62021TO0709
ÜLDKOHTU MÄÄRUS (neljas koda laiendatud koosseisus)
7. detsember 2022 (
*1
)
Tühistamishagi – Isikuandmete kaitse – Juhtiva järelevalveasutuse otsuse eelnõu – Järelevalveasutuste vaheliste vaidluste lahendamine Euroopa Andmekaitsenõukogu poolt – Siduv otsus – Määruse (EL) 2016/679 artikli 60 lõige 4 ja artikli 65 lõike 1 punkt a – Vaidlustamatu akt – Ettevalmistav akt – Otsese puutumuse puudumine
Kohtuasjas T‑709/21,
WhatsApp Ireland Ltd, asukoht Dublin (Iirimaa), esindajad: advokaadid H.‑G. Kamann, F. Louis ja A. Vallery, solicitors P. Nolan, B. Johnston ja C. Monaghan ning P. Sreenan, D. McGrath, SC, ja barristers C. Geoghegan ja E. Egan McGrath,
hageja,
versus
Euroopa Andmekaitsenõukogu, esindajad: I. Vereecken ja G. Le Grand, keda abistasid advokaadid G. Ryelandt, E. de Lophem ja P. Vernet,
kostja,
ÜLDKOHUS (neljas koda laiendatud koosseisus),
nõupidamiste ajal koosseisus: koja president S. Gervasoni, kohtunikud L. Madise (ettekandja), P. Nihoul, R. Frendo ja J. Martín y Pérez de Nanclares,
kohtusekretär: E. Coulon,
arvestades menetluse kirjalikku osa, nimelt:
– hagiavaldust, mis saabus Üldkohtu kantseleisse 1. novembril 2021,
– kostja vastust, mis saabus Üldkohtu kantseleisse 1. veebruaril 2022,
– repliiki, mis saabus Üldkohtu kantseleisse 9. mail 2022;
– vasturepliiki, mis saabus Üldkohtu kantseleisse 18. juulil 2022;
– menetlust korraldavat meedet, millega Üldkohus palus pooltel võtta repliigis ja vasturepliigis seisukoht kõigi Üldkohtu pädevust ja hagi vastuvõetavust puudutavate oluliste küsimuste kohta,
on teinud järgmise
määruse
1
Hageja WhatsApp Ireland Ltd (edaspidi „WhatsApp“) palub ELTL artikli 263 alusel esitatud hagis tühistada Euroopa Andmekaitsenõukogu (edaspidi „andmekaitsenõukogu“) 28. juuli 2021. aasta siduv otsus 1/2021, mis käsitleb asjaga seotud järelevalveasutuste vahelist vaidlust Data Protection Commissioni (Iiri isikuandmete kaitse järelevalveasutus, edaspidi „Iiri järelevalveasutus“) poolt WhatsAppi kohta koostatud otsuse eelnõu (edaspidi „vaidlustatud otsus“) üle.
Vaidlustatud otsusest varasemad ja hilisemad asjaolud ning menetlus
2
Pärast Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1) jõustumist sai Iiri järelevalveasutus kaebusi sõnumiteenuse WhatsApp kasutajatelt ja mittekasutajatelt seoses isikuandmete töötlemisega WhatsAppi poolt. Saksa föderaalne järelevalveasutus palus Iiri järelevalveasutuse abi küsimuses, kas WhatsApp täidab temal kui isikuandmete vastutaval töötlejal olevaid kohustusi osas, mis puudutab niisuguste andmete võimalikku jagamist Facebooki (2021. aasta septembris ümber nimetatud Metaks) kontserni teiste üksustega.
3
Iiri järelevalveasutus algatas 2018. aasta detsembris omal algatusel üldise uurimise selle kohta, kas WhatsApp täidab määruse 2016/679 artiklites 12, 13 ja 14 sätestatud läbipaistvus‑ ja teavitamiskohustusi üksikisikute (vastandatuna ettevõtjatele) suhtes, ilma et see mõjutaks meetmeid, mida ta võib võtta talle esitanud individuaalsete kaebuste suhtes. Iiri järelevalveasutus tegutses sellega seoses juhtiva järelevalveasutusena, nagu on ette nähtud määruse 2016/679 artikli 56 lõikes 1, kuna WhatsAppi peamine tegevuskoht Euroopas pakutava sõnumiteenuse WhatsApp vastutava töötlejana on Iirimaal ja see töötlemine on piiriülene.
4
Pärast seda, kui uurimine jõudis 2019. aasta septembris lõpule uurija lõpparuande esitamisega, esitas Iiri järelevalveasutuse otsuste tegija pärast vahepealseid menetlusetappe, mille käigus WhatsApp esitas märkusi, 2020. aasta detsembris kõigile teistele asjaga seotud järelevalveasutustele, st kõigile teiste liikmesriikide järelevalveasutustele, arvamuse saamiseks otsuse eelnõu, nagu on ette nähtud määruse 2016/679 artikli 60 lõikes 3.
5
2021. aasta jaanuaris väljendasid kaheksa neist järelevalveasutustest – Saksamaa föderaalne järelevalveasutus, Baden-Württembergi, Ungari, Madalmaade, Poola, Prantsusmaa, Itaalia ja Portugali järelevalveasutus – vastuväiteid kõnealuse otsuse eelnõu teatavate aspektide kohta. Lisaks esitasid erinevad järelevalveasutused lihtsalt kommentaare. Iiri järelevalveasutus andis asjaga seotud järelevalveasutustele ühise vastuse, pakkudes kompromisslahendusi. Kuigi üks neist asutustest võttis selle vastuse peale oma vastuväite tagasi, tõdes Iiri järelevalveasutus, et järelevalveasutused ei ole ühel meelel tema ettepanekute teiste aspektide osas, mille suhtes esitati vastuväiteid, ning otsustas kõik need vastuväited tagasi lükata, et pöörduda neid aspekte puudutava järelevalveasutuste vaidluse lahendamiseks andmekaitsenõukogu poole vastavalt määruse 2016/679 artikli 60 lõikele 4 ja artikli 65 lõike 1 punktile a.
6
2021. aasta mais sai Iiri järelevalveasutus WhatsAppi kirjalikud märkused küsimuste kohta, mille üle järelevalveasutused vaidlesid, olles enne edastanud WhatsAppile kõik sellega seoses saadetud dokumendid, ning edastas need märkused omakorda andmekaitsenõukogule, et viimane nendega 2021. aasta juunis algatatud vaidluse lahendamise menetluses tutvuks.
7
Andmekaitsenõukogu, mis määruse 2016/679 artikli 68 lõike 3 kohaselt koosneb „iga liikmesriigi ühe järelevalveasutuse juhatajast ja Euroopa Andmekaitseinspektorist või nende vastavatest esindajatest“, võttis vaidlustatud otsuse vastu 28. juulil 2021 kahekolmandikulise häälteenamusega, nagu on ette nähtud määruse 2016/679 artikli 65 lõikes 2. Vaidlustatud otsuse puhul on tegemist juhtivale järelevalveasutusele ja kõigile asjaga seotud järelevalveasutustele adresseeritud otsusega, mis on neile siduv, nagu on ette nähtud samas sättes, ning see otsus puudutab kõiki asjakohastes ja nõutaval määral põhjendatud vastuväidetes käsitletud küsimusi, nagu on sätestatud määruse 2016/679 artikli 65 lõike 1 punktis a. Sellega seoses analüüsis andmekaitsenõukogu vaidlustatud otsuses iga asjaga seotud järelevalveasutuse väljendatud vastuväite puhul kõigepealt, kas see on asjakohane ja kas seda on põhjendatud. Ta võttis vastuväite kohta seisukoha üksnes juhul, kui vastus eelnevale küsimusele oli jaatav.
8
Pärast seda, kui Iiri järelevalveasutus oli saanud vaidlustatud otsuse ja küsinud WhatsAppilt tema seisukohad rahaliste karistuste kohta, mida talle vaidlustatud otsust arvestades kavatseti lõpuks määrata, võttis selle asutuse otsuste tegija 20. augustil 2021 määruse 2016/679 artikli 65 lõike 6 kohaselt vastu WhatsAppile adresseeritud lõpliku otsuse (edaspidi „lõplik otsus“). Lõplikus otsuses on leitud, et WhatsApp rikkus määruse 2016/679 artikli 5 lõike 1 punktis a, artikli 12 lõikes 1, artikli 13 lõike 1 punktides c, d, e ja f, artikli 13 lõike 2 punktides a, c ja e ning artiklis 14 sätestatud läbipaistvuse põhimõtet ja läbipaistvusega seotud kohustusi. Teisalt on selles märgitud, et WhatsApp on täitnud määruse 2016/679 artikli 13 lõike 1 punktides a ja b ning artikli 13 lõike 2 punktides b ja d sätestatud kohustusi. Määruse 2016/679 artikli 58 lõike 2 punktide b, d ja i alusel võetud parandusmeetmetena nõutakse WhatsAppilt lõplikus otsuses, et ta rakendaks mitut lisas loetletud meedet ja täidaks kolme kuu jooksul määruse 2016/679 sätteid, mida ta on rikkunud, ning talle määratakse neli haldustrahvi määruse 2016/679 artikli 5 lõike 1 punkti a ning artiklite 12, 13 ja 14 tuvastatud rikkumiste eest kokku 225 miljoni euro suuruses summas.
