62023CJ0097
A BÍRÓSÁG ÍTÉLETE (nagytanács)
2026. február 10. (
*1
)
„Fellebbezés – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/679 rendelet – 63. cikk – Egységességi mechanizmus – 65. cikk – Az Európai Adatvédelmi Testület vitarendezési eljárása – Kötelező erejű döntés – Megsemmisítés iránti kereset – Az EUMSZ 263. cikk első bekezdése – Megtámadható aktus – Az EUMSZ 263. cikk negyedik bekezdése – Feltétel, amely szerint a felperesnek a keresete tárgyát képező intézkedés által közvetlenül érintettnek kell lennie”
A C‑97/23. P. sz. ügyben,
a WhatsApp Ireland Ltd (székhelye: Dublin [Írország], képviselik: E. Egan McGrath SC, C. Geoghegan SC, D. McGrath SC, P. Sreenan SC, B. Johnston, C. Monaghan, P. Nolan solicitors, H.‑G. Kamann Rechtsanwalt, F. Louis és A. Vallery avocats)
fellebbezőnek
az Európai Unió Bírósága alapokmányának 56. cikke alapján 2023. február 17‑én benyújtott fellebbezése tárgyában,
a másik fél az eljárásban:
az Európai Adatvédelmi Testület (képviselik: C. Foglia, M. Gufflet, G. Le Grand és I. Vereecken, meghatalmazotti minőségben, segítőik: G. Haumont, E. de Lophem, P. Vernet avocats és G. Ryelandt advocaat)
alperes az elsőfokú eljárásban,
támogatja:
a Németországi Szövetségi Köztársaság (képviselik kezdetben: J. Möller és P.‑L. Krüger, később: J. Möller, meghatalmazotti minőségben)
beavatkozó fél a fellebbezési eljárásban,
A BÍRÓSÁG (nagytanács),
tagjai: K. Lenaerts elnök, T. von Danwitz elnökhelyettes (előadó), K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu‑Matei és M. Condinanzi tanácselnökök, S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders és N. Fenger bírák,
főtanácsnok: T. Ćapeta,
hivatalvezető: A. Lamote tanácsos,
tekintettel az írásbeli szakaszra és a 2024. november 26‑i tárgyalásra,
a főtanácsnok indítványának a 2025. március 27‑i tárgyaláson történt meghallgatását követően,
meghozta a következő
Ítéletet
1
Fellebbezésével a WhatsApp Ireland Ltd (a továbbiakban: WhatsApp) az Európai Unió Törvényszéke által 2022. december 7‑én hozott WhatsApp Ireland kontra Európai Adatvédelmi Testület végzés (T‑709/21, a továbbiakban: megtámadott végzés, EU:T:2022:783) hatályon kívül helyezését kéri, amellyel a Törvényszék mint elfogadhatatlant elutasította az Európai Adatvédelmi Testületnek a Data Protection Commission (DPC) (adatvédelmi hatóság, Írország, a továbbiakban: ír felügyeleti hatóság) által a WhatsAppra vonatkozóan kidolgozott döntéstervezetből eredő, az érintett felügyeleti hatóságok között kialakult jogvitáról szóló, 2021. július 28‑i 1/2021. sz. kötelező erejű határozatának (a továbbiakban: megtámadott döntés) megsemmisítése iránti keresetét.
Jogi háttér
2
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) (10) és (143) preambulumbekezdése kimondja.
„(10)
A természetes személyek következetes és magas szintű védelmének biztosítása és a személyes adatok [Európai] Unión belüli áramlása előtti akadályok elhárítása érdekében a természetes személyeknek az ilyen adatok kezelésével összefüggésben fennálló jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. A természetes személyeknek a személyes adataik kezeléséhez kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén biztosítani kell. […]
[…]
(143)
Minden természetes vagy jogi személy jogosult, hogy az [EUMSZ 263. cikkben] meghatározott feltételek szerint eljárást indítson a Bíróságon a Testület döntéseinek megsemmisítése iránt. Azok az érintett felügyeleti hatóságok, amelyek e döntések címzettjeiként fellebbezni kívánnak azok ellen, az [EUMSZ 263. cikknek] megfelelően a döntésről való értesítésüket követő két hónapon belül indítják meg keresetüket. Ha a Testület döntései közvetlenül és egyénileg érintenek valamely adatkezelőt, adatfeldolgozót vagy a panaszost, a panaszos az [EUMSZ 263. cikknek] megfelelően eljárást indíthat az adott döntések megsemmisítése iránt, mégpedig azoknak a Testület honlapján való közzététele dátumától számított két hónapon belül. Az [EUMSZ 263. cikkben] biztosított e jog sérelme nélkül, minden természetes vagy jogi személy számára biztosítani kell, hogy egy valamely felügyeleti hatóság által hozott és a szóban forgó személyre nézve jogkövetkezményekkel járó döntéssel szemben hatékony bírósági jogorvoslattal élhessen valamely illetékes tagállami bíróságnál. Ide tartoznak különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntések. Mindazonáltal a hatékony bírósági jogorvoslathoz való jog nem vonatkozik a felügyeleti hatóságok által tett, jogilag kötelező erővel nem bíró intézkedéseikre, például a felügyeleti hatóság által kibocsátott véleményekre vagy az általa nyújtott tanácsra. A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani, és az eljárást az érintett tagállam eljárásjoga szerint kell lefolytatni. Az említett bíróság teljes körű joghatósággal rendelkezik, amely magában foglalja az általa tárgyalt jogvita szempontjából releváns összes ténybeli és jogi kérdés vizsgálata tekintetében fennálló joghatóságot is.
Ha valamely felügyeleti hatóság elutasított vagy megalapozatlannak talált egy panaszt, a panaszos ugyanazon tagállam bírósága előtt eljárást indíthat. Az e rendelet alkalmazásával kapcsolatos bírósági jogorvoslatok összefüggésében azok a tagállami bíróságok, amelyek úgy ítélik meg, hogy az ítélethozatalhoz az adott kérdéssel kapcsolatos előzetes döntésre van szükség, kérhetik, illetve az [EUMSZ 267. cikkben] meghatározott esetben kérniük kell a Bíróságot, hogy az e rendeletet is magában foglaló uniós jog értelmezéséről hozzon előzetes döntést. Ezenkívül, ha valamely felügyeleti hatóság a Testület döntését végrehajtó döntésével szemben olyan keresetet indítanak valamelyik tagállami bíróság előtt, amelynek a tárgya a Testület döntésének az érvényessége, a szóban forgó tagállami bíróság nem rendelkezik hatáskörrel arra, hogy érvénytelennek nyilvánítsa a Testület döntését, hanem az érvényesség kérdését a Bíróság elé utalja […] [a] Bíróság által értelmezett [EUMSZ 267. cikknek] megfelelően, amennyiben véleménye szerint a döntés érvénytelen. A tagállami bíróságok azonban nem utalhatnak a Bíróság elé a Testület döntésének az érvényességével kapcsolatos kérdést olyan természetes vagy jogi személy kérelmére, akinek volt lehetősége az adott döntés megsemmisítése iránti keresetet indítani, ám elmulasztotta azt megtenni az [EUMSZ 263. cikkben] megállapított határidőn belül, különösen, ha a szóban forgó személyt a döntés közvetlenül és egyénileg érinti.”
3
A GDPR‑nak „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke (1) bekezdésének a) pontjában úgy rendelkezik, hogy a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni. E rendelet 5. cikke (1) bekezdésének c) pontja előírja, hogy ezen adatoknak az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk.
4
A GDPR-nak „Az adatkezelés jogszerűsége” című 6. cikke kimondja a személyesadat‑kezelés jogszerűségének feltételeit. E 6. cikk (1) bekezdése előírja:
„A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a)
az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
b)
az adatkezelés olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges;
c)
az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
d)
az adatkezelés az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme miatt szükséges;
e)
az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
f)
az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.
Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.”
5
A GDPR 12. cikke az átlátható tájékoztatással, a kommunikációval és az érintett jogainak gyakorlására vonatkozó intézkedésekkel kapcsolatos rendelkezéseket tartalmaz. rendelkezéseket. E 12. cikk (1) bekezdése a következőképpen rendelkezik:
„Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 13. és a 14. cikkben említett valamennyi információt és a 15–22. és 34. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.”
6
A GDPR „Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik” című 13. cikke a következőket írja elő:
„(1)   Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
a)
az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
b)
adott esetben, az adatvédelmi tisztviselő elérhetőségeiről;
c)
a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d)
ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;
e)
adott esetben a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f)
adott esetben annak ténye, hogy az adatkezelő harmadik országba vagy nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá [az Európai] Bizottság megfelelőségi határozatának léte vagy annak hiánya, vagy a 46. cikkben, a 47. cikkben vagy a 49. cikk (1) bekezdésének második albekezdésében említett adattovábbítás esetén a megfelelő és alkalmas garanciák megjelölése, valamint az azok másolatának megszerzésére szolgáló módokra vagy az azok elérhetőségére való hivatkozás.
(2)   Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:
a)
a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
b)
az érintett azon jogáról, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat az ilyen személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való jogáról;
c)
a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban történő visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
d)
a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
e)
arról, hogy a személyes adat szolgáltatása jogszabályon vagy szerződéses kötelezettségen alapul vagy szerződés kötésének előfeltétele‑e, valamint hogy az érintett köteles‑e a személyes adatokat megadni, továbbá hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása;
f)
a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozó érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel bír, és az érintettre nézve milyen várható következményekkel jár.
[…]”
7
A GDPR 14. cikke az abban az esetben rendelkezésre bocsátandó információkról szól, ha a személyes adatokat az érintettől gyűjtik.
8
A GDPR 55. cikkének (1) bekezdése értelmében a felügyeleti hatóság a saját tagállamának területén illetékes a GDPR alapján ráruházott feladatok végzésére és hatáskörök gyakorlására.
9
A GDPR‑nak „A fő felügyeleti hatóság illetékessége” című 56. cikke a következőket mondja ki:
„(1)   Az 55. cikk sérelme nélkül, az adatkezelő vagy az adatfeldolgozó tevékenységi központja vagy egyetlen tevékenységi helye szerinti felügyeleti hatóság jogosult fő felügyeleti hatóságként eljárni az említett adatkezelő vagy az adatfeldolgozó által végzett határokon átnyúló adatkezelés tekintetében, a 60. cikk szerinti eljárással összhangban.
(2)   Az (1) bekezdéstől eltérve, minden felügyeleti hatóság jogosult a hozzá benyújtott panaszok kezelésére, illetve jogosult e rendelet esetleges megsértése esetén eljárni, ha az ügy tárgya kizárólag egy, a tagállamában található tevékenységi helyet érint, vagy ha kizárólag a tagállamában érint jelentős mértékben érintetteket.
(3)   Az e cikk (2) bekezdésében említett esetekben a felügyeleti hatóság haladéktalanul tájékoztatja az ügyről a fő felügyeleti hatóságot. A fő felügyeleti hatóság a tájékoztatását követő három héten belül dönt arról, hogy a 60. cikkben foglalt eljárással összhangban eljár‑e az ügyben, figyelembe véve azt, hogy az adatkezelő vagy az adatfeldolgozó rendelkezik‑e tevékenységi hellyel abban a tagállamban, amelynek a felügyeleti hatósága a fő felügyeleti hatóságot tájékoztatta.
(4)   Ha a fő felügyeleti hatóság úgy határoz, hogy eljár az ügyben, a 60. cikkben meghatározott eljárást kell alkalmazni. A fő felügyeleti hatóságot tájékoztató felügyeleti hatóság döntéstervezetet nyújthat be a fő felügyeleti hatóságnak. A fő felügyeleti hatóság a 60. cikk (3) bekezdésében említett döntéstervezet elkészítése során a lehető legnagyobb mértékben figyelembe veszi az említett tervezetet.
