Hotărârea Tribunalului (Camera a zecea extinsă) din 3 septembrie 2025.#Philippe Latombe împotriva Comisiei Europene.#Transfer de date cu caracter personal către Statele Unite – Decizie de punere în aplicare a Comisiei de constatare a caracterului adecvat al nivelului de protecție a datelor cu caracter personal asigurat de Statele Unite – Dreptul la o cale de atac eficientă – Dreptul la viață privată și de familie – Decizii bazate exclusiv pe prelucrarea automată a datelor cu caracter personal – Securitatea prelucrării datelor cu caracter personal.#Cauza T-553/23.

Cauza T‑553/23

Philippe Latombe

împotriva

Comisiei Europene

Hotărârea Tribunalului din 3 septembrie 2025

„Transfer de date cu caracter personal către Statele Unite – Decizie de punere în aplicare a Comisiei de constatare a caracterului adecvat al nivelului de protecție a datelor cu caracter personal asigurat de Statele Unite – Dreptul la o cale de atac eficientă – Dreptul la viață privată și de familie – Decizii bazate exclusiv pe prelucrarea automată a datelor cu caracter personal – Securitatea prelucrării datelor cu caracter personal”

Acțiune în anulare – Admisibilitate – Respingere pe fond a unei acțiuni fără a se pronunța cu privire la admisibilitate – Puterea de apreciere a instanței Uniunii

(art. 263 TFUE)

(a se vedea punctele 14 și 15)

Acțiune în anulare – Control de legalitate – Criterii – Luare în considerare exclusiv a elementelor de fapt și de drept care există la data adoptării actului în litigiu

(art. 263 TFUE)

(a se vedea punctul 22)

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Transfer de date cu caracter personal către țări terțe – Adoptarea de către Comisie a unei decizii de constatare a unui nivel de protecție adecvat într‑o țară terță – Decizia 2023/1795 de constatare a unui nivelul adecvat de protecție asigurat de Statele Unite – Încălcarea dreptului la protecție jurisdicțională efectivă – Încălcarea dreptului de acces la o instanță judecătorească independentă și imparțială, constituită în prealabil prin lege – Inexistență

[art. 2 TUE; Carta drepturilor fundamentale a Uniunii Europene, art. 47 al doilea paragraf; Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 45 alin. (2)]

(a se vedea punctele 24, 35-37, 39, 42, 46, 51, 53-58, 60, 62, 64 și 66-82)

Drepturi fundamentale – Dreptul la protecție jurisdicțională efectivă – Consacrare la articolul 47 al doilea paragraf din Carta drepturilor fundamentale a Uniunii Europene și la articolul 6 paragraful 1 din Convenția pentru apărarea drepturilor omului și a libertăților fundamentale – Înțeles și întindere identice – Nivel de protecție asigurat de cartă care nu îl încalcă pe cel garantat de convenția menționată

[art. 6 alin. (3) TUE; Carta drepturilor fundamentale a Uniunii Europene, art. 47 al doilea paragraf și art. 52 alin. (3)]

(a se vedea punctele 27-30)

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Transfer de date cu caracter personal către țări terțe – Adoptarea de către Comisie a unei decizii de constatare a unui nivel de protecție adecvat într‑o țară terță – Decizia 2023/1795 de constatare a unui nivelul adecvat de protecție asigurat de Statele Unite – Colectare în masă a datelor cu caracter personal aflate în tranzit din Uniune de către serviciile de informații din Statele Unite – Încălcarea dreptului la respectarea vieții private și la protecția datelor cu caracter personal – Inexistență – Condiții

(Carta drepturilor fundamentale a Uniunii Europene, art. 7 și 8; Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 45)

(a se vedea punctele 83, 92, 98, 105-108, 113, 117, 119, 122, 123, 128, 137-146, 148 și 150-153)

Rezumat

În hotărârea sa, Tribunalul, statuând în complet extins, respinge acțiunea în anulare introdusă de un cetățean francez și îndreptată împotriva deciziei privind caracterul adecvat al nivelului de protecție a Comisiei Europene care pune în aplicare noul cadru transatlantic al fluxului de date cu caracter personal între Uniunea Europeană și Statele Unite ( 1 ). Procedând în acest mod, înscriindu‑se totodată în continuitatea jurisprudenței Curții în această materie ( 2 ), Tribunalul furnizează lămuriri cu privire la aprecierea imparțialității și a independenței Data Protection Review Court ( 3 ) (Curtea de Reexaminare a Protecției Datelor, Statele Unite ale Americii, denumită în continuare „DPRC”), precum și cu privire la examinarea legalității colectării în masă de către serviciile de informații din această țară a datelor cu caracter personal aflate în tranzit din Uniune.