9
Iiri järelevalveasutuse otsuste tegija tõi lõplikus otsuses välja aspektid, mille suhtes vaidlustatud otsus kohustas teda läbi vaatama eespool punktis 4 viidatud otsuse eelnõus esitatud hinnangu. Ta otsustas nende aspektide osas tuua varjutatud kastides ära need põhjendused, mida andmekaitsenõukogu oli kasutanud vaidlustatud otsuses, ning lihtsalt teha neist iga kord kokkuvõtvas punktis järeldused. Ta täpsustas esiteks, et ei viidanud lõplikus otsuses vastuväidetele, mida andmekaitsenõukogu oli pidanud asjakohatuks või mida ei olnud põhjendatud ja mille paikapidavuse ta seetõttu hindamata oli jätnud, ega vastuväidetele, mille puhul andmekaitsenõukogu oli leidnud, et otsuse eelnõus esitatud hinnangut ei ole vaja muuta, ja teiseks, et ei võtnud nende vastuväidete kohta seisukohta.
10
Iiri järelevalveasutuse lõplikule otsusele lisati vaidlustatud otsus, nagu on ette nähtud määruse 2016/679 artikli 65 lõikes 6.
11
Sellega seoses ilmneb, et andmekaitsenõukogu võttis vaidlustatud otsuses järjest seisukohad ainult järgmiste aspektide suhtes, mille kohta olid tema sõnul esitatud asjakohased ja nõuetekohasel määral põhjendatud vastuväited:
–
kas WhatsApp on rikkunud määruse 2016/679 artikli 13 lõike 1 punktis d sätestatud teabe andmise kohustust, mis puudutab teatavat teavet, mis tuleb andmesubjektidele edastada pärast seda, kui neilt on kogutud isikuandmed. Iiri järelevalveasutus ei tuvastanud otsuse eelnõus sellist rikkumist. Andmekaitsenõukogu leidis seevastu, et WhatsApp rikkus seda sätet;
–
kas WhatsAppi kasutajate lõppseadmete aadressiraamatutes sisalduvate WhatsAppi mittekasutajate kontaktandmete suhtes kohaldatud nn Lossy Hashing Procedure’i menetluse tulemusel saadud elemendid tuleb kvalifitseerida isikuandmeteks. Iiri järelevalveasutus ei olnud oma otsuse eelnõus neid elemente sellisena kvalifitseerinud. Andmekaitsenõukogu leidis vastupidi, et need jäävad endiselt isikuandmeteks. Vaidlustatud otsuse kohaselt võis see aspekt mõjutada võimalikku järeldust, et WhatsApp eiras määruse 2016/679 artikli 5 lõike 1 punkti c ja artikli 6 lõiget 1, ning seda, kui suures ulatuses WhatsApp määruse 2016/679 artiklit 14 rikkus, ning samuti neil alustel määratava rahatrahvi suurust;
–
kas WhatsApp eiras määruse 2016/679 artikli 5 lõike 1 punktis a sätestatud läbipaistvuse põhimõtet, mida Iiri järelevalveasutus ei olnud otsuse eelnõus tuvastanud. Andmekaitsenõukogu hinnangul aga rikkus WhatsApp seda põhimõtet;
–
järeldus, et WhatsApp on rikkunud määruse 2016/679 artikli 13 lõike 2 punkti e, mis puudutab teavet, mida tuleb andmesubjektidele edastada, kui neilt on kogutud isikuandmeid; Iiri järelevalveasutus oli leidnud, et tal ei ole võimalik seda järeldust teha, sest uurija ei olnud uurimise ajal selles küsimuses seisukohta võtnud, ning et tal on võimalik anda üksnes soovitus. Andmekaitsenõukogu hinnangul hõlmas uurimine seevastu kõiki määruse 2016/679 artikli 13 sätteid ja nimetatud sätte rikkumine tuli tuvastada;
–
kas WhatsApp rikkus määruse 2016/679 artikli 6 lõiget 1, mis käsitleb isikuandmete töötlemise seaduslikkuse tingimusi, mille kohta Iiri järelevalveasutus otsust ei teinud. Andmekaitsenõukogu leidis, et menetluslikel põhjustel ei ole tõepoolest võimalik selle kohta otsust teha ega rikkumist tuvastada;
–
eespool teises taandes osutatud analüüsi tõttu nende põhjenduste laiendamine, mille kohaselt WhatsApp eiras määruse 2016/679 artiklis 14 ette nähtud teabe andmise kohustust, mis puudutab teavet, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt. Andmekaitsenõukogu kinnitas mõju, mis sellel laiendamisel peab olema tegevuslikele parandusmeetmetele ja WhatsAppile määratud karistusele;
–
kas WhatsApp rikkus määruse 2016/679 artikli 5 lõike 1 punktis c sätestatud põhimõtet, et koguda tohib ainult andmeid, mis on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt; Iiri järelevalveasutus ei olnud selle kohta otsust teinud. Andmekaitsenõukogu leidis, et selline rikkumine ei ole toimiku põhjal tõendatud, eriti arvestades WhatsAppi puudutavas menetluses kasutatud uurimise ulatust;
–
Iiri järelevalveasutuse määratud kuuekuuline tähtaeg, mille jooksul WhatsApp pidi parandusmeetmete kohaselt asuma täitma määruse 2016/679 nõudeid, mida ta oli rikkunud. Andmekaitsenõukogu vähendas seda tähtaega kolmele kuule;
–
parandusmeetmetesse puutuvalt, kuidas toimub WhatsAppi poolt mittekasutajate teavitamine sellest, et ta töötleb nende isikuandmeid; andmekaitsenõukogu kinnitas hinnangut, mille Iiri järelevalveasutus selles küsimuses oma otsuse eelnõus andis;
–
parandusmeetmete võtmisel täiendavate põhjenduste esitamine seoses sellega, et WhatsApp eiras määruse 2016/679 artiklis 14 sätestatud kohustusi (vt eespool teine taane), võttes arvesse, et andmekaitsenõukogu hinnangul on täiendavate põhjenduste esitamine vajalik selleks, et tagada, et WhatsApp võtab sel otstarbel sobivad parandusmeetmed;
–
WhatsAppile määratavate trahvide suuruse kriteeriumid, arvestades määruse 2016/679 artiklit 83, mis käsitleb „trahvide määramise üldtingimusi“. Andmekaitsenõukogu leidis, et Iiri järelevalveasutus tõlgendas vääralt asjasse puutuva ettevõtja ülemaailmse aastakäibe kriteeriumi, et ta tõlgendas õigesti mõistet „eelnev majandusaasta“, et ta tõlgendas vääralt reeglit, mille kohaselt juhul, kui sama töötlemistoimingu või seotud töötlemistoimingute käigus on rikutud mitut määruse 2016/679 sätet, ei tohi trahvi kogusumma ületada summat, mis on sätestatud seoses raskeima rikkumisega, et ta tõlgendas õigesti teatavaid määruse 2016/679 artikli 83 lõigetes 1 ja 2 nimetatud trahvi määramise kriteeriume (kas rikkumine pandi toime tahtlikult või hooletusest, rikkumise raskus), kuid tõlgendas vääralt teisi kriteeriume (käibe arvessevõtmine trahvi suuruse määramisel sõltumata selle ülemmäära arvutamisest ning üldisemalt vajadus, et karistus oleks tõhus, proportsionaalne ja heidutav);
–
trahvide suurus, võttes arvesse, et andmekaitsenõukogu leidis, et arvestades Iiri järelevalveasutuse tehtud vigu teatavate trahvi suurust mõjutavate kriteeriumide tõlgendamisel (vt eespool üheteistkümnes taane) ja WhatsAppi muid rikkumisi, mis tuleb tuvastada (vt eespool esimene, kolmas, neljas ja kuues taane), tuli trahve, mis Iiri järelevalveasutuse kavandatu kohaselt ulatusid kokku 30–50 miljoni euroni, suurendada.
12
WhatsApp vaidlustas lõpliku otsuse Iiri kohtus ja samal ajal palus Üldkohtul vaidlustatud otsus tühistada.
13
Käesolevas menetluses taotles Computer & Communication Industry Association luba astuda menetlusse hageja nõuete toetuseks ning Soome Vabariik, Euroopa Komisjon ja Euroopa Andmekaitseinspektor palusid luba astuda menetlusse andmekaitsenõukogu nõuete toetuseks. Neid menetlusse astumisi silmas pidades palusid kohtuasja pooled, et teatavatele menetlusse astujatele ei edastataks toimiku materjale, kuna need on konfidentsiaalsed. Praeguses etapis ei ole nende taotluste kohta veel otsust tehtud.
14
Pärast kostja vastuse saabumist võetud menetlust korraldavas meetmes, milles kohtuasja pooltel paluti võtta repliigis ja vasturepliigis seisukoht kõigi Üldkohtu pädevust ja hagi vastuvõetavust puudutavate oluliste küsimuste kohta, mainiti sellega seoses vaidlustatud otsuse kvalifitseerimist Euroopa Liidu organi aktiks, vaidlustatud otsuse kvalifitseerimist vaidlustatavaks aktiks ning hageja õigust ja põhjendatud huvi esitada hagi.
Poolte nõuded
15
WhatsApp nõuab vaidlustatud otsuse täielikku tühistamist või teise võimalusena selle asjakohaste osade tühistamist ning kohtukulude väljamõistmist andmekaitsenõukogult.
16
Andmekaitsenõukogu palub jätta hagi vastuvõetamatuse tõttu läbi vaatamata ja teise võimalusena põhjendamatuse tõttu rahuldamata ning kolmanda võimalusena piirduda vaidlustatud otsuse tühistamisel selle asjakohaste osadega. Samuti palub andmekaitsenõukogu mõista kohtukulud välja hagejalt.
Õiguslik käsitlus
17
Üldkohtu kodukorra artikli 129 kohaselt võib Üldkohus igal ajal ettekandja-kohtuniku ettepanekul omal algatusel, olles kohtuasja pooled ära kuulanud, otsustada põhistatud määrusega, et asja läbivaatamist takistab avalikust huvist tulenev asjaolu.