(5)   Abban az esetben, ha a fő felügyeleti hatóság úgy határoz, hogy nem jár el az ügyben, a fő felügyeleti hatóságot tájékoztató felügyeleti hatóság jár el a 61. és a 62. cikknek megfelelően.
(6)   A fő felügyeleti hatóság az adatkezelő vagy adatfeldolgozó egyetlen kapcsolattartója az általuk végzett, határokon átnyúló adatkezeléssel kapcsolatban.”
10
A GDPR „Feladatok” című 57. cikke (1) bekezdésének h) pontja úgy rendelkezik, hogy minden felügyeleti hatóság a saját tagállamának területén ellátja annak feladatát, hogy vizsgálatot folytat a GDPR alkalmazásával kapcsolatban.
11
E hatóság vizsgálati hatásköreit a GDPR „Hatáskörök” című 58. cikkének (1) bekezdése sorolja fel. E cikk (2) bekezdése felsorolja azon korrekciós intézkedéseket, így többek között az e bekezdés b), d) és i) pontjában említett intézkedéseket, amelyeket az említett hatóság meghozhat, és amelyek egyenként abban állnak, hogy a felügyeleti hatóság elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette a GDPR rendelkezéseit; utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba a GDPR rendelkezéseivel; és a GDPR 83. cikkének megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően és meghatározott határidőben.
12
A GDPR „Együttműködés a fő felügyeleti hatóság és a többi érintett felügyeleti hatóság között” című 60. cikke a következőképpen rendelkezik:
„(1)   A fő felügyeleti hatóság e cikknek megfelelően, konszenzusra törekedve együttműködik a többi érintett felügyeleti hatósággal. A fő felügyeleti hatóság és az érintett felügyeleti hatóságok minden releváns információt kicserélnek egymással.
(2)   A fő felügyeleti hatóság bármikor kérheti más érintett felügyeleti hatóságoktól a 61. cikk szerinti kölcsönös segítségnyújtást és végezhet a 62. cikk szerinti közös műveleteket, különösen olyan vizsgálatok lefolytatása vagy olyan intézkedések végrehajtásának nyomon követése céljából, amelyek valamely másik tagállamban tevékenységi hellyel rendelkező adatkezelővel, illetve adatfeldolgozóval kapcsolatosak.
(3)   A fő felügyeleti hatóság késedelem nélkül közli a többi érintett felügyeleti hatósággal az üggyel kapcsolatos releváns információkat. A döntés tervezetét haladéktalanul benyújtja a többi érintett felügyeleti hatóságnak, hogy azok véleményezhessék, és véleményüket kellően figyelembe veszi.
(4)   Ha a többi érintett felügyeleti hatóság valamelyike az e cikk (3) bekezdése szerinti konzultációt követő négy héten belül releváns és megalapozott kifogást emel a döntéstervezettel szemben, a fő felügyeleti hatóság, ha nem ért egyet a releváns és megalapozott kifogással, vagy azt nem találja relevánsnak vagy megalapozottnak, az ügyet a 63. cikkben említett, egységességi mechanizmus keretében kezeli.
(5)   Ha a fő felügyeleti hatóság helyt kíván adni a releváns és megalapozott kifogásnak, módosított döntéstervezetet nyújt be a többi érintett felügyeleti hatóságnak, hogy azok véleményezhessék. A módosított döntéstervezet tekintetében két héten belül kell lefolytatni a (4) bekezdésben említett eljárást.
(6)   Ha a (4), illetve az (5) bekezdésben említett határidőn belül a többi érintett felügyeleti hatóság egyike sem emel kifogást a fő felügyeleti hatóság által benyújtott döntéstervezettel szemben, úgy kell tekinteni, hogy a fő felügyeleti hatóság és az érintett felügyeleti hatóságok egyetértenek a döntéstervezettel és az rájuk nézve kötelező.
(7)   A fő felügyeleti hatóság elfogadja a döntését és közli azt az adatkezelő, vagy adott esetben az adatfeldolgozó tevékenységi központjával vagy egyetlen tevékenységi helyével, továbbá a releváns tények és indokok összefoglalásával tájékoztatja a szóban forgó döntésről a többi érintett felügyeleti hatóságot és a Testületet. Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, tájékoztatja a panaszost a döntésről.
(8)   Amennyiben a panaszt visszautasították vagy elutasították, a (7) bekezdéstől eltérve az a felügyeleti hatóság fogadja el a döntést, közli a panaszossal, és tájékoztatja az adatkezelőt, amelyhez a panaszt benyújtották.
(9)   Ha a fő felügyeleti hatóság és az érintett felügyeleti hatóságok egyetértenek abban, hogy a panasz egyes részeit visszautasítják vagy elutasítják, más részeivel kapcsolatban viszont eljárnak, külön döntést fogadnak el az ügy minden ilyen részére vonatkozóan. Az adatkezelővel kapcsolatos intézkedéseket érintő részre vonatkozó döntést a fő felügyeleti hatóság fogadja el, és közli az adatkezelőnek, illetve az adatfeldolgozónak a hatóság tagállama területén lévő tevékenységi központjával vagy egyetlen tevékenységi helyével, valamint tájékoztatja a panaszost; a panasz visszautasított vagy elutasított részére vonatkozó döntést a panaszos felügyeleti hatósága fogadja el, és közli a panaszossal, valamint tájékoztatja az adatkezelőt vagy az adatfeldolgozót.
(10)   Az adatkezelő, illetve az adatfeldolgozó, miután a (7) vagy a (9) bekezdésnek megfelelően közölték vele a fő felügyeleti hatóság döntését, megteszi a szükséges intézkedéseket annak érdekében, hogy az adatkezelési tevékenységek az Unióban lévő minden tevékenységi helyén megfeleljenek a döntésben foglaltaknak. Az adatkezelő, illetve az adatfeldolgozó közli a fő felügyeleti hatósággal a döntésnek való megfelelés érdekében tett intézkedéseket, ezt követően a fő felügyeleti hatóság tájékoztatja a többi érintett felügyeleti hatóságot.
(11)   Ha egy érintett felügyeleti hatóság rendkívüli körülmények fennállása esetén megalapozottan úgy véli, hogy az érintettek érdekeinek védelme érdekében sürgős fellépésre van szükség, a 66. cikkben említett sürgősségi eljárást kell alkalmazni.
(12)   A fő felügyeleti hatóság és a többi érintett felügyeleti hatóság elektronikus úton, egységes formátum alkalmazásával továbbítja egymásnak az e cikkben előírt információkat.”
13
A GDPR‑nak „Az egységességi mechanizmus” című 63. cikke értelmében:
„Az e rendeletnek az Unió egész területén történő egységes alkalmazásához való hozzájárulás érdekében a felügyeleti hatóságok együttműködnek egymással és adott esetben [az Európai] Bizottsággal az […] egységességi mechanizmus útján.”
14
A GDPR‑nak „A Testület vitarendezési eljárása” című 65. cikke a következőképpen rendelkezik:
„(1)   Annak érdekében, hogy az egyes esetekben biztosított legyen e rendelet helyes és egységes alkalmazása, a Testület kötelező erejű döntést fogad el az alábbi esetekben:
a)
ha a 60. cikk (4) bekezdésében említett esetben valamely érintett felügyeleti hatóság releváns és megalapozott kifogást emelt a fő felügyeleti hatóság döntéstervezetével szemben, és a fő felügyeleti hatóság nem értett egyet a kifogással, vagy az ilyen kifogást elutasította arra hivatkozva, hogy az nem releváns vagy nem megalapozott. A kötelező erejű döntésnek ki kell terjednie a releváns és megalapozott kifogásban szereplő összes kérdésre, különösen arra, hogy a rendelet sérült‑e;
b)
ha eltérnek az álláspontok azt illetően, hogy az érintett felügyeleti hatóságok közül melyik illetékes a tevékenységi központ tekintetében;
c)
ha valamely illetékes felügyeleti hatóság nem kéri ki a Testület véleményét a 64. cikk (1) bekezdésében említett esetekben, vagy nem a Testület által a 64. cikk alapján kibocsátott vélemény alapján jár el. Ebben az esetben bármely érintett felügyeleti hatóság vagy a Bizottság a Testület tudomására hozhatja az ügyet.
(2)   Az (1) bekezdésben említett döntést a Testület az ügy benyújtásától számított egy hónapon belül, tagjainak kétharmados többségével fogadja el. Az ügy összetettségére figyelemmel ez a határidő további egy hónappal meghosszabbítható. Az (1) bekezdésben említett döntést indokolni kell, és meg kell küldeni a fő felügyeleti hatóságnak és minden érintett felügyeleti hatóságnak, amelyekre nézve kötelező erővel rendelkezik.
(3)   Ha a Testület döntését nem képes a (2) bekezdésben említett határidőkön belül elfogadni, a döntést a (2) bekezdésben említett második hónap leteltét követő két héten belül, tagjainak egyszerű többségével fogadja el. A Testület tagjainak szavazategyenlősége esetén a döntés elfogadásáról az elnök szavazata dönt.
(4)   Az érintett felügyeleti hatóságok a (2) és (3) bekezdésben említett határidők lejártáig nem fogadhatnak el döntést az (1) bekezdés alapján a Testület elé terjesztett ügyről.
(5)   A Testület elnöke indokolatlan késedelem nélkül értesíti az érintett felügyeleti hatóságokat az (1) bekezdésben említett döntésről. Erről tájékoztatnia kell a Bizottságot. A döntést haladéktalanul közzé kell tenni a Testület honlapján azt követően, hogy a felügyeleti hatóság bejelentette a (6) bekezdésben említett jogerős döntést.
(6)   A fő felügyeleti hatóság vagy – az esettől függően – az a felügyeleti hatóság, amelyhez a panaszt benyújtották, az e cikk (1) bekezdésében említett döntés alapján indokolatlan késedelem nélkül, de legkésőbb egy hónappal azt követően, hogy a Testület bejelentette döntését elfogadja jogerős döntését. A fő felügyeleti hatóság vagy – az esettől függően – az a felügyeleti hatóság, amelyhez a panaszt benyújtották, tájékoztatja a Testületet arról a dátumról, amikor az adatkezelővel, az adatfeldolgozóval, illetve az érintettel közli jogerős döntését. Az érintett felügyeleti hatóságok jogerős döntését a 60. cikk (7), (8) és (9) bekezdésében foglaltaknak megfelelően kell elfogadni. A jogerős döntésben utalni kell az e cikk (1) bekezdésben említett döntésre, valamint közölni kell, hogy az (1) bekezdésében említett döntést a (5) bekezdéssel összhangban közzé fogják tenni a Testület honlapján. A jogerős döntéshez csatolni kell az e cikk (1) bekezdésében említett döntést.”
15
A GDPR „[Testület]” című 68. cikke (1) bekezdésében előírja, hogy létrejön a Testület mint jogi személyiséggel rendelkező uniós szerv.
16
A GDPR‑nak „[A Testület] feladatai” című 70. cikke az (1) bekezdésének a) pontjában előírja, hogy a Testület biztosítja a GDPR egységes alkalmazását. Ennek érdekében a Testület saját kezdeményezésére vagy adott esetben a Bizottság kérésére különösen ellenőrzi és biztosítja a GDPR helyes alkalmazását a 64. és 65. cikkében meghatározott esetekben, a nemzeti felügyeleti hatóságok feladatainak sérelme nélkül.
17
A GDPR‑nak „A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog” című 78. cikke a következőképpen rendelkezik:
„(1)   Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben.