În Hotărârile Schrems I și Schrems II, Curtea a invalidat cele două decizii anterioare privind caracterul adecvat al nivelului de protecție, pentru motivul că sistemele „sferei de siguranță” și „sferei de confidențialitate” care reglementează transferul de date cu caracter personal din Uniune către Statele Unite nu garantau un nivel de protecție a drepturilor și libertăților fundamentale în esență echivalent cu cel garantat de dreptul Uniunii. Ulterior, Comisia a inițiat discuții cu guvernul Statelor Unite în vederea adoptării unei eventuale noi decizii privind caracterul adecvat al nivelului de protecție care ar respecta cerințele Regulamentului general privind protecția datelor ( 4 ), astfel cum au fost interpretate de Curte.

La 7 octombrie 2022, Statele Unite ale Americii au adoptat Executive Order 14086 (Decretul prezidențial nr. 14086, denumit în continuare „OE nr. 14086”), care consolidează măsurile de protecție a vieții private ce reglementează activitățile de colectare de informații de tip SIGINT desfășurate de serviciile de informații cu sediul în Statele Unite. Acest decret a fost completat de Attorney General Order 28 CFR Part 201 (Regulamentul procurorului general 28 CFR Partea 201, denumit în continuare „Regulamentul PG”), care a modificat dispozițiile ce reglementează înființarea și funcționarea DPRC.

La 10 iulie 2023, după examinarea acestor evoluții în materie de reglementare, Comisia a adoptat decizia atacată. Sesizat cu prezenta acțiune în anulare, Tribunalului i se solicită să examineze legalitatea acestei decizii în special în raport cu RGPD, precum și cu Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”).

Aprecierea Tribunalului

Într‑o primă etapă, Tribunalul se pronunță cu privire la aspectul dacă Comisia a încălcat articolul 47 al doilea paragraf din cartă și articolul 45 alineatul (2) din RGPD întrucât a considerat în decizia atacată că DPRC oferea un „nivel de protecție adecvat” în ceea ce privește dreptul cetățenilor Uniunii de acces la o instanță judecătorească independentă și imparțială, constituită în prealabil prin lege.

În acest cadru, el respinge, în primul rând, critica întemeiată pe faptul că DPRC nu este o instanță independentă și imparțială, ci constituie un organ care depinde de ramura executivă.

În acest scop, Tribunalul înlătură, primo, argumentul potrivit căruia DPRC nu este o instanță independentă și imparțială întrucât misiunea sa constă în reexaminarea deciziilor Civil Liberties Protection Officer of the Director of National Intelligence (responsabilul pentru protecția libertăților civile din cadrul Biroului Directorului Serviciului Național de Informații, denumit în continuare „CLPO”), care aparține de Biroul Directorului Serviciului Național de Informații al Statelor Unite.

În această privință, el arată că examinarea garanțiilor referitoare la independența CLPO este lipsită de relevanță pentru a aprecia dacă DPRC constituie o instanță judecătorească independentă și imparțială. Astfel, DPRC a fost instituită ca organ de supraveghere independent al CLPO și au fost prevăzute mai multe garanții în OE nr. 14086 pentru ca deciziile CLPO să poată fi reexaminate și, dacă este cazul, modificate în mod independent și imparțial de către DPRC.

Prin urmare, reclamantul nu poate susține în mod întemeiat că o insuficiență a garanțiilor aplicabile CLPO afectează independența și imparțialitatea DPRC.

Secundo, Tribunalul respinge argumentul potrivit căruia DPRC nu este o instanță judecătorească independentă și imparțială întrucât este compusă din judecători numiți de procurorul general în consultare cu Privacy and Civil Liberties Oversight Board (Comitetul de supraveghere în materie de protecție a vieții private și a libertăților civile, denumit în continuare „PCLOB”), care este un organ dependent de ramura executivă.

