Tribunalens dom (tionde avdelningen i utökad sammansättning) den 3 september 2025

I mål T‑553/23,

TRIBUNALEN (tionde avdelningen i utökad sammansättning) sammansatt av ordföranden O. Porchia, samt domarna M. Jaeger (referent), L. Madise, P. Nihoul och S. Verschuur, justitiesekreterare: handläggaren I. Kurme,

med beaktande av beslutet av den 12 oktober 2023, Latombe/kommissionen (T‑553/23 R, ej publicerat, EU:T:2023:621),

efter den skriftliga delen av förfarandet,

efter muntlig förhandling den 1 april 2025

följande

Dom

I. Bakgrund till tvisten

II. Parternas yrkanden

III. Rättslig bedömning

A. Invändningen om rättegångshinder

B. Prövning i sak

1. Inledande synpunkter

2. Den tredje grunden: Åsidosättande av artikel 47 andra stycket i stadgan om de grundläggande rättigheterna och artikel 45.2 i dataskyddsförordningen

a) Den första anmärkningen i den tredje grunden: DPRC är inte en oavhängig och opartisk domstol

1) Det första argumentet: DPRC är inte en oavhängig och opartisk domstol, eftersom dess uppgift består i att ompröva beslut från Civil Liberties Protection Officer of the Director of National Intelligence

2) Det andra argumentet: DPRC är inte en oavhängig och opartisk domstol, eftersom det består av domare som utnämnts av justitieministern efter samråd med PCLOB

3) Det tredje argumentet: DPRC är inte en oavhängig och opartisk domstol, eftersom justitieministerns förordning inte utesluter möjligheten att DPRC:s domare kan utsättas för andra former av tillsyn än daglig tillsyn från den verkställande maktens sida

b) Den andra anmärkningen i den tredje grunden: DPRC är inte en domstol som har inrättats enligt lag

3. Den andra grunden: Åsidosättande av artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna.

a) Föremålet för den andra grunden

b) Den första anmärkningen i den andra grunden: Den underrättelseverksamhet som utförs enligt Section 702 FISA omfattas inte av de garantier som föreskrivs i E.O. 14086

c) Den andra anmärkningen i den andra grunden: E.O. 14086 kräver inte förhandstillstånd från en domstol eller en förvaltningsmyndighet för bulkinsamling av personuppgifter

1) Det första argumentet, grundat på domen i målet Schrems II

2) Det andra argumentet, grundat på domen av den 6 oktober 2020, La Quadrature du Net m.fl. (C‑511/18, C‑512/18 och C‑520/18)

3) Det tredje argumentet, grundat på Europadomstolens dom av den 25 maj 2021, Big Brother Watch m.fl. mot Förenade kungariket (CE:ECHR:2021:0525JUD005817013)

4) Det fjärde argumentet, grundat på Europeiska dataskyddsstyrelsens yttrande 5/2023

d) Den tredje anmärkningen i den andra grunden: E.O. 14086 ger Förenta staternas president befogenhet att godkänna en hemlig uppdatering av de särskilda målen för bulkinsamling

4. Den fjärde grunden: Åsidosättande av artikel 22 FEUF

a) Den första och den tredje anmärkningen i den fjärde grunden: Den omständigheten att helt automatiserade beslut i allmänhet fattas av personuppgiftsansvariga som, eftersom de är etablerade i unionen, omfattas av dataskyddsförordningen ger inte någon garanti i andra fall och den omständigheten att det i Förenta staternas lagstiftning fastställs sektoriellt skydd i fall där antagandet av helt automatiserade beslut inte omfattas av nämnda förordnings tillämpningsområde saknar relevans i förevarande fall

b) Den andra anmärkningen i den fjärde grunden: Den studie som kommissionen beställde år 2018, vilken visade att de fall där organisationer etablerade i Förenta staterna som anslutit sig till skölden för skydd av privatlivet hade antagit helt automatiserade beslut måste anses vara en restpost, saknar relevans i förevarande fall

5. Den femte grunden: Åsidosättande av artikel 32 i dataskyddsförordningen, jämförd med artikel 45.2 i samma förordning

IV. Rättegångskostnader

1 Sökanden, Philippe Latombe, har med stöd av artikel 263 FEUF yrkat ogiltigförklaring av kommissionens genomförandebeslut (EU) 2023/1795 av den 10 juli 2023 i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 om adekvat skydd av personuppgifter enligt ramen för dataskydd mellan EU och Förenta staterna (EUT L 231, 2023, s. 118) (nedan kallat det angripna beslutet).

2 Sökanden är en fransk medborgare som påstår sig använda olika IT‑plattformar som samlar in hans personuppgifter och överför dem till Förenta staterna.

3 Vad gäller överföringen av personuppgifter från Europeiska unionen till Förenta staterna ogiltigförklarade domstolen, i ett första led, genom dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650) (nedan kallad domen Schrems I), kommissionens beslut 2000/520/EG av den 26 juli 2000 enligt Europaparlamentets och rådets direktiv 95/46/EG om huruvida ett adekvat skydd säkerställs genom de principer om integritetsskydd (Safe Harbor Privacy Principles) i kombination med frågor och svar som Förenta staternas handelsministerium utfärdat (EGT L 215, 2000, s. 7).

4 I ett andra led ogiltigförklarade domstolen, genom dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559) (nedan kallad domen Schrems II), kommissionens genomförandebeslut (EU) 2016/1250 av den 12 juli 2016 enligt Europaparlamentets och rådets direktiv 95/46 om huruvida ett adekvat skydd säkerställs genom skölden för skydd av privatlivet i EU och Förenta staterna (EUT L 207, 2016, s. 1) (nedan kallat beslutet om skölden för skydd av privatlivet).

5 I domarna Schrems I och Schrems II fann domstolen – tvärtemot Europeiska kommissionens bedömning i de ovan i punkterna 3 och 4 nämnda besluten om adekvat skyddsnivå – efter en begäran om förhandsavgörande avseende dessa beslut giltighet, bland annat att systemet med Safe Harbor och systemet med skölden för skydd av privatlivet (nedan kallad skölden), vilka reglerar överföring av personuppgifter, inte garanterar en skyddsnivå för grundläggande fri- och rättigheter som är väsentligen likvärdig med den som garanteras i unionsrätten.

6 Till följd av domen Schrems II inledde kommissionen samtal med den amerikanska regeringen i syfte att fatta ett eventuellt nytt beslut om adekvat skyddsnivå som skulle uppfylla kraven i artikel 45.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen), såsom dessa har tolkats av EU-domstolen.

7 Den 7 oktober 2022 antog Amerikas förenta stater Executive Order 14086 (presidentdekret nr 14086) (nedan kallat E.O. 14086), som skärper de åtgärder för skydd av privatlivet som ska följas inom ramen för den signalspaningsverksamhet som utförs av underrättelsetjänster som är etablerade i Förenta staterna. Detta dekret kompletterades av Attorney General Order No. 5517–2022 (justitieministerns förordning nr 5517–2022, nedan kallad justitieministerns förordning), som införde Part 201 i Title 28 i Code of Federal Regulations (CFR). Genom Part 201 inrättas och regleras Data Protection Review Court (domstolen för granskning av uppgiftsskydd) (nedan kallad DPRC).

8 Efter att ha granskat denna utveckling av lagstiftningen i Förenta staterna antog kommissionen den 10 juli 2023, med stöd av artikel 45.3 i dataskyddsförordningen, det angripna beslutet, genom vilket den nya transatlantiska ramen för flöden av personuppgifter mellan unionen och Förenta staterna infördes. I artikel 1 i nämnda beslut anges att Amerikas förenta stater ska säkerställa en adekvat skyddsnivå för personuppgifter som överförs från EU till organisationer i Förenta staterna som ingår i förteckningen för ramen för dataskydd mellan EU och Förenta staterna (nedan kallad ramen för dataskydd), som upprätthålls och offentliggörs av Förenta USA:s handelsministerium (nedan kallade organisationer som omfattas av dataskyddsramen).

9 Sökanden har yrkat att tribunalen ska

10 Kommissionen, som stöds av Irland och Amerikas förenta stater, har yrkat att tribunalen ska

11 Genom särskild handling som inkom till tribunalens kansli den 1 december 2023 framförde kommissionen en invändning om rättegångshinder med stöd av artikel 130 i tribunalens rättegångsregler.

12 Kommissionen har gjort gällande att talan inte kan tas upp till prövning, eftersom sökanden saknar talerätt och saknar berättigat intresse av att få saken prövad, samt eftersom den del av det angripna beslutet som sökanden yrkar ogiltigförklaring av inte kan skiljas från beslutet i övrigt.

13 Sökanden har bestritt kommissionens argument och hävdat att talan kan tas upp till prövning.

14 Det ska erinras om unionsdomstolarna har befogenhet att bedöma huruvida en god rättskipning, mot bakgrund av omständigheterna i målet, motiverar att talan ogillas i sak, utan att först pröva huruvida talan kan tas upp till prövning (se, för ett liknande resonemang, dom av den 26 februari 2002, rådet/Boehringer, C‑23/00 P, EU:C:2002:118, punkterna 51 och 52).

15 Med hänsyn till omständigheterna i förevarande mål anser tribunalen således att talan, under alla omständigheter och av de skäl som anges i punkterna 16–204 nedan, är ogrundad. Av hänsyn till intresset av en god rättskipning ska det därför prövas huruvida talan är välgrundad, utan att det först prövas huruvida den kan tas upp till prövning (se, för ett liknande resonemang, dom av den 10 oktober 2014, Marchiani/parlamentet, T‑479/13, ej publicerad, EU:T:2014:866, punkt 23, och dom av den 20 december 2023, Naturstrom/kommissionen, T‑60/21, ej publicerad, EU:T:2023:839, punkt 74).

16 Sökanden har åberopat följande fem grunder till stöd för sin talan:

17 Vid förhandlingen återkallade sökanden den första grunden avseende åsidosättande av artiklarna 3 och 4 i förordning nr 1/1958. Det är således endast den andra till den femte grunden som ska prövas.

18 Det ska för det första påpekas att det i artikel 45.1 i dataskyddsförordningen föreskrivs att personuppgifter får överföras till ett tredjeland om kommissionen har beslutat att tredjelandet, ett territorium eller en eller flera specificerade sektorer i tredjelandet säkerställer en adekvat skyddsnivå. Denna bestämmelse ingår i kapitel V i förordningen, vilket, såsom domstolen har angett, övergripande syftar till att säkerställa kontinuiteten i den höga skyddsnivå för personuppgifter som garanteras i unionsrätten enligt denna förordning, när dessa uppgifter överförs till ett tredjeland (se, för ett liknande resonemang, domen Schrems II, punkt 93).

19 Domstolen har i detta avseende preciserat att uttrycket adekvat skyddsnivå i artikel 45.1 i dataskyddsförordningen, utan att detta innefattar ett krav på att det berörda tredjelandet ska säkerställa en skyddsnivå som är identisk med den som garanteras i unionens rättsordning, ska förstås så, att det krävs att detta tredjeland, genom sin interna lagstiftning eller på grund av de internationella förpliktelser som åligger landet, de facto säkerställer en nivå för skyddet av grundläggande fri- och rättigheter som är väsentligen likvärdig med den skyddsnivå som garanteras inom unionen enligt nämnda förordning, jämförd med stadgan om de grundläggande rättigheterna (se, för ett liknande resonemang, domen Schrems II, punkterna 94 och 162).

20 Domstolen har vidare slagit fast att även om de medel som detta tredjeland har tillgång till för att säkerställa en adekvat skyddsnivå för personuppgifter kan skilja sig från dem som används inom unionen för att säkerställa iakttagandet av de krav som följer av direktiv 95/46, jämförd med stadgan om de grundläggande rättigheterna, så måste dessa medel dock visa sig i praktiken kunna säkerställa ett skydd som är väsentligen likvärdigt med det skydd som garanteras inom unionen (domen Schrems I, punkt 74).

21 Domstolen har dessutom slagit fast att kommissionens utrymme för skönsmässig bedömning av huruvida den skyddsnivå som säkerställs i ett tredjeland är adekvat är begränsat, med hänsyn till den stora betydelse som skyddet för personuppgifter har för den grundläggande rätten till respekt för privatlivet och med hänsyn till det stora antal personer som riskerar att få sina grundläggande rättigheter kränkta vid en överföring av personuppgifter till ett tredjeland som inte säkerställer en adekvat skyddsnivå. Unionsdomstolen måste således göra en strikt kontroll huruvida ett beslut om adekvat skyddsnivå är lagenligt (domen Schrems I, punkt 78).

