62023CJ0097
UNIONIN TUOMIOISTUIMEN TUOMIO (suuri jaosto)
10 päivänä helmikuuta 2026 (
*1
)
Muutoksenhaku – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 63 artikla – Yhdenmukaisuusmekanismi – 65 artikla – Kiistojen ratkaisu Euroopan tietosuojaneuvostossa – Sitova päätös – Kumoamiskanne – SEUT 263 artiklan ensimmäinen kohta – Kannekelpoinen toimi – SEUT 263 artiklan neljäs kohta – Edellytys, jonka mukaan kanteen kohteena olevan toimenpiteen on koskettava kantajaa suoraan
Asiassa C‑97/23 P,
jossa on kyse Euroopan unionin tuomioistuimen perussäännön 56 artiklaan perustuvasta valituksesta, joka on pantu vireille 17.2.2023,
WhatsApp Ireland Ltd, kotipaikka Dublin (Irlanti), edustajinaan E. Egan McGrath, SC, C. Geoghegan, SC, D. McGrath, SC, P. Sreenan, SC, B. Johnston, C. Monaghan ja P. Nolan, solicitors, H.-G. Kamann, Rechtsanwalt, sekä F. Louis ja A. Vallery, avocats,
valittajana,
ja jossa muuna osapuolena on
Euroopan tietosuojaneuvosto, asiamiehinään C. Foglia, M. Gufflet, G. Le Grand ja I. Vereecken, avustajinaan G. Haumont, E. de Lophem, P. Vernet, avocats, ja G. Ryelandt, advocaat,
vastaajana ensimmäisessä oikeusasteessa,
jota tukee
Saksan liittotasavalta, asiamiehinään aluksi J. Möller ja P.-L. Krüger, sittemmin J. Möller,
väliintulijana muutoksenhakuasteessa,
UNIONIN TUOMIOISTUIN (suuri jaosto),
toimien kokoonpanossa: presidentti K. Lenaerts, varapresidentti T. von Danwitz (esittelevä tuomari), jaostojen puheenjohtajat K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu-Matei ja M. Condinanzi sekä tuomarit S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders ja N. Fenger,
julkisasiamies: T. Ćapeta,
kirjaaja: hallintovirkamies A. Lamote,
ottaen huomioon kirjallisessa käsittelyssä ja 26.11.2024 pidetyssä istunnossa esitetyn,
kuultuaan julkisasiamiehen 27.3.2025 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1
WhatsApp Ireland Ltd (jäljempänä WhatsApp) vaatii valituksessaan unionin tuomioistuinta kumoamaan unionin yleisen tuomioistuimen 7.12.2022 antaman määräyksen WhatsApp Ireland v. Euroopan tietosuojaneuvosto (T‑709/21, EU:T:2022:783; jäljempänä valituksenalainen määräys), jolla unionin yleinen tuomioistuin jätti tutkimatta WhatsAppin kanteen, jossa vaadittiin kumoamaan Euroopan tietosuojaneuvoston (jäljempänä tietosuojaneuvosto) 28.7.2021 tekemä sitova päätös 1/2021, joka koskee osallistuvien valvontaviranomaisten välistä erimielisyyttä, joka sai alkunsa Data Protection Commissionin (DPC) (tietosuojaviranomainen, Irlanti; jäljempänä Irlannin valvontaviranomainen) laatimasta WhatsAppia koskevasta päätösluonnoksesta (jäljempänä riidanalainen päätös).
Asiaa koskevat oikeussäännöt
2
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) johdanto-osan 10 ja 143 perustelukappaleessa todetaan seuraavaa:
”(10)
Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –
– –
(143)
Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on SEUT 263 artiklassa määrätyin edellytyksin oikeus nostaa kumoamiskanne Euroopan unionin tuomioistuimessa tietosuojaneuvoston päätöksiä vastaan. Asianomaisten valvontaviranomaisten, joille kyseiset päätökset on osoitettu ja jotka haluavat riitauttaa ne, on SEUT 263 artiklan mukaisesti nostettava kanne kahden kuukauden kuluessa siitä, kun päätökset on annettu niille tiedoksi. Jos tietosuojaneuvoston päätökset koskevat suoraan ja erikseen rekisterinpitäjää, henkilötietojen käsittelijää tai valituksen [oikeammin: kantelun] tekijää, viimeksi mainittu voi nostaa SEUT 263 artiklan mukaisesti kumoamiskanteen kyseisiä päätöksiä vastaan kahden kuukauden kuluessa kyseisten päätösten julkaisemisesta tietosuojaneuvoston verkkosivustolla. Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä olisi oltava oikeus tehokkaisiin oikeussuojakeinoihin toimivaltaisessa kansallisessa tuomioistuimessa sellaista valvontaviranomaisen päätöstä vastaan, joka tuottaa kyseistä henkilöä koskevia oikeusvaikutuksia, sanotun kuitenkaan rajoittamatta tätä oikeutta SEUT 263 artiklan nojalla. Tällaiset päätökset koskevat etenkin valvontaviranomaisen tutkintavaltuuksien, korjaavien valtuuksien ja hyväksymisvaltuuksien käyttöä tai valitusten käsittelemättä jättämistä tai hylkäämistä. Tämä oikeus tehokkaisiin oikeussuojakeinoihin ei kuitenkaan koske valvontaviranomaisten toimenpiteitä, jotka eivät ole oikeudellisesti sitovia, kuten valvontaviranomaisen antamia lausuntoja tai neuvoja. Kanne valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut, ja se olisi toteutettava kyseisen jäsenvaltion prosessioikeuden mukaisesti. Kyseisten tuomioistuinten olisi käytettävä täyttä oikeudellista toimivaltaa, mukaan lukien toimivalta tarkastella kaikkia tosiseikkoja koskevia ja oikeudellisia kysymyksiä, jotka ovat niiden käsiteltäväksi saatetun asian kannalta merkittäviä.
Jos valvontaviranomainen on hylännyt tai jättänyt käsittelemättä valituksen, valituksen tekijä voi nostaa kanteen kyseisen jäsenvaltion tuomioistuimissa. Tämän asetuksen soveltamiseen liittyvien oikeussuojakeinojen yhteydessä niiden kansallisten tuomioistuinten, jotka katsovat, että asiaa koskeva päätös on tarpeen, jotta ne voivat antaa tuomion, voivat pyytää, tai SEUT 267 määrätyssä tapauksessa niiden on pyydettävä, unionin tuomioistuimelta ennakkoratkaisua unionin oikeuden tulkinnasta, tämä asetus mukaan lukien. Lisäksi, jos tietosuojaneuvoston päätöksen täytäntöön paneva valvontaviranomaisen päätös on riitautettu kansallisessa tuomioistuimessa ja kyseessä on tietosuojaneuvoston päätöksen pätevyys, kyseisellä kansallisella tuomioistuimella ei ole toimivaltaa julistaa tietosuojaneuvoston päätöstä pätemättömäksi, vaan sen on esitettävä pätevyyttä koskeva ennakkoratkaisukysymys unionin tuomioistuimelle SEUT 267 artiklan, sellaisena kuin se on unionin tuomioistuimen tulkitsemana, aina kun se katsoo, että päätös on pätemätön. Kansallinen tuomioistuin ei kuitenkaan saa esittää tietosuojaneuvoston päätöksen pätevyyttä koskevaa ennakkoratkaisukysymystä sellaisen luonnollisen henkilön tai oikeushenkilön pyynnöstä, jolla oli tilaisuus nostaa kumoamiskanne kyseistä päätöstä vastaan, erityisesti jos päätös koski tätä suoraan ja erikseen, mutta joka ei tehnyt niin SEUT 263 artiklassa vahvistetun määräajan kuluessa.”
3
Yleisen tietosuoja-asetuksen 5 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 kohdan a alakohdassa säädetään, että henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Sen 5 artiklan 1 kohdan c alakohdassa säädetään, että henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään.
4
Yleisen tietosuoja-asetuksen 6 artiklassa, jonka otsikko on ”Käsittelyn lainmukaisuus”, säädetään henkilötietojen käsittelyn lainmukaisuuden edellytyksistä. Kyseisen 6 artiklan 1 kohdassa säädetään seuraavaa:
”Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:
a)
rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten;
b)
käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä;
c)
käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi;
d)
käsittely on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi;
e)
käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi;
f)
käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.
Ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.”
5
Yleisen tietosuoja-asetuksen 12 artikla puolestaan sisältää säännöksiä läpinäkyvästä informoinnista ja viestinnästä sekä yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten. Kyseisen 12 artiklan 1 kohdassa säädetään seuraavaa:
”Rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 13 ja 14 artiklan mukaiset tiedot ja 15–22 artiklan ja 34 artiklan mukaiset kaikki käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.”
6
Yleisen tietosuoja-asetuksen 13 artiklassa, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, säädetään seuraavaa:
”1.   Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:
a)
rekisterinpitäjän ja tapauksen mukaan tämän mahdollisen edustajan identiteetti ja yhteystiedot;
b)
tapauksen mukaan tietosuojavastaavan yhteystiedot;
c)
henkilötietojen käsittelyn tarkoitukset sekä käsittelyn oikeusperuste;
d)
rekisterinpitäjän tai kolmannen osapuolen oikeutetut edut, jos käsittely perustuu 6 artiklan 1 kohdan f alakohtaan;
e)
mahdolliset henkilötietojen vastaanottajat tai vastaanottajaryhmät;
f)
tarvittaessa tieto siitä, että rekisterinpitäjä aikoo siirtää henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle, ja tieto tietosuojan riittävyyttä koskevan [Euroopan] komission päätöksen olemassaolosta tai puuttumisesta, tai jos kyseessä on 46 tai 47 artiklassa tai 49 artiklan 1 kohdan toisessa alakohdassa tarkoitettu siirto, tieto sopivista tai asianmukaisista suojatoimista ja siitä, miten niistä saa jäljennöksen tai minne ne on asetettu saataville.
2.   Edellä 1 kohdassa tarkoitettujen tietojen lisäksi rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle seuraavat lisätiedot, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn takaamiseksi:
a)
henkilötietojen säilytysaika tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;
b)
rekisteröidyn oikeus pyytää rekisterinpitäjältä pääsy häntä itseään koskeviin henkilötietoihin sekä oikeus pyytää kyseisten tietojen oikaisemista tai poistamista taikka käsittelyn rajoittamista tai vastustaa käsittelyä sekä oikeutta siirtää tiedot järjestelmästä toiseen;
c)
oikeus peruuttaa suostumus milloin tahansa tämän vaikuttamatta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen, jos käsittely perustuu 6 artiklan 1 kohdan a alakohtaan tai 9 artiklan 2 kohdan a alakohtaan;
d)
oikeus tehdä valitus valvontaviranomaiselle;
e)
onko henkilötietojen antaminen lakisääteinen tai sopimukseen perustuva vaatimus taikka sopimuksen tekemisen edellyttämä vaatimus sekä onko rekisteröidyn pakko toimittaa henkilötiedot ja tällaisten tietojen antamatta jättämisen mahdolliset seuraukset;
f)
jäljempänä 22 artiklan 1 ja 4 kohdassa tarkoitetun automaattisen päätöksenteon, mukaan lukien profiloinnin olemassaolo, sekä ainakin näissä tapauksissa merkitykselliset tiedot käsittelyyn liittyvästä logiikasta samoin kuin kyseisen käsittelyn merkittävyys ja mahdolliset seuraukset rekisteröidylle.
– –”
7
Yleisen tietosuoja-asetuksen 14 artikla koskee toimitettavia henkilötietoja, jos tietoja ei ole saatu rekisteröidyltä.
8
Yleisen tietosuoja-asetuksen 55 artiklan 1 kohdassa säädetään, että jokaisella valvontaviranomaisella on sille yleisen tietosuoja-asetuksen mukaisesti annettujen tehtävien hoitoa ja valtuuksien käyttöä koskeva toimivalta oman jäsenvaltionsa alueella.
9
Yleisen tietosuoja-asetuksen 56 artiklassa, jonka otsikko on ”Johtavan valvontaviranomaisen toimivalta”, säädetään seuraavaa:
”1.   Rekisterinpitäjän tai henkilötietojen käsittelijän päätoimipaikan tai ainoan toimipaikan valvontaviranomaisella on toimivalta toimia johtavana valvontaviranomaisena kyseisen rekisterinpitäjän tai henkilötietojen käsittelijän toteuttaman rajatylittävän käsittelyn osalta 60 artiklassa säädetyn menettelyn mukaisesti, sanotun kuitenkaan rajoittamatta 55 artiklan soveltamista.
2.   Poiketen siitä, mitä 1 kohdassa säädetään, jokaisella valvontaviranomaisella on toimivalta käsitellä sille tehtyä valitusta tai tämän asetuksen mahdollista rikkomista, jos kohde liittyy ainoastaan sen jäsenvaltiossa olevaan toimipaikkaan tai vaikuttaa merkittävästi ainoastaan sen jäsenvaltiossa oleviin rekisteröityihin.
3.   Edellä tämän artiklan 2 kohdassa tarkoitetuissa tapauksissa valvontaviranomaisen on ilmoitettava johtavalle valvontaviranomaiselle viipymättä tästä asiasta. Johtavan valvontaviranomaisen on kolmen viikon kuluessa ilmoituksen saatuaan päätettävä, käsitteleekö se asian 60 artiklassa säädetyn menettelyn mukaisesti, ja otettava huomioon, onko rekisterinpitäjä tai henkilötietojen käsittelijä sijoittautunut asiasta ilmoittaneen valvontaviranomaisen jäsenvaltioon vai ei.