Mai întâi, acesta constată că, deși PCLOB a fost instituit în cadrul ramurii executive, acesta este, având în vedere componența sa, o agenție independentă, a cărei misiune constă în supravegherea, în mod imparțial, a activității desfășurate de ramura executivă în vederea protejării, printre altele, a vieții private și a libertăților civile.

Astfel, faptul că PCLOB a fost instituit în cadrul ramurii executive nu permite în sine să se concluzioneze că, din cauza consultării sale înainte de numirea judecătorilor DPRC, aceasta din urmă nu este o instanță judecătorească independentă și imparțială.

În continuare, Tribunalul precizează, pe de o parte, că, pentru a se asigura că judecătorii DPRC sunt independenți de ramura executivă, OE nr. 14086 prevede că, la numirea lor, procurorul general trebuie să respecte o serie de criterii și condiții.

Pe de altă parte, judecătorii DPRC pot fi revocați din funcție numai de procurorul general și numai din motive întemeiate, după luarea în considerare în mod corespunzător a standardelor aplicabile judecătorilor federali prevăzute în Normele de procedură privind conduita judecătorilor și incapacitatea acestora de a‑și desfășura activitatea.

Tribunalul deduce de aici că normele privind numirea și revocarea judecătorilor DPRC nu pot repune în discuție independența și imparțialitatea sa.

În sfârșit, Tribunalul arată că Comisia este obligată să monitorizeze în permanență aplicarea cadrului juridic care face obiectul deciziei menționate, pentru a evalua dacă Statele Unite ale Americii continuă să asigure un nivel de protecție adecvat. Astfel, în cazul în care cadrul juridic în vigoare în Statele Unite la momentul adoptării deciziei atacate se schimbă, Comisia poate decide, dacă este necesar, să suspende, să modifice sau să abroge decizia atacată sau să limiteze domeniul de aplicare al acesteia.

Tertio, Tribunalul respinge argumentul potrivit căruia DPRC nu este o instanță judecătorească independentă și imparțială întrucât Regulamentul PG nu exclude posibilitatea ca judecătorii săi să fie supuși altor forme de supraveghere decât cele de zi cu zi din partea ramurii executive.

Tribunalul observă în această privință că, deși din dosar rezultă că judecătorii DPRC nu trebuie să fie supuși supravegherii de zi cu zi a procurorului general, decizia atacată arată de asemenea că, în temeiul OE nr. 14086, serviciile de informații și procurorul general nu trebuie să intervină sau să influențeze în mod necorespunzător activitatea DPRC. În plus, din dosar reiese că acest decret prezidențial și Regulamentul PG limitează posibilitatea ramurii executive de a influența activitatea DPRC întrucât stabilesc că judecătorii săi pot fi revocați din funcție numai de procurorul general și numai pentru un motiv valabil.

În al doilea rând, Tribunalul respinge critica întemeiată pe faptul că DPRC nu a fost constituită în prealabil prin lege întrucât aceasta nu a fost înființată printr‑o lege adoptată de Congresul Statelor Unite, ci printr‑un act al executivului, și anume o decizie a procurorului general.

Tribunalul amintește mai întâi că, pentru a aprecia dacă cerințele care decurg din articolul 47 al doilea paragraf din cartă sunt îndeplinite, nu trebuie să existe o limitare la aprecierea naturii formale a textului juridic prin care este constituită o instanță judecătorească și care definește normele sale de funcționare, ci trebuie să se verifice dacă acest text juridic prevede garanții suficiente care urmăresc să asigure independența și imparțialitatea acesteia față de alte puteri, în special față de ramura executivă.

