62021TO0709
SKLEP SPLOŠNEGA SODIŠČA (četrti razširjeni senat)
z dne 7. decembra 2022 (
*1
)
„Ničnostna tožba – Varstvo osebnih podatkov – Osnutek odločitve vodilnega nadzornega organa – Reševanje sporov med nadzornimi organi, ki ga zagotavlja Evropski odbor za varstvo podatkov – Zavezujoča odločitev – Člen 60(4) in člen 65(1)(a) Uredbe (EU) 2016/679 – Akt, zoper katerega ni pravnega sredstva – Pripravljalni akt – Neobstoj neposrednega nanašanja“
V zadevi T‑709/21,
WhatsApp Ireland Ltd s sedežem v Dublinu (Irska), ki jo zastopajo H.‑G. Kamann, F. Louis, A. Vallery, odvetniki, P. Nolan, B. Johnston, C. Monaghan, solicitors, P. Sreenan, D. McGrath, SC, C. Geoghegan in E. Egan McGrath, barristers,
tožeča stranka,
proti
Evropskemu odboru za varstvo podatkov, ki ga zastopata I. Vereecken in G. Le Grand, agenta, skupaj z G. Ryelandtom, E. de Lophemom in P. Vernetom, odvetniki,
tožena stranka,
SPLOŠNO SODIŠČE (četrti razširjeni senat),
ob posvetovanju v sestavi S. Gervasoni, predsednik, L. Madise (poročevalec), P. Nihoul, sodnika, R. Frendo, sodnica, in J. Martín y Pérez de Nanclares, sodnik,
sodni tajnik: E. Coulon,
na podlagi pisnega dela postopka, in sicer:
– tožbe, vložene v sodnem tajništvu Splošnega sodišča 1. novembra 2021,
– odgovora na tožbo, vloženega v sodnem tajništvu Splošnega sodišča 1. februarja 2022,
– replike, vložene v sodnem tajništvu Splošnega sodišča 9. maja 2020,
– duplike, vložene v sodnem tajništvu Splošnega sodišča 18. julija 2022,
– ukrepa procesnega vodstva, s katerim je Splošno sodišče stranki pozvalo, naj se v repliki in dupliki ne pozabita opredeliti do vseh pomembnih vprašanj glede pristojnosti Splošnega sodišča in dopustnosti tožbe,
sprejema naslednji
Sklep
1
Tožeča stranka, družba WhatsApp Ireland Ltd (v nadaljevanju: WhatsApp), s tožbo na podlagi člena 263 PDEU predlaga razglasitev ničnosti zavezujoče odločitve Evropskega odbora za varstvo podatkov (v nadaljevanju: EOVP) 1/2021 z dne 28. julija 2021 o sporu med zadevnimi nadzornimi organi, nastalem zaradi osnutka odločitve v zvezi z družbo WhatsApp, ki ga je pripravil Data Protection Commission (nadzorni organ na področju varstva osebnih podatkov fizičnih oseb, Irska, v nadaljevanju: irski nadzorni organ) (v nadaljevanju: izpodbijana odločitev).
Dejansko stanje pred sprejetjem izpodbijane odločitve in po njem
2
Po začetku veljavnosti Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1) je irski nadzorni organ prejel pritožbe uporabnikov in neuporabnikov storitve za pošiljanje sporočil „WhatsApp“ v zvezi z obdelavo osebnih podatkov s strani družbe WhatsApp. Poleg tega je nemški zvezni nadzorni organ glede družbe WhatsApp zaprosil irski nadzorni organ za pomoč v zvezi z njenim izpolnjevanjem obveznosti glede preglednosti, ki jih imajo upravljavci osebnih podatkov, kar zadeva morebitno souporabo takih podatkov z drugimi subjekti iz skupine Facebook (ki je bila septembra 2021 preimenovana v Meta).
3
Irski nadzorni organ je decembra 2018 po uradni dolžnosti začel splošno preiskavo o tem, ali družba WhatsApp izpolnjuje obveznosti glede preglednosti in obveščanja v zvezi s posamezniki (v nasprotju s podjetji), ki so določene v členih 12, 13 in 14 Uredbe 2016/679, brez poseganja v ukrepe, ki bi jih lahko sprejel na podlagi posamičnih pritožb, ki so mu bile predložene. Irski nadzorni organ je v zvezi s tem deloval kot „vodilni nadzorni organ“, kot je določeno v členu 56(1) Uredbe 2016/679, ker je imela družba WhatsApp na Irskem svojo glavno ustanovitev kot upravljavec osebnih podatkov za dejavnosti storitve za pošiljanje sporočil „WhatsApp“ v Evropi in ker je bila ta obdelava čezmejna.
4
Ko je preiskovalec predložil končno poročilo, je bila septembra 2019 faza preiskave končana, nato pa je odločevalec irskega nadzornega organa po vmesnih postopkovnih fazah, v katerih je družba WhatsApp podala pripombe, decembra 2020 vsem drugim nadzornim organom, ki jih je primer zadeval, in sicer vsem drugim nadzornim organom držav članic, predložil osnutek odločitve, da bi pridobil njihova mnenja o njem, v skladu z določbami člena 60(3) Uredbe 2016/679.
5
Januarja 2021 je osem od teh nadzornih organov, in sicer nemški zvezni nadzorni organ, nadzorni organ zvezne dežele Baden-Württemberg ter madžarski, nizozemski, poljski, francoski, italijanski in portugalski nadzorni organ, podalo ugovore glede nekaterih vidikov tega osnutka odločitve. Poleg tega so različni nadzorni organi podali zgolj pripombe. Irski nadzorni organ je drugim zadevnim nadzornim organom odgovoril skupinsko, pri čemer je predlagal kompromisne rešitve. Čeprav je po tem odgovoru eden od teh organov svoje ugovore umaknil, je irski nadzorni organ ugotovil, da med zadevnimi nadzornimi organi ni soglasja o njegovih predlogih glede drugih vidikov, na katere so se nanašali ugovori, in je sklenil vse te ugovore zavrniti, da bi zadevo predložil EOVP, da bi ta rešil spor med zadevnimi nadzornimi organi glede teh vidikov, v skladu z določbami člena 60(4) in člena 65(1)(a) Uredbe 2016/679.
6
Irski nadzorni organ je maja 2021, potem ko je družbi WhatsApp poslal vse dokumente, izmenjane v zvezi s tem, prejel njene pisne pripombe glede elementov, o katerih so razpravljali zadevni nadzorni organi, in te pripombe sam posredoval EOVP, da bi se ta seznanil z njimi v okviru postopka reševanja sporov, ki ga je irski nadzorni organ sprožil junija 2021.
7
EOVP, ki ga v skladu s členom 68(3) Uredbe 2016/679 sestavljajo „vodje enega nadzornega organa iz vsake države članice in Evropski nadzornik za varstvo podatkov ali njihovi predstavniki“, je 28. julija 2021 sprejel izpodbijano odločitev z dvotretjinsko večino skladno z določbami člena 65(2) Uredbe 2016/679. Izpodbijana odločitev je odločitev, naslovljena na vodilni nadzorni organ in vse zadevne nadzorne organe, ter je za vse zavezujoča, kot določa isti člen, v njej pa so obravnavane vse zadeve, na katere so se nanašali ustrezni in utemeljeni ugovori, kot določa člen 65(1)(a) Uredbe 2016/679. V zvezi s tem je EOVP v izpodbijani odločitvi za vsak ugovor, ki ga je podal zadevni nadzorni organ, najprej preveril, ali je ustrezen in utemeljen. Do ugovora se je opredelil šele, če je bil odgovor na to predhodno vprašanje pritrdilen.
8
Potem ko je irski nadzorni organ prejel izpodbijano odločitev in od družbe WhatsApp dobil njene pripombe glede denarnih kazni, za katere je bilo na koncu predvideno, da se ji naložijo glede na izpodbijano odločitev, je odločevalec tega organa 20. avgusta 2021 v skladu s členom 65(6) Uredbe 2016/679 sprejel končno odločitev, naslovljeno na družbo WhatsApp (v nadaljevanju: končna odločitev). V končni odločitvi je presojeno, da je družba WhatsApp kršila načelo in obveznosti glede preglednosti, ki so določeni v členu 5(1)(a), členu 12(1), členu 13(1)(c)(d)(e) in (f), členu 13(2)(a), (c) in (e) ter členu 14 Uredbe 2016/679. V njej pa je, nasprotno, navedeno, da je družba WhatsApp ravnala skladno z obveznostmi, določenimi v členu 13(1)(a) in (b) ter členu 13(2)(b) in (d) Uredbe 2016/679. V okviru popravljalnih ukrepov, sprejetih na podlagi člena 58(2)(b), (d) in (i) Uredbe 2016/679, je s končno odločitvijo družbi WhatsApp izrečen opomin, odrejeno ji je izvajanje nekaterih v prilogi naštetih ukrepov, katerih namen je, da se ta družba v treh mesecih uskladi z določbami Uredbe 2016/679, ki so bile kršene, in naložene so ji štiri upravne globe, povezane z ugotovljenimi kršitvami člena 5(1)(a) ter členov 12, 13 in 14 Uredbe 2016/679, v skupnem znesku 225 milijonov EUR.
