62023CJ0097
DOMSTOLENS DOM (Store Afdeling)
10. februar 2026 (
*1
)
»Appel – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 63 – sammenhængsmekanisme – artikel 65 – tvistbilæggelse ved Det Europæiske Databeskyttelsesråd – bindende afgørelse – annullationssøgsmål – artikel 263, stk. 1, TEUF – anfægtelig retsakt – artikel 263, stk. 4, TEUF – betingelse om, at sagsøgeren skal være umiddelbart berørt af den foranstaltning, der er genstand for den pågældendes søgsmål«
I sag C-97/23 P,
angående en appel i henhold til artikel 56 i statutten for Den Europæiske Unions Domstol, iværksat den 17. februar 2023,
WhatsApp Ireland Ltd, Dublin (Irland), ved E. Egan McGrath, SC, C. Geoghegan, SC, D. McGrath, SC, P. Sreenan, SC, solicitors B. Johnston, C. Monaghan og P. Nolan, Rechtsanwalt H.-G. Kamann samt avocats F. Louis og A. Vallery,
appellant,
den anden part i appelsagen:
Det Europæiske Databeskyttelsesråd ved C. Foglia, M. Gufflet, G. Le Grand og I. Vereecken, som befuldmægtigede, bistået af avocats G. Haumont, E. de Lophem og P. Vernet samt advocaat G. Ryelandt,
sagsøgt i første instans,
støttet af:
Forbundsrepublikken Tyskland først ved J. Möller og P.-L. Krüger, derefter ved J. Möller, som befuldmægtigede,
intervenient i appelsagen,
har
DOMSTOLEN (Store Afdeling),
sammensat af præsidenten, K. Lenaerts, vicepræsidenten, T. von Danwitz (refererende dommer), afdelingsformændene K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu-Matei og M. Condinanzi samt dommerne S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders og N. Fenger,
generaladvokat: T. Ćapeta,
justitssekretær: fuldmægtig A. Lamote,
på grundlag af den skriftlige forhandling og efter retsmødet den 26. november 2024,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 27. marts 2025,
afsagt følgende
dom
1
WhatsApp Ireland Ltd (herefter »WhatsApp«) har med sit appelskrift nedlagt påstand om ophævelse af Den Europæiske Unions Rets kendelse af 7. december 2022, WhatsApp Ireland mod Det Europæiske Databeskyttelsesråd (T-709/21, herefter den appellerede kendelse, EU:T:2022:783), hvorved Retten afviste det søgsmål, som WhatsApp havde anlagt med påstand om annullation af Det Europæiske Databeskyttelsesråds (herefter »Databeskyttelsesrådet«) bindende afgørelse 1/2021 af 28. juli 2021 om den tvist mellem de berørte tilsynsmyndigheder, der var opstået med hensyn til det udkast til afgørelse om WhatsApp, som var udarbejdet af Data Protection Commission (DPC) (databeskyttelsesmyndighed, Irland) (herefter »den irske tilsynsmyndighed«) (herefter »den omtvistede afgørelse«).
Retsforskrifter
2
10. og 143. betragtning til Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, berigtiget i EUT 2018, L 127, s. 2) (herefter »databeskyttelsesforordningen«) har følgende ordlyd:
»(10)
For at sikre et ensartet og højt niveau for beskyttelse af fysiske personer og for at fjerne hindringerne for udveksling af personoplysninger inden for [Den Europæiske Union] bør beskyttelsesniveauet for fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstater. Det bør sikres, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i Unionen. [...]
[...]
(143)
Enhver fysisk eller juridisk person har ret til at anlægge annullationssøgsmål til prøvelse af afgørelser fra Databeskyttelsesrådet ved Domstolen på de betingelser, der er fastsat i artikel 263 i TEUF. De berørte tilsynsmyndigheder, som sådanne afgørelser er rettet til, skal, hvis de ønsker at anfægte afgørelserne, anlægge søgsmål inden for to måneder efter meddelelse af afgørelserne til dem i overensstemmelse med artikel 263 i TEUF. Når en dataansvarlig, databehandler eller klager er umiddelbart og individuelt berørt af Databeskyttelsesrådets afgørelser, kan disse anlægge annullationssøgsmål til prøvelse af disse afgørelser senest to måneder efter afgørelsernes offentliggørelse på Databeskyttelsesrådets websted i overensstemmelse med artikel 263 i TEUF. Uden at dette berører denne ret i henhold til artikel 263 i TEUF, bør enhver fysisk eller juridisk person have adgang til effektive retsmidler ved den kompetente nationale domstol til prøvelse af en tilsynsmyndigheds afgørelse, som har retsvirkninger for denne person. En sådan afgørelse vedrører navnlig tilsynsmyndighedens udøvelse af undersøgelsesbeføjelser, korrigerende beføjelser og godkendelsesbeføjelser eller afslag eller afvisning af klager. Denne ret til adgang til effektive retsmidler omfatter dog ikke foranstaltninger truffet af tilsynsmyndigheder, der ikke er juridisk bindende, som f.eks. udtalelser eller rådgivning fra tilsynsmyndigheden. En sag mod en tilsynsmyndighed bør anlægges ved domstolene i den medlemsstat, hvor tilsynsmyndigheden er etableret, og bør føres i overensstemmelse med den pågældende medlemsstats retspleje. Disse domstole bør have fuld jurisdiktion, herunder jurisdiktion til at undersøge alle de faktiske og retlige omstændigheder, der er relevante for den tvist, som de får forelagt.
Hvis en klage er blevet afslået eller afvist af en tilsynsmyndighed, kan klageren anlægge sag ved domstolene i samme medlemsstat. I forbindelse med domstolskontrol vedrørende anvendelsen af denne forordning kan eller i det tilfælde, der er omhandlet i artikel 267 i TEUF, skal de nationale domstole, som anser en afgørelse om spørgsmålet for nødvendig for at afsige dom, anmode Domstolen om en præjudiciel afgørelse om fortolkning af EU-retten, herunder denne forordning. Hvis en afgørelse truffet af en tilsynsmyndighed, som gennemfører en afgørelse fra Databeskyttelsesrådet, anfægtes ved en national domstol, og gyldigheden af Databeskyttelsesrådets afgørelse er omtvistet, har den nationale domstol ikke beføjelse til at erklære Databeskyttelsesrådets afgørelse for ugyldig, men skal forelægge Domstolen spørgsmålet om gyldighed i henhold til artikel 267 i TEUF som fortolket af Domstolen, hvis den anser afgørelsen for ugyldig. En national domstol kan imidlertid ikke forelægge et spørgsmål om gyldigheden af Databeskyttelsesrådets afgørelse efter anmodning fra en fysisk eller juridisk person, der havde mulighed for at indbringe et annullationssøgsmål til prøvelse af den pågældende afgørelse, navnlig hvis personen er umiddelbart og individuelt berørt af afgørelsen, men ikke havde gjort dette inden for fristen i henhold til artikel 263 i TEUF.«
3
Databeskyttelsesforordningens artikel 5 med overskriften »Principper for behandling af personoplysninger« bestemmer i stk. 1, litra a), at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede. Denne forordnings artikel 5, stk. 1, litra c), foreskriver, at disse oplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.
4
Databeskyttelsesforordningens artikel 6 med overskriften »Lovlig behandling« fastsætter betingelserne for lovlig behandling af personoplysninger. Denne artikel 6 fastsætter i stk. 1 følgende:
»Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
a)
Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
b)
Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.
c)
Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.
d)
Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.
e)
Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
f)
Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.
Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.«
5
Databeskyttelsesforordningens artikel 12 indeholder bestemmelser om gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder. Denne artikel 12 bestemmer i stk. 1 følgende:
»Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.«
6
Databeskyttelsesforordningens artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« fastsætter følgende:
»1.   Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:
a)
identitet på og kontaktoplysninger for den dataansvarlige og dennes eventuelle repræsentant
b)
kontaktoplysninger for en eventuel databeskyttelsesrådgiver
c)
formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen
d)
de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på artikel 6, stk. 1, litra f)
e)
eventuelle modtagere eller kategorier af modtagere af personoplysningerne
f)
hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til et tredjeland eller en international organisation, og om hvorvidt [Europa-]Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller i tilfælde af overførsler i henhold til artikel 46 eller 47 eller artikel 49, stk. 1, andet afsnit, litra h), henvisning til de fornødne eller passende garantier, og hvordan der kan fås en kopi heraf, eller hvor de er blevet gjort tilgængelige.
2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:
a)
det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum
b)
retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede eller til at gøre indsigelse mod behandling samt retten til dataportabilitet
c)
når behandling er baseret på artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt, uden at dette berører lovligheden af behandling, der er baseret på samtykke, inden tilbagetrækning heraf
d)
retten til at indgive en klage til en tilsynsmyndighed
e)
om meddelelse af personoplysninger er lovpligtigt eller et krav i henhold til en kontrakt eller et krav, der skal være opfyldt for at indgå en kontrakt, samt om den registrerede har pligt til at give personoplysningerne og de eventuelle konsekvenser af ikke at give sådanne oplysninger
f)
forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
[...]«
7
Databeskyttelsesforordningens artikel 14 vedrører oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede
8
Ifølge Databeskyttelsesforordningens artikel 55, stk. 1, er hver tilsynsmyndighed kompetent til at udføre de opgaver og udøve de beføjelser, der tillægges den i overensstemmelse med denne forordning, på sin egen medlemsstats område.
9
Databeskyttelsesforordningens artikel 56 med overskriften »Den ledende tilsynsmyndigheds kompetence« bestemmer følgende:
»1.   Uden at det berører artikel 55 er tilsynsmyndigheden for den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering kompetent til at fungere som ledende tilsynsmyndighed for den grænseoverskridende behandling, der foretages af denne dataansvarlige eller databehandler efter proceduren i artikel 60.
2.   Uanset stk. 1 er hver tilsynsmyndighed kompetent til at behandle en indgivet klage eller en eventuel overtrædelse af denne forordning, hvis genstanden alene vedrører en etablering i dens medlemsstat eller alene i væsentlig grad påvirker registrerede i dens medlemsstat.
3.   I de i denne artikels stk. 2 omhandlede tilfælde underretter tilsynsmyndigheden straks den ledende tilsynsmyndighed om dette forhold. Den ledende tilsynsmyndighed beslutter inden for en frist på tre uger efter at være blevet underrettet, om den vil behandle sagen efter proceduren i artikel 60 under hensyntagen til, hvorvidt den dataansvarlige eller databehandleren er etableret i den underrettende tilsynsmyndigheds medlemsstat.
4.   Hvis den ledende tilsynsmyndighed beslutter at behandle sagen, finder proceduren i artikel 60 anvendelse. Den tilsynsmyndighed, der underrettede den ledende tilsynsmyndighed, kan forelægge den ledende tilsynsmyndighed et udkast til afgørelse. Den ledende tilsynsmyndighed tager størst muligt hensyn til dette udkast, når den udarbejder udkastet til afgørelse, jf. artikel 60, stk. 3.
5.   Beslutter den ledende tilsynsmyndighed ikke at behandle sagen, behandler den tilsynsmyndighed, der forelagde sagen for den ledende tilsynsmyndighed, sagen i overensstemmelse med artikel 61 og 62.