În continuare, Tribunalul arată că, astfel cum a statuat Curtea în Hotărârea Schrems I și în Hotărârea Schrems II, în cadrul unei decizii privind caracterul adecvat al nivelului de protecție, Comisia nu este obligată să se asigure că dispozițiile relevante ale țării terțe sunt identice cu cele în vigoare în Uniune, ci că ele sunt în esență echivalente cu cele garantate de dreptul Uniunii în temeiul RGPD, interpretat în lumina Cartei drepturilor fundamentale. Rezultă că, în speță, Tribunalul este obligat să verifice temeinicia constatării caracterului adecvat efectuate de Comisie în decizia atacată, potrivit căreia dispozițiile dreptului Statelor Unite privind constituirea și funcționarea DPRC oferă garanții în esență echivalente cu cele prevăzute de dreptul Uniunii la articolul 47 al doilea paragraf din carta menționată. Astfel de garanții sunt oferite în special atunci când textul juridic prin care se constituie această instanță judecătorească și care definește normele sale de funcționare urmărește să îi asigure acesteia independența și imparțialitatea în raport cu celelalte puteri, în special cu ramura executivă, și aceasta în pofida faptului că textul menționat nu reprezintă, din punct de vedere formal, o lege.

În speță, din decizia atacată reiese că DPRC nu a fost constituită printr‑o lege adoptată de ramura legislativă, și anume Congresul Statelor Unite, ci printr‑un act care a emanat de la ramura executivă.

În acest context, Tribunalul verifică dacă, într‑un mod în esență echivalent cu dreptul Uniunii, OE nr. 14086 și Regulamentul PG prevăd garanții care urmăresc să asigure independența și imparțialitatea DPRC.

După ce a examinat în special modalitățile de instituire a DPRC în calitate de organ independent cu putere de decizie, modalitățile de numire și de revocare din funcție a judecătorilor săi, precum și garanțiile procedurale aferente îndeplinirii misiunii lor, Tribunalul constată că au fost remediate carențele care fuseseră evidențiate de Curte în Hotărârea Schrems II.

Având în vedere ansamblul considerațiilor care precedă, Tribunalul respinge motivul întemeiat pe încălcarea articolului 47 al doilea paragraf din cartă și a articolului 45 alineatul (2) din RGPD în totalitate.

Într‑o a doua etapă, Tribunalul se pronunță cu privire la aspectul dacă Comisia a încălcat articolele 7 și 8 din cartă, referitoare la respectarea vieții private și, respectiv, la protecția datelor cu caracter personal, întrucât a considerat că Statele Unite ale Americii asigurau un nivel de protecție adecvat în ceea ce privește colectarea în masă de către serviciile de informații din această țară a unor date cu caracter personal, în pofida faptului că OE nr. 14086 nu stabilește obligația serviciilor de informații din Statele Unite de a obține, înainte de colectarea în masă a datelor cu caracter personal, autorizarea prealabilă a unei autorități judiciare sau administrative.

În acest cadru, Tribunalul respinge, în primul rând, argumentul întemeiat pe faptul că colectarea în masă a datelor cu caracter personal, efectuată de serviciile de informații ale Statelor Unite, nu face obiectul unei supravegheri judiciare și nu este delimitată de norme suficient de clare și de precise.

Mai întâi, Tribunalul subliniază că niciun element din Hotărârea Schrems II nu sugerează că colectarea în masă a datelor cu caracter personal trebuie să facă în mod obligatoriu obiectul unei autorizări prealabile eliberate de o autoritate independentă. Dimpotrivă, din această hotărâre reiese că decizia de autorizare a unei astfel de colectări trebuie cel puțin să facă obiectul unui control judiciar a posteriori.

În speță, OE nr. 14086 și Regulamentul PG supun activitățile de colectare de informații de tip SIGINT desfășurate de serviciile de informații din Statele Unite supravegherii judiciare a posteriori a DPRC. În consecință, nu se poate considera că colectarea în masă a datelor cu caracter personal efectuată de serviciile de informații pe baza deciziei atacate nu îndeplinește cerințele care decurg din Hotărârea Schrems II în această privință.

În continuare, Tribunalul observă că OE nr. 14086 stabilește că colectarea în masă este permisă numai pentru a promova o prioritate validată în materie de informații care nu poate fi obținută în mod rezonabil printr‑o colectare direcționată, stabilește cerințe extinse care se aplică tuturor activităților de colectare de informații de tip SIGINT și stabilește garanții specifice care se aplică colectării în masă a datelor cu caracter personal.

În aceste condiții, Tribunalul consideră că nu se poate susține în mod valabil că punerea în aplicare a colectării în masă nu este delimitată în mod suficient de clar și de precis.