9
Odločevalec irskega nadzornega organa je v končni odločitvi opredelil vidike, za katere mu je bilo v izpodbijani odločitvi naloženo, naj zanje spremeni presojo iz osnutka odločitve, omenjenega v točki 4 zgoraj. V zvezi s temi vidiki se je odločil, da bo obrazložitev, ki jo je EOVP uporabil v izpodbijani odločitvi, v sivo obarvanih poljih ponovil v obliki, v kateri je bila navedena tam, in da bo zgolj vsakič iz nje izpeljal posledice v okviru sklepne točke. Pojasnil je, prvič, da v končni odločitvi ne omenja ugovorov, za katere je EOVP štel, da niso ustrezni in utemeljeni ter katerih utemeljenosti ta odbor torej ni presojal, niti ugovorov, za katere je EOVP štel, da ne zahtevajo spremembe presoje, navedene v osnutku odločitve, in drugič, da se do teh ugovorov ne opredeljuje.
10
V skladu s členom 65(6) Uredbe 2016/679 je bila izpodbijana odločitev priložena končni odločitvi irskega nadzornega organa.
11
V zvezi s tem je razvidno, da je EOVP v izpodbijani odločitvi zaporedoma zavzel stališče zgolj do v nadaljevanju navedenih vidikov, ki so bili po njegovem mnenju predmet ustreznih in utemeljenih ugovorov:
–
do tega, ali je družba WhatsApp kršila obveznosti obveščanja, navedene v členu 13(1)(d) Uredbe 2016/679, v zvezi z nekaterimi informacijami, ki se zagotovijo posameznikom, na katere se nanašajo osebni podatki, kadar se osebni podatki pridobijo od njih. Irski nadzorni organ v svojem osnutku odločitve ni ugotovil take kršitve. EOPV je, nasprotno, menil, da je družba WhatsApp to določbo kršila;
–
do opredelitve elementov, ki izhajajo iz postopka, imenovanega „Lossy Hashing Procedure“ – pri čemer se ta postopek uporablja za podatke o „stikih“ neuporabnikov storitve WhatsApp, ki jih vsebujejo imeniki na napravah uporabnikov storitve WhatsApp – kot osebnih podatkov. Irski nadzorni organ v svojem osnutku odločitve teh elementov ni opredelil tako. EOVP je, nasprotno, menil, da vendarle pomenijo osebne podatke. Glede na izpodbijano odločitev bi ta vidik lahko vplival na morebitno ugotovitev kršitve člena 5(1)(c) in člena 6(1) Uredbe 2016/679 s strani družbe WhatsApp ter je vplival na obseg kršitve člena 14 Uredbe 2016/679 s strani družbe WhatsApp in na višino denarne kazni, naložene iz teh naslovov;
–
do tega, ali je družba WhatsApp kršila načelo preglednosti, določeno v členu 5(1)(a) Uredbe 2016/679, pri čemer irski nadzorni organ v svojem osnutku odločitve ni ugotovil te kršitve. EOPV je nasprotno menil, da je družba WhatsApp kršila to načelo;
–
do ugotovitve, da je družba WhatsApp kršila člen 13(2)(e) Uredbe 2016/679 v zvezi z nekaterimi informacijami, ki se zagotovijo posameznikom, na katere se nanašajo osebni podatki, kadar se osebni podatki pridobijo od njih, pri čemer je irski nadzorni organ menil, da ne more podati take ugotovitve, ker se preiskovalec med preiskavo ni opredelil do tega vprašanja, in da lahko v zvezi z njim zgolj izda priporočilo. EOVP je, nasprotno, menil, da je preiskava zajela vse določbe člena 13 Uredbe 2016/679 in da je kršitev zgoraj navedene določbe treba ugotoviti;
–
do tega, ali je družba WhatsApp kršila člen 6(1) Uredbe 2016/679, ki se nanaša na pogoje za zakonitost obdelave osebnih podatkov, pri čemer irski nadzorni organ o tej kršitvi ni odločil. EOVP je namreč menil, da iz postopkovnih razlogov o tem ni mogoče odločiti in ugotoviti obstoja kršitve;
–
do razširitve obrazložitve tega, da je družba WhatsApp kršila obveznosti obveščanja, določene v členu 14 Uredbe 2016/679, v zvezi z informacijami, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se nanašajo, zaradi analize v zvezi z drugo alineo zgoraj. EOVP je potrdil, da bi ta razširitev morala vplivati na ravnalne popravljalne ukrepe in kazen, naložene družbi WhatsApp;
–
do tega, ali je družba WhatsApp kršila načelo, določeno v členu 5(1)(c) Uredbe 2016/679, da se zbirajo le podatki, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene njihove obdelave, pri čemer irski nadzorni organ o tej kršitvi ni odločil. EOVP je menil, da na podlagi dokumentacije taka kršitev ni bila dokazana, zlasti ob upoštevanju obsega preiskave, uporabljenega za postopek v zvezi z družbo WhatsApp;
–
do roka, ki ga je irski nadzorni organ določil na šest mesecev in v katerem se je morala družba WhatsApp s popravljalnimi ukrepi uskladiti z zahtevami iz Uredbe 2016/679, ki jih je kršila. EOVP je ta rok skrajšal na tri mesece;
–
kar zadeva popravljalne ukrepe, do načinov obveščanja neuporabnikov storitve WhatsApp o obdelavi njihovih osebnih podatkov s strani družbe WhatsApp, pri čemer je EOVP potrdil presojo, ki jo je irski nadzorni organ v zvezi s tem navedel v svojem osnutku odločitve;
–
kar zadeva popravljalne ukrepe, do navedbe dodatne obrazložitve tega, kako je družba WhatsApp kršila obveznosti, določene v členu 14 Uredbe 2016/679 (glej drugo alineo zgoraj), pri čemer je EOVP pojasnil, da je ta navedba nujna za zagotovitev, da družba WhatsApp sprejeme ustrezne popravljalne ukrepe glede tega;
–
kar zadeva člen 83 Uredbe 2016/679 v zvezi s „[s]plošni[mi] pogoji za naložitev upravnih glob“, do meril za znesek glob, ki jih je treba naložiti družbi WhatsApp. EOVP je menil, da irski nadzorni organ ni pravilno razlagal merila v zvezi s svetovnim letnim prometom zadevnega podjetja, da je pravilno razlagal pojem „preteklo proračunsko leto“, da ni pravilno razlagal pravila, v skladu s katerim skupni znesek upravne globe, če je več določb Uredbe 2016/679 kršenih pri istem ali povezanem dejanju obdelave, ne presega zneska, določenega za najhujšo kršitev, da je pravilno razlagal nekatera merila za določitev globe, omenjena v členu 83(1) in (2) Uredbe 2016/679 (naklepna ali malomarna narava kršitev, njihova teža), vendar ni pravilno razlagal drugih izmed teh meril (upoštevanje prometa za določitev višine kazni neodvisno od izračuna njene zgornje meje ter, splošneje, potreba po tem, da je kazen učinkovita, sorazmerna in odvračilna);
–
do višine glob, pri čemer je EOVP menil, da je treba glede na napake pri razlagi nekaterih meril za določitev zneska glob, ki jih je storil irski nadzorni organ (glej enajsto alineo zgoraj), in dodatne kršitve družbe WhatsApp, ki jih je treba ugotoviti (glej prvo, tretjo, četrto in šesto alineo zgoraj), zneske glob, ki jih je določil irski nadzorni organ v skupni višini med 30 in 50 milijoni EUR, zvišati.
12
Družba WhatsApp je sočasno izpodbijala končno odločitev pred irskim sodiščem in predlagala razglasitev ničnosti izpodbijane odločitve pred Splošnim sodiščem.
13
V okviru tega postopka je združenje Computer & Communication Industry Association vložilo predlog za intervencijo v podporo tožeči stranki, Republika Finska, Evropska komisija in Evropski nadzornik za varstvo podatkov pa so vložili predloge za intervencijo v podporo EOVP. Zaradi njihovih intervencij sta glavni stranki predlagali, naj se nekateri elementi iz spisa zaradi svoje zaupnosti ne posredujejo nekaterim intervenientkam. V tej fazi o teh predlogih ni bilo odločeno.
14
V ukrepu procesnega vodstva, ki je bil sprejet po vložitvi odgovora na tožbo in s katerim sta bili stranki pozvani, naj se v repliki in dupliki ne pozabita opredeliti do vseh pomembnih vprašanj glede pristojnosti Splošnega sodišča in dopustnosti tožbe, so bili v zvezi s tem omenjeni opredelitev izpodbijane odločitve kot akta organa Evropske unije, opredelitev izpodbijane odločitve kot izpodbojnega akta, procesno upravičenje tožeče stranke in njen pravni interes.
Predlogi strank
15
Družba WhatsApp predlaga, naj se izpodbijana odločitev razglasi za nično v celoti oziroma, podredno, v njenih upoštevnih delih ter naj se EOVP naloži plačilo stroškov.
