62023CC0097
STANOVISKO GENERÁLNÍ ADVOKÁTKY
TAMARY ĆAPETA
přednesené dne 27. března 2025 (
1
)
Věc C‑97/23 P
WhatsApp Ireland Ltd
proti
Evropskému sboru pro ochranu osobních údajů
„Kasační opravný prostředek – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 65 – Mechanismus jednotnosti – Řešení sporů Evropským sborem pro ochranu osobních údajů – Žaloba na neplatnost – Článek 263 první pododstavec SFEU – Pojem ‚napadnutelný akt‘ – Článek 263 čtvrtý pododstavec SFEU – Pojem ‚bezprostřední dotčení‘ – Pojmy ‚přípravný akt‘ a ‚mezitímní akt‘ – Otázka ‚neuplatnitelnosti‘ rozhodnutí vůči fyzické nebo právnické osobě – Prostor pro uvážení orgánu, který uvedené rozhodnutí provádí“
I. Úvod
1.
Projednávaný kasační opravný prostředek se týká stále aktuální otázky výkladu a uplatňování podmínek přípustnosti žaloby na neplatnost podané žalobci, kteří jsou fyzickými nebo právnickými osobami. Konkrétněji se v projednávané věci jedná o pojmy „napadnutelný akt“ pro účely čl. 263 prvního pododstavce SFEU a „bezprostřední dotčení“ ve smyslu čl. 263 čtvrtého pododstavce SFEU.
2.
Tato otázka vyvstává v souvislosti s mechanismem jednotnosti upraveným obecným nařízení (EU) 2016/679 (
2
). Uvedený mechanismus je složeným řízením, kterého se účastní vnitrostátní dozorové úřady a Evropský sbor pro ochranu osobních údajů (dále jen „EDPB“).
3.
V napadeném usnesení považoval Tribunál žalobu podanou společností WhatsApp Ireland Ltd (dále jen „WhatsApp“ nebo „navrhovatelka“) proti závaznému rozhodnutí 1/2021 (dále jen „napadené rozhodnutí“) (
3
) EDPB přijatému v rámci uvedeného mechanismu za nepřípustnou (
4
). Z tohoto důvodu byl podán projednávaný kasační opravný prostředek (
5
).
4.
Nad rámec konkrétního kasačního opravného prostředku podaného v projednávané věci má Soudní dvůr příležitost obecně vysvětlit, jakým způsobem mají být pravidla týkající se přípustnosti žalob na neplatnost uplatňována na složená řízení.
II. Skutečnosti předcházející sporu
5.
Projednávaná věc vychází z mechanismu jednotnosti zavedeného nařízením GDPR. Konkrétněji se týká části tohoto mechanismu upravené v článku 65 nařízení GDPR, podle níž je EDPB svěřena pravomoc přijímat závazná rozhodnutí, jimiž řeší určité druhy sporů, které vznikají mezi vnitrostátními dozorovými úřady při uplatňování pravidel nařízení GDPR.
6.
Mechanismus jednotnosti je jedním z četných „složených správních řízení“ zavedených sekundárním právem Unie (
6
).
7.
Tento pojem charakterizuje řízení, v nichž je rozhodování prováděno ve více krocích a účastní se jich unijní i vnitrostátní orgány nebo instituce (
7
).
8.
Jednou z právních otázek, která vyvstává ve vztahu k takovým řízením, je otázka, jak určit, které akty přijaté různými subjekty v průběhu tohoto řízení představují „napadnutelné akty“ a dále u kterých soudů by takové akty měly být napadnuty (
8
).
9.
Projednávaný kasační opravný prostředek musí být zasazen do uvedeného kontextu. Navrhovatelka má za to, že Tribunál nesprávně rozhodl, že napadené rozhodnutí přijaté v rámci mechanismu jednotnosti není aktem napadnutelným před unijními soudy.
A.
Mechanismus jednotnosti zakotvený v nařízení GDPR
10.
Jednotlivým dozorovým úřadům členských států je svěřen úkol spočívající v monitorování a vymáhání pravidel nařízení GDPR na jejich území (
9
).
11.
Ve snaze řešit případnou roztříštěnost v provádění pravidel ochrany údajů napříč Unií, která by mohla být důsledkem takového „decentralizovaného“ systému, stanoví nařízení GDPR povinnost spolupráce mezi vnitrostátními dozorovými úřady (
10
).
12.
V případě přeshraničního rozměru zpracování osobních údajů musí úřad příslušný ve vztahu k dotčenému zpracovateli nebo správci – vedoucí dozorový úřad (dále jen „vedoucí dozorový úřad“) – zaslat návrh rozhodnutí, kterým se uplatňují pravidla nařízení GDPR vůči zpracovateli nebo správci, kteří spadají do jeho pravomoci, dozorovým úřadům jiných členských států, které jsou ve věci dotčeny.
13.
Pokud tyto jiné úřady souhlasí s výkladem nařízení GDPR a s donucovacími opatřeními navrhovanými vedoucím dozorovým úřadem, může vedoucí dozorový úřad přijmout konečné rozhodnutí, které je pro dotčeného správce nebo zpracovatele závazné.
14.
Pokud však tyto jiné dozorové úřady vyjádří relevantní a odůvodněné námitky, které vedoucí dozorový úřad nesdílí nebo je považuje za irelevantní či nedůvodné, musí vedoucí dozorový úřad předložit uvedenou záležitost k řešení EDPB (
11
).
15.
EDPB spor mezi dotčenými vnitrostátními dozorovými úřady rozhodne a uvedenou individuální věc vyřeší závazným rozhodnutím (
12
).
16.
Podle čl. 65 odst. 2 nařízení GDPR je toto rozhodnutí určeno vedoucímu dozorovému úřadu a ostatním dotčeným dozorovým úřadům a je pro ně závazné (
13
). Toto rozhodnutí je rovněž zveřejněno na internetových stránkách EDPB (
14
).
17.
Vedoucí dozorový úřad musí ve stanovených lhůtách (
15
) a na základě tohoto závazného rozhodnutí EDPB přijmout konečné rozhodnutí (
16
), které je následně oznámeno dotčenému správci nebo zpracovateli.
B.
Skutkové okolnosti projednávané věci
18.
Společnost WhatsApp je společností, která poskytuje služby spočívající v uskutečňování hovorů a zasílání zpráv přes internet (dále jen „služba pro zasílání zpráv“).
19.
Založení účtu u této společnosti k používání uvedené služby pro zasílání zpráv je podmíněno tím, že uživatel vyjádří souhlas s podmínkami poskytování služby a zásadami ochrany soukromí této společnosti (
17
).
20.
Dne 24. května 2018 společnost WhatsApp své zásady ochrany soukromí změnila, aby zohlednila změny zavedené nařízením GDPR, které měly být použitelné ode dne 25. května 2018 (
18
). Stávajícím uživatelům byla nabídnuta možnost tyto změny přijmout, nebo ukončit používání služby pro zasílání zpráv navrhovatelky.
21.
Data Protection Commission (orgán dohledu v oblasti ochrany osobních údajů fyzických osob, Irsko, dále jen „irský dozorový úřad“) následně obdržel řadu stížností od jednotlivých subjektů údajů týkajících se činností navrhovatelky v oblasti zpracování údajů (
19
).
22.
Po předběžném posouzení těchto stížností zahájil irský dozorový úřad v prosinci 2018 šetření týkající se toho, zda společnost WhatsApp splnila povinnosti transparentnosti vyplývající z článků 12 až 14 nařízení GDPR, pokud jde o poskytování informací ve vztahu k uživatelům služby pro zasílání zpráv společnosti WhatsApp i ve vztahu k osobám, které uživateli této služby nejsou, a transparentnosti uvedených informací (
20
).
23.
Vzhledem k tomu, že služba pro zasílání zpráv společnosti WhatsApp zahrnuje přeshraniční zpracování v rámci celé Unie, zaslal irský dozorový úřad v souladu se svými povinnostmi podle nařízení GDPR návrh svého rozhodnutí ostatním vnitrostátním dozorovým úřadům dotčeným ve věci (
21
).
24.
V návaznosti na to obdržel irský dozorový úřad námitky od dozorových úřadů v Německu (na federální úrovni), Maďarsku, Nizozemsku, Polsku, Francii, Itálii, Portugalsku a v německé spolkové zemi Bádensko-Württembersko (
22
). Kromě toho obdržel řadu komentářů k tomuto návrhu rozhodnutí od dozorových úřadů v Rakousku, Nizozemsku, Dánsku, Polsku, Belgii, Francii a v německé spolkové zemi Hamburk (
23
).
25.
Vzhledem k tomu, že řada jiných dozorových úřadů vznesla vůči návrhu rozhodnutí relevantní a odůvodněné námitky, s nimiž irský dozorový úřad nesouhlasil, předal irský dozorový úřad tyto námitky k vyřešení EDPB (
24
).
26.
Dne 28. července 2021 přijal EDPB napadené rozhodnutí a následně vyrozuměl irský dozorový úřad a ostatní dozorové úřady dotčené ve věci (
25
).
27.
V napadeném rozhodnutí EDPB irskému dozorovému úřadu ukládá, aby změnil několik závěrů obsažených v návrhu rozhodnutí a zvýšil pokuty v něm navrhované.
28.
Napadené rozhodnutí v podstatě vyžaduje, aby irský dozorový úřad konstatoval, že údaje získané z procesu zvaného „Lossy Hashing Procedure“ (
26
) představují osobní údaje ve smyslu čl. 4 odst. 1 GDPR (
27
) a že navrhovatelka porušila pravidla transparentnosti stanovená v čl. 5 odst. 1 písm. a), čl. 13 odst. 1 písm. d), čl. 13 odst. 2 písm. e) a článku 14 tohoto nařízení (
28
).
29.
Pokud jde o procesní závěry a pokuty, napadené rozhodnutí vyžaduje, aby byla lhůta stanovená navrhovatelce pro zajištění souladu zkrácena ze šesti měsíců na tři měsíce, a tvrdí, že irský dozorový úřad nesprávně vyložil kritérium týkající se výše pokut a uvádí, že pokuty, které zamýšlí uvedený úřad uložit, by měly být zvýšeny (
29
).
30.
Na základě těchto pokynů irský dozorový úřad změnil návrh rozhodnutí a dne 20. srpna 2021 přijal konečné vnitrostátní rozhodnutí (
30
).
31.
Dne 1. listopadu 2021 podala navrhovatelka k Tribunálu žalobu znějící na zrušení napadeného rozhodnutí.
32.
Dne 7. prosince 2022 přijal Tribunál napadené usnesení, kterým žalobu navrhovatelky odmítl jako nepřípustnou.