6.   Den ledende tilsynsmyndighed er den dataansvarliges eller databehandlerens eneste kontakt i forbindelse med den grænseoverskridende behandling, der foretages af denne dataansvarlige eller databehandler.«
10
Databeskyttelsesforordningens artikel 57 med overskriften »Opgaver« bestemmer i stk. 1, litra h), at hver tilsynsmyndighed på sin egen medlemsstats område har til opgave at gennemføre undersøgelser om anvendelsen af databeskyttelsesforordningen.
11
Denne myndigheds undersøgelsesbeføjelser er opregnet i stk. 1 i databeskyttelsesforordningens artikel 58, der har overskriften »Beføjelser«. I denne artikels stk. 2 opregnes de korrigerende foranstaltninger, som den nævnte myndighed kan træffe, herunder dem, der er omhandlet i artikel 58, stk. 2, litra b), d) og i), og som består i henholdsvis at udtale kritik af en dataansvarlig eller en databehandler, hvis behandlingsaktiviteter har været i strid med databeskyttelsesforordningen, at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med bestemmelserne i databeskyttelsesforordningen og, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist, og at pålægge en administrativ bøde i henhold til databeskyttelsesforordningens artikel 83.
12
Databeskyttelsesforordningens artikel 60 med overskriften »Samarbejde mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder« bestemmer følgende:
»1.   Den ledende tilsynsmyndighed samarbejder i henhold til denne artikel med de andre berørte tilsynsmyndigheder med henblik på at nå til enighed. Den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder udveksler alle relevante oplysninger med hinanden.
2.   Den ledende tilsynsmyndighed kan til enhver tid anmode andre berørte tilsynsmyndigheder om at yde gensidig bistand i henhold til artikel 61 og kan gennemføre fælles aktiviteter i henhold til artikel 62, navnlig med henblik på at foretage undersøgelser eller overvåge gennemførelsen af en foranstaltning vedrørende en dataansvarlig eller en databehandler, der er etableret i en anden medlemsstat.
3.   Den ledende tilsynsmyndighed underretter straks de andre berørte tilsynsmyndigheder om sagens relevante oplysninger. Den forelægger straks de andre berørte tilsynsmyndigheder et udkast til afgørelse med henblik på deres udtalelse og tager behørigt hensyn til deres synspunkter.
4.   Hvis en af de andre berørte tilsynsmyndigheder inden for fire uger efter at være blevet hørt, jf. denne artikels stk. 3, fremkommer med en relevant og begrundet indsigelse mod udkastet til afgørelse, forelægger den ledende tilsynsmyndighed, hvis den ikke følger den relevante og begrundede indsigelse eller er af den opfattelse, at indsigelsen ikke er relevant eller begrundet, sagen for den sammenhængsmekanisme, der er omhandlet i artikel 63.
5.   Agter den ledende tilsynsmyndighed at følge den relevante og begrundede indsigelse, forelægger den de andre berørte tilsynsmyndigheder et revideret udkast til afgørelse med henblik på deres udtalelse. Dette reviderede udkast til afgørelse er underlagt den i stk. 4 omhandlede procedure inden for en frist på to uger.
6.   Har ingen af de andre berørte tilsynsmyndigheder gjort indsigelse mod udkastet til afgørelse, som den ledende tilsynsmyndighed har forelagt inden for den frist, der er omhandlet i stk. 4 og 5, anses den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder for at være enige i dette udkast til afgørelse og er bundet af det.
7.   Den ledende tilsynsmyndighed vedtager og meddeler afgørelsen til den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering, alt efter omstændighederne, og underretter de andre berørte tilsynsmyndigheder og Databeskyttelsesrådet om den pågældende afgørelse, herunder et resumé af de relevante faktiske omstændigheder og begrundelser. Den tilsynsmyndighed, til hvilken der er indgivet klage, underretter klageren om afgørelsen.
8.   Hvis en klage er blevet afslået eller afvist, vedtager den tilsynsmyndighed, til hvilken klagen er indgivet, uanset stk. 7, afgørelsen og meddeler denne til klageren og underretter den dataansvarlige herom.
9.   Hvis den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder er enige om at afslå eller afvise dele af en klage og at behandle andre dele af klagen, vedtages der en særskilt afgørelse for hver af disse dele af sagen. Den ledende tilsynsmyndighed vedtager afgørelsen for den del, der vedrører foranstaltninger over for den dataansvarlige, meddeler dette til den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering på dens medlemsstats område og underretter klageren herom, mens tilsynsmyndigheden for klageren vedtager afgørelsen for den del, der vedrører afslag eller afvisning af klagen, og underretter klageren herom og meddeler dette til den dataansvarlige eller databehandleren.
10.   Den dataansvarlige eller databehandleren træffer efter at være blevet underrettet om den ledende tilsynsmyndigheds afgørelse i henhold til stk. 7 og 9 de nødvendige foranstaltninger til at sikre overholdelse af afgørelsen for så vidt angår behandlingsaktiviteter i forbindelse med alle vedkommendes etableringer i Unionen. Den dataansvarlige eller databehandleren underretter den ledende tilsynsmyndighed, der underretter de andre berørte tilsynsmyndigheder, om de foranstaltninger, der er truffet for at overholde afgørelsen.
11.   Hvis en berørt tilsynsmyndighed under ekstraordinære omstændigheder har grund til at mene, at det er nødvendigt at handle omgående for at beskytte registreredes interesser, finder den i artikel 66 omhandlede hasteprocedure anvendelse.
12.   Den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder udveksler elektronisk de i denne artikel omhandlede oplysninger med hinanden i et standardformat.«
13
Databeskyttelsesforordningens artikel 63 med overskriften »Sammenhængsmekanisme« har følgende ordlyd:
»Med henblik på at bidrage til en ensartet anvendelse af denne forordning i hele Unionen samarbejder tilsynsmyndighederne med hinanden og, hvis det er relevant, med Kommissionen gennem [sammenhængsmekanismen] [...].«
14
Databeskyttelsesforordningens artikel 65 med overskriften »Tvistbilæggelse ved Databeskyttelsesrådet« bestemmer følgende:
»1.   Med henblik på at sikre korrekt og konsekvent anvendelse af denne forordning i hvert enkelt tilfælde vedtager Databeskyttelsesrådet en bindende afgørelse i følgende tilfælde:
a)
hvis en berørt tilsynsmyndighed i et tilfælde som omhandlet i artikel 60, stk. 4, er fremkommet med en relevant og begrundet indsigelse mod et udkast til afgørelse udarbejdet af den ledende tilsynsmyndighed, og den ledende tilsynsmyndighed ikke har fulgt indsigelsen eller har afvist en sådan indsigelse som værende uden relevans eller ubegrundet. Den bindende afgørelse skal vedrøre alle spørgsmål, der er genstand for den relevante og begrundede indsigelse, navnlig hvorvidt denne forordning er overtrådt
b)
hvis der er uenighed om, hvilken af de berørte tilsynsmyndigheder der er kompetent med hensyn til hovedvirksomheden
c)
hvis en kompetent tilsynsmyndighed ikke anmoder om udtalelse fra Databeskyttelsesrådet i de tilfælde, der er omhandlet i artikel 64, stk. 1, eller ikke følger Databeskyttelsesrådets udtalelse udstedt i henhold til artikel 64. I så fald kan enhver berørt tilsynsmyndighed eller Kommissionen indbringe spørgsmålet for Databeskyttelsesrådet.
2.   Den afgørelse, der er omhandlet i stk. 1, vedtages inden for en måned fra forelæggelsen af spørgsmålet med et flertal på to tredjedele blandt medlemmerne af Databeskyttelsesrådet. Denne frist kan forlænges med yderligere en måned på grund af spørgsmålets kompleksitet. Afgørelsen i stk. 1 skal være begrundet og rettet til den ledende tilsynsmyndighed og alle de berørte tilsynsmyndigheder og have bindende virkning for dem.
3.   Hvis Databeskyttelsesrådet ikke har været i stand til at træffe en afgørelse inden for de i stk. 2 omhandlede frister, vedtager det sin afgørelse senest to uger efter udløbet af den anden måned som omhandlet i stk. 2 med simpelt flertal blandt Databeskyttelsesrådets medlemmer. I tilfælde af stemmelighed blandt medlemmerne af Databeskyttelsesrådet er formandens stemme udslagsgivende.
4.   De berørte tilsynsmyndigheder må ikke vedtage en afgørelse om et spørgsmål, der er forelagt for Databeskyttelsesrådet i henhold til stk. 1, i løbet af de i stk. 2 og 3 omhandlede perioder.
5.   Formanden for Databeskyttelsesrådet meddeler uden unødig forsinkelse den i stk. 1 omhandlede afgørelse til de berørte tilsynsmyndigheder. Formanden underretter Kommissionen herom. Afgørelsen offentliggøres straks på Databeskyttelsesrådets websted, når tilsynsmyndigheden har meddelt den endelige afgørelse, jf. stk. 6.
6.   Den ledende tilsynsmyndighed eller efter omstændighederne den tilsynsmyndighed, til hvem en klage er indgivet, vedtager sin endelige afgørelse på grundlag af den i denne artikels stk. 1 omhandlede afgørelse uden unødig forsinkelse og senest en måned efter, at Databeskyttelsesrådet har meddelt sin afgørelse. Den ledende tilsynsmyndighed eller efter omstændighederne den tilsynsmyndighed, til hvem klagen er indgivet, underretter Databeskyttelsesrådet om datoen for meddelelse af sin endelige afgørelse til henholdsvis den dataansvarlige eller databehandleren og den registrerede. Den berørte tilsynsmyndigheds endelige afgørelse vedtages i henhold til artikel 60, stk. 7, 8 og 9. Den endelige afgørelse skal indeholde en henvisning til den afgørelse, der er omhandlet i nærværende artikels stk. 1, og angive, at den i nævnte stykke omhandlede afgørelse vil blive offentliggjort på Databeskyttelsesrådets websted i overensstemmelse med nærværende artikels stk. 5. Den i nærværende artikels stk. 1 omhandlede afgørelse vedlægges den endelige afgørelse.«
15
Databeskyttelsesforordningens artikel 68 med overskriften »Det Europæiske Databeskyttelsesråd« bestemmer i stk. 1, at Databeskyttelsesrådet oprettes som et EU-organ med status som juridisk person.
16
Databeskyttelsesforordningens artikel 70 med overskriften »Databeskyttelsesrådets opgaver« bestemmer i stk. 1, litra a), at Databeskyttelsesrådet sikrer en ensartet anvendelse af databeskyttelsesforordningen. Med henblik herpå skal Databeskyttelsesrådet på eget initiativ eller, når det er relevant, efter anmodning fra Kommissionen navnlig føre tilsyn med og sikre korrekt anvendelse af databeskyttelsesforordningen i de tilfælde, der er omhandlet i dennes artikel 64 og 65, uden at dette berører de nationale tilsynsmyndigheders opgaver.
17
Databeskyttelsesforordningens artikel 78, der har overskriften »Adgang til effektive retsmidler over for en tilsynsmyndighed«, bestemmer følgende:
»1.   Uden at det berører andre administrative eller udenretslige klageadgange, har enhver fysisk eller juridisk person ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende.
2.   Uden at det berører andre administrative eller udenretslige klageadgange, har den enkelte registrerede adgang til effektive retsmidler, hvis den tilsynsmyndighed, der er kompetent i henhold til artikel 55 og 56, ikke behandler en klage eller undlader at underrette den registrerede om forløbet eller resultatet af en klage, der er indgivet i henhold til artikel 77, inden for tre måneder.
