62023CC0097
CONCLUSIONS DE L’AVOCATE GÉNÉRALE
MME TAMARA ĆAPETA
présentées le 27 mars 2025 (
1
)
Affaire C‑97/23 P
WhatsApp Ireland Ltd
contre
Comité européen de la protection des données
« Pourvoi – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 65 – Mécanisme de contrôle de la cohérence – Règlement des litiges par le Comité européen de la protection des données – Recours en annulation – Article 263, premier alinéa, TFUE – Notion d’“acte attaquable” – Article 263, quatrième alinéa, TFUE – Notion d’“affectation directe” – Notions d’“acte préparatoire” et d’“acte intermédiaire” – Question de l’“inopposabilité” d’une décision à une personne physique ou morale – Pouvoir d’appréciation de l’organe chargé de la mise en œuvre de cette décision »
I. Introduction
1.
Le présent pourvoi soulève la question récurrente de l’interprétation et de l’application des conditions de recevabilité d’un recours en annulation formé par des parties requérantes ayant le statut de personnes physiques ou morales. Plus précisément, la présente affaire traite de la notion d’« acte attaquable » aux fins de l’article 263, premier alinéa, TFUE, et de la notion d’« affectation directe » au sens de l’article 263, quatrième alinéa, TFUE.
2.
Cette question se pose dans le contexte du mécanisme de contrôle de la cohérence instauré par le règlement (UE) 2016/679 (
2
). Ce mécanisme consiste en une procédure complexe à laquelle participent les autorités de contrôle nationales et le Comité européen de la protection des données (CEPD).
3.
Dans l’ordonnance attaquée, le Tribunal de l’Union européenne a conclu à l’irrecevabilité du recours formé par WhatsApp Ireland Ltd (ci‑après « WhatsApp » ou la « requérante ») contre la décision contraignante 1/2021 (ci‑après la « décision litigieuse ») (
3
) adoptée par le CEPD dans le cadre de ce mécanisme (
4
). Cette conclusion est à l’origine du présent pourvoi (
5
).
4.
Au‑delà du pourvoi introduit dans la présente affaire, la Cour a l’occasion d’exposer, de façon plus générale, les modalités d’application des règles relatives à la recevabilité des recours en annulation dans le contexte des procédures complexes.
II. Les antécédents du litige
5.
La présente affaire trouve son origine dans le mécanisme de contrôle de la cohérence institué par le RGPD. Plus précisément, elle concerne la partie de ce mécanisme régie par l’article 65 du RGPD qui habilite le CEPD à adopter des décisions contraignantes pour régler certains types de litiges opposant des autorités de contrôle nationales lorsqu’elles mettent en œuvre les règles du RGPD.
6.
Le mécanisme de contrôle de la cohérence est l’une des nombreuses « procédures administratives complexes » mises en place par le droit dérivé de l’Union (
6
).
7.
Ces termes sont utilisés pour décrire les procédures dans lesquelles la décision se forme en plusieurs étapes et auxquelles participent à la fois des institutions ou organes de l’Union et des institutions ou organes nationaux (
7
).
8.
L’une des questions juridiques soulevées par les procédures administratives complexes est celle de savoir comment identifier les « actes attaquables » parmi les actes adoptés par de multiples acteurs au cours de ces procédures et, ensuite, devant quelles juridictions ces actes devraient être attaqués (
8
).
9.
C’est dans ce contexte qu’il convient d’inscrire le présent pourvoi. Selon la requérante, le Tribunal a conclu à tort que la décision litigieuse, adoptée dans le cadre du mécanisme de contrôle de la cohérence, n’était pas un acte attaquable devant les juridictions de l’Union.
A.
Le mécanisme de contrôle de la cohérence établi par le RGPD
10.
La mission de contrôler et de veiller à l’application des règles du RGPD est confiée aux différentes autorités de contrôle des États membres sur leurs territoires respectifs (
9
).
11.
Afin de remédier à l’éventuelle fragmentation de la mise en œuvre de la réglementation de la protection des données dans l’Union pouvant résulter d’un tel système « décentralisé », le RGPD prévoit une coopération entre les autorités de contrôle nationales (
10
).
12.
Lorsqu’une opération de traitement de données a une dimension transfrontalière, l’autorité dont relève le sous-traitant ou le responsable du traitement en cause – l’autorité de contrôle chef de file – est tenue de communiquer aux autorités de contrôle concernées des autres États membres son projet de décision tendant à la mise en œuvre des règles du RGPD à l’égard du sous-traitant ou du responsable du traitement relevant de sa compétence.
13.
Si ces autres autorités adhèrent à l’interprétation du RGPD et aux mesures d’exécution proposées par l’autorité de contrôle chef de file, celle‑ci peut adopter sa décision finale qui revêt un caractère contraignant à l’égard du responsable du traitement ou du sous-traitant en cause.
14.
En revanche, si ces autres autorités de contrôle concernées formulent des objections pertinentes et motivées, et si l’autorité de contrôle chef de file ne suit pas ces objections ou considère qu’elles ne sont pas pertinentes ou motivées, celle‑ci doit soumettre la question au CEPD pour qu’il statue (
11
).
15.
Le CEPD tranche le litige opposant les autorités de contrôle nationales concernées et règle l’affaire en question par la voie d’une décision contraignante (
12
).
16.
En vertu de l’article 65, paragraphe 2, du RGPD, cette décision est adressée à l’autorité de contrôle chef de file ainsi qu’à toutes les autres autorités de contrôle concernées et elle est contraignante à leur égard (
13
). La décision est également publiée sur le site Internet du CEPD (
14
).
17.
Dans les délais impartis (
15
) et sur la base de la décision contraignante du CEPD, l’autorité de contrôle chef de file est tenue d’adopter sa décision finale (
16
), qui est ensuite notifiée au responsable du traitement ou au sous-traitant en cause.
B.
Les évènements à l’origine de la présente affaire
18.
WhatsApp est une société fournissant des services d’appel et de messagerie par Internet (ci-après le « service de messagerie »).
19.
Pour créer un compte auprès de cette société afin d’utiliser ce service de messagerie, l’utilisateur doit accepter ses conditions d’utilisation et sa politique de confidentialité (
17
).
20.
Le 24 mai 2018, WhatsApp a modifié sa politique de confidentialité pour tenir compte des changements apportés par le RGPD qui devait s’appliquer à partir du 25 mai 2018 (
18
). Les utilisateurs existants se sont vu offrir la possibilité d’accepter ces modifications ou de cesser d’utiliser le service de messagerie de la requérante.
21.
Par la suite, l’Irish Data Protection Commission (Commission de protection des données, Irlande, ci-après l’« autorité de contrôle irlandaise ») a reçu plusieurs plaintes de personnes concernées en rapport avec les activités de traitement de données de la requérante (
19
).
22.
En décembre 2018, après avoir procédé à un examen préliminaire des plaintes, l’autorité de contrôle irlandaise a ouvert une enquête afin de déterminer si WhatsApp avait respecté les obligations de transparence que lui imposent les articles 12 à 14 du RGPD en matière de fourniture d’informations aux utilisateurs et aux non utilisateurs de son service de messagerie et en matière de transparence de ces informations (
20
).
23.
Dès lors que le service de messagerie de WhatsApp implique un traitement transfrontalier dans l’ensemble de l’Union, l’autorité de contrôle irlandaise a, dans le respect des obligations qui lui incombent en vertu du RGPD, communiqué son projet de décision aux autres autorités de contrôle nationales concernées (
21
).
24.
En réponse à cette communication, l’autorité de contrôle irlandaise a reçu des objections des autorités de contrôle allemande (au niveau fédéral), hongroise, néerlandaise, polonaise, française, italienne, portugaise et de l’État fédéré allemand de Bade-Wurtemberg (
22
). Des commentaires sur ce projet ont, en outre, été reçus des autorités de contrôle autrichienne, néerlandaise, danoise, polonaise, belge, française et de l’État fédéré allemand de Hambourg (
23
).
25.
Étant donné que plusieurs autorités de contrôle ont formulé des objections pertinentes et motivées à l’égard du projet de décision et que l’autorité de contrôle irlandaise n’a pas suivi ces objections, celle‑ci les a transmises au CEPD pour qu’il statue (
24
).
26.
Le 28 juillet 2021, le CEPD a adopté la décision litigieuse et il l’a ensuite notifiée à l’autorité de contrôle irlandaise ainsi qu’aux autres autorités de contrôle concernées (
25
).
27.
Dans la décision litigieuse, le CEPD ordonne à l’autorité de contrôle irlandaise de modifier plusieurs constatations opérées dans le projet de décision et d’augmenter le montant des amendes qui y étaient proposées.
28.
En substance, la décision litigieuse oblige l’autorité de contrôle irlandaise à constater que les « données faisant l’objet d’un hachage avec perte » (« lossy hashed data ») (
26
) sont des données à caractère personnel au sens de l’article 4, point 1, du RGPD (
27
) et que la requérante a enfreint les règles de transparence énoncées à l’article 5, paragraphe 1, sous a), à l’article 13, paragraphe 1, sous d), et paragraphe 2, sous e), ainsi qu’à l’article 14 de ce règlement (
28
).
29.
S’agissant des constatations d’ordre procédural et des amendes, la décision litigieuse exige de réduire à trois mois, au lieu de six mois, le délai de mise en conformité imparti à la requérante et conclut que l’autorité de contrôle irlandaise a fait une interprétation erronée du critère relatif au quantum des amendes et qu’il y a lieu d’augmenter le montant des amendes envisagées par cette autorité (
29
).
30.
Se conformant à ces instructions, l’autorité de contrôle irlandaise a modifié son projet de décision et adopté la décision nationale finale le 20 août 2021 (
30
).
31.
Le 1er novembre 2021, la requérante a introduit un recours devant le Tribunal aux fins de l’annulation de la décision litigieuse.
32.
Le 7 décembre 2022, le Tribunal a rendu l’ordonnance attaquée par laquelle il a rejeté le recours de la requérante comme irrecevable.
33.
Dans cette ordonnance, le Tribunal a considéré, en substance, que la décision litigieuse ne constituait pas un acte attaquable aux fins de l’article 263, premier alinéa, TFUE et que la requérante n’était pas directement concernée par cette décision au sens de l’article 263, quatrième alinéa, TFUE.
34.
L’ordonnance attaquée est structurée de la manière suivante :
–
au point 40, le Tribunal constate que la requérante est individuellement concernée par la décision litigieuse,
–
aux points 42 à 49, il examine si la décision litigieuse constitue un acte attaquable aux fins de l’article 263, premier alinéa, TFUE et conclut par la négative,
–
aux points 50 à 65, il vérifie si la décision litigieuse concerne directement la requérante au sens de l’article 263, quatrième alinéa, TFUE. Il conclut que cette décision n’affecte pas directement la situation juridique de la requérante et qu’elle a laissé une marge d’appréciation à l’autorité de contrôle irlandaise, de sorte que les conditions de l’affectation directe ne sont pas remplies,
–
concluant, en conséquence, à l’irrecevabilité du recours en annulation introduit par la requérante, le Tribunal expose en outre, aux points 66 à 71, en quoi cette conclusion s’inscrit dans la logique du système des voies de recours juridictionnelles établi par les traités.
C.
La procédure devant la Cour
35.
Par son pourvoi déposé le 17 février 2023, la requérante demande à la Cour d’annuler l’ordonnance attaquée, de déclarer le recours recevable, de renvoyer l’affaire devant le Tribunal pour qu’il statue sur le fond et de condamner le CEPD aux dépens.
36.
Le gouvernement allemand est intervenu au soutien du CEPD.
37.
Une audience s’est tenue le 26 novembre 2024 au cours de laquelle la requérante et le CEPD ont présenté des arguments oraux.
III. Analyse
38.
La requérante invoque deux moyens de pourvoi. Par son premier moyen de pourvoi, elle soutient que le Tribunal a fait une interprétation erronée de la notion d’« acte attaquable », telle qu’elle ressort du premier alinéa de l’article 263 TFUE, et de la notion d’« affectation directe » découlant du quatrième alinéa de cet article. Cette erreur a conduit à l’application erronée de l’article 263 TFUE dans la présente affaire, de sorte que le Tribunal a considéré à tort que la décision litigieuse n’était pas un acte attaquable par la requérante. Par son second moyen de pourvoi, la requérante fait valoir que le Tribunal a fait une interprétation et une application erronées de l’article 65, paragraphe 1, du RGPD en ce qui concerne la décision litigieuse.
39.