16
EOVP predlaga, naj se tožba zavrže kot nedopustna in, podredno, naj se zavrne kot neutemeljena ter, še bolj podredno, naj se razglasitev ničnosti izpodbijane odločitve omeji na njene upoštevne dele. EOVP predlaga tudi, naj se tožeči stranki naloži plačilo stroškov.
Pravo
17
V skladu s členom 129 Poslovnika Splošnega sodišča lahko to po uradni dolžnosti na predlog sodnika poročevalca in po opredelitvi glavnih strank kadar koli z obrazloženim sklepom odloči, ali morda niso izpolnjene absolutne procesne predpostavke.
18
V obravnavani zadevi Splošno sodišče ugotavlja, da je na podlagi listin iz spisa dejansko stanje dovolj razjasnjeno, zato bo na podlagi tega člena odločilo o dopustnosti tožbe, ne da bi nadaljevalo postopek.
19
Preverjanje pristojnosti Splošnega sodišča in preverjanje procesnega upravičenja tožeče stranke sta namreč vprašanji javnega reda, enako kot preverjanje drugih elementov, povezanih z dopustnostjo tožbe, in v obravnavanem primeru je bilo glavnima strankama omogočeno v zvezi s tem podati stališča po ukrepu procesnega vodstva, omenjenem v točki 14 zgoraj, potem ko je poleg tega EOVP v odgovoru na tožbo sam uveljavljal njeno nedopustnost.
20
V obravnavanem primeru je treba uvodoma spomniti na institucionalni pravni okvir, v katerega se umešča izpodbijana odločitev.
Institucionalni pravni okvir
21
Poglavje VI Uredbe 2016/679 je naslovljeno „Neodvisni nadzorni organi“. V tem poglavju člen 51 določa, da vsaka država članica „zagotovi enega ali več neodvisnih javnih organov, ki so pristojni za spremljanje uporabe te uredbe“, da vsak od teh organov „prispeva k dosledni uporabi te uredbe v vsej Uniji“ ter da v ta namen „nadzorni organi sodelujejo med seboj in s Komisijo v skladu s poglavjem VII“.
22
V členu 55 je določeno, da je vsak nadzorni organ na ozemlju svoje države članice pristojen za opravljanje dodeljenih nalog in izvajanje prenesenih pooblastil v skladu z Uredbo 2016/679, v členu 56 pa je navedeno, da je nadzorni organ glavne ali edine ustanovitve upravljavca ali obdelovalca brez poseganja v člen 55 pristojen, da deluje kot vodilni nadzorni organ za obdelavo, ki jo izvaja ta upravljavec ali obdelovalec na čezmejni ravni, v skladu s postopkom iz člena 60. Kot je navedeno v točki 3 zgoraj, je v obravnavani zadevi irski nadzorni organ v zvezi z družbo WhatsApp deloval kot vodilni organ.
23
Člen 58(2) Uredbe 2016/679 določa, da ima vsak nadzorni organ pooblastila za sprejetje popravljalnih ukrepov v zvezi z upravljavcem ali obdelovalcem, med drugim za to – v skladu z njegovimi točkami (b), (d) in (i) – da jima izreče opomin, kadar so bile z dejanji obdelave kršene določbe Uredbe 2016/679, jima odredi, naj dejanja obdelave, če je to ustrezno, na določen način in v določenem roku uskladita z določbami Uredbe 2016/679, ter jima naloži upravno globo.
24
Poglavje VII Uredbe 2016/679, ki sledi določbam, navedenim v točkah od 21 do 23 zgoraj, je naslovljeno „Sodelovanje in skladnost“.
25
Razdelek „Sodelovanje“ tega poglavja vsebuje člen 60, ki ima naslov „Sodelovanje med vodilnim nadzornim organom in drugimi zadevnimi nadzornimi organi“ ter ki med drugim določa:
„1.   Vodilni nadzorni organ sodeluje z drugimi zadevnimi nadzornimi organi v skladu s tem členom in si prizadeva za soglasje. Vodilni nadzorni organ in zadevni nadzorni organi si izmenjujejo vse ustrezne informacije.
[…]
3.   Vodilni nadzorni organ brez odlašanja posreduje ustrezne informacije o zadevi drugim zadevnim nadzornim organom. Drugim zadevnim nadzornim organom brez odlašanja predloži osnutek odločitve, s čimer jih zaprosi za mnenje, ki ga ustrezno upošteva.
4.   Kadar kateri koli od drugih zadevnih nadzornih organov v obdobju štirih tednov po opravljenem posvetovanju v skladu z odstavkom 3 tega člena poda ustrezne in utemeljene razloge za ugovor glede osnutka odločitve, vodilni nadzorni organ zadevo predloži mehanizmu za skladnost iz člena 63, če se z ugovorom ne strinja ali meni, da ugovor ni ustrezen ali utemeljen.
5.   Kadar namerava vodilni nadzorni organ upoštevati ustrezen in utemeljen ugovor, drugim zadevnim nadzornim organom predloži v mnenje spremenjeni osnutek odločitve. Za ta spremenjeni osnutek odločitve se v obdobju dveh tednov uporabi postopek iz odstavka 4.
6.   Kadar noben drug zadevni nadzorni organ v obdobju iz odstavkov 4 in 5 ne nasprotuje osnutku odločitve, ki jo predloži vodilni nadzorni organ, se šteje, da se vodilni nadzorni organ in zadevni nadzorni organi strinjajo s tem osnutkom odločitve, ki je zanje zavezujoča.
7.   Vodilni nadzorni organ sprejme odločitev in o njej uradno obvesti glavno ali edino ustanovitev upravljavca ali obdelovalca, odvisno od primera, zadevno odločitev ter povzetek ustreznih dejstev in razlogov pa posreduje tudi drugim zadevnim nadzornim organom in odboru. Nadzorni organ, pri katerem je bila vložena pritožba, o odločitvi obvesti pritožnika.
[…]
10.   Upravljavec ali obdelovalec po prejemu uradnega obvestila o odločitvi vodilnega nadzornega organa […] sprejme ukrepe, potrebne za zagotovitev spoštovanja odločitve, kar zadeva obdelavo v okviru vseh njegovih ustanovitev v Uniji. Upravljavec ali obdelovalec o ukrepih, sprejetih za zagotovitev spoštovanja odločitve, uradno obvesti vodilni nadzorni organ, ki to sporoči drugim zadevnim nadzornim organom.“
26
Razdelek „Skladnost“ istega poglavja VII Uredbe 2016/679 vsebuje člen 63, ki ima naslov „Mehanizem za skladnost“ in določa:
„Da bi prispevali k dosledni uporabi te uredbe v vsej Uniji, nadzorni organi sodelujejo med seboj in po potrebi s Komisijo, in sicer prek mehanizma za skladnost, kakor je določen v tem oddelku.“
27
EOVP je v ta mehanizem vključen. Status EOVP je določen v tretjem in zadnjem razdelku poglavja VII Uredbe 2016/679, naslovljenem „Evropski odbor za varstvo podatkov“.
28
V tem razdelku člen 68 določa:
„1.   Evropski odbor za varstvo podatkov (v nadaljnjem besedilu: odbor) se ustanovi kot organ Unije in je pravna oseba.
[…]
3.   Odbor sestavljajo vodje enega nadzornega organa iz vsake države članice in Evropski nadzornik za varstvo podatkov ali njihovi predstavniki.
[…]“
29
Isti razdelek vsebuje člen 70, ki ima naslov „Naloge odbora“ in določa:
„1.   Odbor zagotavlja dosledno uporabo te uredbe. V ta namen na lastno pobudo ali, kjer je ustrezno, na zahtevo Komisije zlasti:
(a)
spremlja in zagotavlja pravilno uporabo te uredbe v primerih iz členov 64 in 65 brez poseganja v naloge nacionalnih nadzornih organov;
[…]“
30
V istem členu 70 so poleg tega podrobno naštete druge naloge EOVP, ki so v bistvenem naloge svetovanja, ki jih mora ta izvajati z mnenji, smernicami, priporočili in priporočenimi „najboljšimi praksami“.
31
V razdelku „Skladnost“, omenjenem v točki 26 zgoraj, členu 64, v katerem so našteti primeri, v katerih EOVP izda mnenje, sledi člen 65 z naslovom „Reševanje sporov s strani odbora“, ki med drugim določa:
„1.   Da se zagotovi pravilna in dosledna uporaba te uredbe v posameznih primerih, odbor sprejme zavezujočo odločitev v naslednjih primerih:
(a)
kadar je, v primeru iz člena 60(4), zadevni nadzorni organ dal ustrezen in utemeljen ugovor osnutku odločitve vodilnega nadzornega organa ter se vodilni nadzorni organ z ugovorom ni strinjal ali je tak ugovor zavrnil kot neustrezen ali neutemeljen. Zavezujoča odločitev velja za vse zadeve, na katere se nanaša ustrezen in utemeljen ugovor, zlasti kadar gre za kršitev te uredbe;
[…]
2.   Odločitev iz odstavka 1 se sprejme […] z dvotretjinsko večino članov odbora. […] Odločitev iz odstavka 1 se utemelji ter naslovi na vodilni nadzorni organ in vse zadevne nadzorne organe ter je za vse zavezujoča.