(2)   Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden érintett jogosult a hatékony bírósági jogorvoslatra, ha az 55. vagy 56. cikk alapján illetékes felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az érintettet a 77. cikk alapján benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről.
(3)   A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani.
(4)   Ha a felügyeleti hatóság olyan döntése ellen indítanak eljárást, amellyel kapcsolatban az egységességi mechanizmus keretében a Testület előzőleg véleményt bocsátott ki vagy döntést hozott, a felügyeleti hatóság köteles ezt a véleményt vagy döntést a bíróságnak megküldeni.”
18
A GDPR 83. cikke a közigazgatási bírságok kiszabására vonatkozó általános feltételekről rendelkezik.
A jogvita előzményei és a vitatott döntés
19
A jogvita előzményeit a megtámadott végzés 2–12. pontja tartalmazza, és azok a jelen eljárás szempontjából a következőképpen foglalhatók össze.
20
A GDPR hatálybalépését követően az ír felügyeleti hatósághoz panaszok érkeztek a „WhatsApp” üzenetküldő szolgáltatás felhasználóitól és annak nem felhasználói érintettjeitől a személyes adatok WhatsApp általi kezelésével kapcsolatban. A Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (szövetségi adatvédelmi és információszabadság‑ügyi biztos, Németország) pedig az ír felügyeleti hatóság segítségét kérte azzal kapcsolatban, hogy a WhatsApp tiszteletben tartja‑e a személyes adatok kezelőire vonatkozó átláthatósági kötelezettségeket a személyes adatoknak a 2021 szeptemberében Meta névre átnevezett Facebook‑csoportba tartozó más jogalanyokkal való esetleges megosztása tekintetében.
21
2018 decemberében az ír felügyeleti hatóság hivatalból általános vizsgálatot indított azzal kapcsolatban, hogy a WhatsApp tiszteletben tartja‑e a GDPR 12–14. cikkében meghatározott, a magánszemélyekkel szembeni átláthatósági és tájékoztatási kötelezettségeket, amely vizsgálat nem érinthette a hozzá beérkező egyedi megkeresések kapcsán általa esetlegesen meghozandó intézkedéseket. Az ír felügyeleti hatóság e tekintetben a GDPR 56. cikkének (1) bekezdése szerinti „fő felügyeleti hatóságként” járt el, figyelemmel arra, hogy a WhatsApp üzleti tevékenységének fő helye Írországban van a „WhatsApp” üzenetküldő szolgáltatás európai műveleteihez kapcsolódó adatkezelőként, és ezen adatkezelés határokon átnyúló jellegű.
22
Miután a vizsgálati szakasz a vizsgálatvezető által elkészített zárójelentés benyújtásával 2019 szeptemberében lezárult, az ír felügyeleti hatóság – a közbenső eljárási szakaszok után, amelyekben a WhatsApp észrevételeket tett – 2020 decemberében átadta a döntés tervezetét az ügyben érintett valamennyi felügyeleti hatóságnak, azaz az összes többi tagállami felügyeleti hatóságnak, hogy azok azt a GDPR 60. cikkének (3) bekezdésében előírtak szerint véleményezhessék.
23
2021 januárjában e többi felügyeleti hatóság közül nyolc kifogást emelt e döntéstervezet bizonyos aspektusaival kapcsolatban. Az ír felügyeleti hatóság csoportosan válaszolt e kifogásokra, és kompromisszumos megoldásokat javasolt. Jóllehet e választ követően e nyolc felügyeleti hatóság egyike visszavonta az egyik kifogását, az ír felügyeleti hatóság megállapította, hogy más kifogások tekintetében nem alakult ki konszenzus. Úgy határozott, hogy az összes beérkezett kifogást elutasítja, és a GDPR 60. cikke (4) bekezdésének és 65. cikke (1) bekezdése a) pontjának megfelelően a Testülethez fordul, hogy az rendezze az érintett felügyeleti hatóságok között ezen aspektusokról kialakult vitát.
24
2021 májusában az ír felügyeleti hatóság megkapta a WhatsApp írásbeli észrevételeit az érintett felügyeleti hatóságok között megvitatott kérdésekkel kapcsolatban, miután továbbította az ír felügyeleti hatóságnak az e tekintetben váltott összes dokumentumot, majd az észrevételeket továbbította a Testületnek megfontolásra a vitarendezési eljárás keretében, amelyet a Testület 2021 júniusában indított el.
25
2021. július 28‑án a Testület a GDPR 65. cikkének (2) bekezdése alapján elfogadta a vitatott döntést.
26
Miután az ír felügyeleti hatóság kézhez vette a vitatott döntést, és megkapta a WhatsApp észrevételeit az e döntés alapján a WhatsApp‑pal szemben végül kiszabni tervezett pénzbírságokkal kapcsolatban, e hatóság a GDPR 65. cikkének (6) bekezdésével összhangban 2021. augusztus 20‑án elfogadta a WhatsAppnak címzett jogerős döntést (a továbbiakban: jogerős nemzeti döntés).
27
A jogerős nemzeti döntésben az ír felügyeleti hatóság megállapította, hogy a WhatsApp megsértette a GDPR 5. cikke (1) bekezdésének a) pontjában, 12. cikkének (1) bekezdésében, 13. cikke (1) bekezdésének c), d), e) és f) pontjában, 13. cikke (2) bekezdésének a), c) és e) pontjában és 14. cikkében foglalt átláthatósági elvet és átláthatósági kötelezettségeket. Ezzel szemben e hatóság jelezte, hogy a WhatsApp eleget tett a GDPR 13. cikke (1) bekezdésének a) és b) pontjában, valamint 13. cikke (2) bekezdésének b) és d) pontjában foglalt kötelezettségeknek. A GDPR 58. cikke (2) bekezdésének b), d) és i) pontja alapján elfogadott korrekciós intézkedésekként az említett hatóság a WhatsAppot utasította az egyik mellékletben felsorolt számos olyan intézkedés végrehajtására, amelyek a GDPR megsértett rendelkezéseinek három hónapon belül történő betartására irányultak, továbbá a GDPR 5. cikke (1) bekezdésének a) pontjában, valamint 12–14. cikkében megállapított jogsértésekkel kapcsolatos négy közigazgatási bírságot szabott ki, összesen 225 millió euró összegben.
28
Ezenkívül a jogerős nemzeti döntésben az ír felügyeleti hatóság azonosította azokat a szempontokat, amelyek tekintetében a vitatott döntés alapján el kellett végeznie a döntéstervezetében szereplő értékelés felülvizsgálatát. Úgy döntött, hogy az e szempontokat illetően a Testület által elfogadott indoklást keretes formában, szürke háttérszínnel ismétli meg, és a következtetéseket minden egyes esetben pusztán egy záró pontban vonja le.
29
A GDPR 65. cikkének (6) bekezdésével összhangban a vitatott döntést csatolták a jogerős nemzeti döntéshez.
30
A vitatott döntésben a Testület állást foglalt a GDPR 65. cikke (1) bekezdésének a) pontja értelmében vett releváns és megalapozott kifogások tárgyát képező kérdésekről, nevezetesen az alábbiakról:
–
a WhatsApp nem teljesítette a GDPR 13. cikke (1) bekezdésének d) pontjában meghatározott, az érintetteknek a személyes adataik tőlük történő gyűjtése esetén nyújtandó bizonyos információkkal kapcsolatos tájékoztatási kötelezettségeket. Az ír felügyeleti hatóság a határozattervezetében nem állapított meg ilyen kötelezettségszegést. A Testület – ezzel ellentétben – úgy vélte, hogy a WhatsApp megsértette ezt a rendelkezést;
–
a WhatsApp‑felhasználói készülékeinek címjegyzékében található, nem WhatsApp‑felhasználói kapcsolatokra vonatkozó adatokra alkalmazott „lossy hashing” eredményeként keletkező elemek személyes adatnak minősítése. Az ír felügyeleti hatóság a döntéstervezetében nem minősítette ilyennek ezeket az elemeket. A Testület ezzel szemben úgy vélte, hogy ezek továbbra is személyes adatoknak minősülnek. E szempont – a Testület szerint – hatással lehetett a GDPR 5. cikke (1) bekezdése c) pontja és 6. cikke (1) bekezdése WhatsApp általi megsértésének esetleges megállapítására, valamint a GDPR 14. cikke WhatsApp általi megsértésének mértékére és a fenti jogcímeken kiszabott pénzbírság mértékére;
–
a GDPR 5. cikke (1) bekezdésének a) pontjában szereplő átláthatóság elvének a WhatsApp általi megsértése, amelyet az ír felügyeleti hatóság nem állapított meg a döntéstervezetében. A Testület – ezzel ellentétben – úgy vélte, hogy a WhatsApp megsértette ezt az elvet;
–
a GDPR 13. cikke (2) bekezdésének a személyes adatok érintettektől történő gyűjtése esetén az érintetteknek nyújtandó bizonyos információkkal kapcsolatos e) pontja WhatsApp általi megsértésének megállapítása, amelynek megállapítását az ír felügyeleti hatóság nem tartotta lehetségesnek, mivel a vizsgálatvezető a vizsgálat során nem foglalt állást erről a kérdésről, és amelyre vonatkozóan az ír felügyeleti hatóság úgy vélte, hogy csak ajánlást adhat. Ezzel szemben a Testület úgy vélte, hogy a vizsgálat a GDPR 13. cikkének valamennyi rendelkezésére kiterjed, és hogy a fent említett rendelkezés megsértését meg kell állapítani;
–
a GDPR 6. cikke személyes adatok kezelésének jogszerűségével kapcsolatos (1) bekezdésének a WhatsApp általi megsértése, amelyről az ír felügyeleti hatóság nem hozott határozatot. A Testület úgy ítélte meg, hogy eljárási okokból nem lehet erről határozatot hozni és ilyen jogsértés fennállását megállapítani;
–
a GDPR‑nak a személyes adatoknak nem az érintettől való megszerzése esetén rendelkezésre bocsátandó információkkal kapcsolatos 14. cikkében meghatározott tájékoztatási kötelezettségek WhatsApp általi megsértésével kapcsolatos indokolás kiterjesztése, a jelen pont második franciabekezdésével kapcsolatos elemzés miatt. A Testület megállapította, hogy az indokolás e kiterjesztése milyen hatással lehet a WhatsAppra alkalmazott, magatartást befolyásoló korrekciós intézkedésekre és szankcióra;
–
a GDPR 5. cikke (1) bekezdésének c) pontjában foglalt azon elv WhatsApp általi megsértése, amely elv szerint kizárólag az adatkezelés céljai szempontjából megfelelő és releváns, valamint a szükségesre korlátozódó adatokat szabad gyűjteni, amely elv megsértéséről az ír felügyeleti hatóság nem hozott határozatot. A Testület úgy vélte, hogy – különös figyelemmel a vizsgálat WhatsAppra vonatkozóan elfogadott terjedelmére – az ügyiratok alapján nem bizonyították ezen elv megsértését;
–
az ír felügyeleti hatóság által hat hónapban megállapított határidő, amelyen belül a WhatsAppnak – korrekciós intézkedések címén – meg kellett felelnie a GDPR általa megsértett követelményeinek. A Testület ezt a határidőt három hónapra csökkentette;
–
korrekciós intézkedésekként a nem WhatsApp felhasználók személyes adatainak a WhatsApp általi kezeléséről a számukra nyújtott tájékoztatás módjai, amelyek vonatkozásában a Testület megerősítette az ír felügyeleti hatóság által e tekintetben a döntéstervezetében kialakított értékelést;
–
korrekciós intézkedésekként a GDPR 14. cikkében szereplő kötelezettségek WhatsApp általi megsértésével kapcsolatos további indokok megemlítése, amennyiben a Testület kifejtette, hogy ezeket meg kellett említeni annak biztosításához, hogy a WhatsApp elfogadja az e tekintetben megfelelő korrekciós intézkedéseket;
–
tekintettel a GDPR‑nak a „közigazgatási bírságok kiszabására vonatkozó általános feltételekről” szóló 83. cikkére, a WhatsAppra kiszabható bírságok mértékének kritériumai. A Testület úgy vélte, hogy az ír felügyeleti hatóság tévesen értelmezte az érintett vállalkozás teljes éves forgalmára vonatkozó kritériumot, hogy helyesen értelmezte az „előző pénzügyi év” fogalmát, hogy tévesen értelmezte azt a szabályt, amely szerint ha egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében a GDPR több rendelkezését is megsértik, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget, hogy a bírság meghatározására vonatkozó, a GDPR 83. cikkének (1) és (2) bekezdésében említett bizonyos kritériumokat, azaz a jogsértések szándékos vagy gondatlan jellegét, a jogsértések súlyosságát helyesen értelmezte, más kritériumokat – így a forgalom figyelembevételét a szankció mértékének meghatározása céljából, függetlenül a felső határának kiszámításától, valamint általánosabban azt, hogy a szankciónak hatékonynak, arányosnak és visszatartó erejűnek kell lennie – azonban tévesen értelmezett, valamint
–
a bírságok szintje, amennyiben a Testület úgy vélte, hogy a bírság mértékére vonatkozó bizonyos kritériumok értelmezésével kapcsolatban az ír felügyeleti hatóság által elkövetett hibákra, valamint a WhatsApp által elkövetett, még megállapítandó jogsértésekre figyelemmel, a bírságoknak az e hatóság által előirányzott, összesen 30 és 50 millió euróban megállapított összegét növelni kell.
