor de doorgifte van persoonsgegevens van [burgers van de Unie] vanuit de [Unie] aan de [Verenigde Staten] door ondernemingen die in het kader van de [Amerikaanse] programma's voor het verzamelen van inlichtingen verplicht zijn gegevens aan Amerikaanse inlichtingendiensten te verstrekken’.

In datzelfde punt 3.2 komt de Commissie tot de conclusie dat hoewel, ‘gelet op de geconstateerde zwakke punten[,] de huidige uitvoering van de veiligehavenbeschikking niet [kan] worden gehandhaafd, [de] intrekking ervan […] de belangen van aangesloten ondernemingen in de [Unie] en de [Verenigde Staten zou] schaden’. De Commissie voegt daar in datzelfde punt aan toe dat zij ‘met de autoriteiten van de [Verenigde Staten] in gesprek [zal] gaan over de vastgestelde tekortkomingen’.

Eveneens op 27 november 2013 heeft de Commissie de mededeling aan het Europees Parlement en de Raad betreffende de werking van de veiligehavenregeling (‘Safe Harbour’) uit het oogpunt van EU-burgers en in de EU gevestigde ondernemingen [COM(2013) 847 final] [hierna: ‘mededeling COM(2013) 847 final’], vastgesteld. Zoals volgt uit punt 1 van die mededeling was zij mede gebaseerd op informatie die werd verkregen in de EU-VS ad-hocwerkgroep en was zij een vervolg op de twee beoordelingsverslagen van de Commissie die in respectievelijk 2002 en 2004 zijn gepubliceerd.

In punt 1 van deze mededeling is verduidelijkt dat beschikking 2000/520 ‘berust op verbintenissen en zelfcertificering van deelnemende ondernemingen. Deze regeling wordt vrijwillig onderschreven, maar de regels zijn bindend voor ondernemingen die de regeling hebben onderschreven’.

Daarnaast volgt uit punt 2.2 van mededeling COM(2013) 847 final dat op 26 september 2013 het aantal gecertificeerde bedrijven 3 246 bedroeg en dat zij uit heel wat economische en dienstensectoren afkomstig waren. Deze ondernemingen verleenden voornamelijk diensten op de interne markt van de Unie, meer bepaald binnen de internetsector, en een deel daarvan waren ondernemingen uit de Unie met dochterondernemingen in de Verenigde Staten. Enkele van die ondernemingen verwerkten de gegevens van hun werknemers in Europa, waarna zij naar dat land werden doorgegeven in het kader van het personeelsbeheer.

In datzelfde punt 2.2 heeft de Commissie benadrukt dat ‘[e]lke leemte in transparantie of handhaving in de [Verenigde Staten] ertoe [leidde] dat de verantwoordelijkheid [kwam] te liggen bij de Europese gegevensbeschermingsautoriteiten en de ondernemingen die van de regeling gebruikmaken’.

Uit met name de punten 3 tot en met 5 en 8 van mededeling COM(2013) 847 final volgt dat een aanzienlijk aantal gecertificeerde ondernemingen de veiligehavenbeginselen in de praktijk niet of niet volledig in acht nam.

Voorts heeft de Commissie in punt 7 van die mededeling vermeld dat ‘[a]lle ondernemingen die betrokken zijn bij het PRISM-programma [programma voor de verzameling van gegevens op grote schaal] en die de autoriteiten van de [Verenigde Staten] toegang verlenen tot in de [Verenigde Staten] opgeslagen en verwerkte gegevens, […] bijvoorbeeld gecertificeerd [lijken] te zijn in het kader van de veilige haven’, waardoor die dus ‘een van de kanalen [is geworden] waarlangs de Amerikaanse inlichtingendiensten toegang hadden tot persoonsgegevens die oorspronkelijk in de [Unie] waren verwerkt’. In dat verband heeft de Commissie in punt 7.1. van mededeling COM(2013) 847 final geconstateerd dat ‘een aantal rechtsgrondslagen grootschalige verzameling en verwerking van persoonsgegevens […] die [zijn] opgeslagen of anderszins verwerkt door in de [Verenigde Staten] gevestigde ondernemingen [mogelijk maken]’ en dat ‘[h]et grootschalige karakter van deze programma's […] tot gevolg [kan] hebben dat meer gegevens die in het kader van de veilige haven zijn doorgegeven, door de Amerikaanse autoriteiten worden geraadpleegd en verder verwerkt dan strikt noodzakelijk is voor en evenredig is met de bescherming van de nationale veiligheid, zoals de uitzondering waarin [beschikking 2000/520] voorziet, bepaalt’.