[…]
5.   Predsednik odbora zadevne nadzorne organe brez nepotrebnega odlašanja uradno obvesti o odločitvi iz odstavka 1. O tem obvesti Komisijo. Odločitev se brez odlašanja objavi na spletnem mestu odbora, potem ko nadzorni organ uradno sporoči končno odločitev iz odstavka 6.
6.   Vodilni nadzorni organ oziroma nadzorni organ, pri katerem je bila vložena pritožba, končno odločitev sprejme na podlagi odločitve iz odstavka 1 tega člena, brez nepotrebnega odlašanja in najpozneje en mesec po uradnem posredovanju odločitve odbora. […] Končna odločitev se nanaša na odločitev iz odstavka 1 tega člena, v njej pa je navedeno, da se odločitev iz odstavka 1 objavi na spletnem mestu odbora v skladu z odstavkom 5 tega člena. Končni odločitvi je priložena odločitev iz odstavka 1 tega člena.“
32
V poglavju VIII Uredbe 2016/679, naslovljenem „Pravna sredstva, odgovornost in kazni“, je v členu 78 obravnavana „pravica do učinkovitega pravnega sredstva zoper nadzorni organ“, v členu 79 pa „pravica do učinkovitega pravnega sredstva zoper upravljavca ali obdelovalca“. To poglavje ne vsebuje nobene določbe v zvezi z morebitnimi pravnimi sredstvi zoper zavezujoče odločitve EOVP, sprejete na podlagi zgoraj navedenega člena 65(1). Vendar je v členu 78(4) navedeno, da „[k]adar je začet postopek zoper odločitev nadzornega organa, v zvezi s katero je odbor pred tem sprejel […] odločitev v okviru mehanizma za skladnost, nadzorni organ to […] odločitev posreduje sodišču“.
33
V obrazložitvi Uredbe 2016/679 je v uvodni izjavi 143 navedeno:
„Katera koli fizična ali pravna oseba ima pravico, da pred Sodiščem pod pogoji iz člena 263 PDEU vloži ničnostno tožbo zoper odločitve odbora. Zadevni nadzorni organi, ki želijo take odločitve izpodbijati, morajo kot njihovi naslovniki v skladu s členom 263 PDEU tožbo vložiti v dveh mesecih po tem, ko so bili o njih uradno obveščeni. Kadar se odločitve odbora podatkov nanašajo neposredno in posamično na upravljavca, obdelovalca ali pritožnika, lahko ta vloži ničnostno tožbo zoper te odločitve, to pa mora v skladu s členom 263 PDEU storiti v dveh mesecih od objave teh odločitev na spletnem mestu odbora. Brez poseganja v to pravico na podlagi člena 263 PDEU, bi morala imeti vsaka fizična ali pravna oseba na voljo učinkovito pravno sredstvo pred pristojnim nacionalnim sodiščem zoper odločitev nadzornega organa, ki ima pravne učinke za to osebo. Taka odločitev se nanaša zlasti na izvajanje preiskovalnih pooblastil nadzornega organa, popravljalnih pooblastil in pooblastil v zvezi z dovoljenji ali na zavržene ali zavrnjene pritožbe. Vendar pa pravica do učinkovitega pravnega sredstva ne zajema ukrepov nadzornih organov, ki niso pravno zavezujoči, kot so mnenja, ki jih izdajo nadzorni organi, ali njihovi nasveti. Za postopke zoper nadzorni organ bi morala biti pristojna sodišča države članice, v kateri ima nadzorni organ sedež, izvajati pa bi se morali v skladu s postopkovnim pravom te države članice. Ta sodišča bi morala izvajati polno pristojnost, ki bi morala vključevati pristojnost za preučitev vseh vprašanj, ki se nanašajo na dejstva in zakonodajo v zvezi z zadevnim sporom.
Kadar nadzorni organ zavrne ali zavrže pritožbo, lahko pritožnik sproži postopke na sodiščih v isti državi članici. V okviru pravnih sredstev, ki se nanašajo na uporabo te uredbe, lahko nacionalna sodišča, ki obravnavajo odločitev o vprašanju, potrebno za to, da lahko izrečejo sodbo, od Sodišča zahtevajo predhodno odločanje v zvezi z razlago prava Unije, vključno s to uredbo, v primeru iz člena 267 PDEU pa ga morajo zahtevati. Poleg tega, kadar se odločitev nadzornega organa, s katero se uveljavlja odločitev odbora, izpodbija pred nacionalnim sodiščem in je sporna veljavnost odločitve odbora, to nacionalno sodišče ni pristojno za razglasitev neveljavnosti odločitve odbora, temveč mora vprašanje veljavnosti, če meni, da je odločitev neveljavna, predložiti Sodišču v skladu s členom 267 PDEU, kakor ga razlaga Sodišče. Po drugi strani pa nacionalno sodišče ne sme predložiti vprašanja veljavnosti odločitve odbora na zahtevo fizične ali pravne osebe, ki je imela možnost vložiti ničnostno tožbo zoper to odločitev, zlasti če se je ta neposredno in posamično nanašala nanjo, pa tega ni storila v roku iz člena 263 PDEU.“
Dopustnost tožbe
34
Člen 263 PDEU v spodaj citiranih prvem, drugem, četrtem in petem odstavku določa:
„Sodišče Evropske unije nadzira zakonitost zakonodajnih aktov, ter aktov Sveta, Komisije in Evropske centralne banke razen priporočil in mnenj, pa tudi zakonitost aktov Evropskega parlamenta in Evropskega sveta s pravnim učinkom za tretje osebe. Nadzira tudi zakonitost aktov organov, uradov ali agencij Unije s pravnim učinkom za tretje osebe.
V ta namen je Sodišče pristojno za odločanje o tožbah, ki jih vloži država članica, Evropski parlament, Svet ali Komisija zaradi nepristojnosti, bistvene kršitve postopka, kršitve Pogodb ali katerega koli pravnega pravila, ki se nanaša na njuno uporabo, ali zaradi zlorabe pooblastil.
[…]
Fizične ali pravne osebe lahko pod pogoji iz prvega in drugega odstavka vložijo tožbe zoper nanje naslovljene akte ali zoper akte, ki se nanje neposredno in posamično nanašajo, in zoper predpise, ki se nanje neposredno nanašajo, a ne potrebujejo izvedbenih ukrepov.
V aktih o ustanovitvi organov, uradov in agencij Unije se lahko določijo posebni pogoji in podrobnosti glede tožb fizičnih ali pravnih oseb zoper akte teh organov, uradov ali agencij, ki imajo zanje pravni učinek.
[…]“
35
Iz prvega odstavka člena 263 PDEU izhaja, da je sodišče Unije pristojno za nadzor zakonitosti akta organa Unije s pravnimi učinki za tretje osebe. Iz četrtega odstavka istega člena izhaja tudi, da se mora za to, da bi lahko pravna oseba dopustno vložila tožbo zoper posamični akt organa Unije, ki ni naslovljen nanjo, ta akt načeloma neposredno in posamično nanašati nanjo. V obravnavanem primeru, kot je navedeno v točki 32 zgoraj, Uredba 2016/679 ne vsebuje nobene določbe, ki bi ustrezala določbi iz petega odstavka člena 263 PDEU, tako da v tej zadevi za družbo WhatsApp, da bi bila njena tožba zoper izpodbijano odločitev lahko dopustna, dejansko veljata pogoja iz četrtega odstavka tega člena, da se mora ta odločitev neposredno in posamično nanašati nanjo.
36
Najprej je treba ugotoviti, da je izpodbijana odločitev, ki jo je sprejel EOVP, dejansko akt organa Unije. Institucionalna ureditev iz Uredbe 2016/679, predstavljena v točkah od 21 do 31 zgoraj, zlasti izključna pristojnost nacionalnih nadzornih organov za sprejemanje popravljalnih ukrepov v zvezi z upravljavci in obdelovalci, pa tudi mehanizmi za sodelovanje in skladnost med temi organi, vključno v okviru EOVP, ki v glavnem združuje take organe, bi resda lahko dajali vtis, da je EOVP le telo za usklajevanje med nacionalnimi organi. Vendar je EOVP v skladu s členom 68(1) Uredbe 2016/679 ustanovljen kot organ Unije in je pravna oseba. Kot tak je tudi pooblaščen, da na podlagi členov 64 in 65 Uredbe 2016/679 sprejema mnenja in – v okviru reševanja sporov med nacionalnimi nadzornimi organi – odločitve, kot je izpodbijana odločitev, ki so za zadevne nadzorne organe zavezujoče, pri čemer so ta mnenja in te odločitve torej akti organa Unije.
37
Dalje, ugotoviti je treba, da ima izpodbijana odločitev pravne učinke za tretje osebe, saj gre za „zavezujočo odločitev“ za zadevne nadzorne organe, ki je sprejeta na podlagi člena 65 Uredbe 2016/679.