18
Käesolevas kohtuasjas leiab Üldkohus, et tal on toimikus olevate dokumentide põhjal piisavalt teavet, et otsustada selle artikli alusel hagi vastuvõetavuse üle ilma menetlust jätkamata.
19
Üldkohtu pädevuse ja hageja õiguse esitada hagi kontrollimine on nimelt avaliku huvi küsimus, nagu ka muude hagi vastuvõetavusega seotud asjaolude kontrollimine, ning käesoleval juhul anti kohtuasja pooltele võimalus esitada selles osas oma märkused eespool punktis 14 nimetatud menetlust korraldava meetmega pärast seda, kui andmekaitsenõukogu oli ise kostja vastuses tõstatanud hagi vastuvõetamatuse küsimuse.
20
Käesoleval juhul on vaja kõigepealt meenutada institutsioonilist õiguslikku raamistikku, milles vaidlustatud otsus on tehtud.
Institutsiooniline raamistik
21
Määruse 2016/679 VI peatüki pealkiri on „Sõltumatud järelevalveasutused“. Sellesse peatükki kuuluvas artiklis 51 on sätestatud, et iga liikmesriik „näeb ette ühe või mitu sõltumatut riigiasutust, kes vastutavad käesoleva määruse kohaldamise järelevalve eest“, et iga järelevalveasutus „annab panuse käesoleva määruse ühtse kohaldamise tagamiseks kogu liidus“ ja et sel eesmärgil „teevad järelevalveasutused omavahel ja komisjoniga koostööd kooskõlas VII peatükiga“.
22
Artiklis 55 on ette nähtud, et iga järelevalveasutus on oma liikmesriigi territooriumil pädev täitma ülesandeid ja kasutama volitusi, mis on talle kooskõlas määrusega 2016/679 antud, ning artiklis 56 on märgitud, et ilma et see piiraks artikli 55 kohaldamist, on vastutava töötleja või volitatud töötleja peamise või ainsa tegevuskoha järelevalveasutus pädev tegutsema juhtiva järelevalveasutusena kõnealuse vastutava töötleja või volitatud töötleja tehtud piiriülese isikuandmete töötlemise toimingu suhtes kooskõlas artiklis 60 sätestatud menetlusega. Nagu on märgitud eespool punktis 3, tegutses Iiri järelevalveasutus käesolevas asjas WhatsAppi suhtes juhtiva asutusena.
23
Määruse 2016/679 artikli 58 lõikes 2 on sätestatud, et igal järelevalveasutusel on õigus võtta vastutava töötleja või volitatud töötleja suhtes parandusmeetmeid, ning sealhulgas võib ta viidatud lõike punktide b, d ja i kohaselt teha neile noomitusi, kui isikuandmete töötlemise toimingud on rikkunud määruse 2016/679 sätteid, anda neile korraldus viia töötlemistoimingud teatud viisil ja teatud aja jooksul vastavusse määruse 2016/679 sätetega ning määrata neile trahv.
24
Määruse 2016/679 eespool punktides 21–23 viidatud sätetele järgneva VII peatüki pealkiri on „Koostöö ja järjepidevus“.
25
Selle jao „Koostöö“ artiklis 60 „Juhtiva järelevalveasutuse ja teiste asjaomaste järelevalveasutuste vaheline koostöö“ on muu hulgas ette nähtud:
„1.   Juhtiv järelevalveasutus teeb käesoleva artikli kohaselt koostööd teiste asjaomaste järelevalveasutustega, püüdes saavutada konsensust. Juhtiv järelevalveasutus ja asjaomased järelevalveasutused vahetavad üksteisega kogu asjaomast teavet.
[…]
3.   Juhtiv järelevalveasutus edastab küsimusega seotud asjaomase teabe viivitamata teistele asjaomastele järelevalveasutustele. Ta esitab otsuse eelnõu viivitamata teistele asjaomastele järelevalveasutustele arvamuse saamiseks ja võtab asjakohaselt arvesse nende seisukohti.
4.   Kui mõni teine asjaomane järelevalveasutus esitab nelja nädala jooksul pärast seda, kui temaga on käesoleva artikli lõike 3 kohaselt otsuse eelnõu osas konsulteeritud, asjakohase ja põhjendatud vastuväite otsuse eelnõu kohta, esitab juhtiv järelevalveasutus juhul, kui ta ei võta asjakohast ja põhjendatud vastuväidet arvesse või on seisukohal, et vastuväide ei ole asjakohane ega põhjendatud, küsimuse käsitlemiseks artiklis 63 osutatud järjepidevuse mehhanismi raames.
5.   Kui juhtiv järelevalveasutus kavatseb asjakohase ja põhjendatud vastuväite arvesse võtta, esitab ta teistele asjaomastele järelevalveasutustele muudetud otsuse eelnõu arvamuse saamiseks. Kõnealuse muudetud otsuse eelnõu suhtes kohaldatakse lõikes 4 osutatud menetlust kahe nädala jooksul.
6.   Juhul kui ükski teine asjaomane järelevalveasutus ei ole juhtiva järelevalveasutuse esitatud otsuse eelnõule lõigetes 4 ja 5 osutatud tähtaja jooksul vastuväidet esitanud, loetakse, et juhtiv järelevalveasutus ja asjaomased järelevalveasutused on otsuse eelnõus kokkuleppele jõudnud ja see on nende jaoks siduv.
7.   Juhtiv järelevalveasutus võtab otsuse vastu ja teeb selle teatavaks vastutava töötleja või volitatud töötleja peamisele või, olenevalt asjaoludest, ainsale tegevuskohale ning teavitab teisi asjaomaseid järelevalveasutusi ja andmekaitsenõukogu kõnealusest otsusest, lisades sellele kokkuvõtte asjaomastest asjaoludest ja põhjustest. Järelevalveasutus, kellele kaebus esitati, teavitab sellest otsusest kaebuse esitajat.
[…]
10.   Pärast seda, kui juhtiva järelevalveasutuse otsus on lõigete 7 ja 9 kohaselt vastutavale töötlejale või volitatud töötlejale teatavaks tehtud, võtab vastutav töötleja või volitatud töötleja vajalikud meetmed isikuandmete töötlemise toimingute osas tehtud otsuse täitmise tagamiseks kõigis liidus asuvates tegevuskohtades. Vastutav töötleja või volitatud töötleja teavitab otsuse täitmiseks võetud meetmetest juhtivat järelevalveasutust, kes teavitab teisi asjaomaseid järelevalveasutusi.“
26
Määruse 2016/679 sama VII peatüki jakku „Järjepidevus“ kuuluvas artiklis 63 „Järjepidevuse mehhanism“ on ette nähtud:
„Selleks et aidata käesolevat määrust kogu liidus järjepidevalt kohaldada, teevad järelevalveasutused koostööd üksteisega ja asjakohasel juhul komisjoniga käesolevas jaos sätestatud järjepidevuse mehhanismi kaudu.“
27
Andmekaitsenõukogu osaleb selles mehhanismis. Andmekaitsenõukogu staatus on kindlaks määratud määruse 2016/679 VII peatüki kolmandas ja viimases jaos „Euroopa andmekaitsenõukogu“.
28
Selles jaos sisalduvas artiklis 68 on sätestatud:
„1.   Euroopa Andmekaitsenõukogu („andmekaitsenõukogu“) luuakse Euroopa Liidu ametina ja tal on juriidilise isiku staatus.
[…]
3.   Andmekaitsenõukogu koosneb iga liikmesriigi ühe järelevalveasutuse juhatajast ja Euroopa Andmekaitseinspektorist või nende vastavatest esindajatest.
[…]“.
29
Samas jaos on artiklis 70 „Andmekaitsenõukogu ülesanded“ ette nähtud:
„1.   Andmekaitsenõukogu tagab käesoleva määruse järjepideva kohaldamise. Selleks teeb andmekaitsenõukogu omal algatusel või asjakohasel juhul komisjoni taotlusel eelkõige järgmist:
a)
jälgib ja tagab, et käesolevat määrust kohaldatakse nõuetekohaselt artiklites 64 ja 65 sätestatud juhtudel, ilma ei see piiraks riiklike järelevalveasutuste ülesannete täitmist;
[…]“.
30
Samas artiklis 70 on lisaks üksikasjalikult loetletud muud andmekaitsenõukogu ülesanded, mis on peamiselt nõustamisülesanded, mida ta peab täitma arvamuse, suuniste, soovituste ja parimate tavade väljaandmisega.
31
Eespool punktis 26 viidatud jaos „Järjepidevus“ on pärast artiklit 64, milles on loetletud juhud, mil andmekaitsenõukogu esitab oma arvamuse, artiklis 65 „Vaidluste lahendamine andmekaitsenõukogu poolt“ muu hulgas sätestatud:
„1.   Selleks et tagada käesoleva määruse nõuetekohane ja järjepidev kohaldamine üksikjuhtudel, võtab andmekaitsenõukogu vastu siduva otsuse järgmistel juhtudel:
a)
kui asjaomane järelevalveasutus on artikli 60 lõikes 4 osutatud juhul tõstatanud asjakohase ja põhjendatud vastuväite juhtiva järelevalveasutuse otsuse eelnõu kohta ning kui juhtiv järelevalveasutus ei ole vastuväidet järginud või on sellise vastuväite kui mitteasjakohase ja/või põhjendamatu tagasi lükanud. Siduv otsus puudutab kõiki asjakohases ja põhjendatud vastuväites käsitletud küsimusi, eelkõige küsimust, kas on toimunud käesoleva määruse rikkumine;
[…]
2.   Lõikes 1 osutatud otsus võetakse vastu ühe kuu jooksul alates sisulise küsimuse esitamisest andmekaitsenõukogu liikmete kahekolmandikulise häälteenamusega […] Lõikes 1 osutatud otsus on põhjendatud, see edastatakse juhtivale järelevalveasutusele ja kõigile asjaomastele järelevalveasutustele ning on neile siduv.