4.   Jos johtava viranomainen päättää käsitellä asiaa, sovelletaan 60 artiklassa säädettyä menettelyä. Johtavalle valvontaviranomaiselle asiasta ilmoittanut valvontaviranomainen voi toimittaa johtavalle valvontaviranomaiselle päätösehdotuksen. Johtavan valvontaviranomaisen on otettava ehdotus huomioon mahdollisimman suuressa määrin laatiessaan 60 artiklan 3 kohdassa tarkoitettua päätösehdotusta.
5.   Jos johtava viranomainen päättää olla käsittelemättä asiaa, johtavalle valvontaviranomaiselle ilmoituksen tehnyt valvontaviranomainen käsittelee asiaa 61 ja 62 artiklan mukaisesti.
6.   Johtava valvontaviranomainen on rekisterinpitäjän tai henkilötietojen käsittelijän ainoa yhteystaho kyseisen rekisterinpitäjän tai henkilötietojen käsittelijän toteuttaman rajatylittävän käsittelyn osalta.”
10
Yleisen tietosuoja-asetuksen 57 artiklan, jonka otsikko on ”Tehtävät”, 1 kohdan h alakohdassa säädetään, että jokaisen valvontaviranomaisen tehtävänä on oman jäsenvaltionsa alueella suorittaa tutkimuksia yleisen tietosuoja-asetuksen soveltamisesta.
11
Valvontaviranomaisen tutkintavaltuudet luetellaan yleisen tietosuoja-asetuksen 58 artiklan, jonka otsikko on ”Valtuudet”, 1 kohdassa. Kyseisen artiklan 2 kohdassa luetellaan korjaavat toimenpiteet, jotka kyseinen viranomainen voi toteuttaa, mukaan lukien sen b, d ja i alakohdassa tarkoitetut toimenpiteet, joita ovat huomautuksen antaminen rekisterinpitäjälle tai henkilötietojen käsittelijälle, jos käsittelytoimet ovat olleet yleisen tietosuoja-asetuksen säännösten vastaisia, rekisterinpitäjän tai henkilötietojen käsittelijän määrääminen saattamaan käsittelytoimet yleisen tietosuoja-asetuksen säännösten mukaisiksi, tarvittaessa tietyllä tavalla ja tietyssä määräajassa, sekä yleisen tietosuoja-asetuksen 83 artiklan mukaisen hallinnollisen seuraamusmaksun määrääminen.
12
Yleisen tietosuoja-asetuksen 60 artiklassa, jonka otsikko on ”Johtavan valvontaviranomaisen ja muiden osallistuvien valvontaviranomaisten välinen yhteistyö”, säädetään seuraavaa:
”1.   Johtavan valvontaviranomaisen on tehtävä tämän artiklan mukaisesti yhteistyötä muiden osallistuvien valvontaviranomaisten kanssa ja pyr[ittävä] näin konsensukseen. Johtavan valvontaviranomaisen ja osallistuvien valvontaviranomaisten on vaihdettava keskenään kaikki olennaiset tiedot.
2.   Johtava valvontaviranomainen voi milloin tahansa pyytää muilta osallistuvilta valvontaviranomaisilta 61 artiklassa tarkoitettua keskinäistä avunantoa ja toteuttaa 62 artiklassa tarkoitettuja yhteisiä operaatioita etenkin toteuttaakseen tutkimuksia tai valvoakseen toisen jäsenvaltion alueelle sijoittautunutta rekisterinpitäjää tai henkilötietojen käsittelijää koskevan toimenpiteen toteuttamista.
3.   Johtavan valvontaviranomaisen on viipymättä ilmoitettava asiaa koskevat olennaiset tiedot muille osallistuville valvontaviranomaisille. Sen on viipymättä myös toimitettava päätösehdotus muille osallistuville valvontaviranomaisille lausuntoa varten ja otettava niiden näkemykset asianmukaisesti huomioon.
4.   Jos yksikin muista asianomaisista valvontaviranomaisista esittää päätösehdotukseen merkityksellisen ja perustellun vastalauseen neljän viikon kuluessa siitä, kun sitä on tämän artiklan 3 kohdan mukaisesti kuultu, johtavan valvontaviranomaisen on, ellei se noudata vastalausetta tai katso, että vastalause ei ole merkityksellinen eikä perusteltu, toimitettava asia 63 artiklassa tarkoitetulle yhdenmukaisuusmekanismille.
5.   Jos johtava valvontaviranomainen aikoo noudattaa esitettyä merkityksellistä ja perusteltua vastalausetta, sen on toimitettava muille osallistuville valvontaviranomaisille tarkistettu päätösehdotus lausuntoa varten. Tähän tarkistettuun päätösehdotukseen sovelletaan 4 kohdassa tarkoitettua menettelyä kahden viikon kuluessa.
6.   Jos yksikään muista osallistuvista viranomaisista ei ole vastustanut johtavan viranomaisen toimittamaa päätösehdotusta 4 ja 5 kohdassa tarkoitetun määräajan kuluessa, johtavan valvontaviranomaisen ja asianomaisten valvontaviranomaisten katsotaan hyväksyneen kyseinen päätösehdotus, joka sitoo niitä.
7.   Johtavan valvontaviranomaisen on tehtävä päätös ja annettava se tiedoksi tilanteen mukaan rekisterinpitäjän tai henkilötietojen käsittelijän päätoimipaikkaan tai ainoaan toimipaikkaan sekä ilmoitettava muille asianomaisille valvontaviranomaisille ja tietosuojaneuvostolle kyseessä olevasta päätöksestä, mukaan lukien yhteenveto asiaan liittyvistä tosiseikoista ja perustelut. Valvontaviranomaisen, jolle valitus on tehty, on ilmoitettava päätöksestä valituksen tekijälle.
8.   Jos valitus jätetään tutkimatta tai hylätään, valvontaviranomaisen, jolle valitus on tehty, on 7 kohdasta poiketen hyväksyttävä päätös ja annettava se tiedoksi valituksen tekijälle ja ilmoitettava asiasta rekisterinpitäjälle.
9.   Jos johtava valvontaviranomainen ja osallistuvat valvontaviranomaiset ovat yhtä mieltä siitä, että valitus jätetään tutkimatta tai hylätään tietyiltä osin mutta tutkitaan kyseisen valituksen muilta osin, kustakin tällaisesta asian osasta on annettava erillinen päätös. Johtavan valvontaviranomaisen on annettava päätös rekisterinpitäjään liittyvistä toimista ja annettava se tiedoksi jäsenvaltionsa alueella sijaitsevaan rekisterinpitäjän tai henkilötietojen käsittelijän päätoimipaikkaan tai ainoaan toimipaikkaan sekä ilmoitettava siitä valituksen tekijälle, kun taas valituksen tekijän valvontaviranomaisen on annettava päätös kyseisen valituksen tutkimatta jättämistä tai hylkäämistä koskevilta osin ja annettava se tiedoksi kyseiselle valituksen tekijälle sekä ilmoitettava siitä rekisterinpitäjälle tai henkilötietojen käsittelijälle.
10.   Sen jälkeen kun johtavan valvontaviranomaisen päätös on annettu tiedoksi 7 ja 9 kohdan mukaisesti, rekisterinpitäjän tai henkilötietojen käsittelijän on toteutettava tarvittavat toimenpiteet varmistaakseen, että päätöstä noudatetaan sen kaikissa unionin alueella sijaitsevissa toimipaikoissa toteutettavissa käsittelytoimissa. Rekisterinpitäjän tai henkilötietojen käsittelijän on annettava johtavalle valvontaviranomaiselle tiedoksi päätöksen noudattamiseksi toteutetut toimenpiteet, ja johtavan valvontaviranomaisen on ilmoitettava asiasta muille asianomaisille valvontaviranomaisille.
11.   Jos asianomaisella valvontaviranomaisella on poikkeuksellisissa olosuhteissa syytä katsoa, että on tarpeen toteuttaa kiireellisiä toimenpiteitä rekisteröidyille kuuluvien etujen suojaamiseksi, sovelletaan 66 artiklassa tarkoitettua kiireellistä menettelyä.
12.   Johtavan valvontaviranomaisen ja muiden asianomaisten valvontaviranomaisten on toimitettava tässä artiklassa vaaditut tiedot toisilleen sähköisesti vakiomuodossa.”
13
Yleisen tietosuoja-asetuksen 63 artiklassa, jonka otsikko on ”Yhdenmukaisuusmekanismi”, säädetään seuraavaa:
”Jotta voidaan edistää tämän asetuksen yhdenmukaista soveltamista kaikkialla unionissa, valvontaviranomaisten on tehtävä yhteistyötä toistensa ja tarvittaessa komission kanssa – – yhdenmukaisuusmekanismin puitteissa.”
14
Yleisen tietosuoja-asetuksen 65 artiklassa, jonka otsikko on ”[Tietosuojaneuvoston] kiistanratkaisumenettely”, säädetään seuraavaa:
”1.   Varmistaakseen, että tätä asetusta sovelletaan yksittäistapauksissa asianmukaisesti ja yhtenäisesti, tietosuojaneuvosto antaa seuraavissa tapauksissa sitovan päätöksen:
a)
jos 60 artiklan 4 kohdassa tarkoitetussa tapauksessa asianomainen valvontaviranomainen on esittänyt johtavan viranomaisen päätösehdotukseen merkityksellisen ja perustellun vastalauseen tai jos johtava viranomainen on hylännyt tällaisen vastalauseen, koska se ei ollut merkityksellinen tai perusteltu. Sitova päätös koskee kaikkia seikkoja, joista merkityksellinen ja perusteltu vastalause on esitetty, erityisesti sen suhteen, onko tätä asetusta rikottu vai ei;
b)
jos esiintyy eriäviä näkemyksiä siitä, mikä asianomaisista valvontaviranomaisista on toimivaltainen päätoimipaikan osalta;
c)
jos toimivaltainen valvontaviranomainen ei pyydä tietosuojaneuvostolta lausuntoa 64 artiklan 1 kohdassa tarkoitetuissa tapauksissa tai ei noudata tietosuojaneuvoston 64 artiklan nojalla antamaa lausuntoa. Tällöin asianomaiset valvontaviranomaiset tai komissio voivat välittää asian tietosuojaneuvostolle.
2.   Edellä 1 kohdassa tarkoitettu päätös on annettava tietosuojaneuvoston jäsenten kahden kolmasosan enemmistöllä kuukauden kuluessa asiaa koskevan pyynnön vastaanottamisesta. Määräaikaa voidaan jatkaa kuukaudella ottaen huomioon asian monimutkaisuus. Edellä olevan 1 kohdan mukainen päätös on perusteltava ja osoitettava johtavalle valvontaviranomaiselle sekä kaikille asianomaisille valvontaviranomaisille, joita se sitoo.
3.   Jos tietosuojaneuvosto ei ole antanut päätöstä 2 kohdassa tarkoitettujen määräaikojen kuluessa, sen on annettava päätöksensä jäsentensä yksinkertaisella enemmistöllä kahden viikon kuluessa 2 kohdassa tarkoitetun toisen kuukauden päättymisestä. Jos tietosuojaneuvoston jäsenten äänet menevät tasan, päätöksen ratkaisee puheenjohtajan ääni.
4.   Asianomaiset valvontaviranomaiset eivät anna päätöstä 1 kohdan mukaisesti tietosuojaneuvostolle toimitetusta asiasta 2 ja 3 kohdassa tarkoitettujen määräaikojen kuluessa.
5.   Tietosuojaneuvoston puheenjohtaja antaa ilman aiheetonta viivytystä 1 kohdassa tarkoitetun päätöksen tiedoksi asianomaisille valvontaviranomaisille. Se ilmoittaa asiasta komissiolle. Päätös julkaistaan viipymättä tietosuojaneuvoston verkkosivustolla valvontaviranomaisen annettua tiedoksi 6 kohdassa tarkoitetun lopullisen päätöksen.
6.   Johtavan valvontaviranomaisen tai tapauksen mukaan sen valvontaviranomaisen, jolle valitus on jätetty, on annettava lopullinen päätöksensä tämän artiklan 1 kohdassa tarkoitetun päätöksen perusteella ilman aiheetonta viivästystä ja viimeistään kuukauden kuluessa siitä, kun tietosuojaneuvosto on antanut päätöksensä tiedoksi. Johtavan valvontaviranomaisen tai tapauksen mukaan sen valvontaviranomaisen, jolle valitus on tehty, on ilmoitettava tietosuojaneuvostolle päivämäärä, jona sen lopullinen päätös on annettu tiedoksi rekisterinpitäjälle tai henkilötietojen käsittelijälle ja rekisteröidylle. Asianomaisten valvontaviranomaisten lopullinen päätös annetaan 60 artiklan 7, 8 ja 9 kohdan mukaisesti. Lopullisessa päätöksessä on viitattava tämän artiklan 1 kohdassa tarkoitettuun päätökseen ja ilmoitettava, että tämän artiklan 1 kohdassa tarkoitettu päätös julkaistaan tietosuojaneuvoston verkkosivustolla tämän artiklan 5 kohdan mukaisesti. Lopullinen päätös liitetään tämän artiklan 1 kohdassa tarkoitettuun päätökseen.”