Dans les présentes conclusions, je proposerai à la Cour de conclure que le Tribunal a mal appliqué l’analyse requise en vertu de l’article 263, premier et quatrième alinéas, TFUE au mécanisme de contrôle de la cohérence institué par le RGPD. Il y a donc lieu d’accueillir le premier moyen de pourvoi et d’annuler l’ordonnance attaquée. Par conséquent, il n’est pas nécessaire d’examiner le second moyen de pourvoi.
40.
Cependant, au-delà du contexte immédiat du présent pourvoi, j’observe que la présente affaire soulève également une question de nature plus horizontale : celle des étapes d’analyse à suivre pour apprécier la recevabilité d’un recours en annulation d’un acte adopté dans le cadre d’une procédure complexe.
41.
Les procédures complexes varient considérablement, chacune étant spécifiquement conçue par l’acte de droit dérivé de l’Union qui l’a instaurée pour remplir l’objectif qu’elle poursuit dans un domaine donné du processus décisionnel administratif fondé sur le droit de l’Union.
42.
À défaut de bien comprendre les étapes d’analyse à suivre pour apprécier la recevabilité des recours en annulation formés par des personnes physiques ou morales contre des actes adoptés dans de telles procédures, il se peut que, dans de futures affaires traitant des différents types de procédures complexes, le Tribunal refuse à nouveau, de manière injustifiée, l’accès aux juridictions de l’Union à ces personnes.
43.
Les conditions régissant l’article 263 TFUE restent toutefois identiques malgré ces structures différentes. Par conséquent, les règles générales applicables à la recevabilité des recours formés par des personnes physiques ou morales contre des actes adoptés dans le cadre d’une procédure complexe devraient s’appliquer de la même manière – en suivant les mêmes étapes d’analyse – à toutes ces procédures complexes, tout en tenant compte des spécificités de chacune d’entre elles.
44.
Ainsi que je tenterai de le démontrer dans mon appréciation, le Tribunal, inspiré par les particularités du mécanisme de contrôle de la cohérence du RGPD, a intégré des étapes superflues (et trompeuses) dans son analyse des conditions de recevabilité au titre de l’article 263 TFUE. À mon sens, par exemple, se demander si la décision litigieuse constitue un acte intermédiaire dans cette procédure s’écarte de la question pertinente visant à déterminer s’il s’agit d’un acte définitif et contraignant, cette question étant la seule qu’il convient de se poser aux fins de l’analyse requise au titre de l’article 263, premier alinéa, TFUE. De même, vérifier si la décision litigieuse est directement opposable à la requérante s’écarte de la question d’analyse visant à apprécier si cette décision affecte en elle-même la situation juridique de la requérante, comme l’exige l’article 263, quatrième alinéa, TFUE.
45.
Lorsqu’elle motive sa déclaration de recevabilité ou d’irrecevabilité dans une affaire, la Cour se réfère souvent aux particularités de la procédure complexe en cause dans cette affaire et il n’est pas rare qu’elle fasse la distinction entre ces particularités et les caractéristiques d’une autre procédure à l’égard de laquelle elle est parvenue à une conclusion différente (
31
). Ces justifications avancées par la Cour ne sauraient être généralisées ni transposées mécaniquement à de nouvelles affaires (
32
).
46.
Dans son analyse, le Tribunal s’est fondé sur plusieurs arrêts de la Cour, notamment l’arrêt IBM (
33
) et l’arrêt Deutsche Post (
34
).
47.
Je suggérerai à la Cour de réexaminer quelques-uns de ces arrêts et de préciser que certaines déclarations qui y figurent ne visaient pas à ajouter d’autres conditions à celles prévues par le traité FUE. Elles entendaient plutôt clarifier l’application des règles du traité dans la situation spécifique qui se présentait dans ces affaires. Reproduire automatiquement dans des arrêts ultérieurs, qui résultent de circonstances différentes, des déclarations formulées par la Cour dans des affaires précédentes pourrait conduire – comme en l’espèce – le Tribunal à tirer une conclusion erronée sur la recevabilité d’un recours en annulation.
48.
La présente affaire est donc l’occasion pour la Cour de préciser à nouveau les étapes d’analyse nécessaires et suffisantes pour déterminer si une personne peut introduire un recours direct en annulation.
49.
À cet égard, je considère qu’il importe que la Cour fasse une distinction nette entre les deux étapes de l’analyse des conditions de recevabilité au titre de l’article 263 TFUE : d’une part, l’examen de la question de savoir si un acte est attaquable aux fins de l’article 263, premier alinéa, TFUE, et, d’autre part, dans l’hypothèse où l’acte est attaquable, l’appréciation visant à déterminer si un requérant donné, personne physique ou morale, peut contester cet acte en vertu de l’article 263, quatrième alinéa, TFUE.
50.
Eu égard à ce qui précède, je structurerai mon analyse de la manière suivante. Je commencerai par la question préliminaire visant à déterminer si le recours qui sous-tend le pourvoi a été introduit hors délai ou non (A). J’examinerai ensuite le fond du pourvoi et exposerai les raisons pour lesquelles je considère que la Cour devrait annuler l’ordonnance attaquée. Conformément à la structure du premier moyen de pourvoi, je préciserai d’abord que le Tribunal a confondu les conditions du caractère attaquable de la décision litigieuse avec celles de l’affectation directe de la requérante. C’est sur ce fondement que j’estime que le Tribunal a conclu à tort que la décision litigieuse n’était pas un acte attaquable (B). J’indiquerai ensuite que le Tribunal a également commis une erreur de droit en considérant que la décision litigieuse ne concernait pas directement la requérante (C). Enfin, je démontrerai que, contrairement à ce qu’a jugé le Tribunal, la logique du système des voies de recours juridictionnelles, tel qu’il a été conçu par les traités et interprété par la Cour, exige de trancher la question de la validité de la décision litigieuse par la voie d’un recours direct formé devant les juridictions de l’Union (D).
A.
Le recours n’a pas été introduit hors délai
51.
Dans son mémoire en réponse, le CEPD fait valoir que le recours de la requérante a été introduit hors délai (
35
). Il se réfère à une lettre du 16 août 2021, versée au dossier de la Cour, dont il ressort que l’autorité de contrôle irlandaise avait déjà informé la requérante du « contenu pertinent » de la décision litigieuse le 13 août 2021, avant que le CEPD ne la publie sur son site Internet. Le CEPD soutient donc que le délai pour introduire un recours en annulation a expiré le « 25 octobre 2021 au plus tard », c’est-à-dire avant le 1er novembre 2021, date de dépôt de la requête devant le Tribunal.
52.
Je considère que cet argument devrait être rejeté.
53.
Il ressort clairement de la jurisprudence que la référence, figurant à l’article 263, sixième alinéa, TFUE, au jour où la partie requérante a eu connaissance de l’acte présente un caractère subsidiaire par rapport aux critères de la publication ou de la notification de cet acte (
36
).
54.
En l’espèce, la décision litigieuse n’a pas été notifiée à la requérante. Le CEPD a seulement l’obligation de notifier sa décision à l’autorité de contrôle chef de file irlandaise et aux autorités de contrôle nationales concernées (
37
).
55.
Il convient donc d’examiner si la décision litigieuse a été publiée au sens de l’article 263, sixième alinéa, TFUE.
56.
L’article 263 TFUE n’assortit d’aucune condition spécifique l’acte de publication.
57.
Néanmoins, la Cour ayant privilégié une interprétation des délais prévus par les traités qui ne restreint pas indûment le droit à un recours juridictionnel effectif (
38
), la notion de « publication » doit recevoir une interprétation large (
39
).
58.
À cet égard, la Cour a déjà eu l’occasion de juger que la publication sur un site Internet, lorsqu’elle est requise par le droit dérivé de l’Union, satisfaisait à l’exigence de « publication » prévue à l’article 263, sixième alinéa, TFUE (
40
).
59.
En l’espèce, la publication des décisions contraignantes du CEPD, comme la décision litigieuse, est requise par la troisième phrase de l’article 65, paragraphe 5, du RGPD.
60.
Dès lors que la requérante a contesté la décision litigieuse dans le délai applicable à compter de sa date de publication sur le site Internet du CEPD (le 2 septembre 2021), le fait qu’elle ait pu également avoir connaissance du contenu pertinent de cette décision avant sa publication obligatoire n’a aucune incidence sur la recevabilité du présent recours en annulation (
41
).
61.
Eu égard à ce qui précède, il n’y a pas lieu de déterminer le moment précis auquel la requérante a eu connaissance du contenu de la décision litigieuse.
62.
Je propose donc à la Cour de rejeter l’argument du CEPD tiré de ce que le recours aurait été introduit hors délai devant le Tribunal.
B.
La décision litigieuse est un acte attaquable
1. Deux questions d’analyse distinctes
63.
Par ses premier et deuxième arguments avancés dans le cadre du premier moyen de pourvoi, la requérante fait valoir que, contrairement à ce qu’a jugé le Tribunal, pour déterminer si un acte est attaquable, il n’est pas nécessaire d’examiner si cet acte modifie de façon caractérisée la situation juridique de la requérante.
64.
Je partage l’avis de la requérante. La question de savoir si un acte est attaquable diffère de celle de savoir si une partie requérante donnée, personne physique ou morale, peut contester cet acte, pour autant qu’il soit attaquable.
65.
La question du caractère attaquable d’un acte relève de l’analyse à effectuer au titre de l’article 263, premier alinéa, TFUE. Elle requiert une méthode d’examen distincte et séparée qui soulève des questions différentes de celles permettant d’apprécier si un acte affecte la situation juridique de la requérante (qui découlent de l’article 263, quatrième alinéa, TFUE).
66.
Cette conclusion résulte du texte, de la structure et de la genèse de l’article 263 TFUE [sous a)] et est conforme à la jurisprudence de la Cour [sous b)].
a) Le texte, la structure et la genèse de l’article 263 TFUE
67.
Plusieurs raisons justifient de distinguer la question de savoir si la décision litigieuse est un acte dont la validité peut être soumise à l’appréciation des juridictions de l’Union de celle de savoir si cet acte affecte la situation juridique de la requérante.
68.
Premièrement, la détermination du type d’acte attaquable devant les juridictions de l’Union relève de l’article 263, premier alinéa, TFUE. Cette détermination ne tient pas compte de la personne qui introduit le recours.
69.
Par conséquent, la réponse à la question de savoir si un acte est attaquable doit être identique, que le recours en annulation ait été introduit par un requérant privilégié (dont la liste figure au deuxième alinéa de l’article 263, TFUE), par un requérant semi-privilégié (dont la liste est établie au troisième alinéa de cet article) ou par un requérant non privilégié (tel que mentionné au quatrième alinéa dudit article).
70.
Deuxièmement, pour déterminer si un acte est attaquable, il convient d’apprécier s’il est de nature à produire des effets de droit obligatoires à l’égard d’un tiers (
42
). Ce tiers ne doit pas nécessairement être le même que celui qui introduit le recours en annulation en cause.
71.
Ainsi que je l’exposerai ci‑dessous, cette exigence découle du libellé actuel de l’article 263, premier alinéa, TFUE, tel qu’il résulte de plusieurs modifications ainsi que de la jurisprudence qui a été l’une des principales forces motrices à l’origine de ces modifications.
72.
Dans sa version actuelle, l’article 263, premier alinéa, TFUE qualifie d’actes attaquables 1°) les actes législatifs, 2°) les actes du Conseil de l’Union européenne, de la Commission et de la BCE, autres que les recommandations et les avis, et 3°) les actes du Parlement européen et du Conseil européen, ainsi que des organes ou organismes de l’Union, destinés à produire des effets juridiques à l’égard des tiers.
73.
La version originale du traité CEE n’énumérait pas les actes susceptibles d’un recours et ne faisait que les définir de manière négative, s’agissant des « actes du Conseil et de la Commission, autres que les recommandations ou avis » (
43
).
74.
Dès lors que le traité définit les recommandations et les avis comme des actes qui ne lient pas (
44
), la Cour a conclu que tous les actes (des institutions et autres organes de l’Union), indépendamment de leur forme ou de leur nom, destinés à produire des effets juridiques obligatoires étaient des actes attaquables (
45
).
75.
Si l’acte est dépourvu d’effet juridique obligatoire, le recours est irrecevable, qu’il ait été introduit par un requérant privilégié ou par un requérant non privilégié (
46
).
76.
Il n’y a donc pas lieu d’examiner la question subséquente visant à déterminer si l’acte affecte la situation juridique de la requérante au sens de l’article 263, quatrième alinéa, TFUE (
47
).
77.
Il découle de la jurisprudence et des termes de l’article 263, premier alinéa, TFUE qu’un acte est juridiquement contraignant s’il est destiné à produire des effets juridiques à l’égard des tiers. De quoi s’agit-il ?
78.