[…]
5.   Andmekaitsenõukogu eesistuja teavitab lõikes 1 osutatud otsusest põhjendamatu viivituseta asjaomaseid järelevalveasutusi. Ta teatab sellest komisjonile. Otsus avaldatakse andmekaitsenõukogu veebisaidil viivituseta pärast seda, kui järelevalveasutus on teavitanud lõikes 6 osutatud lõplikust otsusest.
6.   Vastavalt olukorrale kas juhtiv järelevalveasutus või see järelevalveasutus, kellele kaebus esitati, võtab käesoleva artikli lõikes 1 osutatud otsuse alusel vastu oma lõpliku otsuse, tehes seda põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul alates sellest, kui andmekaitsenõukogu on oma otsusest teavitanud. […] Lõplikus otsuses viidatakse käesoleva artikli lõikes 1 osutatud otsusele ja märgitakse, et lõikes 1 osutatud otsus avaldatakse kooskõlas käesoleva artikli lõikega 5 andmekaitsenõukogu veebisaidil. Lõplikule otsusele lisatakse käesoleva artikli lõikes 1 osutatud otsus.“
32
Määruse 2016/679 VIII peatükk „Õiguskaitsevahendid, vastutus ja karistused“ käsitleb artiklis 78 „õigust tõhusale õiguskaitsevahendile järelevalveasutuse vastu“ ja artiklis 79 „õigust tõhusale õiguskaitsevahendile vastutava töötleja või volitatud töötleja vastu“. Selles ei ole ühtegi sätet, mis puudutaks võimalikke õiguskaitsevahendeid andmekaitsenõukogu poolt ülalosundatud artikli 65 lõike 1 alusel võetud siduvate otsuste vastu. Artikli 78 lõikes 4 on siiski märgitud, et „[k]ui menetlus algatatakse järelevalveasutuse otsuse vastu, millele eelnes järjepidevuse mehhanismi kohane andmekaitsenõukogu […] otsus, edastab järelevalveasutus selle […] otsuse kohtule“.
33
Määruse 2016/679 preambulis on põhjenduses 143 märgitud:
„Igal füüsilisel või juriidilisel isikul on õigus esitada Euroopa Kohtule andmekaitsenõukogu otsuste tühistamiseks hagi ELi toimimise lepingu artiklis 263 sätestatud tingimustel. Kui selliste otsuste adressaadiks olevad asjaomased järelevalveasutused soovivad esitada hagi otsuste tühistamiseks, peavad nad tegema seda kooskõlas [ELTL] artikliga 263 kahe kuu jooksul alates sellest, kui otsused neile teatavaks tehti. Kui andmekaitsenõukogu otsused puudutavad otseselt ja isiklikult vastutavat töötlejat, volitatud töötlejat või kaebuse esitajat, võivad nad esitada hagi selliste otsuste tühistamiseks kooskõlas [ELTL] artikliga 263 kahe kuu jooksul alates asjaomaste otsuste avaldamisest andmekaitsenõukogu veebisaidil. Ilma et see piiraks seda [ELTL] artiklist 263 tulenevat õigust, peaks igal füüsilisel või juriidilisel isikul olema õigus pöörduda liikmesriigi pädeva kohtu poole tõhusa õiguskaitsevahendi saamiseks järelevalveasutuse otsuse vastu, millel on selle isiku suhtes õiguslikud tagajärjed. Selline otsus on eelkõige seotud järelevalveasutuse uurimis-, parandus- ja loaandmisvolitustega või kaebuste rahuldamata jätmise või tagasilükkamisega. Õigus tõhusale õiguskaitsevahendile ei hõlma siiski järelevalveasutuste õiguslikult mittesiduvaid meetmeid, näiteks järelevalveasutuse esitatud arvamusi või nõuandeid. Järelevalveasutuse vastu tuleks algatada menetlus selle liikmesriigi kohtus, kus järelevalveasutus asub, ning see tuleks viia läbi kooskõlas asjaomase liikmesriigi menetlusõigusega. Nendel kohtutel peaks olema täielik pädevus, mis peaks hõlmama pädevust vaadata läbi kõik arutatava kohtuasja seisukohast asjakohased faktilised ja õiguslikud asjaolud.
Kui järelevalveasutus jätab kaebuse rahuldamata või lükkab selle tagasi, võib kaebuse esitaja esitada hagi samas liikmesriigis asuvatele kohtutele. Käesoleva määruse kohaldamisega seotud õiguskaitsevahendite osas võivad liikmesriigi kohtud taotleda, või [ELTL] artiklis 267 ette nähtud juhtumil peavad liikmesriigi kohtud taotlema Euroopa Kohtult eelotsust liidu õiguse, sealhulgas käesoleva määruse tõlgendamise küsimuses, kui nad on seisukohal, et kohtuotsuse tegemiseks on vaja sellekohast otsust. Kui järelevalveasutuse otsus, millega rakendatakse andmekaitsenõukogu otsust, vaidlustatakse riiklikus kohtus ja küsimuseks on andmekaitsenõukogu otsuse kehtivus, ei ole kõnealusel riiklikul kohtul õigust kuulutada andmekaitsenõukogu otsust õigustühiseks, vaid ta peab esitama kehtivuse küsimuse Euroopa Kohtule kooskõlas [ELTL] artikliga 267, nii nagu seda on tõlgendanud Euroopa Kohus, juhul kui ta peab otsust õigustühiseks. Riiklik kohus ei saa siiski esitada andmekaitsenõukogu otsuse kehtivust puudutavat küsimust füüsilise või juriidilise isiku taotlusel, kellel oli võimalus esitada hagi kõnealuse otsuse tühistamiseks, eelkõige juhul, kui see otsus teda otseselt ja isiklikult puudutas, kuid [ELTL] artiklis 263 sätestatud ajavahemiku jooksul ta seda ei teinud.“
Hagi vastuvõetavus
34
ELTL artikkel 263, mille esimene, teine, neljas ja viies lõik on järgmisena ära toodud, sätestab:
„Euroopa Liidu Kohus kontrollib seadusandlike aktide ning nõukogu, komisjoni ja Euroopa Keskpanga õigusaktide seaduslikkust, välja arvatud soovitused ja arvamused, ning nende Euroopa Parlamendi ja Euroopa Ülemkogu õigusaktide seaduslikkust, mille eesmärgiks on tekitada õiguslikke tagajärgi kolmandatele isikutele. Samuti kontrollib Euroopa Liidu Kohus liidu organite või asutuste õigusaktide seaduslikkust, mille eesmärgiks on tekitada õiguslikke tagajärgi kolmandatele isikutele.
Selleks on kohtu pädevuses lahendada liikmesriigi, Euroopa Parlamendi, nõukogu või komisjoni hagisid, mille aluseks on pädevuse puudumine, olulise menetlusnormi rikkumine, aluslepingute või selle rakendusnormi rikkumine või võimu kuritarvitamine.
[…]
Iga füüsiline või juriidiline isik võib esimeses ja teises lõigus sätestatud tingimustel esitada hagi temale adresseeritud või teda otseselt ja isiklikult puudutava akti vastu ning üldkohaldatava akti vastu, mis puudutab teda otseselt ja ei sisalda rakendusmeetmeid. [Käesolevas tekstis kasutatakse ELTL artikli 263 neljanda lõigu kontekstis teiste keeleversioonide põhjal sõna „sisaldama“ asemel sõna „vajama“.]
Õigusaktides, millega luuakse liidu organeid ja asutusi, võib ette näha eritingimused ja erikorra seoses füüsiliste või juriidiliste isikute hagide esitamisega nende organite ja asutuste õigusaktide vastu, mille eesmärgiks on tekitada nende suhtes õiguslikke tagajärgi.
[…]“.
35
ELTL artikli 263 esimesest lõigust tuleneb, et liidu kohus on pädev kontrollima selliste liidu organi õigusaktide õiguspärasust, mille eesmärk on tekitada õiguslikke tagajärgi kolmandatele isikutele. Sama artikli neljandast lõigust nähtub veel, et selleks, et juriidiline isik saaks esitada hagi liidu organi üksikakti peale, mille adressaat ta ei ole, peab see akt põhimõtteliselt teda otseselt ja isiklikult puudutama. Käesoleval juhul, nagu on märgitud eespool punktis 32, ei ole määruses 2016/679 ühtegi sätet, mis vastaks ELTL artikli 263 viiendas lõigus ettenähtule, mistõttu kehtivad käesoleval juhul WhatsAppi suhtes tõepoolest selle artikli neljandas lõigus ette nähtud tingimused, mille kohaselt peaks vaidlustatud otsus teda otseselt ja isiklikult puudutama, et tema kaebus selle otsuse peale oleks vastuvõetav.
36
Kõigepealt tuleb tõdeda, et andmekaitsenõukogu vastu võetud vaidlustatud otsus on tõepoolest liidu organi õigusakt. Määrusega 2016/679 ette nähtud institutsiooniline kord, mida on kirjeldatud eespool punktides 21–31, ja eelkõige liikmesriikide järelevalveasutuste ainupädevus võtta vastutavate töötlejate ja volitatud töötlejate suhtes parandusmeetmeid, samuti nende asutuste vahelise koostöö ja järjepidevuse mehhanismid, sealhulgas andmekaitsenõukogu siseselt, kuivõrd sisuliselt koondab see nõukogu niisuguseid asutusi, võivad küll jätta mulje, et andmekaitsenõukogu on üksnes liikmesriikide asutuste vaheline koordineerimisorgan. Määruse 2016/679 artikli 68 lõikest 1 tuleneb siiski, et andmekaitsenõukogu on asutatud liidu asutusena ja tal on juriidilise isiku staatus. Lisaks on tal selles staatuses õigus võtta määruse 2016/679 artiklite 64 ja 65 alusel vastu arvamusi ja liikmesriigi järelevalveasutuste vaheliste vaidluste lahendamise raames niisuguseid otsuseid nagu vaidlustatud otsus, mis on asjaomaste järelevalveasutuste suhtes siduvad, mistõttu need arvamused ja otsused on seega liidu organi aktid.