22 För det andra ska det erinras om att en unionsrättsakts lagenlighet enligt fast rättspraxis ska bedömas i förhållande till de faktiska och rättsliga omständigheter som förelåg vid tidpunkten då rättsakten antogs, vilket innebär att åtgärder som vidtagits efter det att ett beslut har antagits inte kan påverka dess giltighet (se dom av den 17 oktober 2019, Alcogroup och Alcodis/kommissionen, C‑403/18 P, EU:C:2019:870, punkt 45 och där angiven rättspraxis, och dom av den 28 januari 2021, Qualcomm och Qualcomm Europe/kommissionen, C‑466/19 P, EU:C:2021:76, punkt 82 och där angiven rättspraxis). I förevarande fall ska således kommissionens bedömningar av det angripna beslutets lagenlighet prövas enbart mot bakgrund av de uppgifter som kommissionen hade tillgång till när den gjorde dessa bedömningar.

23 Det är mot denna bakgrund som tribunalen ska pröva de grunder som sökanden har åberopat genom att först pröva den tredje grunden, därefter den andra grunden, därefter den fjärde grunden och slutligen den femte grunden.

24 Genom den tredje grunden har sökanden gjort gällande att kommissionen har åsidosatt artikel 47 andra stycket i stadgan om de grundläggande rättigheterna och artikel 45.2 i dataskyddsförordningen, eftersom kommissionen i det angripna beslutet fann att DPRC erbjöd en adekvat skyddsnivå vad gäller unionsmedborgarnas rätt till att få sin sak prövad inför en oavhängig och opartisk domstol som har inrättats enligt lag.

25 Det ska inledningsvis påpekas att artikel 47 andra stycket i stadgan om de grundläggande rättigheterna har följande lydelse:

26 Enligt förklaringarna avseende stadgan om de grundläggande rättigheterna (EUT C 303, 2007, s. 17) motsvarar artikel 47 andra stycket i stadgan artikel 6.1 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen). Sistnämnda bestämmelse har följande lydelse:

27 Det följer av rättspraxis att eftersom Europakonventionen, så länge som unionen inte har anslutit sig till den, inte utgör ett rättsligt instrument som formellt har införlivats med unionens rättsordning, ska giltigheten av en sekundärrättsakt endast prövas mot bakgrund av de grundläggande rättigheter som garanteras i stadgan om de grundläggande rättigheterna (dom av den 3 september 2015, Inuit Tapiriit Kanatami m.fl./kommissionen, C‑398/13 P, EU:C:2015:535, punkterna 45 och 46).

28 Det framgår emellertid av rättspraxis dels att enligt artikel 6.3 FEU ingår de grundläggande rättigheter som erkänns i Europakonventionen i unionsrätten som allmänna principer, dels att det följer av artikel 52.3 i stadgan om de grundläggande rättigheterna att rättigheterna i stadgan, som motsvarar sådana som garanteras av Europakonventionen, ska ha samma innebörd och räckvidd som i Europakonventionen (se dom av den 31 maj 2018, Korwin-Mikke/parlamentet, T‑770/16, EU:T:2018:320, punkt 38 och där angiven rättspraxis).

29 Av konsekvensskäl och utan att detta inkräktar på unionsrättens och Europeiska unionens domstols autonomi följer det av rättspraxis att de rättigheter i stadgan om de grundläggande rättigheterna som motsvarar dem som garanteras i Europakonventionen även ska tolkas mot bakgrund av rättspraxis från Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) (se, för ett liknande resonemang, dom av den 9 november 2023, Staatssecretaris van Justitie en Veiligheid (Begreppet allvarlig skada), C‑125/22, EU:C:2023:843, punkt 59, och dom av den 31 maj 2018, Korwin-Mikke/parlamentet, T‑770/16, EU:T:2018:320, punkt 38).

30 Av detta följer enligt rättspraxis att domstolen enligt artikel 52.3 i stadgan om de grundläggande rättigheterna ska se till att dess tolkning av artikel 47 andra stycket i stadgan garanterar en skyddsnivå som inte skiljer sig från den skyddsnivå som garanteras enligt artikel 6.1 i Europakonventionen, såsom den tolkats av Europadomstolen (se dom av den 6 oktober 2021, W.Ż (Högsta domstolens avdelning för extraordinär kontroll och offentliga angelägenheter – Tillsättning) ( C‑487/19, EU:C:2021:798, punkt 123 och där angiven rättspraxis).

31 Det bör också noteras att det i artikel 45.2 i dataskyddsförordningen föreskrivs att kommissionen, när den bedömer om skyddsnivån i ett tredjeland är adekvat, särskilt ska beakta

32 Det är mot bakgrund av dessa omständigheter som de två anmärkningar som sökanden har anfört till stöd för förevarande grund ska prövas.

33 Genom den första anmärkningen i den tredje grunden har sökanden gjort gällande att DPRC inte är en oavhängig och opartisk domstol, i den mening som avses i artikel 47 andra stycket i stadgan om de grundläggande rättigheterna, utan ett organ utanför domstolsväsendet som är avhängigt den verkställande makten.

34 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens yrkande.

35 Det ska inledningsvis påpekas att det följer av rättspraxis att kravet på oavhängiga domstolar – vilket är oupplösligt förbundet med rättskipningsuppdraget – är en del av kärninnehållet i rätten till ett effektivt domstolsskydd och till en rättvis rättegång, vilken är av vital betydelse för att garantera att samtliga rättigheter som enskilda tillerkänns enligt unionsrätten skyddas och att medlemsstaternas gemensamma värden som anges i artikel 2 FEU, däribland rättsstatsprincipen, upprätthålls (dom av den 15 juli 2021, kommissionen/Polen (Disciplinära förfaranden gentemot domare), C‑791/19, EU:C:2021:596, punkt 58 och där angiven rättspraxis). Enligt maktfördelningsprincipen, som är kännetecknande för hur en rättsstat fungerar, ska domstolarnas oavhängighet garanteras särskilt gentemot den lagstiftande och den verkställande makten (se dom av den 18 maj 2021, Asociația Forumul Judecătorilor din România m.fl., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 och C‑397/19, EU:C:2021:393, punkt 195 och där angiven rättspraxis).

36 I rättspraxis preciseras att kravet på domstolarnas oavhängighet omfattar två aspekter. Den första aspekten, som är extern, förutsätter att den aktuella domstolsinstansen fullgör sina uppgifter helt självständigt, utan att vara underställd någon annan och utan att ta emot order eller instruktioner från något håll. Den ska således vara skyddad mot yttre inblandning eller påtryckningar som kan äventyra dess ledamöters oberoende prövning och påverka deras avgöranden. Det andra aspekten, som är intern aspekt, sammanfaller med begreppet opartiskhet och handlar om att avståndet gentemot parterna och deras respektive intressen vad gäller saken i målet ska vara detsamma. Den aspekten fordrar att objektivitet iakttas och att organet inte har något eget intresse i lösningen på tvisten utöver tillämpningen av aktuella rättsregler (se dom av den 21 december 2021, Euro Box Promotion m.fl., C‑357/19, C‑379/19, C‑547/19, C‑811/19 och C‑840/19, EU:C:2021:1034, punkt 224 och där angiven rättspraxis).

37 De garantier för oavhängighet och opartiskhet som erfordras enligt unionsrätten förutsätter att det finns regler – särskilt vad gäller en domstols sammansättning, utnämningar, tjänsternas varaktighet och grunderna för medlemmarnas röstnedläggelse, jäv och återkallande av röst – som utesluter allt rimligt tvivel som enskilda rättssubjekt skulle kunna hysa beträffande domstolens pålitlighet i förhållande till yttre omständigheter och dess neutralitet i förhållande till de intressen som konfronteras (dom av den 15 juli 2021, kommissionen/Polen (Disciplinära förfaranden gentemot domare), C‑791/19, EU:C:2021:596, punkt 59 och där angiven rättspraxis).

38 Det är mot denna bakgrund som tribunalen ska pröva de tre argument som sökanden har anfört till stöd för förevarande anmärkning.

39 Genom sitt första argument har sökanden i huvudsak gjort gällande att DPRC inte är en oavhängig och opartisk domstol, eftersom dess uppgift består i att ompröva beslut från Civil Liberties Protection Officer of the Director of National Intelligence (tjänsteman med ansvar för skyddet av medborgerliga friheter hos Director of National Intelligence i Förenta staterna) (nedan kallad CLPO), som är knuten till Office of the Director of National Intelligence (nedan kallat ODNI).

40 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens argument.

41 För tydlighetens skull ska det preciseras att det första argumentet i den tredje grundens första anmärkning ska tolkas så, att sökanden anser att CLPO:s verksamhet vid handläggningen av ett klagomål avseende personuppgifter som ingetts av en registrerad i unionen som önskar göra gällande en överträdelse av Förenta staternas lagstiftning om signalspaningsverksamhet som skadar dennes intressen i fråga om skydd för privatlivet och medborgerliga fri- och rättigheter (nedan kallat klagomål avseende personuppgifter) inte omgärdas inte av tillräckliga garantier för att säkerställa denne tjänstemans oberoende, eftersom denne är knuten till ODNI. Sökanden anser vidare att DPRC inte är en oavhängig och opartisk domstol, eftersom de garantier som uppställs avseende CLPO:s verksamhet inte är tillräckliga.

42 Det ska inledningsvis påpekas att prövningen av garantierna för CLPO:s oberoende saknar relevans för bedömningen av huruvida DPRC utgör en oavhängig och opartisk domstol. DPRC har nämligen inrättats som ett oberoende tillsynsorgan för CLPO. Såsom framgår av skäl 184 i det angripna beslutet kan den person som har ingett klagomål avseende personuppgifterna och varje organ inom underrättelsetjänsterna begära omprövning av CLPO:s beslut vid DPRC, varvid flera garantier har föreskrivits i E.O. 14086 för att CLPO:s beslut, på ett oberoende och opartiskt sätt, ska kunna omprövas och, i förekommande fall, ändras av DPRC.

43 För det första framgår det av skälen 185 och 186 i det angripna beslutet, utan att sökanden har bestritt detta, att DPRC består av minst sex domare som utses av Attorney General (justitieministern, Förenta staterna) (nedan kallad justitieministern), efter samråd med Privacy and Civil Liberties Oversight Board (styrelsen för tillsyn av personlig integritet och medborgerliga fri- och rättigheter, Förenta staterna) (nedan kallad PCLOB) hos Secretary of Commerce (handelsministern, Förenta staterna) och Director of National Intelligence (nedan kallad DNI), för en period på fyra år med möjlighet till förlängning, med tillämpning av samma kriterier som gäller för federala domare och med beaktande av deras tidigare domstolserfarenhet. Dessutom måste domarna vara rättstillämpare, det vill säga aktiva medlemmar med god ställning i advokatsamfundet som har vederbörlig licens att utöva juristyrket, och ha lämplig erfarenhet av integritetslagstiftning och nationell säkerhetslagstiftning. Justitieministern måste dessutom sträva efter att säkerställa att minst hälften av domarna vid varje given tidpunkt har tidigare domstolserfarenhet, vidare måste alla domare ha säkerhetsgodkännande för att kunna få tillgång till säkerhetsskyddsklassificerade nationella säkerhetsuppgifter. Endast personer som uppfyller ovannämnda kvalifikationer och som inte är anställda inom den verkställande makten vid tidpunkten för deras utnämning eller under de föregående två åren kan utnämnas till DPRC. På samma sätt får domarna i DPRC under sin ämbetstid inte inneha något officiellt ämbete eller någon tjänst i Förenta staternas regering.

44 För det andra framgår det av skälen 188 och 189 i det angripna beslutet, utan att sökanden har bestritt detta, att CLPO:s beslut omprövas i sin helhet av en panel bestående av tre domare vid DPRC, vilka är biträdda av ett särskilt ombud. Vid denna omprövning grundar sig DPRC emellertid inte enbart på de handlingar som CLPO har tillhandahållit, utan även på de upplysningar och yttranden som lämnats av klaganden, det särskilda ombud som bistår domarna i DPRC och underrättelsetjänsterna samt, i förekommande fall, på de ytterligare upplysningar som DPRC har begärt under handläggningen av klagomålet avseende personuppgifterna. Vid denna omprövning ska DPRC dessutom tillämpa relevant rättspraxis från Supreme Court of the United States (Förenta staternas högsta domstol).