In punt 7.2 van mededeling COM(2013) 847 final, met als opschrift ‘Beperkingen en rechtsmiddelen’, benadrukt de Commissie dat ‘de waarborgen waarin het recht van de [Verenigde Staten] voorziet, in de meeste gevallen beschikbaar [zijn] voor [burgers van de Verenigde Staten] of legaal in de [Verenigde Staten] verblijvende personen’ en dat ‘er noch voor betrokkenen uit de [Unie], noch voor betrokkenen uit de [Verenigde Staten], mogelijkheden [bestaan] om toegang te krijgen tot gegevens of om deze te verbeteren of te wissen of om een administratief of gerechtelijk beroep in te stellen tegen het verzamelen en verder verwerken van hun persoonsgegevens in het kader van Amerikaanse observatieprogramma's’.

Volgens punt 8 van mededeling COM(2013) 847 final behoorden ‘[i]nternetondernemingen zoals Google, Facebook, Microsoft, Apple of Yahoo’, die ‘honderden miljoenen klanten in Europa’ hebben en persoonsgegevens voor verwerking naar de Verenigde Staten doorgeven, tot de gecertificeerde ondernemingen.

In datzelfde punt 8 komt de Commissie tot de conclusie dat ‘de grootschalige toegang van inlichtingendiensten tot gegevens die aan de [Verenigde Staten] zijn doorgegeven door in het kader van de veilige haven gecertificeerde ondernemingen, nog meer serieuze vragen [doet] rijzen over de continuïteit van de gegevensbeschermingsrechten van Europeanen wanneer hun gegevens aan de [Verenigde Staten] worden doorgegeven’.

Om te beginnen moet eraan worden herinnerd dat richtlijn 95/46, doordat zij een regeling treft in verband met de verwerking van persoonsgegevens die afbreuk kan doen aan de fundamentele vrijheden, en inzonderheid aan het recht op eerbiediging van het privéleven, noodzakelijkerwijs moet worden uitgelegd op basis van de grondrechten die door het Handvest worden gewaarborgd (zie arresten Österreichischer Rundfunk e.a., C-465/00, C-138/01 en C-139/01, EU:C:2003:294, punt 68; Google Spain en Google, C-131/12, EU:C:2014:317, punt 68, en Ryneš, C-212/13, EU:C:2014:2428, punt 29).

Uit artikel 1 en de overwegingen 2 en 10 van richtlijn 95/46 volgt dat deze richtlijn niet alleen beoogt een doeltreffende en volledige bescherming van de grondrechten en fundamentele vrijheden van natuurlijke personen, en met name het grondrecht op eerbiediging van het privéleven, bij de verwerking van persoonsgegevens te waarborgen, maar ook een hoog niveau van bescherming van die grondrechten en fundamentele vrijheden. Het belang van zowel het grondrecht op eerbiediging van het privéleven, zoals gewaarborgd door artikel 7 van het Handvest, als het grondrecht op de bescherming van persoonsgegevens, zoals gewaarborgd door artikel 8 daarvan, is in de rechtspraak van het Hof benadrukt (zie arresten Rijkeboer, C-553/07, EU:C:2009:293, punt 47; Digital Rights Ireland e.a., C-293/12 en C-594/12, EU:C:2014:238, punt 53, en Google Spain en Google, C-131/12, EU:C:2014:317, punten, 53, 66 en 74 en aldaar aangehaalde rechtspraak).