38
Vseeno se, če tožeča stranka ni ena od tako imenovanih „privilegiranih“ tožečih strank, ki so posamično posebej omenjene v drugem odstavku člena 263 PDEU, ustaljeno presoja, da mora akt za to, da bi bil izpodbojen za to tožečo stranko, imeti zavezujoče pravne učinke, ki lahko vplivajo na interese tožeče stranke tako, da bistveno spremenijo njen pravni položaj (sodba z dne 11. novembra 1981, IBM/Komisija, 60/81, EU:C:1981:264, točka 9; glej tudi sodbo z dne 18. novembra 2010, NDSHT/Komisija, C‑322/09 P, EU:C:2010:701, točka 45 in navedena sodna praksa).
39
Sodišče je prav tako odločilo, da če akt, ki ga taka tožeča stranka izpodbija, ni naslovljen nanjo, se pogoj, v skladu s katerim mora akt bistveno spreminjati pravni položaj tožeče stranke, prekriva s pogoji iz člena 263, četrti odstavek, PDEU, to je – kadar izpodbijani akt ni predpis, ki ne potrebuje izvedbenih ukrepov – z nujnostjo tega, da se ta akt neposredno in posamično nanaša na tožečo stranko (glej v tem smislu sodbo z dne 13. oktobra 2011, Deutsche Post in Nemčija/Komisija, C‑463/10 P in C‑475/10 P, EU:C:2011:656, točka 38).
40
V obravnavanem primeru je mogoče najprej glede narave izpodbijanega akta, ki je posamični akt, ugotoviti, da se izpodbijana odločitev posamično nanaša na družbo WhatsApp, saj zadeva nekatere vidike osnutka končne odločitve irskega nadzornega organa, ki se navezujejo posebej nanjo. V nasprotju s tem, kar EOVP trdi v dupliki, izpodbijana odločitev ni omejena na navedbo načel ali na razlago nekaterih določb Uredbe 2016/679, ki bi lahko zadevali katerega koli upravljavca. V izpodbijani odločitvi, kot je bilo pojasnjeno v točki 11 zgoraj, EOVP izraža stališče do tega, ali je družba WhatsApp izpolnila nekatere svoje obveznosti glede na Uredbo 2016/679, opredeljuje elemente, ki izhajajo iz postopka, imenovanega „Lossy Hashing Procedure“ – pri katerem gre za obdelavo, ki jo izvaja samo družba WhatsApp – kot osebne podatke in izraža stališče do nekaterih popravljalnih ukrepov, ki jih je treba naložiti družbi WhatsApp, zlasti do nekaterih vidikov določitve upravnih glob, ki ji jih je treba naložiti. Izpodbijana odločitev je torej specifična za družbo WhatsApp, tudi če vključuje, kot se zelo pogosto dogaja pri posamičnih aktih, navedbo ali pregled načel in splošne razlage.
41
Nato je treba preučiti vprašanje, ali ima izpodbijana odločitev pravne učinke, ki bistveno spreminjajo pravni položaj družbe WhatsApp, in ali se neposredno nanaša nanjo v smislu člena 263, četrti odstavek, PDEU.
42
S tega vidika je treba ugotoviti, kot tokrat pravilno poudarja EOVP, da izpodbijana odločitev sama po sebi ne spreminja pravnega položaja družbe WhatsApp. V nasprotju s končno odločitvijo irskega nadzornega organa izpodbijane odločitve namreč ni mogoče neposredno uveljavljati zoper to družbo in ta izpodbijana odločitev zanjo pomeni pripravljalni ali vmesni akt v postopku, ki se mora v skladu z določbami člena 58(2) ter členov 60, 63 in 65 Uredbe 2016/679, ki so citirane v točkah od 23 do 26 in 31 zgoraj, končati prav s sprejetjem končne odločitve nacionalnega nadzornega organa, naslovljene na to podjetje (glej v tem smislu in po analogiji sodbo z dne 24. junija 1986, AKZO Chemie in AKZO Chemie UK/Komisija, 53/85, EU:C:1986:256, točka 19).
43
V zvezi s tem je bilo večkrat odločeno, da v postopkih, ki privedejo do nastanka aktov v več fazah, vmesni ukrepi, katerih cilj je priprava končne odločbe, načeloma ne pomenijo izpodbojnih aktov (glej v tem smislu sodbi z dne 11. novembra 1981, IBM/Komisija, 60/81, EU:C:1981:264, točka 10, in z dne 26. januarja 2010, Internationaler Hilfsfonds/Komisija, C‑362/08 P, EU:C:2010:40, točka 52 in navedena sodna praksa).
44
Izjeme od načela, na katero je bilo opozorjeno v točki 43 zgoraj, zadevajo primere, v katerih ima vmesni ukrep samostojne pravne učinke, v zvezi s katerimi ni mogoče zagotoviti zadostnega sodnega varstva v okviru tožbe zoper odločbo, s katero se postopek konča (glej v tem smislu sodbi z dne 11. novembra 1981, IBM/Komisija, 60/81, EU:C:1981:264, točki 11 in 12, ter z dne 13. oktobra 2011, Deutsche Post in Nemčija/Komisija, C‑463/10 P in C‑475/10 P, EU:C:2011:656, točki 53 in 54). Take izjeme so bile na primer ugotovljene v okviru postopka nadzora spoštovanja pravil o konkurenci, ki se uporabljajo za podjetja (glej v tem smislu sodbo z dne 24. junija 1986, AKZO Chemie in AKZO Chemie UK/Komisija, 53/85, EU:C:1986:256, točka 20), v okviru postopka nadzora spoštovanja pravil o državni pomoči (glej v tem smislu sodbo z dne 9. oktobra 2001, Italija/Komisija, C‑400/99, EU:C:2001:528, točke od 55 do 63) in – v zvezi z akcesornim ali varnostnim ukrepom, sprejetim pred dokončno odločbo – pri začasni odstranitvi uradnika, ki je predmet disciplinskega postopka, z delovnega mesta (glej v tem smislu sodbo z dne 5. maja 1966, Gutmann/Komisija, 18/65 in 35/65, EU:C:1966:24, str. 168).
45
V obravnavanem primeru je, nasprotno, učinkovito sodno varstvo v zvezi z izpodbijano odločitvijo družbi WhatsApp zagotovljeno s pravnim sredstvom, ki ga ima ta pred nacionalnim sodiščem na voljo zoper končno odločitev irskega nadzornega organa in ki omogoča presojo veljavnosti izpodbijane odločitve. Kot določa člen 78(1) Uredbe 2016/679, v katerem je navedeno, da mora biti vsaki osebi v vsaki državi članici zagotovljena pravica do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njo, je družba WhatsApp pred irskim sodiščem izpodbijala končno odločitev, ki jo je izdal irski nadzorni organ, in lahko v okviru tega pravnega sredstva uveljavlja nezakonitost zavezujočih presoj, vsebovanih v izpodbijani odločitvi in prevzetih v tej končni odločitvi. V zvezi s tem je treba opozoriti, da člen 267 PDEU omogoča uveljavljanje neveljavnosti aktov institucij, organov, uradov in agencij Unije pred nacionalnim sodiščem, saj določa, da če nacionalno sodišče meni, da je treba glede vprašanja sprejeti odločitev, ki mu bo omogočila izreči sodbo, lahko Sodišču Evropske unije predloži oziroma mu mora predložiti vprašanje za predhodno odločanje zaradi presoje veljavnosti. Če to ob koncu postopka predhodnega odločanja ugotovi, da je ta akt – če gre za pripravljalni akt za odločbo, ki jo sprejme organ države članice – neveljaven, mora nacionalno sodišče iz tega izpeljati posledice za zakonitost te odločbe, ki posega v položaj zadevne osebe (glej v tem smislu sodbi z dne 30. oktobra 1975, Rey Soda in drugi, 23/75, EU:C:1975:142, točka 51, in z dne 20. marca 2018, Šroubárna Ždánice/Svet, T‑442/16, neobjavljena, EU:T:2018:159, točka 34).
46
Poleg tega izpodbijana odločitev za družbo WhatsApp nima nobenih pravnih učinkov, ki bi bili samostojni glede na končno odločitev irskega nadzornega organa: vse presoje iz prve odločitve so ponovljene v drugi in prva odločitev nima nobenega učinka, ki bi bil neodvisen od vsebine druge odločitve, v nasprotju s tem, kar je veljalo v položajih, v zvezi s katerimi so bile izdane sodbe z dne 5. maja 1966, Gutmann/Komisija (18/65 in 35/65, EU:C:1966:24), z dne 24. junija 1986, AKZO Chemie in AKZO Chemie UK/Komisija (53/85, EU:C:1986:256), in z dne 9. oktobra 2001, Italija/Komisija (C‑400/99, EU:C:2001:528), ki so omenjene v točki 44 zgoraj.