31
A WhatsApp egy ír bíróság előtt megtámadta a jogerős nemzeti döntést.
A Törvényszék előtti eljárás és a megtámadott végzés
32
A Törvényszék Hivatalához 2021. november 1‑jén benyújtott keresetlevelében a Whatsapp az EUMSZ 263. cikk alapján a vitatott döntés megsemmisítése iránti keresetet terjesztett elő.
33
A Törvényszék az eljárási szabályzatának 129. cikke alapján hozott, megtámadott végzésben az említett keresetet mint elfogadhatatlant elutasította.
34
A Törvényszék, jóllehet a megtámadott végzés 36., 37. és 40. pontjában megállapította, hogy a vitatott döntés az Unió egyik szerve harmadik személyekkel szemben joghatásokat kiváltó jogi aktusának minősül, és hogy e döntés személyében érinti a WhatsAppot, a megtámadott végzés 42. pontjában úgy ítélte meg, hogy az említett döntés előkészítő vagy közbenső aktust képez egy olyan eljárásban, amelynek a nemzeti felügyeleti hatóság jogerős döntésének elfogadásával kell lezárulnia. Márpedig a Törvényszék a megtámadott végzés 43. és 44. pontjában megállapította, hogy az ilyen aktus csak akkor minősül „megtámadható jogi aktusnak”, ha olyan önálló jogi hatásokat vált ki, amelyekkel szemben nem lehet megfelelő bírói jogvédelmet biztosítani az eljárást lezáró határozattal szemben indított keresettel.
35
E tekintetben a Törvényszék a megtámadott végzés 45. pontjában úgy ítélte meg, hogy a jelen ügyben a vitatott döntés tekintetében hatékony bírói jogvédelmet biztosított az a jogorvoslat, amellyel a WhatsApp a nemzeti bíróság előtt a jogerős nemzeti döntéssel szemben rendelkezik, mivel e nemzeti bíróság az EUMSZ 267. cikk értelmében jogosult arra, hogy a vitatott döntés érvényességének vizsgálata érdekében előzetes döntéshozatal iránti kérelemmel forduljon a Bírósághoz. A Törvényszék a megtámadott végzés 46. pontjában azt is kifejtette, hogy a vitatott döntés a WhatsApp vonatkozásában nem vált ki az ír felügyeleti hatóság jogerős döntésétől független joghatásokat.
36
Ezenkívül a Törvényszék a megtámadott végzés 49. pontjában megállapította, hogy az a tény, hogy egy ilyen közbenső aktus egy hatóság olyan végleges álláspontját fejezi ki, amelyet a szóban forgó eljárást lezáró jogerős döntésben át kell majd venni, nem feltétlenül jelenti azt, hogy ezen aktus önmagában jelentősen módosítja a felperes jogi helyzetét.
37
Egyébiránt a Törvényszék a megtámadott végzés 50. pontjában megállapította, hogy a WhatsAppot nem érinti közvetlenül a vitatott döntés. A Törvényszék e végzés 52. pontjában megjegyezte, hogy e határozat nem végrehajtható a WhatsApp‑pal szemben, ami lehetővé tenné, hogy további eljárási cselekmények nélkül kötelezettségeket keletkeztessen számára, vagy adott esetben jogokat keletkeztessen más személyek számára, így nem gyakorol közvetlen joghatásokat a WhatsApp jogi helyzetére. A Törvényszék az említett végzés 53. pontjában azt is megállapította, hogy még ha a vitatott döntés az ír felügyeleti hatóságra nézve kötelező is volt az abban szereplő szempontok tekintetében, a jogerős nemzeti döntés tartalmát illetően mérlegelési jogkört hagyott a számára.
38
Így ugyanezen végzés 61. és 62. pontjában a Törvényszék úgy ítélte meg, hogy az ahhoz szükséges feltételek egyike sem teljesült, hogy úgy lehessen tekinteni, hogy a WhatsAppot közvetlenül érinti a keresettel megtámadott intézkedés, következésképpen e kereset elfogadhatatlan.
39
Végül a Törvényszék a megtámadott végzés 66–70. pontjában megállapította, hogy elemzésének eredménye összhangban van a Szerződések által létrehozott bírósági jogorvoslati rendszerrel. A Törvényszék többek között megállapította, hogy a WhatsApp által a vitatott döntéssel szemben benyújtott kereset elfogadhatóságának elismerése az uniós bíróság és a nemzeti bíróság előtti párhuzamos bírósági eljárások kockázatával járna, mivel az utóbbi ezenkívül jogosult arra, hogy e határozat érvényességének elbírálása érdekében előzetes döntéshozatal iránti kérelemmel forduljon a Bírósághoz.
A felek kérelmei
40
Fellebbezésében a Whatsapp azt kéri, hogy a Bíróság:
–
helyezze hatályon kívül a fellebbezéssel megtámadott végzést;
–
az első fokon benyújtott keresetet nyilvánítsa elfogadhatónak;
–
utalja vissza az ügyet a Törvényszék elé határozathozatalra; és
–
a Testületet kötelezze a fellebbezési eljárás költségeinek viselésére.
41
A Németországi Szövetségi Köztársaság által támogatott Testület azt kéri, hogy a Bíróság:
–
utasítsa el a fellebbezést;
–
a WhatsAppot kötelezze a költségek viselésére, és
–
másodlagosan utalja vissza az ügyet a Törvényszék elé határozathozatalra.
A fellebbezésről
Az első fokon előterjesztett kereset állítólagos késedelmes benyújtásáról
A felek érvei
42
A Testület arra hivatkozik, hogy az első fokon előterjesztett keresetet késedelmesen nyújtották be. E tekintetben azt állítja, hogy a WhatsApp a vitatott döntés releváns részeiről e határozatnak a Testület internetes oldalán való közzétételét megelőző időpontban, pontosabban 2021. augusztus 13‑án szerzett tudomást. Következésképpen, függetlenül a vitatott döntésnek a Testület honlapján való közzétételének időpontjától, amely egyébként nem tekinthető egyenértékűnek az Európai Unió Hivatalos Lapjában való közzététellel, a keresetindítási határidő 2021. augusztus 13‑án kezdődött, és október 25‑én járt le. Mivel a Whatsapp 2021. november 1‑jén nyújtotta be megsemmisítés iránti keresetét, az elkésettnek tekintendő.
43
A WhatsApp azt állítja, hogy téves az Testületnek a keresetének elkésettségére vonatkozó állítása. Ha ugyanis a felperes nem címzettje valamely jogi aktusnak, a keresetindítási határidő kezdő időpontját e jogi aktus közzétételének időpontja határozza meg. Az arról való tudomásszerzés időpontja e tekintetben csak másodlagos kritérium. Az említett jogi aktus közzétételének módja pedig irreleváns. A jelen ügyben a vitatott döntést mindenesetre 2021. szeptember 2‑án tették közzé a Testület honlapján, a keresetet pedig 2021. november 1‑jén nyújtották be, tiszteletben tartva az EUMSZ 263. cikk hatodik bekezdésében előírt határidőt.
A Bíróság álláspontja
44
Az EK 263. cikk hatodik bekezdése értelmében az e cikkben szabályozott eljárásokat, az esettől függően az intézkedés kihirdetésétől vagy a felperessel történő közlésétől, illetve ennek hiányában attól a naptól számított két hónapon belül kell megindítani, amikor arról a felperes tudomást szerzett.
45
E rendelkezés szövegéből, különösen az „esettől függően” és az „ennek hiányában” kifejezésekből egyértelműen kitűnik, hogy a keresetindítási határidő kezdő időpontját a szóban forgó helyzet alapján kell meghatározni, és hogy az e határidő megnyílásának kiváltására alkalmas első két kritérium a harmadikhoz képest rangsorolva van. Így a megsemmisítés iránti kereset benyújtására nyitva álló határidő főszabály szerint a jogi aktus kihirdetésével vagy a felperessel való közlésével kezdődik. E két fő kritérium az említett rendelkezés rendszerében egyenrangú helyzetben van abban az értelemben, hogy a két kritérium egyike sem másodlagos a másikhoz képest. Ezzel szemben a megtámadott jogi aktusról való tudomásszerzés napjához mint a keresetindítási határidő kezdő időpontjához kapcsolódó kritérium másodlagos jellegű az e jogi aktus kihirdetése vagy közlése napjához képest (lásd ebben az értelemben: 2024. szeptember 26‑iWepa Hygieneprodukte és társai kontra Bizottság ítélet, C‑795/21 P és C‑796/21 P, EU:C:2024:807, 61–63. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
46
A jelen ügyben nem kérdéses, hogy a vitatott döntést nem közölték a WhatsApp‑pal, mivel a Testület a GDPR 65. cikke (5) bekezdésének első mondata értelmében csak az érintett felügyeleti hatóságokat köteles értesíteni az ilyen döntésről. Ennek megfelelően meg kell állapítani, hogy a megtámadott döntést az EUMSZ 263. cikk hatodik bekezdése értelmében „kihirdették‑e”.
47
E tekintetben pontosítani kell, hogy a „kihirdetés” fogalma nem kizárólag az Európai Unió Hivatalos Lapjában való közzétételre vonatkozik, hanem azt éppen ellenkezőleg, tágan kell értelmezni. E fogalom alá tartozik különösen valamely uniós intézmény, szerv vagy hivatal honlapján történő közzététel, amennyiben azt a másodlagos jog előírja (lásd ebben az értelemben: 2024. szeptember 26‑iWEPA Hygieneprodukte és társai kontra Bizottság ítélet, C‑795/21 P és C‑796/21 P, EU:C:2024:807, 70. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
48
A jelen ügyben, mivel a vitatott döntés közzétételét a GDPR 65. cikke (5) bekezdésének harmadik mondata írja elő, azt az időpontot kell figyelembe kell, amikor e határozatot a Testület honlapján közzétették, azaz 2021. szeptember 2‑át. Ezt az értelmezést megerősíti a GDPR (143) preambulumbekezdésének harmadik mondata, amelyből kitűnik, hogy a keresetindítási határidőt a Testület szóban forgó határozatának a Testület honlapján való közzétételétől kell számítani.