3.   En sag mod en tilsynsmyndighed anlægges ved en domstol i den medlemsstat, hvor tilsynsmyndigheden er etableret.
4.   Hvis sag anlægges mod en afgørelse fra en tilsynsmyndighed, der er truffet efter en udtalelse eller en afgørelse fra Databeskyttelsesrådet i forbindelse med sammenhængsmekanismen, fremsender tilsynsmyndigheden denne udtalelse eller afgørelse til domstolen.«
18
Databeskyttelsesforordningens artikel 83 fastsætter de generelle betingelser for pålæggelse af administrative bøder.
Tvistens baggrund og den omtvistede afgørelse
19
Tvistens baggrund fremgår af den appellerede kendelses præmis 2-12 og kan med henblik på den foreliggende sag sammenfattes som følger.
20
Efter Databeskyttelsesforordningens ikrafttrædelse modtog den irske tilsynsmyndighed en række klager fra brugere og ikke-brugere af beskedtjenesten »WhatsApp« om WhatsApps behandling af personoplysninger. Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (forbundskommissæren for databeskyttelse og informationsfrihed, Tyskland) anmodede i øvrigt den irske tilsynsmyndighed om bistand med hensyn til WhatsApps overholdelse af de gennemsigtighedsforpligtelser, der påhviler personer, som er ansvarlige for behandling af personoplysninger, for så vidt angår en eventuel deling af sådanne oplysninger med andre enheder i Facebook-koncernen, som i september 2021 blev omdøbt til »Meta«.
21
I december 2018 indledte den irske tilsynsmyndighed på eget initiativ en generel undersøgelse af, hvorvidt WhatsApp overholdt sine gennemsigtigheds- og oplysningsforpligtelser over for enkeltpersoner i henhold til databeskyttelsesforordningens artikel 12-14, uden at dette berørte de afgørelser, som den måtte træffe i de individuelle sager, som den var blevet forelagt. Den irske tilsynsmyndighed handlede i denne henseende som ledende tilsynsmyndighed i henhold til databeskyttelsesforordningens artikel 56, stk. 1, eftersom WhatsApp havde sit hovedforretningssted i Irland som dataansvarlig for beskedtjenesten »WhatsApps« behandlingsaktiviteter i Europa, idet denne behandling havde en grænseoverskridende karakter.
22
Efter undersøgelsesfasens afslutning i september 2019 ved efterforskerens fremlæggelse af en endelig rapport fremsatte den irske tilsynsmyndighed – efter afslutningen af mellemkommende proceduremæssige faser, hvorunder WhatsApp havde fremsat sine bemærkninger – i december 2020 et udkast til afgørelse for alle de øvrige tilsynsmyndigheder, der var berørt af sagen, med henblik på deres udtalelse i henhold til databeskyttelsesforordningens artikel 60, stk. 3.
23
I januar 2021 fremsatte otte af disse øvrige tilsynsmyndigheder indsigelser mod visse aspekter af dette udkast til afgørelse. Den irske tilsynsmyndighed svarede samlet på disse indsigelser og kom med forslag til kompromisløsninger. Selv om en af disse otte tilsynsmyndigheder efter dette svar trak en af sine indsigelser tilbage, konstaterede den irske tilsynsmyndighed, at der ikke kunne opnås enighed vedrørende andre aspekter, der var genstand for indsigelser. Den besluttede at forkaste alle de modtagne indsigelser og at forelægge dem for Databeskyttelsesrådet, således at det kunne afgøre tvisten mellem de berørte tilsynsmyndigheder om de aspekter, der var omfattet af disse indsigelser, i overensstemmelse med bestemmelserne i databeskyttelsesforordningens artikel 60, stk. 4, og artikel 65, stk. 1, litra a).
24
I maj 2021 modtog den irske tilsynsmyndighed WhatsApps skriftlige bemærkninger til de oplysninger, der var blevet drøftet af de berørte tilsynsmyndigheder, efter at den havde tilsendt WhatsApp alle de dokumenter, der var blevet udvekslet i denne forbindelse, og den fremsendte selv disse bemærkninger til Databeskyttelsesrådet, således at det kunne få kendskab hertil inden for rammerne af den tvistbilæggelsesprocedure, som denne myndighed iværksatte i juni 2021.
25
Den 28. juli 2021 vedtog Databeskyttelsesrådet den omtvistede afgørelse på grundlag af databeskyttelsesforordningens artikel 65, stk. 2.
26
Da den irske tilsynsmyndighed havde modtaget den omtvistede afgørelse, og da den havde modtaget WhatsApps bemærkninger til de økonomiske sanktioner, som det i sidste ende påtænktes at pålægge selskabet på grundlag af denne afgørelse, vedtog denne myndighed den 20. august 2021 i henhold til databeskyttelsesforordningens artikel 65, stk. 6, en endelig afgørelse rettet til WhatsApp (herefter »den endelige afgørelse«).
27
I den endelige afgørelse fastslog den irske tilsynsmyndighed, at WhatsApp havde tilsidesat gennemsigtighedsprincippet og gennemsigtighedsforpligtelserne i databeskyttelsesforordningens artikel 5, stk. 1, litra a), artikel 12, stk. 1, artikel 13, stk. 1, litra c)-f), artikel 13, stk. 2, litra a), c) og e), og artikel 14. Denne myndighed anførte derimod, at WhatsApp havde overholdt de forpligtelser, der er fastsat i databeskyttelsesforordningens artikel 13, stk. 1, litra a) og b), og artikel 13, stk. 2, litra b) og d). Som korrigerende foranstaltninger, der blev vedtaget på grundlag af databeskyttelsesforordningens artikel 58, stk. 2, litra b), d) og i), pålagde denne myndighed WhatsApp en irettesættelse, pligt til at gennemføre et vist antal foranstaltninger, der var opregnet i et bilag, med henblik på inden for en frist på tre måneder at bringe selskabet i overensstemmelse med de bestemmelser i databeskyttelsesforordningen, som var blevet tilsidesat, samt fire administrative bøder på i alt 225 mio. EUR for de konstaterede overtrædelser af denne forordnings artikel 5, stk. 1, litra a), og artikel 12, 13 og 14.
28
Desuden identificerede den irske tilsynsmyndighed i den endelige afgørelse de aspekter, for hvilke den omtvistede afgørelse pålagde den at revidere sin vurdering i sit udkast til afgørelse. Denne myndighed valgte med hensyn til disse aspekter at gengive de begrundelser, som Databeskyttelsesrådet havde anført i den omtvistede afgørelse, i deres helhed, i gråskraverede felter, og blot hver gang drage konsekvenserne heraf i en konklusion.
29
I henhold til databeskyttelsesforordningens artikel 65, stk. 6, blev den omtvistede afgørelse vedlagt den endelige afgørelse.
30
I den omtvistede afgørelse tog Databeskyttelsesrådet stilling til de spørgsmål, der havde været genstand for relevante og begrundede indsigelser som omhandlet i databeskyttelsesforordningens artikel 65, stk. 1, litra a), nemlig:
–
WhatsApps tilsidesættelse af de oplysningsforpligtelser, der er fastsat i databeskyttelsesforordningens artikel 13, stk. 1, litra d), vedrørende de oplysninger, der skal gives den registrerede ved indsamling af personoplysninger hos denne. Den irske tilsynsmyndighed havde ikke identificeret en sådan tilsidesættelse i sit udkast til afgørelse. Databeskyttelsesrådet fandt derimod, at WhatsApp havde tilsidesat denne bestemmelse.
–
Kvalificeringen som personoplysninger af oplysningerne fra en komprimeringsprocedure med tab, der almindeligvis kaldes »lossy hashing« og anvendes på data vedrørende kontakter, som ikke er brugere af WhatsApp, og som fremgår af adressebøgerne i WhatsApp-brugeres terminaler. Den irske tilsynsmyndighed havde ikke kvalificeret disse oplysninger som sådanne i sit udkast til afgørelse. Databeskyttelsesrådet fandt derimod, at de stadig udgjorde personoplysninger. Dette aspekt havde ifølge Databeskyttelsesrådet en mulig indvirkning på den eventuelle konstatering af, at WhatsApp havde tilsidesat databeskyttelsesforordningens artikel 5, stk. 1, litra c), og artikel 6, stk. 1, såvel som en indvirkning på omfanget af WhatsApps tilsidesættelse af databeskyttelsesforordningens artikel 14 og på størrelsen af den økonomiske sanktion, som selskabet af disse grunde ifaldt.
–
WhatsApps tilsidesættelse af gennemsigtighedsprincippet som omhandlet i databeskyttelsesforordningens artikel 5, stk. 1, litra a), idet den irske tilsynsmyndighed ikke havde identificeret en sådan tilsidesættelse i sit udkast til afgørelse. Databeskyttelsesrådet fandt derimod, at WhatsApp havde tilsidesat dette princip.
–
Konstateringen af WhatsApps overtrædelse af databeskyttelsesforordningens artikel 13, stk. 2, litra e), vedrørende de oplysninger, der skal gives den registrerede ved indsamling af personoplysninger hos denne, idet den irske tilsynsmyndighed ikke fandt, at den var i stand til at foretage en sådan konstatering, eftersom efterforskeren ikke havde taget stilling til spørgsmålet under undersøgelsen, og med hensyn til hvilken tilsynsmyndigheden havde vurderet, at den alene kunne fremsætte en henstilling. Databeskyttelsesrådet fandt derimod, at undersøgelsen dækkede samtlige bestemmelser i databeskyttelsesforordningens artikel 13, og at der måtte konstateres en overtrædelse af ovennævnte bestemmelse.
–
WhatsApps overtrædelse af databeskyttelsesforordningens artikel 6, stk. 1, vedrørende betingelserne for, at en behandling af personoplysninger er lovlig, hvilket den irske tilsynsmyndighed ikke havde taget stilling til. Databeskyttelsesrådet var af den opfattelse, at det af proceduremæssige årsager nemlig ikke var muligt at tage stilling hertil og konstatere en sådan overtrædelse.
–
Udvidelsen af begrundelserne for WhatsApps tilsidesættelse af oplysningsforpligtelserne i databeskyttelsesforordningens artikel 14 vedrørende de oplysninger, der skal gives den registrerede, hvis personoplysningerne ikke er indsamlet hos denne, som følge af analysen angående det andet led i nærværende præmis. Databeskyttelsesrådet bekræftede den indvirkning, som denne udvidelse skulle have på de adfærdsmæssige korrigerende foranstaltninger og den sanktion, der blev pålagt WhatsApp.
–
WhatsApps tilsidesættelse af princippet i databeskyttelsesforordningens artikel 5, stk. 1, litra c), om kun at indsamle oplysninger, som er tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles, hvilket den irske tilsynsmyndighed ikke havde taget stilling til. Databeskyttelsesrådet var af den opfattelse, at det ikke på grundlag af sagsakterne var godtgjort, at der forelå en sådan tilsidesættelse, navnlig henset til det efterforskningsområde, der blev anvendt i proceduren i forhold til WhatsApp.
–
Den frist, som den irske tilsynsmyndighed havde fastsat til seks måneder, inden for hvilken WhatsApp i henhold til de korrigerende foranstaltninger skulle opfylde de krav i databeskyttelsesforordningen, som selskabet havde tilsidesat. Databeskyttelsesrådet nedsatte denne frist til tre måneder.