47
V zvezi s tem, če so bila načela, na katera je bilo opozorjeno v točkah 43 in 44 zgoraj, opredeljena v zvezi s postopki, ki spadajo, kar zadeva končno odločitev, v pristojnost institucij ali drugih subjektov Unije, noben razlog ne upravičuje drugačnega pristopa, kadar je, tako kot v obravnavanem primeru, z zakonodajo Unije spremljanje uporabe konkretnih pravil Unije zaupano posebnim nacionalnim organom v okviru postopkov, ki vključujejo več faz, in kadar gre za vmesni ukrep, ki ga je sprejel organ Unije v okviru takega postopka, končanega z odločitvijo nacionalnega organa.
48
Družba WhatsApp resda trdi, da gre pri izpodbijani odločitvi za dokončno stališče EOVP, ki mu je irski nadzorni organ v končni odločitvi moral slediti. To trditev je treba razumeti tako, da naj bi bila izpodbijana odločitev zaradi tega nujno izpodbojni akt in da naj bi se razlikovala od vmesnih ukrepov, ki izražajo le začasno mnenje in ki naj bi edini pomenili neizpodbojne akte.
49
Vseeno mora, kot je bilo opozorjeno v točki 38 zgoraj, akt, da bi ga lahko izpodbijala tožeča stranka, ki ni ena od tako imenovanih privilegiranih tožečih strank, omenjenih v drugem odstavku člena 263 PDEU, med drugim bistveno spreminjati njen pravni položaj. Vendar dejstvo, da vmesni akt izraža dokončno stališče organa, ki bo moralo biti ponovljeno v končni odločbi, s katero bo zadevni postopek končan – tako kot je v obravnavani zadevi, saj izpodbijana odločitev vsebuje dokončno analizo v zvezi z nekaterimi vidiki končne odločitve – ne pomeni nujno, da ta vmesni akt sam po sebi bistveno spreminja pravni položaj tožeče stranke, kot je v tem primeru prikazano v točkah od 42 do 47 zgoraj. Ker se ta pogoj, kot je bilo opozorjeno v točki 39 zgoraj, prekriva s pogoji, določenimi v členu 263, četrti odstavek, PDEU, to je med drugim z nujnostjo tega, da se ta akt neposredno nanaša na tožečo stranko, je mogoče v obravnavanem primeru njegovo izpolnjenost preveriti s preučitvijo, ali se izpodbijana odločitev neposredno nanaša na družbo WhatsApp.
50
Kot pravilno trdi EOVP, pa se izpodbijana odločitev ne nanaša neposredno na družbo WhatsApp.
51
Ustaljeno se namreč presoja, da mora akt za to, da se neposredno nanaša na tožečo stranko, na katero ni naslovljen, prvič, imeti neposredne pravne učinke na položaj te tožeče stranke in, drugič, svojim naslovnikom, ki so zadolženi za njegovo izvedbo, ne sme dopuščati nobene diskrecijske pravice, saj je izvajanje samodejno in temelji izključno na ureditvi Unije brez uporabe drugih vmesnih pravil (sodbe z dne 13. maja 1971, International Fruit Company in drugi/Komisija, od 41/70 do 44/70, EU:C:1971:53, točke od 23 do 28; z dne 5. maja 1998, Dreyfus/Komisija, C‑386/96 P, EU:C:1998:193, točka 43, in z dne 17. septembra 2009, Komisija/Koninklijke FrieslandCampina, C‑519/07 P, EU:C:2009:556, točka 48).
52
Kar zadeva prvega od teh pogojev, kot je bilo navedeno že v točki 42 zgoraj, izpodbijane odločitve ni mogoče uveljavljati zoper družbo WhatsApp tako, da bi bila ta odločitev lahko brez dodatne faze v postopku vir obveznosti zanjo ali eventualno vir pravic za druge posameznike. Tako se ta odločitev razlikuje na primer od aktov, ki so bili predmet sodbe z dne 23. aprila 1986, Les Verts/Parlament (294/83, EU:C:1986:166), in glede katerih je bilo v točki 31 navedene sodbe opozorjeno – in sicer, da bi se ugotovilo, da se nanašajo neposredno na tožeče združenje – da ti akti „[o]blikujejo celo vrsto pravil, ki zadostujejo sama po sebi in ne zahtevajo določb za izvajanje“. V obravnavanem primeru izpodbijana odločitev ni zadnja faza celovitega postopka, določenega v členih 58, 60 in 65 Uredbe 2016/679.
53
V zvezi z drugim od teh pogojev, ki se nanaša na diskrecijsko pravico organa, zadolženega za izvajanje zadevnega akta, je treba ugotoviti, da čeprav je bila izpodbijana odločitev za irski nadzorni organ zavezujoča glede vidikov, obravnavanih v njej, mu je dopuščala polje proste presoje glede vsebine končne odločitve.
54
Kot je razvidno iz primerjave zgoraj v točki 11 predstavljene vsebine izpodbijane odločitve, s katero so na zadevne nadzorne organe naslovljena navodila, in zgoraj v točki 8 predstavljene vsebine končne odločitve, ki je naslovljena na družbo WhatsApp, se vsebina izpodbijane odločitve delno ujema z vsebino končne odločitve.
55
Tako so tema odločitvama skupni ugotovitev, da je družba WhatsApp kršila načelo preglednosti iz člena 5(1)(a) ter obveznosti iz člena 13(1)(d) in člena 13(2)(e) Uredbe 2016/679; opredelitev elementov, ki izhajajo iz postopka, imenovanega „Lossy Hashing Procedure“ – pri čemer se ta postopek uporablja za podatke o „stikih“ neuporabnikov storitve WhatsApp, ki jih vsebujejo imeniki na napravah uporabnikov storitve WhatsApp – kot osebnih podatkov; ugotovitev, da je družba WhatsApp zaradi te opredelitve kršila obveznosti iz člena 14 Uredbe 2016/679; trimesečni rok, odobren družbi WhatsApp za uskladitev z zahtevami iz Uredbe 2016/679; nekateri vidiki popravljalnih ukrepov, in sicer tistih, ki zadevajo osebne podatke neuporabnikov storitve WhatsApp in obveznost, da se uporabnikom storitve WhatsApp zagotovijo informacije iz člena 13(2)(e) Uredbe 2016/679; razlaga meril za znesek upravnih glob, naloženih družbi WhatsApp, in zvišanje teh glob v primerjavi s skupno višino od 30 do 50 milijonov EUR, predvideno v osnutku odločitve irskega nadzornega organa.
56
Končna odločitev pa, nasprotno – ne da bi EOVP glede tega v izpodbijani odločitvi izrazil stališče – izhaja iz presoje irskega nadzornega organa v zvezi s temi vidiki: ugotovitvijo, da je družba WhatsApp kršila obveznosti iz člena 12(1), člena 13(1)(c), (e) in (f) ter člena 13(2)(a) in (c) Uredbe 2016/679; ugotovitvijo, da je družba WhatsApp izpolnila obveznosti iz člena 13(1)(a) in (b) ter člena 13(2)(b) in (d) Uredbe 2016/679; statusom družbe WhatsApp, kadar ta obdeluje osebne podatke neuporabnikov svoje storitve za pošiljanje sporočil; bistveno vsebino popravljalnih ukrepov, naloženih družbi WhatsApp, in sicer tistih, katerih namen je zagotoviti izpolnitev obveznosti iz člena 12(1), člena 13(1)(c), (d), (e) in (f) ter člena 13(2)(a) in (c) Uredbe 2016/679; konkretno določitvijo višine upravnih glob, naloženih družbi WhatsApp, v skupnem znesku 225 milijonov EUR.
57
Zlasti je treba opozoriti, da je irski nadzorni organ uporabil svoje polje proste presoje, da je izpeljal posledice iz navodil, ki so bila v izpodbijani odločitvi dana glede opredelitve elementov, ki izhajajo iz postopka, imenovanega „Lossy Hashing Procedure“, kot osebnih podatkov in glede upravnih glob.
58
Kar zadeva prvi vidik, to je vprašanje obdelave osebnih podatkov neuporabnikov storitve WhatsApp, zlasti elementov, ki izhajajo iz postopka, imenovanega „Lossy Hashing Procedure“, je šlo, kot je razvidno iz točke 111 končne odločitve, pri naslednji fazi analize, namenjene ugotavljanju, ali je družba WhatsApp v zvezi s temi osebami kršila obveznosti iz člena 14 Uredbe 2016/679, za to, ali je glede obdelave zadevnih osebnih podatkov družba WhatsApp nastopala kot upravljavec ali zgolj kot obdelovalec, ki deluje za račun uporabnika njene storitve za pošiljanje sporočil, ki je vključil funkcijo „Stiki“. Ta faza analize, ki je bila končana s sprejetjem prve možnosti, pa izhaja iz presoje irskega nadzornega organa, ne da bi se EOVP v izpodbijani odločitvi do tega opredelil.