Pour être considéré comme ayant des effets juridiques à l’égard des tiers, un acte doit produire des effets juridiques en dehors de l’institution ou de l’organe qui l’a adopté. Si l’acte crée seulement des obligations d’ordre « interne », en ce sens qu’elles incombent à l’institution qui l’a adopté, et non des obligations d’ordre « externe », c’est-à-dire pour les tiers, cet acte ne constitue pas un acte attaquable (
48
).
79.
Le tiers à l’égard duquel l’acte produit des effets juridiques obligatoires ne doit pas nécessairement être le requérant (
49
).
80.
La Cour a, en outre, précisé qu’un acte ne produisait des effets en dehors de l’institution que si, par celui‑ci, l’institution qui l’a adopté a exprimé sa position définitive (
50
).
81.
Une position est définitive lorsque l’institution ou l’organe qui a adopté l’acte ne peut plus le modifier, en ce sens qu’il ne peut écarter les effets juridiques qui en découlent qu’en le révoquant (
51
). Si l’acte final n’a pas été révoqué par son auteur, le seul moyen d’en écarter les effets juridiques est de le faire invalider dans le cadre d’une procédure juridictionnelle.
82.
Eu égard à ce qui précède, cela signifie, en l’espèce, que, pour déterminer si la décision litigieuse constitue un acte attaquable, il était nécessaire et suffisant que le Tribunal constate que cette décision exprimait la position définitive du CEPD et imposait une obligation à une personne extérieure à cet organe : dans la présente affaire, l’autorité de contrôle irlandaise.
83.
À cette fin, il n’était pas nécessaire d’apprécier si l’acte modifiait ou non également de façon caractérisée la situation juridique de la requérante. Cette question se rapporte à l’affectation directe et non au caractère attaquable d’un acte (
52
).
84.
La jurisprudence invoquée par le Tribunal suggère-t-elle une conclusion différente ?
b) La jurisprudence semblant fusionner les deux conditions
85.
Au point 41 de l’ordonnance attaquée, le Tribunal indique qu’il doit examiner « la question de savoir si la décision attaquée produit des effets juridiques modifiant de façon caractérisée la situation juridique de WhatsApp et
si elle la concerne directement, au sens de l’article 263, quatrième alinéa, TFUE » (
53
).
86.
La conclusion du Tribunal selon laquelle, d’une part, la question de la modification caractérisée de la situation juridique de WhatsApp par la décision litigieuse et, d’autre part, celle de l’affectation directe de la requérante par cette décision doivent être analysées séparément semble fondée sur la jurisprudence qu’il cite, et notamment sur les arrêts IBM et Deutsche Post (
54
).
87.
Je vais donc examiner ces arrêts.
88.
Au point 9 de l’arrêt IBM, la Cour précise que « constituent des actes ou décisions susceptibles de faire l’objet d’un recours en annulation au sens de l’article 173 les mesures produisant des effets juridiques obligatoires de nature à affecter les intérêts du requérant, en modifiant de façon caractérisée la situation juridique de celui‑ci » (
55
).
89.
Ces termes, répétés dans bon nombre d’arrêts ultérieurs tant par la Cour (
56
) que par le Tribunal (
57
), ont été interprétés, et pourraient continuer de l’être, en ce sens qu’ils suggèrent que la question du caractère attaquable d’un acte aux fins de l’article 263, premier alinéa, TFUE englobe la question de savoir si cet acte affecte la situation juridique du requérant (
58
). Il semble également que le Tribunal ait compris le point 9 de l’arrêt IBM en ce sens (voir point 86 des présentes conclusions).
90.
Il s’agit, selon moi, d’une compréhension erronée (ou dépourvue d’effet utile) de ce point de l’arrêt IBM.
91.
À mon avis, dans le point 9 de cet arrêt, la Cour énonce – en une seule phrase – toutes les conditions qu’il faut nécessairement remplir pour qu’un requérant non privilégié puisse avoir accès aux juridictions de l’Union : d’une part, les conditions qui découlent de l’article 263, premier alinéa, TFUE et, d’autre part, celles qui relèvent de l’article 263, quatrième alinéa, TFUE.
92.
Par cette phrase, la Cour n’intègre pas la question des effets de l’acte sur le requérant dans l’appréciation du respect des conditions prévues à l’article 263, premier alinéa, TFUE. En effet, un acte peut toujours être qualifié d’attaquable en général alors même qu’il ne peut pas être attaqué, dans une situation spécifique, par un requérant non privilégié parce qu’il ne modifie pas de façon caractérisée sa situation juridique.
93.
À mon avis, dans les points suivants de l’arrêt Deutsche Post, la Cour a tenté de dissiper la confusion créée par la phrase issue de l’arrêt IBM, répétée à plusieurs reprises :
« 36.
Il ressort d’une jurisprudence constante développée dans le cadre de recours en annulation introduits par des États membres ou des institutions que sont considérées comme des actes attaquables au sens de l’article 263 TFUE toutes dispositions adoptées par les institutions, quelle qu’en soit la forme, qui visent à produire des effets de droit obligatoires [...]
37.
Lorsque le recours en annulation contre un acte adopté par une institution est introduit par une personne physique ou morale, la Cour a itérativement jugé que celui-ci n’est ouvert que si les effets juridiques obligatoires de cet acte sont de nature à affecter les intérêts de la requérante, en modifiant de façon caractérisée la situation juridique de celle‑ci [...] [ (
59
)].
38.
Il y a toutefois lieu de souligner que la jurisprudence citée au point précédent a été développée dans le cadre de recours portés devant le juge de l’Union par des personnes physiques ou morales contre des actes dont ils étaient les destinataires. Lorsque, comme dans l’affaire ayant conduit à l’ordonnance Deutsche Post/Commission, précitée [ (
60
)], un recours en annulation est introduit par une partie requérante non privilégiée contre un acte dont elle n’est pas le destinataire, l’exigence selon laquelle les effets juridiques obligatoires de la mesure attaquée doivent être de nature à affecter les intérêts de la partie requérante, en modifiant de façon caractérisée la situation juridique de celle‑ci, se chevauche avec les conditions posées à l’article 263, quatrième alinéa, TFUE. »
94.
Selon moi, dans l’arrêt Deutsche Post, la Cour entendait préciser que le point 9 de l’arrêt IBM vise la situation dans laquelle un requérant non privilégié est le destinataire de l’acte attaqué. En effet, dans une telle situation, pour déterminer si un acte produit des effets de droit obligatoires à l’égard de tiers, il faut nécessairement apprécier s’il produit des effets à l’égard du requérant en tant que destinataire de cet acte. Dans un tel cas de figure, la question de savoir si un acte produit des effets de droit obligatoires et celle de savoir s’il modifie la situation juridique du requérant sont identiques.
95.
Toutefois, lorsque le requérant non privilégié n’est pas le destinataire de l’acte en cause, la question de savoir si cet acte modifie de façon caractérisée sa situation juridique relève de l’affectation directe qu’il convient d’examiner au titre du quatrième alinéa de l’article 263 TFUE, et non au titre du premier alinéa de cet article.
96.
En fait, les termes, souvent cités de manière inexacte, indiquant que la question de savoir si l’acte produit des effets juridiques apportant une modification caractérisée « se chevauche » avec la condition de l’affectation directe de l’article 263, quatrième alinéa, TFUE expriment l’interprétation de la Cour selon laquelle l’affectation directe doit faire l’objet d’une appréciation distincte, outre celle des éventuels effets de droit obligatoires produits par l’acte.
97.
Dans sa jurisprudence plus récente, la Cour, après avoir cité le point 38 de l’arrêt Deutsche Post, poursuit généralement par l’analyse visant à déterminer si l’acte en cause concerne directement le requérant non privilégié qui n’en est pas le destinataire (
61
).
98.
Partant, l’arrêt IBM, tel qu’il a été précisé par l’arrêt Deutsche Post, ne saurait être interprété en ce sens qu’il fusionne les conditions posées aux premier et quatrième alinéas de l’article 263 TFUE dans les situations où l’acte a pour destinataire une personne autre que le requérant.
99.
Cela signifie que, dans une telle situation, lorsque le destinataire de l’acte n’est pas le requérant, la condition selon laquelle cet acte doit être juridiquement obligatoire est distincte de celle exigeant que ledit acte modifie de façon caractérisée la situation juridique du requérant.
100.
En l’occurrence, pour évaluer la recevabilité du recours introduit par une partie requérante, il ne suffit pas que l’acte en cause produise des effets de droit obligatoires à l’égard de son destinataire ou d’une autre personne ; il convient également que la Cour examine si cet acte affecte la situation juridique de cette partie requérante. C’est ce qu’exige la condition de recevabilité supplémentaire découlant de l’article 263, quatrième alinéa, TFUE.
101.
Dans son arrêt Deutsche Post, la Cour a précisément suivi cette approche et constaté, en deux étapes distinctes, dans un premier temps, que l’acte était juridiquement obligatoire et, seulement dans un second temps, que cet acte concernait directement le requérant non privilégié. Il importe également de relever que, dans le cadre de l’examen visant à déterminer si l’acte était juridiquement obligatoire, la Cour a jugé qu’il était indifférent de savoir si cet acte revêtait un caractère préparatoire dans la procédure plus large au cours de laquelle il a été adopté (
62
). Selon la Cour, ce qui importait, aux fins de cette analyse, était que la décision produise des effets juridiques autonomes de sorte qu’elle pouvait faire l’objet d’un recours en annulation (
63
). Ce n’est qu’après avoir établi que le Tribunal avait commis une erreur de droit en considérant que l’acte attaqué n’était pas juridiquement obligatoire en raison de son caractère préparatoire (
64
) que la Cour a abordé la seconde étape de l’analyse et conclu que cet acte concernait aussi directement et individuellement le requérant non privilégié en cause, Deutsche Post AG en l’occurrence (
65
).
102.
Par conséquent, à mon sens, les trois points de l’arrêt Deutsche Post cités au point 93 des présentes conclusions visent précisément à dissiper l’éventuelle confusion découlant de l’arrêt IBM et à distinguer l’analyse du caractère juridiquement obligatoire de l’acte attaqué de celle visant à déterminer si cet acte affecte la situation juridique du requérant.
103.
Dans la présente affaire, le Tribunal n’a pas fait la distinction entre ces deux étapes de l’analyse. Ayant considéré que la décision litigieuse n’affectait pas, en elle‑même, la situation juridique de la requérante, il a conclu à tort que cette décision n’était pas un acte attaquable. Dans cette analyse, le Tribunal ne s’est pas concentré sur la question de savoir si la décision litigieuse produisait des effets de droit obligatoires à l’égard des tiers. Au lieu de cela, il s’est attaché à déterminer si cette décision devait être considérée comme intermédiaire du point de vue de la requérante (
66
). Ce faisant, le Tribunal a commis une erreur semblable à celle qu’il avait commise de nombreuses années auparavant dans son ordonnance du 14 juillet 2010, Deutsche Post/Commission (
67
), annulée par la Cour dans son arrêt Deutsche Post.
104.
À mes yeux, la question de savoir si un acte est « intermédiaire » ou « préparatoire » est superflue et complique indûment l’analyse requise au titre du premier et du quatrième alinéa de l’article 263 TFUE. Ainsi qu’il ressort de la présente affaire, se fonder de façon dogmatique sur ces notions peut, en fait, conduire à une conclusion erronée sur la recevabilité d’un recours en annulation. Je vais à présent examiner ce point.
2. Les questions superflues du caractère « préparatoire », « intermédiaire » et « opposable » de l’acte
105.
Au point 42 de l’ordonnance attaquée, le Tribunal a considéré comme pertinents aux fins de l’appréciation de la recevabilité 1°) le fait que la décision litigieuse constitue un acte « préparatoire » ou « intermédiaire » dans une procédure qui doit se clore par la décision finale d’une autorité de contrôle nationale, et 2°) le fait que la décision litigieuse n’est pas directement opposable à la requérante.
106.
Aucun de ces deux éléments – à savoir la nature « préparatoire » ou « intermédiaire » de l’acte et son caractère directement opposable à la requérante – n’est pertinent pour déterminer si cet acte est attaquable aux fins de l’article 263, premier alinéa, TFUE.
107.
Ces éléments sont également dénués de pertinence pour apprécier si l’acte concerne directement la requérante au sens de l’article 263, quatrième alinéa, TFUE (j’examinerai cette question à la section C des présentes conclusions).
108.
De même, la question de savoir si l’acte en cause est « final », en ce sens qu’il clôt une procédure complexe donnée, ou s’il doit être suivi par un « autre » acte du même organe ou d’un organe différent est également sans incidence sur le caractère attaquable de cet acte. En effet, comme je l’ai indiqué au point 78 des présentes conclusions, la question pertinente pour l’appréciation du caractère attaquable d’un acte est de savoir si cet acte a des effets juridiques autonomes – qu’il ne peut produire que s’il est définitif ou final du point de vue de l’institution ou de l’organe qui l’a adopté.