–
Hvad angik de korrigerende foranstaltninger: de betingelser, hvorunder ikke-brugere af WhatsApp skulle gives oplysninger om, at WhatsApp behandlede deres personoplysninger, idet Databeskyttelsesrådet bekræftede den irske tilsynsmyndigheds vurdering heraf i dens udkast til afgørelse.
–
Hvad angår de korrigerende foranstaltninger: angivelsen af yderligere begrundelser for, at WhatsApp havde tilsidesat forpligtelserne i databeskyttelsesforordningens artikel 14, idet Databeskyttelsesrådet anførte, at denne angivelse var nødvendig for at sikre, at WhatsApp traf passende korrigerende foranstaltninger i denne henseende.
–
Henset til databeskyttelsesforordningens artikel 83 om »generelle betingelser for pålæggelse af administrative bøder«: kriterierne for størrelsen af de bøder, der skulle pålægges WhatsApp. Databeskyttelsesrådet var af den opfattelse, at den irske tilsynsmyndighed havde fejlfortolket kriteriet om den pågældende virksomheds årlige omsætning på verdensplan, at den havde fortolket begrebet »det foregående regnskabsår« korrekt, at den havde fejlfortolket reglen om, at hvis flere bestemmelser i databeskyttelsesforordningen overtrædes i forbindelse med de samme eller forbundne behandlingsaktiviteter, må den administrative bødes samlede størrelse ikke overstige beløbet for den alvorligste overtrædelse, og at den havde foretaget en korrekt fortolkning af visse af de kriterier for bødefastsættelse, der er nævnt i databeskyttelsesforordningens artikel 83, stk. 1 og 2, nemlig overtrædelsernes forsætlige eller uagtsomme karakter og deres grovhed, men at den irske tilsynsmyndighed havde fejlfortolket andre af disse kriterier, såsom en hensyntagen til omsætningen for at kvantificere sanktionen uafhængigt af beregningen af dens loft og, mere generelt, nødvendigheden af, at sanktionen er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.
–
Bødebeløbene: Databeskyttelsesrådet fandt, at de bøder, som den irske tilsynsmyndighed havde påtænkt skulle være på et samlet niveau på mellem 30 og 50 mio. EUR, skulle forhøjes, henset til de fejl i fortolkningen af visse kriterier for bødens størrelse, som denne myndighed havde begået, og det forhold, at der skulle konstateres yderligere overtrædelser fra WhatsApps side.
31
WhatsApp anlagde sag til prøvelse af den endelige afgørelse ved en irsk ret.
Retsforhandlingerne for Retten og den appellerede kendelse
32
Ved stævning indleveret til Rettens Justitskontor den 1. november 2021 anlagde WhatsApp søgsmål i henhold til artikel 263 TEUF med påstand om annullation af den omtvistede afgørelse.
33
Ved den appellerede kendelse, der blev afsagt i henhold til artikel 129 i Rettens procesreglement, afviste Retten dette søgsmål fra realitetsbehandling.
34
Selv om Retten i den appellerede kendelses præmis 36, 37 og 40 bemærkede, at den omtvistede afgørelse udgjorde en retsakt fra et EU-organ, der skulle have retsvirkninger over for tredjemand, og at WhatsApp var individuelt berørt af denne afgørelse, fandt den imidlertid i den appellerede kendelses præmis 42, at den nævnte afgørelse var en forberedende eller mellemkommende retsakt i en procedure, der skulle afsluttes med en national tilsynsmyndigheds vedtagelse af en endelig afgørelse. Retten fastslog imidlertid i den appellerede kendelses præmis 43 og 44, at en sådan retsakt kun udgjorde en »anfægtelig retsakt«, hvis den havde selvstændige retsvirkninger, i forhold til hvilke der ikke kunne sikres en tilstrækkelig domstolsbeskyttelse i forbindelse med et søgsmål til prøvelse af den afgørelse, der afsluttede den pågældende procedure.
35
I denne henseende anførte Retten i den appellerede kendelses præmis 45, at en effektiv domstolsbeskyttelse mod den omtvistede afgørelse i det foreliggende tilfælde var sikret ved den søgsmålsadgang, som WhatsApp råder over ved de nationale retter til prøvelse af den endelige afgørelse, idet en national ret i henhold til artikel 267 TEUF har kompetence til at anmode Domstolen om en præjudiciel afgørelse med henblik på en vurdering af den omtvistede afgørelses gyldighed. Retten præciserede ligeledes i den appellerede kendelses præmis 46, at den omtvistede afgørelse ikke havde selvstændige retsvirkninger over for WhatsApp i forhold til den endelige afgørelse, der blev truffet af den irske tilsynsmyndighed.
36
Retten fastslog endvidere i den appellerede kendelses præmis 49, at den omstændighed, at en sådan mellemkommende retsakt var udtryk for en myndigheds endelige stillingtagen, som skulle gentages i den endelige afgørelse, der afsluttede den pågældende procedure, ikke nødvendigvis betød, at denne retsakt i sig selv væsentligt ændrede appellantens retsstilling.
37
I øvrigt bemærkede Retten i den appellerede kendelses præmis 50, at WhatsApp ikke var umiddelbart berørt af den omtvistede afgørelse. Retten bemærkede i denne kendelses præmis 52, at denne afgørelse ikke var af en sådan karakter, at den kunne gøres gældende over for WhatsApp og uden yderligere trin i proceduren skabe forpligtelser for WhatsApp eller eventuelt rettigheder for andre enkeltpersoner, således at den ikke umiddelbart havde retsvirkninger for WhatsApps situation. Retten anførte ligeledes i kendelsens præmis 53, at selv om den omtvistede afgørelse var bindende for den irske tilsynsmyndighed med hensyn til de aspekter, som den vedrørte, overlod den ikke desto mindre denne myndighed en skønsmargen med hensyn til indholdet af den endelige afgørelse.
38
Retten fastslog således i kendelsens præmis 61 og 62, at ingen af betingelserne for, at WhatsApp kunne anses for at være umiddelbart berørt af den foranstaltning, der var genstand for selskabets søgsmål, var opfyldt, og at dette søgsmål derfor ikke kunne antages til realitetsbehandling.
39
Endelig fastslog Retten i den appellerede kendelses præmis 66-70, at resultatet af dens analyse var i overensstemmelse med det retsmiddelsystem, der er indført ved traktaterne. Retten anførte bl.a., at en antagelse til realitetsbehandling af WhatsApps søgsmål til prøvelse af den omtvistede afgørelse ville indebære en risiko for parallelle retssager ved Unionens retsinstanser og de nationale retter, idet sidstnævnte desuden havde beføjelse til at anmode Domstolen om en præjudiciel afgørelse med henblik på en vurdering af denne afgørelses gyldighed.
Parternes påstande
40
WhatsApp har med sit appelskrift nedlagt følgende påstande:
–
Den appellerede kendelse ophæves.
–
Det fastslås, at søgsmålet i første instans kan antages til realitetsbehandling.
–
Sagen hjemvises til Retten med henblik på, at denne træffer afgørelse.
–
Databeskyttelsesrådet tilpligtes at betale omkostningerne i forbindelse med appelsagen.
41
Databeskyttelsesrådet har, støttet af Forbundsrepublikken Tyskland, nedlagt følgende påstande:
–
Appellen forkastes.
–
WhatsApp tilpligtes at betale sagsomkostningerne.
–
Subsidiært hjemvises sagen til Retten med henblik på, at denne træffer afgørelse.
Om appellen
Udsagnet om, at søgsmålet i første instans blev anlagt for sent
Parternes argumentation
42
Databeskyttelsesrådet har gjort gældende, at søgsmålet i første instans blev anlagt for sent. Det har i denne henseende anført, at WhatsApp fik kendskab til de relevante dele af den omtvistede afgørelse forud for offentliggørelsen af denne på Databeskyttelsesrådets websted, og nærmere bestemt den 13. august 2021. Uafhængigt af datoen for offentliggørelsen af den omtvistede afgørelse på Databeskyttelsesrådets websted, som i øvrigt ikke kan sidestilles med en offentliggørelse i Den Europæiske Unions Tidende, begyndte søgsmålsfristen følgelig at løbe fra den 13. august 2021 og udløb den 25. oktober samme år. Eftersom WhatsApp anlagde sit annullationssøgsmål den 1. november 2021, blev dette anlagt for sent.
43
WhatsApp har gjort gældende, at Databeskyttelsesrådet udsagn om, at selskabets søgsmål blev anlagt for sent, er fejlagtig. Når sagsøgeren ikke er adressat for en retsakt, er det nemlig datoen for offentliggørelsen af denne retsakt, der er afgørende for, hvornår søgsmålsfristen begynder at løbe. Datoen for kendskabet til denne afgørelse udgør kun et subsidiært kriterium i denne henseende. Den måde, hvorpå den nævnte retsakt offentliggøres, er uden relevans. I det foreliggende tilfælde blev den omtvistede afgørelse under alle omstændigheder offentliggjort på Databeskyttelsesrådets websted den 2. september 2021, og søgsmålet blev anlagt den 1. november 2021 under overholdelse af den frist, der er fastsat i artikel 263, stk. 6, TEUF.
Domstolens bemærkninger
44
Artikel 263, stk. 6, TEUF bestemmer, at de i artiklen omhandlede klager skal indgives inden to måneder, efter at retsakten, alt efter sin art, er offentliggjort eller meddelt klageren eller, i mangel heraf senest to måneder efter, at klageren har fået kendskab til den.
45
Det fremgår klart af denne bestemmelses ordlyd, navnlig udtrykkene »alt efter sin art« og »i mangel heraf«, at udgangspunktet for søgsmålsfristen fastsættes i forhold til den pågældende situation, og at de to første kriterier, der kan udløse denne frist, er hierarkiske i forhold til det tredje. Fristen for at anlægge annullationssøgsmål begynder således principalt at løbe fra offentliggørelsen af retsakten eller meddelelsen heraf til sagsøgeren. Disse to hovedkriterier er i bestemmelsens opbygning ligestillet i den forstand, at ingen af disse to kriterier er subsidiære i forhold til det andet. Derimod er kriteriet om den dato, på hvilken sagsøgeren fik kendskab til retsakten, som udgangspunkt for søgsmålsfristen subsidiært i forhold til kriterierne om retsaktens offentliggørelse eller meddelelse (jf. i denne retning dom af 26.9.2024, WEPA Hygieneprodukte m.fl. mod Kommissionen, C-795/21 P og C-796/21 P, EU:C:2024:807, præmis 61-63 og den deri nævnte retspraksis).
46
I det foreliggende tilfælde er det ubestridt, at den omtvistede afgørelse ikke blev meddelt WhatsApp, idet Databeskyttelsesrådet i henhold til databeskyttelsesforordningens artikel 65, stk. 5, første punktum, kun er forpligtet til at underrette de berørte tilsynsmyndigheder om en sådan afgørelse. Det skal derfor undersøges, om denne afgørelse har været genstand for en »offentliggørelse« som omhandlet i artikel 263, stk. 6, TEUF.
47
Det skal i denne forbindelse præciseres, at begrebet »offentliggørelse« ikke udelukkende omfatter en offentliggørelse i Den Europæiske Unions Tidende, men derimod skal fortolkes bredt. Dette begreb omfatter bl.a. en offentliggørelse på webstedet for en af Unionens institutioner, organer, kontorer eller agenturer, når denne offentliggørelse er fastsat i afledt ret (jf. i denne retning dom af 26.9.2024, WEPA Hygieneprodukte m.fl. mod Kommissionen, C-795/21 P og C-796/21 P, EU:C:2024:807, præmis 70 og den deri nævnte retspraksis).