33.
V uvedeném usnesení měl Tribunál v podstatě za to, že napadené rozhodnutí nepředstavuje napadnutelný akt pro účely čl. 263 prvního pododstavce SFEU a navrhovatelka není uvedeným rozhodnutím bezprostředně dotčena ve smyslu čl. 263 čtvrtého pododstavce SFEU.
34.
Napadené usnesení je strukturováno následovně:
–
v bodě 40 Tribunál konstatuje, že napadené rozhodnutí se navrhovatelky osobně dotýká;
–
v bodech 42 až 49 se Tribunál zabývá otázkou, zda napadené rozhodnutí představuje napadnutelný akt pro účely čl. 263 prvního pododstavce SFEU, přičemž dochází k závěru, že tomu tak není;
–
v bodech 50 až 65 Tribunál posuzuje, zda je navrhovatelka napadeným rozhodnutím bezprostředně dotčena pro účely čl. 263 čtvrtého pododstavce SFEU. Dochází k závěru, že napadené rozhodnutí nemá bezprostřední právní účinky na postavení navrhovatelky a toto rozhodnutí ponechává irskému dozorovému úřadu posuzovací pravomoc, takže podmínky bezprostředního dotčení splněny nejsou;
–
Tribunál dochází k závěru, že žaloba na neplatnost podaná navrhovatelkou je nepřípustná, přičemž v bodech 66 až 71 dodatečně vysvětluje, jak jeho zjištění obecně zapadá do logiky systému procesních prostředků zavedeného Smlouvami.
C.
Řízení před Soudním dvorem
35.
Kasačním opravným prostředkem podaným dne 17. února 2023 se navrhovatelka domáhá, aby Soudní dvůr zrušil napadené usnesení, prohlásil žalobu za přípustnou, vrátil věc Tribunálu, aby o ní rozhodl z meritorního hlediska, a uložil EDPB náhradu nákladů řízení.
36.
Německá vláda vstoupila do řízení jako vedlejší účastnice na podporu EDPB.
37.
Dne 26. listopadu 2024 se konalo jednání, na němž navrhovatelka a EDPB přednesly ústní vyjádření.
III. Analýza
38.
Na podporu kasačního opravného prostředku vznáší navrhovatelka dva důvody. V rámci prvního důvodu kasačního opravného prostředku tvrdí, že Tribunál nesprávně vyložil pojem „napadnutelný akt“ vycházející z čl. 263 prvního pododstavce SFEU a pojem „bezprostřední dotčení“ obsažený v čl. 263 čtvrtém pododstavci SFEU. Toto nesprávné posouzení vyústilo v nesprávné použití článku 263 SFEU v projednávané věci, v důsledku čehož Tribunál nesprávně kvalifikoval napadené rozhodnutí jako akt, který není aktem, který může navrhovatelka napadnout. V rámci druhého důvodu kasačního opravného prostředku navrhovatelka tvrdí, že Tribunál nesprávně vyložil a použil čl. 65 odst. 1 nařízení GDPR ve vztahu k napadenému rozhodnutí.
39.
V tomto stanovisku navrhnu Soudnímu dvoru, aby konstatoval, že Tribunál nesprávně uplatnil analýzu, jejíž provedení požaduje čl. 263 první a čtvrtý pododstavec SFEU, na mechanismus jednotnosti zavedený nařízením GDPR. Prvnímu důvodu kasačního opravného prostředku je tedy třeba vyhovět a napadené usnesení zrušit. Druhým důvodem kasačního opravného prostředku se proto není nutno zabývat.
40.
Nad rámec okolností týkajících se bezprostředně projednávaného kasačního opravného prostředku však podotýkám, že projednávaná věc rovněž nastoluje otázku, která má i patrnější horizontální povahu: a sice otázku, jaké kroky v rámci provádění analýzy by měly být učiněny za účelem určení přípustnosti žaloby na neplatnost podané proti aktu přijatému v průběhu složeného řízení.
41.
Složená řízení se vzájemně do značné míry liší, neboť každé z nich je specificky vytvořeno sekundárním aktem Unie, který je zavádí, aby odpovídalo cíli, jenž dané konkrétní řízení naplňuje v příslušné oblasti správního rozhodování na základě unijního práva.
42.
V případě nesprávného pochopení analytického postupu uplatňovaného při určování přípustnosti žalob na neplatnost podaných fyzickými nebo právnickými osobami proti aktům přijatým v rámci takových řízení existuje riziko, že v budoucích věcech týkajících se odlišných druhů složených řízení Tribunál opět neodůvodněně odepře těmto osobám přístup k unijním soudům.
43.
Podmínky týkající se článku 263 SFEU však zůstávají bez ohledu na tyto odlišné struktury stejné. Obecná pravidla týkající se přípustnosti žalob podaných fyzickými nebo právnickými osobami proti aktům přijatým v rámci složeného řízení by tedy měla být uplatňována stejným způsobem a se zachováním stejného analytického postupu na všechna taková složená řízení, přičemž by měly být zároveň zohledněny zvláštnosti každého řízení.
44.
Jak se pokusím doložit ve své analýze, Tribunál, inspirován zvláštnostmi mechanismu jednotnosti podle nařízení GDPR, zavedl do posuzování podmínek přípustnosti podle článku 263 SFEU některé nadbytečné (a zavádějící) analytické kroky. Podle mého názoru například otázka, zda je napadené rozhodnutí mezitímním aktem v rámci tohoto řízení, odvádí pozornost od relevantní otázky, a sice zda je toto rozhodnutí konečným a závazným aktem, což je jediná vhodná otázka, která by měla být řešena v rámci analýzy, kterou je nutno provádět podle čl. 263 prvního pododstavce SFEU. Podobně se též zjišťování toho, zda lze napadené rozhodnutí uplatňovat přímo proti navrhovatelce, odchyluje od otázky, která by měla být v rámci analýzy správně položena, a sice zda se toto rozhodnutí samo o sobě dotýká právního postavení navrhovatelky, jak vyžaduje čl. 263 čtvrtý pododstavec SFEU.
45.
V případech, kdy odůvodňuje závěr o (ne)přípustnosti v určité konkrétní věci, Soudní dvůr často zdůrazňuje zvláštnosti složeného řízení, o které se v té které věci jednalo, a není výjimečné, že tyto zvláštnosti odlišuje od charakteristických rysů jiného řízení, v němž dospěl k odlišnému závěru (
31
). Taková vysvětlení Soudního dvora nelze v žádném případě zobecňovat a mechanicky přenášet na nové věci (
32
).
46.
Ve své analýze vycházel Tribunál z několika rozsudků Soudního dvora, zejména z rozsudků ve věcech IBM (
33
) nebo Deutsche Post (
34
).
47.
Navrhnu Soudnímu dvoru, aby se k některým z těchto rozsudků vrátil a upřesnil, že určitá konstatování v nich uvedená neměla za cíl doplňovat podmínky stanovené Smlouvou o FEU. Jejich účelem bylo spíše vysvětlit použití pravidel Smlouvy na danou konkrétní situaci, z níž ta která dotčená věc vzešla. Automatické přejímání konstatování vyjádřených Soudním dvorem v předchozích věcech do pozdějších rozsudků, které vyplývají z jiných okolností, by mohlo vést – tak jak se to stalo v projednávané věci – k tomu, že Tribunál dospěje k nesprávnému závěru o přípustnosti žaloby na neplatnost.
48.
Projednávaná věc tedy nabízí Soudnímu dvoru příležitost opětovně vysvětlit, které kroky v rámci analýzy jsou nezbytné a dostatečné k určení, zda může jednotlivec podat přímou žalobu na neplatnost.
49.
V tomto ohledu považuji za důležité, aby Soudní dvůr jasně rozlišoval mezi dvěma kroky v rámci analýzy, z nichž vycházejí podmínky přípustnosti podle článku 263 SFEU: zaprvé analýzou otázky, zda je určitý akt napadnutelným aktem pro účely čl. 263 prvního pododstavce SFEU, a zadruhé, pokud uvedený akt napadnutelný je, analýzou toho, zda má určitý žalobce, který je fyzickou nebo právnickou osobou, právo uvedený akt napadnout, což je analýza podle čl. 263 čtvrtého pododstavce SFEU.
50.
Ve světle výše uvedeného je moje analýza strukturována následovně. Nejprve se budu zabývat předběžným problémem spočívajícím v tom, že příslušná žaloba nebyla podána opožděně (A). Následně přejdu k meritu kasačního opravného prostředku, abych mohla předestřít důvody, proč by měl Soudní dvůr podle mého názoru napadené usnesení zrušit. V návaznosti na strukturu prvního důvodu kasačního opravného prostředku nejprve vysvětlím, že Tribunál zaměnil podmínky používané k určení, zda je napadené rozhodnutí napadnutelným aktem, s podmínkami stanovenými pro určení, zda je navrhovatelka bezprostředně dotčena. Na tomto základě docházím k závěru, že Tribunál nesprávně dovodil, že napadené rozhodnutí není napadnutelným aktem (B). Poté vysvětlím, že se Tribunál rovněž dopustil nesprávného právního posouzení, když měl za to, že napadené rozhodnutí se navrhovatelky bezprostředně nedotýká (C). Nakonec vyvrátím názor Tribunálu týkající se logiky systému procesních prostředků, jak je koncipován Smlouvami a vykládán Soudním dvorem, a doložím, že tato logika vyžaduje, aby bylo o platnosti napadeného rozhodnutí rozhodnuto v rámci přímé žaloby podané k unijním soudům (D).
A.
K otázce opožděného podání žaloby
51.
EDPB v kasační odpovědi tvrdí, že žaloba navrhovatelky byla podána opožděně (
35
). EDPB poukazuje na dopis založený v soudním spise ze dne 16. srpna 2021, z něhož vyplývá, že již dne 13. srpna 2021 informoval irský dozorový úřad navrhovatelku o „relevantním obsahu“ napadeného rozhodnutí, tedy před jeho zveřejněním EDPB na jeho internetových stránkách. EDPB tvrdí, že lhůta pro podání žaloby na neplatnost by byla uplynula „nejpozději 25. října 2021“, tj. před 1. listopadem 2021, kdy byla žaloba k Tribunálu podána.
52.
Domnívám se, že toto tvrzení je nutno odmítnout.
53.
Z judikatury vyplývá, že odkaz uvedený v čl. 263 šestém pododstavci SFEU na datum, kdy se žalobce o aktu dozvěděl, má podpůrnou povahu ve vztahu ke kritériím data vyhlášení či zveřejnění aktu nebo data jeho oznámení (
36
).
54.