15
Yleisen tietosuoja-asetuksen 68 artiklan, jonka otsikko on ”[Tietosuojaneuvosto]”, 1 kohdassa säädetään, että tietosuojaneuvosto perustetaan unionin elimeksi, jolla on oikeushenkilön asema.
16
Yleisen tietosuoja-asetuksen 70 artiklan, jonka otsikko on ”Tietosuojaneuvoston tehtävät”, 1 kohdan a alakohdassa säädetään, että tietosuojaneuvosto varmistaa yleisen tietosuoja-asetuksen yhdenmukaisen soveltamisen. Tätä varten tietosuojaneuvoston tehtävänä on omasta aloitteestaan tai tarvittaessa komission pyynnöstä muun muassa valvoa ja varmistaa, että yleistä tietosuoja-asetusta sovelletaan oikein sen 64 ja 65 artiklassa säädetyissä tapauksissa, sanotun kuitenkaan rajoittamatta kansallisten valvontaviranomaisten tehtäviä.
17
Mainitun asetuksen 78 artiklassa, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan”, säädetään seuraavaa:
”1.   Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.
2.   Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos 55 ja 56 artiklan nojalla toimivaltainen valvontaviranomainen ei ole käsitellyt kantelua tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa 77 artiklan nojalla tehdyn kantelun etenemisestä tai ratkaisusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.
3.   Oikeudellinen menettely valvontaviranomaista vastaan on pantava vireille sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut.
4.   Jos oikeudellisen menettelyn kohteena on sellainen valvontaviranomaisen päätös, jota edelsi tietosuojaneuvoston yhdenmukaisuusmekanismin puitteissa antama lausunto tai päätös, valvontaviranomaisen on toimitettava kyseinen lausunto tai päätös tuomioistuimelle.”
18
Yleisen tietosuoja-asetuksen 83 artiklassa säädetään hallinnollisten seuraamusmaksujen määräämistä koskevista yleisistä edellytyksistä.
Asian tausta ja riidanalainen päätös
19
Asian tausta esitetään valituksenalaisen määräyksen 2–12 kohdassa, ja se voidaan tiivistää tätä oikeudenkäyntiä varten seuraavasti.
20
Yleisen tietosuoja-asetuksen voimaantulon jälkeen Irlannin valvontaviranomainen sai WhatsApp-viestipalvelun käyttäjiltä ja muilta kuin käyttäjiltä kanteluja, jotka koskivat WhatsAppin suorittamaa henkilötietojen käsittelyä. Lisäksi Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (tietosuojasta ja tiedonvälityksen vapaudesta vastaava liittovaltion viranomainen, Saksa) pyysi Irlannin valvontaviranomaiselta apua sen selvittämiseen, oliko WhatsApp noudattanut henkilötietojen rekisterinpitäjien läpinäkyvyysvelvoitteita siltä osin kuin on kyse henkilötietojen mahdollisesta jakamisesta Facebook-konsernin, josta on syyskuusta 2021 alkaen käytetty nimitystä ”Meta”, muiden yksiköiden kanssa.
21
Irlannin valvontaviranomainen käynnisti joulukuussa 2018 viran puolesta yleisen tutkinnan siitä, oliko WhatsApp noudattanut yleisen tietosuoja-asetuksen 12–14 artiklassa säädettyjä velvoitteita läpinäkyvyydestä ja tietojen toimittamisesta yksityisten suhteen, sanotun kuitenkaan rajoittamatta toimia, joihin se voi ryhtyä WhatsAppiin kohdistuvien yksittäisten kantelujen johdosta. Irlannin valvontaviranomainen toimi tältä osin yleisen tietosuoja-asetuksen 56 artiklan 1 kohdassa tarkoitettuna ”johtavana valvontaviranomaisena”, koska WhatsAppin päätoimipaikka sen viestintätoiminnoista Euroopassa vastaavana rekisterinpitäjänä oli Irlannissa ja koska mainittu toiminta on luonteeltaan rajat ylittävää.
22
Sen jälkeen, kun tutkintavaihe saatettiin syyskuussa 2019 päätökseen tutkijan esitettyä loppuraportin, Irlannin valvontaviranomainen osoitti sellaisten menettelyn välivaiheiden jälkeen, joiden aikana WhatsApp oli esittänyt huomautuksensa, joulukuussa 2020 kaikille muille valvontaviranomaisille, joita asia koskee, päätösluonnoksen saadakseen näiden lausunnot yleisen tietosuoja-asetuksen 60 artiklan 3 kohdan mukaisesti.
23
Kahdeksan näistä muista valvontaviranomaisista esitti tammikuussa 2021 vastalauseita päätösluonnoksen tietyistä näkökohdista. Irlannin valvontaviranomainen vastasi näihin vastalauseisiin keskitetysti ehdottamalla kompromissiratkaisuja. Yksi näistä kahdeksasta valvontaviranomaisesta peruutti vastauksen saamisen jälkeen yhden vastalauseensa, mutta Irlannin valvontaviranomainen totesi, ettei muiden vastalauseiden kohteena olleiden seikkojen osalta ollut päästy yksimielisyyteen. Se päätti hylätä kaikki vastaanotetut vastalauseet ja saattaa asian tietosuojaneuvoston käsiteltäväksi, jotta tämä ratkaisisi osallistuvien valvontaviranomaisten välisen erimielisyyden näiden vastalauseiden kattamista seikoista yleisen tietosuoja-asetuksen 60 artiklan 4 kohdan ja 65 artiklan 1 kohdan a alakohdan säännösten mukaisesti.
24
Irlannin valvontaviranomainen vastaanotti toukokuussa 2021 WhatsAppin kirjalliset huomautukset osallistuvien valvontaviranomaisten välisen keskustelun kohteena olleista seikoista saatettuaan ensin WhatsAppin tietoon kaikki keskustelun yhteydessä vaihdetut asiakirjat, minkä jälkeen se välitti itse mainitut lausunnot ja huomautukset tietosuojaneuvostolle, jotta tämä perehtyisi niihin osana Irlannin valvontaviranomaisen kesäkuussa 2021 vireille saattamaa kiistanratkaisumenettelyä.
25
Tietosuojaneuvosto antoi 28.7.2021 riidanalaisen päätöksen yleisen tietosuoja-asetuksen 65 artiklan 2 kohdan nojalla.
26
Sen jälkeen, kun Irlannin valvontaviranomainen oli vastaanottanut riidanalaisen päätöksen ja saanut WhatsAppin huomautukset niistä rahamääräisistä seuraamuksista, jotka sille suunniteltiin riidanalaisen päätöksen perusteella lopullisesti määrättävän, Irlannin valvontaviranomainen teki 20.8.2021 yleisen tietosuoja-asetuksen 65 artiklan 6 kohdan mukaisesti WhatsAppille osoitetun lopullisen päätöksen (jäljempänä lopullinen päätös).
27
Lopullisessa päätöksessä Irlannin valvontaviranomainen katsoi WhatsAppin loukanneen läpinäkyvyyttä koskevaa periaatetta ja läpinäkyvyyttä koskevia velvoitteita, joista säädetään yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa, 12 artiklan 1 kohdassa, 13 artiklan 1 kohdan c–f alakohdassa, 13 artiklan 2 kohdan a, c ja e alakohdassa sekä 14 artiklassa. Sitä vastoin kyseinen valvontaviranomainen katsoi WhatsAppin noudattaneen velvoitteita, joista säädetään yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan a ja b alakohdassa sekä 13 artiklan 2 kohdan b ja d alakohdassa. Yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b, d ja i alakohdan mukaisina korjaavina toimenpiteinä mainittu viranomainen antoi WhatsAppille huomautuksen, määräyksen toteuttaa tietty määrä päätöksen liitteessä lueteltuja toimenpiteitä, joilla käsittelytoimet oli saatettava kolmen kuukauden määräajassa niiden yleisen tietosuoja-asetuksen säännösten mukaisiksi, joita on rikottu, sekä neljä hallinnollista seuraamusmaksua, jotka liittyvät yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan sekä 12–14 artiklan todettuihin rikkomisiin ja joiden yhteismäärä oli 225 miljoonaa euroa.
28
Lisäksi Irlannin valvontaviranomainen yksilöi lopullisessa päätöksessä ne seikat, joiden osalta se oli riidanalaisen päätöksen nojalla velvollinen tarkistamaan päätösluonnoksessaan esitettyä arviointia. Se päätti näiden seikkojen osalta toistaa tietosuojaneuvoston riidanalaisessa päätöksessä esittämät perustelut sellaisinaan tummennettuina kohtina ja esittää niitä koskevat johtopäätöksensä kohta kohdalta vain yhteenvedonomaisesti.
29
Riidanalainen päätös liitettiin yleisen tietosuoja-asetuksen 65 artiklan 6 kohdan mukaisesti lopulliseen päätökseen.
30
Riidanalaisessa päätöksessä tietosuojaneuvosto otti kantaa kysymyksiin, joista oli esitetty yleisen tietosuoja-asetuksen 65 artiklan 1 kohdan a alakohdassa tarkoitettuja merkityksellisiä ja perusteltuja vastalauseita, eli
–
siihen, oliko WhatsApp laiminlyönyt yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdassa säädetyt tiedonantovelvoitteet, jotka koskevat tiettyjen tietojen toimittamista rekisteröidyille, joilta on kerätty henkilötietoja. Irlannin valvontaviranomainen ei ollut todennut mainitunlaista laiminlyöntiä päätösehdotuksessaan. Tietosuojaneuvosto sitä vastoin katsoi WhatsAppin rikkoneen mainittua säännöstä
–
häviöllisen tiivistämisen, josta käytetään yleisesti nimitystä ”lossy hashing” ja jota sovelletaan WhatsAppin käyttäjien päätelaitteiden yhteystietoluetteloissa oleviin henkilöitä, jotka eivät ole WhatsAppin käyttäjiä, koskeviin tietoihin, avulla saatujen tietojen luonnehdintaan henkilötiedoiksi. Irlannin valvontaviranomainen ei ollut päätösehdotuksessaan luonnehtinut mainittuja tietoja henkilötiedoiksi. Tietosuojaneuvosto sitä vastoin piti niitä edelleen henkilötietoina. Tällä seikalla oli tietosuojaneuvoston mukaan mahdollisesti vaikutusta siihen, katsotaanko WhatsAppin rikkoneen yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaa ja 6 artiklan 1 kohtaa, ja siihen, missä laajuudessa WhatsAppin katsotaan rikkoneen yleisen tietosuoja-asetuksen 14 artiklaa, sekä näillä perusteilla määrättävän rahamääräisen seuraamuksen suuruuteen
–
siihen, oliko WhatsAppin katsottava loukanneen yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaista läpinäkyvyysperiaatetta, mitä Irlannin valvontaviranomainen ei ollut päätösehdotuksessaan todennut. Tietosuojaneuvosto sitä vastoin katsoi WhatsAppin loukanneen mainittua periaatetta
–
siihen, oliko WhatsAppin katsottava rikkoneen yleisen tietosuoja-asetuksen 13 artiklan 2 kohdan e alakohtaa, joka koskee tiettyjen tietojen toimittamista rekisteröidyille, joilta on kerätty henkilötietoja, mitä Irlannin valvontaviranomainen ei ollut katsonut voivansa todeta siitä syystä, että tutkija ei ollut ottanut tähän kantaa tutkinnan aikana, minkä vuoksi kyseinen viranomainen oli katsonut voivansa antaa mainitusta asiasta ainoastaan suosituksen. Tietosuojaneuvosto sitä vastoin katsoi, että tutkinta kattoi kaikki yleisen tietosuoja-asetuksen 13 artiklan säännökset ja että edellä mainitun säännöksen rikkominen oli todettava
–
siihen, oliko WhatsApp rikkonut henkilötietojen käsittelyn lainmukaisuuden edellytyksiä koskevaa yleisen tietosuoja-asetuksen 6 artiklan 1 kohtaa, mistä Irlannin valvontaviranomainen ei ollut lausunut. Tietosuojaneuvosto katsoi, ettei tällaisesta rikkomuksesta lausuminen tai sen toteaminen ollut menettelyllisistä syistä mahdollista
–
WhatsAppin laiminlyöntiin koskien tiedonantovelvollisuuksia, joista säädetään yleisen tietosuoja-asetuksen 14 artiklassa, joka koskee toimitettavia tietoja, kun henkilötietoja ei ole saatu rekisteröidyltä, koskevien perustelujen laajentamiseen edellä olevaan toiseen luetelmakohtaan liittyvän arvioinnin tuloksena. Tietosuojaneuvosto vahvisti sen, mikä vaikutus mainitulla laajentamisella olisi WhatsAppille määrättäviin korjaaviin toimenpiteisiin ja rahamääräiseen seuraamukseen
–
siihen, oliko WhatsApp loukannut yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa säädettyä periaatetta, jonka mukaan kerättävien henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoituttava siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään, mistä Irlannin valvontaviranomainen ei ollut lausunut. Tietosuojaneuvosto katsoi, ettei mainitunlaista rikkomista ollut asiakirja-aineiston perusteella näytetty toteen, etenkään kun otetaan huomioon tutkinnan laajuus WhatsAppia vastaan käydyssä menettelyssä
–
Irlannin valvontaviranomaisen asettamaan kuuden kuukauden määräaikaan, jonka kuluessa WhatsAppin oli korjaavina toimenpiteinä saatettava toimintansa vastaamaan niitä yleisessä tietosuoja-asetuksessa asetettuja vaatimuksia, joita se ei ollut noudattanut. Tietosuojaneuvosto lyhensi mainitun määräajan kolmeen kuukauteen
–
korjaaviin toimenpiteisiin, jotka koskevat sitä, miten muille kuin WhatsAppin käyttäjille tiedotetaan heidän henkilötietojensa käsittelystä WhatsAppissa, minkä osalta tietosuojaneuvosto vahvisti Irlannin valvontaviranomaisen päätösehdotuksessaan esittämän arvioinnin
–
korjaavien toimenpiteiden osalta mainintaan lisäperusteluista sille, että WhatsApp ei ollut noudattanut yleisen tietosuoja-asetuksen 14 artiklassa säädettyjä velvoitteita, miltä osin tietosuojaneuvosto totesi, että maininta lisäperusteluista oli välttämätön sen takaamiseksi, että WhatsApp toteuttaa tältä osin asianmukaiset korjaavat toimenpiteet
–
WhatsAppille määrättävien seuraamusmaksujen määrän kriteereihin hallinnollisten seuraamusmaksujen määräämisen yleisiä edellytyksiä koskevan yleisen tietosuoja-asetuksen 83 artiklan valossa. Tietosuojaneuvosto katsoi, että Irlannin valvontaviranomainen oli tulkinnut väärin kyseisen yrityksen vuotuisen maailmanlaajuisen liikevaihdon määrään liittyvää kriteeriä, tulkinnut oikein käsitettä ”edeltävä tilikausi”, tulkinnut väärin sääntöä, jonka mukaan jos samoissa tai toisiinsa liittyvissä käsittelytoimissa rikotaan useita yleisen tietosuoja-asetuksen säännöksiä, hallinnollisen seuraamusmaksun kokonaismäärä ei saa ylittää vakavimman rikkomisen perusteella maksettavaksi säädettyä määrää, ja tulkinnut oikein tiettyjä yleisen tietosuoja-asetuksen 83 artiklan 1 ja 2 kohdassa säädettyjä seuraamusmaksun määrittämisen kriteerejä eli laiminlyöntien tahallisuutta tai tuottamuksellisuutta sekä niiden vakavuutta, mutta tulkinnut väärin muita näistä kriteereistä, kuten liikevaihdon huomioon ottaminen seuraamuksen määrän laskentaperusteena sen enimmäismäärän laskemisesta riippumatta sekä yleisemmin sitä, että seuraamusten on oltava tehokkaita, oikeasuhteisia ja varoittavia
–
seuraamusmaksujen määriin, joista tietosuojaneuvosto katsoi, että kun otetaan huomioon Irlannin valvontaviranomaisen virheet seuraamusmaksujen määrää koskevien tiettyjen kriteerien tulkinnassa ja muut todettavat WhatsAppin laiminlyönnit, Irlannin valvontaviranomaisen yhteensä 30–50 miljoonan euron suuruisiksi kaavailemia seuraamusmaksuja oli korotettava.