45 För det tredje framgår det av skälen 190 och 191 i det angripna beslutet, utan att sökanden har bestritt detta, att DPRC har befogenhet att ändra beslut, att DPRC inte är bunden av CLPO:s beslut och att DPRC, för det fall den inte är enig med CLPO, kan fatta ett eget beslut om klagomålet avseende personuppgifterna. Dessutom är detta beslut, oavsett vilket beslut som fattas av DPRC, bindande och slutgiltigt. Både underrättelsetjänsterna och Förenta staternas regering är således skyldiga att följa DPRC:s beslut.

46 Av det ovan anförda följer att de garantier som föreskrivs i E.O. 14086 vad gäller DPRC:s funktion och befogenheter möjliggör en oberoende och opartisk omprövning av de beslut som CLPO fattar. Sökanden kan således inte med framgång hävda att de garantier som är tillämpliga på CLPO är otillräckliga på ett sätt som påverkar DPRC:s oberoende och opartiskhet.

47 Vad gäller påståendet att de garantier som syftar till att säkerställa CLPO:s oberoende är otillräckliga, ska följande påpekas.

48 Det ska påpekas, såsom framgår av skälen 176–181 i det angripna beslutet, utan att sökanden har bestritt detta, att E.O. 14086, kompletterad med justitieministerns förordning, har inrättat en särskild mekanism för överklagande för att behandla klagomål avseende personuppgifter. Klagomålet ska inges till den tillsynsmyndighet i varje medlemsstat som ansvarar för tillsynen av behandlingen av personuppgifter och som därefter vidarebefordrar klagomålet till CLPO, under förutsättning att klagomålet innehåller de uppgifter som anges i punkt 178 i det angripna beslutet, det vill säga information om de personuppgifter som rimligen kan antas ha överförts till Förenta staterna och de sätt på vilka de ansågs ha överförts, identiteterna för de amerikanska statliga enheter som anses vara inblandade i den påstådda överträdelsen (om de är kända), grunden för att hävda att en överträdelse av amerikansk rätt har ägt rum (även om detta inte heller kräver uppvisande av att personuppgifter faktiskt samlades in av amerikanska underrättelsemyndigheter) och vilken åtgärd som begärs ska vidtas. CLPO ska i detta sammanhang fastställa huruvida underrättelsetjänsterna har brutit mot tillämplig amerikansk rätt och, om så är fallet, förelägga dem att vidta korrigerande åtgärder. CLPO:s beslut avseende klagomålet är bindande.

49 I skäl 179 i det angripna beslutet angav kommissionen visserligen att CLPO är en del av ODNI och att CLPO, utöver sin särskilda behörighet att pröva klagomål avseende personuppgifter, mer allmänt är skyldig att säkerställa att skyddet för medborgerliga fri- och rättigheter och för privatlivet på lämpligt sätt integreras i ODNI:s och underrättelsetjänsternas politik och förfaranden och att se till att dessa uppfyller tillämpliga krav i fråga om skydd av privatlivet och medborgerliga fri- och rättigheter. Det ska emellertid noteras att det i E.O. 14086, såsom anges i detta skäl, för att säkerställa att CLPO är oberoende, föreskrivs att CLPO kan endast avsättas av DNI på grund av sakförhållanden, det vill säga vid försummelse, missförhållanden, säkerhetsöverträdelser, försummelse av plikt eller oförmåga. Vidare är det, såsom framgår av skäl 180 i det angripna beslutet, förbjudet för underrättelsetjänsterna och DNI att på ett otillbörligt sätt hindra eller påverka CLPO:s arbete, som vid prövningen av klagomålet avseende personuppgifter ska tillämpa lagen opartiskt, med beaktande av både nationella säkerhetsintressen och integritetsskydd.

50 Under dessa omständigheter ska detta argument underkännas.

51 Genom sitt andra argument har sökanden i huvudsak gjort gällande att DPRC inte är en oavhängig och opartisk domstol, eftersom den består av domare som utses av justitieministern efter samråd med PCLOB, som är ett organ som är beroende av den verkställande makten.

52 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens argument.

53 För det första framgår det av skäl 110 i det angripna beslutet att PCLOB är ett oberoende organ som inrättats inom den verkställande makten. PCLOB:s oberoende framgår särskilt av dess sammansättning. PLCOB består nämligen av en partiöverskridande styrelse, bestående av fem ledamöter som utses av Förenta staternas president, med senatens godkännande, för en fast mandatperiod på sex år. Nämnda styrelseledamöter ska utses på grundval av deras yrkeskvalifikationer, prestationer, offentliga ställning, sakkunskap om integritetsskydd och medborgerliga friheter och deras relevanta erfarenhet, utan hänsyn till politisk tillhörighet. Under inga omständigheter får fler än tre styrelseledamöter tillhöra samma politiska parti. En person som utses till ledamot i PCLOB får inte, så länge dennes mandat varar, vara vald ämbetsman, tjänsteman eller anställd vid den federala regeringen annat än i egenskap av ledamot i denna styrelse.

54 Härav följer att PCLOB, trots att detta organ har inrättats inom ramen för den verkställande makten, genom sin stadga har utformats som ett oberoende organ vars uppgift är att på ett opartiskt sätt övervaka den verkställande maktens arbete för att bland annat skydda personlig integritet och de medborgerliga fri- och rättigheterna. Såsom anges i skäl 194 i det angripna beslutet, utan att sökanden har bestritt detta, ska PCLOB varje år kontrollera om CLPO och DPRC har handlagt de ärenden som mottagits inom den föreskrivna fristen, om CLPO och DPRC har haft tillgång till all nödvändig information, om de har beaktat alla garantier som föreskrivs i E.O. 14086 och om underrättelsetjänsterna har följt CLPO:s och DPRC:s beslut. Efter denna kontroll ska PCLOB offentligt intyga att CLPO och DPRC har iakttagit dessa garantier. Dessutom ska PCLOB rapportera till Förenta staternas president, justitieministern, DNI, cheferna för underrättelsetjänsterna, CLPO och underrättelseutskotten vid United States Congress (Förenta staternas kongress). Rapporten ska offentliggöras i en icke‑sekretessbelagd version. Justitieministern, DNI, CLPO och cheferna för underrättelsetjänsterna är skyldiga att genomföra alla rekommendationer i rapporten.

55 Under dessa omständigheter kan den omständigheten att PCLOB inrättades inom den verkställande makten inte i sig leda till slutsatsen att DPRC inte är en oberoende och opartisk domstol, av det enda skälet att den verkställande makten rådfrågades innan domarna i DPRC utsågs.

56 För det andra ska det noteras att det i E.O. 14086, för att säkerställa att domarna vid DPRC är oavhängiga i förhållande till den verkställande makten, föreskrivs att justitieministern vid utnämningen ska iaktta de kriterier och villkor som anges i punkt 43 ovan. Såsom framgår av skäl 187 i det angripna beslutet kan DPRC:s domare dessutom endast avsättas av justitieministern och endast på grund av sakförhållanden, närmare bestämt försummelse, missförhållanden, säkerhetsöverträdelser, försummelse av plikt eller oförmåga, efter att vederbörligen ha beaktat de normer som gäller för federala domare i enlighet med reglerna om domaretik och jäv.

57 Av detta följer att bestämmelserna om utnämning och entledigande av domare i DPRC inte kan påverka detta organs oavhängighet och opartiskhet.

58 För det tredje ska det påpekas att kommissionen enligt artikel 3.1 i det angripna beslutet är skyldig att fortlöpande övervaka tillämpningen av den rättsliga ram som beslutet grundar sig på, inbegripet de villkor enligt vilka vidare överföring genomförs, individuella rättigheter utövas och amerikanska myndigheter får tillgång till de personuppgifter som överförs på grundval av detta beslut, i syfte att bedöma om Förenta staterna fortsatt säkerställer en adekvat skyddsnivå. Enligt punkt 5 i nämnda artikel ska kommissionen, när den förfogar över uppgifter som tyder på att en adekvat skyddsnivå inte längre kan säkerställas, underrätta de amerikanska myndigheterna om detta och vid behov besluta att återkalla, ändra eller upphäva det angripna beslutet eller begränsa dess tillämpningsområde. Av detta följer att kommissionen visserligen ansåg att den rättsliga ram som var i kraft i Förenta staterna vid tidpunkten för antagandet av det angripna beslutet innebär att DPRC erbjöd ett rättsligt skydd som i allt väsentligt motsvarar det som garanteras genom unionsrätten, men ändå förbehöll sig rätten att vid behov besluta att återkalla, ändra eller upphäva det angripna beslutet eller begränsa dess tillämpningsområde.

59 Mot bakgrund av det ovan anförda kan detta argument inte godtas.

60 Genom sitt tredje argument har sökanden i huvudsak gjort gällande att DPRC inte är en oavhängig och opartisk domstol, eftersom justitieministerns förordning inte utesluter möjligheten att DPRC:s domare kan utsättas för andra former av tillsyn än daglig tillsyn från den verkställande maktens sida.

61 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens argument.

62 Det ska noteras att även om det framgår av handlingarna i målet att domarna i DPRC enligt Part 201.7 d i justitieministerns förordning inte ska stå under justitieministerns dagliga tillsyn, anges det även i skäl 187 i det angripna beslutet att underrättelsetjänsterna och justitieministern enligt E.O. 14086 inte på ett otillbörligt sätt får hindra eller påverka DPRC:s arbete. Det framgår dessutom av handlingarna i målet att E.O. 14086 och justitieministerns förordning begränsar den verkställande maktens möjlighet att påverka DPRC:s arbete genom att fastställa att DPRC:s domare endast kan avsättas av justitieministern och endast av de skäl som anges i punkt 56 ovan.

63 I detta sammanhang kan detta argument inte godtas och talan kan således inte vinna bifall såvitt avser någon del av den första anmärkningen i den tredje grunden.

64 Genom den andra anmärkningen i den tredje grunden har sökanden gjort gällande att DPRC inte har inrättats enligt lag, i den mening som avses i artikel 47 andra stycket i stadgan om de grundläggande rättigheterna, eftersom DPRC inte har inrättats genom en lag som antagits av Förenta staternas kongress, utan genom en rättsakt från den verkställande makten, nämligen ett beslut av justitieministern.

65 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens yrkande.

66 För det första framgår det av EU-domstolens praxis, som utvecklats mot bakgrund av Europadomstolens praxis avseende artikel 6.1 i Europakonventionen (Europadomstolen, 1 december 2020, Guðmundur Andri Ástráðsson mot Island, CE:ECHR:2020:1201JUD002637418, § 231 och § 233), att även om rätten att ha tillgång till en domstol som har inrättats enligt lag utgör en självständig rättighet, så har denna rätt ett mycket nära samband med de garantier för oavhängighet och opartiskhet som föreskrivs i samma bestämmelse. Detta innebär närmare bestämt att trots det faktum att vart och ett av de krav som följer av dessa begrepp har ett exakt mål som gör att de utgör olika specifika garantier för en rättvis rättegång, så syftar de alla till iakttagandet av samma grundläggande principer om att den offentliga makten ska utövas under lagarna samt att maktfördelningsprincipen ska råda. Vart och ett av dessa krav finner sin grund i att det är oundgängligt att bevara enskilda rättssubjekts förtroende för domstolsväsendet och att domstolsväsendet är oavhängigt gentemot andra delar av statsmakten (se dom av den 22 februari 2022, Openbaar Ministerie (Domstol som inrättats enligt lag i den utfärdande medlemsstaten), C‑562/21 PPU och C‑563/21 PPU, EU:C:2022:100, punkt 56 och där angiven rättspraxis, och dom av den 29 mars 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, punkt 117 och där angiven rättspraxis).