În al doilea rând, Tribunalul respinge argumentul potrivit căruia colectarea în masă de către serviciile de informații din Statele Unite a unor date cu caracter personal aflate în tranzit din Uniune ar trebui să facă obiectul unei autorizări prealabile, în temeiul Hotărârii La Quadrature du Net ș.a. ( 5 ).

Tribunalul constată în această privință că ipoteza în discuție în cauza în care s‑a pronunțat Hotărârea La Quadrature du Net ș.a. diferă de cea în discuție în speță și concluzionează că trimiterea la hotărârea menționată nu este relevantă.

În al treilea rând, Tribunalul respinge argumentul potrivit căruia colectarea în masă de către serviciile de informații din Statele Unite a unor date cu caracter personal aflate în tranzit din Uniune ar trebui să facă obiectul unei autorizări prealabile, în temeiul Hotărârii Curții EDO Big Brother Watch ( 6 ).

După ce constată că o operațiune de colectare în masă a datelor cu caracter personal precum cea care face obiectul deciziei atacate intră în perimetrul primei etape a interceptării identificate de Curtea Europeană a Drepturilor Omului în Hotărârea Big Brother Watch, în măsura în care aceasta constă în colectarea, în scopuri de protecție a securității naționale, a datelor cu caracter personal aflate în tranzit din Uniune ale unui număr mare de persoane, Tribunalul deduce consecințele acestei hotărâri în cadrul aprecierii legalității deciziei atacate.

Astfel, Tribunalul arată că, în Hotărârea Big Brother Watch, Curtea Europeană a Drepturilor Omului a indicat că interceptarea în masă a datelor cu caracter personal trebuia să facă obiectul mai multor garanții, precum obținerea autorizării de la o autoritate independentă atunci când sunt definite obiectul și amploarea operațiunii de supraveghere în cauză, instituirea unui sistem de supraveghere și a unui control jurisdicțional independent a posteriori, precum și prevederea unor norme juridice care să asigure, în fiecare dintre etapele interceptării, necesitatea și proporționalitatea măsurilor luate.

Pe de altă parte, Curtea Europeană a Drepturilor Omului a arătat că necesitatea de a prevedea garanții crește pe măsură ce procesul trece de a lungul diferitelor etape și, în consecință, intensitatea atingerii aduse dreptului la respectarea vieții private devine mai semnificativă.

În acest context, Tribunalul amintește că Comisia nu este obligată, în cadrul unei decizii privind caracterul adecvat al nivelului de protecție, să se asigure că dispozițiile relevante ale țării terțe sunt identice cu cele în vigoare în Uniune, ci că ele sunt în esență echivalente cu acestea.

Astfel, Tribunalul consideră în speță că necesitatea de a prevedea pentru această fază specifică a colectării în masă garanții care limitează puterea discreționară a serviciilor de informații este mai limitată, ținând seama de contextul în care se efectuează interceptarea. Într‑adevăr, ceea ce este în discuție în speță este numai interceptarea inițială în masă a datelor cu caracter personal de către serviciile de informații, cu excluderea activităților ulterioare.

În plus, Tribunalul amintește că faptul de a prevedea o autorizare prealabilă nu este singura garanție care trebuie să însoțească interceptarea în masă a datelor cu caracter personal, ci constituie unul dintre elementele care, luate împreună, constituie piatra de temelie a oricărui regim de interceptare în masă. În această privință, trebuie amintit că dreptul Statelor Unite în vigoare prevede norme juridice ce reglementează în mod suficient de clar și de precis punerea în aplicare de către serviciile de informații din Statele Unite ale Americii a colectării în masă a datelor cu caracter personal și acordă persoanelor vizate de transferul datelor lor dreptul la o cale de atac jurisdicțională efectivă în fața DPRC. În plus, considerentele (162)-(169) ale deciziei atacate arată, fără ca reclamantul să conteste acest lucru, că activitățile de informații desfășurate de serviciile de informații sunt controlate de PCLOB, care a fost conceput de statutul său fondator ca o agenție independentă. De asemenea, activitățile menționate fac obiectul unei supravegheri, în primul rând, din partea funcționarilor cu atribuții juridice și a responsabililor care, în cadrul fiecărui serviciu de informații, sunt însărcinați cu supravegherea și cu respectarea dreptului menționat, în al doilea rând, a inspectorului general independent cu atribuții, pentru fiecare serviciu de informații, de supraveghere a activităților de colectare de informații externe efectuate de serviciul în cauză și, în al treilea rând, a Intelligence Oversight Board (Comitetul pentru supravegherea serviciilor de informații, Statele Unite), instituit în cadrul President’s Intelligence Advisory Board (Consiliul consultativ privind serviciile de informații al președintelui, Statele Unite), și care are obligația să supravegheze respectarea legii de către autoritățile Statelor Unite, precum și, în al patrulea rând, al comisiilor speciale instituite în cadrul Congresului Statelor Unite, care exercită funcții de supraveghere a tuturor activităților de informații externe ale acestei țări.