48
Eftersom offentliggørelsen af den omtvistede afgørelse var fastsat i databeskyttelsesforordningens artikel 65, stk. 5, tredje punktum, skal der derfor i det foreliggende tilfælde tages hensyn til den dato, hvor denne afgørelse blev offentliggjort på Databeskyttelsesrådets websted, dvs. den 2. september 2021. Denne fortolkning understøttes af 143. betragtning, tredje punktum, til databeskyttelsesforordningen, hvoraf det fremgår, at søgsmålsfristen skal beregnes fra offentliggørelsen af den pågældende afgørelse fra Databeskyttelsesrådet på dettes websted.
49
Da søgsmålet blev anlagt den 1. november 2021, er den frist, der er fastsat i artikel 263, stk. 6, TEUF, ikke blevet overskredet, hvorfor det skal undersøges, om de anbringender, der er fremsat i forbindelse med nærværende appelsag, kan rejse tvivl om Rettens vurdering i den appellerede kendelse.
Det første appelanbringende om retlige fejl ved fortolkningen og anvendelsen af begrebet anfægtelig retsakt og af betingelsen om, at sagsøgeren skal være umiddelbart berørt af den foranstaltning, der er genstand for vedkommendes søgsmål
Det første appelanbringendes første led
– Parternes argumentation
50
WhatsApp har gjort gældende, at Retten begik en retlig fejl ved at fastslå, at den omtvistede afgørelse ikke var en anfægtelig retsakt.
51
WhatsApp har navnlig anfægtet relevansen af det kriterium, som Retten benyttede i den appellerede kendelses præmis 41 med henblik på at afgøre, om en retsakt kan anfægtes eller ej. Retten fastslog således med urette, at det var nødvendigt at godtgøre, at den omtvistede afgørelse havde retsvirkninger, der væsentligt ændrede WhatsApps retsstilling, og at den berørte selskabet umiddelbart. Det ville imidlertid have været tilstrækkeligt at konkludere, at denne afgørelse havde til formål at skabe retsvirkninger i forhold til en eller flere tredjemænd, for at fastslå, at den udgjorde en anfægtelig retsakt som følge af sin endelige karakter. Under alle omstændigheder udgjorde den nævnte afgørelse ikke blot en mellemkommende foranstaltning, men var udtryk for Databeskyttelsesrådets endelige holdning.
52
Ifølge WhatsApp anvendte Retten retspraksis vedrørende mellemkommende retsakters retsvirkninger fejlagtigt ved at anvende et proceduremæssigt kriterium, hvorefter en sådan retsakt kun kan anfægtes, hvis et søgsmål til prøvelse af den endelige retsakt ikke gør det muligt at sikre en tilstrækkelig domstolsbeskyttelse, og ved at fastslå, at den omtvistede afgørelse ikke havde retsvirkninger.
53
WhatsApp har i denne sammenhæng henvist til dom af 11. november 1981, IBM mod Kommissionen (60/81, EU:C:1981:264, præmis 10 og 11), hvoraf det navnlig fremgår, at en mellemkommende retsakt kan anfægtes, når den er endelig, og når den er uafhængig af den endelige afgørelse, der vedtages efterfølgende. Denne retsakts materielle indhold skal derfor undersøges, og dens virkninger skal vurderes ud fra objektive kriterier såsom den nævnte retsakts indhold, i givet fald under hensyn til baggrunden for dens vedtagelse samt til den udstedende institutions beføjelser WhatsApp har i denne forbindelse bl.a. nævnt dom af 12. juli 2022, Nord Stream 2 mod Parlamentet og Rådet (C-348/20 P, EU:C:2022:548, præmis 63).
54
Navnlig er et annullationssøgsmål til prøvelse af en sådan retsakt kun udelukket, når retsakten for det første er af foreløbig karakter med hensyn til realiteten, således at dens ophavsmand kan ændre sit standpunkt på tidspunktet for den endelige afgørelse, der vedtages efterfølgende, og når denne endelige afgørelse for det andet vedtages af den samme EU-institution eller det samme EU-organ. Der er således ikke grundlag for at anvende begrebet mellemkommende foranstaltning på en afgørelse, der er vedtaget af en EU-institution eller et EU-organ, og som er rettet til en national myndighed, der har til opgave at gennemføre denne afgørelse i forhold til tredjemand.
55
Ifølge WhatsApp begrænsede Retten sig i det foreliggende tilfælde til at undersøge, om WhatsApp processuelt var sikret en effektiv domstolsbeskyttelse gennem søgsmålet for den nationale ret. Retten fastslog således fejlagtigt i den appellerede kendelses præmis 48 og 49, at WhatsApps argument om, at den omtvistede afgørelse udtrykte sin ophavsmands endelige stillingtagen, var uden relevans. Ved denne fremgangsmåde fandt Retten således med urette, at den omtvistede afgørelse ikke havde retsvirkninger, og at denne afgørelse ikke var uafhængig af den endelige afgørelse, uden at have vurderet den omtvistede afgørelses indhold og sammenhæng eller rækkevidden af dennes selvstændige retsvirkninger.
56
Hvad angår den omtvistede afgørelses indhold er det ubestridt, at denne afgørelse som en bindende afgørelse vedtaget på grundlag af databeskyttelsesforordningens artikel 65 havde til formål at have retsvirkninger i forhold til tredjemand, og at den var udtryk for Databeskyttelsesrådets endelige holdning til de punkter, det var blevet forelagt. Denne holdning kunne i væsentlig grad ændre WhatsApps retsstilling, bl.a. på grund af konstateringen af, at de data, der havde været genstand for en komprimering med tab, var personoplysninger, hvilken konstatering var bindende for den irske tilsynsmyndighed.
57
Hvad angår den sammenhæng, hvori den omtvistede afgørelse indgår, følger det af ordlyden af databeskyttelsesforordningens artikel 65, at denne afgørelse udgør en bindende afgørelse. Det fremgår af 143. betragtning til databeskyttelsesforordningen, at afgørelser truffet af Databeskyttelsesrådet kan berøre bl.a. en dataansvarlig umiddelbart og individuelt, hvilket antyder, at disse afgørelser kan have eksterne retsvirkninger ud over de nationale tilsynsmyndigheder, som de er rettet til. Dette understøttes såvel af formålet med den bindende virkning af Databeskyttelsesrådets afgørelser, som er at sikre en korrekt og sammenhængende anvendelse af databeskyttelsesforordningen, som af opbygningen af den procedure, der er omhandlet i databeskyttelsesforordningens artikel 65, stk. 1.
58
Hvad angår den omtvistede afgørelses selvstændige retsvirkninger – ud over dem, som den har i forhold til sine adressater – har WhatsApp anført, at denne afgørelse har sådanne virkninger i forhold til dette selskab ved bl.a. at påvirke den måde, hvorpå det påtænker at efterleve databeskyttelsesforordningen for så vidt angår de data, der er genstand for en komprimering med tab, idet Databeskyttelsesrådet kvalificerede disse oplysninger som personoplysninger. Den omtvistede afgørelse har også retsvirkninger i forhold til de nationale retter, som ikke har beføjelse til at ændre den eller erklære den ugyldig.
59
Databeskyttelsesrådet har anfægtet denne argumentation. Det har gjort gældende, at der i princippet kun kan anlægges annullationssøgsmål til prøvelse af en foranstaltning, hvorved en af Unionens institutioner, organer, kontorer eller agenturer endeligt fastlægger sit standpunkt ved afslutningen af en administrativ procedure. Mellemkommende retsakter, der har til formål at forberede en endelig afgørelse, kan derimod ikke kvalificeres som »anfægtelige retsakter«, idet sådanne retsakter ikke tilsigter at have selvstændige bindende retsvirkninger i forhold til den EU-retsakt, der således forberedes, bekræftes eller gennemføres. Endvidere kan en mellemkommende retsakt ifølge Databeskyttelsesrådet ikke gøres til genstand for et søgsmål, hvis den ulovlighed, som en sådan retsakt er behæftet med, kan påberåbes til støtte for et søgsmål, der er rettet mod den endelige afgørelse, som den forbereder.
60
I det foreliggende tilfælde udgør den omtvistede afgørelse ifølge denne part en mellemkommende retsakt, der indgår i en udelelig beslutningsprocedure, som den irske tilsynsmyndighed har gennemført, og som mundede ud i en endelig afgørelse vedtaget af denne myndighed. Selv om Databeskyttelsesrådets vurderinger var bindende, kunne de imidlertid ikke i denne sammenhæng direkte gøres gældende over for WhatsApp, og de havde ikke nogen selvstændig retsvirkning over for WhatsApp i forhold til den endelige afgørelse. Den omstændighed, at den omtvistede afgørelse indeholdt en endelig stillingtagen fra Databeskyttelsesrådet til visse aspekter, der skulle indgå i den endelige afgørelse, betød således ikke, at den omtvistede afgørelse i sig selv gav anledning til en særskilt ændring af WhatsApps retsstilling. Den omtvistede afgørelse og den endelige afgørelse blev nemlig truffet inden for rammerne af en samlet administrativ procedure bestående af indbyrdes afhængige etaper på nationalt og europæisk niveau, der vedrørte den samme genstand, og ikke efter to uafhængige procedurer, der vedrørte forskellige spørgsmål.
61
Databeskyttelsesrådet har i denne forbindelse præciseret, at tvistbilæggelsesproceduren har til formål at sikre sammenhæng i de nationale myndigheders gennemførelse af databeskyttelsesforordningen. I det foreliggende tilfælde skabte den omtvistede afgørelse ikke nye retlige forpligtelser for WhatsApp. WhatsApps forpligtelser er defineret i selve databeskyttelsesforordningen og ikke i den omtvistede afgørelse, og de anvendes af den irske tilsynsmyndighed og ikke af Databeskyttelsesrådet. Disse forpligtelser påhvilede i øvrigt WhatsApp, før de omhandlede overtrædelser blev konstateret.
62
Med hensyn til den omtvistede afgørelses angivelige eksterne retsvirkninger har Databeskyttelsesrådet anført, at dens fortolkninger kun har bindende virkning mellem parterne, dvs. mellem de berørte tilsynsmyndigheder. Ud over at den omtvistede afgørelse ikke havde direkte retsvirkning for WhatsApp, vedrørte denne afgørelse afgrænsede anvendelsesområder for databeskyttelsesforordningen, som skulle medtages og uddybes i den endelige afgørelse. Selv om Databeskyttelsesrådets fortolkninger af databeskyttelsesforordningen således kan have en vis grad af autoritet i senere sager, der vedrører lignende retlige spørgsmål, er de imidlertid ikke bindende for de nationale retter, som i tvivlstilfælde vil skulle anmode Domstolen om en præjudiciel afgørelse.
63
Forbundsrepublikken Tyskland, der er interveneret til støtte for Databeskyttelsesrådets påstande, har gjort gældende, at den sammenhængsmekanisme, der er fastsat i databeskyttelsesforordningen, herunder tvistbilæggelsesproceduren, er rent intern og alene har til formål at nå frem til en voldgiftsafgørelse i tilfælde af divergerende synspunkter blandt tilsynsmyndighederne. Det fremgår navnlig af databeskyttelsesforordningens artikel 65, stk. 2, tredje punktum, at en foranstaltning, som Databeskyttelsesrådet træffer i denne forbindelse, alene har bindende retsvirkning for de nationale tilsynsmyndigheder. Kun den endelige afgørelse er bindende for den pågældende dataansvarlige eller databehandler.