31
WhatsApp riitautti lopullisen päätöksen irlantilaisessa tuomioistuimessa.
Menettely unionin yleisessä tuomioistuimessa ja valituksenalainen määräys
32
WhatsApp nosti unionin yleisen tuomioistuimen kirjaamoon 1.11.2021 toimittamallaan kannekirjelmällä SEUT 263 artiklaan perustuvan kanteen, jolla se vaati riidanalaisen päätöksen kumoamista.
33
Unionin yleinen tuomioistuin jätti kanteen tutkimatta työjärjestyksensä 129 artiklan nojalla antamallaan valituksenalaisella määräyksellä.
34
Vaikka unionin yleinen tuomioistuin totesi valituksenalaisen määräyksen 36, 37 ja 40 kohdassa, että riidanalainen päätös oli unionin elimen toimi, jonka tarkoituksena oli tuottaa oikeusvaikutuksia suhteessa kolmansiin, ja että kyseinen päätös koski WhatsAppia erikseen, se katsoi valituksenalaisen määräyksen 42 kohdassa kuitenkin, että riidanalainen päätös oli valmisteleva toimi tai sellaisen menettelyn kuluessa toteutettu toimi, joka oli määrä saattaa päätökseen sillä, että kansallinen valvontaviranomainen tekee lopullisen päätöksen. Unionin yleinen tuomioistuin katsoi valituksenalaisen määräyksen 43 ja 44 kohdassa, että tällainen toimi on ”kannekelpoinen toimi” vain, jos sillä on itsenäisiä oikeusvaikutuksia, joiden osalta riittävää oikeussuojaa ei voida taata kyseessä olevan menettelyn päättävästä päätöksestä nostettavalla kanteella.
35
Tältä osin unionin yleinen tuomioistuin katsoi valituksenalaisen määräyksen 45 kohdassa, että nyt käsiteltävässä tapauksessa tehokas oikeussuoja riidanalaisen päätöksen osalta varmistettiin sillä, että WhatsApp voi hakea lopulliseen päätökseen muutosta kansallisessa tuomioistuimessa ja että kyseisellä kansallisella tuomioistuimella on SEUT 267 artiklan nojalla oikeus esittää unionin tuomioistuimelle ennakkoratkaisupyyntö riidanalaisen päätöksen pätevyyden arvioimiseksi. Unionin yleinen tuomioistuin täsmensi valituksenalaisen määräyksen 46 kohdassa myös, ettei riidanalaisella päätöksellä ollut WhatsAppiin nähden itsenäisiä oikeusvaikutuksia verrattuna Irlannin valvontaviranomaisen lopulliseen päätökseen.
36
Lisäksi unionin yleinen tuomioistuin katsoi valituksenalaisen määräyksen 49 kohdassa, että se, että tällaisella menettelyn kuluessa toteutetulla toimella ilmaistaan viranomaisen lopullinen kanta, joka on toistettava kyseisen menettelyn päättävässä lopullisessa päätöksessä, ei välttämättä merkitse sitä, että kyseinen toimi itsessään muuttaisi selvästi kantajan oikeusasemaa.
37
Unionin yleinen tuomioistuin myös totesi valituksenalaisen määräyksen 50 kohdassa, ettei riidanalainen päätös koskenut WhatsAppia suoraan. Se huomautti valituksenalaisen määräyksen 52 kohdassa, että kyseinen päätös ei ole sillä tavoin WhatsAppille vastainen, että siitä johtuisi ilman myöhempiä menettelyvaiheita WhatsAppille velvoitteita tai mahdollisesti muille yksityisille oikeuksia, joten sillä ei ole välittömiä oikeusvaikutuksia WhatsAppin tilanteeseen. Unionin yleinen tuomioistuin totesi mainitun määräyksen 53 kohdassa myös, että vaikka riidanalainen päätös sitoi Irlannin valvontaviranomaista sen kohteena olevien seikkojen osalta, siinä jätettiin kuitenkin kyseiselle viranomaiselle harkintavaltaa lopullisen päätöksen sisällön osalta.
38
Unionin yleinen tuomioistuin katsoi siten saman määräyksen 61 ja 62 kohdassa, että yksikään niistä edellytyksistä, joiden täyttyessä WhatsAppin kanteen kohteena olevan toimenpiteen voidaan katsoa koskevan WhatsAppia suoraan, ei täyttynyt ja että kanne oli tästä syystä jätettävä tutkimatta.
39
Unionin yleinen tuomioistuin totesi valituksenalaisen määräyksen 66–70 kohdassa vielä, että sen arvioinnin tulos oli perussopimuksilla luodun oikeussuojakeinojen järjestelmän logiikan mukainen. Se katsoi muun muassa, että WhatsAppin riidanalaisesta päätöksestä nostaman kanteen tutkittavaksi ottaminen aiheuttaisi vaaran rinnakkaisista tuomioistuinmenettelyistä unionin tuomioistuimissa ja kansallisessa tuomioistuimessa, jolla sitä paitsi on toimivalta esittää unionin tuomioistuimelle ennakkoratkaisupyyntö kyseisen päätöksen pätevyyden arvioimiseksi.
Asianosaisten vaatimukset
40
WhatsApp vaatii valituksessaan, että unionin tuomioistuin
–
kumoaa valituksenalaisen määräyksen
–
toteaa, että ensimmäisessä oikeusasteessa nostettu kanne voidaan ottaa tutkittavaksi
–
palauttaa asian unionin yleisen tuomioistuimen ratkaistavaksi
–
velvoittaa tietosuojaneuvoston korvaamaan valitusmenettelystä aiheutuneet oikeudenkäyntikulut.
41
Tietosuojaneuvosto, jota Saksan liittotasavalta tukee, vaatii, että unionin tuomioistuin
–
hylkää valituksen
–
velvoittaa WhatsAppin korvaamaan oikeudenkäyntikulut
–
toissijaisesti palauttaa asian unionin yleisen tuomioistuimen ratkaistavaksi.
Valituksen tarkastelu
Väite siitä, että kanne ensimmäisessä oikeusasteessa nostettiin liian myöhään
Asianosaisten lausumat
42
Tietosuojaneuvosto väittää, että kanne ensimmäisessä oikeusasteessa nostettiin liian myöhään. Se esittää tältä osin, että WhatsApp oli saanut tiedon riidanalaisen päätöksen merkityksellisistä osista ennen kuin päätös julkaistiin tietosuojaneuvoston verkkosivustolla, tarkemmin sanottuna 13.8.2021. Tästä syystä kanteen nostamisen määräaika alkoi sen mukaan kulua 13.8.2021 ja päättyi 25.10.2021 riippumatta päivästä, jona riidanalainen päätös julkaistiin tietosuojaneuvoston verkkosivustolla, mitä ei sen mukaan sitä paitsi voida rinnastaa julkaisemiseen Euroopan unionin virallisessa lehdessä. WhatsAppin kumoamiskanne nostettiin 1.11.2021 eli tietosuojaneuvoston mielestä liian myöhään.
43
WhatsApp väittää, että tietosuojaneuvoston väite siitä, että sen kanne nostettiin liian myöhään, on virheellinen. Silloin, kun toimea ei osoitettu kantajalle, kanteen nostamisen määräajan alkamisajankohta määräytyy kyseisen toimen julkaisemispäivän mukaan. Päivä, jona kyseisestä toimesta saadaan tieto, on tältä osin vain toissijainen peruste. Toimen julkaisemistavalla puolestaan ei ole merkitystä. Nyt käsiteltävässä tapauksessa riidanalainen päätös julkaistiin joka tapauksessa tietosuojaneuvoston verkkosivustolla 2.9.2021, ja kanne nostettiin 1.11.2021 eli WhatsAppin mukaan SEUT 263 artiklan kuudennessa kohdassa määrättyä määräaikaa noudattaen.
Unionin tuomioistuimen arviointi asiasta
44
SEUT 263 artiklan kuudennen kohdan mukaan kyseisessä artiklassa tarkoitettu kanne on pantava vireille kahden kuukauden kuluessa toimen julkaisemisesta tai siitä, kun se on annettu kantajalle tiedoksi, taikka jollei toimea ole julkaistu tai annettu tiedoksi, kahden kuukauden kuluessa siitä, kun kantaja on saanut siitä tiedon.
45
Määräyksen sanamuodosta ja erityisesti ilmaisuista ”taikka” ja ”jollei” ilmenee selvästi, että kanteen nostamisen määräajan alkamisajankohta määräytyy kyseessä olevan tilanteen perusteella ja että kaksi ensimmäistä perustetta, joiden perusteella määräaika voi alkaa, ovat hierarkkisesti kolmatta perustetta tärkeämpiä. Näin ollen kumoamiskanteen nostamisen määräaika alkaa pääasiallisesti kulua toimen julkaisemisesta tai sen tiedoksiantamisesta kantajalle. Nämä kaksi ensisijaista perustetta asetetaan mainitun määräyksen systematiikassa yhdenvertaiseen asemaan siinä mielessä, että kumpikaan niistä ei ole toissijainen suhteessa toiseen. Sitä vastoin päivä, jolloin riitautettavasta toimesta saadaan tieto, on kanteen nostamisen määräajan alkamisajankohdan perusteena toissijainen toimen julkaisemista koskevaan perusteeseen tai sen tiedoksiantamista koskevaan perusteeseen verrattuna (ks. vastaavasti tuomio 26.9.2024, WEPA Hygieneprodukte ym. v. komissio, C‑795/21 P ja C‑796/21 P, EU:C:2024:807, 61–63 kohta oikeuskäytäntöviittauksineen).
46
Nyt käsiteltävässä tapauksessa on kiistatonta, että riidanalaista päätöstä ei ole annettu tiedoksi WhatsAppille, koska tietosuojaneuvostolla on yleisen tietosuoja-asetuksen 65 artiklan 5 kohdan ensimmäisen virkkeen nojalla velvollisuus antaa tällainen päätös tiedoksi ainoastaan osallistuville valvontaviranomaisille. On siis tutkittava, onko kyseinen päätös ”julkaistu” SEUT 263 artiklan kuudennessa kohdassa tarkoitetulla tavalla.
47
Tältä osin on täsmennettävä, että julkaisemisen käsitteellä ei tarkoiteta yksinomaan julkaisemista Euroopan unionin virallisessa lehdessä, vaan sitä on sen sijaan tulkittava laajasti. Käsitteen alaan kuuluu muun muassa julkaiseminen unionin toimielimen, elimen tai laitoksen verkkosivustolla, jos siitä säädetään johdetussa oikeudessa (ks. vastaavasti tuomio 26.9.2024, WEPA Hygieneprodukte ym. v. komissio, C‑795/21 P ja C‑796/21 P, EU:C:2024:807, 70 kohta oikeuskäytäntöviittauksineen).