Aangaande de bevoegdheden waarover de nationale toezichthouders ten aanzien van de doorgifte van persoonsgegevens naar derde landen beschikken, moet erop worden gewezen dat artikel 28, lid 1, van richtlijn 95/46 de lidstaten ertoe verplicht om een of meer autoriteiten in te stellen die worden belast met het toezicht, in volledige onafhankelijkheid, op de naleving van de regels van de Unie op het gebied van de bescherming van natuurlijke personen bij de verwerking van dergelijke gegevens. Dit vereiste vloeit tevens uit het primaire Unierecht voort, met name uit artikel 8, lid 3, van het Handvest en artikel 16, lid 2, VWEU (zie in die zin arresten Commissie/Oostenrijk, C-614/10, EU:C:2012:631, punt 36, en Commissie/Hongarije, C-288/12, EU:C:2014:237, punt 47).

De waarborg van onafhankelijkheid van de nationale toezichthoudende autoriteiten beoogt de doeltreffendheid en de betrouwbaarheid van het toezicht op de naleving van de bepalingen inzake de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens te verzekeren en moet tegen de achtergrond van deze doelstelling worden uitgelegd. Deze waarborg moet zorgen voor een betere bescherming van de personen en instanties waarop de beslissingen van deze autoriteiten betrekking hebben. Zoals erop is gewezen in overweging 62 van richtlijn 95/46 is de instelling van onafhankelijke toezichthoudende autoriteiten in de lidstaten dus van wezenlijk belang voor de eerbiediging van de bescherming van personen bij de verwerking van persoonsgegevens (zie arresten Commissie/Duitsland, C-518/07, EU:C:2010:125, punt 25, en Commissie/Hongarije C-288/12, EU:C:2014:237, punt 48 en aldaar aangehaalde rechtspraak).

Om deze bescherming te waarborgen, moeten de nationale toezichthoudende autoriteiten met name een juist evenwicht verzekeren tussen de naleving van het grondrecht op bescherming van de persoonlijke levenssfeer en de belangen die een vrij verkeer van persoonsgegevens noodzakelijk maken (zie arresten Commissie/Duitsland, C-518/07, EU:C:2010:125, punt 24, en Commissie/Hongarije C-288/12, EU:C:2014:237, punt 51).

Daartoe beschikken deze autoriteiten over een breed scala aan bevoegdheden. Deze bevoegdheden, die niet-uitputtend zijn opgesomd in artikel 28, lid 3, van richtlijn 95/46, vormen de middelen die voor de vervulling van hun taak nodig zijn, zoals is benadrukt in overweging 63 van deze richtlijn. Zo beschikken deze autoriteiten onder meer over onderzoeksbevoegdheden, zoals het recht alle inlichtingen in te winnen die voor de uitoefening van hun toezichthoudende taak noodzakelijk zijn, effectieve bevoegdheden om in te grijpen, zoals de bevoegdheid om een gegevensverwerking voorlopig of definitief te verbieden, alsmede de bevoegdheid om in rechte op te treden.

Het is juist dat uit artikel 28, leden 1 en 6, van richtlijn 95/46 volgt dat de bevoegdheden van de nationale toezichthoudende autoriteiten betrekking hebben op de verwerking van persoonsgegevens op het grondgebied van de lidstaat waaronder zij vallen, zodat zij op grond van dit artikel 28 niet beschikken over bevoegdheden ten aanzien van de verwerking van dergelijke gegevens op het grondgebied van een derde land.