109.
Dans l’ordonnance attaquée, le Tribunal s’est fondé sur le point 10 de l’arrêt IBM pour conclure à l’existence d’un principe selon lequel les actes intermédiaires ne sont pas attaquables (
68
). Ayant établi ce principe, il a précisé que la possibilité d’attaquer un acte intermédiaire était une exception pouvant être invoquée lorsque cet acte produit des effets juridiques autonomes (
69
).
110.
Toutefois, au point 10 de l’arrêt IBM, la Cour a jugé que, « en principe, ne constituent un acte attaquable que les mesures qui fixent définitivement la position de la Commission ou du Conseil au terme de cette procédure » (
70
). Elle a ainsi précisé que, pour apprécier le caractère attaquable d’un acte, il fallait s’attacher à déterminer si l’acte en cause exprimait la position définitive de l’institution, du point de vue de celle‑ci.
111.
L’arrêt IBM n’a donc pas révélé l’existence d’un principe selon lequel les actes intermédiaires ne sont pas attaquables.
112.
Par ailleurs, l’arrêt IBM ne concernait même pas une procédure complexe, mais bien une procédure conduite exclusivement par la Commission. Dans le contexte de cette procédure, la Cour a évalué la pertinence des différentes phases de la procédure interne de la Commission pour conclure que la lettre attaquée dans cette affaire n’exprimait pas la position définitive de cette institution (
71
).
113.
Par conséquent, les termes « intermédiaire » ou « préparatoire » ne peuvent être pertinents que s’ils sont utilisés par opposition aux termes « définitif » ou « final » dans le cadre de la procédure interne d’une institution ou d’un organe (
72
).
114.
Si l’on devait considérer qu’un acte est « intermédiaire », et donc « non attaquable », du seul fait de la place qu’il occupe dans la procédure complexe au cours de laquelle, du point de vue du requérant, un autre acte lui sera adressé, un individu ne pourrait jamais attaquer le véritable acte qui affecte sa situation juridique et qui le concerne ainsi directement. Une telle situation serait contraire à l’article 263, quatrième alinéa, TFUE.
115.
Par conséquent, l’accent mis en l’espèce par le Tribunal sur le caractère « intermédiaire » ou « préparatoire » de la décision litigieuse s’écarte de la seule question pertinente qu’il convient de se poser au titre de l’article 263, premier alinéa, TFUE : la position du CEPD, telle qu’elle est exprimée dans la décision litigieuse, constitue-t-elle la position définitive de cet organe, en particulier une position obligatoire à l’égard d’un tiers, indépendamment du fait qu’un autre acte suivra pour « clore » la procédure mise en place par le mécanisme de contrôle de la cohérence du RGPD ?
116.
En l’espèce, la décision litigieuse est l’acte du CEPD. Par cette décision, celui‑ci a adopté sa position définitive sur la question de savoir, d’une part, si les données faisant l’objet d’un hachage avec perte, telles qu’elles sont utilisées par la requérante, constituent des « données à caractère personnel » au sens du RGPD et, d’autre part, si la requérante a enfreint les règles de transparence établies par le RGPD. Ces deux constatations définitives ont pour effet juridique d’obliger l’autorité de contrôle irlandaise, en sa qualité d’autorité de contrôle chef de file, à modifier son projet de décision (dans lequel elle proposait auparavant de conclure en sens contraire). Par la décision litigieuse, le CEPD oblige également cette autorité à réduire le délai de mise en conformité applicable et lui adresse des instructions contraignantes sur les modalités de calcul des amendes en cause. Ces instructions entraîneront l’augmentation de ces amendes par rapport à celles que l’autorité de contrôle irlandaise entendait infliger. Ces conclusions sont finales du point de vue du CEPD, en ce sens qu’elles fixent la position définitive de cet organe sur les questions qui lui ont été soumises. Elles créent donc une obligation (
73
) pour l’autorité de contrôle irlandaise et cette obligation ne peut être écartée que si le CEPD révoque sa décision ou si les juridictions de l’Union annulent cette décision.
117.
Étant donné que ladite décision est finale et qu’elle produit des effets de droit obligatoires en dehors de l’organe qui l’a adoptée, c’est‑à‑dire à l’égard de l’autorité de contrôle irlandaise, le Tribunal aurait dû conclure que la décision litigieuse remplissait les conditions de l’article 263, premier alinéa, TFUE, de sorte qu’il y avait lieu de la qualifier d’acte attaquable.
118.
Le deuxième élément superflu introduit par le Tribunal dans son analyse est le caractère directement opposable de la décision du CEPD à WhatsApp.
119.
Je peux être brève sur ce point : la détermination du caractère attaquable d’un acte ne dépendant pas de la question de savoir si ou comment cet acte modifie la situation juridique de la requérante, l’éventuel caractère directement opposable de la décision litigieuse à WhatsApp ne peut pas être pertinent pour l’analyse requise au titre de l’article 263, premier alinéa, TFUE. En outre, ainsi que je l’indiquerai dans les considérations qui suivent, le caractère directement opposable à la requérante n’est pas non plus un critère pertinent pour déterminer si la décision du CEPD la concerne directement.
3. Conclusion intermédiaire
120.
Pour déterminer si l’acte d’une institution ou d’un organe de l’Union est attaquable devant les juridictions de celle‑ci aux fins de l’article 263, premier alinéa, TFUE, il convient d’apprécier si cet acte exprime la position définitive de cette institution ou de cet organe produisant des effets de droit obligatoires à l’égard d’une personne extérieure à ladite institution ou audit organe.
121.
Pour que l’acte soit attaquable devant les juridictions de l’Union, le tiers à l’égard duquel cet acte produit des effets de droit obligatoires ne doit pas nécessairement être le même que celui qui a introduit le recours en annulation.
122.
La question de la qualité pour agir de la personne qui a introduit le recours contre l’acte attaquable doit s’apprécier au regard du quatrième alinéa de l’article 263 TFUE, et non au regard du premier alinéa de cet article.
123.
Pour évaluer le caractère attaquable d’un acte, il est indifférent que cet acte constitue une étape « intermédiaire » dans une procédure complexe.
124.
En s’attachant à la circonstance que la décision litigieuse n’était pas la décision finale adoptée dans le cadre du mécanisme de contrôle de la cohérence instauré par le RGPD, au lieu d’examiner si cette décision était la décision finale ou définitive du CEPD qui produit des effets de droit obligatoires à l’égard de l’autorité de contrôle irlandaise, le Tribunal a fait une appréciation erronée, dans l’ordonnance attaquée, des conditions posées à l’article 263, premier alinéa, TFUE.
125.
Je propose donc à la Cour de faire droit aux deux premiers arguments avancés dans le cadre du premier moyen de pourvoi.
C.
La requérante est directement concernée par la décision litigieuse
126.
Par ses troisième et quatrième arguments invoqués dans le cadre du premier moyen de pourvoi, la requérante soutient que le Tribunal a commis une erreur en concluant que la décision litigieuse ne la concernait pas directement.
127.
Selon la requérante, bien que le Tribunal ait correctement exposé la jurisprudence de la Cour exigeant le respect de deux conditions pour établir l’affectation directe d’une personne physique ou morale par un acte dont elle n’est pas destinataire (
74
), le Tribunal a toutefois fait une application erronée de cette jurisprudence.
128.
Conformément à la jurisprudence citée par le Tribunal, « la condition selon laquelle une personne physique ou morale doit être directement concernée par la mesure faisant l’objet de son recours requiert que deux conditions soient cumulativement satisfaites, à savoir que cette mesure, d’une part, produise directement des effets sur la situation juridique de cette personne et, d’autre part, ne laisse aucun pouvoir d’appréciation aux destinataires chargés de sa mise en œuvre, celle-ci ayant un caractère purement automatique et découlant de la seule réglementation de l’Union, sans application d’autres règles intermédiaires » (
75
).
129.
La qualification de ces deux critères de « cumulatifs » résulte de la jurisprudence dans laquelle l’acte attaqué nécessitait des mesures d’exécution (
76
).
130.
Dans une telle situation, l’acte attaqué ne pouvait affecter directement la situation juridique du requérant que si l’organe d’exécution ne disposait d’aucun pouvoir d’appréciation quant à la question de savoir si et comment il devait mettre en œuvre cet acte (
77
).
131.
C’est la situation qui se présente en l’espèce. La décision litigieuse, qui concerne la requérante, est adressée à l’autorité de contrôle irlandaise, et non à la requérante. Cette décision impose à l’autorité de contrôle irlandaise de modifier son projet de décision aux fins de l’adoption de la décision finale, adressée à la requérante, de telle sorte que cette décision finale mette en œuvre les constatations opérées dans la décision litigieuse. Partant, la question de savoir si cette autorité disposait d’un pouvoir d’appréciation après l’adoption de la décision litigieuse par le CEPD est pertinente pour apprécier l’affectation directe de la requérante.
132.
Dans ce contexte, la requérante fait valoir que le Tribunal a fait une interprétation erronée de l’article 263, quatrième alinéa, TFUE à deux égards. D’une part, dans son examen de la première condition de l’affectation directe, le Tribunal a appliqué les critères de l’« opposabilité » et de l’« ultime étape de la procédure », alors qu’aucun de ceux‑ci n’est pertinent pour établir l’affectation directe. D’autre part, dans son analyse de la seconde condition de l’affectation directe, le Tribunal a fait une application erronée du critère du pouvoir d’appréciation dans le contexte de la décision litigieuse.
133.
Je souscris au point de vue de la requérante sur ces deux points.
1. L’opposabilité de la décision litigieuse à la requérante
134.
La première interprétation erronée que la requérante reproche au Tribunal est celle par laquelle il a conclu, au point 52 de l’ordonnance attaquée, que la condition exigeant que la décision litigieuse affecte directement la situation juridique de WhatsApp n’était pas remplie parce que cette décision ne lui était pas opposable.
135.
La condition de l’« opposabilité » n’est pas mentionnée à l’article 263, quatrième alinéa, TFUE et ne ressort pas non plus de la jurisprudence de la Cour.
136.
Cela est dû à une bonne raison. Dans la plupart des situations nécessitant une mesure d’exécution, que ce soit au niveau de l’Union ou au niveau national, la décision de l’Union mise en œuvre n’est, en soi, pas opposable aux personnes physiques ou morales, quand bien même ces personnes sont les destinataires prévus de cette décision. La raison même pour laquelle une mesure d’exécution est souvent requise tient au fait que l’acte de l’Union en cause ne peut pas, en lui-même, « atteindre » le requérant. Dans ces situations, seule la mesure d’exécution est opposable à la personne physique ou morale.
137.
Si le caractère « directement opposable » d’un acte à l’égard d’une personne physique ou morale devait conditionner l’affectation directe, les requérants non privilégiés ne pourraient pratiquement jamais attaquer un acte de l’Union nécessitant des mesures d’exécution.
138.
En fait, s’agissant de la question de l’affectation directe, il est sans incidence que seule soit opposable à une personne physique ou morale la mesure d’exécution en cause, et non l’acte dont elle conteste la validité devant les juridictions de l’Union. Si la mesure d’exécution est la simple reproduction de l’acte visé par le recours, parce que l’organe d’exécution ne dispose d’aucune marge de manœuvre quant à la question de savoir s’il doit adopter une décision et comment il doit la formuler, il est clair que l’acte attaqué est la véritable raison de la modification de la situation juridique de la requérante.
139.
En l’espèce, cela signifie que le Tribunal a commis une erreur en prenant en considération le caractère opposable de la décision litigieuse à la requérante en tant qu’élément pertinent pour apprécier si cette décision la concerne directement.
2. La décision litigieuse n’est pas l’ultime étape de la procédure prévue par le mécanisme de contrôle de la cohérence
140.
Au même point 52 de l’ordonnance attaquée, le Tribunal a jugé que la requérante n’était pas directement concernée par la décision litigieuse au motif que celle‑ci n’était pas l’ultime étape de la procédure prévue par le mécanisme de contrôle de la cohérence du RGPD et, au contraire, qu’elle nécessitait des mesures d’exécution au niveau national.
141.
Il découle déjà des commentaires qui précèdent qu’une personne peut être directement concernée par un acte alors même que cet acte comporte des mesures d’exécution (
78
).
142.
La seconde condition de l’affectation directe, telle qu’elle ressort de la jurisprudence de la Cour (voir point 128 des présentes conclusions) mentionnée par le Tribunal en tant que droit applicable dans l’ordonnance attaquée (
79
), serait vidée de son sens si l’on devait conclure à l’absence d’affectation directe lorsque l’acte attaqué comporte des mesures d’exécution.