49
Mivel a keresetet 2021. november 1‑jén nyújtották be, az EUMSZ 263. cikk hatodik bekezdésében előírt határidőt nem sértették meg, így meg kell vizsgálni, hogy a jelen fellebbezés keretében hivatkozott jogalapok megkérdőjelezhetik‑e a Törvényszék által a megtámadott végzésben elfogadott értékelést.
Az első, a megtámadható jogi aktus fogalmának, valamint azon feltételnek az értelmezése és alkalmazása során elkövetett téves jogalkalmazásra alapított jogalapról, amely szerint a felperest a keresete tárgyát képező intézkedésnek közvetlenül kell érintenie
Az első jogalap első részéről
– A felek érvei
50
A Whatsapp állítása szerint a Törvényszék tévesen alkalmazta a jogot, amikor úgy ítélte meg, hogy a vitatott döntés nem minősül megtámadható jogi aktusnak.
51
A WhatsApp különösen a Törvényszék által a megtámadott végzés 41. pontjában annak meghatározása érdekében elfogadott kritérium relevanciáját vitatja, hogy valamely jogi aktus megtámadható‑e, vagy sem. A Törvényszék így tévesen állapította meg annak bizonyításának szükségességét, hogy a vitatott döntés olyan joghatásokat vált ki, amelyek jelentősen módosítják a WhatsApp jogi helyzetét, és hogy az őt közvetlenül érinti. Márpedig annak megállapításához, hogy e határozat megtámadható jogi aktusnak minősül, elegendő lett volna megállapítani, hogy e határozat – mivel végleges jellegű – egy vagy több harmadik személlyel szemben joghatások kiváltására irányul. Mindenesetre az említett határozat nem egyszerű közbenső intézkedés, hanem a Testület végleges álláspontját fejezi ki.
52
A WhatsApp szerint a Törvényszék tévesen alkalmazta a közbenső jogi aktusok joghatásaira vonatkozó ítélkezési gyakorlatot, amikor olyan eljárási kritériumot alkalmazott, amely szerint az ilyen aktus csak akkor támadható meg, ha a jogerős jogi aktus ellen benyújtott kereset nem biztosítja a megfelelő bírói jogvédelmet, és a vitatott döntés joghatásainak hiányát állapította meg.
53
Ebben az összefüggésben a WhatsApp az 1981. november 11‑iIBM kontra Bizottság ítéletre (60/81, EU:C:1981:264, 10. és 11. pont) hivatkozik, amelyből különösen az következik, hogy a közbenső jogi aktus megtámadható, ha végleges jellegű, és független a később elfogadott jogerős határozattól. E jogi aktus lényegét kell tehát megvizsgálni, és a joghatásait olyan objektív kritériumok alapján kell megítélni, mint az említett aktus tartalma, adott esetben figyelembe véve az elfogadásának körülményeit, valamint az azt elfogadó intézmény hatáskörét. A WhatsApp e tekintetben többek között a 2022. július 12‑iNord Stream 2 kontra Parlament és Tanács ítéletet (C‑348/20 P, EU:C:2022:548, 63. pont) idézi.
54
Közelebbről, az ilyen jogi aktus csak akkor nem támadható meg megsemmisítés iránti keresettel, ha egyrészt érdemét tekintve ideiglenes jellegű, így a kibocsátója módosíthatja álláspontját a később elfogadott jogerős határozat szakaszában, másrészt pedig e végleges határozatot ugyanazon uniós intézmény vagy szerv fogadja el. A közbenső intézkedés fogalmát tehát nem kell alkalmazni a valamely uniós intézmény vagy szerv által elfogadott és az e határozat harmadik személyekkel szembeni végrehajtásáért felelős nemzeti hatóságnak címzett határozatra.
55
A jelen ügyben a WhatsApp szerint a Törvényszék annak vizsgálatára szorítkozott, hogy eljárási szempontból hatékony bírói jogvédelmet biztosítottak‑e számára a nemzeti bíróság előtti kereset útján. Így a Törvényszék a megtámadott végzés 48. és 49. pontjában tévesen állapította meg, hogy nem releváns a WhatsApp azon érve, amely szerint a vitatott döntés kifejezte kibocsátójának végleges álláspontját. Ily módon eljárva a Törvényszék tehát tévesen állapította meg, hogy a vitatott döntés nem vált ki joghatásokat, és hogy az nem független a jogerős nemzeti döntéstől, anélkül hogy értékelte volna a vitatott döntés tartalmát és összefüggéseit, valamint e határozat önálló joghatásainak terjedelmét.
56
Ami a vitatott döntés tartalmát illeti, nem kérdéses, hogy annak a GDPR 65. cikke alapján elfogadott kötelező erejű határozatként az volt a célja, hogy harmadik személyekre nézve joghatásokat váltson ki, és hogy az a Testületnek az elé terjesztett kérdésekre vonatkozó végleges álláspontját képviselte. Ez az álláspont alkalmas volt arra, hogy jelentősen módosítsa a WhatsApp jogi helyzetét, többek között azon megállapítás miatt, amely szerint a veszteséges kivonatolással érintett adatok személyes adatoknak minősülnek, amely megállapítás köti az ír felügyeleti hatóságot.
57
Ami a vitatott döntés összefüggéseit illeti, a GDPR 65. cikkének szövegéből az következik, hogy az kötelező erejű döntésnek minősül. A GDPR (143) preambulumbekezdése kimondja, hogy a Testület által hozott döntések többek között közvetlenül és egyénileg is érinthetnek többek között egy adatkezelőt, ami azt jelenti, hogy e döntések a címzett nemzeti felügyeleti hatóságokon kívül külső joghatásokat válthatnak ki. Ezt megerősíti mind a Testület határozatainak kötelező erejét megalapozó indok, amely a GDPR helyes és következetes alkalmazásának biztosítására irányul, mind pedig a GDPR 65. cikkének (1) bekezdésében említett eljárás szerkezete.
58
Ami a vitatott döntésnek a címzettjeivel szemben kiváltott joghatásokon túli önálló joghatásait illeti, a Whatsapp rámutat, hogy e döntés vele szemben ilyen joghatásokat vált ki, mivel többek között érinti azt a módot, ahogyan a GDPR‑nak a veszteséges kivonatolás tárgyát képező adatok vonatkozásában meg kívánt felelni, tekintettel arra, hogy azokat a Testület személyes adatoknak minősíti. A vitatott döntés joghatásokat vált ki a nemzeti bíróságok irányában is, amelyek nem jogosultak annak módosítására vagy érvénytelenítésére.
59
A Testület vitatja ezt az érvelést. Arra hivatkozik, hogy a megsemmisítés iránti kereset főszabály szerint csak olyan intézkedéssel szemben indítható, amellyel valamely uniós intézmény, szerv vagy hivatal a közigazgatási eljárás végén véglegesen meghatározza álláspontját. Ezzel szemben nem minősíthetők „megtámadható jogi aktusnak” azok a közbenső jogi aktusok, amelyek célja a jogerős határozat előkészítése, mivel az ilyen jogi aktusok nem az így előkészített, megerősített vagy végrehajtott uniós jogi aktushoz képest önálló kötelező joghatások kiváltására irányulnak. Ezenkívül a Testület szerint egy közbenső jogi aktus akkor sem támadható meg keresettel, ha bizonyított, hogy az e jogi aktushoz kapcsolódó jogellenességre hivatkozni lehet az azon jogerős döntés elleni kereset alátámasztása érdekében, amelynek előkészítő aktusát képezi.
60
A jelen ügyben e fél szerint a vitatott döntés közbenső jogi aktusnak minősül, amely az ír felügyeleti hatóság által lefolytatott és az e hatóság által elfogadott jogerős nemzeti döntéshez vezető oszthatatlan döntéshozatali eljárás részét képezi. Ebben az összefüggésben, bár a Testület értékelései kötelező erejűek, azok nem közvetlenül végrehajthatók a WhatsApp‑pal szemben, és a jogerős nemzeti döntéshez képest nincs semmilyen önálló joghatásuk rá nézve. Így az a körülmény, hogy a vitatott döntés a Testület végleges álláspontját tartalmazza a jogerős nemzeti döntésben feltüntetendő bizonyos szempontokat illetően, nem jelenti azt, hogy a vitatott döntés önmagában a WhatsApp jogi helyzetének megváltozását eredményezi. A vitatott döntést és a jogerős nemzeti döntést ugyanis olyan egységes közigazgatási eljárás keretében hozták meg, amely nemzeti és európai szinten egymással kölcsönösen függő szakaszokból állt, és amelyek ugyanarra a tárgyra vonatkoztak, nem pedig két, különböző kérdésekre vonatkozó, egymástól független eljárást követően.
61
E tekintetben a Testület pontosítja, hogy a vitarendezési eljárás célja a GDPR nemzeti hatóságok általi következetes végrehajtásának biztosítása. A jelen ügyben a vitatott döntés nem keletkeztet új jogi kötelezettségeket a WhatsApp számára. Ez utóbbi kötelezettségeit maga a GDPR határozza meg, nem pedig a vitatott döntés, és azokat az ír felügyeleti hatóság, nem pedig a Testület alkalmazza. Egyébként pedig ezen kötelezettségek még a szóban forgó jogsértések megállapítása előtt alkalmazandók voltak a WhatsAppra.
62
Ami a vitatott döntés állítólagos külső joghatásait illeti, a Testület azt állítja, hogy értelmezései csak a felek között, vagyis az érintett felügyeleti hatóságok között bírnak kötelező erővel. A vitatott döntés, azon túl, hogy nem gyakorol közvetlen joghatást a WhatsAppra, a GDPR olyan körülhatárolt alkalmazási eseteire vonatkozik, amelyeket a jogerős nemzeti döntésbe bele kell foglalni és abban ki kell fejteni. Bár a GDPR‑nak a Testület által elfogadott értelmezései így bizonyos fokú befolyást gyakorolhatnak a későbbi, hasonló jogi kérdésekre vonatkozó ügyekben, azok nem kötik a nemzeti bíróságokat, amelyeknek kétség esetén előzetes döntéshozatal iránti kérelemmel kell fordulniuk a Bírósághoz.
63
A Testület kérelmeinek támogatása érdekében beavatkozó Németországi Szövetségi Köztársaság azzal érvel, hogy a GDPR‑ban előírt egységességi mechanizmus, ideértve a vitarendezési eljárást is, tisztán belső jellegű, és egyetlen célja, hogy a felügyeleti hatóságok közötti eltérő vélemények esetén megegyezés jöjjön létre. Közelebbről, a GDPR 65. cikke (2) bekezdésének harmadik mondatából kitűnik, hogy a Testület által a fentiek keretében hozott intézkedés kizárólag a nemzeti felügyeleti hatóságokra nézve bír jogi kötelező erővel. Kizárólag a jogerős nemzeti döntés kötelező az érintett adatkezelőre vagy adatfeldolgozóra nézve.
– A Bíróság álláspontja
64
Az első fellebbezési jogalap arra a kérdésre vonatkozik, hogy a Törvényszék tévesen alkalmazta‑e a jogot, amikor a megtámadott végzés 41–49. pontjában úgy ítélte meg, hogy a vitatott döntés nem minősül az EUMSZ 263. cikk negyedik bekezdése értelmében vett megtámadható jogi aktusnak.
65
E rendelkezés értelmében a Bírósága megvizsgálja különösen „az Unió szervei vagy hivatalai által elfogadott, harmadik személyekre joghatással járó jogi aktusok jogszerűségét”.