67 Domstolen har även preciserat, med hänvisning till Europadomstolens praxis (Europadomstolen, 8 juli 2014, Biagioli mot San Marino, CE:ECHR:2014:0708DEC000816213, § 72–74; se även Europadomstolen, 2 maj 2019, Pasquini mot San Marino, CE:ECHR:2019:0502JUD005095616, § 100 och § 101 och där angiven rättspraxis), att uttrycket inrättats enligt lag syftar till att undvika att organisationen av domstolsväsendet överlåts till den verkställande maktens fria skön, och ska säkerställa att detta område regleras av en lag som antas av den lagstiftande makten på ett sätt som är förenligt med de bestämmelser som reglerar utövandet av dess behörighet. Detta uttryck återspeglar på detta sätt rättsstatsprincipen och avser inte endast den rättsliga grunden för en domstols själva existens, utan även fastställandet av vilka som ska ingå i den dömande sammansättningen i varje mål samt alla andra bestämmelser i nationell rätt vars åsidosättande gör att en eller flera domares deltagande i prövningen av målet betraktas som rättsstridigt, vilket särskilt innefattar bestämmelser om den berörda domstolens ledamöters oavhängighet och opartiskhet (se dom av den 29 mars 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, punkt 121 och där angiven rättspraxis).

68 Domstolen har i detta sammanhang slagit fast att för att det ska kunna fastställas att kravet på att en domstol har inrättats enligt lag har åsidosatts och att detta åsidosättande har fått vissa följder krävs att en helhetsbedömning har gjorts av ett antal omständigheter som tillsammans bidrar till att väcka rimligt tvivel hos enskilda vad gäller domarnas oavhängighet och opartiskhet (se dom av den 22 februari 2022, Openbaar Ministerie (Domstol som inrättats enligt lag i den utfärdande medlemsstaten), C‑562/21 PPU och C‑563/21 PPU, EU:C:2022:100, punkt 74 och där angiven rättspraxis).

69 Domstolen fann således att den omständigheten att ett organ, såsom ett nationellt domstolsråd, som deltar i förfarandet för att utnämna domare, till övervägande del består av ledamöter som väljs ut av den lagstiftande makten, inte kan föranleda tvivel om oavhängigheten hos de domare som utnämns genom ett sådant förfarande men att det emellertid kan förhålla sig annorlunda när denna omständighet, sammantagen med andra relevanta omständigheter och villkoren för att välja ut dessa ledamöter, leder till att sådana tvivel uppkommer (se dom av den 22 februari 2022, Openbaar Ministerie (Domstol som inrättats enligt lag i den utfärdande medlemsstaten), C‑562/21 PPU och C‑563/21 PPU, EU:C:2022:100, punkt 75 och där angiven rättspraxis).

70 I sin dom av den 1 december 2020, Guðmundur Andri Ástráðsson mot Island (CE:ECHR:2020:1201JUD002637418, § 207 och § 212), slog Europadomstolen dessutom fast att det är tillåtet för den verkställande makten eller lagstiftaren att utnämna domare, förutsatt att de domare som utses på detta sätt är fria från påtryckningar eller inflytande när de utövar sin dömande funktion.

71 Det följer av denna rättspraxis att bedömningen huruvida de krav som följer av artikel 47 andra stycket i stadgan om de grundläggande rättigheterna är uppfyllda inte ska begränsas till en bedömning av den formella karaktären hos den rättsakt genom vilken en domstol inrättas och reglerna för dess funktionssätt fastställs. Det ska dessutom prövas huruvida det i denna rättsakt föreskrivs tillräckliga garantier för att säkerställa den aktuella domstolens oavhängighet och opartiskhet i förhållande till andra myndigheter, särskilt den verkställande makten.

72 För det andra ska det erinras om att kommissionen, såsom domstolen slog fast i domen Schrems I och i domen Schrems II, när den har att fatta ett beslut om adekvat skyddsnivå inte är skyldig att försäkra sig om att de relevanta bestämmelserna i tredjelandet är identiska med de bestämmelser som är i kraft i unionen, utan endast behöver säkerställa att dessa bestämmelser är väsentligen likvärdiga med de bestämmelser som garanteras i unionsrätten enligt dataskyddsförordningen, jämförd med stadgan om de grundläggande rättigheterna (se punkterna 19 och 20 ovan). Av detta följer att tribunalen i förevarande fall är skyldig att pröva huruvida kommissionens konstaterande i det angripna beslutet om adekvat skyddsnivå, enligt vilket bestämmelserna i amerikansk rätt varigenom DPRC inrättas och dess verksamhetsregler fastställs ger garantier som är väsentligen likvärdiga med dem som föreskrivs i unionsrätten i artikel 47 andra stycket i stadgan, är välgrundade. Sådana garantier erbjuds i synnerhet när den lagtext genom vilken denna domstol inrättas och dess verksamhetsregler fastställs syftar till att säkerställa dess oberoende och opartiskhet i förhållande till andra myndigheter, däribland den verkställande makten, och detta trots att nämnda lagtext formellt sett inte utgör en lag.

73 I förevarande fall framgår det av skäl 185 i det angripna beslutet, vilket sökanden inte har bestritt, att DPRC har inrättats genom justitieministerns förordning. Av detta följer att DPRC inte har inrättats genom en lag som antagits av den lagstiftande makten, det vill säga Förenta staternas kongress, utan genom en rättsakt från den verkställande makten. Justitieministern är nämligen chef för Förenta staternas justitieministerium och huvudansvarig för brottsbekämpning inom Förenta staternas federala regering. Justitieministern är den främsta rådgivaren till USA:s president i alla juridiska frågor och ingår i presidentens regering.

74 I detta sammanhang ska det prövas huruvida E.O. 14086 och justitieministerns förordning, på ett sätt som är väsentligen likvärdigt med unionsrätten, föreskriver garantier som syftar till att säkerställa DPRC:s oberoende och opartiskhet.

75 Det ska i detta avseende för det första påpekas att följande framgår av handlingarna i målet, vilket inte har bestritts:

76 För det andra ska det erinras om att det av det angripna beslutet framgår följande:

77 Vidare ska, såsom framgår av skälen 187–189 i det angripna beslutet, domarna i DPRC, när de fullgör sina uppgifter inom DPRC, iaktta följande processrättsliga skyddsregler:

78 För det tredje ska det påpekas att de brister som EU-domstolen hade konstaterat i domen Schrems II åtgärdades vad gäller avsaknaden av garantier för att den verkställande makten inte avsätter ombudsmannen för skölden för skydd av privatlivet och för att ombudsmannens beslut är bindande. Det framgår dessutom av handlingarna i målet att E.O. 14086 begränsar de fall då justitieministern kan avsätta domare i DPRC och föreskriver att detta organs beslut är bindande.

79 Mot denna bakgrund kan talan inte vinna bifall såvitt avser den tredje grundens andra del.

80 Denna slutsats påverkas inte av den omständigheten att det framgår av handlingarna i målet att DPRC, på samma sätt som andra domstolar i Förenta staternas rättssystem, även om detta organ är behörigt att avgöra rättsliga frågor, inte utgör en rättslig myndighet som inrättats med stöd av artikel III i Förenta staternas konstitution.

81 I domen Schrems II fann domstolen nämligen att ett effektivt domstolsskydd kunde säkerställas inte bara av en domstol inom domstolsväsendet, utan även av något annat organ som erbjuder de personer vars uppgifter överfördes till Förenta staterna garantier som i huvudsak är likvärdiga med dem som krävs enligt artikel 47 i stadgan om de grundläggande rättigheterna (domen Schrems II, punkt 197).

82 Mot bakgrund av det ovan anförda kan talan inte vinna bifall såvitt avser någon del av den tredje grunden.

83 Genom sin andra grund har sökanden gjort gällande att kommissionen har åsidosatt artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna, eftersom kommissionen i det angripna beslutet fann att Amerikas förenta stater säkerställde en adekvat skyddsnivå vad gäller landets underrättelsetjänsters bulkinsamling av personuppgifter.

84 Det ska noteras att sökanden, på sidorna 2 och 23 i ansökan samt på sidan 4 i repliken, när han anger lydelsen av den andra grunden, har hänvisat till kommissionens åsidosättande av artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna, inte bara vad gäller bulkinsamling, utan även vad gäller massinsamling av personuppgifter. I den utveckling som följer på formuleringen av denna grund inriktar sökanden emellertid sitt argument enbart på bulkinsamlingen av dessa uppgifter.

85 Av fotnot 250 på sidan 46 i det angripna beslutet, skäl 141 i detta beslut, som inte har ifrågasatts, och de svar som parterna har lämnat på de frågor som ställts inom ramen för en åtgärd för processledning och vid förhandlingen framgår följande:

86 Av det ovan anförda följer att eftersom massinsamling inte är tillåten i Förenta staterna och bulkinsamling endast kan utföras utanför Förenta staterna, är föremålet för förevarande grund i förevarande fall begränsad till en bedömning av huruvida kommissionen har åsidosatt artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna vad gäller den bulkinsamling av personuppgifter som utförs av Förenta staternas underrättelsetjänster och som transiteras från unionen till organisationer som omfattas av dataskyddsramen, medan insamling av personuppgifter som i förekommande fall utförs på unionens territorium av Förenta staternas eller medlemsstaternas underrättelsetjänster inte omfattas.

87 Genom den första anmärkningen i den andra grunden har sökanden gjort gällande att kommissionen har åsidosatt artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna, eftersom den i det angripna beslutet i huvudsak fann att Amerikas förenta stater erbjöd en skyddsnivå som är väsentligen likvärdig med den som garanteras i unionsrätten enligt dataskyddsförordningen, jämförd med nämnda stadga, trots att Section 702 FISA ger Förenta staternas underrättelsetjänster möjlighet att i bulk samla in personuppgifter om medborgare i andra länder.

88 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens yrkande.

89 Det ska påpekas att Section 702 FISA inte tillåter bulkinsamling, utan endast tillåter riktad insamling av personuppgifter.

90 Av detta följer att Section 702 FISA, i den mån den inte avser bulkinsamling av personuppgifter, saknar relevans i förevarande fall.

91 Talan kan således inte vinna bifall såvitt avser den andra grundens första del.

92 Genom den andra anmärkningen i den andra grunden har sökanden gjort gällande att kommissionen har åsidosatt artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna, eftersom den i det angripna beslutet förklarade att Amerikas förenta stater erbjuder en skyddsnivå som är väsentligen likvärdig med den som garanteras i unionsrätten enligt dataskyddsförordningen, jämförd med nämnda stadga, trots att E.O. 14086 inte föreskriver någon skyldighet för Förenta staternas underrättelsetjänster att före bulkinsamlingen av personuppgifter inhämta förhandstillstånd från en domstol eller en förvaltningsmyndighet.

93 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens yrkande.

94 I förevarande fall framgår det av handlingarna i målet, vilket inte har bestritts av parterna, att det i amerikansk rätt inte föreskrivs någon skyldighet för underrättelsetjänsterna att inhämta förhandstillstånd från en domstol eller en förvaltningsmyndighet innan de utför bulkinsamling av personuppgifter som transiteras från unionen till organisationer som omfattas av ramen för dataskydd.

95 Det ska fastställas huruvida avsaknaden av förhandstillstånd kan påverka det angripna beslutets lagenlighet, i den mån denna avsaknad skulle kunna påverka slutsatsen i artikel 1 i nämnda beslut, enligt vilken Amerikas förenta stater erbjuder en adekvat skyddsnivå för personuppgifter.

96 Det ska inledningsvis erinras om att det, såsom domstolen slog fast i domen Schrems II, för att bedöma lagenligheten av ett beslut om adekvat skyddsnivå är nödvändigt att bedöma huruvida tredjelandets lagstiftning säkerställer en skyddsnivå för grundläggande fri- och rättigheter som är väsentligen likvärdig med den som garanteras inom unionen enligt dataskyddsförordningen, jämförd med stadgan om de grundläggande rättigheterna (se punkt 19 ovan).

97 Det är mot denna bakgrund som tribunalen ska pröva de fyra argument som sökanden har anfört till stöd för förevarande anmärkning.

98 Genom sitt första argument har sökanden i huvudsak gjort gällande att – såsom var fallet med beslutet om adekvat skyddsnivå avseende skölden för skydd av privatlivet som domstolen ogiltigförklarade i domen Schrems II, bland annat på grund av att det inte hade införts någon domstolsprövning – den bulkinsamling av personuppgifter som i förevarande fall utförs av Förenta staternas underrättelsetjänster inte är föremål för rättslig tillsyn och inte omfattas av tillräckligt klara och precisa bestämmelser.