143.
Cette interprétation méconnaît, par ailleurs, la distinction entre la condition exigeant qu’un acte réglementaire ne comporte pas de mesures d’exécution et la condition de l’affectation directe, qui doivent toutes deux être remplies pour établir la qualité pour agir d’un requérant non privilégié en vertu de l’article 263, quatrième alinéa, TFUE (
80
).
144.
Le Tribunal a donc commis une erreur en considérant qu’il était pertinent, pour apprécier si la requérante était directement concernée par la décision litigieuse, que l’autorité de contrôle irlandaise doive adopter une décision mettant en œuvre la décision litigieuse.
145.
Le Tribunal a tenté de distinguer la présente situation des situations qui se produisent dans le domaine des aides d’État, dans lesquelles la Commission conclut à l’incompatibilité de l’aide avec le marché intérieur et ordonne à l’État membre concerné de la récupérer (
81
). Dans de telles situations, la Cour a jugé que les destinataires de l’aide étaient directement concernés par la décision pertinente de la Commission, quand bien même cette décision devait être mise en œuvre par l’État membre en cause et ne pouvait être appliquée que sur la base des mesures d’exécution concernées (
82
).
146.
Je ne peux que souscrire à l’analyse de la requérante selon laquelle le Tribunal s’est fondé à tort sur ces arrêts pour distinguer la présente situation et conclure que WhatsApp n’était pas directement concernée par la décision litigieuse (
83
).
147.
Au contraire, ces arrêts amènent plutôt à conclure que WhatsApp est directement concernée par la décision litigieuse. Cette décision est source d’une modification de la situation juridique de la requérante, en dépit du fait que l’autorité de contrôle irlandaise doive adopter une décision « d’exécution ». En substance, la logique est donc précisément celle qui a été suivie par la Cour dans la jurisprudence citée par le Tribunal au point 64 de l’ordonnance attaquée.
148.
De même, je considère que le Tribunal a commis une erreur en considérant que la décision litigieuse n’était pas analogue aux décisions de la Commission ordonnant la récupération d’une aide au motif que la décision litigieuse n’achevait pas la procédure en cause au niveau national (
84
). Au contraire, en tant qu’elle concerne les questions tranchées par le CEPD par la voie de la décision litigieuse, la procédure régissant le mécanisme de contrôle de la cohérence était, en fait, terminée dès lors que l’autorité de contrôle irlandaise ne pouvait pas modifier les constatations formulées dans cette décision. La circonstance que cette autorité puisse être amenée à statuerégalement sur certains points supplémentaires qui n’ont pas été couverts par la décision litigieuse ne change rien au « caractère définitif » des constatations opérées dans la décision litigieuse sur les questions qu’elle a tranchées.
149.
À l’examen des observations qui précèdent, il me paraît clair que la décision litigieuse affecte la situation juridique de la requérante dès lors que, dans cette décision, le CEPD constate, d’une part, que la procédure de hachage avec perte de la requérante comporte des données à caractère personnel et, d’autre part, que la pratique de WhatsApp enfreint certaines règles de transparence imposées par le RGPD aux responsables du traitement.
150.
À elle seule, cette dernière constatation impose à la requérante une obligation juridique de modifier sa pratique. Il s’agit, en outre, du fondement juridique sur lequel l’autorité de contrôle irlandaise inflige des amendes plus élevées à la requérante. Sans la décision litigieuse, cette autorité ne pourrait pas le faire. Ce n’est que parce qu’elle était tenue de le faire en vertu de la décision litigieuse que ladite autorité a inclus ces constatations dans sa décision finale. À mes yeux, cela montre très clairement que la véritable origine de la modification de la situation juridique de la requérante est la décision litigieuse, et non, comme le Tribunal le conclut à tort, la décision de l’autorité de contrôle irlandaise.
3. Le pouvoir d’appréciation de l’autorité de contrôle irlandaise
151.
Si un acte visé par un recours en annulation requiert des mesures d’exécution, cet acte concernera directement la requérante seulement si l’organe qui adopte ces mesures d’exécution ne dispose d’aucun pouvoir d’appréciation et doit plutôt mettre en œuvre automatiquement les constatations opérées dans la décision attaquée.
152.
En l’espèce, cela signifie que la décision litigieuse concernera directement WhatsApp si l’autorité de contrôle irlandaise ne dispose d’aucun pouvoir d’appréciation quant à la question de savoir si ou comment elle doit mettre en œuvre cette décision.
153.
Dans l’ordonnance attaquée, le Tribunal a estimé que l’autorité de contrôle irlandaise disposait d’une marge d’appréciation, de sorte que la requérante n’était pas directement concernée par la décision litigieuse, mais uniquement par la décision finale de cette autorité (
85
).
154.
Je souscris à l’analyse de la requérante selon laquelle, ici aussi, le Tribunal a commis une erreur d’appréciation.
155.
Premièrement, la conclusion du CEPD indiquant, d’une part, que le hachage avec perte constitue un traitement de données à caractère personnel et, d’autre part, que la requérante, en qualité de responsable du traitement, a manqué aux obligations qui lui incombent en vertu des articles 5, 13 et 14 du RGPD a dû être transposée dans la décision finale de l’autorité de contrôle irlandaise, de sorte que celle‑ci ne disposait d’aucune marge d’appréciation l’autorisant à conclure en sens contraire.
156.
Deuxièmement, la décision litigieuse a imposé à l’autorité de contrôle irlandaise une obligation inconditionnelle d’augmenter les amendes et de recourir aux méthodes de calcul figurant dans la décision du CEPD, quand bien même il appartenait à cette autorité de procéder au calcul final du montant de ces amendes ainsi qu’à l’infliction finale de celles‑ci. Cela signifie qu’aucune marge d’appréciation n’a été laissée à ladite autorité, en qualité d’« organe d’exécution », pour maintenir ou réduire les amendes initiales (
86
).
157.
Par conséquent, s’agissant de ces deux éléments de la décision litigieuse, l’autorité de contrôle irlandaise ne disposait d’aucun pouvoir d’appréciation quant à la question de savoir si ou comment elle devait statuer à l’égard de la requérante.
158.
Il s’ensuit que le Tribunal a commis une erreur en jugeant que l’autorité de contrôle irlandaise disposait d’un pouvoir d’appréciation sur ces éléments (
87
).
159.
En vertu de l’article 65, paragraphe 1, sous a), du RGPD, le CEPD ne statue que sur les aspects de l’application du RGPD qui ont été visés par des objections d’autres autorités de contrôle et qui n’ont pas été réglés entre les autorités de contrôle participantes. Par conséquent, l’autorité de contrôle irlandaise dispose effectivement d’un pouvoir d’appréciation pour statuer sur les questions qui n’ont pas été soumises au CEPD, mais qui font néanmoins partie de la décision nationale finale (
88
).
160.
Cette constatation a-t-elle une incidence sur l’affectation directe de la requérante par la décision litigieuse ?
161.
Dans l’ordonnance attaquée, le Tribunal a estimé que la portée limitée de la décision litigieuse était pertinente dès lors que la décision finale de l’autorité de contrôle irlandaise constituait un tout dont on ne pouvait pas détacher les parties à l’égard desquelles cette autorité ne dispose et ne disposait d’aucune marge d’appréciation (
89
).
162.
À mes yeux, et en accord, ici aussi, avec la position de la requérante, cette circonstance n’a aucune incidence sur la question de l’affectation directe de WhatsApp par la décision litigieuse.
163.
Pour apprécier l’affectation directe, il convient de partir de la substance de l’acte attaqué (
90
). À cet égard, il suffit que le contenu de la décision litigieuse, qui affecte la situation juridique de la requérante, n’ait laissé aucune marge d’appréciation à l’autorité de contrôle irlandaise sur ces points, quand bien même la décision finale traitait également d’autres questions.
164.
En fait, ainsi que je l’exposerai dans la partie suivante des présentes conclusions, si la requérante n’avait pas contesté la décision litigieuse devant le Tribunal, elle n’aurait plus pu faire valoir l’invalidité de cette décision dans le cadre de son recours introduit contre la décision finale de l’autorité de contrôle irlandaise devant les juridictions irlandaises compétentes.
165.
En effet, comme la requérante l’a indiqué à l’audience, une telle procédure est pendante devant les juridictions irlandaises. La requérante y sollicite l’annulation de la décision finale de l’autorité de contrôle irlandaise également en ce qui concerne les aspects de cette décision qui n’ont pas été traités dans la décision litigieuse. Elle a néanmoins introduit, en même temps, un recours devant le Tribunal contre la décision du CEPD afin de garantir son droit d’exciper de l’invalidité des parties de la décision de l’autorité de contrôle irlandaise à l’égard desquelles cette dernière ne disposait d’aucun pouvoir d’appréciation.
166.
Partant, le Tribunal a également commis une erreur en concluant que la requérante n’était pas directement concernée par la décision litigieuse au motif que l’autorité de contrôle irlandaise disposait d’une marge d’appréciation pour la « mettre en œuvre » dès lors que la décision finale nationale traitait aussi d’aspects qui n’avaient pas été couverts par la décision litigieuse.
4. Conclusion intermédiaire
167.
Le Tribunal a mal appliqué les conditions d’appréciation de l’affectation directe au titre de l’article 263, quatrième alinéa, TFUE.
168.
Premièrement, il a fondé son appréciation sur des conditions inexistantes selon lesquelles 1°) l’acte attaqué doit être directement opposable à la partie requérante dans les procédures d’annulation, et 2°) cet acte ne doit pas comporter de mesures d’exécution.
169.
Deuxièmement, le Tribunal a commis une erreur d’appréciation en considérant que la décision litigieuse laissait une marge d’appréciation à l’autorité chargée de sa mise en œuvre, en l’espèce l’autorité de contrôle irlandaise.
170.
Enfin, le Tribunal a commis une erreur en concluant que la circonstance que certaines parties de la décision finale de l’autorité de contrôle irlandaise n’avaient pas été couvertes par la décision litigieuse avait une incidence sur la question de la marge de manœuvre laissée par la décision litigieuse à cette autorité.
171.
Je suggère donc à la Cour de faire droit aux troisième et quatrième arguments avancés dans le cadre du premier moyen de pourvoi.
D.
La logique du système des voies de recours juridictionnelles de l’Union amène à conclure à la recevabilité du recours introduit dans la présente affaire
172.
Par son cinquième argument avancé dans le cadre du premier moyen de pourvoi, la requérante soutient que le Tribunal a dénaturé les exigences procédurales du système des voies de recours juridictionnelles de l’Union.
173.
Dans l’ordonnance attaquée, le Tribunal a considéré que, dans la procédure prévue par le mécanisme de contrôle de la cohérence, une procédure juridique contre la décision finale de l’autorité de contrôle nationale devait être engagée devant les juridictions nationales compétentes. Selon le Tribunal, la logique du système complet des voies de recours juridictionnelles amène à conclure que la juridiction nationale est le for approprié (
91
), qui introduira ensuite la procédure préjudicielle devant la Cour en ce qui concerne la validité de la partie de la décision nationale dictée par la décision pertinente du CEPD.
174.
L’on peut reconnaître une certaine validité à la position du Tribunal exigeant la concentration des recours devant une seule juridiction. La solution qu’il propose remédierait, en fait, aux inconvénients procéduraux actuels qui imposent effectivement à la partie requérante d’introduire deux recours distincts, l’un devant le Tribunal et l’autre devant la juridiction nationale, si elle souhaite assurer la sauvegarde effective de tous les droits qu’elle tire du droit de l’Union. Ce n’est, en effet, pas la manière la plus efficace de protéger les droits d’une personne.
175.
C’est précisément ce qu’a fait la requérante en l’espèce : elle a introduit deux recours, l’un devant le Tribunal et l’autre devant les juridictions irlandaises compétentes. Cependant, du moins dans sa structure actuelle, le système de la protection juridictionnelle de l’Union ne prévoit pas d’autre solution, ainsi que je l’exposerai dans les considérations qui suivent.
1. Le rapport entre les recours directs et indirects dirigés contre un acte de l’Union
176.
Premièrement, comme on le sait, les juridictions nationales n’ont pas le pouvoir d’invalider les actes des institutions et autres organes de l’Union. Par conséquent, si elles considèrent qu’un acte de l’Union est invalide, elles doivent engager une procédure préjudicielle devant la Cour et obtenir de celle‑ci la confirmation de cette invalidité (
92
).
177.