66
Az állandó ítélkezési gyakorlat szerint az EUMSZ 263. cikkben létrehozott megsemmisítés iránti kereset benyújtható be az Unió intézményei, szervei vagy szervezetei által elfogadott bármely olyan intézkedés ellen, függetlenül azok formájától, amelyek célja kötelező joghatások kiváltása (lásd ebben az értelemben: 2022. július 12‑iNord Stream 2 kontra Parlament és Tanács ítélet, C‑348/20 P, EU:C:2022:548, 62. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
67
Annak megállapításához, hogy a jogi aktus kivált‑e ilyen joghatásokat, és ezáltal az EUMSZ 263. cikk alapján megsemmisítés iránti kereset tárgyát képezheti‑e, a jogi aktus lényegét kell figyelembe venni, és e hatásokat olyan objektív kritériumok alapján kell megítélni, mint az említett jogi aktus tartalma, adott esetben figyelembe véve az elfogadásának körülményeit, valamint az azt elfogadó intézmény, szerv vagy hivatal hatáskörét (lásd ebben az értelemben: 2022. július 12‑iNord Stream 2 kontra Parlament és Tanács ítélet, C‑348/20 P, EU:C:2022:548, 63. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
68
E tekintetben, amint arra a főtanácsnok az indítványának 79. és 121. pontjában rámutatott, az EUMSZ 263. cikk első bekezdésére tekintettel annak a harmadik személynek, akivel szemben az érintett jogi aktus joghatásokat vált ki, nem kell szükségszerűen a felperesnek lennie. Ugyanis harmadik személynek minősül minden olyan természetes vagy jogi személy, aki vagy amely elkülönül e jogi aktus kibocsátójától. Ennélfogva annak megállapítása érdekében, hogy az említett jogi aktus kivált‑e ilyen joghatásokat, nem szükséges megvizsgálni, hogy e joghatások érinthetik‑e a felperes jogi helyzetét, mivel ennek vizsgálata csak az EUMSZ 263. cikk negyedik bekezdésében meghatározott azon feltételek tiszteletben tartásának vizsgálata keretében releváns, amelyek szerint a jogi aktus által közvetlenül és személyében érintett bármely személy megsemmisítés iránti keresetet indíthat, amennyiben ez utóbbi rendelkezés alkalmazandó (lásd ebben az értelemben: 2025. február 13‑iSwissgrid kontra Bizottság ítélet, C‑121/23 P, EU:C:2025:83, 46. pont). Valamely jogi aktus megtámadhatóságát tehát objektív módon, annak tartalma, nem pedig a felperes személye alapján kell értékelni.
69
Mindemellett emlékeztetni kell arra, hogy olyan jogi aktusok esetében, amelyek kidolgozása több eljárási szakaszban történik, főszabály szerint csak azon intézkedés minősül megsemmisítés iránti keresettel megtámadható aktusnak, amely véglegesen meghatározza az illetékes uniós intézmény, szerv vagy szervezet álláspontját, kizárva ebből a körből azokat a közbenső intézkedéseket, amelyek célja e végleges intézkedés előkészítése, és amelyek nem váltanak ki harmadik személyekkel szemben önálló joghatásokat. Ilyen közbenső intézkedéseknek minősülnek különösen azok, amelyek ezen uniós intézmény, szerv vagy hivatal ideiglenes álláspontját fejtik ki (lásd ebben az értelemben: 1981. november 11‑iIBM kontra Bizottság ítélet, 60/81, EU:C:1981:264, 10. pont; 2022. szeptember 22‑iIMG kontra Bizottság ítélet, C‑619/20 P és C‑620/20 P, EU:C:2022:722, 103. pont; 2024. június 18‑iBizottság kontra ESZT ítélet, C‑551/22 P, EU:C:2024:520, 92. pont).
70
Az ítélkezési gyakorlat szerint egy közbenső jogi aktus többek között akkor sem támadható meg keresettel, ha bizonyított, hogy az e jogi aktushoz kapcsolódó jogellenességre hivatkozni lehet azon végleges határozat elleni kereset alátámasztása érdekében, amelynek előkészítő aktusát képezi. E körülmények között az eljárást lezáró határozattal szemben előterjesztett kereset megfelelő szintű bírói jogvédelmet biztosít (lásd ebben az értelemben: 1981. november 11‑iIBM kontra Bizottság ítélet, 60/81, EU:C:1981:264, 12. pont; 2017. március 15‑iStichting Woonlinie ás társai kontra Bizottság ítélet, C‑414/15 P, EU:C:2017:215, 46. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
71
A jelen ügyben az érintett jogi aktus tartalmát és a szóban forgó szerv hatásköreit illetően magából a GDPR 65. cikke (1) bekezdése a) pontjának és (2) bekezdésének, valamint a GDPR 68. cikke (1) bekezdésének szövegéből kitűnik, hogy a vitatott döntés uniós szervtől származó és harmadik személyekre nézve kötelező erejű jogi aktus. E jogi aktus ugyanis köti a fő felügyeleti hatóságot és az összes érintett felügyeleti hatóságot, amelyek annak címzettjei, és amelyek a Testülethez képest harmadik félnek minősülnek. A GDPR 65. cikkének (6) bekezdése értelmében a fő felügyeleti hatóságnak a Testület döntése alapján kell meghoznia jogerős döntését. E jogerős nemzeti döntésnek hivatkoznia is kell a Testület határozatára, amelyet csatolni kell a döntéshez.
72
Ezenkívül, ami a vitatott döntés elfogadásának körülményeit illeti, nem kérdéses, hogy azt a jelen ítélet 69. pontjában említett ítélkezési gyakorlat értelmében vett, több eljárási szakaszt magában foglaló eljárás keretében dolgozták ki, mivel az megelőzi egy másik jogi aktusnak az ír felügyeleti hatóság általi elfogadását. Mindazonáltal e határozat ugyanezen ítélkezési gyakorlat értelmében véglegesen meghatározza a hatáskörrel rendelkező uniós szerv, azaz a Testület álláspontját, és az e szerv által eldöntendő valamennyi kérdést lefedi. Meg kell ugyanis állapítani, hogy az ilyen, az GDPR 65. cikke (1) bekezdésének a) pontja alapján hozott döntés minden olyan kérdést érint, amellyel kapcsolatban az érintett felügyeleti hatóságok a GDPR 60. cikkének (4) bekezdése értelmében releváns és megalapozott kifogást emeltek, különösen azt a kérdést, hogy megsértették‑e GDPR‑t.
73
A fentiekből következik, hogy a vitatott döntés, noha nem minősül a GDPR 58., 60. és 65. cikkében előírt egységességi eljárás utolsó szakaszának, a Törvényszék által a megtámadott végzés 42. pontjában megállapítottakkal ellentétben nem minősíthető a jelen ítélet 69. pontjában hivatkozott ítélkezési gyakorlat értelmében vett, keresettel meg nem támadható közbenső intézkedésnek. Következésképpen a jelen ítélet 70. pontjában felidézett ítélkezési gyakorlat a jelen ügyben nem releváns.
74
Ebben az összefüggésben, mivel a Testület határozata harmadik személyekre nézve kötelező joghatásokat vált ki, nincs jelentősége annak a körülménynek, hogy a nemzeti felügyeleti hatóság jogerős döntésének hatálya olyan kérdésekre is kiterjed, amelyek nem tartoznak a Testület elé utalás körébe vagy a Testület hatáskörébe.
75
Ugyanezen okokból a Törvényszék által a megtámadott végzés 42. pontjában említett azon körülmény, hogy az ír felügyeleti hatóság jogerős döntésével ellentétben a vitatott döntés a címzettjein kívüli jogalanyokkal szemben nem végrehajtható, szintén nem releváns e döntésnek az EUMSZ 263. cikk első bekezdése szerinti megtámadható jogi aktusnak való minősítése szempontjából. Ez a körülmény, amely a fellebbezőnek a vitatott döntéssel kapcsolatos jogi helyzetére vonatkozik, nem kapcsolódik sem a vitatott döntés lényegéhez, sem pedig annak objektív kritériumokat érintő kötelező joghatásaihoz.
76
E megfontolások összességéből következik, hogy a vitatott döntés uniós szerv olyan jogi aktusának minősül, amely harmadik személyekkel szembeni joghatások kiváltására irányul, és e szerv végleges álláspontját fejezi ki az általa eldöntendő kérdésekben, amint azt egyébként a megtámadott végzés 36., 37. és 49. pontjában maga a Törvényszék is megállapította. Így e határozat az EUMSZ 263. cikk első bekezdésének szövege és a jelen ítélet 66–69. pontjában hivatkozott ítélkezési gyakorlat fényében megtámadható jogi aktusnak minősül, anélkül hogy ebben a szakaszban értékelni kellene, hogy az említett határozat következtében jelentősen módosult‑e a WhatsApp jogi helyzete.
77
Ennek alapján meg kell állapítani, hogy a Törvényszék tévesen alkalmazta a jogot egyrészt a megtámadott végzés 38. pontjában, amikor összetévesztette az EUMSZ 263. cikk első, illetve negyedik bekezdéséből eredő követelményeket, másrészt a megtámadott végzés 42. pontjában azzal, hogy tévesen fogalmazott meg egy arra vonatkozó kritériumot, hogy a szóban forgó jogi aktus nem közvetlenül végrehajtható a WhatsApp‑pal szemben, továbbá amikor a vitatott döntést önálló joghatásokkal nem rendelkező közbenső intézkedésnek minősítette.
78
Ennélfogva az első fellebbezési jogalap első részének helyt kell adni.
Az első jogalap második részéről
– A felek érvei
79
A WhatsApp azt állítja, hogy a Törvényszék tévesen alkalmazta a jogot, amikor úgy ítélte meg, hogy a vitatott döntés őt nem érinti közvetlenül, és hogy ennek következtében a keresete elfogadhatatlan.
80
Egyrészt, ami azt a feltételt illeti, amely szerint a jogi aktusnak közvetlen hatást kell gyakorolnia a felperes jogi helyzetére, a Törvényszék a megtámadott végzés 52. pontjában tévesen állapította meg, hogy a WhatsAppot nem érinti közvetlenül a vitatott döntés, mivel e határozat vele szemben nem végrehajtható, és az nem minősül a GDPR 58., 60. és 65. cikkében előírt eljárás utolsó szakaszának.
81
Másrészt azon feltételt illetően, amely szerint valamely jogi aktus nem hagyhat mérlegelési jogkört a végrehajtásával megbízott címzettek számára, a WhatsApp úgy véli, hogy a Törvényszék tévesen alkalmazta a jogot, amikor a megtámadott végzés 53–60. pontjában úgy ítélte meg, hogy a vitatott döntés mérlegelési mozgásteret hagyott az ír felügyeleti hatóság számára a jogerős döntésének tartalmát illetően, elismerve ugyanakkor, hogy a vitatott döntés köti e felügyeleti hatóságot azon szempontok tekintetében, amelyekre az vonatkozott.
82
A megtámadott végzés 54–56. pontját illetően, amelyekben a Törvényszék úgy ítélte meg, hogy a vitatott döntés tartalma a jogerős nemzeti döntéshez viszonyítva részleges volt, a WhatsApp azt állítja, hogy a mérlegelési jogkör hiányát magának a vitatott döntésnek a lényegéből kiindulva kellett volna megvizsgálni, anélkül hogy a jogerős nemzeti döntés további tartalmára hivatkoztak volna. A Testület ugyanis csak az adott ügy bizonyos aspektusait elemezte, nevezetesen azokat a kérdéseket, amelyekkel kapcsolatban az érintett felügyeleti hatóságok releváns és megalapozott kifogásokat emeltek. A vitatott döntés tehát nem vonatkozhat az ügy egészére, és nem foglalhat magában olyan szempontokat, amelyek nem tartoznak a Testület elé utalás körébe vagy a Testület hatáskörébe.