99 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens argument.

100 Det ska noteras att domstolen i domen Schrems II slog fast att artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna ingår i den skyddsnivå som krävs inom unionen och att kommissionen måste ha konstaterat att dessa artiklar har följts innan den antar ett beslut om adekvat skyddsnivå enligt artikel 45.1 i dataskyddsförordningen. Enligt domstolen påverkar nämligen all behandling av en fysisk persons personuppgifter, inbegripet överföring av dem till ett tredjeland inom ramen för ett beslut om en adekvat skyddsnivå, såväl denna persons grundläggande rätt till respekt för privatlivet, vilken garanteras i artikel 7 i stadgan, som dennes rätt till skydd av sina personuppgifter, vilken stadfästs i artikel 8 i stadgan (domen Schrems II, punkterna 169–171).

101 Domstolen har emellertid preciserat att de rättigheter som stadfästs i artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna inte är absoluta rättigheter, utan ska beaktas i förhållande till deras funktion i samhället (domen i målet Schrems II, punkt 172).

102 Enligt artikel 52.1 i stadgan om de grundläggande rättigheterna ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i artiklarna 7 och 8 i nämnda stadga vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar av dessa får, med beaktande av proportionalitetsprincipen, dessutom endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller mot behovet av skydd för andra människors rättigheter och friheter (domen Schrems II, punkt 174).

103 Domstolen slog i detta sammanhang fast att den möjlighet som Förenta staternas underrättelsetjänster ges genom presidentdekret nr 12333, i dess ändrade lydelse, att få tillgång till personuppgifter under transitering från unionen, utan att denna tillgång har varit föremål för någon som helst rättslig tillsyn, inte gjorde det möjligt att på ett tillräckligt klart och precist sätt reglera omfattningen av underrättelsetjänsternas insamling av personuppgifter i bulk. Domstolen fann således att nämnda presidentdekret inte uppfyllde de minimikrav som enligt unionsrätten är knutna till proportionalitetsprincipen och att de övervakningsprogram som genomfördes med stöd av dekretet inte var begränsade till vad som var absolut nödvändigt (domen i målet Schrems II, punkterna 183 och 184).

104 Det ska preciseras hur uttrycket någon som helst domstolskontroll i punkt 183 i domen Schrems II ska tolkas.

105 Det ska i detta hänseende påpekas att det inte finns någon uppgift i domen Schrems II, särskilt i punkt 183 i nämnda dom och i uttrycket någon som helst domstolskontroll, som tyder på att bulkinsamling av personuppgifter måste föregås av ett förhandstillstånd från en oberoende myndighet. Tvärtom framgår det av en jämförelse mellan detta uttryck och punkterna 186–197 i den domen att ett beslut om att tillåta en sådan insamling åtminstone ska bli föremål för en domstolsprövning i efterhand.

106 Såsom anges i punkterna 24–82 ovan innebär E.O. 14086 och justitieministerns förordning att den signalspaningsverksamhet som utförs av Förenta staternas underrättelsetjänster, även när dessa utför bulkinsamling av personuppgifter, omfattas av DPRC:s domstolsprövning i efterhand, varefter DPRC:s beslut är slutgiltiga och bindande och gäller för såväl Förenta staternas regering som nämnda underrättelsetjänster. I motsats till vad sökanden har gjort gällande kan det följaktligen inte anses att den bulkinsamling av personuppgifter som utförs av underrättelsetjänsterna på grundval av det angripna beslutet inte uppfyller de krav som följer av domen Schrems II i detta avseende.

107 För det första ska det erinras om att E.O. 14086, såsom framgår av skäl 141 i det angripna beslutet, utan att sökanden har bestritt detta, har fastställt att underrättelsetjänsterna ska prioritera riktad insamling av personuppgifter. Bulkinsamling är således endast tillåten om den används för att främja en validerad underrättelseprioritering som rimligen inte kan erhållas genom riktad insamling. Det ska i detta hänseende påpekas att det framgår av skäl 135 i nämnda beslut att validerade underrättelseprioriteringar fastställs genom en särskild process som syftar till att säkerställa efterlevnad av tillämpliga rättsliga krav, inbegripet de som rör integritet och medborgerliga rättigheter. Närmare bestämt fastställs underrättelseprioriteringarna av DNI och ska godkännas av Förenta staternas president. Innan DNI förelägger Förenta staternas president prioriteringar i fråga om underrättelser måste DNI, för varje prioritering, erhålla en utvärdering från CLPO. Inom ramen för denna bedömning ska CLPO fastställa huruvida den aktuella prioriteringen främjar ett eller flera av de legitima mål som anges i E.O. 14086, om den inte har utformats för insamling av signalunderrättelser för förbjudna ändamål och om den har fastställts efter vederbörlig hänsyn till alla berörda personers privatliv och medborgerliga fri- och rättigheter, oavsett nationalitet och bosättningsort.

108 För det andra ska det påpekas att E.O. 14086, såsom framhålls i skälen 127–131,134, 135 och 14086 i det angripna beslutet, utan att sökanden har bestritt detta, fastställer grundläggande krav som är tillämpliga på all signalspaningsverksamhet, även när den utförs genom bulkinsamling av personuppgifter.

109 För det första måste signalspaningsverksamhet grunda sig på lag eller presidentens bemyndigande och bedrivas i enlighet med amerikansk lagstiftning, särskilt landets konstitution.

110 För det andra får signalspaningsverksamhet endast utföras efter det att man på grundval av en rimlig bedömning av alla relevanta faktorer har fastställt att den är nödvändig för att upprätthålla en validerad underrättelseprioritering.

111 För det tredje måste signalspaningsverksamhet utföras på ett sätt som står i proportion till den validerade underrättelseprioritering för vilken den har godkänts, för att hitta rätt balans mellan vikten av den underrättelseprioritering som eftersträvas och inverkan på den registrerades privatliv och medborgerliga fri- och rättigheter, oavsett nationalitet och bosättningsort.

112 För det fjärde anges i E.O. 14086 vilka allmänna mål som inte får sökas uppnås genom signalspaningsverksamhet. Bland dessa kan nämnas målen att försvåra kritik, avvikande åsikter eller yttrandefrihet hos enskilda personer eller medier; att missgynna personer på grund av deras etnicitet, ras, kön, könsidentitet, sexuella läggning eller religion, eller att ge amerikanska företag en konkurrensfördel.

113 Det ska påpekas, såsom framgår av skäl 141 i det angripna beslutet, utan att sökanden har bestritt detta, att E.O. 14086 fastställer särskilda garantier som är tillämpliga på bulkinsamling av personuppgifter.

114 Till att börja med föreskrivs det i E.O. 14086 att metoder och tekniska åtgärder måste tillämpas för att begränsa de insamlade uppgifterna till att endast omfatta vad som är nödvändigt för att främja en validerad underrättelseprioritering, samtidigt som insamlingen av icke-relevant information minimeras.

115 Vidare anges i E.O. 14086 att bulkinsamling av personuppgifter endast får göras för att uppfylla sex specifika mål (nedan kallade de särskilda målen för bulkinsamling), nämligen skydd mot terrorism, spionage, massförstörelsevapen, cyberhot, hot mot Förenta staternas eller dess allierades personal och gränsöverskridande brottslighet. Nämnda presidentdekret ger Förenta staternas president möjlighet att uppdatera dessa särskilda mål om nya nationella säkerhetsbehov uppstår, såsom nya eller ökande hot mot den nationella säkerheten, för vilka presidenten anser att bulkinsamling av personuppgifter ska få användas. Dessa uppdateringar ska i princip offentliggöras av DNI, såvida inte Förenta staternas president anser att detta i sig skulle utgöra en risk för landets nationella säkerhet.

116 Slutligen föreskrivs i E.O. 14086 att sökningar i signalunderrättelser som erhållits i bulk endast får göras om det är nödvändigt för att upprätthålla en validerad underrättelseprioritering, inom ramen för uppnåendet av de särskilda målen för bulkinsamling och i enlighet med riktlinjer och förfaranden som tar vederbörlig hänsyn till hur sökningar i sådana uppgifter påverkar alla registrerades privatliv och medborgerliga fri- och rättigheter, oavsett nationalitet eller bosättningsort.

117 Under dessa omständigheter kan det inte med framgång göras gällande att genomförandet av bulkinsamling inte är tillräckligt klart och precist reglerat.

118 Mot bakgrund av det ovan anförda kan detta argument inte godtas.

119 Genom sitt andra argument har sökanden, med uttrycklig hänvisning till punkt 189 i domen av den 6 oktober 2020, La Quadrature du Net m.fl. ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791), gjort gällande att EU-domstolen har slagit fast att underrättelsetjänsterna är skyldiga att inhämta förhandstillstånd från en domstol eller en förvaltningsmyndighet innan uppkopplingsuppgifter samlas in från de operatörer som innehar uppgifterna. Enligt sökanden omfattas den bulkinsamling av personuppgifter som utförs av Förenta staternas underrättelsetjänster under transitering från unionen i förevarande fall inte av ett krav på sådant förhandstillstånd.

120 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens argument.

121 Det ska påpekas att domstolen i domen av den 6 oktober 2020, La Quadrature du Net m.fl. ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791), bland annat slog fast att artikel 15.1 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37), i dess lydelse enligt Europaparlamentets och rådets direktiv 2009/136/EG av den 25 november 2009 (EUT L 337, 2009, s. 11), jämförd med artiklarna 7, 8 och 11 samt artikel 52.1 i stadgan om de grundläggande rättigheterna, ska den tolkas så, att den inte utgör hinder för en nationell lagstiftning som ålägger leverantörer av elektroniska kommunikationstjänster att använda sig av insamling i realtid av trafik- och lokaliseringsuppgifter, när denna är begränsad till personer beträffande vilka det finns ett giltigt skäl att misstänka att de på ett eller annat sätt är inblandade i terrorverksamhet och är underkastad en förhandskontroll antingen av en domstol eller av en oberoende myndighet (punkt 192 i nämnda dom).

122 Härav följer att situationen i det mål som avgjordes genom domen av den 6 oktober 2020, La Quadrature du Net m.fl. ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791), skiljer sig från den situation som är aktuell i förevarande mål. I förevarande fall är det inte fråga om att bedöma behovet av att kräva förhandskontroll av en domstol eller en förvaltningsmyndighet för att leverantörer av elektroniska kommunikationstjänster ska kunna samla in trafik- och lokaliseringsuppgifter för användare som på ett eller annat sätt misstänks vara inblandade i terroristverksamhet, utan om att bedöma huruvida den omständigheten att det i Förenta staternas lagstiftning inte föreskrivs någon skyldighet för underrättelsetjänsterna att före bulkinsamlingen av personuppgifter under transitering till detta land erhålla förhandstillstånd från en domstol eller en förvaltningsmyndighet innebär att kommissionens konstaterande om adekvat skyddsnivå i det angripna beslutet kan ifrågasättas.

123 Under dessa omständigheter finner tribunalen att hänvisningen till domen av den 6 oktober 2020, La Quadrature du Net m.fl. ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791), inte är relevant i förevarande fall.

124 Denna slutsats påverkas inte av beaktandet av domen av den 30 april 2024, La Quadrature du Net m.fl. (Personuppgifter och bekämpning av varumärkesförfalskning) ( C‑470/21, EU:C:2024:370), som parterna i förevarande mål har anmodats att yttra sig över genom en åtgärd för processledning.