37
Järgmiseks tuleb tõdeda, et vaidlustatud otsuse eesmärk on tekitada õiguslikke tagajärgi kolmandatele isikutele, kuna tegemist on asjaomaste järelevalveasutuste suhtes siduva otsusega, mis on vastu võetud määruse 2016/679 artikli 65 alusel.
38
Olukordades, kus hageja ei kuulu ELTL artikli 263 teises lõigus eraldi nimetatud „privilegeeritud“ hagejate hulka, on siiski järjekindlalt leitud, et selleks, et tegemist oleks aktiga, mida selline hageja saab vaidlustada, peab see akt tekitama siduvaid õiguslikke tagajärgi hageja huve puudutaval viisil, tuues kaasa selge muutuse tema õiguslikus olukorras (11. novembri 1981. aasta kohtuotsus IBM vs. komisjon, 60/81, EU:C:1981:264, punkt 9; vt ka 18. novembri 2010. aasta kohtuotsus NDSHT vs. komisjon, C‑322/09 P, EU:C:2010:701, punkt 45 ja seal viidatud kohtupraktika).
39
Euroopa Kohus on samuti otsustanud, et kui niisugune hageja ei ole tema poolt vaidlustatud akti adressaat, kattub tingimus, mille kohaselt peab akt tooma kaasa selge muutuse hageja õiguslikus olukorras, ELTL artikli 263 neljandas lõigus sätestatud tingimustega, mis tähendab, et juhul, kui vaidlustatud akt ei ole üldkohaldatav akt, mis ei vaja rakendusmeetmeid, kattub see tingimus nõudega, et hageja peab olema sellest õigusaktist otseselt ja isiklikult puudutatud (vt selle kohta 13. oktoobri 2011. aasta kohtuotsus Deutsche Post ja Saksamaa vs. komisjon, C‑463/10 P ja C‑475/10 P, EU:C:2011:656, punkt 38).
40
Käesoleval juhul võib kõigepealt märkida vaidlustatud akti kui üksikakti kohta, et vaidlustatud otsus puudutab WhatsAppi isiklikult, kuna see käsitleb teatud aspekte Iiri järelevalveasutuse lõpliku otsuse eelnõus, mis puudutab just WhatsAppi. Vastupidi sellele, mida väidab andmekaitsenõukogu vasturepliigis, ei piirdu vaidlustatud otsus põhimõtete sätestamisega või teatavate määruse 2016/679 sätete tõlgendamisega, mis võivad puudutada ükskõik millist vastutavat töötlejat. Nagu on märgitud eespool punktis 11, teeb andmekaitsenõukogu vaidlustatud otsuses otsuse selle kohta, kas WhatsApp täidab mõningaid talle määrusest 2016/679 tulenevaid kohustusi, kvalifitseerib isikuandmeteks elemendid, mis tulenevad Lossy Hashing Procedure’iks nimetatavast menetlusest, mis on üksnes WhatsAppi tehtav töötlemistoiming, ning võtab seisukoha teatavate WhatsAppile määratavate parandusmeetmete kohta, eelkõige talle määratavate trahvide kindlaksmääramise aspektide kohta. Vaidlustatud otsus on seega tehtud konkreetselt WhatsAppi silmas pidades, olgugi et selles – nagu üksikaktides tihtipeale – mainitakse või tuletatakse meelde üldisi põhimõtteid ja tõlgendusi.
41
Järgmiseks tuleb analüüsida küsimust, kas vaidlustatud otsus tekitab õiguslikke tagajärgi, mis toovad kaasa selge muutuse WhatsAppi õiguslikus olukorras, ja kas see otsus puudutab teda otseselt ELTL artikli 263 neljanda lõigu tähenduses.
42
Selle kohta tuleb märkida, nagu ka andmekaitsenõukogu seekord õigesti rõhutab, et vaidlustatud otsus ise ei muuda WhatsAppi õiguslikku olukorda. Nimelt, erinevalt Iiri järelevalveasutuse lõplikust otsusest ei saa sellele otsusele WhatsAppi vastu vahetult tugineda ning see kujutab endast tema suhtes ettevalmistavat või vaheakti menetluses, mis vastavalt määruse 2016/679 artikli 58 lõikele 2 ning artiklitele 60, 63 ja 65, mida on osundatud eespool punktides 23–26 ja punktis 31, peab lõppema just sellele ettevõtjale adresseeritud riigisisese järelevalveasutuse lõpliku otsuse vastuvõtmisega (vt selle kohta analoogia alusel 24. juuni 1986. aasta kohtuotsus AKZO Chemie ja AKZO Chemie UK vs. komisjon, 53/85, EU:C:1986:256, punkt 19).
43
Selle kohta on korduvalt sedastatud, et mitmeetapilistes aktide ettevalmistamise menetlustes ei ole vahepealsed meetmed, mille eesmärk on lõpliku otsuse ettevalmistamine, põhimõtteliselt vaidlustatavad aktid (vt selle kohta 11. novembri 1981. aasta kohtuotsus IBM vs. komisjon, 60/81, EU:C:1981:264, punkt 10, ja 26. jaanuari 2010. aasta kohtuotsus Internationaler Hilfsfonds vs. komisjon, C‑362/08 P, EU:C:2010:40, punkt 52 ja seal viidatud kohtupraktika).
44
Erandid eespool punktis 43 meelde tuletatud põhimõttest puudutavad juhtumeid, kus vahemeetmel on iseseisvad õiguslikud tagajärjed, mille suhtes ei ole menetlust lõpetava otsuse edasikaebamisega võimalik tagada piisavat kohtulikku kaitset (vt selle kohta 11. novembri 1981. aasta kohtuotsus IBM vs. komisjon, 60/81, EU:C:1981:264, punktid 11 ja 12, ning 13. oktoobri 2011. aasta kohtuotsus Deutsche Post ja Saksamaa vs. komisjon, C‑463/10 P ja C‑475/10 P, EU:C:2011:656, punktid 53 ja 54). Näiteks on sellised erandid välja toodud ettevõtjatele kohaldatavate konkurentsieeskirjade järgimise kontrolli menetluses (vt selle kohta 24. juuni 1986. aasta kohtuotsus AKZO Chemie ja AKZO Chemie UK vs. komisjon, 53/85, EU:C:1986:256, punkt 20), riigiabi eeskirjade täitmise kontrolli menetluses (vt selle kohta 9. oktoobri 2001. aasta kohtuotsus Itaalia vs. komisjon, C‑400/99, EU:C:2001:528, punktid 55–63) ja seoses kõrval- või tagamise meetmega, mis võetakse enne lõplikku otsust, et peatada teenistussuhe ametnikuga, kelle suhtes toimub distsiplinaarmenetlus (vt selle kohta 5. mai 1966. aasta kohtuotsus Gutmann vs. komisjon, 18/65 ja 35/65, EU:C:1966:24, lk 168).
45
Käesoleval juhul on WhatsAppile tõhus kohtulik kaitse vaidlustatud otsuse suhtes seevastu tagatud, kuna tal on võimalik kasutada Iiri järelevalveasutuse lõpliku otsuse vastu liikmesriigi kohtus õiguskaitsevahendit, mis võimaldab hinnata vaidlustatud otsuse kehtivust. Nagu on ette nähtud määruse 2016/679 artikli 78 lõikes 1, mille kohaselt peab igas liikmesriigis olema tagatud iga isiku õigus tõhusale õiguskaitsevahendile järelevalveasutuse õiguslikult siduva otsuse vastu, mis teda puudutab, vaidlustas WhatsApp Iiri järelevalveasutuse tehtud lõpliku otsuse Iiri kohtus ja saab selles kaebuses väita, et vaidlustatud otsuses sisalduvad siduvad hinnangud, mis on lõplikku otsusesse üle võetud, on õigusvastased. Sellega seoses tuleb meenutada, et ELTL artikkel 267 võimaldab tõstatada liikmesriigi kohtus liidu institutsioonide, organite ja asutuste õigusaktide kehtetuse küsimuse, nähes ette, et kui liikmesriigi kohus leiab, et otsuse tegemiseks on vaja kõnealune küsimus lahendada, võib või peab ta selle õigusakti kehtivuse hindamiseks esitama Euroopa Liidu Kohtule eelotsuse küsimuse. Kui see kohus leiab eelotsusemenetluse tulemusel, et õigusakt on kehtetu, peab liikmesriigi kohus juhul, kui see akt valmistab ette liikmesriigi asutuse tehtavat otsust, tegema liidu kohtu tuvastatust järeldused küsimuses, kas kõnealune asjasse puutuvat isikut kahjustav otsus on õiguspärane (vt selle kohta 30. oktoobri 1975. aasta kohtuotsus Rey Soda jt, 23/75, EU:C:1975:142, punkt 51, ja 20. märtsi 2018. aasta kohtuotsus Šroubárna Ždánice vs. nõukogu, T‑442/16, ei avaldata, EU:T:2018:159, punkt 34).