Deuxièmement, une juridiction nationale ne peut pas remettre en cause la validité d’un acte de l’Union si la partie qui en invoque l’invalidité remplit les conditions de qualité pour agir prévues à l’article 263, quatrième alinéa, TFUE, mais n’a pas contesté cet acte devant les juridictions de l’Union dans le délai imparti par l’article 263, sixième alinéa, TFUE. C’est ce qui ressort de l’arrêt du 9 mars 1994, TWD Textilwerke Deggendorf (
93
), ces considérations ayant été confirmées dans des arrêts ultérieurs, et notamment dans l’arrêt du 25 juillet 2018, Georgsmarienhütte e.a. (
94
), commenté par les parties à la présente procédure.
178.
Dans cet arrêt, la Cour a jugé que, « dès lors qu’un justiciable qui entend contester un acte de l’Union a sans aucun doute qualité pour agir au titre de l’article 263, quatrième alinéa, TFUE, il est tenu de faire usage de la voie de droit prévue par cette disposition en introduisant un recours devant le Tribunal » (
95
). Si une personne avait l’occasion de former un recours en annulation dans le délai prévu à l’article 263, sixième alinéa, TFUE, mais ne l’a pas fait, la juridiction nationale ne peut pas accepter l’exception d’invalidité de l’acte de l’Union soulevée par cette personne et doit considérer l’acte attaqué comme définitif à l’égard de celle‑ci (
96
). Si, dans une telle situation, la Cour a été saisie par une juridiction nationale dans le cadre d’une procédure préjudicielle, elle devrait rejeter le renvoi préjudiciel comme irrecevable dès lors qu’elle apporterait à la question une réponse que la juridiction de renvoi ne pourrait pas utiliser.
179.
L’arrêt du 3 décembre 2019, Iccrea Banca (
97
), constitue un exemple récent dans le domaine des procédures complexes. Dans cet arrêt, la Cour a jugé irrecevable une partie du renvoi préjudiciel du Tribunale amministrativo regionale per il Lazio (tribunal régional administratif pour le Latium, Italie) devant lequel une banque, Iccrea Banca, avait contesté le calcul du montant de sa contribution au Fonds de résolution unique. La Cour a considéré que cette banque était directement et individuellement concernée par une décision du CRU, qui constituait le fondement de la détermination du montant de ces contributions, mais qu’elle n’avait pas contesté cette décision par la voie d’un recours en annulation devant le Tribunal (
98
). Iccrea Banca n’avait donc plus la possibilité d’exciper indirectement de l’invalidité de la décision du CRU devant la juridiction nationale, de sorte que la Cour a dû rejeter le renvoi préjudiciel comme irrecevable sur ce point.
180.
Si l’on applique cette jurisprudence à la présente situation, dans laquelle WhatsApp avait qualité pour agir contre la décision litigieuse devant le Tribunal, il est clair que WhatsApp ne pourrait pas faire valoir l’invalidité de cette décision devant la juridiction nationale si elle n’avait pas également contesté directement ladite décision devant le Tribunal dans le délai imparti par l’article 263, sixième alinéa, TFUE (
99
).
181.
Par conséquent, étant donné, d’une part, que la requérante est directement concernée par la décision litigieuse et, d’autre part, comme le Tribunal l’a lui‑même constaté, que cette décision la concerne individuellement (
100
), le recours dirigé contre ladite décision doit être formé devant les juridictions de l’Union, et non devant les juridictions nationales.
182.
Le considérant 143 du RGPD confirme que, pour assurer la bonne organisation du contrôle juridictionnel dans une situation telle que celle de l’espèce, il convient d’introduire un recours en annulation devant le Tribunal (
101
). Même si ce considérant n’a pas force obligatoire, ainsi que le fait valoir à juste titre le CEPD, il décrit néanmoins les conséquences qui s’attachent à l’application des normes obligatoires du traité concernant l’organisation des procédures juridictionnelles.
183.
Enfin, outre les arguments qui précèdent, j’ajouterais que le recours direct devant le Tribunal, dans le cadre duquel l’organe de l’Union, auteur de la décision attaquée, est partie à la procédure, est à mes yeux le moyen le plus approprié de statuer sur la validité de cette décision. En effet, le rôle que cet organe peut jouer dans la procédure devant la juridiction nationale dépendra des règles procédurales nationales pertinentes, de sorte qu’il pourrait se voir refuser l’accès aux débats entourant son propre acte (
102
).
2. Autres questions procédurales
184.
Dans l’ordonnance attaquée, le Tribunal a également exprimé ses préoccupations quant à d’éventuelles divergences entre la décision au niveau de l’Union et la décision au niveau national, lesquelles peuvent résulter des recoupements entre les procédures juridictionnelles (
103
).
185.
Cette question n’est pas nouvelle. Ainsi que la Cour l’a indiqué dans son arrêt du 14 décembre 2000, Masterfoods et HB, lorsque la validité d’un acte de l’Union est mise en cause à la fois devant les juridictions nationales et devant les juridictions de l’Union, les juridictions nationales sont tenues, en vertu du principe de coopération loyale, de s’abstenir de prendre une décision risquant d’entrer en conflit avec une décision existante ou future des juridictions de l’Union (
104
). Ainsi, lorsqu’un recours en annulation est pendant devant le Tribunal et qu’une question de validité est soulevée par la voie d’un recours parallèle introduit dans le cadre d’une procédure nationale, le partage des compétences entre les juridictions de l’Union et les juridictions nationales peut imposer à ces dernières de surseoir à statuer (
105
). En l’espèce, il semble que ce soit la décision qui a été prise par les juridictions irlandaises compétentes (
106
).
186.
Si la juridiction nationale a introduit la procédure préjudicielle devant la Cour en dépit du recours en annulation pendant devant le Tribunal, la Cour peut, en vertu de l’article 54 du statut de la Cour de justice de l’Union européenne et du principe de bonne administration, suspendre la procédure devant elle au profit de ce recours en annulation (
107
).
3. Conclusion intermédiaire
187.
La logique du système de protection juridictionnelle établi par les traités n’oblige pas à conclure à l’irrecevabilité du recours en annulation introduit par la requérante devant le Tribunal.
188.
Je suggère donc à la Cour de faire droit également au cinquième argument avancé dans le cadre du premier moyen de pourvoi.
189.
Eu égard à l’ensemble des arguments qui précèdent, je propose à la Cour d’accueillir le premier moyen de pourvoi de la requérante.
E.
Les conséquences
190.
En vertu de l’article 61 du statut de la Cour de justice de l’Union européenne, la Cour peut statuer elle‑même définitivement sur le litige lorsque celui‑ci est en état d’être jugé.
191.
Cette condition est remplie dans la présente affaire en tant qu’elle concerne la recevabilité du recours direct introduit devant le Tribunal.
192.
Premièrement, la décision litigieuse constitue un acte attaquable aux fins de l’article 263, premier alinéa, TFUE. Deuxièmement, la requérante est directement concernée par cette décision au sens de l’article 263, quatrième alinéa, TFUE. Troisièmement, ladite décision concerne individuellement la requérante, ainsi que le Tribunal l’a lui‑même constaté dans l’ordonnance attaquée (
108
). Il s’ensuit que les conditions prévues aux premier et quatrième alinéas de l’article 263 TFUE sont remplies. Le recours est donc recevable.
193.
Toutefois, le Tribunal n’ayant pas examiné le fond du recours introduit devant lui, lequel appelle une appréciation détaillée en droit et en fait, le litige n’est pas en état d’être jugé sur le fond par la Cour.
194.
Partant, il y a lieu de renvoyer l’affaire devant le Tribunal et de réserver les dépens.
IV. Conclusion
195.
Je propose à la Cour :
–
d’annuler l’ordonnance du Tribunal de l’Union européenne du 7 décembre 2022, WhatsApp Ireland/Comité européen de la protection des données (T‑709/21, EU:T:2022:783),
–
de déclarer recevable le recours en annulation introduit par WhatsApp Ireland Ltd,
–
de renvoyer l’affaire devant le Tribunal pour qu’il statue sur le fond, et
–
de réserver les dépens.
(
1
)	Langue originale : l’anglais.
(
2
)	Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1) (ci‑après le « RGPD »), articles 63 et 65.
(
3
)	Décision contraignante 1/2021 concernant le litige relatif au projet de décision de l’autorité de contrôle irlandaise concernant WhatsApp Ireland en application de l’article 65, paragraphe 1, point a), du RGPD, publiée à l’adresse : https://www.edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-12021-dispute-arisen_fr.
(
4
)	Ordonnance du 7 décembre 2022, WhatsApp Ireland/Comité européen de la protection des données (T‑709/21, ci-après l’« ordonnance attaquée », EU:T:2022:783).
(
5
)	Au moment de la rédaction des présentes conclusions, sept autres procédures dirigées contre des décisions contraignantes adoptées par le CEPD dans le cadre du mécanisme de contrôle de la cohérence sont pendantes devant le Tribunal, ces procédures ayant été introduites aussi bien par des sous-traitants et des responsables du traitement que par des autorités de contrôle nationales. Voir affaire T‑682/22, Meta Platforms Ireland/Comité européen de la protection des données, affaire T‑70/23, Data Protection Commission/Comité européen de la protection des données, affaire T‑84/23, Data Protection Commission/Comité européen de la protection des données, affaire T‑128/23, Meta Platforms Ireland/Comité européen de la protection des données, affaire T‑129/23, Meta Platforms Ireland/Comité européen de la protection des données, affaire T‑111/23, Data Protection Commission/Comité européen de la protection des données, et affaire T‑153/23, WhatsApp Ireland/Comité européen de la protection des données. Trois autres affaires, également pendantes, concernent des recours dirigés contre des décisions adoptées par le CEPD en dehors du cadre du mécanisme de contrôle de la cohérence. Voir affaire T‑325/23, Meta Platforms Ireland/Comité européen de la protection des données, affaire T‑1030/23, Tiktok Technology/Comité européen de la protection des données, et affaire T‑8/24, Meta Platforms Ireland/Comité européen de la protection des données.
(
6
)	Pour une tentative de catégorisation, voir Eliantonio, M., « Access to justice in composite procedures for the implementation of EU law : The story so far », dans Van Cleynenbreugel, P., et Wildemeersch, J. (dir.), Questions choisies de droit européen des affaires / Selected Issues in European Business Law : 60 ans d’études juridiques européennes à Liège / 60 years of European legal studies at Liège, Bruylant, 2023, p. 189 à 221.
(
7
)	Hofmann, H. C. H. indique que « les procédures complexes sont des procédures comportant plusieurs phases auxquelles contribuent des acteurs administratifs provenant de différents territoires, qui coopèrent soit de manière verticale, entre des institutions et organes de l’Union et des institutions et organes des États membres, soit de manière horizontale, entre des institutions et organes de différents États membres, soit encore de manière triangulaire, entre des institutions et organes des différents États membres et des institutions et organes de l’Union » ; voir Hofmann, H. C. H., « Composite decision making procedures in EU administrative law », dans Hofmann, H. C. H., et Türk, A. H., Legal Challenges in EU Administrative Law, Edward Elgar, Cheltenham, 2009, p. 136.
(
8
)	Pour un exposé récent des questions théoriques et pratiques soulevées par les procédures complexes, voir Bastos, F. B., Judging Composite Decision-Making : The Transformation of European Administrative Law, Hart Publishing, Oxford, 2024.
(
9
)	L’article 55, paragraphe 1, du RGPD dispose que « [c]haque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l’État membre dont elle relève ».
(
10
)	Voir, en ce sens, considérants 9, 10 et 13 du RGPD.
(
11
)	Voir article 60, paragraphe 4, du RGPD.
(
12
)	À cet égard, le rôle du CEPD diffère de celui de son prédécesseur, le groupe de travail « article 29 », institué par l’article 29, paragraphe 1, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), qui n’avait qu’une fonction consultative.
(
13
)	Voir, également, considérant 136 du RGPD.
(
14
)	Article 65, paragraphe 5, du RGPD.
(
15
)	L’article 65, paragraphe 6, du RGPD prévoit que cette décision nationale doit être adoptée au plus tard un mois après que le CEPD a notifié sa décision contraignante à l’autorité de contrôle.
(
16
)	Si une autorité de contrôle nationale n’accepte pas la décision contraignante du CEPD, elle peut en contester la validité devant le Tribunal. Voir, par exemple, le recours visé par l’arrêt du 29 janvier 2025, Data Protection Commission/Comité européen de la protection des données (T‑70/23, T‑84/23 et T‑111/23, EU:T:2025:116).
(
17
)	La politique de confidentialité est censée respecter les règles de transparence applicables à la requérante, telles qu’elles découlent des articles 12 à 14 du RGPD ainsi que, sans doute, de l’article 8 de la charte des droits fondamentaux de l’Union européenne. Voir, de manière générale, Groupe de travail « Article 29 », Lignes directrices sur la transparence au sens du règlement (UE) 2016/679, adoptées le 29 novembre 2017 (WP260).