V projednávané věci nebylo napadené rozhodnutí navrhovatelce žádným způsobem oznamováno. EDPB je pouze povinen oznámit své rozhodnutí přímo vedoucímu irskému dozorovému úřadu a dotčeným vnitrostátním dozorovým úřadům (
37
).
55.
Je tedy nutno určit, zda bylo napadené rozhodnutí vyhlášeno ve smyslu čl. 263 šestého pododstavce SFEU.
56.
Článek 263 SFEU nespojuje akt vyhlášení s žádnou zvláštní podmínkou.
57.
Nicméně vzhledem k tomu, že Soudní dvůr upřednostnil takový výklad lhůt stanovených Smlouvami, který brání nepřiměřenému omezování práva na účinnou soudní ochranu (
38
), je nutno pojem „vyhlášení“ vykládat široce (
39
).
58.
V tomto ohledu již měl Soudní dvůr příležitost rozhodnout, že zveřejnění na internetové stránce, je-li uloženo sekundárním právem Unie, splňuje požadavek „vyhlášení“ stanovený v čl. 263 šestém pododstavci SFEU (
40
).
59.
V projednávané věci je povinnost zveřejňování závazných rozhodnutí EDPB, jako je napadené rozhodnutí, zakotvena v čl. 65 odst. 5 třetí větě nařízení GDPR.
60.
Vzhledem k tomu, že navrhovatelka napadla napadené rozhodnutí ve stanovených lhůtách, které začaly běžet po jeho zveřejnění na internetové stránce EDPB (dne 2. září 2021), je skutečnost, že se mohla s věcným obsahem tohoto rozhodnutí seznámit před jeho povinným zveřejněním, pro účely přípustnosti projednávané žaloby na neplatnost irelevantní (
41
).
61.
S ohledem na výše uvedené není nutno zjišťovat přesný okamžik, kdy se navrhovatelka o obsahu napadeného rozhodnutí dozvěděla.
62.
Navrhuji tedy, aby Soudní dvůr argument EDPB, podle kterého byla žaloba k Tribunálu podána opožděně, odmítl.
B.
K otázce kvalifikace napadeného rozhodnutí jako napadnutelného aktu
1. Dva problémy, které jsou z analytického hlediska samostatné
63.
V rámci prvního a druhého argumentu, které navrhovatelka uvádí na podporu prvního důvodu kasačního opravného prostředku, navrhovatelka tvrdí, že na rozdíl od stanoviska Tribunálu nevyžaduje otázka, zda je určitý akt napadnutelným aktem, analýzu, zda tento akt podstatným způsobem mění její právní postavení.
64.
S argumentací navrhovatelky souhlasím. Otázka, zda je určité opatření napadnutelným aktem, je odlišná od otázky, zda vůbec může tento akt napadnout, jedná-li se o napadnutelný akt, konkrétní žalobce, který je fyzickou nebo právnickou osobou.
65.
Otázka, zda je daný akt napadnutelným aktem, souvisí s analýzou prováděnou podle čl. 263 prvního pododstavce SFEU. To vyžaduje odlišný a samostatný způsob analýzy, tedy analýzu, v jejímž rámci je nutno si klást jiné otázky než ty, které jsou relevantní pro určení, zda má určitý akt vliv na právní postavení žalobce (což spadá do působnosti čl. 263 čtvrtého pododstavce SFEU).
66.
Tento závěr vyplývá ze znění, systematiky i historie vzniku článku 263 SFEU [viz bod a) níže] a není v rozporu s judikaturou Soudního dvora [viz bod b) níže].
a) Znění, systematika a historie vzniku článku 263 SFEU
67.
Existuje několik důvodů, proč by mělo být posuzování otázky, zda napadené rozhodnutí představuje druh aktu, jehož platnost může být předmětem posuzování unijními soudy, odděleno od otázky, zda se tento akt dotýká právního postavení navrhovatelky.
68.
Zaprvé je určení druhu aktu, který lze napadnout před unijními soudy, stanoveno v čl. 263 prvním pododstavci SFEU. Toto určení se provádí bez ohledu na osobu, která žalobu podala.
69.
Odpověď na otázku, zda je určitý akt napadnutelným aktem, musí být stejná bez ohledu na to, zda je žaloba na neplatnost podána žalobcem privilegovaným (dle výčtu v čl. 263 druhém pododstavci SFEU), poloprivilegovaným (dle výčtu v třetím pododstavci uvedeného článku) nebo neprivilegovaným žalobcem (dle výčtu v čtvrtém pododstavci uvedeného článku).
70.
Zadruhé odpověď na otázku, zda je určitý akt napadnutelný, vyžaduje posouzení, zda může tento akt vyvolávat závazné právní účinky vůči třetí osobě (
42
). Tato osoba nemusí být totožná s žalobcem, který dotčenou žalobu na neplatnost podal.
71.
Tento požadavek, jak vysvětlím níže, vyplývá ze současného znění čl. 263 prvního pododstavce SFEU, které je výsledkem několika změn, a z judikatury Soudního dvora, která byla jednou z hnacích sil pro přijetí těchto změn.
72.
Článek 263 první pododstavec SFEU v současném znění stanoví, že napadnutelnými akty jsou i) legislativní akty, ii) akty Rady, Komise a Evropské centrální banky, s výjimkou doporučení a stanovisek a iii) akty Evropského parlamentu a Evropské rady a institucí a jiných subjektů Evropské unie, které mají právní účinky vůči třetím osobám.
73.
Původní Smlouva o EHS neobsahovala výčet aktů, které je možno napadnout, vymezovala je pouze negativně jako „právní akty Komise a Rady s výjimkou doporučení a stanovisek“ (
43
).
74.
Vzhledem k tomu, že Smlouva definuje doporučení a stanoviska jako akty, které nejsou závazné (
44
), dospěl Soudní dvůr k závěru, že napadnutelnými akty jsou všechny akty (orgánů a jiných institucí Unie) bez ohledu na formu nebo označení, které mají vyvolávat závazné právní účinky (
45
).
75.
Pokud daný akt nevyvolává závazné právní účinky, je žaloba nepřípustná bez ohledu na to, zda byla podána privilegovanými žalobci či neprivilegovanými žalobci (
46
).
76.
Není tedy zapotřebí zabývat se následnou otázkou, a sice zda se tento akt dotýká právního postavení žalobce podle čl. 263 čtvrtého pododstavce SFEU (
47
).
77.
Z judikatury a ze znění čl. 263 prvního pododstavce SFEU vyplývá, že akt je právně závazný, pokud má právní účinky vůči třetím osobám. Co to znamená?
78.
Aby mohl být akt kvalifikován jako akt se závaznými právními účinky vůči třetím osobám, musí vyvolávat právní účinky mimo orgán nebo instituci, které jej přijaly. Pokud tento akt zakládá povinnosti pouze „interně“, tedy ukládá povinnosti témuž orgánu, který jej přijal, nikoli však „externě“, tedy vůči třetím osobám, není tento akt napadnutelným aktem (
48
).
79.
Třetí osobou, vůči níž daný akt vyvolává právně závazné účinky, nemusí být nutně žalobce (
49
).
80.
Soudní dvůr dále upřesnil, že akt vyvolává účinky mimo dotčený orgán, pouze pokud orgán, který tento akt přijal, uvedeným aktem vyjádřil konečné stanovisko (
50
).
81.
Stanovisko je konečné, pokud orgán nebo instituce, které akt přijaly, nemohou tento akt dále změnit; jinými slovy, právním účinkům vyplývajícím z tohoto aktu lze zabránit pouze jeho zrušením (
51
). Pokud konečný akt není zrušen autorem samotným, je jediným způsobem zmaření jeho právních účinků zrušení tohoto aktu cestou soudního řízení.
82.
Výše uvedené má pro projednávanou věc následující důsledky: k rozhodnutí o tom, zda napadené rozhodnutí představuje napadnutelný akt, bylo nezbytné a současně postačovalo, aby Tribunál konstatoval, že napadené rozhodnutí představuje konečné stanovisko EDPB a že toto rozhodnutí ukládá povinnost někomu mimo tuto instituci; v tomto případě irskému dozorovému úřadu.
83.
Pro účely tohoto posouzení nebylo nezbytné posuzovat, zda tento akt rovněž podstatným způsobem mění právní postavení navrhovatelky. Posledně uvedená otázka se týká bezprostředního dotčení, nikoli kvalifikace aktu jako napadnutelného aktu (
52
).
84.
Vyplývá z judikatury, které se dovolává Tribunál, odlišný závěr?
b) Judikatura, která tyto dvě podmínky zdánlivě slučuje
85.
V bodě 41 napadeného usnesení Tribunál vysvětlil, že musí zkoumat otázku, „zda napadené rozhodnutí vyvolává právní účinky, které podstatným způsobem mění právní postavení společnosti WhatsApp, a zda se jí bezprostředně dotýká ve smyslu čl. 263 čtvrtého pododstavce SFEU“ (
53
).
86.
Závěr Tribunálu, podle kterého je nutno provést dvě samostatné analýzy, a sice na jedné straně posouzení otázky, zda napadené rozhodnutí podstatným způsobem mění právní postavení společnosti WhatsApp, a na druhé straně posouzení toho, zda je uvedená společnost tímto rozhodnutím bezprostředně dotčena, vychází podle všeho z judikatury, kterou Tribunál cituje, a sice z rozsudků vydaných ve věcech IBM a Deutsche Post (
54
).
87.
Těmto rozsudkům se tedy nyní budu věnovat.
88.
V bodě 9 rozsudku IBM Soudní dvůr uvedl, že „akty nebo rozhodnutími, které mohou být předmětem žaloby ve smyslu článku 173, mohou být pouze opatření s právně závaznými účinky, jimiž mohou být dotčeny zájmy žalobce tím, že podstatným způsobem mění jeho právní postavení“ (
55
).
89.
Toto znění, které bylo opakovaně citováno v mnoha následně vydaných rozsudcích Soudního dvora (
56
) i Tribunálu (
57
), bylo a nadále je vykládáno tak, že otázka, zda je akt napadnutelným aktem podle čl. 263 prvního pododstavce SFEU, zahrnuje rovněž posouzení toho, zda je dotčeno právního postavení žalobce (
58
). Tímto způsobem podle všeho chápe bod 9 rozsudku IBM i Tribunál (viz bod 86 tohoto stanoviska).
90.
Podle mého názoru to však není správný (ani užitečný) výklad tohoto bodu.
91.
Bod 9 rozsudku IBM chápu jako vyjádření Soudního dvora – shrnuté do jediné věty – všech podmínek, které musí být splněny, má-li neprivilegovaný žalobce dosáhnout přístupu k unijním soudům: tedy podmínek vyplývajících z čl. 263 prvního pododstavce SFEU a dále podmínek vyplývajících z čl. 263 čtvrtého pododstavce SFEU.