– Domstolens bemærkninger
64
Det første appelanbringendes første led vedrører spørgsmålet om, hvorvidt Retten begik en retlig fejl ved i den appellerede kendelses præmis 41-49 at fastslå, at den omtvistede afgørelse ikke udgjorde en anfægtelig retsakt som omhandlet i artikel 263, stk. 1, TEUF.
65
I henhold til denne bestemmelse prøver Domstolen bl.a. »lovligheden af de af Unionens organers, kontorers og agenturers retsakter, der skal have retsvirkning over for tredjemand«.
66
Det følger af fast retspraksis, at et annullationssøgsmål i medfør af artikel 263 TEUF kan anlægges til prøvelse af enhver bestemmelse – uanset form – udstedt af Unionens institutioner, organer, kontorer eller agenturer, som tilsigter at have bindende retsvirkninger (jf. i denne retning dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 62 og den deri nævnte retspraksis).
67
Ved afgørelsen af, om en retsakt har sådanne virkninger og derfor kan være genstand for et annullationssøgsmål i henhold til artikel 263 TEUF, skal vægten lægges på denne retsakts indhold, og disse virkninger skal vurderes ud fra objektive kriterier, såsom den nævnte retsakts indhold, i givet fald under hensyn til baggrunden for dens vedtagelse samt til den udstedende institutions, det udstedende organs, kontors eller agenturs beføjelser (jf. i denne retning dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 63 og den deri nævnte retspraksis).
68
Som generaladvokaten har anført i punkt 79 og 121 i forslaget til afgørelse, gælder det i denne henseende i lyset af artikel 263, stk. 1, TEUF, at den tredjemand, som den omhandlede retsakt har retsvirkninger over for, ikke nødvendigvis skal være sagsøgeren. Enhver fysisk eller juridisk person, der er forskellig fra ophavsmanden til denne retsakt, er nemlig tredjemand. Med henblik på at fastslå, om den nævnte retsakt har sådanne virkninger, er det derfor ikke nødvendigt at efterprøve, om disse virkninger kan påvirke sagsøgerens retsstilling, idet denne efterprøvelse kun er relevant i forbindelse med undersøgelsen af, om betingelserne i artikel 263, stk. 4, TEUF, er blevet overholdt, hvorefter enhver, der er umiddelbart og individuelt berørt af en retsakt, kan anlægge et annullationssøgsmål til prøvelse af denne retsakt, når sidstnævnte bestemmelse finder anvendelse (jf. i denne retning dom af 13.2.2025, Swissgrid mod Kommissionen, C-121/23 P, EU:C:2025:83, præmis 46). Spørgsmålet om, hvorvidt en retsakt kan anfægtes, skal derfor vurderes objektivt ud fra retsaktens materielle indhold og ikke ud fra sagsøgeren.
69
Det skal dog påpeges, at ved retsakter, hvis udarbejdelse sker i flere proceduretrin, foreligger der principielt kun en anfægtelig retsakt, hvis der er tale om en foranstaltning, som definitivt fastlægger den kompetente EU-institutions eller det kompetente EU-organs, ‑kontors eller ‑agenturs holdning, hvilket udelukker de mellemkommende foranstaltninger, der har til formål at forberede denne endelige foranstaltning, og som ikke skaber selvstændige bindende retsvirkninger over for tredjemand. Sådanne mellemkommende foranstaltninger udgøres navnlig af de foranstaltninger, der giver udtryk for en foreløbig opfattelse hos denne EU-institution eller dette EU-organ, ‑kontor eller ‑agentur (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen_60/81, EU:C:1981:264, præmis 10, af 22.9.2022, IMG mod Kommissionen, C-619/20 P og C-620/20 P, EU:C:2022:722, præmis 103, og af 18.6.2024, Kommissionen mod Afviklingsinstansen, C-551/22 P, EU:C:2024:520, præmis 92).
70
Ifølge retspraksis kan en mellemkommende foranstaltning navnlig ikke gøres til genstand for et annullationssøgsmål, hvis det er godtgjort, at den ulovlighed, som denne foranstaltning er behæftet med, kan påberåbes til støtte for et søgsmål, der er rettet mod den endelige afgørelse, som foranstaltningen forbereder. Under disse omstændigheder vil et søgsmål til prøvelse af den afgørelse, der bringer proceduren til ophør, sikre en tilstrækkelig domstolsbeskyttelse (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen_60/81, EU:C:1981:264, præmis 12, og af 15.3.2017, Stichting Woonlinie m.fl. mod Kommissionen, C-414/15 P, EU:C:2017:215, præmis 46 og den deri anførte retspraksis).
71
Hvad angår indholdet af den pågældende retsakt og det omhandlede organs beføjelser fremgår det i det foreliggende tilfælde af selve ordlyden af databeskyttelsesforordningens artikel 65, stk. 1, litra a), artikel 65, stk. 2, og artikel 68, stk. 1, at den omtvistede afgørelse er en retsakt, der hidrører fra et EU-organ, og som er bindende over for tredjemand. Denne retsakt er nemlig bindende for den ledende tilsynsmyndighed og alle de berørte tilsynsmyndigheder, som er adressater for retsakten, og som er tredjeparter i forhold til Databeskyttelsesrådet. I henhold til databeskyttelsesforordningens artikel 65, stk. 6, skal den ledende tilsynsmyndighed vedtage sin endelige afgørelse på grundlag af Databeskyttelsesrådets afgørelse. Denne endelige afgørelse skal også indeholde en henvisning til Databeskyttelsesrådets afgørelse, som skal vedlægges den endelige afgørelse.
72
Hvad angår den sammenhæng, hvori den omtvistede afgørelse blev vedtaget, er det desuden ubestridt, at denne afgørelse blev udarbejdet inden for rammerne af en procedure, der omfattede flere proceduremæssige etaper som omhandlet i den retspraksis, der er nævnt i nærværende doms præmis 69, i og med at den gik forud for den irske tilsynsmyndigheds vedtagelse af en anden retsakt. Denne afgørelse fastlægger imidlertid endeligt – som omhandlet i denne retspraksis – holdningen hos det kompetente EU-organ, nemlig Databeskyttelsesrådet, og udtømmer alle de spørgsmål, som dette organ skal afgøre. Det skal nemlig fastslås, at en sådan afgørelse, der træffes på grundlag af databeskyttelsesforordningens artikel 65, stk. 1, litra a), vedrører alle de spørgsmål, der er genstand for en relevant og begrundet indsigelse fra de berørte tilsynsmyndigheder som omhandlet i databeskyttelsesforordningens artikel 60, stk. 4, navnlig spørgsmålet om, hvorvidt der er sket en overtrædelse af databeskyttelsesforordningen.
73
Det følger af det ovenstående, at selv om den omtvistede afgørelse ikke udgør det sidste trin i den sammenhængsprocedure, der er fastsat i databeskyttelsesforordningens artikel 58, 60 og 65, kan den – i modsætning til hvad Retten fastslog i den appellerede kendelses præmis 42 – ikke kvalificeres som en mellemkommende foranstaltning, der ikke kan gøres til genstand for et søgsmål som omhandlet i den retspraksis, der er nævnt i nærværende doms præmis 69. Følgelig er den retspraksis, der er nævnt i nærværende doms præmis 70, uden relevans i den foreliggende sag.
74
Eftersom Databeskyttelsesrådets afgørelse har bindende retsvirkninger i forhold til tredjemand, er det i denne sammenhæng uden betydning, at rækkevidden af den nationale tilsynsmyndigheds endelige afgørelse omfatter spørgsmål, der ikke henhører under forelæggelsen af sagen for Databeskyttelsesrådet eller dette råds kompetence.
75
Af de samme grunde er den omstændighed, som Retten anførte i den appellerede kendelses præmis 42, nemlig at den omtvistede afgørelse i modsætning til den irske tilsynsmyndigheds endelige afgørelse ikke kan gøres gældende over for andre enheder end sine adressater, ligeledes uden relevans for kvalificeringen af denne afgørelse som en anfægtelig retsakt i henhold til artikel 263, stk. 1, TEUF. En sådan omstændighed, der vedrører appellantens retsstilling i forhold til den omtvistede afgørelse, angår hverken den omtvistede afgørelses materielle indhold eller dens bindende retsvirkninger på grundlag af objektive kriterier.
76
Det følger af samtlige disse betragtninger, at den omtvistede afgørelse udgør en retsakt fra et EU-organ, som har til formål at have retsvirkninger over for tredjeparter, og som udtrykker dette organs endelige stillingtagen til de punkter, det skal tage stilling til, således som Retten i øvrigt selv fastslog i den appellerede kendelses præmis 36, 37 og 49. Denne afgørelse udgør således – i lyset af ordlyden af artikel 263, stk. 1, TEUF og den retspraksis, der er nævnt i nærværende doms præmis 66-69 – en anfægtelig retsakt, uden at det på dette trin er nødvendigt at vurdere, om afgørelsen har medført en væsentlig ændring af WhatsApps retsstilling.
77
Det skal i denne forbindelse fastslås, at Retten begik en retlig fejl dels i den appellerede kendelses præmis 38 ved at sammenblande de krav, der følger af henholdsvis artikel 263, stk. 1 og 4, TEUF, dels i den appellerede kendelses præmis 42 ved at formulere et urigtigt kriterium om, at den omhandlede retsakt ikke kunne gøres direkte gældende over for WhatsApp, og ved at kvalificere den omtvistede afgørelse som en mellemkommende foranstaltning uden selvstændige retsvirkninger.
78
Det første appelanbringendes første led skal derfor tages til følge.
Det første appelanbringendes andet led
– Parternes argumentation
79
WhatsApp har gjort gældende, at Retten begik en retlig fejl ved at fastslå, at selskabet ikke var umiddelbart berørt af den omtvistede afgørelse, og at selskabets søgsmål derfor ikke kunne antages til realitetsbehandling.
80
For det første og hvad angår betingelsen om, at retsakten skal have umiddelbar indvirkning på appellantens retsstilling, konkluderede Retten i den appellerede kendelses præmis 52 med urette, at WhatsApp ikke var umiddelbart berørt af den omtvistede afgørelse, med den begrundelse, at denne afgørelse ikke kunne gøres gældende over for selskabet og ikke udgjorde det sidste trin i den procedure, der er fastsat i databeskyttelsesforordningens artikel 58, 60 og 65.
81
For det andet og hvad angår betingelsen om, at en retsakt ikke må overlade nogen skønsbeføjelser til de adressater, der skal gennemføre den, er WhatsApp af den opfattelse, at Retten begik en retlig fejl ved i den appellerede kendelses præmis 53-60 at fastslå, at den omtvistede afgørelse havde overladt den irske tilsynsmyndighed en skønsmargen med hensyn til indholdet af dens endelige afgørelse, samtidig med at Retten anerkendte, at den omtvistede afgørelse var bindende for denne tilsynsmyndighed med hensyn til de aspekter, som afgørelsen vedrørte.