De bewerking die bestaat in het doen doorgeven van persoonsgegevens vanuit een lidstaat naar een derde land vormt als zodanig echter een verwerking van persoonsgegevens in de zin van artikel 2, onder b), van richtlijn 95/46 (zie in die zin arrest Parlement/Raad en Commissie, C-317/04 en C-318/04, EU:C:2006:346, punt 56) die op het grondgebied van een lidstaat wordt verricht. Deze bepaling definieert ‘verwerking van persoonsgegevens’ immers als ‘elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés’ en noemt als voorbeelden ‘verstrekken door middel van doorzending, verspreiding of op enigerlei andere wijze ter beschikking stellen’.

In overweging 60 van richtlijn 95/46 is nader aangegeven dat doorgifte van persoonsgegevens naar derde landen slechts mogelijk is met volledige inachtneming van de bepalingen die de lidstaten hebben vastgesteld ter uitvoering van deze richtlijn. In dat verband is in hoofdstuk IV van die richtlijn, waarin de artikelen 25 en 26 zijn opgenomen, een regeling ingevoerd die beoogt een controle door de lidstaten van de doorgiften van persoonsgegevens naar derde landen te waarborgen. Deze regeling is een aanvulling op de algemene regeling van hoofdstuk II van die richtlijn, waarin de algemene voorwaarden voor de rechtmatigheid van verwerkingen van persoonsgegevens zijn opgenomen (zie in die zin arrest Lindqvist, C-101/01, EU:C:2003:596, punt 63).

Aangezien de nationale toezichthoudende autoriteiten ingevolge artikel 8, lid 3, van het Handvest en artikel 28 van richtlijn 95/46 belast zijn met het toezicht op de naleving van de regels van de Unie op het gebied van de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens, is elk van hen bevoegd om na te gaan of bij een doorgifte van persoonsgegevens naar een derde land vanuit de lidstaat waaronder zij valt, de vereisten van richtlijn 95/46 worden nageleefd.

Hoewel tegelijkertijd in overweging 56 van de richtlijn is erkend dat de doorgifte van persoonsgegevens vanuit de lidstaten naar derde landen noodzakelijk is voor de ontwikkeling van de internationale handel, is in artikel 25, lid 1, van richtlijn 95/46 als beginsel opgenomen dat een dergelijke doorgifte slechts mag plaatsvinden wanneer dat derde land waarborgen voor een passend beschermingsniveau biedt.

Voorts is in overweging 57 van genoemde richtlijn gepreciseerd dat doorgifte van persoonsgegevens naar een derde land dient te worden verboden indien daar geen passend beschermingsniveau wordt geboden.

Om de doorgifte van persoonsgegevens naar derde landen te toetsen aan de hand van het beschermingsniveau dat in elk van die landen wordt geboden, legt artikel 25 van richtlijn 95/46 een reeks verplichtingen aan de lidstaten en de Commissie op. Uit dit artikel volgt met name dat zowel de lidstaten als de Commissie kunnen constateren dat een derde land al dan niet waarborgen voor een passend beschermingsniveau biedt, zoals de advocaat-generaal er in punt 86 van zijn conclusie op heeft gewezen.

De Commissie kan op grond van artikel 25, lid 6, van richtlijn 95/46 een beschikking vaststellen waarbij zij constateert dat een derde land waarborgen voor een passend beschermingsniveau biedt. Een dergelijke beschikking is volgens de tweede alinea van die bepaling gericht tot de lidstaten, die de nodige maatregelen moeten nemen om zich naar die beschikking te voegen. Krachtens artikel 288, vierde alinea, VWEU is zij verbindend voor alle lidstaten tot wie zij is gericht, zodat zij ook verbindend is voor hun organen (zie in die zin arresten Albako Margarinefabrik, 249/85, EU:C:1987:245, punt 17, en Mediaset, C-69/13, EU:C:2014:71, punt 23), in die zin dat zij tot gevolg heeft dat de doorgifte van persoonsgegevens vanuit de lidstaten naar het daarin genoemde derde land wordt toegestaan.