92.
Touto větou nečiní Soudní dvůr otázku účinků aktu pro žalobce součástí posouzení toho, zda byly splněny podmínky podle čl. 263 prvního pododstavce SFEU. Daný akt totiž může být stále považován za napadnutelný akt obecně, přestože jej v daném konkrétním případě nemůže napadnout konkrétní neprivilegovaný žalobce, neboť tento akt nemění podstatným způsobem jeho právní postavení.
93.
Podle mého názoru se Soudní dvůr pokusil odstranit případné nejasnosti vyvolané opakovaně užívanou frází z rozsudku IBM v následujících bodech rozsudku Deutsche Post:
„36.
Z ustálené judikatury blíže popsané v rámci žalob na neplatnost podaných členskými státy či orgány vyplývá, že za napadnutelné akty ve smyslu článku 263 SFEU se považují všechna opatření přijímaná orgány v jakékoliv formě, jejichž účelem je vyvolat závazné právní účinky […]
37.
Soudní dvůr v případech, kdy žalobu na neplatnost proti aktu přijatému orgánem podává fyzická či právnická osoba, opakovaně rozhodl, že t[u]to žalobu lze podat pouze tehdy, pokud se závazné právní účinky mohou dotknout zájmů žalobce tak, že podstatným způsobem změní jeho právní postavení […] (
59
).
38.
Je však třeba zdůraznit, že judikatura citovaná v předchozím bodě se vyvinula v rámci žalob, které k soudu Unie podaly fyzické a právnické osoby proti aktům, které jim byly určeny. Podá-li neprivilegovaný žalobce – jako ve věci, v níž bylo vydáno výše uvedené usnesení Deutsche Post v. Komise (
60
) – žalobu na neplatnost proti aktu, jenž mu není určen, pak se požadavek, že se závazné právní účinky napadeného opatření musí dotýkat zájmů žalobce tak, že podstatným způsobem změní jeho právní postavení, překrývá s podmínkami stanovenými v článku 263 čtvrtém pododstavci SFEU.“
94.
Podle mého názoru se Soudní dvůr v rozsudku Deutsche Post snažil upřesnit, že bod 9 rozsudku IBM se týká situace, kdy neprivilegovaný žalobce je tím, komu je napadený akt určen. V takové situaci totiž odpověď na otázku, zda má akt závazné právní účinky vůči třetím osobám, nutně vyžaduje posouzení, zda tento akt vyvolává účinky vůči žalobci jakožto osobě, které je tento akt určen. V takové situaci jsou otázka, zda má akt závazné právní účinky, a otázka, zda tento akt mění právní postavení žalobce, totožné.
95.
Pokud však neprivilegovaný žalobce není tím, komu je dotčený akt určen, je otázka, zda tento akt podstatným způsobem mění jeho právní postavení, otázkou týkající se bezprostředního dotčení, která musí být posuzována podle čl. 263 čtvrtého pododstavce SFEU, a nikoli podle čl. 263 prvního pododstavce SFEU.
96.
Znění, které je často nesprávně citováno, podle něhož se otázka, zda má daný akt právní účinky způsobující podstatnou změnu, „překrývá“ s požadavkem bezprostředního dotčení zakotveným v čl. 263 čtvrtém pododstavci SFEU, ve skutečnosti vyjadřuje názor Soudního dvora, podle kterého musí být otázka bezprostředního dotčení posuzována samostatně a nad rámec otázky, zda daný akt vyvolává závazné právní účinky.
97.
V novější judikatuře Soudní dvůr poté, co ocituje bod 38 rozsudku Deutsche Post, obecně pokračuje analýzou toho, zda se dotčený akt bezprostředně dotýká neprivilegovaného žalobce, jemuž není napadený akt určen (
61
).
98.
Rozsudek IBM, tak jak byl vysvětlen v rozsudku Deutsche Post, by neměl být vykládán jako sloučení požadavků podle prvního a čtvrtého pododstavce článku 263 SFEU v situacích, kdy je akt určen jiné osobě než žalobci.
99.
V takové situaci, tedy pokud je akt určen někomu jinému než žalobci, stojí požadavek, aby byl akt právně závazný, odděleně od požadavku, aby tento akt podstatným způsobem měnil právní postavení žalobce.
100.
Zde není pro odpověď na otázku, zda je žaloba podaná žalobcem přípustná, dostačující, že má dotčený akt závazné právní účinky ve vztahu k osobě, které je určen, popřípadě někomu jinému; Soudní dvůr musí naopak rovněž posoudit, zda se dotčený akt dotýká právního postavení žalobce. Právě to je požadavkem obsaženým v dodatečné podmínce přípustnosti vyplývající z čl. 263 čtvrtého pododstavce SFEU.
101.
V rozsudku Deutsche Post se Soudní dvůr řídil právě touto metodikou a konstatoval ve dvou samostatných krocích zaprvé, že dotčené opatření je právně závazné, a teprve následně, že se bezprostředně dotýká daného neprivilegovaného žalobce. Je rovněž důležité, že v části analýzy věnované otázce, zda bylo dotčené opatření právně závazné, Soudní dvůr nepovažoval za relevantní určit, zda mělo toto opatření povahu přípravného aktu v kontextu širšího postupu, v rámci kterého bylo přijato (
62
). Podle Soudního dvora bylo pro účely uvedené analýzy důležité, že rozhodnutí vyvolávalo samostatné právní účinky, a tudíž ho bylo možné napadnout žalobou na neplatnost (
63
). Teprve poté, co Soudní dvůr konstatoval, že se Tribunál dopustil nesprávného právního posouzení, když měl za to, že akt napadený v uvedené věci není právně závazný z důvodu jeho přípravné povahy (
64
), přistoupil Soudní dvůr k druhému kroku analýzy, přičemž dospěl k závěru, že se toto opatření rovněž bezprostředně a osobně dotýká dotčené neprivilegované žalobkyně, společnosti Deutsche Post AG (
65
).
102.
Podle mého názoru je tedy cílem zmíněných tří bodů rozsudku Deutsche Post citovaných v bodě 93 projednávaného stanoviska právě vyjasnění případné nejistoty vyplývající z rozsudku IBM a odlišení analýzy právní závaznosti napadeného aktu od analýzy toho, zda se tento akt dotýká právního postavení žalobce.
103.
V projednávané věci Tribunál mezi těmito dvěma kroky v rámci analýzy nerozlišoval. Tribunál měl za to, že napadené rozhodnutí se samo o sobě nedotýká právního postavení navrhovatelky, čímž dospěl k nesprávnému závěru, že napadené rozhodnutí není napadnutelným aktem. V uvedené analýze se nesoustředil na otázku, zda napadené rozhodnutí vyvolává právně závazné účinky vůči třetím osobám. Spíše se zaměřil na to, zda je nutno tento akt z pohledu žalobce považovat za mezitímní akt (
66
). Tribunál se tím dopustil podobného nesprávného posouzení jako v podstatně starším usnesení vydaném ve věci Deutsche Post v. Komise (
67
), které Soudní dvůr v rozsudku Deutsche Post zrušil.
104.
Podle mého názoru je otázka, zda je akt „mezitímní“ nebo „přípravný“, nadbytečná a zbytečně komplikuje analýzu podle čl. 263 prvního a čtvrtého pododstavce SFEU. Jak vyplývá z projednávané věci, dogmatické dovolávání se těchto pojmů může ve skutečnosti vést k nesprávnému závěru o přípustnosti žaloby na neplatnost. Touto problematikou se budu zabývat nyní.
2. K nadbytečným otázkám týkajícím se toho, zda je akt „přípravný“ nebo „mezitímní“ a zda jej „lze uplatnit“
105.
V bodě 42 napadeného usnesení považoval Tribunál pro účely posouzení přípustnosti za relevantní skutečnost, že napadené rozhodnutí i) představuje „přípravný“ či „mezitímní“ akt v řízení, které musí být ukončeno přijetím konečného rozhodnutí vnitrostátního dozorového úřadu, a že ii) uvedené rozhodnutí nelze vůči navrhovatelce přímo uplatnit.
106.
Žádný z těchto dvou faktorů, tedy povaha dotčeného aktu jako „přípravného“ nebo „mezitímního“, resp. jeho způsobilost být uplatněn přímo vůči navrhovatelce, není z analytického hlediska relevantní pro zodpovězení otázky, zda tento akt představuje napadnutelný akt pro účely čl. 263 prvního pododstavce SFEU.
107.
Tyto faktory jsou rovněž irelevantní pro účely posouzení otázky, zda se uvedený akt bezprostředně dotýká navrhovatelky podle čl. 263 čtvrtého pododstavce SFEU (čímž se budu zabývat v oddíle C níže).
108.
Stejně tak otázka, zda je dotčený akt „konečný“, tedy zda se jím končí určité složené řízení, nebo zda má následovat „jiný“ akt téhož orgánu či jiného orgánu, opět není relevantní pro určení, zda lze dotčený akt napadnout. Jak totiž vysvětluji v bodě 78 tohoto stanoviska, správně je nutno se ve vztahu k posouzení toho, zda lze určitý akt napadnout, ptát, jestli uvedený akt vyvolává samostatné právní účinky – které může vyvolávat pouze tehdy, jedná-li se o závěrečný či konečný akt z pohledu orgánu nebo instituce, které jej přijaly.
109.
V napadeném usnesení Tribunál vycházel z bodu 10 rozsudku IBM, aby dospěl k závěru, že existuje zásada, podle níž mezitímní akty nejsou akty, které lze napadnout (
68
). Na základě takto stanovené zásady pak Tribunál vysvětlil, že možnost napadnout mezitímní akt představuje výjimku, která je dána, pokud uvedený akt vyvolává samostatné právní účinky (
69
).
110.
V bodě 10 rozsudku IBM ovšem Soudní dvůr uvedl následující: „akt je v zásadě přezkoumatelný pouze v případě, že se jedná o opatření, které s konečnou platností stanoví stanovisko Komise nebo Rady při skončení uvedeného řízení“ (
70
). Soudní dvůr upřesnil, že analýza povahy aktu jako napadnutelného aktu by se měla zaměřit především na otázku, zda dotčený akt vyjadřuje závěrečné stanovisko dotčeného orgánu nahlížené z hlediska tohoto orgánu.
111.
Rozsudek IBM tudíž neodhalil existenci zásady, podle níž nejsou mezitímní akty napadnutelné.
112.
