Volgens het hof maakt Safe Harbor inbreuk op meerdere grondrechten van Europese burgers. Zo ontbreekt het aan voldoende beschermingsmaatregelen wat betreft de inzage van gegevens en strookt dit niet met het grondrecht op eerbiediging van het privéleven. Daarnaast bestaat er geen beroepsmogelijkheid voor burgers om onder meer hun gegevens in te zien of te laten verwijderen. Dit maakt inbreuk op het recht op een effectieve voorziening in rechte.
Het Europese Hof van Justitie oordeelt verder dat de Safe Harbor-overeenkomst de bevoegdheid van nationale toezichthouders onterecht heeft beperkt. Deze toezichthouders moeten gewoon hun werk kunnen doen wanneer een burger de verenigbaarheid van de overeenkomst met zijn of haar grondrechten in twijfel trekt.
De uitspraak is het gevolg van een klacht van een Oostenrijkse rechtenstudent bij de Ierse toezichthouder over het door Facebook overdragen van persoonlijke gegevens aan instanties in de VS. In Ierland staan de servers die Europese Facebook-gebruikers toegang bieden tot de sociale netwerksite. De Ierse toezichthouder wees de klacht af, omdat het zich gebonden achtte aan de Safe Harbor-overeenkomst. Na een hoger beroep van de rechtenstudent klopte het Ierse Hooggerechtshof in 2013 aan bij het Europese Hof.
Het direct gevolg is nu dat de Ierse toezichthouder verplicht is om deze klacht te onderzoeken, aldus het hof. Andere gevolgen van de uitspraak zijn vooralsnog onduidelijk.
De Europese Commissie en de VS hebben inmiddels een aangepaste versie van de Safe Harbor-overeenkomst opgesteld, die de privacy van Europese burgers beter moet waarborgen. Dit voorstel ligt nu ter beoordeling bij het Europees Parlement.