59
Kar zadeva določitev upravnih glob, čeprav izpodbijana odločitev vsebuje navodila glede razlage meril za znesek upravnih glob, izrečenih na podlagi Uredbe 2016/679, in glede zvišanja skupnega zneska glob, ki jih je treba v obravnavani zadevi naložiti družbi WhatsApp, v primerjavi s tem, kar je bilo predvideno v osnutku odločitve irskega nadzornega organa, je ta ohranil polje proste presoje za določitev konkretnega zneska glob, ki jih je treba naložiti družbi WhatsApp. Poleg tega, kot je bilo navedeno v točki 8 zgoraj, je irski nadzorni organ pred sprejetjem končne odločitve družbo WhatsApp pozval k predložitvi pripomb glede novih upravnih glob, ki ji jih je nameraval naložiti, kar je skladno z ugotovitvijo, da je ta organ v tem pogledu ohranil polje proste presoje. V obravnavanem primeru je mogoče ugotoviti, da je bil v končni odločitvi nazadnje uporabljen spodnji del razpona novih glob, ki jih je predvidel irski nadzorni organ.
60
Končna odločitev pa pomeni celoto, od katere ni mogoče ločiti tistih delov, ki ustrezajo navodilom v izpodbijani odločitvi, s sprejetjem končne „pododločitve“, za katero nadzorni organ ne bi imel nobenega polja proste presoje. Preiskava in končna odločitev irskega nadzornega organa sta se namreč nanašali na vprašanje, ali družba WhatsApp spoštuje načelo preglednosti in vse z njim povezane konkretne obveznosti iz Uredbe 2016/679. V končni odločitvi je bila torej analizirana celotna praksa družbe WhatsApp v zvezi s tem in isti vidik te prakse je bil preučen z vidika več upoštevnih določb Uredbe 2016/679, na primer z vidika člena 5(1)(a), člena 12(1) in več določb člena 13 Uredbe 2016/679, pri čemer izpodbijana odločitev zadeva le analizo v vidika nekaterih od teh določb. Nesmiselno bi bilo od celovite analize, opravljene v končni odločitvi, ločevati nekatere posamezne elemente, glede na to, da se je postopek, sprožen glede družbe WhatsApp na pobudo in pod odgovornostjo irskega nadzornega organa kot vodilnega nadzornega organa, nanašal na splošno presojo spoštovanja načela preglednosti s strani družbe WhatsApp. Zlasti pri določanju denarnih kazni je irski nadzorni organ znesek vsake od štirih upravnih glob določil glede na vse ugotovljene kršitve člena 5(1)(a) in členov 12, 13 oziroma 14 Uredbe 2016/679.
61
Zato ni izpolnjen nobeden od dveh pogojev, na katera je bilo opozorjeno v točki 51 zgoraj in ki bi, če bi bila izpolnjena, omogočala presojo, da se izpodbijana odločitev neposredno nanaša na družbo WhatsApp.
62
Iz navedenega izhaja, da tožba družbe WhatsApp ni dopustna.
63
Rezultat te analize je skladen s tem, kar je bilo mogoče presoditi glede drugih postopkov, v katerih je zavezujoči akt Unije v zvezi s podjetji naslovljen na državo članico.
64
Tako je bilo na področju nadzora državnih pomoči odločeno, da kadar Komisija sprejme odločbo, s katero se že dodeljena pomoč razglasi za nezakonito in nezdružljivo z notranjim trgom ter se državi članici, ki jo je dodelila, odredi izterjava izplačane pomoči, se ta odločba neposredno in posamično nanaša na prejemnike te izplačane pomoči (glej v tem smislu sodbo z dne 19. oktobra 2000, Italija in Sardegna Lines/Komisija, C‑15/98 in C‑105/99, EU:C:2000:570, točke od 33 do 36). V zvezi s tem je bilo ugotovljeno, da so ti prejemniki od sprejetja tovrstne odločbe izpostavljeni vračanju ugodnosti, ki so jih prejeli, s čimer se vpliva na njihov pravni položaj (sodba z dne 9. junija 2011, Comitato Venezia vuole vivere in drugi/Komisija, C‑71/09 P, C‑73/09 P in C‑76/09 P, EU:C:2011:368, točka 56). To je zato, ker je postopek nadzora v tej fazi končan, ker ni potrebna nobena dodatna vsebinska presoja, saj se zneski, ki jih je treba vrniti, samodejno določijo glede na odločbo Komisije in glede na pomoč, ki je bila predhodno zagotovljena zadevnim podjetjem, ker mora država članica razen v zelo izjemnih okoliščinah sama začeti in dokončati izterjavo te pomoči (glej v tem smislu sodbe z dne 7. junija 1988, Komisija/Grčija, 63/87, EU:C:1988:285; z dne 20. septembra 1990, Komisija/Nemčija, C‑5/89, EU:C:1990:320, točki 15 in 16, ter z dne 20. marca 1997, Alcan Deutschland, C‑24/95, EU:C:1997:163) ter ker se lahko tretje osebe na podlagi odločbe Komisije obrnejo na zadevno upravo ali nacionalno sodišče, da bi bila zadevna pomoč vrnjena, ne da bi morale same nositi breme dokazovanja nezakonitosti njene dodelitve (glej po analogiji sodbo z dne 12. februarja 2008, CELF in ministre de la Culture et de la Communication, C‑199/06, EU:C:2008:79, točke 23 in od 39 do 41). V obravnavanem primeru izpodbijana odločitev ni v enaki fazi, ker postopek nadzora z njenim sprejetjem ni bil končan, ker je moral vodilni nadzorni organ še potrditi ali opraviti dodatne presoje o spoštovanju določb Uredbe 2016/679 s strani družbe WhatsApp in o kazni, ki se izreče, ter ker izpodbijane odločitve ni bilo mogoče same po sebi uporabiti kot pravno zavezujočo podlago za to, da bi se družbi WhatsApp naložile obveznosti.
65
Odločeno je bilo tudi, da se odločba Komisije, ki je naslovljena na državo članico in v kateri je ta obveščena, da je bilo evropsko financiranje v korist podjetja zmanjšano v primerjavi s tem, kar je bilo predvideno, ker nekateri izdatki, ki jih je predložilo to podjetje, niso upravičeni do tega financiranja, neposredno in posamično nanaša na navedeno podjetje, ker se mu z njo odvzema del finančne pomoči, ki mu je bila prvotno dodeljena, ne da bi imela država članica diskrecijsko pravico v zvezi s tem (sodba z dne 4. junija 1992, Infortec/Komisija, C‑157/90, EU:C:1992:243, točka 17). Vendar v obravnavanem primeru v nasprotju z odločbo Komisije, ki je privedla do te presoje, izpodbijana odločitev ni zadnja faza zadevnega celovitega postopka, kot je bilo ugotovljeno v točki 52 zgoraj, in je irskemu nadzornemu organu dopuščala polje proste presoje, kot je bilo ugotovljeno v točkah 56 in 57 zgoraj.
66
Splošneje se nedopustnost tožbe, ki jo je družba WhatsApp pri Splošnem sodišču vložila zoper izpodbijano odločitev, umešča v logiko sistema pravnih sredstev, določenega v Pogodbi EU in Pogodbi DEU.
67
Kot je določeno v členu 2 Pogodbe EU, Unija temelji med drugim na spoštovanju pravne države. Člen 6(1) Pogodbe EU določa, da Unija priznava pravice, svoboščine in načela iz Listine Evropske unije o temeljnih pravicah, člen 47 te listine pa zagotavlja pravico do učinkovitega pravnega sredstva in nepristranskega sodišča. V členu 19 Pogodbe EU je natančneje določeno, da Sodišče Evropske unije zagotavlja upoštevanje prava pri razlagi in uporabi Pogodb ter zlasti da v skladu z določbami Pogodb odloča o tožbah, ki jih vloži država članica, institucija oziroma fizična ali pravna oseba, na predlog nacionalnih sodišč predhodno odloča o vprašanjih glede razlage prava Unije ali veljavnosti aktov, ki so jih sprejele institucije, ter odloča o drugih zadevah, predvidenih v Pogodbah. Isti člen določa, da države članice vzpostavijo pravna sredstva, potrebna za zagotovitev učinkovitega pravnega varstva na področjih, ki jih ureja pravo Unije.
68
Natančneje, Pogodba DEU še posebej v členu 263 v zvezi z direktnimi tožbami pred Sodiščem Evropske unije in v členu 267 v zvezi s primeri, v katerih to odloča v postopkih predhodnega odločanja zlasti o veljavnosti in razlagi aktov institucij, organov, uradov ali agencij Unije, določa zaključen sistem pravnih sredstev, katerih namen je zagotoviti nadzor nad zakonitostjo aktov Unije (glej v tem smislu sodbo z dne 25. julija 2002, Unión de Pequeños Agricultores/Svet, C‑50/00 P, EU:C:2002:462, točka 40). V tem sistemu sodelujejo tako Sodišče Evropske unije, del katerega je Splošno sodišče, kot nacionalna sodišča. Ker osebe v tem sistemu glede na pogoje dopustnosti iz člena 263 PDEU ne morejo neposredno izpodbijati aktov Unije pred Sodiščem Evropske unije, imajo možnost z ugovorom nezakonitosti uveljavljati neveljavnost takega akta pred nacionalnim sodiščem tako, da pri njem vložijo pravno sredstvo zoper nacionalne ukrepe za izvajanje tega akta. V tem položaju mora nacionalno sodišče, če meni, da je treba glede tega vprašanja sprejeti odločitev, ki mu bo omogočila izreči sodbo, in podvomi o veljavnosti tega akta, Sodišču Evropske unije predložiti vprašanje za predhodno odločanje (glej v tem smislu in po analogiji tudi sodbo z dne 25. julija 2002, Unión de Pequeños Agricultores/Svet, C‑50/00 P, EU:C:2002:462, točka 40).