125 Vad som var i fråga i det mål som avgjordes genom domen av den 30 april 2024, La Quadrature du Net m.fl. (Personuppgifter och bekämpning av varumärkesförfalskning) ( C‑470/21, EU:C:2024:370), var huruvida det är lagligt för en myndighet som ansvarar för skyddet av upphovsrätt och närstående rättigheter mot intrång i dessa rättigheter som begås på internet att få tillgång till uppgifter som lagrats av leverantörer av elektroniska kommunikationstjänster avseende den fysiska identitet som motsvarar ip-adresser i syfte att bekämpa varumärkesförfalskning. Närmare bestämt motiverades denna tillgång med att det är nödvändigt att identifiera innehavaren av en ip-adress som hade gjort sig skyldig till intrång i upphovsrätten eller närstående rättigheter genom att olovligen göra skyddade verk tillgängliga på internet i avsikt att de ska laddas ned av andra personer. Under dessa omständigheter slog domstolen fast att ett krav på förhandskontroll av en domstol eller ett oberoende förvaltningsorgan

126 Av detta följer att det mål som avgjordes genom domen av den 30 april 2024, La Quadrature du Net m.fl. (Personuppgifter och bekämpning av varumärkesförfalskning) ( C‑470/21, EU:C:2024:370), avser de nationella myndigheternas åtkomst till en ip-adress i syfte att bekämpa varumärkesförfalskning och att ett sådant syfte skiljer sig från underrättelsetjänsternas insamling i bulk av personuppgifter under transitering från unionen. Det kan således inte, mot bakgrund av nämnda dom, anses att insamling i bulk, som utförs av Förenta staternas underrättelsetjänster, av personuppgifter under transitering från unionen ska vara föremål för ett förhandstillstånd.

127 Detta argument kan således inte godtas.

128 Genom sitt tredje argument har sökanden i huvudsak gjort gällande att Europadomstolen i sin dom av den 25 maj 2021, Big Brother Watch m.fl. mot Förenade kungariket (CE:ECHR:2021:0525JUD005817013) (nedan kallad domen Big Brother Watch), fann att massavlyssning av personuppgifter kräver förhandstillstånd från en oberoende myndighet från och med den tidpunkt då syftet med och omfattningen av övervakningsåtgärden har fastställts. Enligt sökanden omfattas den bulkinsamling av personuppgifter som utförs av Förenta staternas underrättelsetjänster under transitering från unionen i förevarande fall inte av ett sådant krav på förhandstillstånd.

129 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens argument.

130 Det ska påpekas att det mål som gav upphov till domen Big Brother Watch bland annat rörde förenligheten, mot bakgrund av artikel 8 i Europakonventionen, av det brittiska systemet för hemlig övervakning som gav underrättelsetjänsterna möjlighet att avlyssna elektronisk kommunikation och inhämta tillhörande kommunikationsdata i stor skala, det vill säga trafikuppgifter som avsåg avlyssnade kommunikationer, vilka i princip utfördes utanför de brittiska öarna.

131 Såsom framgår av den rättspraxis som anges i punkt 29 ovan ska Europadomstolens praxis avseende artikel 8 i Europakonventionen beaktas vid tolkningen av räckvidden av artikel 7 i stadgan, eftersom artikel 8 i Europakonventionen, på samma sätt som artikel 7 i stadgan om de grundläggande rättigheterna, stadfäster rätten till respekt för privatlivet och familjelivet. Av detta följer att om tribunalen skulle finna att domen Big Brother Watch är relevant i förevarande fall, ska de överväganden som Europadomstolen gjorde i den domen, vad gäller räckvidden av artikel 8 i Europakonventionen, beaktas vid tolkningen av räckvidden av artikel 7 i stadgan.

132 Det ska i detta hänseende erinras om att Europadomstolen i domen Big Brother Watch uttalade sig om lagenligheten av den massavlyssning som de brittiska underrättelsetjänsterna gjorde av elektronisk kommunikation och därtill hörande kommunikationsuppgifter som i princip utfördes utanför de brittiska öarna.

133 Såsom parterna i förevarande mål har påpekat i sitt svar med anledning av åtgärden för processledning och vid förhandlingen, är Europadomstolens resonemang i domen Big Brother Watch relevanta i förevarande fall, eftersom den massavlyssning av personuppgifter som var i fråga i det mål som gav upphov till nämnda dom kan anses omfatta den bulkinsamling som är föremål för det angripna beslutet.

134 För det första ska det påpekas att medan uttrycket interception en masse (massavlyssning) används i den franska versionen av domen Big Brother Watch, används i den engelska versionen uttrycket bulk interception (bulkavlyssning), som närmare bestämt motsvarar det franska begreppet interception en vrac (bulkavlyssning).

135 För det andra definierade Europadomstolen, som en motsats till riktad avlyssning, den avlyssning av upplysningar som var i fråga i domen Big Brother Watch som en avlyssning som inte avsåg vissa personer och följaktligen kunde påverka ett stort antal personer och tillhörande kommunikationsuppgifter och således ha en mycket stor räckvidd, eftersom den bland annat gjorde det möjligt att samla in information inom ramen för utländsk underrättelseinformation och upptäcka nya hot från kända eller okända aktörer. Enligt Europadomstolen utfördes massavlyssningen dessutom i allmänhet av de behöriga myndigheterna i hemlighet, på grund av dess syfte att skydda den nationella säkerheten, vilket innebar att de endast offentliggjorde några få uppgifter om hur systemet fungerade, eller inga uppgifter alls (se, för ett liknande resonemang, domen Big Brother Watch, punkt 322).

136 För det tredje fann Europadomstolen i domen Big Brother Watch att även om inte alla massavlyssningssystem var utformade enligt samma modell och deras genomförandemetoder kunde ändras utan att alltid följa en strikt kronologisk ordning, var massavlyssning en gradvis process som i huvudsak ägde rum i följande fyra steg (nedan kallade avlyssningsstegen):

137 Härav följer att en bulkinsamling av personuppgifter, såsom den som är föremål för det angripna beslutet, omfattas av det första av de avlyssningssteg som Europadomstolen identifierade i domen Big Brother Watch, eftersom den består i att, för att skydda nationell säkerhet, samla in personuppgifter som transiteras från unionen av ett stort antal personer.

138 I detta sammanhang ska konsekvenserna av domen Big Brother Watch beaktas vid bedömningen av lagenligheten av ett beslut om adekvat skyddsnivå som antagits med stöd av artikel 45.3 i dataskyddsförordningen, såsom det angripna beslutet.

139 I detta avseende ska det för det första påpekas att Europadomstolen i domen Big Brother Watch preciserade att artikel 8 i Europakonventionen inte förbjuder massavlyssning för att skydda den nationella säkerheten eller andra väsentliga nationella intressen mot allvarliga yttre hot och att staterna har ett stort utrymme för skönsmässig bedömning för att fastställa vilken typ av avlyssningssystem som de behöver (se domen Big Brother Watch, punkt 347).

140 För det andra angav Europadomstolen att massavlyssning av personuppgifter ska omfattas av flera garantier från början till slut, vilka tillsammans utgör hörnstenen i alla system för massavlyssning, nämligen följande:

141 För det tredje har Europadomstolen gjort gällande att även om artikel 8 i Europakonventionen är tillämplig på varje avlyssningssteg, ökar behovet av garantier i takt med att förfarandet passerar dessa olika steg, varvid intrånget i rätten till respekt för privatlivet blir större och större. Enligt Europadomstolen är det således i slutet av förfarandet, när information om en viss person analyseras eller innehållet i kommunikationen granskas av en analytiker, som det är mer nödvändigt än någonsin att det finns garantier (se, för ett liknande resonemang, dom Big Brother Watch, punkterna 330 och 331).

142 För det fjärde fann Europadomstolen att eftersom det inte var praktiskt genomförbart att inkludera alla urvalstermer som används av underrättelsetjänsterna för filtrering av insamlade kommunikationer, måste räckvidden av detta tillstånd begränsas till att omfatta åtminstone de typer eller kategorier av urvalstermer som ska användas (domen Big Brother Watch, punkt 354).

143 I förevarande fall ska det till att börja med erinras om att kommissionen, såsom domstolen slog fast i domarna Schrems I och Schrems II, inom ramen för ett beslut om adekvat skyddsnivå, inte är skyldig att försäkra sig om att de relevanta bestämmelserna i tredjelandet är identiska med de bestämmelser som är i kraft i unionen, utan endast att de är väsentligen likvärdiga med dessa bestämmelser (se punkterna 19 och 20 ovan).

144 Eftersom den bulkinsamling av personuppgifter som utförs av Förenta staternas underrättelsetjänster, vilken har ifrågasatts i förevarande mål, kan likställas med den avlyssning av uppgifter som utförs inom ramen för det första av de avlyssningssteg som Europadomstolen preciserade i domen Big Brother Watch, är behovet av att för denna specifika fas av bulkinsamlingen föreskriva garantier som begränsar underrättelsetjänsternas utrymme för skönsmässig bedömning mindre omfattande, med hänsyn till det sammanhang i vilket avlyssningen sker. Det som är i fråga i förevarande fall är nämligen endast underrättelsetjänsternas inledande bulkavlyssning av personuppgifter, och inte senare verksamhet, som inte är föremål för talan och som i förekommande fall kan bestå i tillämpning av specifika urvalstermer, granskning av de insamlade uppgifterna och deras senare användning eller utlämnande.

145 Av detta följer att ett krav på förhandstillstånd inte är den enda garanti som måste omgärda massavlyssning av personuppgifter, utan utgör en av de beståndsdelar som tillsammans utgör hörnstenen i varje system för massavlyssning. Det ska i detta hänseende erinras om att gällande amerikansk rätt innehåller rättsregler som på ett tillräckligt klart och precist sätt reglerar hur Förenta staternas underrättelsetjänster genomför bulkinsamling av personuppgifter (se punkterna 107–116 ovan) och ger de personer som berörs av överföringen av deras uppgifter rätt till ett effektivt rättsmedel vid DPRC (se punkterna 33–63 ovan). I skälen 162–169 i det angripna beslutet anges dessutom, utan att sökanden har bestritt detta, att underrättelsetjänsternas underrättelseverksamhet kontrolleras av PCLOB, som, såsom framgår av punkt 54 ovan, enligt den rättsakt varigenom detta organ har inrättats, är tänkt som en oberoende myndighet. Nämnda verksamhet är även föremål för tillsyn, för det första, av de juridiskt ansvariga och bemyndigade inom varje underrättelsetjänst som ansvarar för övervakning och efterlevnad av denna lagstiftning, för det andra, av den oberoende generalinspektör som för varje underrättelsetjänst ansvarar för att kontrollera den utländska underrättelseverksamhet som utförs av den aktuella underrättelsetjänsten och, för det tredje, av Intelligence Oversight Board (Tillsynsstyrelsen för underrättelseverksamhet, Förenta staterna), vilken har inrättats inom President’s Intelligence Advisory Board (presidentens rådgivande nämnd för underrättelsefrågor, Förenta staterna) och som är skyldig att övervaka de amerikanska myndigheternas efterlevnad av lagen samt, för det fjärde, de särskilda kommittéer som inrättats inom Förenta staternas kongress och som utövar tillsyn över all utländsk underrättelseverksamhet i Förenta staterna.

146 Mot bakgrund av dessa överväganden går det inte att dra slutsatsen att den omständigheten att det inte föreskrivs något förhandstillstånd som är tillämpligt på Förenta staternas underrättelsetjänsters inledande bulkinsamling av personuppgifter under transitering från unionen räcker för att det ska anses att Förenta staternas lagstiftning, mot bakgrund av de lärdomar som dragits av domen Big Brother Watch, inte ger garantier som är väsentligen likvärdiga med dem som föreskrivs i unionsrätten.

147 Detta argument kan således inte godtas.

148 Genom sitt fjärde argument har sökanden gjort gällande att Europeiska dataskyddsstyrelsen, i sitt yttrande 5/2023 av den 28 februari 2023 om utkastet till kommissionens genomförandebeslut om fastställande av en adekvat skyddsnivå för personuppgifter genom EU:s ram för skydd av personuppgifter EU – Förenta staterna (nedan kallat yttrande 5/2023), betonat vikten av att kräva förhandstillstånd för bulkinsamling av personuppgifter. Enligt sökanden omfattas den bulkinsamling av personuppgifter som utförs av Förenta staternas underrättelsetjänster under transitering från unionen i förevarande fall inte av ett sådant krav på förhandstillstånd.

149 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens argument.

150 Det bör noteras att yttrande 5/2023 avgavs av Europeiska dataskyddsstyrelsen med stöd av artikel 70.1 s i dataskyddsförordningen. I denna bestämmelse föreskrivs att Europeiska dataskyddsstyrelsen, på eget initiativ eller på begäran av kommissionen, får avge ett yttrande till kommissionen om bedömningen av adekvat skyddsnivå i ett tredjeland.