Rozsudek IBM se navíc ani netýká složeného řízení, ale řízení vedeného pouze Komisí. V rámci tohoto řízení posuzoval Soudní dvůr relevanci jednotlivých fází interního postupu v rámci Komise, aby dospěl k závěru, že dopis, který byl v uvedené věci napaden, nevyjadřuje závěrečné stanovisko uvedeného orgánu (
71
).
113.
Výraz „mezitímní“ či „přípravný“ může být relevantní pouze tehdy, je-li použit v protikladu k výrazu „závěrečný“ nebo „konečný“ v rámci interního postupu určitého orgánu nebo instituce (
72
).
114.
Pokud by měl být akt chápán jako „mezitímní“, a tedy nenapadnutelný, pouze z důvodu svého postavení v rámci složeného řízení, v němž bude z pohledu žalobce vydán jiný akt, který mu bude určen, pak by jednotlivec nikdy nemohl napadnout akt, který se skutečně dotýká jeho právního postavení, a dotýká se jej tedy bezprostředně. To by bylo v rozporu s čtvrtým pododstavcem článku 263 SFEU.
115.
Pokud výše uvedené uplatníme na projednávanou věc, pak tím, že se Tribunál soustředil na „mezitímní“ či „přípravnou“ povahu napadeného rozhodnutí, odklonil analýzu od správného zaměření na onu jedinou relevantní otázku podle čl. 263 prvního pododstavce SFEU: tedy zda stanovisko EDPB, jak je vyjádřeno v napadeném rozhodnutí, představuje konečné stanovisko této instituce, a sice stanovisko, které je závazné vůči třetí osobě, bez ohledu na to, že bude následovat jiný akt, kterým bude řízení, jež je součástí mechanismu jednotnosti podle nařízení GDPR, „skončeno“.
116.
V projednávané věci je napadeným rozhodnutím akt EDPB. Tímto rozhodnutím přijala uvedená instituce konečné stanovisko k otázce, zda zaprvé údaje získané z procesu zvaného „Lossy Hashing Procedure“, tak jak jsou používány navrhovatelkou, představují „osobní údaje“ ve smyslu nařízení GDPR a zadruhé zda navrhovatelka porušila pravidla transparentnosti stanovená v nařízení GDPR. Právním účinkem obou těchto konečných zjištění je stanovení povinnosti irskému dozorovému úřadu jakožto vedoucímu dozorovému úřadu, aby změnil návrh rozhodnutí (tedy právě to rozhodnutí, v němž předtím uvedený úřad navrhoval vyvození opačného závěru). Napadeným rozhodnutím EDPB rovněž uvedenému úřadu ukládá, aby zkrátil příslušnou lhůtu pro zajištění souladu, a uděluje mu závazné pokyny ke způsobu výpočtu dotčených pokut. Pokyny týkající se výpočtu pokut povedou k jejich zvýšení ve srovnání s pokutami, které měl v úmyslu uložit irský dozorový úřad. Tato zjištění jsou z pohledu EDPB konečná v tom smyslu, že vyjadřují závěrečné stanovisko tohoto orgánu k otázkám, které mu byly předloženy. Vytvářejí tudíž povinnost (
73
) pro irské dozorové úřady, kterou lze zrušit pouze v případě, že sám EDPB své rozhodnutí zruší, nebo bude uvedené rozhodnutí zrušeno unijními soudy.
117.
Vzhledem k tomu, že uvedené rozhodnutí je konečné a vyvolává závazné právní účinky mimo instituci, která jej přijala, tedy vůči irskému dozorovému úřadu, měl Tribunál dospět k závěru, že napadené rozhodnutí splňuje podmínky čl. 263 prvního pododstavce SFEU a tudíž by mělo být kvalifikováno jako napadnutelný akt.
118.
Druhým nadbytečným prvkem, který Tribunál vnesl do své analýzy, je přímá uplatnitelnost rozhodnutí EDPB vůči společnosti WhatsApp.
119.
K tomuto bodu se lze vyjádřit stručně: vzhledem k tomu, že zodpovězení otázky, zda je určitý akt napadnutelný, nezávisí na tom, zda a jak tento akt mění právní postavení žalobce, nemůže být otázka přímé uplatnitelnosti napadeného rozhodnutí vůči společnosti WhatsApp pro analýzu prováděnou podle čl. 263 prvního pododstavce SFEU relevantní. Kromě toho, jak uvedu níže, přímá uplatnitelnost vůči této účastnici řízení jako kritérium pro posouzení, zda se rozhodnutí EDPB uvedené společnosti bezprostředně dotýká, je rovněž irelevantní.
3. Mezitímní závěr
120.
Odpověď na otázku, zda je akt unijního orgánu nebo instituce aktem, který lze napadnout u unijních soudů pro účely čl. 263 prvního pododstavce SFEU, vyžaduje posouzení, zda uvedený akt vyjadřuje závěrečné stanovisko tohoto orgánu nebo instituce, které vyvolává závazné právní účinky vůči osobě mimo tento orgán nebo instituci.
121.
Pro zodpovězení otázky, zda lze tento akt napadnout u unijních soudů, není nezbytné, aby třetí osoba, vůči níž vyvolává tento akt závazné právní účinky, byla totožná se subjektem, který podal žalobu na neplatnost.
122.
Otázka, zda je osoba, která podala žalobu proti napadnutelnému aktu, nadána aktivní legitimací k napadení uvedeného aktu, se řeší na základě čl. 263 čtvrtého pododstavce SFEU, a nikoli na základě čl. 263 prvního pododstavce SFEU.
123.
Pro určení, zda je akt napadnutelný, je irelevantní, že tento akt představuje „mezitímní“ krok v rámci složeného řízení.
124.
Tribunál se tím, že se zaměřil na skutečnost, že napadené rozhodnutí nepředstavuje konečné rozhodnutí v rámci mechanismu jednotnosti upraveného nařízením GDPR, a to namísto posouzení, zda uvedené rozhodnutí představuje konečné nebo závěrečné rozhodnutí EDPB, které vyvolává závazné právní účinky pro irský dozorový úřad, dopustil v napadeném usnesení nesprávného posouzení podmínek čl. 263 prvního pododstavce SFEU.
125.
Navrhuji tedy, aby Soudní dvůr přijal první dva argumenty uvedené v rámci prvního důvodu kasačního opravného prostředku.
C.
K tezi, že navrhovatelka je napadeným rozhodnutím bezprostředně dotčena
126.
V rámci třetího a čtvrtého argumentu, které navrhovatelka uvádí na podporu prvního důvodu kasačního opravného prostředku, navrhovatelka tvrdí, že se Tribunál dopustil nesprávného posouzení, když konstatoval, že navrhovatelka není napadeným rozhodnutím bezprostředně dotčena.
127.
Navrhovatelka je toho názoru, že Tribunál sice správně zmiňuje judikaturu Soudního dvora, podle níž musí být splněny dvě podmínky, aby bylo prokázáno, že se určitý akt bezprostředně dotýká fyzické nebo právnické osoby, které není tento akt určen (
74
), nicméně tuto judikaturu nesprávně uplatňuje.
128.
Podle judikatury citované Tribunálem platí, že „podmínka, že fyzická nebo právnická osoba musí být bezprostředně dotčena opatřením, které je předmětem žaloby, vyžaduje splnění dvou kumulativních podmínek, a sice toto opatření musí vyvolávat bezprostřední účinky na právní postavení této osoby a adresátům pověřeným jeho provedením nesmí ponechávat žádnou posuzovací pravomoc, neboť toto provedení je čistě automatické povahy a vyplývá výlučně z unijní úpravy, aniž je třeba použít další zprostředkující předpisy“ (
75
).
129.
Kvalifikace těchto dvou kritérií jako „kumulativních“ vyplývá z judikatury, v níž napadený akt vyžadoval přijetí prováděcích opatření (
76
).
130.
V takové situaci by napadené opatření mohlo mít bezprostřední právní účinky na postavení žalobce pouze tehdy, kdy by prováděcí orgán nemohl sám rozhodovat o tom, zda opatření provede, případně jakým způsobem tak učiní (
77
).
131.
Právě taková situace nastala v projednávané věci. Napadené rozhodnutí, které se týká navrhovatelky, je určeno irskému dozorovému úřadu a nikoli navrhovatelce. Toto rozhodnutí irskému úřadu ukládá, aby při přijímání konečného rozhodnutí, které je určeno navrhovatelce, změnil návrh rozhodnutí, a to tak, aby v něm byla zohledněna zjištění obsažená v napadeném rozhodnutí. Otázka, zda měl irský dozorový úřad poté, co EDPB přijal napadené rozhodnutí, prostor pro uvážení, je tudíž relevantní pro závěr, zda je navrhovatelka bezprostředně dotčena.
132.
V této souvislosti navrhovatelka tvrdí, že Tribunál nesprávně vyložil čl. 263 čtvrtý pododstavec SFEU, a to ve dvou směrech. Zaprvé při posuzování první podmínky bezprostředního dotčení použil Tribunál kritéria „uplatnitelnosti“ a „konečného kroku v řízení“, z nichž ani jedno není pro prokázání bezprostředního dotčení relevantní. Zadruhé při posuzování druhé podmínky bezprostředního dotčení Tribunál nesprávně použil kritérium prostoru pro uvážení na napadené rozhodnutí.
133.
V obou těchto bodech s navrhovatelkou souhlasím.
1. K uplatnitelnosti napadeného rozhodnutí vůči navrhovatelce
134.
První pochybení při výkladu, které navrhovatelka Tribunálu vytýká, spočívá v tom, že Tribunál měl v bodě 52 napadeného usnesení za to, že podmínka, podle které se napadené rozhodnutí bezprostředně dotýká právního postavení společnosti WhatsApp, není splněna, protože tento akt vůči ní nelze uplatňovat.
135.
Podmínka „uplatnitelnosti“ se nevyskytuje ve znění čl. 263 čtvrtého pododstavce SFEU ani nevyplývá z judikatury Soudního dvora.
136.
A je tomu tak z dobrého důvodu. Ve většině situací, kdy je vyžadováno prováděcí opatření, ať už na úrovni Unie, nebo na vnitrostátní úrovni, nelze prováděné unijní rozhodnutí samo o sobě uplatňovat vůči fyzickým nebo právnickým osobám, a to ani tehdy, je-li uvedené opatření těmto osobám určeno. Důvodem, proč je často vyžadováno prováděcí opatření, je právě skutečnost, že dotčené unijní opatření nemůže samo o sobě na žalobce „dosáhnout“. V těchto případech lze vůči fyzické nebo právnické osobě uplatňovat pouze ono prováděcí opatření.
137.