82
Hvad angår den appellerede kendelses præmis 54-56 hvori Retten fandt, at den omtvistede afgørelses indhold var delvist i forhold til den endelige afgørelse, har WhatsApp gjort gældende, at det var nødvendigt at undersøge den manglende skønsbeføjelse ved at se på selve det materielle indhold af den omtvistede afgørelse uden at henvise til det yderligere indhold af den endelige afgørelse. Databeskyttelsesrådet analyserede således kun visse aspekter af et konkret tilfælde, nemlig de spørgsmål, der havde været genstand for relevante og begrundede indsigelser fra de berørte tilsynsmyndigheder. Den omtvistede afgørelse kan således ikke vedrøre hele sagen og kan ikke omfatte aspekter, der ikke henhører under forelæggelsen af sagen for Databeskyttelsesrådet eller dette råds kompetence.
83
Retten begik desuden en retlig fejl ved i den appellerede kendelses præmis 57-59 at fastslå, at den irske tilsynsmyndighed havde udøvet sine skønsbeføjelser til at drage konklusioner af den omtvistede afgørelse. Hvad for det første angår kvalificeringen af de data, der havde været genstand for en komprimering med tab, som personoplysninger, har WhatsApp gjort gældende, at denne kvalificering fra Databeskyttelsesrådets side medfører yderligere forpligtelser for selskabet i henhold til databeskyttelsesforordningen, og dette uafhængigt af, at den ledende tilsynsmyndighed udøvede en materiel skønsbeføjelse, der gik ud over en sådan kvalificering, ved at efterprøve, om WhatsApp havde handlet som dataansvarlig eller databehandler. Hvad for det andet angår forhøjelsen af de bøder, der skulle pålægges WhatsApp, overlod denne afgørelse ikke den irske tilsynsmyndighed nogen skønsmargen, idet denne myndighed var forpligtet til at pålægge en højere bøde end den oprindeligt påtænkte. Den omstændighed, at denne myndighed bevarer en skønsbeføjelse med hensyn til fastsættelsen af den præcise bødestørrelse, er uden relevans, eftersom denne opgave henhører under myndighedens kompetence.
84
Databeskyttelsesrådet er uenig i denne argumentation og gør gældende, at to kumulative kriterier skal være opfyldt, for at en fysisk eller juridisk person, som ikke er adressat for en individuel retsakt, er umiddelbart berørt af en EU-retsakt. For det første skal denne retsakt have en direkte indvirkning på denne persons retsstilling, og for det andet må den ikke overlade et skøn til den adressat, der skal gennemføre den, idet gennemførelsen skal ske helt automatisk uden anvendelse af andre mellemkommende regler.
85
Hvad angår det første kriterium har Databeskyttelsesrådet anført, at en retsakts bindende virkning skal vurderes i forhold til dens indvirkning på sagsøgerens særlige situation. I det foreliggende tilfælde kan den omtvistede afgørelse ikke gøres gældende over for WhatsApp på en måde, så den uden yderligere proceduremæssige trin kan skabe forpligtelser. Denne afgørelse udgjorde ikke det sidste trin i den procedure, der er omhandlet i databeskyttelsesforordningens artikel 58, 60 og 65, og fastsatte navnlig ikke bødens endelige størrelse og fastsatte heller ikke et nyt regelsæt for WhatsApps aktiviteter. Det er således kun den endelige afgørelse, der berører WhatsApp umiddelbart, idet den irske tilsynsmyndighed i henhold til databeskyttelsesforordningens artikel 56, stk. 6, er denne virksomheds eneste kontakt i virksomhedens egenskab af dataansvarlig.
86
Med hensyn til det andet kriterium har Databeskyttelsesrådet anført, at den irske tilsynsmyndighed bevarede en reel skønsbeføjelse med hensyn til de konklusioner, der skulle drages i dens endelige afgørelse, som havde en bredere rækkevidde end den omtvistede afgørelse, og som indeholdt konstateringer, som Databeskyttelsesrådet ikke blev anmodet om at udtale sig om, idet forelæggelsen af sagen for Databeskyttelsesrådet var begrænset til de spørgsmål, der havde været genstand for relevante og begrundede indsigelser. Under alle omstændigheder er der en indbyrdes afhængighed mellem den omtvistede afgørelse og den endelige afgørelse. Det er ikke muligt at udskille de dele af den endelige afgørelse, der svarer til Databeskyttelsesrådets instrukser, hvilket underbygges af den omstændighed, at Databeskyttelsesrådet har overladt den irske tilsynsmyndighed en vis skønsmargen på flere områder.
87
Under sådanne omstændigheder vil en national ret være bedre i stand til at foretage en fornyet prøvelse af denne endelige afgørelse ved i givet fald at forelægge Domstolen præjudicielle spørgsmål vedrørende de bestemmelser i databeskyttelsesforordningen, der anvendes såvel ex officio som på grundlag af Databeskyttelsesrådets instrukser.
88
Ifølge Databeskyttelsesrådet havde den irske tilsynsmyndighed ligeledes bevaret en vis skønsmargen med hensyn til de spørgsmål, der blev behandlet i den omtvistede afgørelse, navnlig de spørgsmål, der angik dels de retlige konsekvenser, der skulle drages af kvalificeringen af de data, der var genstand for en komprimering med tab, som personoplysninger, dels fastsættelsen af størrelsen af de bøder, der skulle pålægges WhatsApp. Hvad angår dette første aspekt havde denne myndighed bevaret en skønsbeføjelse og foretaget en selvstændig undersøgelse, bl.a. med hensyn til overholdelsen af databeskyttelsesforordningens artikel 14. Det er i denne forbindelse fejlagtigt at hævde, at Databeskyttelsesrådet havde foretaget en »fuldstændig« vurdering, idet rådets kompetence var begrænset til indholdet af de relevante og begrundede indsigelser og ikke omfattede hele overtrædelsesproceduren. Hvad angår det andet aspekt, nemlig fastsættelsen af bøderne, forholder det sig således, at selv om den omtvistede afgørelse indeholder generelle instrukser vedrørende bøderne, angår den hverken gennemførelsen af disse instrukser eller beregningen af disse bøder.
89
Forbundsrepublikken Tyskland er af den opfattelse, at eftersom den ledende myndighed var WhatsApps eneste kontakt, kan dette selskab ikke anses for at være umiddelbart berørt af den omtvistede afgørelse. En sådan afgørelse har ikke til formål at blive gennemført selvstændigt, men skal altid efterfølges af en endelig afgørelse fra denne myndighed. EU-lovgiver har nemlig foretaget et bevidst valg om et decentraliseret tilsyn med databeskyttelsesforordningen uden at vælge at oprette en central europæisk databeskyttelsesmyndighed.
– Domstolens bemærkninger
90
Det første appelanbringendes andet led vedrører spørgsmålet om, hvorvidt Retten begik en retlig fejl ved i den appellerede kendelses præmis 50-60 at fastslå, at den omtvistede afgørelse ikke berørte WhatsApp umiddelbart som omhandlet i artikel 263, stk. 4, TEUF, og at WhatsApps søgsmål derfor ikke kunne antages til realitetsbehandling.
91
Ifølge denne bestemmelse kan enhver fysisk eller juridisk person på det grundlag, der er omhandlet i artikel 263, stk. 1 og 2, TEUF, indbringe klage med henblik på prøvelse af retsakter, der er rettet til vedkommende, eller som berører denne umiddelbart og individuelt, samt af regelfastsættende retsakter, der berører vedkommende umiddelbart, og som ikke omfatter gennemførelsesforanstaltninger.
92
Antagelsen til realitetsbehandling af et søgsmål anlagt af en fysisk eller juridisk person til prøvelse af en retsakt, der ikke er rettet til vedkommende, i medfør af artikel 263, stk. 4, TEUF forudsætter således bl.a., at denne retsakt berører vedkommende umiddelbart og individuelt (dom af 3.12.2019, Iccrea Banca, C-414/18, EU:C:2019:1036, præmis 64 og den deri nævnte retspraksis).
93
Som Retten fastslog i den appellerede kendelses præmis 40, er det i det foreliggende tilfælde godtgjort, at WhatsApp er individuelt berørt af den omtvistede afgørelse, eftersom denne afgørelse angår visse aspekter af udkastet til endelig afgørelse, som specifikt vedrører denne virksomheds situation. I denne kendelses præmis 52 og 53 fandt Retten imidlertid, at WhatsApp ikke var umiddelbart berørt af den omtvistede afgørelse, dels fordi denne afgørelse ikke var af en sådan karakter, at den kunne gøres gældende over for WhatsApp og uden yderligere trin i proceduren skabe forpligtelser for WhatsApp eller eventuelt rettigheder for andre enkeltpersoner, dels fordi den omtvistede afgørelse, selv om den var bindende for den irske tilsynsmyndighed med hensyn til de aspekter, som den vedrørte, overlod denne myndighed en skønsmargen med hensyn til indholdet af den endelige afgørelse.
94
Det skal i denne forbindelse påpeges, at det følger af fast retspraksis, at betingelsen om, at en fysisk eller juridisk person skal være umiddelbart berørt af den afgørelse, som prøves under en sag, kræver, at to kumulative betingelser er opfyldt, nemlig for det første, at den anfægtede foranstaltning umiddelbart skal have indvirkning på den pågældendes retsstilling, og for det andet, at foranstaltningen ikke må overlade et skøn til de adressater, der skal gennemføre den, men at gennemførelsen skal ske helt automatisk og udelukkende i medfør af EU-reglerne uden anvendelse af andre mellemkommende regler (dom af 4.10.2024, Kommissionen og Rådet mod Front Polisario, C-779/21 P og C-799/21 P, EU:C:2024:835, præmis 87 og den deri nævnte retspraksis).
95
Inden det undersøges, om disse to betingelser er opfyldt i den foreliggende sag, skal det præciseres, at den omstændighed, at en anfægtet retsakt ikke kan gøres direkte gældende over for en sagsøger, og den omstændighed, at denne retsakt ikke udgør det sidste trin i en sammensat procedure, ikke er til hinder for, at denne sagsøger kan være umiddelbart berørt af retsakten, når adressaten for retsakten ikke råder over nogen skønsbeføjelse (jf. i denne retning dom af 4.6.1992, Infortec mod Kommissionen, C-157/90, EU:C:1992:243, præmis 13 og 17, dom af 3.12.2019, Iccrea Banca, C-414/18, EU:C:2019:1036, præmis 65 og 67, og af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 74).
96
Som generaladvokaten har anført i punkt 139 og 144 i forslaget til afgørelse, begik Retten følgelig en retlig fejl ved i den appellerede kendelses præmis 52 at fastslå, at WhatsApp ikke kunne være umiddelbart berørt af den omtvistede afgørelse, eftersom denne afgørelse ikke var af en sådan karakter, at den kunne gøres gældende over for WhatsApp, og ikke var det sidste trin i den procedure, der er fastsat i databeskyttelsesforordningens artikel 58, 60 og 65.
97
Hvad angår overholdelsen af den første af de betingelser, der er nævnt i nærværende doms præmis 94, skal det vurderes, om den anfægtede retsakt har givet anledning til en væsentlig ændring af den pågældende fysiske eller juridiske persons retsstilling, idet der skal lægges vægt på denne retsakts materielle indhold, og idet retsaktens virkninger skal vurderes ud fra objektive kriterier såsom retsaktens indhold, eventuelt under hensyn til baggrunden for dens vedtagelse samt til den udstedende institutions, det udstedende organs, kontors eller agenturs beføjelser (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen_60/81, EU:C:1981:264, præmis 9, og af 18.6.2024, Kommissionen mod Afviklingsinstansen, C-551/22 P, EU:C:2024:520, præmis 65 og den deri nævnte retspraksis).