151 När Europeiska dataskyddsstyrelsen agerar på grundval av artikel 70.1 i direktivet om ordningsregler begränsar den sig dock till att ge råd genom att utarbeta yttranden, riktlinjer, rekommendationer och rekommendationer om bästa praxis som inte har bindande rättsverkningar (se, för ett liknande resonemang, beslut av domstolens ordförande av den 29 november 2023, Europeiska datatillsynsmannen/SRB, C‑413/23 P, ej publicerat, EU:C:2023:1036, punkt 11). Detta yttrande är således inte bindande för kommissionen, som är fri att bedöma huruvida lagstiftningen i detta land totalt sett ger en skyddsnivå som är väsentligen likvärdig med den som garanteras i unionsrätten när det gäller bulkinsamling av personuppgifter. Det ska under alla omständigheter konstateras att Europeiska dataskyddsstyrelsen i nämnda yttrande inte angav att underlåtenheten att införa en förhandskontroll av bulkinsamling av personuppgifter med nödvändighet påverkade kommissionens positiva bedömning av huruvida den skyddsnivå för personuppgifter som dataskyddsmyndigheten erbjuder var adekvat. Tvärtom påpekade Europeiska dataskyddsstyrelsen, i punkt 165 i samma yttrande, att denna bedömning var beroende av samtliga omständigheter i det aktuella fallet och särskilt av att Amerikas förenta stater hade infört en domstolsprövning i efterhand och en mekanism för överklagande.

152 I detta sammanhang kan det enligt yttrande 5/2023 inte anses att det krävs förhandstillstånd för att Förenta staternas underrättelsetjänster ska få samla in personuppgifter i bulk som transiteras från unionen, och att det skydd som erbjuds i detta land inte är i allt väsentligt likvärdigt med det skydd som garanteras enligt unionsrätten.

153 Detta argument kan således inte godtas och talan kan således inte vinna bifall såvitt avser någon anmärkning i den andra grunden.

154 Genom den tredje anmärkningen i den andra grunden har sökanden gjort gällande att kommissionen har åsidosatt artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna, genom att i det angripna beslutet förklara att Amerikas förenta stater erbjuder en skyddsnivå som är väsentligen likvärdig med den som garanteras i unionsrätten enligt dataskyddsförordningen, jämförd med nämnda stadga, trots att E.O. 14086 ger Förenta staternas president befogenhet att, med hänsyn till den nationella säkerheten, godkänna en hemlig uppdatering av de särskilda målen för bulkinsamling. Närmare bestämt anser sökanden, i motsats till vad som slogs fast i Europadomstolens dom av den 4 december 2015, Roman Zakharov mot Ryssland (CE:ECHR:2015:1204JUD004714306) (nedan kallad domen Zakharov), att det faktum att nämnda president tilldelats befogenheten att uppdatera de särskilda ändamålen inte gör det möjligt för de personer som berörs av en överföring av personuppgifter att på ett exakt sätt identifiera den rättsliga ram inom vilken dessa uppgifter behandlas i Förenta staterna.

155 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens yrkande.

156 Det bör noteras att Europadomstolen i domen Zakharov fann att ett ingrepp i den grundläggande rätten till respekt för privatlivet och familjelivet endast kan motiveras med stöd av artikel 8.2 i Europakonventionen om ingreppet är föreskrivet i lag (domen Zakharov, punkt 227). Enligt nämnda domstol innebar uttrycket föreskrivet i lag att den omtvistade åtgärden måste vara tillgänglig för den registrerade och att den måste vara förutsebar med avseende på dess verkningar (domen Zakharov, punkt 228). I fråga om avlyssning av kommunikation innebär uttrycket förutsägbarhet inte att en individ måste kunna förutse när myndigheterna kan tänkas avlyssna hans eller hennes kommunikation, utan att begränsningarna av hans eller hennes rätt till respekt för privatlivet och familjelivet följer av tydliga regler (domen Zakharov, punkt 229).

157 Det ska även erinras om att såsom framgår av den rättspraxis som anges i punkt 29 ovan ska Europadomstolens praxis avseende artikel 8 i Europakonventionen beaktas vid tolkningen av räckvidden av artikel 7 i stadgan, eftersom artikel 8 i Europakonventionen, på samma sätt som artikel 7 i stadgan om de grundläggande rättigheterna, stadfäster rätten till respekt för privatlivet och familjelivet.

158 Det framgår härvidlag av avsnitt 2 c ii i E.O. 14086 att den möjlighet som Förenta staternas president ges att uppdatera förteckningen över de särskilda målen för bulkinsamling inte är obegränsad, utan endast omfattar de fall där en sådan uppdatering är nödvändig på grund av att nya nationella säkerhetsbehov uppstår, såsom nya eller ökande hot mot den nationella säkerheten, för vilka bulkinsamling av personuppgifter skulle kunna användas. Det framgår dessutom av denna bestämmelse, och det bekräftades av Amerikas förenta stater vid förhandlingen, att presidentens uppdatering av dessa specifika mål inte är hemlig, utan offentliggörs av DNI, såvida inte presidenten anser att offentliggörande i sig utgör en risk för den nationella säkerheten i landet. Även i ett sådant fall omfattas bulkinsamling av alla de garantier och begränsningar som föreskrivs i E.O. 14086. Om en registrerad inger ett klagomål avseende personuppgifterna, så blir nämnda insamling föremål för CLPO:s tillsyn och, i förekommande fall, en omprövning av DPRC.

159 I detta sammanhang kan det inte anses att möjligheten för Förenta staternas president att uppdatera förteckningen över de specifika målen för bulkinsamling strider mot de krav som Europadomstolen slog fast i domen Zakharov.

160 Talan kan således inte vinna bifall såvitt avser den tredje anmärkningen i den andra grunden. Talan kan följaktligen inte vinna bifall såvitt avser någon anmärkning i nämnda grund.

161 Genom sin fjärde grund har sökanden gjort gällande att kommissionen har åsidosatt artikel 22 i dataskyddsförordningen, eftersom den i det angripna beslutet underlät att föreskriva en bestämmelse som fastställer den registrerades rätt att inte bli föremål för beslut som uteslutande grundar sig på automatisk behandling av personuppgifter, inbegripet profilering, som har rättsverkningar för dem eller i betydande grad påverkar dem (nedan kallade helt automatiserade beslut).

162 Det ska inledningsvis påpekas att artikel 22 i dataskyddsförordningen har följande lydelse:

163 Det bör också noteras att begreppet profilering, som förekommer i artikel 22.1 i dataskyddsförordningen, definieras i artikel 4.4 i samma förordning som varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar.

164 Härav följer att enligt artikel 22 i dataskyddsförordningen har varje registrerad rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling av personuppgifter, inbegripet när denna åtgärd består i att analysera och förutsäga vissa aspekter av den registrerades beteende.

165 Det framgår emellertid av det angripna beslutet att det inte specifikt behandlar frågan om helt automatiserade beslut.

166 Det ska således fastställas huruvida en sådan underlåtenhet kan påverka det angripna beslutets lagenlighet, i den mån det skulle kunna påverka slutsatsen i artikel 1 i nämnda beslut, enligt vilken Amerikas förenta stater erbjuder en adekvat skyddsnivå för personuppgifter.

167 Det är mot denna bakgrund som tribunalen ska pröva de tre anmärkningar som sökanden har anfört till stöd för sin fjärde grund, och börja med den första och den tredje anmärkningen som ska prövas tillsammans.

168 Genom den första och den tredje anmärkningen i den fjärde grunden har sökanden gjort gällande att den omständigheten att helt automatiserade beslut i allmänhet fattas av personuppgiftsansvariga som, eftersom de är etablerade i unionen, omfattas av dataskyddsförordningen, inte ger någon garanti i övriga fall. Sökanden påpekar vidare att den omständigheten att amerikansk rätt erbjuder sektoriellt skydd för det fall antagandet av sådana beslut inte omfattas av förordningens tillämpningsområde saknar relevans i förevarande fall, eftersom denna omständighet inte gör det möjligt att dra slutsatsen att det skydd som Förenta staterna generellt erbjuder för alla helt automatiserade beslut är likvärdigt med det skydd som garanteras genom artikel 22 i denna förordning.

169 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens argument.

170 Det framgår av skäl 33 i det angripna beslutet att det vid överföring av personuppgifter från unionen till Förenta staterna ska göras åtskillnad mellan tre olika situationer när det gäller antagandet av helt automatiserade beslut.

171 För det första kan helt automatiserade beslut fattas av en personuppgiftsansvarig som är etablerad i unionen och som har samlat in de registrerades personuppgifter i unionen. I artikel 4.7 i dataskyddsförordningen definieras personuppgiftsansvarig som den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om så är fallet ska den personuppgiftsansvarige, i den mån som denne enligt artikel 3.1 i förordningen omfattas av samma förordning, iaktta de krav som föreskrivs i artikel 22 i förordningen vad gäller sådana beslut.

172 För det andra kan helt automatiserade beslut fattas antingen av ett personuppgiftsbiträde som är etablerat i ett tredjeland och som agerar på uppdrag av den personuppgiftsansvariga som är etablerad i unionen och som har överfört de personuppgifter som samlats in i unionen till personuppgiftsbiträdet, eller av en underleverantör som agerar på uppdrag av det personuppgiftsbiträde som är etablerat i unionen och som har överfört de uppgifter som samlats in i unionen till personuppgiftsbiträdet. I artikel 4.8 i dataskyddsförordningen definieras personuppgiftsbiträdet som den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som behandlar personuppgifter för den registeransvariges räkning, I den mån utländska personuppgiftsbiträden agerar på uppdrag av den personuppgiftsansvarige eller personuppgiftsbiträdet i unionen omfattas de i dessa fall av nämnda förordning enligt artikel 3.1 i förordningen. När det gäller sådana beslut ska den personuppgiftsansvarige och personuppgiftsbiträdet således uppfylla de krav som föreskrivs i artikel 22 i samma förordning.

173 För det tredje kan helt automatiserade beslut fattas av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen men som riktar sig till registrerade i unionen genom att erbjuda dem varor eller tjänster eller genom att följa deras beteende. I ett sådant fall föreskrivs i artikel 3.2 i dataskyddsförordningen att den personuppgiftsansvarige och det utländska personuppgiftsbiträdet omfattas av förordningen. När det gäller helt automatiserade beslut måste de således uppfylla kraven i artikel 22 i nämnda förordning.

174 Av detta följer att det framgår av det angripna beslutet att de fall där helt automatiserade beslut inte omfattas av tillämpningsområdet för artikel 22 i dataskyddsförordningen är en restpost som är begränsad till fall där organisationer som omfattas av dataskyddsramen direkt samlar in personuppgifter i unionen, dock utan att erbjuda unionsmedborgarna varor eller tjänster och utan att följa deras beteende, i den mening som avses i artikel 3.2 i dataskyddsförordningen.

175 Det framgår emellertid av skälen 35 och 36 i det angripna beslutet, utan att sökanden har bestritt detta, att amerikansk rätt i dessa fall erbjuder sektoriellt skydd liknande det som föreskrivs i dataskyddsförordningen på områden som kreditgivning, erbjudanden om hypotekslån, beslut om rekrytering, anställning, bostäder och försäkring, där det är mer sannolikt att organisationer som omfattas av dataskyddsramen fattar helt automatiserade beslut.

176 När det gäller konsumentkrediter innehåller Fair Credit Reporting Act (lagen om lojal kreditinformation) och Equal Credit Opportunity Act (lagen om lika möjligheter i fråga om krediter) garantier som ger konsumenterna en form av rätt till förklaring och rätt att bestrida helt automatiserade beslut. Dessa lagar är relevanta på många olika områden, däribland krediter, anställning, bostäder och försäkringar. Dessutom skyddar avdelning VII i Civil Rights Act (lagen om medborgerliga rättigheter) och Fair Housing Act (lagen om rättvis bostad) fysiska personer mot modeller som används vid helt automatiserat beslutsfattande som kan leda till diskriminering på grund av vissa egenskaper och ger dem rätt att överklaga sådana beslut. När det gäller hälsouppgifter kräver dessutom de regler som antagits av de amerikanska myndigheterna i enlighet med Health Insurance Portability and Accountability Act (lagen om överföring av och ansvar för sjukförsäkring) att vårdgivare får information som gör det möjligt för dem att informera enskilda personer om automatiserade beslutssystem som används inom den medicinska sektorn.