Pokud by „přímá uplatnitelnost“ opatření vůči fyzické nebo právnické osobě byla podmínkou bezprostředního dotčení, těžko by kdy nastala taková situace, v níž by byli neprivilegovaní žalobci schopni napadnout unijní akt, který vyžaduje přijetí prováděcích opatření.
138.
Ve vztahu k otázce bezprostředního dotčení ostatně nezáleží na tom, zda lze vůči fyzické nebo právnické osobě uplatňovat pouze dotčené prováděcí opatření, a nikoli opatření, jehož platnost tato osoba zpochybňuje před unijními soudy. Pokud je prováděcí akt pouhou replikou aktu, který je předmětem žaloby, neboť prováděcí orgán neměl ohledně samotného vydání svého rozhodnutí ani jeho formulace žádný prostor pro uvážení, je jasné, že napadené opatření je skutečnou příčinou dotčení právního postavení žalobce.
139.
V projednávané věci to znamená, že se Tribunál dopustil nesprávného posouzení, když zohlednil uplatnitelnost napadeného rozhodnutí vůči navrhovatelce jako relevantní faktor pro posouzení toho, zda je navrhovatelka uvedeným rozhodnutím bezprostředně dotčena.
2. K tezi, že napadené opatření není posledním krokem v řízení předvídaném mechanismem jednotnosti
140.
V témže bodě 52 napadeného usnesení Tribunál konstatoval, že navrhovatelka není bezprostředně dotčena napadeným rozhodnutím, neboť uvedené rozhodnutí nepředstavuje poslední krok v řízení předvídaném mechanismem jednotnosti podle nařízení GDPR, ale naopak vyžaduje přijetí prováděcích opatření na vnitrostátní úrovni.
141.
Již z výše podaného pojednání vyplývá, že osoba může být bezprostředně dotčena určitým opatřením i v případě, že toto opatření vyžaduje přijetí prováděcích opatření (
78
).
142.
„Druhá“ podmínka pro zjištění bezprostředního dotčení zmiňovaná v judikatuře Soudního dvora (viz bod 128 tohoto stanoviska), kterou Tribunál citoval jako právo použitelné v napadeném usnesení (
79
), by postrádala jakýkoli smysl, kdyby k bezprostřednímu dotčení nemohlo dojít tehdy, když napadené opatření vyžaduje přijetí prováděcích opatření.
143.
Kromě toho tento výklad opomíjí rozdíl mezi požadavkem, podle kterého nařizovací akt nevyžaduje přijetí prováděcích opatření, a požadavkem existence bezprostředního dotčení, přičemž oba tyto požadavky musí být splněny, aby mohl neprivilegovaný žalobce prokázat aktivní legitimaci na základě čl. 263 čtvrtého pododstavce poslední věty SFEU (
80
).
144.
Tribunál se dopustil nesprávného posouzení, když měl za to, že skutečnost, že v rámci mechanismu jednotnosti musí irský dozorový úřad přijmout rozhodnutí, kterým se provádí napadené rozhodnutí, je relevantním kritériem pro analýzu toho, zda je navrhovatelka napadeným rozhodnutím bezprostředně dotčena.
145.
Tribunál se pokusil odlišit situaci v projednávané věci od situací, které nastávají v oblasti státních podpor, kdy Komise prohlásí podporu za neslučitelnou s vnitřním trhem a nařídí dotčenému členskému státu, aby vyplacené podpory vymohl zpět (
81
). V takových situacích Soudní dvůr rozhodl, že příjemci podpory jsou bezprostředně dotčeni relevantním rozhodnutím Komise, i když musí být uvedené rozhodnutí provedeno dotčeným členským státem a může být uplatňováno pouze na základě uvedených prováděcích opatření (
82
).
146.
Musím souhlasit s navrhovatelkou, že se Tribunál nesprávně dovolával těchto věcí, aby odlišil situaci, která nastala v projednávané věci, a mohl konstatovat, že společnost WhatsApp není napadeným rozhodnutím bezprostředně dotčena (
83
).
147.
Právě naopak, výše uvedené věci naopak poskytují argumentaci na podporu závěru, podle něhož je společnost WhatsApp napadeným rozhodnutím bezprostředně dotčena. Napadené rozhodnutí vedlo ke změně právního postavení navrhovatelky bez ohledu na nutnost přijetí „prováděcího“ rozhodnutí irským dozorovým úřadem. V jádru je tudíž takováto úvaha totožná s logikou, kterou se řídil Soudní dvůr v judikatuře citované Tribunálem v bodě 64 napadeného usnesení.
148.
Podobně mám za to, že se Tribunál dopustil nesprávného posouzení, že napadené rozhodnutí není obdobné rozhodnutím Komise požadujícím navrácení podpory, a to z toho důvodu, že napadeným rozhodnutím nebylo dotčené správní řízení na vnitrostátní úrovni ukončeno (
84
). Řízení upravující mechanismus jednotnosti však bylo v rozsahu, v němž se týká otázek, o nichž EDPB rozhodl prostřednictvím napadeného rozhodnutí, ve skutečnosti ukončeno, jelikož irský dozorový úřad nemůže závěry obsažené v napadeném rozhodnutí změnit. Skutečnost, že se tento úřad možná bude muset vyjádřit rovněž k některým dodatečným otázkám, na které se napadené rozhodnutí nevztahuje, nic nemění na „konečnosti“ zjištění učiněných v napadeném rozhodnutí, pokud jde o otázky, které jsou v něm vyřešeny.
149.
S ohledem na výše uvedené považuji za zřejmé, že se napadené rozhodnutí dotýká právního postavení navrhovatelky, neboť zaprvé kvalifikuje proces zvaný „Lossy Hashing Procedure“, který navrhovatelka využívá, jako proces týkající se osobních údajů a zadruhé konstatuje, že praxe uvedené společnosti porušuje určitá pravidla transparentnosti, která správcům ukládá nařízení GDPR.
150.
Již jen toto zjištění samotné zakládá pro navrhovatelku právní povinnost změnit svou praxi. Kromě toho představuje právní základ, aby irský dozorový úřad uložil navrhovatelce vyšší pokuty. Bez napadeného rozhodnutí by to uvedený úřad nemohl učinit. Jediným důvodem, proč zahrnul uvedená zjištění do konečného rozhodnutí určeného navrhovatelce, bylo, že byl podle napadeného rozhodnutí povinen tak učinit. Podle mého názoru je z výše uvedeného zcela zřejmé, že skutečným důvodem změny právního postavení navrhovatelky je napadené rozhodnutí, nikoli, jak nesprávně dovozuje Tribunál, rozhodnutí irského dozorového úřadu.
3. K posuzovací pravomoci irského dozorového úřadu
151.
Pokud akt, který je předmětem žaloby na neplatnost, vyžaduje přijetí prováděcích opatření, bude považován za akt, který se bezprostředně dotýká žalobce, pouze tehdy, pokud instituce, která tato prováděcí opatření přijímá, nemá žádnou posuzovací pravomoc, ale namísto toho musí automaticky uplatnit závěry napadeného rozhodnutí.
152.
V projednávané věci by to znamenalo, že by společnost WhatsApp byla napadeným rozhodnutím bezprostředně dotčena, pokud by irský dozorový úřad neměl žádný prostor pro uvážení, pokud jde o to, zda uvedené rozhodnutí provede nebo jakým způsobem tak učiní.
153.
V napadeném usnesení měl Tribunál za to, že irský dozorový úřad má prostor pro uvážení, a navrhovatelka tudíž není bezprostředně dotčena napadeným rozhodnutím, ale pouze konečným rozhodnutím uvedeného úřadu (
85
).
154.
Souhlasím s navrhovatelkou, že i zde se Tribunál dopustil nesprávného posouzení.
155.
Zaprvé konstatování EDPB, že proces zvaný „Lossy Hashing Procedure“ představuje zpracování osobních údajů a navrhovatelka jakožto správce údajů porušila povinnosti, které pro ni vyplývají z článků 5, 13 a 14 nařízení GDPR, muselo být provedeno do konečného rozhodnutí irského dozorového úřadu, přičemž tomuto úřadu nebyl ponechán žádný prostor pro uvážení, pokud jde o možnost dospět k opačnému závěru.
156.
Zadruhé napadené rozhodnutí uložilo irskému dozorovému úřadu bezpodmínečnou povinnost zvýšit pokuty a použít metody výpočtu uvedené v rozhodnutí EDPB, byť byl konečný výpočet a uložení výše těchto pokut ponechán na uvážení irského dozorového úřadu. To znamená, že uvedenému úřadu jakožto „prováděcí instituci“ nebyl ponechán žádný prostor pro možnost rozhodnout buď tak, že budou pokuty zachovány v původní výši, anebo tak, že budou sníženy (
86
).
157.
Ve vztahu k uvedeným aspektům napadeného rozhodnutí tudíž neměl irský dozorový úřad žádnou posuzovací pravomoc, pokud jde o to, zda a jakým způsobem má být ve vztahu k navrhovatelce rozhodnuto.
158.
Z toho vyplývá, že Tribunál dospěl k nesprávnému závěru, že irský dozorový úřad měl ve vztahu k těmto aspektům prostor pro uvážení (
87
).
159.
Podle čl. 65 odst. 1 písm. a) nařízení GDPR rozhoduje EDPB pouze o těch aspektech uplatňování nařízení GDPR, proti nimž byly jinými dozorovými úřady vzneseny námitky a které nebyly mezi zúčastněnými dozorovými úřady vyřešeny. Irský dozorový úřad proto skutečně má posuzovací pravomoc k rozhodování o otázkách, které nebyly předloženy EDPB, ale jsou nicméně součástí konečného vnitrostátního rozhodnutí (
88
).
160.
Je tato skutečnost relevantní pro závěr, že navrhovatelka je napadeným rozhodnutím bezprostředně dotčena?
161.
V napadeném usnesení měl Tribunál za to, že na omezeném rozsahu napadeného rozhodnutí záleželo, neboť konečné rozhodnutí irského dozorového úřadu představuje celek, který nelze rozdělit na část týkající se aspektů, ve vztahu k nimž měl irský dozorový úřad prostor pro uvážení, a část týkající se aspektů, ve vztahu k nimž takový prostor pro uvážení neměl (
89
).
162.
Podle mého názoru a opět ve shodě s navrhovatelkou nemá tato skutečnost vliv na otázku, zda je navrhovatelka napadeným rozhodnutím bezprostředně dotčena.
163.
Při posuzování otázky bezprostředního dotčení je nutno vycházet z podstaty napadeného aktu (
90
). V tomto ohledu stačí, že obsah napadeného rozhodnutí, kterým je dotčeno právního postavení navrhovatelky, neponechal irskému dozorovému úřadu ve vztahu k uvedeným bodům žádnou posuzovací pravomoc, přestože se konečné rozhodnutí tohoto úřadu zabývalo i jinými otázkami.