Ținând seama de aceste considerații, Tribunalul statuează că faptul de a nu prevedea o autorizare prealabilă care să se aplice colectării inițiale în masă de către serviciile de informații ale Statelor Unite a datelor cu caracter personal aflate în tranzit din Uniune nu este suficient pentru a considera că dreptul Statelor Unite nu furnizează garanții în esență echivalente cu cele prevăzute de dreptul Uniunii.

În al patrulea și ultimul rând, Tribunalul nu reține argumentul potrivit căruia colectarea în masă de către serviciile de informații ale Statelor Unite a datelor cu caracter personal aflate în tranzit din Uniune ar trebui să facă obiectul unei autorizări prealabile în temeiul Avizului 5/2023, emis de Comitetul european pentru protecția datelor (CEPD) ( 7 ).

Tribunalul observă în această privință că Avizul 5/2023 a fost emis în temeiul articolului 70 alineatul (1) litera (s) din RGPD. Or, atunci când acționează în acest temei, CEPD se limitează să exercite o funcție de consiliere. Astfel, acest aviz nu este obligatoriu pentru Comisie.

În orice caz, Tribunalul constată că, în acest aviz, CEPD nu a arătat că neinstituirea unui control prealabil privind colectarea în masă a datelor cu caracter personal aducea în mod necesar atingere evaluării pozitive din partea Comisiei a caracterului adecvat al nivelului de protecție a datelor cu caracter personal oferit de cadrul protecției datelor Uniune-Statele Unite.

Prin urmare, Tribunalul respinge motivul întemeiat pe încălcarea articolelor 7 și 8 din cartă, precum și acțiunea în totalitate.

( 1 ) Decizia de punere în aplicare (UE) 2023/1795 a Comisiei din 10 iulie 2023 de constatare, în conformitate cu Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului, a nivelului adecvat de protecție a datelor cu caracter personal asigurat de Cadrul UE‑SUA privind confidențialitatea datelor (JO 2023, L 231, p. 118, rectificare în JO L, 2025/90035, denumită în continuare „decizia atacată”).

( 2 ) Hotărârea din 6 octombrie 2015, Schrems (C‑362/14, denumită în continuare „Hotărârea Schrems I, EU:C:2015:650), și Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems (C‑311/18, denumită în continuare „Hotărârea Schrems II, EU:C:2020:559).

( 3 ) Este vorba despre organul responsabil, în Statele Unite, cu controlul legalității transferului de date cu caracter personal din Uniunea Europeană.

( 4 ) Articolul 45 alineatul (2) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD”).

( 5 ) Hotărârea din 6 octombrie 2020, La Quadrature du Net ș.a. (C‑511/18, C‑512/18 și C‑520/18, denumită în continuare „Hotărârea La Quadrature du Net ș.a., EU:C:2020:791).

( 6 ) Hotărârea Curții EDO din 25 mai 2021, Big Brother Watch și alții împotriva Regatului Unit (CE:ECHR:2021:0525JUD005817013, denumită în continuare „Hotărârea Big Brother Watch”).

( 7 ) Avizul 5/2023 din 28 februarie 2023 referitor la Proiectul de decizie de punere în aplicare a Comisiei Europene privind protecția adecvată a datelor cu caracter personal în temeiul Cadrului UE‑SUA (denumit în continuare „Avizul 5/2023”).