177 I detta sammanhang kan det, i motsats till vad sökanden har gjort gällande, inte anses att det sektoriella skydd som föreskrivs i amerikansk rätt saknar relevans i förevarande fall, eftersom det inte har samma allmänna räckvidd som artikel 22 i dataskyddsförordningen.

178 Det ska i detta hänseende erinras om att domstolen, i domarna Schrems I och Schrems II, har slagit fast att uttrycket adekvat skyddsnivå i artikel 45.1 i dataskyddsförordningen, utan att detta innefattar ett krav på att det berörda tredjelandet ska säkerställa en skyddsnivå som är identisk med den som garanteras i unionens rättsordning, ska förstås så, att det krävs att detta tredjeland, genom sin interna lagstiftning eller på grund av de internationella förpliktelser som åligger landet, de facto säkerställer en nivå för skyddet av grundläggande fri- och rättigheter som är väsentligen likvärdig med den skyddsnivå som garanteras inom unionen enligt nämnda förordning, jämförd med stadgan om de grundläggande rättigheterna (se punkterna 19 och 20 ovan).

179 I domen Schrems I fann domstolen dessutom att även om de medel som tredjelandet använder för att säkerställa en adekvat skyddsnivå för personuppgifter kan skilja sig från dem som används inom unionen, måste dessa medel dock visa sig i praktiken kunna säkerställa ett skydd som är väsentligen likvärdigt med det skydd som garanteras inom unionen (se punkt 20 ovan).

180 Mot bakgrund av det ovan anförda kan talan inte vinna bifall såvitt avser den första och den tredje anmärkningen i den fjärde grunden:

181 Genom den fjärde grundens andra del har sökanden gjort gällande att den omständigheten att det i den studie om helt automatiserade beslut, som citeras i skäl 34 i det angripna beslutet, som kommissionen hade beställt år 2018 och vars resultat återfinns i punkt 4.1.5 i kommissionens rapport COM(2018) 860 final till Europaparlamentet och rådet av den 19 december 2018 om den andra årliga översynen av skölden för skydd av privatlivet (nedan kallad 2018 års studie), i vilken slutsatsen drogs att det inte fanns några bevis för organisationer etablerade i Förenta staterna som hade anslutit sig till skyddsskölden hade antagit helt automatiserade beslut, saknar betydelse i förevarande fall. Sökanden har närmare bestämt gjort gällande att det i studien hänvisas till det beslut om adekvat skyddsnivå avseende skölden för skydd av privatlivet som domstolen ogiltigförklarade i domen Schrems II, och att den aktuella situationen, som kännetecknas av en extremt snabb utveckling av helt automatiserade AI‑baserade tjänster, inte beaktas.

182 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens argument.

183 Det framgår bland annat av 2018 års studie dels att det vid den tidpunkten inte fanns några uppgifter som gjorde det möjligt att anse att de företag i Förenta staterna som hade anslutit sig till skölden för skydd av privatlivet hade antagit helt automatiserade beslut, dels att Amerikas förenta stater hade genomfört sektorsspecifik lagstiftning på sådana områden som konsumentkrediter, sysselsättning, bostäder, försäkringar och hälso- och sjukvård, där det var mer sannolikt att helt automatiserade beslut skulle fattas.

184 Det ska i detta hänseende för det första påpekas att 2018 års studie inte nämns i beslutet om adekvat skyddsnivå avseende skölden för skydd av privatlivet och att den beställdes av kommissionen efter det att nämnda beslut hade trätt i kraft. Den omständigheten att detta beslut ogiltigförklarades av domstolen i domen i målet Schrems II saknar således betydelse i förevarande mål. I domen Schrems II ogiltigförklarade domstolen inte heller nämnda beslut på grundval av de omständigheter som angavs i nämnda studie.

185 I 2018 års studie beaktades visserligen inte den faktiska och rättsliga situation som förelåg i Förenta staterna år 2023, vid tidpunkten för antagandet av det angripna beslutet, utan den situation som förelåg år 2018, när beslutet genomfördes. Den kvarstående karaktären hos de fall där organisationer i Förenta staterna som anslutit sig till skölden för skydd av privatlivet hade antagit helt automatiserade beslut bekräftades dock i kommissionens rapport COM(2019) 495 final av den 23 oktober 2019 till Europaparlamentet och rådet om den tredje årliga översynen av sköldens för skydd av privatlivet och dess funktion. I rapporten angavs nämligen bland annat att antalet organisationer i Förenta staterna som deltog i skölden för skydd av privatlivet som hade fattat helt automatiserade beslut var begränsat och att de beslut som fattats av dessa organisationer i allmänhet inte hade några rättsverkningar och inte hade några andra verkningar för de berörda personerna.

186 För det tredje ska det noteras att sökanden i sina inlagor inte har lagt fram någon bevisning som gör det möjligt att anse att organisationer etablerade i Förenta staterna, efter genomförandet av 2018 års studie, har fattat helt automatiserade beslut. Vidare har sökanden inte i tillräcklig utsträckning förklarat varför utvecklingen av artificiell intelligens skulle göra studien irrelevant.

187 Mot denna bakgrund kan talan inte vinna bifall såvitt avser den andra anmärkningen i den fjärde grunden: Talan kan således inte vinna bifall såvitt avser någon anmärkning i den fjärde grunden.

188 Genom sin femte grund har sökanden gjort gällande att kommissionen har åsidosatt artikel 32 i dataskyddsförordningen, jämförd med artikel 45.2 i samma förordning, eftersom den i det angripna beslutet förklarade att Amerikas förenta stater erbjöd en skyddsnivå som är väsentligen likvärdig med den som garanteras i unionen när det gäller att införa lämpliga tekniska och organisatoriska åtgärder för att säkerställa säkerheten vid behandling av personuppgifter som överförs från unionen till Förenta staterna av personuppgiftsansvariga och personuppgiftsbiträden etablerade i Förenta staterna.

189 Sökanden har i detta avseende för det första gjort gällande att det i punkt II.4 a i bilaga 1 till det angripna beslutet endast föreskrivs att organisationer som omfattas av dataskyddsramen ska vidta rimliga och lämpliga säkerhetsåtgärder endast när de skapar, lagrar, använder eller sprider personuppgifter. Det krävs således inte någon säkerhetsåtgärd när dessa organisationer endast läser personuppgifter från unionen. Sökanden har gjort gällande att sådan läsning emellertid ingår bland de åtgärder som omfattas av begreppet behandling av personuppgifter i artikel 4.2 i dataskyddsförordningen.

190 För det andra har sökanden gjort gällande att det i punkt III.6 f i bilaga 1 till det angripna beslutet föreskrivs en skyldighet för organisationer som är etablerade i Förenta staterna och som lämnar dataskyddsramen att fortsätta att iaktta de principer som anges i detta beslut, inbegripet principerna om säkerhet vid behandling, så länge de lagrar, använder eller lämnar ut personuppgifter som överförts från unionen till Förenta staterna, men att det inte föreskrivs någon sådan skyldighet när dessa organisationer endast läser personuppgifter.

191 Kommissionen, som stöds av Irland och Amerikas förenta stater, har bestritt sökandens yrkande.

192 Det ska inledningsvis erinras om att artikel 32 i dataskyddsförordningen har följande lydelse:

193 Vidare definieras begreppet behandling, som även förekommer i artikel 32 i dataskyddsförordningen, i artikel 4.2 i samma förordning som en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

194 Enligt rättspraxis framgår det bland annat av uttrycket en åtgärd att unionslagstiftaren har haft för avsikt att ge begreppet behandling en vid innebörd, och att denna tolkning stöds av den omständigheten att uppräkningen av åtgärder i nämnda bestämmelse inte är uttömmande, vilket framgår av att uttrycket såsom används i nämnda bestämmelse (se dom av den 7 mars 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, punkt 29 och där angiven rättspraxis).

195 Det ska slutligen påpekas att bland de omständigheter som kommissionen ska beakta när den, enligt artikel 45.2 a i dataskyddsförordningen, bedömer den skyddsnivå som ett tredjeland erbjuder, ingår säkerhetsåtgärder avseende personuppgifter som genomförs av detta land.

196 Det är mot denna bakgrund som de två argument som sökanden har anfört till stöd för förevarande grund ska prövas tillsammans.

197 Tribunalen erinrar om att punkt II.4 a i bilaga 1 till det angripna beslutet har följande lydelse:

198 Dessutom har punkt III.6 f i bilaga 1 till det angripna beslutet följande lydelse:

199 Härav följer att punkterna II.4 a och III.6 f i bilaga 1 till det angripna beslutet inte avser varje form av behandling av personuppgifter, i den mening som avses i artikel 4.2 i dataskyddsförordningen. I den första av dessa punkter begränsas tvärtom skyldigheten för organisationer som omfattas av dataskyddsramen att vidta säkerhetsåtgärder till att endast avse de fall då de skapar, lagrar, använder eller sprider personuppgifter. Vidare föreskrivs i den andra av dessa punkter att de organisationer som lämnar dataskyddsramen ska fortsätta att tillämpa de principer som anges i det angripna beslutet så länge de lagrar, behandlar eller lämnar ut personuppgifter som överförts från unionen till Förenta staterna.

200 Det ska för det första erinras om att domstolen i domarna Schrems I och Schrems II fann att det inte var nödvändigt att tredjelandet säkerställer en skyddsnivå som är identisk med den som garanteras i unionens rättsordning (se punkterna 19 och 20 ovan). Av detta följer att även om kommissionen i det angripna beslutet anser att den lagstiftning i Förenta staterna som var i kraft vid tidpunkten för antagandet av detta beslut garanterar en skyddsnivå som är väsentligen likvärdig med den som föreskrivs i unionsrätten, så är det inte nödvändigt att nämnda beslut innehåller exakt samma lydelse som den som finns i dataskyddsförordningen.

201 För det andra ska de principer som anges i punkt II.4 a i bilaga 1 till det angripna beslutet tolkas mot bakgrund av de omständigheter som anges i skäl 23 i nämnda beslut, i vilket det, i likhet med artikel 32 i dataskyddsförordningen, föreskrivs följande:

202 För det tredje ska det påpekas att uttrycken skapar, lagrar, använder och sprider i punkt II.4 a i bilaga 1 till det angripna beslutet samt uttrycken lagrar, behandlar och lämnar ut i punkt III.6 f i samma bilaga utgör specifika uttryck för den åtgärd som består i behandling av personuppgifter, i den mening som avses i artikel 32 i dataskyddsförordningen, och att de, på samma sätt som denna artikel, syftar till att täcka ett stort antal åtgärder rörande personuppgifter.

203 För det fjärde definieras ordet använder, som förekommer såväl i punkt II.4 a i bilaga 1 till det angripna beslutet som i punkt III.6 f i samma bilaga, som att använda något för ett specifikt ändamål eller en viss användning. I detta syfte omfattar användningen av personuppgifter läsning av personuppgifter, i den mån det per definition är nödvändigt att först få tillgång till uppgifterna för att kunna använda dem och således läsa dem. Härav följer att sökandens argument att det inte krävs någon säkerhetsåtgärd i det angripna beslutet när organisationer som omfattas av dataskyddsramen läser personuppgifter från unionen saknar grund.

204 Mot bakgrund av det ovan anförda kan talan inte vinna bifall såvitt avser den femte grunden. Talan ska således ogillas i sin helhet.

205 Enligt artikel 134.1 i rättegångsreglerna ska tappande part förpliktas att ersätta rättegångskostnaderna, om detta har yrkats.

206 Kommissionen har yrkat att sökanden ska förpliktas att ersätta rättegångskostnaderna. Eftersom sökanden har tappat målet, ska denne bära sina rättegångskostnader och ersätta kommissionens rättegångskostnader, inbegripet i det interimistiska förfarandet.

207 Enligt artikel 138.1 i rättegångsreglerna ska dessutom medlemsstater och institutioner som har intervenerat bära sina rättegångskostnader. Irland ska således bära sina rättegångskostnader.

208 Enligt artikel 138.3 i rättegångsreglerna kan tribunalen dessutom besluta att även andra intervenienter än dem som nämns i punkterna 1 och 2 i denna artikel ska bära sina rättegångskostnader. I förevarande fall ska Amerikas förenta stater bära sina rättegångskostnader.

1 Rättegångsspråk: franska.