48
Koska nyt käsiteltävässä tapauksessa riidanalaisen päätöksen julkaisemisesta säädetään yleisen tietosuoja-asetuksen 65 artiklan 5 kohdan kolmannessa virkkeessä, on siis otettava huomioon ajankohta, jona kyseinen päätös julkaistiin tietosuojaneuvoston verkkosivustolla, eli 2.9.2021. Tätä tulkintaa tukee yleisen tietosuoja-asetuksen johdanto-osan 143 perustelukappaleen kolmas virke, josta ilmenee, että kanteen nostamisen määräaika lasketaan siitä, kun tietosuojaneuvoston asianomainen päätös julkaistaan sen verkkosivustolla.
49
Koska kanne nostettiin 1.11.2021, SEUT 263 artiklan kuudennessa kohdassa tarkoitettua määräaikaa ei ylitetty, joten on tutkittava, ovatko nyt käsiteltävän valituksen yhteydessä esitetyt perusteet omiaan kyseenalaistamaan unionin yleisen tuomioistuimen valituksenalaisessa määräyksessä tekemän arvioinnin.
Ensimmäinen valitusperuste, joka koskee kannekelpoisen toimen käsitteen tulkinnassa ja soveltamisessa tehtyjä oikeudellisia virheitä ja edellytystä, jonka mukaan kanteen kohteena olevan toimenpiteen on koskettava kantajaa suoraan
Ensimmäisen valitusperusteen ensimmäinen osa
– Asianosaisten lausumat
50
WhatsApp väittää, että unionin yleinen tuomioistuin teki oikeudellisen virheen katsoessaan, ettei riidanalainen päätös ollut kannekelpoinen toimi.
51
WhatsApp riitauttaa erityisesti unionin yleisen tuomioistuimen valituksenalaisen määräyksen 41 kohdassa sen määrittämiseksi, onko toimi kannekelpoinen vai ei, käyttämän arviointiperusteen merkityksellisyyden. WhatsAppin mukaan unionin yleinen tuomioistuin katsoi virheellisesti, että oli tarpeen osoittaa, että riidanalaisella päätöksellä on oikeusvaikutuksia, jotka muuttavat selvästi WhatsAppin oikeusasemaa, ja että se koskee WhatsAppia suoraan. Sen mukaan on riittävää päätellä, että riidanalaisen päätöksen tarkoituksena oli tuottaa oikeusvaikutuksia suhteessa yhteen tai useampaan kolmanteen, jotta sen voidaan todeta olevan kannekelpoinen toimi lopullisuutensa vuoksi. Joka tapauksessa riidanalainen päätös ei WhatsAppin mukaan ole pelkkä menettelyn kuluessa toteutettu toimenpide, vaan siinä ilmaistaan tietosuojaneuvoston lopullinen kanta.
52
WhatsAppin mukaan unionin yleinen tuomioistuin sovelsi menettelyn kuluessa toteutettujen toimien oikeusvaikutuksia koskevaa oikeuskäytäntöä virheellisesti soveltamalla menettelyllistä arviointiperustetta, jonka mukaan tällainen toimi on kannekelpoinen vain, jos lopullisesta toimesta nostettavalla kanteella ei voida taata riittävää oikeussuojaa, ja katsomalla, ettei riidanalaisella päätöksellä ollut oikeusvaikutuksia.
53
Tässä yhteydessä WhatsApp viittaa 11.11.1981 annettuun tuomioon IBM v. komissio (60/81, EU:C:1981:264, 10 ja 11 kohta), josta ilmenee sen mukaan erityisesti, että menettelyn kuluessa toteutettu toimi on kannekelpoinen silloin, kun se on lopullinen ja riippumaton myöhemmin tehtävästä lopullisesta päätöksestä. Kyseisen toimen asiasisältö on siis tutkittava ja sen vaikutukset on arvioitava objektiivisten arviointiperusteiden, kuten kyseisen toimen sisällön, perusteella ottamalla tarvittaessa huomioon toimen antamisen asiayhteys ja toimen antaneen toimielimen toimivalta. WhatsApp mainitsee tältä osin muun muassa 12.7.2022 annetun tuomion Nord Stream 2 v. parlamentti ja neuvosto (C‑348/20 P, EU:C:2022:548, 63 kohta).
54
WhatsApp mainitsee erityisesti, että ainoastaan silloin, kun yhtäältä tällainen toimi on aineellisesti väliaikainen siten, että sen antaja voi muuttaa kantaansa myöhemmin tehtävässä lopullisessa päätöksessä, ja kun toisaalta lopullisen päätöksen tekee sama unionin toimielin tai elin, toimesta ei voida nostaa kumoamiskannetta. Menettelyn kuluessa toteutetun toimenpiteen käsitettä ei siis WhatsAppin mukaan sovelleta päätökseen, jonka unionin toimielin tai elin on tehnyt ja joka on osoitettu kansalliselle viranomaiselle, jonka tehtävänä on panna kyseinen päätös täytäntöön suhteessa kolmansiin.
55
WhatsAppin mukaan unionin yleinen tuomioistuin tutki nyt käsiteltävässä tapauksessa ainoastaan sen, oliko WhatsAppille taattu menettelyllisellä tasolla tehokas oikeussuoja kansallisessa tuomioistuimessa nostettavan kanteen avulla. Unionin yleinen tuomioistuin katsoi siten valituksenalaisen määräyksen 48 ja 49 kohdassa virheellisesti, että WhatsAppin väite, jonka mukaan riidanalaisessa päätöksessä ilmaistaan sen tekijän lopullinen kanta, oli merkityksetön. Näin menetellessään unionin yleinen tuomioistuin katsoi siis WhatsAppin mukaan virheellisesti, että riidanalaisella päätöksellä ei ollut oikeusvaikutuksia ja että riidanalainen päätös ei ollut riippumaton lopullisesta päätöksestä, arvioimatta riidanalaisen päätöksen sisältöä ja asiayhteyttä tai sen itsenäisten oikeusvaikutusten ulottuvuutta.
56
Siltä osin kuin on kyse riidanalaisen päätöksen sisällöstä, ei ole WhatsAppin mukaan kiistetty sitä, että kyseisellä päätöksellä oli yleisen tietosuoja-asetuksen 65 artiklan mukaisena sitovana päätöksenä tarkoitus tuottaa oikeusvaikutuksia suhteessa kolmansiin ja että se edusti tietosuojaneuvoston lopullista kantaa sen käsiteltäväksi saatettuihin kysymyksiin. Tämä kanta oli WhatsAppin mukaan omiaan muuttamaan selvästi WhatsAppin oikeusasemaa muun muassa sen toteamuksen vuoksi, jonka mukaan tiedot, joihin sovelletaan häviöllistä tiivistämistä, olivat henkilötietoja ja joka sitoo Irlannin valvontaviranomaista.
57
Riidanalaisen päätöksen asiayhteydestä WhatsApp esittää, että yleisen tietosuoja-asetuksen 65 artiklan sanamuodosta ilmenee, että kyseinen päätös on sitova. Yleisen tietosuoja-asetuksen johdanto-osan 143 perustelukappaleessa todetaan, että tietosuojaneuvoston päätökset voivat koskea suoraan ja erikseen muun muassa rekisterinpitäjää, mikä tarkoittaa, että tällaisilla päätöksillä voi olla ulkoisia oikeusvaikutuksia, jotka ulottuvat muihinkin kuin niihin kansallisiin valvontaviranomaisiin, joille ne on osoitettu. Tätä tukevat WhatsAppin mukaan sekä tietosuojaneuvoston päätösten sitovan vaikutuksen tarkoitus, joka on yleisen tietosuoja-asetuksen asianmukaisen ja johdonmukaisen soveltamisen varmistaminen, että yleisen tietosuoja-asetuksen 65 artiklan 1 kohdassa tarkoitetun menettelyn systematiikka.
58
WhatsApp esittää riidanalaisen päätöksen itsenäisistä oikeusvaikutuksista, jotka ulottuvat sen adressaatteihin kohdistuvia vaikutuksia laajemmalle, että kyseisellä päätöksellä on tällaisia oikeusvaikutuksia WhatsAppiin nähden, koska se vaikuttaa muun muassa tapaan, jolla WhatsApp saattaa toimintansa yleisen tietosuoja-asetuksen mukaiseksi tietojen, joihin sovelletaan häviöllistä tiivistämistä ja joita tietosuojaneuvosto pitää henkilötietoina, osalta. Riidanalaisella päätöksellä on WhatsAppin mukaan oikeusvaikutuksia myös kansallisiin tuomioistuimiin nähden, koska niillä ei ole toimivaltaa muuttaa tai kumota kyseistä päätöstä.
59
Tietosuojaneuvosto kiistää tämän argumentaation. Se väittää, että kumoamiskanteen kohteena voi lähtökohtaisesti olla vain toimenpide, jolla unionin toimielin, elin tai laitos vahvistaa hallintomenettelyn päätteeksi lopullisesti kantansa. Sen sijaan menettelyn kuluessa toteutettuja toimia, joilla valmistellaan lopullista päätöstä, ei sen mukaan voida pitää kannekelpoisina toimina, koska tällaisilla toimilla ei pyritä saamaan aikaan sitovia oikeusvaikutuksia, jotka olisivat itsenäisiä suhteessa näin valmisteltavaan, vahvistettavaan tai täytäntöönpantavaan unionin toimeen. Tietosuojaneuvoston mukaan menettelyn kuluessa toteutetusta toimesta ei myöskään voida nostaa kannetta, jos tällaisen toimen lainvastaisuuteen voidaan vedota sellaisesta lopullisesta päätöksestä, jonka valmistelemiseksi se on toteutettu, nostettavan kanteen tueksi.
60
Nyt käsiteltävässä asiassa riidanalainen päätös on tietosuojaneuvoston mukaan menettelyn kuluessa toteutetut toimi, joka kuuluu Irlannin valvontaviranomaisen johdolla toteutettavaan jakamattomaan päätöksentekomenettelyyn, joka johtaa kyseisen viranomaisen tekemään lopulliseen päätökseen. Vaikka tietosuojaneuvoston arvioinnit ovat tässä yhteydessä sitovia, niihin ei kuitenkaan voida vedota suoraan WhatsAppia vastaan, eikä niillä ole lopulliseen päätökseen nähden mitään WhatsAppiin kohdistuvaa itsenäistä oikeusvaikutusta. Niinpä se, että riidanalaiseen päätökseen sisältyy tietosuojaneuvoston lopullinen kanta tietyistä lopulliseen päätökseen sisällytettävistä seikoista, ei merkitse sitä, että riidanalainen päätös itsessään muuttaisi WhatsAppin oikeusasemaa eri tavalla. Riidanalainen päätös ja lopullinen päätös tehtiin nimittäin yhtenäisessä hallinnollisessa menettelyssä, joka koostuu toisistaan riippuvaisista kansallisen tason ja eurooppalaisen tason vaiheista, joilla on sama kohde, eikä kahdessa erillisessä menettelyssä, jotka koskisivat eri kysymyksiä.
61
Tietosuojaneuvosto täsmentää tältä osin, että kiistanratkaisumenettelyn tarkoituksena on varmistaa, että kansalliset viranomaiset soveltavat yleistä tietosuoja-asetusta yhdenmukaisesti. Nyt käsiteltävässä tapauksessa riidanalaisella päätöksellä ei aseteta WhatsAppille uusia lakisääteisiä velvoitteita. Viimeksi mainitun velvoitteet määritetään itse yleisessä tietosuoja-asetuksessa eikä riidanalaisessa päätöksessä, ja niitä soveltaa Irlannin valvontaviranomainen eikä tietosuojaneuvosto. Lisäksi kyseisiä velvoitteita sovellettiin WhatsAppiin jo ennen kuin kyseessä olevat rikkomiset todettiin.
62
Tietosuojaneuvosto esittää riidanalaisen päätöksen väitetyistä ulkoisista oikeusvaikutuksista, että sen tulkinnoilla on sitova vaikutus ainoastaan asianosaisten eli osallistuvien valvontaviranomaisten välillä. Sen lisäksi, ettei riidanalaisella päätöksellä ole välitöntä WhatsAppiin kohdistuvaa oikeusvaikutusta, se myös koskee vain rajattuja yleisen tietosuoja-asetuksen soveltamiskohtia, jotka on tarkoitus sisällyttää lopulliseen päätökseen ja joita on tarkoitus kehitellä siinä. Vaikka tietosuojaneuvoston tulkinnoilla yleisestä tietosuoja-asetuksesta voi siten olla jonkinasteista painoarvoa myöhemmissä asioissa, jotka koskevat samankaltaisia oikeudellisia kysymyksiä, ne eivät kuitenkaan sido kansallisia tuomioistuimia, joiden pitää epäselvissä tapauksissa pyytää unionin tuomioistuimelta ennakkoratkaisua.