Zolang de beschikking van de Commissie niet door het Hof ongeldig is verklaard, mogen de lidstaten en hun organen, waaronder de onafhankelijke toezichthoudende autoriteiten, dan ook geen maatregelen treffen die met deze beschikking in strijd zijn, zoals handelingen die tot doel hebben om dwingend vast te stellen dat het derde land waarop de beschikking ziet, geen waarborgen voor een passend beschermingsniveau biedt. De handelingen van de instellingen van de Unie worden immers in beginsel vermoed rechtmatig te zijn en dus rechtsgevolgen in het leven te roepen, zolang zij niet zijn ingetrokken, in het kader van een beroep tot nietigverklaring nietig zijn verklaard of ten gevolge van een prejudiciële verwijzing of een exceptie van onwettigheid ongeldig zijn verklaard (arrest Commissie/Griekenland, C-475/01, EU:C:2004:585, punt 18 en aldaar aangehaalde rechtspraak).

Een krachtens artikel 25, lid 6, van richtlijn 95/46 vastgestelde beschikking van de Commissie, zoals beschikking 2000/520, kan echter niet verhinderen dat personen van wie de persoonsgegevens zijn of zouden kunnen worden doorgegeven naar een derde land, zich tot de nationale toezichthoudende autoriteiten wenden met een verzoek in de zin van artikel 28, lid 4, van deze richtlijn met betrekking tot de bescherming van hun rechten en vrijheden in verband met de verwerking van deze gegevens. Ook kan een beschikking van die aard, zoals de advocaat-generaal er in de punten 61, 93 en 116 van zijn conclusie op heeft gewezen, de bevoegdheden waarover de nationale toezichthoudende autoriteiten volgens artikel 8, lid 3, van het Handvest en artikel 28 van de richtlijn beschikken, niet teniet doen of beperken.

Noch in artikel 8, lid 3, van het Handvest noch in artikel 28 van richtlijn 95/46 is het toezicht op de doorgifte van persoonsgegevens naar derde landen die voorwerp van een beschikking van de Commissie krachtens artikel 25, lid 6, van deze richtlijn is geweest, van de bevoegdheidssfeer van de nationale toezichthoudende autoriteiten uitgesloten.

Meer bepaald is in artikel 28, lid 4, eerste alinea, van richtlijn 95/46, dat bepaalt dat bij de nationale toezichthoudende autoriteiten door ‘eenieder […] een verzoek [kan worden ingediend] met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van persoonsgegevens’, niet voorzien in een uitzondering daarop voor het geval dat de Commissie een beschikking krachtens artikel 25, lid 6, van deze richtlijn heeft vastgesteld.

Voorts zou het in strijd zijn met het bij richtlijn 95/46 ingevoerde systeem en met de doelstelling van de artikelen 25 en 28 daarvan indien een krachtens artikel 25, lid 6, van richtlijn 95/46 vastgestelde beschikking van de Commissie tot gevolg zouden hebben dat een nationale toezichthoudende autoriteit niet zou mogen overgaan tot onderzoek van het verzoek van een persoon met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van zijn persoonsgegevens die vanuit een lidstaat zijn doorgegeven naar een derde land waarop die beschikking betrekking heeft.

Integendeel, artikel 28 van richtlijn 95/46 is alleen al op grond van de aard ervan op elke verwerking van persoonsgegevens van toepassing. Zelfs in het geval van een beschikking van de Commissie krachtens artikel 25, lid 6, van de richtlijn, zijn de nationale toezichthoudende autoriteiten waartoe een persoon zich heeft gewend met een verzoek met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van op hem betrekking hebbende persoonsgegevens, verplicht om in volledige onafhankelijkheid te onderzoeken of de doorgifte van die gegevens in overeenstemming is met de vereisten van die richtlijn.