69
Logika tega sistema, ki pojasnjuje zlasti razlago pogojev dopustnosti direktnih tožb, določenih v členu 263 PDEU, na katero je bilo opozorjeno v okviru analize v točkah od 35 do 62 zgoraj, je, da se sodna dejavnost Sodišča Evropske unije in sodna dejavnost nacionalnih sodišč učinkovito dopolnjujeta ter da sodišče Unije in nacionalno sodišče nista primorani hkrati, v okviru vzporednih postopkov, odločati o veljavnosti istega akta Unije, bodisi neposredno bodisi – v primeru nacionalnega sodišča, če se to sprašuje o veljavnosti zadevnega akta – na podlagi vprašanja za predhodno odločanje. S to logiko je bilo zlasti mogoče utemeljiti presojanje, da tožeča stranka, ki je odločbo Unije nedvomno lahko izpodbijala neposredno pred Sodiščem Evropske unije, pozneje ne more več prerekati veljavnosti te odločbe, zlasti v poznejšem postopku pred nacionalnim sodiščem (glej v tem smislu sodbo z dne 9. marca 1994, TWD Textilwerke Deggendorf, C‑188/92, EU:C:1994:90, točka 17; glej v tem smislu tudi sodbo z dne 9. junija 2011, Comitato Venezia vuole vivere in drugi/Komisija, C‑71/09 P, C‑73/09 P in C‑76/09 P, EU:C:2011:368, točka 58 in navedena sodna praksa). In obratno, ustaljeno se presoja, da je nezakonitost neizpodbojnega akta Unije, ki je podlaga za neki drug akt, mogoče uveljavljati v okviru tožbe zoper ta drugi akt (sodba z dne 11. novembra 1981, IBM/Komisija, 60/81, EU:C:1981:264, točka 12 in, a contrario, predhodna sklicevanja na sodno prakso).
70
V obravnavanem primeru bi priznanje dopustnosti tožbe družbe WhatsApp zoper izpodbijano odločitev vodilo do nadaljevanja dveh vzporednih sodnih postopkov, ki se obsežno prekrivata, in sicer enega, ki poteka pred Splošnim sodiščem in v katerem se izpodbija izpodbijana odločitev, ter drugega, ki poteka pred irskim sodiščem in v katerem se izpodbija končna odločitev, katere del obrazložitve temelji na izpodbijani odločitvi. Poleg tega se je družba WhatsApp, da bi dosegla odobritev roka za vložitev replike pri Splošnem sodišču, sklicevala na vzporedno delovno obremenitev, ki jo je od nje zahteval postopek pred irskim sodiščem, na katero se je obrnila. Razen če eno ali drugo od sodišč, ki odločata, prekine postopek, sprožen pred njim, kar bi lahko pomenilo podaljšanje časa, potrebnega za dosego dokončne rešitve v zvezi z zakonitostjo končne odločitve, bi ta vzporedna postopka lahko privedla celo do položaja, v katerem bi bili Sodišče v okviru predhodnega odločanja in Splošno sodišče na podlagi direktne tožbe družbe WhatsApp sočasno pozvani, naj odločita o veljavnosti izpodbijane odločitve. Ob upoštevanju sistema pravnih sredstev, omenjenega v točkah 68 in 69 zgoraj, ter ob upoštevanju določb člena 78 Uredbe 2016/679, ki se nanašajo na pravico do učinkovitega pravnega sredstva zoper nadzorni organ, bo moralo po potrebi irsko sodišče, pred katerim je bil postopek sprožen in ki je edino pristojno v zvezi s tem, preizkusiti zakonitost končne odločitve, ki jo je mogoče uveljavljati zoper družbo WhatsApp, tako da bo postavilo vprašanje za predhodno odločanje Sodišču Evropske unije zaradi presoje veljavnosti izpodbijane odločitve, če bi zadevno nacionalno sodišče menilo, da je to potrebno za odločitev v sporu med družbo WhatsApp in irskim nacionalnim organom. Irsko sodišče, pred katerim je bil postopek sprožen, bi lahko v zvezi s tem rešilo spor, ki mu je predložen, bodisi tako, da bi zavrnilo ugovor nezakonitosti, ki bi lahko bil podan zoper izpodbijano odločitev, ne da bi se obrnilo na Sodišče, če ne bi imelo dvomov o veljavnosti te odločitve, bodisi tako, da bi, nasprotno, zadevo predložilo Sodišču, če bi imelo take dvome, lahko pa bi spor rešilo tudi neodvisno od vprašanja veljavnosti izpodbijane odločitve ob upoštevanju razlogov, navedenih pred njim. Ta rešitev je ob upoštevanju tveganj, ki jih povzročajo vzporedni sodni postopki in so omenjena na začetku te točke, skladna z interesom učinkovitega izvajanja sodne oblasti.
71
Nazadnje, glede uvodne izjave 143 Uredbe 2016/679, ki je citirana v točki 33 zgoraj in bi lahko dajala vtis, da je tožba, kot je ta, ki jo je družba WhatsApp vložila pri Splošnem sodišču, dopustna, je treba poudariti, da uvodna izjava uredbe, tudi če bi omogočala razlago, ki jo je treba podati glede pravnega pravila, sama po sebi ni takšno pravilo in da preambula akta Unije ni pravno zavezujoča (glej sodbo z dne 26. oktobra 2017, Marine Harvest/Komisija, T‑704/14, EU:T:2017:753, točka 150 in navedena sodna praksa; glej v tem smislu tudi sodbo z dne 24. novembra 2005, Deutsches Milch-Kontor, C‑136/04, EU:C:2005:716, točka 32 in navedena sodna praksa). V obravnavanem primeru pa s to uvodno izjavo ni podprta nobena določba Uredbe 2016/679, kot je bilo navedeno v točkah 32 in 35 zgoraj. Poleg tega pojasnilo, ki ga vsebuje obrazložitev uredbe, ne more prevladati nad pravili primarnega prava, ki se uporabljajo in jih vsebujeta Pogodbi, to so v obravnavanem primeru pravila iz prvega in četrtega odstavka člena 263 PDEU, na katerih vsebino je poleg tega deloma opomnjeno v zadevni uvodni izjavi, ko je v njenem prvem stavku navedeno, da ima „[k]atera koli fizična ali pravna oseba […] pravico, da pred Sodiščem pod pogoji iz člena 263 PDEU vloži ničnostno tožbo zoper odločitve odbora“.
72
Iz vsega navedenega izhaja, da je treba tožbo zavreči kot nedopustno.
Predlogi za intervencijo
73
Člen 142(2) Poslovnika določa, da je intervencija v razmerju do spora o glavni stvari akcesorna in postane brezpredmetna, med drugim, če se tožba razglasi za nedopustno.
74
Zato o predlogih za intervencijo in o predlogih za zaupno obravnavo elementov iz spisa, ki izhajajo iz njih, ni več treba odločiti.
Stroški
75
V skladu s členom 134(1) Poslovnika se plačilo stroškov na predlog naloži neuspeli stranki. Ker družba WhatsApp ni uspela, se ji v skladu s predlogom EOVP naloži plačilo stroškov, s pridržkom tega, kar je navedeno v točki 76 spodaj.
76
Poleg tega člen 144(10) Poslovnika določa, da če se postopek v glavni stvari konča pred odločitvijo o predlogu za intervencijo, predlagatelj intervencije in glavne stranke nosijo vsak svoje stroške, povezane s predlogom za intervencijo. V obravnavanem primeru družba WhatsApp, EOVP, Republika Finska, Komisija, Evropski odbor za varstvo podatkov in združenje Computer & Communication Industry Association nosijo vsak svoje stroške, povezane s predlogi za intervencijo.
Iz teh razlogov je
SPLOŠNO SODIŠČE (četrti razširjeni senat)
sklenilo:
1.
Tožba se zavrže kot nedopustna.
2.
Postopek s predlogi za intervencijo Republike Finske, Evropske komisije, Evropskega nadzornika za varstvo podatkov in združenja Computer & Communication Industry Association ter s predlogi za zaupno obravnavo, ki izhajajo iz prvonavedenih predlogov, se ustavi.
3.
Družba WhatsApp Ireland Ltd nosi svoje stroške in stroške, nastale Evropskemu odboru za varstvo podatkov, razen stroškov tega odbora, povezanih s predlogi za intervencijo.
4.
Evropski odbor za varstvo podatkov, Republika Finska, Komisija, Evropski nadzornik za varstvo podatkov in združenje Computer & Communication Industry Association nosijo vsak svoje stroške, povezane s predlogi za intervencijo.
V Luxembourgu, 7. decembra 2022
Sodni tajnik
E. Coulon
Predsednik
S. Gervasoni
(
*1
)	Jezik postopka: angleščina.