(
18
)	Voir article 99, paragraphe 2, du RGPD.
(
19
)	Voir Data Protection Commission (Commission de protection des données), Decision of the Data Protection Commission made pursuant to Section 111 of the Data Protection Act, 2018 and Articles 60 and 65 of the General Data Protection Regulation (décision de la Commission de protection des données adoptée au titre de l’article 111 de la loi sur la protection des données de 2018 ainsi que des articles 60 et 65 du règlement général sur la protection des données), 2021 (IN‑18‑12‑2) (ci‑après la « décision nationale finale »), point 3, disponible à l’adresse : https://www.dataprotection.ie/sites/default/files/uploads/2022‑03/Full_decision_WhatsApp_Ireland-August_2021.pdf.
(
20
)	Voir décision nationale finale, point 4.
(
21
)	Voir ordonnance attaquée, point 4. Voir, également, décision nationale finale, point 23.
(
22
)	Voir ordonnance attaquée, point 5. Voir, également, décision nationale finale, point 23.
(
23
)	Voir ordonnance attaquée, point 5. Voir, également, décision nationale finale, point 24.
(
24
)	Voir ordonnance attaquée, point 5. Voir, également, décision nationale finale, point 25.
(
25
)	Décision nationale finale, point 25.
(
26
)	Telle que je la comprends, la procédure de hachage avec perte (lossy hashing procedure) de la requérante est, en substance, une technique de chiffrement permettant de traduire en codes numériques les numéros de téléphone des utilisateurs et des non‑utilisateurs de son service de messagerie. La requérante partagerait ensuite les codes numériques avec des tiers. Contrairement au projet de décision de l’autorité de contrôle irlandaise, le CEPD a considéré que, dès lors que la requérante était en mesure d’isoler des personnes concernées et, par conséquent, de les réidentifier même sur la base de ces codes « hachés », les données hachées constituaient des données à caractère personnel au sens du RGPD. Voir, en ce sens, décision litigieuse, points 141 à 157.
(
27
)	Voir, en ce sens, ordonnance attaquée, point 11, et décision litigieuse, points 427 et 428.
(
28
)	Voir, en ce sens, ordonnance attaquée, point 11, et décision litigieuse, points 426 et 428.
(
29
)	Voir, en ce sens, ordonnance attaquée, point 11, et décision litigieuse, points 429 et 430.
(
30
)	Voir, à cet égard, ordonnance attaquée, point 9.
(
31
)	Ainsi, par exemple, dans l’arrêt du 18 juin 2024, Commission/CRU (C‑551/22 P, ci-après l’« arrêt Commission/CRU », EU:C:2024:520), la Cour a précisé que les constatations opérées dans l’arrêt du 6 mai 2021, ABLV Bank e.a./BCE (C‑551/19 P et C‑552/19 P, EU:C:2021:369) n’étaient pas automatiquement transposables à la situation qui se présentait dans cette affaire. Dans ce dernier arrêt, la Cour a jugé qu’une décision de la Banque centrale européenne (BCE) constatant qu’une banque était en situation de défaillance avérée ou prévisible ne constituait pas un acte attaquable au motif qu’elle n’avait pas d’effet contraignant à l’égard du Conseil de résolution unique (CRU), de sorte qu’il fallait introduire un recours en annulation contre l’acte adopté par le CRU. Toutefois, cela ne signifie pas qu’un acte adopté par le CRU dans le cadre de la procédure de résolution constitue toujours un acte attaquable. S’il a été adopté au cours d’une autre phase de la procédure de résolution, l’acte adopté par cet organe n’est pas attaquable s’il ne produit aucun effet de droit obligatoire à l’égard de la Commission européenne, qui, dans cette procédure complexe, est habilitée à prendre une décision finale.
(
32
)	Ainsi, la Cour doit parfois indiquer pourquoi les constatations qu’elle a opérées dans son arrêt antérieur ne peuvent pas s’appliquer à l’arrêt en cause. À cet égard, voir arrêt Commission/CRU, point 92.
(
33
)	Arrêt du 11 novembre 1981, IBM/Commission (60/81, ci-après l’« arrêt IBM », EU:C:1981:264, point 9).
(
34
)	Arrêt du 13 octobre 2011, Deutsche Post et Allemagne/Commission (C‑463/10 P et C‑475/10 P, ci-après l’« arrêt Deutsche Post », EU:C:2011:656).
(
35
)	Il est de jurisprudence constante que les questions relatives à la recevabilité d’un recours en annulation constituent des questions d’ordre public qui peuvent être soulevées à tout moment, même en l’absence d’un pourvoi incident formé au titre de l’article 176, paragraphe 2, du règlement de procédure de la Cour. Voir, entre autres, arrêts du 2 septembre 2021, Ja zum Nürburgring/Commission (C‑647/19 P, EU:C:2021:666, points 52 et 53 ainsi que jurisprudence citée), et du 21 septembre 2023, China Chamber of Commerce for Import and Export of Machinery and Electronic Products e.a./Commission (C‑478/21 P, EU:C:2023:685, points 42 et 43 ainsi que jurisprudence citée).
(
36
)	Voir, entre autres, arrêts du 10 mars 1998, Allemagne/Conseil (C‑122/95, EU:C:1998:94, point 35), et du 26 septembre 2024, WEPA Hygieneprodukte e.a./Commission (C‑795/21 P et C‑796/21 P, EU:C:2024:807, points 63 et 73).
(
37
)	Voir première phrase de l’article 65, paragraphe 5, du RGPD.
(
38
)	Voir, en ce sens, arrêts du 5 avril 1979, Orlandi/Commission (117/78, EU:C:1979:109, point 11), et du 26 septembre 2013, PPG et SNF/ECHA (C‑625/11 P, EU:C:2013:594, point 33).
(
39
)	Voir, entre autres, arrêt du 26 septembre 2024, WEPA Hygieneprodukte e.a./Commission (C‑795/21 P et C‑796/21 P, EU:C:2024:807, points 68 à 71).
(
40
)	Voir, par analogie, arrêt du 26 septembre 2013, PPG et SNF/ECHA (C‑625/11 P, EU:C:2013:594, points 29 à 33), concernant une liste de substances qui avait été publiée uniquement sur le site Internet de l’Agence européenne des produits chimiques et que la Cour a néanmoins considérée comme une décision publiée.
(
41
)	Voir, en ce sens, entre autres, arrêts du 26 septembre 2024, Covestro Deutschland et Allemagne/Commission (C‑790/21 P et C‑791/21 P, EU:C:2024:792, point 82), et du 26 septembre 2024, WEPA Hygieneprodukte e.a./Commission (C‑795/21 P et C‑796/21 P, EU:C:2024:807, points 72 et 73). Ce dernier arrêt indique que, dans l’intérêt de la sécurité juridique, les délais de recours doivent être établis de manière objective et avec certitude à l’égard de l’ensemble des parties auxquelles cette décision n’a pas été notifiée, indépendamment du fait que la requérante ait éventuellement pu prendre connaissance de l’acte préalablement.
(
42
)	Sur l’éventuelle différence pratique entre le fait d’invoquer des effets de droit obligatoires et le fait d’invoquer de simples effets juridiques aux fins de la détermination du caractère attaquable d’un acte, voir conclusions de l’avocat général Bobek dans l’affaire Belgique/Commission (C‑16/16 P, EU:C:2017:959, points 59 et suiv.).
(
43
)	Voir article 173 du traité CEE (mise en italique par mes soins). J’ajouterai que l’article 33 du traité CECA contenait une liste positive d’actes attaquables citant les « décisions » et les « recommandations ». En vertu de l’article 14 du traité CECA, ces actes sont définis comme ayant force obligatoire en droit. Par conséquent, la jurisprudence initiale de la Cour, qui a influencé sa jurisprudence ultérieure, s’attachait au caractère « obligatoire » d’un acte pour déterminer s’il pouvait faire l’objet d’un recours en annulation. Voir, par exemple, arrêts du 16 juillet 1956, Fédération charbonnière de Belgique/Haute Autorité (8/55, EU:C:1956:7, p. 256) ; du 10 décembre 1957, Société des usines à tubes de la Sarre/Haute Autorité (1/57 et 14/57, EU:C:1957:13, p. 114), ainsi que du 15 mars 1967, CBR e.a./Commission (8/66 à 11/66, EU:C:1967:7, p. 91).
(
44
)	C’est ainsi que sont aujourd’hui définis les recommandations et avis à l’article 288 TFUE, mais cette même définition figurait à l’article 189 du traité CEE.
(
45
)	Dans son arrêt du 31 mars 1971, Commission/Conseil (22/70, EU:C:1971:32, point 39), la Cour a fait référence aux dispositions visant à produire un « effet juridique ». Néanmoins, dans sa jurisprudence récente, cette expression est énoncée dans les termes suivants : « dispositions [...] “qui visent à produire des effets de droit obligatoires” ». Voir, par exemple, arrêt du 12 juillet 2022, Nord Stream 2/Parlement et Conseil (C‑348/20 P, EU:C:2022:548, point 62 et jurisprudence citée).
(
46
)	Voir, en ce qui concerne les requérants privilégiés, par exemple, ordonnance du 17 mai 1989, Italie/Commission (151/88, EU:C:1989:201, points 22 et 23), ainsi qu’arrêt du 25 octobre 2017, Slovaquie/Commission (C‑593/15 P et C‑594/15 P, EU:C:2017:800, points 63 à 65).
(
47
)	En tout état de cause, cette question n’est pas pertinente lorsque le recours est introduit par un requérant privilégié. Néanmoins, ainsi que je l’ai indiqué, la Cour doit déterminer si l’acte attaqué est juridiquement contraignant même pour les requérants privilégiés. Dans deux décisions de la Cour qui, à ma connaissance, ne se sont jamais reproduites, la Cour a rejeté le recours du requérant privilégié (le gouvernement des Pays‑Bas était la partie requérante dans ces deux affaires) au motif que la décision de la Commission dont l’annulation était sollicitée ne produisait aucun effet juridique obligatoire à l’égard du requérant. Voir, à cet égard, arrêt du 5 octobre 1999, Pays‑Bas/Commission (C‑308/95, EU:C:1999:477, points 26 et 29), ainsi qu’ordonnance du 28 janvier 2004, Pays-Bas/Commission (C‑164/02, EU:C:2004:54, points 18 et 22). Pour un regard critique sur ces deux décisions, voir conclusions de l’avocat général Jacobs dans l’affaire Italie/Commission (C‑301/03, EU:C:2005:550, points 52 et 53).
(
48
)	Voir, à cet égard, sur la jurisprudence relative aux instructions et lignes directrices internes, Lenaerts, K., Gutman, K., et Nowak, J. T., EU Procedural Law, 2e édition, Oxford European Union Law Library, Oxford, 2023, p. 286, points 7.21 et 7.22.
(
49
)	C’est ce qui ressort clairement de la jurisprudence relative aux aides d’État où la décision de la Commission déclarant l’aide existante incompatible avec le marché intérieur et ordonnant à l’État membre de la récupérer n’est juridiquement obligatoire qu’à l’égard de cet État membre, mais peut également être contestée par le destinataire de l’aide. Voir, par exemple, arrêt du 19 octobre 2000, Italie et Sardegna Lines/Commission (C‑15/98 et C‑105/99, EU:C:2000:570, points 31 à 37).
(
50
)	Voir arrêt IBM, point 10, et arrêt du 26 janvier 2010, Internationaler Hilfsfonds/Commission (C‑362/08 P, EU:C:2010:40, point 58).
(
51
)	Voir, à cet égard, conclusions de l’avocat général Roemer dans les affaires jointes CBR e.a./Commission (8/66 à 11/66, EU:C:1967:2, p. 103).
(
52
)	Voir, sur ce point, très récemment, arrêt du 13 février 2025, Swissgrid/Commission (C‑121/23 P, EU:C:2025:83, point 46), indiquant que, lorsque la partie requérante dans un recours en annulation n’est pas destinataire de l’acte attaqué, « il suffit d’établir que cet acte vise à produire des effets juridiques obligatoires » à l’égard, notamment, de ses destinataires, puisque, à ce stade, « il n’est pas besoin de vérifier si ces effets juridiques sont de nature à affecter les intérêts de la partie requérante, en modifiant de façon caractérisée sa situation juridique », cet élément étant déterminé au stade de l’appréciation de la condition posée à l’article 263, quatrième alinéa, TFUE.
(
53
)	Soulignement et mise en italique par mes soins.