Indien dit anders zou zijn, zou aan de personen van wie de persoonsgegevens naar het betrokken derde land zijn of zouden kunnen worden doorgegeven, het door artikel 8, leden 1 en 3, van het Handvest gewaarborgde recht worden ontzegd om zich met het oog op de bescherming van hun grondrechten tot de nationale toezichthoudende autoriteiten te wenden (zie naar analogie arrest Digital Rights Ireland e.a., C-293/12 en C-594/12, EU:C:2014:238, punt 68).

Een verzoek in de zin van artikel 28, lid 4, van richtlijn 95/46 waarbij, zoals in het hoofdgeding, een persoon van wie de persoonsgegevens naar een derde land zijn of zouden kunnen worden doorgegeven, stelt dat het recht en de praktijk in dat land in weerwil van een door de Commissie krachtens artikel 25, lid 6, van deze richtlijn vastgestelde beschikking geen waarborgen voor een passend beschermingsniveau bieden, moet in wezen zo worden opgevat dat daarmee de verenigbaarheid van die beschikking met het recht op een privéleven en de grondrechten en fundamentele vrijheden van personen aan de orde wordt gesteld.

In dat verband moet worden herinnerd aan de vaste rechtspraak van het Hof dat de Unie een door het recht beheerste unie is waarin de handelingen van de instellingen met name aan de Verdragen, de algemene rechtsbeginselen en de grondrechten worden getoetst (zie in die zin arresten Commissie e.a./Kadi, C-584/10 P, C-593/10 P en C-595/10 P, EU:C:2013:518, punt 66; Inuit Tapiriit Kanatami e.a./Parlement en Raad, C-583/11 P, EU:C:2013:625, punt 91, en Telefónica/Commissie, C-274/12 P, EU:C:2013:852, punt 56). De krachtens artikel 25, lid 6, van richtlijn 95/46 vastgestelde beschikkingen van de Commissie kunnen dus niet aan die toetsing ontsnappen.

Dit in aanmerking nemend, is het Hof als enige bevoegd om de ongeldigheid van een handeling van de Unie, zoals een krachtens artikel 25, lid 6, van richtlijn 95/46 vastgestelde beschikking van de Commissie, vast te stellen, waarbij de exclusiviteit van die bevoegdheid ertoe strekt de rechtszekerheid te waarborgen door het verzekeren van de uniforme toepassing van het Unierecht (zie arresten Melki en Abdeli, C-188/10 en C-189/10, EU:C:2010:363, punt 54, en CIVAD, C-533/10, EU:C:2012:347, punt 40).

Hoewel het juist is dat de nationale rechters de geldigheid van een Uniehandeling, zoals een krachtens artikel 25, lid 6, van richtlijn 95/46 vastgestelde beschikking van de Commissie, mogen onderzoeken, zijn zij echter niet bevoegd om zelf de ongeldigheid van een dergelijke handeling vast te stellen (zie in die zin arresten Foto-Frost, 314/85, EU:C:1987:452, punten 15-20, en IATA en ELFAA, C-344/04, EU:C:2006:10, punt 27). A fortiori zijn ook de nationale toezichthoudende autoriteiten niet bevoegd om in het kader van een onderzoek van een verzoek in de zin van artikel 28, lid 4, van deze richtlijn, inzake de verenigbaarheid van een krachtens artikel 25, lid 6, van de richtlijn vastgestelde beschikking van de Commissie met de bescherming van het privéleven en de grondrechten en fundamentele vrijheden van personen, zelf de ongeldigheid van een dergelijke beschikking vast te stellen.

Daaruit volgt dat wanneer een persoon van wie de persoonsgegevens zijn of zouden kunnen worden doorgegeven naar een derde land dat voorwerp is van een krachtens artikel 25, lid 6, van richtlijn 95/46 vastgestelde beschikking van de Commissie, zich tot een nationale toezichthoudende autoriteit wendt met een verzoek met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van die gegevens en met dat verzoek, zoals in het hoofdgeding, bestrijdt dat die beschikking verenigbaar is met de bescherming van het privéleven en de grondrechten en fundamentele vrijheden van personen, het aan die autoriteit staat om bedoeld verzoek met de nodige voortvarendheid en zorgvuldigheid te onderzoeken.