83
Ezenkívül a Törvényszék tévesen alkalmazta a jogot, amikor a megtámadott végzés 57–59. pontjában úgy ítélte meg, hogy az ír felügyeleti hatóság gyakorolta mérlegelési jogkörét annak érdekében, hogy következtetéseket vonjon le a vitatott döntésből. Először is, ami a veszteséges kivonatolás tárgyát képező adatok személyes adatként való minősítését illeti, a WhatsApp azt állítja, hogy a Testület általi ezen minősítés a GDPR‑on alapuló további kötelezettségeket keletkeztet a WhatsApp számára, függetlenül attól, hogy a fő felügyeleti hatóság olyan érdemi mérlegelési jogkört gyakorolt‑e, amely túlmutat e minősítésen, annak ellenőrzésével, hogy a WhatsApp adatkezelőként vagy adatfeldolgozóként járt‑e el. Másodszor, ami a WhatsAppra kiszabandó bírságok növelését illeti, e döntés nem hagyott mérlegelési mozgásteret az ír felügyeleti hatóság számára, mivel ez utóbbi az eredetileg tervezettnél magasabb bírságot volt köteles kiszabni. Az a tény, hogy e hatóság mérlegelési jogkörrel rendelkezik a bírság pontos összegének meghatározását illetően, nem releváns, mivel e feladat az említett hatóság hatáskörébe tartozik.
84
A Testület vitatja ezt az érvelést, és arra hivatkozik, hogy két együttes feltételnek kell teljesülnie ahhoz, hogy valamely uniós jogi aktus közvetlenül érintse azt a természetes vagy jogi személyt, aki vagy amely egy egyedi jogi aktusnak nem címzettje. Egyrészt ezen aktusnak közvetlen hatást kell gyakorolnia e személy jogi helyzetére, másrészt pedig nem hagyhat mérlegelési jogkört az annak végrehajtásával megbízott címzett számára, mivel a végrehajtásra tisztán automatikusan, köztes szabályok alkalmazása nélkül kerül sor.
85
Az első kritériumot illetően e fél megjegyzi, hogy valamely jogi aktus kötelező erejét annak függvényében kell vizsgálni, hogy az milyen hatással van magának a felperesnek a helyzetére. A jelen ügyben a vitatott döntés nem érvényesíthető oly módon a WhatsApp‑pal szemben, amely további eljárási lépések nélkül lehetővé tenné, hogy kötelezettségek forrásává váljon. E döntés nem minősül a GDPR 58., 60. és 65. cikkében említett eljárás utolsó szakaszának, és többek között nem határozta meg a bírság végső összegét, valamint új szabályokat sem határozott meg a WhatsApp tevékenységeire vonatkozóan. Így kizárólag a jogerős nemzeti döntés érinti közvetlenül a WhatsAppot, mivel a GDPR 56. cikkének (6) bekezdése értelmében az ír felügyeleti hatóság e vállalkozás mint adatkezelő egyetlen kapcsolattartója.
86
A második kritériumot illetően a Testület azt állítja, hogy az ír felügyeleti hatóság megőrizte a jogerős döntésében megállapítandó következtetések tekintetében fennálló tényleges mérlegelési jogkörét, amely szélesebb körű, mint a vitatott döntés, és amely olyan megállapításokat tartalmaz, amelyek tekintetében nem kérték a Testület határozatának meghozatalát, mivel az utóbbihoz fordulás azokra a kérdésekre korlátozódott, amelyek releváns és indokolt kifogások tárgyát képezték. Mindenesetre kölcsönös függőség áll fenn a vitatott döntés és a jogerős nemzeti döntés között. Ez utóbbi döntés azon részei, amelyek megfelelnek a Testület utasításainak, nem különíthetők el, amit megerősít az a tény, hogy a Testület több szempont tekintetében is bizonyos mérlegelési mozgásteret hagyott az ír felügyeleti hatóság számára.
87
Ilyen körülmények között a nemzeti bíróság alkalmasabb arra, hogy felülvizsgálja e jogerős nemzeti döntést – adott esetben előzetes döntéshozatal céljából kérdéseket terjesztve a Bíróság elé – a GDPR mind hivatalból, mind pedig a Testület utasításai alapján alkalmazott rendelkezéseivel kapcsolatban.
88
A Testület szerint az ír felügyeleti hatóságnak is fennmaradt bizonyos mérlegelési mozgástere a vitatott döntésben tárgyalt kérdésekben, különösen egyrészt a veszteséges kivonatolással érintett adatok személyes adatnak való minősítéséből levonandó jogkövetkezményekkel, másrészt pedig a WhatsAppra kiszabandó bírságok összegének meghatározásával kapcsolatos kérdésekben. Ami ezen első szempontot illeti, e hatóság megőrizte mérlegelési jogkörét, és önálló vizsgálatot végzett, különösen a GDPR 14. cikkének tiszteletben tartását illetően. E tekintetben téves lenne azt állítani, hogy a Testület „teljes körű” értékelést végzett, mivel ez utóbbi hatásköre a releváns és indokolt kifogások tartalmára korlátozódott, és nem terjedt ki a jogsértési eljárás egészére. Ami a második szempontot, vagyis a bírságok megállapítását illeti, noha a vitatott döntés tartalmaz a bírságokra vonatkozó általános utasításokat, az nem rendelkezik sem ezen utasítások végrehajtásáról, sem pedig azok kiszámításáról.
89
A Németországi Szövetségi Köztársaság úgy véli, hogy mivel a fő hatóság volt a WhatsApp egyetlen kapcsolattartója, a WhatsApp nem tekinthető úgy mint akit a vitatott döntés közvetlenül érint. Az ilyen határozatot nem önállóan kell végrehajtani, hanem azt mindig e hatóság jogerős döntésének kell követnie. Az uniós jogalkotó ugyanis tudatosan döntött a GDPR keretében a decentralizált felülvizsgálatról, anélkül hogy egy európai és központi adatvédelmi hatóság létrehozását választotta volna.
– A Bíróság álláspontja
90
Az első fellebbezési jogalap második része arra vonatkozik, hogy a Törvényszék tévesen alkalmazta‑e a jogot, amikor a megtámadott végzés 50–60. pontjában megállapította, hogy a vitatott döntés nem érinti közvetlenül a WhatsAppot az EUMSZ 263. cikk negyedik bekezdése értelmében, és hogy ennek következtében a Whatsapp által benyújtott kereset elfogadhatatlan.
91
E rendelkezés szerint bármely természetes vagy jogi személy az EUMSZ 263. cikk első és második bekezdésében említett feltételek mellett eljárást indíthat a neki címzett vagy az őt közvetlenül és személyében érintő jogi aktusok ellen, továbbá az őt közvetlenül érintő olyan rendeleti jellegű jogi aktusok ellen, amelyek nem vonnak maguk után végrehajtási intézkedéseket.
92
A valamely természetes vagy jogi személy által olyan jogi aktussal szemben indított kereset tehát, amelynek e személy az EUMSZ 263. cikk negyedik bekezdése értelmében nem címzettje, különösen csak azzal a feltétellel fogadható el, ha e jogi aktus e személyt közvetlenül és személyében érinti (2019. december 3‑iIccrea Banca ítélet, C‑414/18, EU:C:2019:1036, 64. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
93
A jelen ügyben, amint azt a Törvényszék a megtámadott végzés 40. pontjában megállapította, bizonyított, hogy a vitatott döntés a WhatsAppot személyében érinti, mivel az a jogerős nemzeti döntés tervezetének egyes olyan aspektusaihoz kapcsolódik, amelyek konkrétan e vállalkozás helyzetére vonatkoznak. Mindazonáltal e végzés 52. és 53. pontjában a Törvényszék úgy ítélte meg, hogy a WhatsAppot nem érinti közvetlenül a vitatott döntés, mivel egyrészt e határozat nem végrehajtható a WhatsApp‑pal szemben, ami az eljárás további szakasza nélkül lehetővé tenné, hogy számára kötelezettségeket vagy adott esetben más magánszemélyek számára jogokat keletkeztessen, másrészt pedig, hogy még ha a vitatott döntés köti is az ír felügyeleti hatóságot az abban szereplő szempontok tekintetében, mérlegelési mozgásteret hagyott számára a jogerős nemzeti döntés tartalmát illetően.
94
E tekintetben emlékeztetni kell arra, hogy az állandó ítélkezési gyakorlat szerint az a feltétel, amely szerint a kereset tárgyát képező határozatnak közvetlenül kell érintenie a természetes vagy jogi személyt, két feltétel együttes teljesülését követeli meg, nevezetesen egyfelől azt, hogy a vitatott intézkedés közvetlen hatást gyakoroljon e személy jogi helyzetére, másfelől pedig azt, hogy ne hagyjon mérlegelési jogkört a végrehajtására kötelezett címzettek számára, mivel az ilyen végrehajtás tisztán automatikus jellegű, és köztes szabályok alkalmazása nélkül, egyedül az Unió szabályozása alapján történik (2024. október 4‑iBizottság és Tanács kontra Front Polisario ítélet, C‑779/21 P és C‑799/21 P, EU:C:2019:835, 87. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
95
Mielőtt megvizsgálnánk, hogy e két feltételt a jelen ügyben tiszteletben tartották‑e, pontosítani kell, hogy az a körülmény, hogy a megtámadott jogi aktus nem közvetlenül végrehajtható a felperessel szemben, valamint az a körülmény, hogy ezen aktus nem minősül az összetett eljárás utolsó szakaszának, nem akadálya annak, hogy e felperest az említett aktus közvetlenül érintse, amennyiben ezen aktus címzettje egyáltalán nem rendelkezik mérlegelési jogkörrel (lásd ebben az értelemben: 1992. június 4‑iInfortec kontra Bizottság ítélet, C‑157/90, EU:C:1992:243, 13. és 17. pont; 2019. december 3‑iIccrea Banca ítélet, C‑414/18, EU:C:2019:1036, 65. és 67. pont; 2022. július 12‑iNord Stream 2 kontra Parlament és Tanács ítélet, C‑348/20 P, EU:C:2022:548, 74. pont).
96
Következésképpen, amint azt a főtanácsnok az indítványának 139. és 144. pontjában megjegyezte, a Törvényszék tévesen alkalmazta a jogot, amikor a megtámadott végzés 52. pontjában megállapította, hogy a WhatsAppot nem érintheti közvetlenül a vitatott döntés, mivel az nem végrehajtható a WhatsApp‑pal szemben, és nem minősül a GDPR 58., 60. és 65. cikkében előírt eljárás utolsó szakaszának.
97
A jelen ítélet 94. pontjában felidézett feltételek közül az első tiszteletben tartása kapcsán azt kell értékelni, hogy a megtámadott jogi aktus jelentősen módosítja‑e a szóban forgó természetes vagy jogi személy jogi helyzetét, amihez a jogi aktus lényegét kell figyelembe venni, és a joghatásait olyan objektív kritériumok alapján kell megítélni, mint az említett jogi aktus tartalma, adott esetben figyelembe véve az elfogadásának körülményeit, valamint az azt elfogadó intézmény, szerv vagy hivatal hatáskörét (lásd ebben az értelemben: 1981. november 11‑iIBM kontra Bizottság ítélet, 60/81, EU:C:1981:264, 9. pont; 2024. június 18‑iBizottság kontra ESZT ítélet, C‑551/22 P, EU:C:2024:520, 65. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
98
A jelen ügyben, amint az a jelen ítélet 30. pontjában megállapításra került, a Testület a vitatott döntésben többek között úgy határozott, hogy a WhatsApp megsértette a GDPR 13. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettségeket és e rendelet 13. cikke (2) bekezdésének e) pontját. Következésképpen ez a döntés megváltoztatja a WhatsApp jogi helyzetét, mivel a Testület fellépése miatt módosítania kell a WhatsApp által nyújtott üzenetküldő szolgáltatás felhasználóival fennálló szerződéses jogviszonyát. Ebből következik, hogy a jelen ítélet 94. és 95. pontjában hivatkozott ítélkezési gyakorlat értelmében közvetlen kapcsolat áll fenn az említett határozat és annak a WhatsApp helyzetére gyakorolt hatásai között.