46
Peale selle ei ole vaidlustatud otsusel WhatsAppi suhtes mingit iseseisvat õiguslikku mõju võrreldes Iiri järelevalveasutuse lõpliku otsusega: kõik esimesena nimetatud otsuses olevad hinnangud on teisena nimetatusse üle võetud ja esimesena nimetatul ei ole mingit mõju, mis oleks teisena nimetatu sisust sõltumatu, erinevalt olukordadest, mille kohta tehti 5. mai 1966. aasta kohtuotsus Gutmann vs. komisjon (18/65 ja 35/65, EU:C:1966:24), 24. juuni 1986. aasta kohtuotsus AKZO Chemie ja AKZO Chemie UK vs. komisjon (53/85, EU:C:1986:256) ning 9. oktoobri 2001. aasta kohtuotsus Itaalia vs. komisjon (C‑400/99, EU:C:2001:528), mida on mainitud eespool punktis 44.
47
Sellega seoses tuleb märkida, et kuigi eespool punktides 43 ja 44 meenutatud põhimõtted on välja kujundatud seoses menetlustega, mis lõpliku otsuse tegemisel kuuluvad liidu institutsioonide või muude üksuste pädevusse, siis ei ole põhjust, miks see peaks olema teisiti, kui liidu õigusaktidega on nii nagu käesoleval juhul usaldatud konkreetsetele riigisisestele asutustele järelevalve teatavate liidu eeskirjade kohaldamise üle mitmeetapiliste menetluste raames ja tegemist on liidu asutuse poolt sellise menetluse käigus võetud vahepealse meetmega, mis on lõpetatud liikmesriigi asutuse otsusega.
48
WhatsApp väidab küll, et vaidlustatud otsus on andmekaitsenõukogu lõplik seisukoht, mida Iiri järelevalveasutus pidi lõplikus otsuses järgima. Seda argumenti tuleb mõista nii, et vaidlustatud otsus on seetõttu tingimata vaidlustatav akt ja seda tuleb eristada üksnes esialgset arvamust väljendavatest vahemeetmetest, mis on mittevaidlustatavad aktid.
49
Siiski, nagu on meenutatud eespool punktis 38, peab õigusakt selleks, et muud kui ELTL artikli 263 teises lõigus nimetatud nn privilegeeritud hagejad saaksid selle vaidlustada, muu hulgas kaasa tooma olulise muutuse hageja õiguslikus olukorras. Asjaolu, et vahemeede väljendab ametiasutuse lõplikku seisukohta, mis tuleb nii nagu käesoleval juhul kõnealust menetlust lõpetavasse lõplikku otsusesse üle võtta, kuna vaidlustatud otsus sisaldab lõpliku otsuse teatavate aspektide lõplikku analüüsi, ei tähenda siiski tingimata, et see vahemeede ise muudab oluliselt hageja õiguslikku olukorda, nagu käesoleval juhul on selgitatud eespool punktides 42–47. Kuivõrd see tingimus langeb kokku – nagu on meenutatud eespool punktis 39 – ELTL artikli 263 neljandas lõigus sätestatud tingimustega, ehk täpsemalt nõudega, et see akt puudutaks hagejat otseselt, saab seda käesolevas asjas kontrollida, uurides, kas vaidlustatud otsus puudutab WhatsAppi otseselt.
50
Kuid nagu andmekaitsenõukogu õigesti väidab, ei puuduta vaidlustatud otsus WhatsAppi otseselt.
51
Nimelt on järjepidevalt otsustatud, et selleks, et õigusakt hagejat, kes ei ole akti adressaat, otseselt puudutaks, peab see esiteks tekitama otseseid õiguslikke tagajärgi hageja olukorrale ja teiseks ei tohi see akt jätta akti rakendama kohustatud adressaatidele mingit kaalutlusõigust, vaid olema automaatne ja tulenema üksnes liidu õigusnormidest, ilma et kohaldataks muid vahenorme (13. mai 1971. aasta kohtuotsus International Fruit Company jt vs. komisjon, 41/70–44/70, EU:C:1971:53, punktid 23–28; 5. mai 1998. aasta kohtuotsus Dreyfus vs. komisjon, C‑386/96 P, EU:C:1998:193, punkt 43, ja 17. septembri 2009. aasta kohtuotsus komisjon vs. Koninklijke FrieslandCampina, C‑519/07 P, EU:C:2009:556, punkt 48).
52
Mis puudutab esimest tingimust, siis nagu juba märgitud eespool punktis 42, ei saa vaidlustatud otsusele tugineda WhatsAppi vastu sellisel viisil, et see võiks ilma edasiste menetlusetappideta tekitada talle kohustusi või – olenevalt olukorrast – teistele isikutele õigusi. See erineb näiteks aktidest, mida käsitleti 23. aprilli 1986. aasta kohtuotsuses Les Verts vs. parlament (294/83, EU:C:1986:166), mille punktis 31 leiti, et need aktid puudutasid hagejaks olevat ühingut otseselt, kuna „[n]eed moodustavad tervikliku normide kogumi, millest endast juba piisab ja mis ei nõua mingit rakendusnormi“. Käesoleval juhul ei ole vaidlustatud otsus määruse 2016/679 artiklites 58, 60 ja 65 ette nähtud tervikliku menetluse viimane etapp.
53
Teise tingimuse kohta, mis puudutab vaidlusaluse akti rakendamise eest vastutava asutuse kaalutlusõigust, tuleb tõdeda, et kuigi vaidlustatud otsus oli Iiri järelevalveasutusele siduv nende aspektide osas, mida see puudutas, jättis see talle kaalutlusruumi lõpliku otsuse sisu osas.
54
Nimelt, nagu nähtub eespool punktis 11 välja toodud vaidlustatud otsuse – mis annab asjaomastele järelevalveasutustele suuniseid – ja eespool punktis 8 esitatud WhatsAppile adresseeritud lõpliku otsuse sisu võrdlusest, kattub vaidlustatud otsuse sisu lõpliku otsuse omaga osaliselt.
55
Nii on mõlemale otsusele ühine järeldus, et WhatsApp ei ole järginud määruse 2016/679 artikli 5 lõike 1 punktis a sätestatud läbipaistvuse põhimõtet ning artikli 13 lõike 1 punktis d ja artikli 13 lõike 2 punktis e sätestatud kohustusi; WhatsAppi kasutajate lõppseadmete aadressiraamatutes sisalduvatele WhatsAppi mittekasutajate kontaktandmetele kohaldatud nn Lossy Hashing Procedure’i menetluse tulemusel saadud elementide kvalifitseerimine isikuandmeteks; järeldus, et WhatsApp on selle kvalifikatsiooni tõttu eiranud määruse 2016/679 artiklis 14 sätestatud kohustusi; WhatsAppile antud kolmekuuline tähtaeg määruses 2016/679 sätestatud nõuete täitmiseks; parandusmeetmete teatavad aspektid, täpsemalt need, mis on seotud WhatsAppi mittekasutajate isikuandmetega ja kohustusega anda WhatsAppi kasutajatele määruse 2016/679 artikli 13 lõike 2 punktis e sätestatud teavet; WhatsAppile määratud trahvide suuruse kriteeriumide tõlgendamine ja nende trahvide summa suurendamine võrreldes Iiri järelevalveasutuse otsuse eelnõus kavandatud 30–50 miljoni euro suuruse kogusummaga.
56
Järgmiste aspektide puhul põhineb lõplik otsus seevastu Iiri järelevalveasutuse hinnangul, ilma et andmekaitsenõukogu oleks vaidlustatud otsuses selle kohta seisukohta võtnud: järeldus, et WhatsApp on rikkunud määruse 2016/679 artikli 12 lõikes 1, artikli 13 lõike 1 punktides c, e ja f ning artikli 13 lõike 2 punktides a ja c sätestatud kohustusi; järeldus, et WhatsApp on täitnud määruse 2016/679 artikli 13 lõike 1 punktides a ja b ning artikli 13 lõike 2 punktides b ja d sätestatud kohustusi; WhatsAppi staatus, kui ta töötleb oma sõnumiteenuse mittekasutajate isikuandmeid; WhatsAppi suhtes kehtestatud parandusmeetmete põhisisu, st nende meetmete sisu, mille eesmärk on tagada määruse 2016/679 artikli 12 lõikes 1, artikli 13 lõike 1 punktides c, d, e ja f ning artikli 13 lõike 2 punktides a ja c sätestatud kohustuste täitmine; WhatsAppile määratud trahvide suuruse konkreetne kindlaksmääramine, mille tulemuseks on kokku 225 miljonit eurot.
57
Eelkõige tuleb märkida, et Iiri järelevalveasutus kasutas oma kaalutlusõigust, et määrata kindlaks vaidlustatud otsuses antud suuniste tagajärjed seoses Lossy Hashing Procedure’iks nimetatava menetluse tulemusel saadud elementide liigitamisega isikuandmeteks ja seoses trahvidega.
58
Esimese aspekti kohta, milleks on WhatsAppi mittekasutajate isikuandmete, sealhulgas Lossy Hashing Procedure’iks nimetatava menetluse tulemusel saadud elementide töötlemise küsimus, nähtub lõpliku otsuse punktist 111, et analüüsi, mille sisuks oli kindlaks teha, kas WhatsApp on nende isikute suhtes rikkunud määruse 2016/679 artiklis 14 sätestatud kohustusi, järgmine etapp oli teada saada, kas WhatsApp tegutses kõnealuste isikuandmete töötlemisel vastutava töötlejana või üksnes volitatud töötlejana, kes tegutseb oma sõnumiteenuse kasutaja nimel, kes oli aktiveerinud funktsiooni „Kontaktid“. See analüüsietapp, mis on tehtud esimest hüpoteesi kinnitades, tuleneb aga Iiri järelevalveasutuse hinnangust, ilma et andmekaitsenõukogu oleks vaidlustatud otsuses selle kohta seisukohta võtnud.