63
Saksan liittotasavalta, joka tukee väliintulijana tietosuojaneuvoston vaatimuksia, väittää, että yleisessä tietosuoja-asetuksessa säädetty yhdenmukaisuusmekanismi, mukaan lukien kiistanratkaisumenettely, on puhtaasti hallinnonsisäinen, ja sen ainoana tarkoituksena on ratkaisun löytäminen siinä tapauksessa, että valvontaviranomaisten välillä on eriäviä näkemyksiä. Erityisesti yleisen tietosuoja-asetuksen 65 artiklan 2 kohdan kolmannesta virkkeestä ilmenee Saksan liittotasavallan mukaan, että tietosuojaneuvoston tässä yhteydessä toteuttamalla toimenpiteellä on oikeudellisesti sitova vaikutus ainoastaan kansallisiin valvontaviranomaisiin nähden. Ainoastaan lopullinen päätös sitoo asianomaista rekisterinpitäjää tai henkilötietojen käsittelijää.
– Unionin tuomioistuimen arviointi asiasta
64
Ensimmäisen valitusperusteen ensimmäinen osa koskee sitä, tekikö unionin yleinen tuomioistuin oikeudellisen virheen katsoessaan valituksenalaisen määräyksen 41–49 kohdassa, ettei riidanalainen päätös ollut SEUT 263 artiklan ensimmäisessä kohdassa tarkoitettu kannekelpoinen toimi.
65
Kyseisen määräyksen nojalla unionin tuomioistuin valvoo muun muassa ”unionin elinten ja laitosten sellaisten säädösten laillisuutta, joiden tarkoituksena on tuottaa oikeusvaikutuksia suhteessa kolmansiin osapuoliin”.
66
Vakiintuneen oikeuskäytännön mukaan SEUT 263 artiklan mukaisen kumoamiskanteen kohteena voivat olla muodostaan riippumatta kaikki unionin toimielimen, elimen tai laitoksen toimenpiteet, joilla pyritään tuottamaan sitovia oikeusvaikutuksia (ks. vastaavasti tuomio 12.7.2022, Nord Stream 2 v. parlamentti ja neuvosto, C‑348/20 P, EU:C:2022:548, 62 kohta oikeuskäytäntöviittauksineen).
67
Sen määrittämiseksi, onko toimella tällaisia vaikutuksia ja voidaanko siitä näin ollen nostaa SEUT 263 artiklan nojalla kumoamiskanne, on tarkasteltava kyseisen toimen asiasisältöä ja arvioitava mainittuja vaikutuksia kyseisen toimen sisällön kaltaisten objektiivisten arviointiperusteiden nojalla ottamalla tarvittaessa huomioon toimen antamisen asiayhteys ja toimen antaneen toimielimen, elimen tai laitoksen toimivalta (ks. vastaavasti tuomio 12.7.2022, Nord Stream 2 v. parlamentti ja neuvosto, C‑348/20 P, EU:C:2022:548, 63 kohta oikeuskäytäntöviittauksineen).
68
Kuten julkisasiamies esittää ratkaisuehdotuksensa 79 ja 121 kohdassa, SEUT 263 artiklan ensimmäisen kohdan valossa kolmannen, johon nähden kyseisellä toimella on oikeusvaikutuksia, ei tarvitse välttämättä olla kantaja. Kolmantena on nimittäin pidettävä jokaista luonnollista henkilöä tai oikeushenkilöä, joka on kyseisen toimen antajasta erillinen. Näin ollen sen selvittämiseksi, onko toimella tällaisia vaikutuksia, ei ole tarpeen selvittää, voivatko nämä oikeusvaikutukset vaikuttaa kantajan oikeusasemaan, koska tämän selvittämisellä on merkitystä ainoastaan tutkittaessa niiden edellytysten noudattamista, jotka esitetään SEUT 263 artiklan neljännessä kohdassa ja joiden mukaan henkilö voi nostaa kumoamiskanteen toimesta, joka koskee sitä suoraan ja erikseen, jos viimeksi mainittua määräystä on sovellettava (ks. vastaavasti tuomio 13.2.2025, Swissgrid v. komissio, C‑121/23 P, EU:C:2025:83, 46 kohta). Toimen kannekelpoisuutta on siis arvioitava objektiivisesti sen asiasisällön eikä kantajana olevan tahon perusteella.
69
On kuitenkin muistutettava, että silloin, kun on kyse toimista, jotka valmistellaan useassa menettelyvaiheessa, kannekelpoisia toimia ovat lähtökohtaisesti ainoastaan sellaiset toimenpiteet, jolla lopullisesti vahvistetaan toimivaltaisen unionin toimielimen, elimen tai laitoksen kanta, mutta ei sitä vastoin menettelyn kuluessa toteutetut toimenpiteet, joilla valmistellaan tätä lopullista toimenpidettä ja joilla ei ole itsenäisiä kolmansiin kohdistuvia oikeusvaikutuksia. Tällaisia menettelyn kuluessa toteutettuja toimenpiteitä ovat erityisesti toimenpiteet, jotka ilmaisevat unionin kyseisen toimielimen, elimen tai laitoksen väliaikaisen kannan (ks. vastaavasti tuomio 11.11.1981, IBM v. komissio, 60/81, EU:C:1981:264, 10 kohta; tuomio 22.9.2022, IMG v. komissio, C‑619/20 P ja C‑620/20 P, EU:C:2022:722, 103 kohta ja tuomio 18.6.2024, komissio v. SRB, C‑551/22 P, EU:C:2024:520, 92 kohta).
70
Oikeuskäytännön mukaan menettelyn kuluessa toteutetusta toimenpiteestä ei varsinkaan voida nostaa kumoamiskannetta, jos todetaan, että sen lainvastaisuuteen voidaan vedota siitä lopullisesta päätöksestä nostettavan kanteen tueksi, jonka valmistelemiseksi se on toteutettu. Tässä tilanteessa menettelyn lopettamisesta tehdystä päätöksestä nostettu kanne turvaa riittävän oikeussuojan (ks. vastaavasti tuomio 11.11.1981, IBM v. komissio, 60/81, EU:C:1981:264, 12 kohta ja tuomio 15.3.2017, Stichting Woonlinie ym. v. komissio, C‑414/15 P, EU:C:2017:215, 46 kohta oikeuskäytäntöviittauksineen).
71
Nyt käsiteltävässä tapauksessa kyseessä olevan toimen sisällön ja kyseessä olevan elimen valtuuksien osalta yleisen tietosuoja-asetuksen 65 artiklan 1 kohdan a alakohdan ja 2 kohdan sekä sen 68 artiklan 1 kohdan sanamuodosta ilmenee, että riidanalainen päätös on toimi, joka on peräisin unionin elimeltä ja joka sitoo kolmansia. Kyseinen toimi sitoo johtavaa valvontaviranomaista ja kaikkia osallistuvia valvontaviranomaisia, joille se on osoitettu ja jotka ovat kolmansia tietosuojaneuvostoon nähden. Yleisen tietosuoja-asetuksen 65 artiklan 6 kohdan mukaan johtavan valvontaviranomaisen on annettava lopullinen päätöksensä tietosuojaneuvoston päätöksen perusteella. Lopullisessa päätöksessä on myös viitattava tietosuojaneuvoston päätökseen, joka on liitettävä lopulliseen päätökseen.
72
Riidanalaisen päätöksen tekemisen asiayhteydestä on lisäksi todettava, että on selvää, että päätös valmisteltiin edellä 69 kohdassa mainitussa oikeuskäytännössä tarkoitetussa menettelyssä, johon kuului useita menettelyvaiheita, koska se edelsi sitä, että Irlannin valvontaviranomainen antaa toisen toimen. Riidanalaisessa päätöksessä vahvistetaan kuitenkin samassa oikeuskäytännössä tarkoitetulla tavalla lopullisesti toimivaltaisen unionin elimen eli tietosuojaneuvoston kanta ja käydään tyhjentävästi läpi kaikki ne kysymykset, jotka oli saatettu kyseisen elimen ratkaistavaksi. On nimittäin todettava, että tällainen yleisen tietosuoja-asetuksen 65 artiklan 1 kohdan a alakohdan perusteella tehty päätös koskee kaikkia kysymyksiä, joista yleisen tietosuoja-asetuksen 60 artiklan 4 kohdassa tarkoitetut osallistuvat valvontaviranomaiset ovat esittäneet merkityksellisen ja perustellun vastalauseen, ja erityisesti sitä, onko yleistä tietosuoja-asetusta rikottu.
73
Edellä esitetystä seuraa, että vaikka riidanalainen päätös ei ole yleisen tietosuoja-asetuksen 58, 60 ja 65 artiklassa säädetyn yhdenmukaisuuden valvontaa koskevan menettelyn viimeinen vaihe, sitä ei voida pitää edellä 69 kohdassa mainitussa oikeuskäytännössä tarkoitettuna menettelyn kuluessa toteutettuna toimenpiteenä, johon ei voida hakea muutosta, toisin kuin unionin yleinen tuomioistuin katsoi valituksenalaisen määräyksen 42 kohdassa. Niinpä edellä 70 kohdassa mainitulla oikeuskäytännöllä ei ole merkitystä nyt käsiteltävässä asiassa.
74
Tässä yhteydessä on todettava, että koska tietosuojaneuvoston päätöksellä on kolmansiin kohdistuvia sitovia oikeusvaikutuksia, merkitystä ei ole sillä, että kansallisen valvontaviranomaisen lopullinen päätös kattaa myös kysymyksiä, jotka eivät kuuluneet tietosuojaneuvoston käsiteltäväksi saatettuihin seikkoihin tai sen toimivaltaan.
75
Samoista syistä se unionin yleisen tuomioistuimen valituksenalaisen määräyksen 42 kohdassa esiin tuoma seikka, että toisin kuin Irlannin valvontaviranomaisen lopulliseen päätökseen, riidanalaiseen päätökseen ei voida vedota muita yksikköjä kuin sen adressaatteja vastaan, on myös merkityksetön siltä kannalta, pidetäänkö kyseistä päätöstä SEUT 263 artiklan ensimmäisessä kohdassa tarkoitettuna kannekelpoisena toimena. Tällainen seikka, joka liittyy valittajan oikeudelliseen asemaan riidanalaisen päätöksen osalta, ei objektiivisten arviointiperusteiden valossa liity riidanalaisen päätöksen asiasisältöön eikä sen sitoviin oikeusvaikutuksiin.
76
Kaikesta edellä esitetystä seuraa, että riidanalainen päätös on unionin elimen toimi, jonka tarkoituksena on tuottaa oikeusvaikutuksia suhteessa kolmansiin ja jossa ilmaistaan kyseisen elimen lopullinen kanta sen ratkaistavaksi saatettuihin kysymyksiin, kuten unionin yleinen tuomioistuin itsekin toteaa valituksenalaisen määräyksen 36, 37 ja 49 kohdassa. Kyseinen päätös on siten SEUT 263 artiklan ensimmäisen kohdan sanamuodon ja edellä 66–69 kohdassa mainitun oikeuskäytännön valossa kannekelpoinen toimi, eikä tässä vaiheessa ole tarpeen arvioida, onko kyseinen päätös muuttanut WhatsAppin oikeusasemaa selvästi.
77
Tästä on todettava, että unionin yleinen tuomioistuin teki oikeudellisen virheen yhtäältä valituksenalaisen määräyksen 38 kohdassa sekoittamalla keskenään SEUT 263 artiklan ensimmäisestä ja neljännestä kohdasta johtuvat vaatimukset ja toisaalta valituksenalaisen määräyksen 42 kohdassa muotoilemalla virheellisen arviointiperusteen, joka koskee sitä, ettei kyseessä olevaan toimeen voida vedota suoraan WhatsAppia vastaan, ja pitämällä riidanalaista päätöstä menettelyn kuluessa toteutettuna toimenpiteenä, jolla ei ole itsenäisiä oikeusvaikutuksia.
78
Ensimmäisen valitusperusteen ensimmäinen osa on siten hyväksyttävä.
Ensimmäisen valitusperusteen toinen osa
– Asianosaisten lausumat
79
WhatsApp väittää, että unionin yleinen tuomioistuin teki oikeudellisen virheen katsoessaan, ettei riidanalainen päätös koskenut sitä suoraan ja että WhatsAppin kanne oli siten jätettävä tutkimatta.
80
Yhtäältä edellytyksestä, jonka mukaan toimella on oltava välittömiä vaikutuksia kantajan oikeusasemaan, on mainittava, että unionin yleinen tuomioistuin totesi valituksenalaisen määräyksen 52 kohdassa virheellisesti, ettei riidanalainen päätös koskenut WhatsAppia suoraan, koska kyseiseen päätökseen ei voitu vedota WhatsAppia vastaan eikä se ollut yleisen tietosuoja-asetuksen 58, 60 ja 65 artiklassa säädetyn menettelyn viimeinen vaihe.
81
Toisaalta edellytyksestä, jonka mukaan toimi ei saa jättää niille, joille se on osoitettu ja joiden tehtävänä on sen toimeenpano, lainkaan harkintavaltaa, on mainittava WhatsAppin katsovan, että unionin yleinen tuomioistuin teki oikeudellisen virheen, kun se totesi valituksenalaisen määräyksen 53–60 kohdassa, että riidanalaisessa päätöksessä jätettiin Irlannin valvontaviranomaiselle harkintavaltaa sen lopullisen päätöksen sisällön osalta, vaikka se myönsikin, että riidanalainen päätös sitoi kyseistä valvontaviranomaista niiden seikkojen osalta, joita se koskee.