99
A Testület állításával ellentétben az a körülmény, hogy az ír felügyeleti hatóság a GDPR 56. cikkének (6) bekezdése értelmében a WhatsApp mint adatkezelő egyetlen kapcsolattartója, nem befolyásolja ezt a megállapítást. E rendelkezés ugyanis kizárólag az adatkezelő vagy az adatfeldolgozó, a fő felügyeleti hatóság és az érintett felügyeleti hatóságok közötti kapcsolatok megszervezésére irányul, így nem vonatkozik a Testület határozataival szemben rendelkezésre álló jogorvoslati lehetőségekre.
100
A jelen ítélet 94. pontjában felidézett feltételek közül a második feltétel tiszteletben tartását illetően, annak értékeléséhez, hogy valamely jogi aktus a címzetteknek mérlegelési mozgásteret hagy‑e a végrehajtás terén, azt kell megvizsgálni, hogy az említett jogi aktusnak a kereset tárgyát képező rendelkezései milyen joghatásokat váltanak ki az EUMSZ 263. cikk negyedik bekezdésének második fordulata szerinti jogorvoslati jogra hivatkozó személy helyzetére nézve (2022. július 12‑iNord Stream 2 kontra Parlament és Tanács ítélet, C‑348/20 P, EU:C:2022:548, 98. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
101
Az ilyen mérlegelési mozgástér fennállását többek között akkor nem lehet megállapítani, ha megállapítást nyer, hogy a jogi aktusnak a keresettel érintett rendelkezései azzal a közvetlen következménnyel jártak, hogy e személyre olyan kötelezettségeket róttak, amelyek eredményét az ezen aktus későbbi végrehajtásával megbízott szerv nem módosíthatta (lásd ebben az értelemben: 2022. július 12‑iNord Stream 2 kontra Parlament és Tanács ítélet, C‑348/20 P, EU:C:2022:548, 114. pont).
102
A jelen ügyben, amint az a jelen ítélet 71. és 72. pontjából kitűnik, emlékeztetni kell arra, hogy a vitatott döntés köti az érintett fő felügyeleti hatóságot és felügyeleti hatóságokat. E hatóságok nem térhetnek el a Testület által e határozatban elfogadott és a jelen ítélet 30. pontjában felidézett állásponttól. Az említett határozat ugyanis eldönti a Testület előtt indított eljárás tárgyát képező jogkérdéseket, és feltétel nélkül köti e hatóságokat, különösen a GDPR bizonyos rendelkezései megsértésének megállapítását, a veszteséges kivonatolással érintett adatok személyes adatnak való minősítését, valamint a kivetni tervezett bírságok összegének emelésére vonatkozó kötelezettséget illetően. Az említett hatóságoknak nincs lehetőségük arra, hogy a jelen ítélet előző pontjában hivatkozott ítélkezési gyakorlat értelmében módosítsák a Testület által e kérdéseket illetően végzett értékelések eredményét.
103
E tekintetben a GDPR 70. cikke (1) bekezdésének a) pontja értelmében a Testület feladata, hogy biztosítsa a GDPR egységes alkalmazását azáltal, hogy – amint az annak (10) preambulumbekezdéséből kitűnik – felügyeli és biztosítja a természetes személyeknek a személyes adataik kezeléséhez kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén, többek között a GDPR 65. cikkében meghatározott esetekben, a nemzeti felügyeleti hatóságok feladatainak sérelme nélkül.
104
Ebben az összefüggésben nincs jelentősége annak, hogy a jogerős nemzeti döntés hatálya olyan kérdésekre terjed ki, amelyek nem tartoznak a Testület elé utalás körébe, vagyis olyan kérdésekre, amelyek nem képezték a GDPR 65. cikke (1) bekezdésének a) pontja értelmében vett releváns és megalapozott kifogások tárgyát, vagy olyan kérdésekre, amelyek nem tartoznak e szerv hatáskörébe, mint például többek között az adatkezelővel vagy az adatfeldolgozóval szemben kiszabandó bírság pontos összegének meghatározása, amely a GDPR 58. cikke (2) bekezdésének i. pontja és 83. cikke alapján eljáró felügyeleti hatóság feladata.
105
Ezenkívül, bár kétségtelenül kölcsönös függőségi viszony áll fenn a vitatott döntés és a jogerős nemzeti döntés között, azok mégis külön jogi aktusoknak minősülnek, és a vitatott döntés hatálya jól körülhatárolt, amint az a jelen ítélet 30. pontjában szereplő felsorolásból kitűnik. E körülmények között e kölcsönös függőségi viszony nem képezheti akadályát azon megállapításnak, hogy a WhatsAppot a vitatott döntés közvetlenül érinti.
106
Közelebbről, jóllehet a Testület kötelező erejű határozatával szemben az EUMSZ 263. cikk alapján az uniós bíróság előtt benyújtott megsemmisítés iránt kereset, valamint a nemzeti felügyeleti hatóság által e kötelező erejű határozat alapján hozott jogerős nemzeti döntéssel szemben a GDPR 78. cikke alapján a nemzeti bíróság előtt benyújtott kereset kétségtelenül két párhuzamos eljáráshoz vezet, e helyzet nem jár azzal a következménnyel, hogy a Testület döntésének joghatásait a jelen ügyben a WhatsApp irányában közvetettnek kell tekinteni.
107
Egyfelől ugyanis a Bíróság ítélkezési gyakorlata szerint, amikor a nemzeti bíróság előtt folyamatban lévő jogvita eldöntése valamely uniós szerv határozatának érvényességétől függ, a lojális együttműködés követelményéből következik, hogy az e szerv határozatával ellentétes határozat elfogadásának elkerülése érdekében a nemzeti bíróságnak fel kell függesztenie az eljárást mindaddig, amíg a megsemmisítés iránti keresetről jogerős határozatot nem hoznak az uniós bíróságok, kivéve ha az eset körülményeiből adódóan úgy véli, hogy indokolt előzetes kérdést feltenni a Bíróságnak a bizottsági határozat érvényességére vonatkozóan (2000. december 14‑iMasterfoods és HB ítélet, C‑344/98, EU:C:2000:689, 57. pont; 2018. július 25‑iGeorgsmarienhütte és társai ítélet (C‑135/16, EU:C:2018:582, 24. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
108
Másfelől szintén rá kell mutatni, hogy abban az esetben, amikor egyidejűleg fordulnak a Törvényszékhez megsemmisítés iránti keresettel és a Bírósághoz előzetes döntéshozatal iránti kérelemmel, a megfelelő igazságszolgáltatás elve indokolhatja azt, hogy a Bíróság – amennyiben megfelelőnek tartja – az Európai Unió Bírósága alapokmánya 54. cikkének harmadik bekezdését alkalmazza annak érdekében, hogy az előtte folyamatban lévő eljárást a Törvényszék előtt indított eljárásra tekintettel felfüggessze (lásd: 2018. július 25‑iGeorgsmarienhütte és társai ítélet, C‑135/16, EU:C:2018:582, 25. pont).
109
Következésképpen, mivel a jelen ítélet 94. pontjában említett két feltétel teljesül, a WhatsAppot a vitatott döntés közvetlenül érinti.
110
A fenti megfontolásokra tekintettel tehát az első fellebbezési jogalap második részének helyt kell adni, következésképpen a megtámadott végzést hatályon kívül kell helyezni.
Az első jogalap harmadik részéről
111
Első jogalapjának harmadik részében a WhatsApp arra hivatkozik, hogy téves jogalkalmazást valósít meg a Törvényszék által a megtámadott végzés 66–70. pontjában tett azon megállapítás, amely szerint a keresetének elfogadhatatlansága az EU‑Szerződés és az EUM‑Szerződés által létrehozott bírósági jogorvoslati rendszer logikájába illeszkedik.
112
A jelen ítélet 110. pontjában levont következtetésre tekintettel az első jogalap harmadik részéről nem szükséges határozni.
A második, a GDPR 65. cikkének, valamint az uniós jog következetes alkalmazása elvének értelmezése és alkalmazása során elkövetett téves jogalkalmazásra alapított jogalapról
113
Az első jogalap keretében kifejtett érvelésre hivatkozva a WhatsApp azt állítja, hogy a Törvényszék megsértette a GDPR 65. cikkének (1) bekezdését és az uniós jog egységes alkalmazásának elvét, amikor a megtámadott végzés 41–60. pontjában úgy ítélte meg, hogy a vitatott döntés az érintett felügyeleti hatóságok tekintetében a kötelező joghatásain kívül nem vált ki más joghatásokat.
114
Mivel a WhatsApp az első jogalapjának alátámasztása érdekében kifejtett érvelésre való hivatkozásra szorítkozik, és tekintettel a jelen ítélet 110. pontjában levont következtetésre, e második jogalapról nem szükséges határozni, mivel az nem eredményezheti a megtámadott végzés szélesebb körű megsemmisítését.
Az ügynek a Törvényszék elé történő visszautalásáról
115
Az Európai Unió Bírósága alapokmánya 61. cikkének első bekezdése szerint a Törvényszék határozatának hatályon kívül helyezése esetén, ha a per állása megengedi, az ügyet maga a Bíróság is érdemben eldöntheti.
116
E feltétel a jelen ügyben teljesül annyiban, amennyiben az ügy kizárólag a Törvényszékhez benyújtott kereset elfogadhatóságára vonatkozik.
117
E tekintetben először is, amint az a jelen ítélet 76. pontjából kitűnik, a vitatott döntés az EUMSZ 263. cikk első bekezdése értelmében vett megtámadható jogi aktusnak minősül. Másodszor, amint az a jelen ítélet 109. pontjában megállapításra került, a vitatott döntés a WhatsAppot az EUMSZ 263. cikk negyedik bekezdése értelmében közvetlenül érinti. Harmadszor – amint azt a Törvényszék a megtámadott végzés 40. pontjában maga is megállapította – e határozat a WhatsAppot személyében érinti.
118
Következésképpen, mivel az EUMSZ 263. cikk első és negyedik bekezdésében szereplő feltételek ily módon teljesülnek, és más elfogadhatatlansági ok nem áll fenn, a megsemmisítés iránti keresetet elfogadhatónak kell nyilvánítani.
119
Tekintettel arra, hogy a Törvényszék nem határozott érdemben a hozzá benyújtott keresetről, amely részletes ténybeli és jogi értékelést igényel, a per állása nem engedi meg az ügy érdemben való eldöntését.
120
Következésképpen az ügyet vissza kell utalni a Törvényszék elé.
A költségekről
121
Mivel az ügyet a Bíróság visszautalja a Törvényszék elé, a fellebbezési eljárás költségeiről jelenleg nem kell határozni.
A fenti indokok alapján a Bíróság (nagytanács) a következőképpen határozott:
1)
A Bíróság az Európai Unió Törvényszékének 2022. december 7‑iWhatsApp Ireland kontra Európai Adatvédelmi Testület végzését (T‑709/21, EU:T:2022:783) hatályon kívül helyezi.
2)
A Bíróság az ügyet visszautalja az Európai Unió Törvényszéke elé.
3)
A Bíróság a költségekről jelenleg nem határoz.
Aláírások
(
*1
)	Az eljárás nyelve: angol.