59
Mis puudutab haldustrahvide kindlaksmääramist, siis kuigi vaidlustatud otsus sisaldab suuniseid määruse 2016/679 alusel määratavate trahvide suuruse kindlaksmääramise kriteeriumide tõlgendamise ja WhatsAppile selles asjas määratavate trahvide kogusumma suurendamise kohta võrreldes sellega, mis oli kavandatud Iiri järelevalveasutuse otsuse eelnõus, jäi viimasele kaalutlusruum WhatsAppile määratavate trahvide konkreetse summa kindlaksmääramisel. Lisaks, nagu on märgitud eespool punktis 8, palus Iiri järelevalveasutus enne lõpliku otsuse tegemist WhatsAppil esitada märkused uute trahvide kohta, mida ta kavatses talle määrata – see on kooskõlas järeldusega, et nimetatud asutusele jäi selles osas endiselt kaalutlusõigus. Kõnealusel juhul võib täheldada, et lõpuks jäädi lõplikus otsuses Iiri järelevalveasutuse kavandatud uute trahvide skaala alumise määra juurde.
60
Samas on lõplik otsus tervik, millest ei saa eraldada vaidlustatud otsuses sisalduvatele suunistele vastavaid osi, muutes selle lõplikuks „allotsuseks“, mille suhtes järelevalveasutusel ei olnud mingit kaalutlusruumi. Iiri järelevalveasutuse uurimine ja lõplik otsus keskendusid nimelt sellele, kas WhatsApp järgib läbipaistvuse põhimõtet ja kõiki sellega seotud konkreetseid kohustusi, mis on sätestatud määruses 2016/679. Seega analüüsiti lõplikus otsuses sellega seoses WhatsAppi kogu praktikat ning selle praktika ühte ja sama aspekti uuriti määruse 2016/679 mitme asjakohase sätte alusel, näiteks määruse 2016/679 artikli 5 lõike 1 punkti a, artikli 12 lõike 1 ja artikli 13 mitme sätte alusel, samas kui vaidlustatud otsuses sisalduv analüüs puudutab vaid mõnda neist sätetest. Ei oleks mingit mõtet eraldada lõplikus otsuses tehtud üldisest analüüsist teatavaid konkreetseid elemente, samas kui WhatsAppi vastu Iiri järelevalveasutuse kui juhtiva järelevalveasutuse poolt algatatud ja viimase vastutusel toimunud menetlus puudutas üldist hinnangut sellele, kas WhatsApp järgib läbipaistvuse põhimõtet. Mis puudutab täpsemalt rahaliste karistuste kindlaksmääramist, siis Iiri järelevalveasutus määras neljast trahvist igaühe summa kindlaks kõigi nende määruse 2016/679 artikli 5 lõike 1 punkti a ning artiklite 12, 13 ja 14 tuvastatud rikkumiste põhjal.
61
Järelikult ei ole täidetud kumbki eespool punktis 51 nimetatud kahest tingimusest, mille täitmise korral oleks võimalik asuda seisukohale, et vaidlustatud otsus puudutab WhatsAppi otseselt.
62
Eeltoodust tuleneb, et WhatsAppi hagi ei ole vastuvõetav.
63
Selle analüüsi tulemus on kooskõlas sellega, mida on otsustatud teiste menetluste kohta, kus ettevõtjaid käsitlev siduv liidu õigusakt on adresseeritud liikmesriigile.
64
Nii on riigiabi kontrollimise valdkonnas leitud, et kui komisjon võtab vastu otsuse, millega juba antud abi tunnistatakse ebaseaduslikuks ja siseturuga kokkusobimatuks, ning kohustab abi andnud liikmesriiki makstud abi tagasi nõudma, puudutab see otsus abisaajaid otseselt ja isiklikult (vt selle kohta 19. oktoobri 2000. aasta kohtuotsus Itaalia ja Sardegna Lines vs. komisjon, C‑15/98 ja C‑105/99, EU:C:2000:570, punktid 33–36). Sellega seoses on märgitud, et abisaajad peavad taolise otsuse vastuvõtmise hetkest olema valmis, et saadud eelised nõutakse neilt tagasi, ja seega mõjutab see nende õiguslikku olukorda (9. juuni 2011. aasta kohtuotsus Comitato Venezia vuole vivere jt vs. komisjon, C‑71/09 P, C‑73/09 P ja C‑76/09 P, EU:C:2011:368, punkt 56). Kuna kontrollimenetlus on selles etapis lõpule viidud, ei ole vaja anda mingit täiendavat sisulist hinnangut, sest tagasinõutavad summad määratakse mehaaniliselt kindlaks vastavalt komisjoni otsusele ja asjaomastele ettevõtjatele varem antud abile, mistõttu see tähendab, et liikmesriik on kohustatud ise algatama selle abi tagasinõudmise ja selle edukalt läbi viima, välja arvatud väga erandlike asjaolude korral (vt selle kohta 7. juuni 1988. aasta kohtuotsus komisjon vs. Kreeka, 63/87, EU:C:1988:285; 20. septembri 1990. aasta kohtuotsus komisjon vs. Saksamaa, C‑5/89, EU:C:1990:320, punktid 15 ja 16, ning 20. märtsi 1997. aasta kohtuotsus Alcan Deutschland, C‑24/95, EU:C:1997:163), ning kolmandad isikud võivad komisjoni otsuse alusel asjaomases haldusasutuses või liikmesriigi kohtus nõuda, et kõnealune abi tagasi makstaks, ilma et neil lasuks kohustus tõendada, et abi anti ebaseaduslikult (vt analoogia alusel 12. veebruari 2008. aasta kohtuotsus CELF ja ministre de la Culture et de la Communication, C‑199/06, EU:C:2008:79, punktid 23 ja 39–41). Käesoleval juhul ei ole vaidlustatud otsus analoogses staadiumis, kuna järelevalvemenetlus ei lõppenud selle otsuse vastuvõtmisega, juhtiv järelevalveasutus ei olnud veel kinnitanud ega andnud edasisi hinnanguid selle kohta, kas WhatsApp on täitnud määruse 2016/679 sätteid, ja trahvi kindlaksmääramise kohta ning vaidlustatud otsus ei saanud iseenesest olla õiguslikult siduv dokument, mis paneks WhatsAppile kohustusi.
65
Veel on leitud, et liikmesriigile adresseeritud komisjoni otsus, millega teatatakse, et ettevõtjale eraldatavat ELi rahastust vähendatakse tema esitatud teatavate kulude abikõlbmatuse tõttu, puudutab seda ettevõtjat otseselt ja isiklikult, sest kõnealuse otsusega jäetakse ta ilma osast talle algul antud rahalisest abist, ilma et liikmesriigil oleks selles osas mingit kaalutlusõigust (4. juuni 1992. aasta kohtuotsus Infortec vs. komisjon, C‑157/90, EU:C:1992:243, punkt 17). Kuid erinevalt komisjoni otsusest, mis andis alust mainitud hinnangu andmiseks, ei ole käesolevas asjas vaidlustatud otsus, nagu märgitud eespool punktis 52, kogu vaidlusaluse tervikliku menetluse lõppetapp, ning nagu märgitud eespool punktides 56 ja 57, jättis see Iiri järelevalveasutusele kaalutlusruumi.
66
Üldisemalt on WhatsAppi poolt vaidlustatud otsuse peale Üldkohtule esitatud hagi vastuvõetamatus kooskõlas ELi lepinguga ja ELTLiga kehtestatud õiguskaitsevahendite süsteemi loogikaga.
67
Nagu on sätestatud EL lepingu artiklis 2, rajaneb liit õigusriigi austamisel. EL lepingu artikli 6 lõikes 1 on sätestatud, et liit tunnustab Euroopa Liidu põhiõiguste hartas sätestatud õigusi, vabadusi ja põhimõtteid ning harta artiklis 47 on tagatud õigus tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele. EL lepingu artiklis 19 on täpsustatud, et Euroopa Liidu Kohus tagab, et aluslepingute tõlgendamisel ja kohaldamisel austatakse õigust, ning eelkõige, et ta teeb vastavalt aluslepingutele otsuseid liikmesriigi, institutsiooni või füüsilise või juriidilise isiku hagiasjades, liikmesriikide kohtute taotlusel eelotsuseid liidu õiguse tõlgendamise või institutsioonide vastu võetud õigusaktide kehtivuse kohta ning muudel aluslepingutes ette nähtud juhtudel. Samas artiklis on ette nähtud, et liikmesriigid näevad ette tulemusliku õiguskaitse tagamiseks vajaliku kaebeõiguse liidu õigusega hõlmatud valdkondades.
68
Täpsemalt on EL toimimise lepinguga, eelkõige selle artikliga 263, mis käsitleb otse Euroopa Liidu Kohtusse esitatavaid hagisid, ja artikliga 267, mis käsitleb juhtumeid, mil Euroopa Kohus teeb eelotsuse, eelkõige liidu institutsioonide, organite ja asutuste õigusaktide kehtivuse ja tõlgendamise kohta, kehtestatud täielik õiguskaitsevahendite süsteem, mille eesmärk on tagada liidu õigusaktide seaduslikkuse kontroll (vt selle kohta 25. juuli 2002. aasta kohtuotsus Unión de Pequeños Agricultores vs. nõukogu, C‑50/00 P, EU:C:2002:462, punkt 40). Selles süsteemis osalevad nii Euroopa Liidu Kohus, mille osa on Üldkohus, kui ka liikmesriikide kohtud. Selle süsteemi kohaselt on isikutel, kes ei saa ELTL artiklis 263 osutatud vastuvõetavuse tingimuste tõttu vaidlustada liidu õigusakte otse Euroopa Liidu Kohtus, võimalus tugineda liikmesriigi kohtus esitatava õigusvastasuse vastuväite kaudu selle õigusakti kehtetusele, esitades sellele kohtule hagi kõnealuse õigusakti riigisiseste rakendusmeetmete peale. Sellises olukorras peab liikmesriigi kohus juhul, kui ta leiab, et otsuse tegemiseks on vaja see küsimus lahendada, ja tal on kahtlusi selle akti kehtivuses, esitama Euroopa Liidu Kohtule eelotsusetaotluse (vt selle kohta analoogia alusel veel 25. juuli 2002. aasta kohtuotsus Unión de Pequeños Agricultores vs. nõukogu, C‑50/00 P, EU:C:2002:462, punkt 40).