164.
Jak totiž vysvětlím v následující části tohoto stanoviska, pokud by navrhovatelka nenapadla napadené rozhodnutí před Tribunálem, ztratila by možnost dovolávat se neplatnosti tohoto rozhodnutí v rámci procesního prostředku, kterým napadla konečné rozhodnutí irského dozorového úřadu před příslušnými irskými soudy.
165.
Jak navrhovatelka vysvětlila na jednání, takové řízení před irskými soudy skutečně probíhá. Navrhovatelka se v něm domáhá zrušení konečného rozhodnutí irského dozorového úřadu i ve vztahu k těm aspektům, jimiž se napadené rozhodnutí nezabývá. Současně však navrhovatelka napadla rozhodnutí EDPB před Tribunálem za účelem ochrany svého práva dovolávat se neplatnosti těch částí rozhodnutí irského dozorového úřadu, ve vztahu k nimž nemohl uvedený úřad vykonávat žádnou posuzovací pravomoc.
166.
Z toho vyplývá, že je nesprávný i závěr Tribunálu o tom, že navrhovatelka nebyla napadeným rozhodnutím bezprostředně dotčena, když irský dozorový úřad požíval při „provádění“ napadeného rozhodnutí prostor pro uvážení vzhledem k tomu, že konečné vnitrostátní rozhodnutí obsahovalo i aspekty, na které se napadené rozhodnutí nevztahovalo.
4. Mezitímní závěr
167.
Tribunál nesprávně uplatnil podmínky týkající se posuzování existence bezprostředního dotčení podle čl. 263 čtvrtého pododstavce SFEU.
168.
Zaprvé založil posouzení na neexistujících podmínkách, podle nichž napadený akt i) musí být přímo uplatnitelný vůči žalobci v rámci řízení o žalobě na neplatnost a ii) nevyžaduje přijetí prováděcích opatření.
169.
Zadruhé měl Tribunál nesprávně za to, že napadené rozhodnutí ponechává prováděcímu úřadu, v projednávané věci irskému dozorovému úřadu, prostor pro uvážení.
170.
A konečně, Tribunál dospěl k nesprávnému závěru, podle kterého je skutečnost, že se v konečném rozhodnutí irského dozorového úřadu vyskytují určité části, na které se napadené rozhodnutí nevztahuje, relevantní pro určení, zda napadené rozhodnutí odnímá uvedenému úřadu veškerou posuzovací pravomoc.
171.
Navrhuji tedy Soudnímu dvoru, aby přijal i třetí a čtvrtý argument uvedený v rámci prvního důvodu kasačního opravného prostředku.
D.
K tezi, že logika unijního systému procesních prostředků vyžaduje přípustnost žaloby v projednávané věci
172.
V rámci pátého argumentu vzneseného na podporu prvního důvodu kasačního opravného prostředku navrhovatelka uvádí, že Tribunál nesprávně specifikoval procesní požadavky unijního systému procesních prostředků.
173.
V napadeném usnesení měl Tribunál za to, že v řízení upraveném v rámci mechanismu jednotnosti musí být žaloba proti konečnému rozhodnutí vnitrostátního dozorového úřadu podána u příslušných vnitrostátních soudů. Podle názoru Tribunálu hovoří logika úplného systému procesních prostředků ve prospěch toho, aby byl příslušným fórem vnitrostátní soud (
91
), který by následně zahájil řízení o předběžné otázce před Soudním dvorem týkající se platnosti té části vnitrostátního rozhodnutí, jejíž obsah je předurčen příslušným rozhodnutím EDPB.
174.
Stanovisko Tribunálu, podle kterého musí být žaloby soustředěny k jedinému soudu, má určitou váhu. Jím navrhované řešení by vlastně vyřešilo stávající procesní komplikace, které žalobce de facto nutí podat dvě samostatné žaloby, jednu k Tribunálu a druhou k vnitrostátnímu soudu, pokud chce mít žalobce zaručenou účinnou ochranu všech svých práv vyplývajících z unijního práva. Takové uspořádání není, upřímně řečeno, právě nejefektivnější způsob, jakým může dotčená osoba chránit svá práva.
175.
Je to právě to, co učinila navrhovatelka v projednávané věci: podala dvě žaloby, jednu k Tribunálu a druhou k příslušným irským soudům. Nicméně, jak dále vysvětlím, přinejmenším v rámci stávající struktury nenabízí unijní systém soudní ochrany žádné jiné řešení.
1. Vztah mezi přímými a nepřímými žalobami proti unijnímu aktu
176.
Zaprvé, jak známo, nemají vnitrostátní soudy pravomoc rušit akty unijních orgánů a jiných institucí. Pokud se tedy domnívají, že unijní akt je neplatný, musí zahájit řízení o předběžné otázce před Soudním dvorem a dosáhnout toho, aby Soudní dvůr tuto neplatnost potvrdil (
92
).
177.
Zadruhé vnitrostátní soud nemůže zpochybňovat platnost unijního aktu, pokud účastník řízení, který se této neplatnosti dovolává, splňuje podmínky aktivní legitimace podle čl. 263 čtvrtého pododstavce SFEU, ale nenapadl tento akt ve lhůtě stanovené v šestém pododstavci uvedeného článku před unijními soudy. Tato teze vyplývá z rozsudku TWD Textilwerke Deggendorf (
93
) a byla potvrzena i v pozdější judikatuře, včetně rozsudku Georgsmarienhütte a další (
94
), který byl předmětem diskuse účastníků tohoto řízení.
178.
V rozsudku Georgsmarienhütte a další Soudní dvůr konstatoval, že „[j]estliže právní subjekt, který má v úmyslu napadnout unijní akt, má […] bezpochyby aktivní legitimaci na základě čl. 263 čtvrtého pododstavce SFEU, je povinen využít právní prostředek stanovený v tomto ustanovení podáním žaloby k Tribunálu“ (
95
). Pokud osoba, která měla možnost, nepodala žalobu na neplatnost ve lhůtě stanovené v čl. 263 šestém pododstavci SFEU, nemůže vnitrostátní soud vyhovět námitce neplatnosti unijního aktu, kterou podala tato osoba, ale musí mít za to, že napadený akt je vůči ní konečný (
96
). Soudní dvůr, na který se v takové situaci obrátí vnitrostátní soud v rámci řízení o předběžné otázce, by musel žádost o rozhodnutí o předběžné otázce odmítnout jako nepřípustnou, neboť by poskytoval odpověď na otázku v situaci, kdy předkládající soud nemůže takovou odpověď využít.
179.
Příkladem z nedávné doby, který se týká složených řízení, je rozsudek ve věci Iccrea Banca (
97
). V uvedeném rozsudku Soudní dvůr konstatoval nepřípustnost části žádosti o rozhodnutí o předběžné otázce, kterou podal Tribunale amministrativo regionale per il Lazio (Regionální správní soud pro Lazio, Itálie), u kterého jistá banka, Iccrea Banca, zpochybnila výpočet výše svého příspěvku do Jednotného fondu pro řešení krizí. Soudní dvůr měl za to, že uvedená banka byla bezprostředně a osobně dotčena rozhodnutím SRB, které bylo základem pro stanovení výše uvedených příspěvků, ale že toto rozhodnutí nenapadla žalobou na neplatnost podanou k Tribunálu (
98
). Iccrea Banca tudíž ztratila možnost vznést před vnitrostátním soudem nepřímo námitku neplatnosti rozhodnutí SRB, takže Soudnímu dvoru nezbylo než žádost o rozhodnutí o předběžné otázce v tomto bodě odmítnout jako nepřípustnou.
180.
Pokud tuto judikaturu uplatníme na situaci v projednávané věci, kdy byla společnost WhatsApp aktivně legitimována k podání žaloby proti napadenému rozhodnutí k Tribunálu, je zřejmé, že neplatnost rozhodnutí EDPB by nemohla být před vnitrostátním soudem namítána, pokud by se společnost WhatsApp nesnažila napadnout uvedené rozhodnutí též přímo před Tribunálem, a to ve lhůtě stanovené v čl. 263 šestém pododstavci SFEU (
99
).
181.
Tudíž vzhledem k tomu, že zaprvé je navrhovatelka napadeným rozhodnutím bezprostředně dotčena a zadruhé, jak konstatoval i sám Tribunál, je navrhovatelka napadeným rozhodnutím též osobně dotčena (
100
), musí být opravný prostředek proti napadenému rozhodnutí podán u unijních soudů, nikoli u soudů vnitrostátních.
182.
Bod 143 odůvodnění nařízení GDPR potvrzuje, že soudní přezkum v takové situaci, jako je situace dotčená v projednávané věci, by měl být správně prováděn prostřednictvím žalob na neplatnost podávaných k Tribunálu (
101
). Uvedený bod odůvodnění sice není závazný, jak správně uvádí EDPB, nicméně popisuje důsledky, které vyplývají z uplatňování závazných norem Smlouvy týkajících se organizace soudních řízení.
183.
Závěrem bych k výše uvedeným argumentům dodala, že přímá žaloba k Tribunálu, v níž je unijní instituce, která napadené rozhodnutí vydala, účastníkem řízení, je podle mého názoru vhodnějším způsobem pro rozhodování o platnosti uvedeného rozhodnutí. U vnitrostátního soudu by procesní role této instituce koneckonců závisela na příslušných vnitrostátních procesních pravidlech, což by této instituci mohlo zabránit v přístupu k projednávání jejího vlastního aktu (
102
).
2. Další procesní otázky
184.
V napadeném usnesení Tribunál rovněž vyjádřil obavy týkající se možnosti vzájemně neslučitelných rozhodnutí na unijní a na vnitrostátní úrovni, které by mohly být důsledkem překrývajících se soudních řízení (
103
).
185.
To není nikterak nový problém. Jak Soudní dvůr vysvětlil v rozsudcích Masterfoods a HB, pokud je platnost unijního aktu zpochybněna před vnitrostátními soudy i před unijními soudy, mají vnitrostátní soudy na základě zásady loajální spolupráce povinnost nepřijmout rozhodnutí, které by mohlo představovat riziko rozporu se stávajícím nebo nadcházejícím rozhodnutím unijních soudů (
104
). Pokud je tedy před Tribunálem projednávána žaloba na neplatnost a v souběžném vnitrostátním řízení vyvstane otázka týkající se platnosti, může z rozdělení pravomocí mezi unijními soudy a vnitrostátními soudy vyplývat pro vnitrostátní soud povinnost řízení přerušit (
105
). Takto se podle všeho rozhodly postupovat i příslušné irské soudy v projednávané věci (
106
).