(
54
)	Voir points 38 et 39 de l’ordonnance attaquée. Outre l’arrêt IBM, le Tribunal se fonde également sur l’arrêt du 18 novembre 2010, NDSHT/Commission (C‑322/09 P, EU:C:2010:701, point 45), qui renvoie à d’autres arrêts citant également le point 9 de l’arrêt IBM.
(
55
)	Mise en italique par mes soins.
(
56
)	Voir, par exemple, entre autres, arrêts du 31 mars 1998, France e.a./Commission (C‑68/94 et C‑30/95, EU:C:1998:148, point 62) ; du 17 juillet 2008, Athinaïki Techniki/Commission (C‑521/06 P, EU:C:2008:422, point 29) ; du 26 janvier 2010, Internationaler Hilfsfonds/Commission (C‑362/08 P, EU:C:2010:40, point 51), ainsi qu’arrêt Commission/CRU, point 65.
(
57
)	Voir, entre autres, ordonnance du 3 juillet 2007, Commune de Champagne e.a./Conseil et Commission (T‑212/02, EU:T:2007:194, points 86 et 88), et arrêts du 26 novembre 2018, Shindler e.a./Conseil (T‑458/17, EU:T:2018:838, point 30), ainsi que du 10 mars 2021, ViaSat/Commission (T‑245/17, EU:T:2021:128, point 68).
(
58
)	Voir, par exemple, conclusions de l’avocate générale Sharpston dans l’affaire Reynolds Tobacco e.a./Commission (C‑131/03 P, EU:C:2006:228, points 102 et 103), soulignant qu’il semblerait que la condition du caractère obligatoire de l’acte à l’égard du requérant en cause ait été ajoutée par la Cour à la condition exigeant que l’acte soit obligatoire en général.
(
59
)	Renvois à la jurisprudence omis.
(
60
)	Ordonnance du 14 juillet 2010, Deutsche Post/Commission (T‑570/08, EU:T:2010:311).
(
61
)	Voir, par exemple, arrêt du 21 décembre 2021, Algebris (UK) et Anchorage Capital Group/CRU (C‑934/19 P, EU:C:2021:1042, points 87 et suiv.).
(
62
)	Voir, en ce sens, arrêt Deutsche Post, points 40 à 47.
(
63
)	Arrêt Deutsche Post, point 54.
(
64
)	Arrêt Deutsche Post, point 63.
(
65
)	Arrêt Deutsche Post, points 66 à 75.
(
66
)	Ordonnance attaquée, points 42 à 49.
(
67
)	T‑570/08, EU:T:2010:311.
(
68
)	Voir, en ce sens, ordonnance attaquée, points 43 et 44, indiquant d’abord que, dans les procédures complexes, les mesures intermédiaires ne constituent pas, en principe, des actes attaquables et, ensuite, que « [l]es exceptions [à ce] principe [...] concernent les cas où la mesure intermédiaire a des effets juridiques autonomes ».
(
69
)	Ordonnance attaquée, point 44.
(
70
)	Mise en italique par mes soins.
(
71
)	Il en va de même de la déclaration de la Cour figurant au point 52 de l’arrêt du 26 janvier 2010, Internationaler Hilfsfonds/Commission (C‑362/08 P, EU:C:2010:40), également invoquée par le Tribunal au point 43 de l’ordonnance attaquée.
(
72
)	Même si, lorsqu’elle décrit le contexte d’une affaire en particulier, la Cour se réfère à la notion d’« acte préparatoire » dans une procédure complexe, la possibilité d’attaquer un tel acte n’est pas exclue s’il est constaté que celui‑ci produit des effets juridiques autonomes dans le cadre de cette procédure. Voir, par exemple, arrêt Commission/CRU, point 93, indiquant que, « [d]ans une telle procédure complexe, les actes adoptés au cours des étapes préparatoires à l’adoption de l’acte définitif ne sauraient, lorsqu’ils ne produisent pas d’effets juridiques autonomes, faire l’objet d’un recours en annulation » (mise en italique par mes soins).
(
73
)	Ainsi que je l’ai indiqué, les effets obligatoires d’une décision du CEPD adoptée dans le cadre du mécanisme de contrôle de la cohérence à l’égard des autorités de contrôle nationales concernées découlent de l’article 65, paragraphe 1, du RGPD.
(
74
)	Ordonnance attaquée, point 51.
(
75
)	Voir arrêt du 12 juillet 2022, Nord Stream 2/Parlement et Conseil (C‑348/20 P, EU:C:2022:548, point 43 et jurisprudence citée).
(
76
)	Il me semble que la première affaire mentionnant le caractère « cumulatif » de ces critères est celle qui a donné lieu à l’arrêt du 10 septembre 2009, Commission/Ente per le Ville Vesuviane et Ente per le Ville Vesuviane/Commission (C‑445/07 P et C‑455/07 P, EU:C:2009:529, point 45), qui concernait une aide financière accordée par le Fonds européen de développement régional au travers de l’aide des autorités nationales.
(
77
)	En pratique, il est très fréquent qu’un acte de l’Union requière l’adoption d’une mesure d’exécution supplémentaire pour « atteindre » le requérant. Il ne s’agit toutefois pas de la seule situation dans laquelle un acte peut directement concerner une personne physique ou morale. Des actes peuvent affecter la situation juridique d’une personne sans qu’il soit nécessaire d’adopter une mesure d’exécution. Il en va ainsi des actes de portée générale tels que les règlements. Voir, à cet égard, la situation en cause dans l’arrêt du 1er avril 2004, Commission/Jégo-Quéré (C‑263/02 P, EU:C:2004:210). Dans les circonstances de cette affaire, l’obligation d’utiliser des filets présentant un maillage minimal pour réduire les prises de merlu juvénile avait été imposée directement à la société d’armement à la pêche de la requérante, sans qu’il ait été nécessaire de prendre des mesures d’exécution. La dernière modification apportée au quatrième alinéa de l’article 263 TFUE, découlant du traité de Lisbonne, a ouvert la possibilité d’introduire un recours en annulation contre les actes réglementaires qui ne comportent pas de mesures d’exécution, sans qu’il soit nécessaire de prouver l’affectation individuelle. Le requérant demeure néanmoins tenu de prouver qu’il est directement concerné par l’acte attaqué. Cette preuve ne portera pas sur le second critère « cumulatif » résultant de la jurisprudence – celui des mesures d’exécution – puisque, dans une telle situation, il n’y a aucune mesure d’exécution servant de « pont » entre l’acte attaqué et le requérant.
(
78
)	Voir, pour une récente confirmation concernant les directives, qui comportent toujours des mesures d’exécution, arrêt du 12 juillet 2022, Nord Stream 2/Parlement et Conseil (C‑348/20 P, EU:C:2022:548, point 70).
(
79
)	Voir ordonnance attaquée, point 51.
(
80
)	Voir arrêt du 12 juillet 2022, Nord Stream 2/Parlement et Conseil (C‑348/20 P, EU:C:2022:548, points 71 à 74).
(
81
)	Ordonnance attaquée, point 64.
(
82
)	Voir, par exemple, arrêts du 19 octobre 2000, Italie et Sardegna Lines/Commission (C‑15/98 et C‑105/99, EU:C:2000:570, points 31 et 34), ainsi que du 29 avril 2004, Italie/Commission (C‑298/00 P, EU:C:2004:240, point 39).
(
83
)	Il en va de même de la jurisprudence invoquée par le Tribunal au point 65 de l’ordonnance attaquée, qui concernait une décision de la Commission adressée à un État membre lui ordonnant de réduire un financement de l’Union octroyé à une entreprise. La Cour a jugé qu’une entreprise se trouvant dans cette situation était directement concernée par la décision de la Commission, en dépit du fait qu’un État membre devait prendre des mesures d’exécution.
(
84
)	Point 64 de l’ordonnance attaquée.
(
85
)	Point 53 de l’ordonnance attaquée.
(
86
)	La requérante conteste en outre le pouvoir du CEPD d’interférer dans la méthode de calcul ou dans le montant des amendes, faisant valoir qu’il a laissé ce pouvoir aux mains de l’autorité de contrôle nationale et qu’il y a lieu d’appliquer les règles établies par le droit national à cet égard. Cet argument devra faire l’objet d’un examen au fond et la Cour ne peut pas se prononcer sur cette question dans le cadre du présent pourvoi.
(
87
)	Voir points 57 à 59 de l’ordonnance attaquée. La circonstance que le CEPD n’ait pas exprimé sa position sur le point de savoir si WhatsApp agissait en qualité de responsable du traitement ou de sous‑traitant des données à caractère personnel résultant de la procédure de « hachage avec perte » ne change rien au fait que l’autorité de contrôle irlandaise est liée par la constatation du CEPD selon laquelle cette procédure constitue un traitement de données à caractère personnel.
(
88
)	Aux points 55 et 56 de l’ordonnance attaquée, le Tribunal a énuméré les questions tranchées par le CEPD et celles tranchées, en outre, par l’autorité de contrôle irlandaise dans sa décision nationale finale.
(
89
)	Voir ordonnance attaquée, point 60.
(
90
)	Voir, entre autres, arrêt du 3 juin 2021, Hongrie/Parlement (C‑650/18, EU:C:2021:426, point 38 et jurisprudence citée), ainsi qu’arrêt Commission/CRU, point 65 et jurisprudence citée.
(
91
)	À cet égard, le Tribunal se fonde sur l’arrêt du 25 juillet 2002, Unión de Pequeños Agricultores/Conseil (C‑50/00 P, EU:C:2002:462, point 40) ; voir, également, ordonnance attaquée, point 68.
(
92
)	Voir arrêt du 22 octobre 1987, Foto-Frost (314/85, EU:C:1987:452, point 17).
(
93
)	C‑188/92, EU:C:1994:90, point 26.
(
94
)	C‑135/16, EU:C:2018:582, point 17 et jurisprudence citée.
(
95
)	Arrêt du 25 juillet 2018, Georgsmarienhütte e.a. (C‑135/16, EU:C:2018:582, point 18).
(
96
)	Voir, en ce sens, par exemple, arrêt du 10 mars 2021, Von Aschenbach & Voss (C‑708/19, EU:C:2021:190, points 33 et 49).
(
97
)	C‑414/18, ci-après l’« arrêt Iccrea Banca », EU:C:2019:1036.
(
98
)	Arrêt Iccrea Banca, points 72 et 74.
(
99
)	Cette considération n’est évidemment valide que s’il ne fait « aucun doute » que WhatsApp avait effectivement qualité pour agir devant les juridictions de l’Union. Si, au contraire, WhatsApp n’avait pas qualité pour agir et contester la validité de la décision litigieuse devant le Tribunal, comme celui‑ci l’affirme, cette société ne devrait pas se voir empêchée de soulever une exception d’invalidité devant la juridiction nationale.
(
100
)	Voir ordonnance attaquée, point 40.
(
101
)	Dans sa partie pertinente, le considérant 143 se lit comme suit : « Lorsque des décisions du comité concernent directement et individuellement un responsable du traitement, un sous-traitant ou l’auteur de la réclamation, ces derniers peuvent former un recours en annulation de ces décisions dans un délai de deux mois à compter de leur publication sur le site internet du comité, conformément à l’article 263 du traité sur le fonctionnement de l’Union européenne. »
(
102
)	Voir, à cet égard, conclusions de l’avocat général Campos Sánchez-Bordona dans l’affaire Georgsmarienhütte e.a. (C‑135/16, EU:C:2018:120, point 43). Voir, également, les arguments, toujours valides, avancés par l’avocat général Jacobs dans ses conclusions dans l’affaire Unión de Pequeños Agricultores/Conseil (C‑50/00 P, EU:C:2002:197, points 40 et suiv.).
(
103
)	Voir ordonnance attaquée, point 70.
(
104
)	Voir arrêt du 14 décembre 2000, Masterfoods et HB (C‑344/98, EU:C:2000:689, point 39 et jurisprudence citée).
(
105
)	Voir arrêts du 14 décembre 2000, Masterfoods et HB (C‑344/98, EU:C:2000:689, point 57), et du 25 juillet 2018, Georgsmarienhütte e.a. (C‑135/16, EU:C:2018:582, point 24 et jurisprudence citée).
(
106
)	Voir Meta Platforms Ireland Ltd v Data Protection Commission (approved) [2024] IEHC (« High Court of Ireland », Haute Cour d’Irlande) 264, du 10 mai 2024, dont le point 49 indique que « le recours légal et la procédure de contrôle juridictionnel seront suspendus de manière générale dans l’attente de l’issue de la procédure introduite par WhatsApp et actuellement pendante devant la Cour de justice de l’Union européenne ».
(
107
)	Voir arrêt du 25 juillet 2018, Georgsmarienhütte e.a. (C‑135/16, EU:C:2018:582, point 25).
(
108
)	Ordonnance attaquée, point 40.