69
Selle süsteemi loogika, mis seletab eelkõige ELTL artiklis 263 sätestatud hagide vastuvõetavuse tingimuste tõlgendamist, mida on meelde tuletatud eespool punktides 35–62 esitatud analüüsis, seisneb selles, et Euroopa Liidu Kohtu ja liikmesriikide kohtute menetlused täiendavad üksteist tõhusalt ning liidu kohus ja liikmesriigi kohus ei peaks tegema otsuseid ühe ja sama liidu õigusakti kehtivuse kohta samal ajal, paralleelsetes menetlustes, ükskõik kas need menetlused on algatatud otse või juhul, kui liikmesriigi kohtul tekib kahtlus kõnealuse õigusakti kehtivuses, siis eelotsuse küsimuse alusel. See loogika on muu hulgas olnud põhjuseks, miks on leitud, et hageja, kes oleks kahtlemata võinud liidu otsuse vaidlustada otse Euroopa Liidu Kohtus, ei saa hiljem selle otsuse kehtivust vaidlustada, sealhulgas eelkõige hilisemas menetluses liikmesriigi kohtus (vt selle kohta 9. märtsi 1994. aasta kohtuotsus TWD Textilwerke Deggendorf, C‑188/92, EU:C:1994:90, punkt 17; vt selle kohta ka 9. juuni 2011. aasta kohtuotsus Comitato Venezia vuole vivere jt vs. komisjon, C‑71/09 P, C‑73/09 P ja C‑76/09 P, EU:C:2011:368, punkt 58 ja seal viidatud kohtupraktika). Seevastu on järjepidevalt otsustatud, et sellise liidu õigusakti akti õigusvastasusele, mis ei ole vaidlustatav, kuid mis on teise akti aluseks, saab tugineda selle teise akti peale esitatud hagis (11. novembri 1981. aasta kohtuotsus IBM vs. komisjon, 60/81, EU:C:1981:264, punkt 12 ja eelmised kohtupraktika viited vastupidises olukorras).
70
Käesoleval juhul tooks WhatsAppi poolt vaidlustatud otsuse peale esitatud hagi vastuvõetavaks tunnistamine kaasa kahe olulisel määral kattuva paralleelse kohtumenetluse jätkumise: üks menetlus Üldkohtus, milles vaidlustatakse vaidlustatud otsus, ja teine menetlus Iiri kohtus, milles vaidlustatakse lõplik otsus, mille põhjendused põhinevad osaliselt vaidlustatud otsusel. WhatsApp tõi seoses Üldkohtule repliigi esitamise tähtaja määramisega esile ka samaaegse töökoormuse, mida temalt nõuab Iiri kohtus toimuv menetlus. Kui emb-kumb kohus, kelle poole on pöördutud, ei peata tema menetluses olevat menetlust – mis sel juhul pikendaks lõpliku otsuse õiguspärasust puudutava lõpliku lahenduse saamiseks kuluvat aega –, võivad need paralleelsed menetlused viia isegi olukorrani, kus samal ajal tuleb vaidlustatud otsuse kehtivuse üle otsustada nii Euroopa Kohtul eelotsusemenetluses kui ka Üldkohtul WhatsAppi hagi alusel. Võttes arvesse eespool punktides 68 ja 69 viidatud õiguskaitsevahendite süsteemi ja määruse 2016/679 artikli 78 sätteid, mis käsitlevad õigust tõhusale kohtulikule kaitsele järelevalveasutuse vastu, on asja menetleva ja selles küsimuses ainupäeva Iiri kohtu ülesanne olenevalt asjaoludest kontrollida WhatsAppi suhtes tehtud lõpliku otsuse õiguspärasust, esitades Euroopa Liidu Kohtule eelotsuse küsimuse vaidlustatud otsuse kehtivuse kohta, kui ta peab seda WhatsAppi ja Iiri järelevalveasutuse vahelise vaidluse lahendamiseks vajalikuks. Iiri kohus, kelle poole on pöördutud, võib selles osas lahendada tema menetluses oleva vaidluse kas nii, et lükkab tagasi vaidlustatud otsuse vastu esitatud õigusvastasuse vastuväite, pöördumata Euroopa Kohtu poole, kui tal ei ole kahtlusi selle otsuse kehtivuses, või vastupidi, kui tal on sellised kahtlused, pöördudes Euroopa Kohtusse, või nii, et ta lahendab vaidluse sõltumata vaidlustatud otsuse kehtivuse küsimusest, võttes arvesse talle esitatud väiteid. See lahendus on kooskõlas hea õigusemõistmise huviga, võttes arvesse käesoleva punkti alguses mainitud paralleelsete kohtumenetlustega kaasnevaid ohte.
71
Viimaks tuleb märkida seoses eespool punktis 33 viidatud määruse 2016/679 põhjendusega 143, mis võib jätta mulje, et WhatsAppi poolt Üldkohtule esitatud hagi sarnane hagi on vastuvõetav, et kuigi määruse põhjendus võib anda selgitusi õigusnormile antava tõlgenduse kohta, ei saa põhjenduse enda puhul olla tegemist sellise normiga ja liidu õigusakti preambulil ei ole siduvat õigusjõudu (vt 26. oktoobri 2017. aasta kohtuotsus Marine Harvest vs. komisjon, T‑704/14, EU:T:2017:753, punkt 150 ja seal viidatud kohtupraktika; vt selle kohta ka 24. novembri 2005. aasta kohtuotsus Deutsches Milch-Kontor, C‑136/04, EU:C:2005:716, punkt 32 ja seal viidatud kohtupraktika). Käesoleval juhul aga ei toeta see põhjendus siiski ühtegi määruse 2016/679 sätet, nagu on märgitud eespool punktides 32 ja 35. Lisaks ei saa määruse põhjenduses esitatud selgitus kaaluda üles aluslepingutes sisalduva esmase õiguse kohaldatavaid norme, käesoleval juhul ELTL artikli 263 esimest ja neljandat lõiku, mille sisu on osaliselt meelde tuletatud kõnealuses põhjenduses, kus esimeses lauses on märgitud, et „[i]gal füüsilisel või juriidilisel isikul on õigus esitada Euroopa Kohtule andmekaitsenõukogu otsuste tühistamiseks hagi [ELTL artiklis 263] sätestatud tingimustel“.
72
Kõigest eelnevast tuleneb, et hagi tuleb jätta vastuvõetamatuse tõttu läbi vaatamata.
Menetlusse astumise avaldused
73
Kodukorra artikli 142 lõike 2 kohaselt on menetlusse astumine põhivaidluse suhtes aktsessoorne ja selle ese langeb ära muu hulgas hagi vastuvõetamatuks tunnistamisel.
74
Järelikult ei ole enam vaja teha otsust menetlusse astumise avalduste ega nendes sisalduvate toimiku konfidentsiaalsuse kaitsmise taotluste üle.
Kohtukulud
75
Vastavalt kodukorra artikli 134 lõikele 1 on kohtuvaidluse kaotanud pool kohustatud hüvitama kohtukulud, kui vastaspool on seda nõudnud. Kuna WhatsApp on kohtuvaidluse kaotanud, tuleb kohtukulud vastavalt andmekaitsenõukogu nõudele temalt välja mõista, välja arvatud tagapool punktis 76 nimetatud juhtudel.
76
Kodukorra artikli 144 lõikes 10 on sätestatud, et kui enne menetlusse astumise avalduse lahendamist lõpetatakse kohtuasjas menetlus, kannavad menetlusse astumise avalduse esitaja ja kohtuasja pooled ise oma kulud, mis on seotud menetlusse astumise avaldusega. Käesolevas asjas kannavad WhatsApp, andmekaitsenõukogu, Soome Vabariik, komisjon, Euroopa Andmekaitseinspektor ja Computer & Communication Industry Association ise oma kulud, mis on seotud menetlusse astumise avaldustega.
Esitatud põhjendustest lähtudes
ÜLDKOHUS (neljas koda laiendatud koosseisus)
otsustab:
1.
Jätta hagi vastuvõetamatuse tõttu läbi vaatamata.
2.
Vajadus lahendada Soome Vabariigi, Euroopa Komisjoni, Euroopa Andmekaitseinspektori ja Computer & Communication Industry Associationi menetlusse astumise avaldused ja nendes esitatud konfidentsiaalsena käsitlemise taotlused on ära langenud.
3.
Jätta WhatsApp Ireland Ltd kohtukulud tema enda kanda ja mõista temalt välja Euroopa Andmekaitsenõukogu kohtukulud, välja arvatud need kulud, mis on seotud menetlusse astumise avaldustega.
4.
Jätta Euroopa Andmekaitsenõukogu, Soome Vabariigi, komisjoni, Euroopa Andmekaitseinspektori ja Computer & Communication Industry Associationi kulud, mis on seotud menetlusse astumise avaldustega, nende endi kanda.
Luxembourg, 7. detsember 2022
Kohtusekretär
E. Coulon
President
S. Gervasoni
(
*1
)	Kohtumenetluse keel: inglise.