98
Som anført i nærværende doms præmis 30 konkluderede Databeskyttelsesrådet i den foreliggende sag i den omtvistede afgørelse bl.a., at WhatsApp havde tilsidesat de oplysningsforpligtelser, der er fastsat i databeskyttelsesforordningens artikel 13, stk. 1, litra d), og overtrådt databeskyttelsesforordningens artikel 13, stk. 2, litra e). Følgelig ændrer denne afgørelse WhatsApps retsstilling, idet WhatsApp på grund af Databeskyttelsesrådets indgriben navnlig blev nødsaget til at ændre sit kontraktforhold med brugerne af den meddelelsestjeneste, som WhatsApp leverer. Det følger heraf, at der er en direkte forbindelse mellem den nævnte afgørelse og dens indvirkning på WhatsApps situation som omhandlet i den retspraksis, der er nævnt i nærværende doms præmis 94 og 95.
99
I modsætning til hvad Databeskyttelsesrådet har gjort gældende, er det uden betydning for denne konstatering, at den irske tilsynsmyndighed i henhold til databeskyttelsesforordningens artikel 56, stk. 6, er WhatsApps eneste kontakt i dette selskabs egenskab af dataansvarlig. Denne bestemmelse har nemlig udelukkende til formål at tilrettelægge forholdet mellem en dataansvarlig eller databehandler, en ledende tilsynsmyndighed og de berørte tilsynsmyndigheder, således at bestemmelsen ikke vedrører de retsmidler, der er til rådighed over for Databeskyttelsesrådets afgørelser.
100
Hvad angår overholdelsen af den anden af de betingelser, der er nævnt i nærværende doms præmis 94, skal der ved vurderingen af, om en retsakt overlader adressaterne en skønsbeføjelse med henblik på dens gennemførelse, foretages en undersøgelse af de retsvirkninger, som de bestemmelser i denne retsakt, der er genstand for søgsmålet, har for situationen for den person, der påberåber sig søgsmålsretten i henhold til artikel 263, stk. 4, andet sætningsled, TEUF (jf. i denne retning dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 98 og den deri nævnte retspraksis).
101
Det skal navnlig afvises, at der foreligger en sådan skønsmargen, hvis det godtgøres, at de bestemmelser i retsakten, der er genstand for søgsmålet, har haft den direkte følge, at denne person er blevet pålagt forpligtelser, hvis resultat ikke kan ændres af den enhed, der efterfølgende har til opgave at gennemføre denne retsakt (jf. i denne retning dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 114).
102
Som det fremgår af nærværende doms præmis 71 og 72, skal der i det foreliggende tilfælde erindres om, at den omtvistede afgørelse er bindende for den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder. Disse myndigheder kunne ikke fravige det standpunkt, som Databeskyttelsesrådet indtog i denne afgørelse, og som er nævnt i nærværende doms præmis 30. I denne afgørelse blev der nemlig taget stilling til de retlige spørgsmål, der lå til grund for forelæggelsen af sagen for Databeskyttelsesrådet, og afgørelsen var ubetinget bindende for disse myndigheder, navnlig for så vidt angik konstateringen af, at visse bestemmelser i databeskyttelsesforordningen var blevet overtrådt, kvalificeringen af de data, der havde været genstand for en komprimering med tab, som personoplysninger, og forpligtelsen til at forhøje de påtænkte bøder. De nævnte myndigheder havde ikke mulighed for at ændre resultatet af Databeskyttelsesrådets vurderinger for så vidt angik disse spørgsmål som omhandlet i den retspraksis, der er nævnt i nærværende doms foregående præmis.
103
I denne henseende har Databeskyttelsesrådet i henhold til databeskyttelsesforordningens artikel 70, stk. 1, litra a), til opgave at sikre en ensartet anvendelse af databeskyttelsesforordningen ved, således som det fremgår af tiende betragtning hertil, at overvåge og sikre, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af deres personoplysninger anvendes konsekvent og ensartet overalt i Unionen i de tilfælde, der er omhandlet i bl.a. databeskyttelsesforordningens artikel 65, uden at dette berører de nationale tilsynsmyndigheders opgaver.
104
I denne sammenhæng er det uden betydning, at den endelige afgørelses rækkevidde omfatter spørgsmål, der ikke henhører under forelæggelsen af sagen for Databeskyttelsesrådet, dvs. aspekter, der ikke har været genstand for relevante og begrundede indsigelser som omhandlet i databeskyttelsesforordningens artikel 65, stk. 1, litra a), eller spørgsmål, der ikke henhører under dette organs kompetence, såsom bl.a. fastsættelsen af den præcise størrelse af den bøde, der skal pålægges den dataansvarlige eller databehandleren, hvilket påhviler den tilsynsmyndighed, som sagen er indbragt for i henhold til databeskyttelsesforordningens artikel 58, stk. 2, litra i), og artikel 83.
105
Selv om der ganske vist består en indbyrdes afhængighed mellem den omtvistede afgørelse og den endelige afgørelse, forholder det sig desuden ikke desto mindre således, at disse afgørelser udgør særskilte retsakter, og at rækkevidden af den omtvistede afgørelse er klart afgrænset, således som det fremgår af opregningen i nærværende doms præmis 30. Under disse omstændigheder kan denne indbyrdes afhængighed ikke være til hinder for konstateringen af, at WhatsApp er umiddelbart berørt af den omtvistede afgørelse.
106
Navnlig gælder det, at selv om en samtidige anlæggelse af et annullationssøgsmål ved Unionens retsinstanser på grundlag af artikel 263 TEUF til prøvelse af Databeskyttelsesrådets bindende afgørelse og ved en national ret i henhold til databeskyttelsesforordningens artikel 78 til prøvelse af den endelige afgørelse, som den nationale tilsynsmyndighed vedtager på grundlag af denne bindende afgørelse, ganske vist giver anledning til to parallelle retssager, har denne situation ikke til følge, at virkningerne af Databeskyttelsesrådets afgørelse i det foreliggende tilfælde skal anses for at være indirekte i forhold til WhatsApp.
107
For det første fremgår det nemlig af Domstolens praksis, at såfremt afgørelsen i den sag, som den nationale ret behandler, afhænger af, om et EU-organs afgørelse er gyldig, følger det af forpligtelsen til loyalt samarbejde, at den nationale ret for at undgå at træffe en afgørelse, der strider mod dette organs afgørelse, skal udsætte sagen, indtil Unionens retsinstanser har truffet en endelig afgørelse vedrørende annullationssøgsmålet, medmindre den finder, at det efter omstændighederne i sagen er berettiget at forelægge et præjudicielt spørgsmål for Domstolen vedrørende gyldigheden af det omhandlede organs afgørelse (jf. i denne retning dom af 14.12.2000, Masterfoods og HB, C-344/98, EU:C:2000:689, præmis 57, og af 25.7.2018, Georgsmarienhütte m.fl., C-135/16, EU:C:2018:582, præmis 24).
108
For det andet skal det ligeledes anføres, at princippet om god retspleje, i tilfælde af at der samtidigt anlægges et søgsmål for Retten, inden for rammerne af et annullationssøgsmål, og for Domstolen, inden for rammerne af en præjudiciel forelæggelse, kan begrunde, at Domstolen, hvis den finder det hensigtsmæssigt, anvender artikel 54, stk. 3, i statutten for Den Europæiske Unions Domstol med henblik på at udsætte den sag, som verserer for den, til fordel for den sag, som er anlagt for Retten (dom af 25.7.2018, Georgsmarienhütte m.fl., C-135/16, EU:C:2018:582, præmis 25).
109
Eftersom de to betingelser, der er nævnt i nærværende doms præmis 94, er opfyldt, er WhatsApp følgelig umiddelbart berørt af den omtvistede afgørelse.
110
Henset til ovenstående betragtninger skal det første appelanbringendes andet led derfor tages til følge, og den appellerede kendelse skal følgelig ophæves.
Det første appelanbringendes tredje led
111
WhatsApp har med sit første appelanbringendes tredje led gjort gældende, at Rettens konstatering i den appellerede kendelses præmis 66-70, hvorefter afvisningen af selskabets søgsmål er i overensstemmelse med det retsmiddelsystem, der er indført ved EU-traktaten og EUF-traktaten, er behæftet med en retlig fejl.
112
Henset til konklusionen i nærværende doms præmis 110 er det ufornødent at tage stilling til det første appelanbringendes tredje led.
Det andet appelanbringende om en retlig fejl ved fortolkningen og anvendelsen af databeskyttelsesforordningens artikel 65 og af princippet om en sammenhængende anvendelse af EU-retten
113
WhatsApp har under henvisning til den argumentation, der er fremført under det første appelanbringende, gjort gældende, at Retten tilsidesatte databeskyttelsesforordningens artikel 65, stk. 1, og princippet om en sammenhængende anvendelse af EU-retten ved i den appellerede kendelses præmis 41-60 at fastslå, at den omtvistede afgørelse ikke havde andre retsvirkninger end sine bindende virkninger over for de berørte tilsynsmyndigheder.
114
Da WhatsApp har begrænset sig til at henvise til den argumentation, der er fremført til støtte for selskabets første appelanbringende, og henset til konklusionen i nærværende doms præmis 110, er det ufornødent at tage stilling til dette andet appelanbringende, eftersom dette ikke kan medføre en mere omfattende ophævelse af den appellerede kendelse.
Sagens hjemvisning til Retten
115
I henhold til artikel 61, stk. 1, i statutten for Den Europæiske Unions Domstol kan Domstolen, når den ophæver den af Retten trufne afgørelse, selv træffe endelig afgørelse, hvis sagen er moden til påkendelse.
116
Denne betingelse er opfyldt i det foreliggende tilfælde, da sagen alene vedrører spørgsmålet om, hvorvidt det søgsmål, der blev anlagt ved Retten, kan antages til realitetsbehandling.
117
For det første skal det hertil bemærkes, at den omtvistede afgørelse, således som det fremgår af nærværende doms præmis 76, udgør en anfægtelig retsakt i relation til artikel 263, stk. 1, TEUF. For det andet er WhatsApp, således som fastslået i nærværende doms præmis 109, umiddelbart berørt af den omtvistede afgørelse som omhandlet i artikel 263, stk. 4, TEUF. For det tredje er WhatsApp individuelt berørt af denne afgørelse, således som Retten selv fastslog i den appellerede kendelses præmis 40.
118
Da de betingelser, der er fastsat i artikel 263, stk. 1 og 4, TEUF, således er opfyldt, og da der ikke foreligger nogen andre afvisningsgrunde, skal annullationssøgsmålet følgelig antages til realitetsbehandling.
119
Da Retten imidlertid ikke har realitetsbehandlet det søgsmål, der var indbragt for den, og hvis afgørelse kræver en detaljeret faktisk og retlig vurdering, er sagen ikke moden til påkendelse vedrørende realiteten.
120
Følgelig skal sagen hjemvises til Retten.
Sagsomkostninger
121
Da sagen hjemvises til Retten, bør afgørelsen om sagsomkostningerne i appelsagen udsættes.
På grundlag af disse præmisser udtaler og bestemmer Domstolen (Store Afdeling):
1)
Den Europæiske Unions Rets kendelse af 7. december 2022, WhatsApp Ireland mod Det Europæiske Databeskyttelsesråd (T-709/21, EU:T:2022:783), ophæves.
2)
Sagen hjemvises til Retten.
3)
Afgørelsen om sagsomkostningerne udsættes.
Underskrifter
(
*1
) – Processprog: engelsk.