In het geval dat die autoriteit tot de conclusie komt dat de gegevens die ter ondersteuning van dat verzoek zijn overgelegd, grondslag missen en het verzoek daarom afwijst, moeten voor de indiener van dit verzoek de beroepswegen openstaan waarmee hij tegen deze voor hem nadelige beschikking kan opkomen, zoals volgt uit artikel 28, lid 3, tweede alinea, van richtlijn 95/46, gelezen in samenhang met artikel 47 van het Handvest. Gelet op de in de punten 61 en 62 van dit arrest aangehaalde rechtspraak, zijn de nationale rechters, wanneer zij van oordeel zijn dat een of meer door partijen aangevoerde of, in voorkomend geval, ambtshalve opgeworpen middelen van ongeldigheid van een handeling van de Unie gegrond zijn, verplicht de behandeling van de zaak te schorsen en bij prejudiciële verwijzing het Hof te verzoeken om beoordeling van de geldigheid (zie in die zin arrest T & L Sugars en Sidul Açúcares/Commissie, C-456/13 P, EU:C:2015:284, punt 48 en aldaar aangehaalde rechtspraak).

In het tegenovergestelde geval, wanneer bedoelde autoriteit van mening is dat de grieven van de persoon die zich tot haar heeft gewend met een verzoek met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van zijn persoonsgegevens, gegrond zijn, moet deze autoriteit ingevolge artikel 28, lid 3, eerste alinea, derde streep, van richtlijn 95/46, gelezen in samenhang met artikel 8, lid 3, van het Handvest, in rechte kunnen optreden. In dat verband staat het aan de nationale wetgever om in beroepsgangen te voorzien waarmee bedoelde autoriteit de grieven die zij gegrond acht aan de nationale rechter kan voorleggen, zodat die laatste, wanneer hij de twijfel ten aanzien van de geldigheid van de beschikking van de Commissie deelt, de vraag naar de geldigheid van die beschikking prejudicieel kan verwijzen.

Gelet op een en ander moet op de gestelde vragen worden geantwoord dat artikel 25, lid 6, van richtlijn 95/46, gelezen in samenhang met de artikelen 7, 8 en 47 van het Handvest, aldus moet worden uitgelegd dat een krachtens die bepaling vastgestelde beschikking, zoals beschikking 2000/520, waarbij de Commissie constateert dat een derde land waarborgen voor een passend beschermingsniveau biedt, er niet aan in de weg staat dat een toezichthoudende autoriteit van een lidstaat in de zin van artikel 28 van deze richtlijn overgaat tot het onderzoek van een verzoek van een persoon met betrekking tot de bescherming van zijn rechten en vrijheden in verband met de verwerking van op hem betrekking hebbende persoonsgegevens die vanuit een lidstaat naar dat derde land zijn doorgegeven, wanneer die persoon aanvoert dat het geldende recht en de praktijk in dat land geen waarborgen voor een passend beschermingsniveau bieden.

Zoals blijkt uit de toelichtingen van de verwijzende rechter bij de gestelde vragen, voert Schrems in het hoofdgeding aan dat het recht en de praktijk in de Verenigde Staten geen waarborgen voor een passend beschermingsniveau bieden in de zin van artikel 25 van richtlijn 95/46. Zoals de advocaat-generaal erop heeft gewezen in de punten 123 en 124 van zijn conclusie, uit Schrems twijfels, die deze rechter overigens in hoofdzaak blijkt te delen, met betrekking tot de geldigheid van beschikking 2000/520. In die omstandigheden moet, gelet op de vaststellingen in de punten 60 tot en met 63 van dit arrest en om de verwijzende rechter een volledig antwoord te geven, worden onderzocht of deze beschikking in overeenstemming is met de vereisten die voortvloeien uit die richtlijn, gelezen in samenhang met het Handvest.