82
Valituksenalaisen määräyksen 54–56 kohdasta, joissa unionin yleinen tuomioistuin katsoi, että riidanalaisen päätöksen sisältö kattoi vain osan lopullisen päätöksen sisällöstä, WhatsApp väittää, että harkintavallan puuttumista olisi pitänyt tutkia tarkastelemalla riidanalaisen päätöksen asiasisältöä ottamatta huomioon lopullisen päätöksen muuta sisältöä. Tietosuojaneuvosto nimittäin tutki WhatsAppin mukaan ainoastaan tietyt yksittäistapauksen näkökohdat eli kysymykset, joista osallistuvat valvontaviranomaiset olivat esittäneet merkityksellisiä ja perusteltuja vastalauseita. Riidanalainen päätös ei siis voi koskea koko asiaa eikä se voi kattaa seikkoja, jotka eivät kuulu tietosuojaneuvoston ratkaistavaksi saatettuihin seikkoihin tai sen toimivaltaan.
83
Lisäksi unionin yleinen tuomioistuin teki WhatsAppin mukaan oikeudellisen virheen katsoessaan valituksenalaisen määräyksen 57–59 kohdassa, että Irlannin valvontaviranomainen oli käyttänyt harkintavaltaansa tehdäkseen päätelmiä riidanalaisesta päätöksestä. WhatsApp väittää ensinnäkin tietojen, joihin sovellettiin häviöllistä tiivistämistä, luonnehtimisesta henkilötiedoiksi, että kyseisestä tietosuojaneuvoston luonnehdinnasta seuraa WhatsAppille yleiseen tietosuoja-asetukseen perustuvia lisävelvoitteita riippumatta siitä, että johtava valvontaviranomainen käytti tällaista luonnehdintaa pidemmälle menevää aineellista harkintavaltaa tarkastamalla, oliko WhatsApp toiminut rekisterinpitäjänä tai henkilötietojen käsittelijänä. Toiseksi WhatsApp esittää sille määrättävien seuraamusmaksujen korottamisesta, että kyseisessä päätöksessä ei jätetty Irlannin valvontaviranomaiselle harkintavaltaa, koska sen oli määrättävä alun perin kaavailtua suurempi seuraamusmaksu. Sillä, että kyseisellä viranomaisella on edelleen harkintavaltaa seuraamusmaksun täsmällisen määrän määrittämisen osalta, ei ole WhatsAppin mukaan merkitystä, koska tämä tehtävä kuuluu mainitun viranomaisen toimivaltaan.
84
Tietosuojaneuvosto kiistää tämän argumentaation ja väittää, että kahden kumulatiivisen edellytyksen on täytyttävä, jotta unionin toimi koskisi suoraan sellaista luonnollista henkilöä tai oikeushenkilöä, jolle ei ole osoitettu yksittäistapausta koskevaa toimea. Yhtäältä toimen pitää sen mukaan vaikuttaa suoraan kyseisen henkilön oikeusasemaan, ja toisaalta toimella ei saa jättää sille, jolle se on osoitettu ja jonka tehtävänä on sen toimeenpano, lainkaan harkintavaltaa vaan toimeenpanon olisi oltava täysin automaattista sen edellyttämättä välissä olevien oikeussääntöjen soveltamista.
85
Ensimmäisen edellytyksen osalta tietosuojaneuvosto huomauttaa, että toimen sitovaa vaikutusta on tarkasteltava sen mukaan, mikä vaikutus sillä on kantajan tilanteeseen. Nyt käsiteltävässä asiassa riidanalaiseen päätökseen ei voida vedota WhatsAppia vastaan tavalla, joka mahdollistaisi sen, että riidanalainen päätös voi ilman muita menettelyvaiheita olla velvoitteiden lähde. Riidanlainen päätös ei ole yleisen tietosuoja-asetuksen 58, 60 ja 65 artiklassa tarkoitetun menettelyn viimeinen vaihe, eikä siinä ole muun muassa määritetty seuraamusmaksun lopullista määrää eikä WhatsAppin toimintaa koskevia uusia sääntöjä. Niinpä ainoastaan lopullinen päätös koskee tietosuojaneuvoston mukaan suoraan WhatsAppia, ja Irlannin valvontaviranomainen on yleisen tietosuoja-asetuksen 56 artiklan 6 kohdan nojalla rekisterinpitäjänä kyseisen yrityksen ainoa yhteystaho.
86
Toisen edellytyksen osalta tietosuojaneuvosto väittää, että Irlannin valvontaviranomainen säilytti todellisen harkintavallan niiden päätelmien osalta, jotka se tekee lopullisessa päätöksessään, jonka ulottuvuus on laajempi kuin riidanalaisen päätöksen ja joka sisältää toteamuksia, joista tietosuojaneuvostoa, jonka tehtävä rajautui kysymyksiin, joista oli esitetty merkityksellisiä ja perusteltuja vastalauseita, ei ollut pyydetty lausumaan. Riidanalaisen päätöksen ja lopullisen päätöksen välillä on joka tapauksessa keskinäinen riippuvuus. Lopullisen päätöksen niitä osia, jotka vastaavat tietosuojaneuvoston ohjeita, ei voida erottaa, minkä vahvistaa se, että tietosuojaneuvosto jätti Irlannin valvontaviranomaiselle tiettyä harkintavaltaa useiden seikkojen osalta.
87
Tällaisessa tilanteessa kansallisella tuomioistuimella on paremmat edellytykset tarkastella lopullista päätöstä uudelleen tarvittaessa siten, että se esittää unionin tuomioistuimelle ennakkoratkaisukysymyksiä yleisen tietosuoja-asetuksen säännöksistä, joita sovelletaan sekä viran puolesta että tietosuojaneuvoston ohjeiden perusteella.
88
Tietosuojaneuvoston mukaan Irlannin valvontaviranomainen myös säilytti tietyn harkintavallan riidanalaisessa päätöksessä käsitellyissä kysymyksissä, erityisesti niissä, jotka koskevat yhtäältä niitä oikeudellisia seurauksia, jotka on johdettava siitä, että tiedot, joihin sovellettiin häviöllistä tiivistämistä, luonnehditaan henkilötiedoiksi, ja toisaalta WhatsAppille määrättävien seuraamusmaksujen määrän vahvistamista. Ensimmäisen näkökohdan osalta kyseinen viranomainen säilytti tietosuojaneuvoston mukaan harkintavallan ja suoritti itsenäisen arvioinnin muun muassa yleisen tietosuoja-asetuksen 14 artiklan noudattamisen osalta. Tältä osin on virheellistä väittää, että tietosuojaneuvosto olisi suorittanut ”kattavan” arvioinnin, koska sen toimivalta rajoittuu merkityksellisten ja perusteltujen vastaväitteiden sisältöön eikä ulotu koko rikkomista koskevaan menettelyyn. Toisesta seikasta eli seuraamusmaksujen määrän vahvistamisesta on todettava, että vaikka riidanalaiseen päätökseen sisältyy seuraamusmaksuja koskevia yleisiä ohjeita, siinä ei käsitellä näiden ohjeiden täytäntöönpanoa eikä seuraamusmaksujen laskemista.
89
Saksan liittotasavalta katsoo, että koska johtava viranomainen oli WhatsAppin ainoa yhteystaho, riidanalaisen päätöksen ei voida katsoa koskevan WhatsAppia suoraan. Tällaista päätöstä ei ole tarkoitus panna täytäntöön itsenäisesti, vaan sen jälkeen on aina tehtävä kyseisen viranomaisen lopullinen päätös. Unionin lainsäätäjä on nimittäin tietoisesti valinnut yleisen tietosuoja-asetuksen hajautetun valvonnan, koska se ei ole perustanut keskitetysti toimivaa eurooppalaista tietosuojaviranomaista.
– Unionin tuomioistuimen arviointi asiasta
90
Ensimmäisen valitusperusteen toinen osa koskee sitä, tekikö unionin yleinen tuomioistuin oikeudellisen virheen katsoessaan valituksenalaisen määräyksen 50–60 kohdassa, että riidanalainen päätös ei koskenut WhatsAppia suoraan SEUT 263 artiklan neljännessä kohdassa tarkoitetulla tavalla ja että WhatsAppin nostama kanne oli siten jätettävä tutkimatta.
91
Kyseisen määräyksen mukaan luonnollinen henkilö tai oikeushenkilö voi SEUT 263 artiklan ensimmäisessä ja toisessa kohdassa määrätyin edellytyksin nostaa kanteen hänelle osoitetusta toimesta tai toimesta, joka koskee häntä suoraan ja erikseen, sekä sääntelytoimesta, joka koskee häntä suoraan ja joka ei edellytä täytäntöönpanotoimenpiteitä.
92
Luonnollisen henkilön tai oikeushenkilön SEUT 263 artiklan neljännen kohdan nojalla nostaman sellaisen kanteen tutkittavaksi ottaminen, joka koskee toimea, jota ei ole osoitettu tällaiselle henkilölle, edellyttää muun muassa, että toimi koskee sitä suoraan ja erikseen (tuomio 3.12.2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, 64 kohta oikeuskäytäntöviittauksineen).
93
Kuten unionin yleinen tuomioistuin totesi valituksenalaisen määräyksen 40 kohdassa, nyt käsiteltävässä tapauksessa on osoitettu, että riidanalainen päätös koskee WhatsAppia erikseen, koska riidanalainen päätös koskee tiettyjä lopullisen päätöksen luonnoksen osia, jotka liittyvät nimenomaisesti kyseisen yrityksen tilanteeseen. Unionin yleinen tuomioistuin katsoi kuitenkin kyseisen määräyksen 52 ja 53 kohdassa, ettei riidanalainen päätös koskenut WhatsAppia suoraan yhtäältä siksi, että se ei ollut sillä tavoin WhatsAppille vastainen, että siitä johtuisi ilman menettelyn myöhempiä vaiheita velvoitteita WhatsAppille tai mahdollisesti oikeuksia muille yksityisille, ja toisaalta siksi, että vaikka riidanalainen päätös sitoi Irlannin valvontaviranomaista niiden seikkojen osalta, joita se koskee, siinä jätettiin kyseiselle viranomaiselle harkintavaltaa lopullisen päätöksen sisällön osalta.
94
Tässä yhteydessä on syytä muistuttaa, että vakiintuneen oikeuskäytännön mukaan edellytys, jonka mukaan luonnollisen henkilön tai oikeushenkilön nostaman kanteen kohteena olevan päätöksen on koskettava tätä henkilöä suoraan, vaatii kahden edellytyksen täyttymistä kumulatiivisesti eli yhtäältä kyseisellä toimenpiteellä on oltava välittömiä vaikutuksia kyseisen henkilön oikeusasemaan ja toisaalta se ei saa jättää niille, joille se on osoitettu ja joiden tehtävänä on sen toimeenpano, ollenkaan harkintavaltaa, jolloin toimeenpano on puhtaasti automaattista ja perustuu yksinomaan unionin lainsäädäntöön eikä edellytä välissä olevien sääntöjen soveltamista (tuomio 4.10.2024, komissio ja neuvosto v. Front Polisario, C‑779/21 P ja C‑799/21, EU:C:2024:835, 87 kohta oikeuskäytäntöviittauksineen).
95
Ennen sen tutkimista, täyttyvätkö nämä kaksi edellytystä nyt käsiteltävässä tapauksessa, on täsmennettävä, että se, ettei riidanalaiseen toimeen voida suoraan vedota kantajaa vastaan, ja se, että kyseinen toimi ei ole useasta osasta koostuvan menettelyn viimeinen vaihe, eivät ole esteenä sille, että kyseinen toimi voi koskea kantajaa suoraan silloin, kun sillä, jolle sama toimi on osoitettu, ei ole lainkaan harkintavaltaa (ks. vastaavasti tuomio 4.6.1992, Infortec v. komissio, C‑157/90, EU:C:1992:243, 13 ja 17 kohta; tuomio 3.12.2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, 65 ja 67 kohta ja tuomio 12.7.2022, Nord Stream 2 v. parlamentti ja neuvosto, C‑348/20 P, EU:C:2022:548, 74 kohta).
96
Kuten julkisasiamies huomauttaa ratkaisuehdotuksensa 139 ja 144 kohdassa, unionin yleinen tuomioistuin teki siten oikeudellisen virheen katsoessaan valituksenalaisen määräyksen 52 kohdassa, ettei riidanalainen päätös voi koskea WhatsAppia suoraan siksi, ettei siihen voida vedota WhatsAppia vastaan eikä se ole yleisen tietosuoja-asetuksen 58, 60 ja 65 artiklassa säädetyn menettelyn viimeinen vaihe.
97
Edellä 94 kohdassa mieleen palautetuista edellytyksistä ensimmäisen täyttymisen osalta on arvioitava, muuttaako riidanalainen toimi kyseessä olevan luonnollisen henkilön tai oikeushenkilön oikeudellista asemaa selvästi, tarkastelemalla toimen keskeistä sisältöä ja arvioimalla sen vaikutuksia kyseisen toimen sisällön kaltaisten objektiivisten arviointiperusteiden perusteella ja ottamalla tarvittaessa huomioon toimen antamisen asiayhteys ja toimen antaneen toimielimen, elimen tai laitoksen toimivalta (ks. vastaavasti tuomio 11.11.1981, IBM v. komissio, 60/81, EU:C:1981:264, 9 kohta ja tuomio 18.6.2024, komissio v. SRB, C‑551/22 P, EU:C:2024:520, 65 kohta oikeuskäytäntöviittauksineen).
98
Kuten edellä 30 kohdassa mainittiin, tietosuojaneuvosto päätti nyt käsiteltävässä tapauksessa tekemässään riidanalaisessa päätöksessä muun muassa, että WhatsApp oli laiminlyönyt yleisen tietosuoja-asetuksen 13 artiklan 1 kohdan d alakohdassa säädettyjä tiedonantovelvollisuuksia ja rikkonut sen 13 artiklan 2 kohdan e alakohtaa. Niinpä kyseisellä päätöksellä muutetaan WhatsAppin oikeusasemaa, koska se joutuu tietosuojaneuvoston päätöksen vuoksi erityisesti muuttamaan sopimussuhdettaan tarjoamansa viestintäpalvelun käyttäjien kanssa. Tästä seuraa, että riidanalaisen päätöksen ja sen WhatsAppin tilanteeseen kohdistuvien vaikutusten välillä on edellä 94 ja 95 kohdassa mainitussa oikeuskäytännössä tarkoitettu suora yhteys.
99
Toisin kuin tietosuojaneuvosto väittää, se, että Irlannin valvontaviranomainen on yleisen tietosuoja-asetuksen 56 artiklan 6 kohdan nojalla rekisterinpitäjänä WhatsAppin ainoa yhteystaho, ei vaikuta tähän toteamukseen. Kyseisen säännöksen tarkoituksena on nimittäin ainoastaan järjestää rekisterinpitäjän tai henkilötietojen käsittelijän, johtavan valvontaviranomaisen ja osallistuvien valvontaviranomaisten väliset suhteet, joten se ei koske tietosuojaneuvoston päätösten osalta käytettävissä olevia oikeussuojakeinoja.
100
Edellä 94 kohdassa mainitun toisen edellytyksen täyttymisestä on todettava, että sen arvioimiseksi, jättääkö toimi niille, joille se on osoitettu, harkintavaltaa sen toimeenpanossa, on tutkittava kanteessa tarkoitetuilla kyseisen toimien säännöksillä tai määräyksillä olevat oikeusvaikutukset sen henkilön tilanteeseen, joka vetoaa kanneoikeuteen SEUT 263 artiklan neljännen kohdan toisen osan nojalla (tuomio 12.7.2022, Nord Stream 2 v. parlamentti ja neuvosto, C‑348/20 P, EU:C:2022:548, 98 kohta oikeuskäytäntöviittauksineen).
101
Tällaista harkintavaltaa ei ole muun muassa, jos osoitetaan, että kanteessa tarkoitettujen toimen säännösten tai määräysten välittömänä seurauksena on se, että kyseiselle henkilölle asetetaan velvoitteita, joiden lopputulosta yksikkö, jonka tehtävänä on myöhemmin panna kyseinen toimi toimeen, ei voi muuttaa (ks. vastaavasti tuomio 12.7.2022, Nord Stream 2 v. parlamentti ja neuvosto, C‑348/20 P, EU:C:2022:548, 114 kohta).
102
Kuten edellä 71 ja 72 kohdasta ilmenee, nyt käsiteltävässä asiassa on muistutettava, että riidanalainen päätös sitoo johtavaa valvontaviranomaista ja osallistuvia valvontaviranomaisia. Ne eivät voi poiketa tietosuojaneuvoston kyseisessä päätöksessä omaksumasta kannasta, joka palautettiin mieliin edellä 30 kohdassa. Mainitulla päätöksellä ratkaistaan nimittäin tietosuojaneuvoston käsiteltäväksi saatetut oikeudelliset kysymykset, ja se sitoo kyseisiä viranomaisia ehdoitta erityisesti siltä osin kuin on kyse yleisen tietosuoja-asetuksen tiettyjen säännösten rikkomisen toteamisesta, tietojen, joihin sovelletaan häviöllistä tiivistämistä, luonnehtimisesta henkilötiedoiksi ja velvollisuudesta korottaa suunniteltujen seuraamusmaksujen määrää. Mainituilla viranomaisilla ei ole mahdollisuutta muuttaa tietosuojaneuvoston näiden kysymysten osalta tekemien arviointien lopputulosta edellisessä kohdassa mainitussa oikeuskäytännössä tarkoitetulla tavalla.
103
Tietosuojaneuvoston tehtävänä on yleisen tietosuoja-asetuksen 70 artiklan 1 kohdan a alakohdan nojalla varmistaa yleisen tietosuoja-asetuksen johdonmukainen soveltaminen valvomalla luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukaista ja yhtenäistää soveltamista kaikkialla unionissa ja varmistamalla se – kuten sen johdanto-osan kymmenennestä perustelukappaleesta ilmenee – muun muassa yleisen tietosuoja-asetuksen 65 artiklassa säädetyissä tapauksissa, sanotun kuitenkaan rajoittamatta kansallisten valvontaviranomaisten tehtäviä.
104
Tässä yhteydessä on merkityksetöntä, koskeeko lopullinen päätös myös kysymyksiä, joita ei saatettu tietosuojaneuvoston käsiteltäväksi, eli seikkoja, joista ei ole esitetty yleisen tietosuoja-asetuksen 65 artiklan 1 kohdan a alakohdassa tarkoitettuja merkityksellisiä ja perusteltuja vastalauseita, tai kysymyksiä, jotka eivät kuulu tietosuojaneuvoston toimivaltaan, kuten muun muassa rekisterinpitäjälle tai henkilötietojen käsittelijälle määrättävän seuraamusmaksun täsmällisen määrän vahvistaminen, mikä kuuluu valvontaviranomaiselle, jonka käsiteltäväksi asia on saatettu yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan i alakohdan ja 83 artiklan nojalla.
105
Lisäksi on niin, että vaikka riidanalaisen päätöksen ja lopullisen päätöksen välillä on keskinäinen riippuvuussuhde, ne ovat kuitenkin erillisiä toimia, ja riidanalaisen päätöksen ulottuvuus on hyvin rajattu, kuten edellä 30 kohdassa esitetystä luettelosta ilmenee. Tässä tilanteessa tällainen keskinäinen riippuvuussuhde ei ole esteenä toteamukselle, jonka mukaan riidanalainen päätös koskee WhatsAppia suoraan.
106
Erityisesti on niin, että vaikka kumoamiskanteen nostaminen samanaikaisesti unionin tuomioistuimissa SEUT 263 artiklan nojalla tietosuojaneuvoston sitovasta päätöksestä ja kansallisessa tuomioistuimessa yleisen tietosuoja-asetuksen 78 artiklan nojalla kansallisen valvontaviranomaisen tällaisen sitovan päätöksen perusteella tekemästä lopullisesta päätöksestä tosin johtaa kahteen rinnakkaiseen menettelyyn, tästä tilanteesta ei seuraa, että tietosuojaneuvoston päätöksen vaikutuksia olisi tässä tapauksessa pidettävä välillisinä WhatsAppiin nähden.
107
Yhtäältä unionin tuomioistuimen oikeuskäytännön mukaan on nimittäin niin, että jos kansallisessa tuomioistuimessa vireillä olevan asian ratkaisu riippuu unionin elimen päätöksen pätevyydestä, vilpittömän yhteistyön velvoitteesta seuraa, että välttääkseen tekemästä kyseisen elimen päätöksen kanssa ristiriidassa olevaa ratkaisua kansallisen tuomioistuimen pitäisi lykätä asian käsittelyä siihen asti, kunnes unionin tuomioistuimet ovat antaneet lopullisen ratkaisun kumoamiskanteesta, paitsi jos se katsoo, että asian olosuhteissa on perusteltua esittää unionin tuomioistuimelle ennakkoratkaisukysymys mainitun elimen päätöksen pätevyydestä (ks. vastaavasti tuomio 14.12.2000, Masterfoods ja HB, C‑344/98, EU:C:2000:689, 57 kohta ja tuomio 25.7.2018, Georgsmarienhütte ym., C‑135/16, EU:C:2018:582, 24 kohta).
108
Toisaalta on myös todettava, että hyvän oikeudenhoidon periaate voi oikeuttaa siinä tapauksessa, että asia saatetaan samanaikaisesti unionin yleisen tuomioistuimen käsiteltäväksi kumoamiskanteen yhteydessä ja unionin tuomioistuimen käsiteltäväksi ennakkoratkaisupyynnön yhteydessä, sen, että unionin tuomioistuin soveltaa, jos se katsoo sen asianmukaiseksi, Euroopan unionin tuomioistuimen perussäännön 54 artiklan kolmatta kohtaa lykätäkseen siinä vireillä olevaa menettelyä unionin yleisessä tuomioistuimessa vireille olevan menettelyn hyväksi (tuomio 25.7.2018, Georgsmarienhütte ym., C‑135/16, EU:C:2018:582, 25 kohta).
109
Koska edellä 94 kohdassa mainitut kaksi edellytystä täyttyvät, riidanalainen päätös koskee WhatsAppia suoraan.
110
Edellä esitetyn perusteella ensimmäisen valitusperusteen toinen osa on siis hyväksyttävä ja valituksenalainen määräys siten kumottava.
Ensimmäisen valitusperusteen kolmas osa
111
WhatsApp väittää ensimmäisen valitusperusteensa kolmannessa osassa, että unionin yleisen tuomioistuimen valituksenalaisen määräyksen 66–70 kohdassa esittämä toteamus, jonka mukaan WhatsAppin kanteen tutkimatta jättäminen on osa EU-sopimuksella ja EUT-sopimuksella käyttöön otetun oikeussuojakeinojen järjestelmän logiikkaa, on oikeudellisesti virheellinen.
112
Kun otetaan huomioon edellä 110 kohdassa esitetty päätelmä, ensimmäisen valitusperusteen kolmannesta osasta ei ole tarpeen lausua.
Toinen valitusperuste, joka koskee oikeudellista virhettä yleisen tietosuoja-asetuksen 65 artiklan ja unionin oikeuden johdonmukaisen soveltamisen periaatteen tulkinnassa ja soveltamisessa
113
WhatsApp väittää ensimmäisen valitusperusteen yhteydessä esitettyihin perusteluihin viitaten, että unionin yleinen tuomioistuin rikkoi yleisen tietosuoja-asetuksen 65 artiklan 1 kohtaa ja loukkasi unionin oikeuden johdonmukaisen soveltamisen periaatetta, kun se totesi valituksenalaisen määräyksen 41–60 kohdassa, että riidanalaisella päätöksellä ei ollut muita oikeusvaikutuksia kuin sen sitovat vaikutukset osallistuviin valvontaviranomaisiin nähden.
114
Koska WhatsApp ainoastaan viittaa ensimmäisen valitusperusteensa tueksi esittämiinsä perusteluihin – ja kun otetaan huomioon edellä 110 kohdassa esitetty päätelmä –, toisesta valitusperusteesta ei ole tarpeen lausua, koska se ei voi johtaa valituksenalaisen määräyksen laajempaan kumoamiseen.
Asian palauttaminen unionin yleiseen tuomioistuimeen
115
Euroopan unionin tuomioistuimen perussäännön 61 artiklan ensimmäisessä kohdassa määrätään, että jos unionin yleisen tuomioistuimen ratkaisu kumotaan, unionin tuomioistuin voi itse ratkaista asian lopullisesti, jos asia on ratkaisukelpoinen.
116
Tämä edellytys täyttyy nyt käsiteltävässä asiassa siltä osin kuin asia koskee ainoastaan unionin yleisessä tuomioistuimessa nostetun kanteen tutkittavaksi ottamista.
117
Tältä osin on todettava, että ensinnäkin – kuten edellä 76 kohdasta ilmenee – riidanalainen päätös on SEUT 263 artiklan ensimmäisessä kohdassa tarkoitettu kannekelpoinen toimi. Toiseksi – kuten edellä 109 kohdassa todettiin – riidanalainen päätös koskee WhatsAppia suoraan SEUT 263 artiklan neljännessä kohdassa tarkoitetulla tavalla. Kolmanneksi kyseinen päätös koskee WhatsAppia erikseen, kuten unionin yleinen tuomioistuin itse totesi valituksenalaisen määräyksen 40 kohdassa.
118
Koska siis SEUT 263 artiklan ensimmäisessä ja neljännessä kohdassa asetetut edellytykset täyttyvät ja koska muita tutkimatta jättämisen perusteita ei ole, kumoamiskanne otetaan tutkittavaksi.
119
Koska unionin yleinen tuomioistuin ei kuitenkaan tutkinut sen käsiteltäväksi saatetun kanteen asiakysymystä, joka edellyttää yksityiskohtaista tosiseikkojen ja oikeudellisten seikkojen arviointia, asia ei ole ratkaisukelpoinen asiakysymyksen osalta.
120
Asia on siten palautettava unionin yleiseen tuomioistuimeen.
Oikeudenkäyntikulut
121
Koska asia palautetaan unionin yleiseen tuomioistuimeen, tämän muutoksenhakumenettelyn oikeudenkäyntikuluista on päätettävä myöhemmin.
Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:
1)
Unionin yleisen tuomioistuimen 7.12.2022 antama määräys WhatsApp Ireland v. Euroopan tietosuojaneuvosto (T‑709/21, EU:T:2022:783) kumotaan.
2)
Asia palautetaan unionin yleiseen tuomioistuimeen.
3)
Oikeudenkäyntikuluista päätetään myöhemmin.
Allekirjoitukset
(
*1
)	Oikeudenkäyntikieli: englanti.