186.
Pokud vnitrostátní soud zahájil řízení o předběžné otázce u Soudního dvora navzdory probíhajícímu řízení o žalobě na neplatnost vedenému před Tribunálem, může Soudní dvůr na základě článku 54 statutu Soudního dvora Evropské unie a na základě zásady řádné správy přerušit řízení u něj vedené ve prospěch řízení o žalobě na neplatnost (
107
).
3. Mezitímní závěr
187.
Logika systému soudní ochrany zavedené Smlouvami nevyžaduje, aby byla žaloba na neplatnost podaná navrhovatelkou k Tribunálu prohlášena za nepřípustnou.
188.
Navrhuji tedy Soudnímu dvoru, aby přijal i pátý argument uvedený v rámci prvního důvodu kasačního opravného prostředku.
189.
S ohledem na všechny výše uvedené argumenty navrhuji, aby Soudní dvůr vyhověl prvnímu důvodu kasačního opravného prostředku navrhovatelky.
E.
Důsledky
190.
Podle článku 61 statutu Soudního dvora Evropské unie platí, že Soudní dvůr může vydat sám konečné rozhodnutí ve věci, pokud to soudní řízení dovoluje.
191.
V projednávané věci je tato podmínka splněna v rozsahu, v němž se týká přípustnosti přímé žaloby podané k Tribunálu.
192.
Zaprvé napadené rozhodnutí představuje napadnutelný akt pro účely čl. 263 prvního pododstavce SFEU. Zadruhé je navrhovatelka uvedeným rozhodnutím bezprostředně dotčena ve smyslu čl. 263 čtvrtého pododstavce SFEU. Zatřetí je navrhovatelka napadeným rozhodnutím osobně dotčena, jak konstatoval i sám Tribunál v napadeném usnesení (
108
). Z toho vyplývá, že podmínky stanovené v čl. 263 prvním a čtvrtém pododstavci SFEU jsou splněny. Žaloba je tudíž přípustná.
193.
Nicméně vzhledem k tomu, že Tribunál neprovedl meritorní posouzení žaloby, která mu byla předložena, jež vyžaduje podrobné právní a skutkové posouzení, nedovoluje soudní řízení Soudnímu dvoru vydat ohledně žaloby navrhovatelky rozhodnutí ve věci samé.
194.
Je tudíž nutno věc vrátit Tribunálu a konstatovat, že o nákladech řízení bude rozhodnuto později.
IV. Závěry
195.
Navrhuji Soudnímu dvoru, aby:
–
zrušil usnesení ze dne 7. prosince 2022, WhatsApp Ireland v. Evropský sbor pro ochranu osobních údajů (T‑709/21, EU:T:2022:783);
–
prohlásil žalobu na neplatnost podanou navrhovatelkou za přípustnou;
–
vrátil věc Tribunálu, aby rozhodl ve věci samé; a
–
rozhodl, že o nákladech řízení bude rozhodnuto později.
(
1
) – Původní jazyk: angličtina.
(
2
) – Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1) (dále jen „GDPR“), články 63 a 65.
(
3
) – Závazné rozhodnutí 1/2021 o sporu vzniklém v souvislosti s návrhem rozhodnutí irského dozorového úřadu ohledně WhatsApp Ireland podle čl. 65 odst. 1 písm. a) GDPR (dále jen „napadené rozhodnutí), zveřejněné na https://www.edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-12021-dispute-arisen_en.
(
4
) – Usnesení ze dne 7. prosince 2022, WhatsApp Ireland v. Evropský sbor pro ochranu osobních údajů (T‑709/21, dále jen napadené usnesení, EU:T:2022:783).
(
5
) – V době koncipování tohoto stanoviska bylo před Tribunálem projednáváno sedm dalších věcí vedených proti závazným rozhodnutím vydaným EDPB prostřednictvím mechanismu jednotnosti, přičemž žaloby v uvedených věcech byly podány zpracovateli, správci i vnitrostátními dozorovými úřady. Jedná se o věci T‑682/22, Meta Platforms Ireland v. Evropský sbor pro ochranu osobních údajů; T‑70/23, Data Protection Commission v. Evropský sbor pro ochranu osobních údajů; T‑84/23, Data Protection Commission v. Evropský sbor pro ochranu osobních údajů; T‑128/23, Meta Platforms Ireland v. Evropský sbor pro ochranu osobních údajů; T‑129/23, Meta Platforms Ireland v. Evropský sbor pro ochranu osobních údajů; T‑111/23, Data Protection Commission v. Evropský sbor pro ochranu osobních údajů; a T‑153/23, WhatsApp Ireland v. Evropský sbor pro ochranu osobních údajů. Ve třech dalších věcech, které rovněž probíhají, byla napadena rozhodnutí EDPB přijatá mimo rámec mechanismu jednotnosti; jedná se o věci T‑325/23, Meta Platforms Ireland v. Evropský sbor pro ochranu osobních údajů, a T‑1030/23, Tiktok Technology v. Evropský sbor pro ochranu osobních údajů; a T‑8/24, Meta Platforms Ireland v. Evropský sbor pro ochranu osobních údajů.
(
6
) – Pokud jde o snahy o kategorizaci, viz Eliantonio, M., „Access to justice in composite procedures for the implementation of EU law: The story so far“, in Van Creynenbreugel, P. a Wildemeersch, J. (eds.), Questions choisies de droit européen des affaires/Selected Issues in European Business Law: 60 ans d’études juridiques européennes à Liège/60 years of European legal studies at Liège, Bruylant, 2023, s. 189 až 221.
(
7
) – Hofmann, H.C.H. vysvětluje, že „složená řízení jsou řízení zahrnující řadu kroků, do nichž vstupují správní orgány a instituce různých úrovní, mezi nimiž probíhá buď vertikální spolupráce, tedy spolupráce mezi orgány a institucemi Unie a orgány a institucemi členských států, nebo horizontální spolupráce, tedy spolupráce mezi orgány a institucemi různých členských států, popřípadě spolupráce v rámci trojstranných řízení, jejichž účastníky jsou orgány a instituce různých členských států i Unie“; viz Hofmann, H. C. H., „Composite decision making procedures in EU administrative law“, in Hofmann, H. C. H. a, Türk, A.H., Legal Challenges in EU Administrative Law, Edward Elgar, Cheltenham, 2009, s. 136.
(
8
) – Pokud jde o pojednání z nedávné doby týkající se teoretických a praktických otázek ve složených řízeních, viz Bastos, F. B., Judging Composite Decision-Making: The Transformation of European Administrative Law, Hart Publishing, Oxford, 2024.
(
9
) – Článek 55 odst. 1 GDPR stanoví, že „[k]aždý dozorový úřad je na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením“.
(
10
) – V tomto smyslu viz body 9, 10 a 13 odůvodnění GDPR.
(
11
) – Viz čl. 60 odst. 4 nařízení GDPR.
(
12
) – V tomto ohledu se úloha EDPB liší od úlohy jeho předchůdkyně, „pracovní skupiny zřízené podle článku 29“, která byla zřízena podle čl. 29 odst. 1 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995 L281, s. 31; Zvl. vyd. 13/15, s. 355) a měla pouze poradní status.
(
13
) – Viz též bod 136 odůvodnění nařízení GDPR.
(
14
) – Článek 65 odst. 5 nařízení GDPR.
(
15
) – Článek 65 odst. 6 nařízení GDPR stanoví, že takové vnitrostátní rozhodnutí musí být přijato nejpozději do jednoho měsíce poté, co EDPB oznámil závazné rozhodnutí dozorovému úřadu.
(
16
) – Pokud vnitrostátní dozorový úřad se závazným rozhodnutím EDPB nesouhlasí, může jeho platnost napadnout u Tribunálu. Viz např. žaloby, které vedly k vydání rozsudku ze dne 29. ledna 2025, Data Protection Commission v. Evropský sbor pro ochranu osobních údajů (T‑70/23, T‑84/23 a T‑111/23, EU:T:2025:116).
(
17
) – Účelem zásad ochrany soukromí je zajistit splnění pravidel transparentnosti, které pro navrhovatelku vyplývají z článků 12 až 14 nařízení GDPR a patrně i z článku 8 Listiny základních práv Evropské unie. Obecně viz pracovní skupina zřízená podle článku 29, Pokyny k transparentnosti podle nařízení 2016/679, přijaté dne 29. listopadu 2017 (WP260).
(
18
) – Viz čl. 99 odst. 2 nařízení GDPR.
(
19
) – Viz Data Protection Commission, Decision of the Data Protection Commission made pursuant to Section 111 of the Data Protection Act, 2018 and Articles 60 and 65 of the General Data Protection Regulation, 2021 (IN-18-12-2) (dále jen „konečné vnitrostátní rozhodnutí“), bod 3; k dispozici na internetových stránkách: https://www.dataprotection.ie/sites/default/files/uploads/2022-03/Full_decision_WhatsApp_Ireland-August_2021.pdf.
(
20
) – Viz konečné vnitrostátní rozhodnutí, bod 4.
(
21
) – Viz napadené usnesení, bod 4. Viz též konečné vnitrostátní rozhodnutí, bod 23.
(
22
) – Viz napadené usnesení, bod 5. Viz též konečné vnitrostátní rozhodnutí, bod 23.
(
23
) – Viz napadené usnesení, bod 5. Viz též konečné vnitrostátní rozhodnutí, bod 24.
(
24
) – Viz napadené usnesení, bod 5. Viz též konečné vnitrostátní rozhodnutí, bod 25.
(
25
) – Konečné vnitrostátní rozhodnutí, bod 25.
(
26
) – Proces zvaný „Lossy Hashing Procedure“ používaný navrhovatelkou chápu v zásadě jako techniku šifrování umožňující převádět telefonní čísla uživatelů její služby pro zasílání zpráv i jiných osob na číselné kódy. Navrhovatelka následně tyto číselné kódy sdílí se třetími osobami. Na rozdíl od návrhu rozhodnutí irského dozorového úřadu měl EDPB za to, že vzhledem k tomu, že navrhovatelka je schopna určit, a tudíž opětovně identifikovat konkrétní subjekty údajů i na základě těchto „zašifrovaných“ kódů, představují tyto zašifrované údaje osobní údaje ve smyslu nařízení GDPR. V tomto smyslu viz napadené rozhodnutí, body 141 až 157.
(
27
) – V tomto smyslu viz napadené usnesení, bod 11, a napadené rozhodnutí, body 427 a 428.
(
28
) – V tomto smyslu viz napadené usnesení, bod 11, a napadené rozhodnutí, body 426 a 428.
(
29
) – V tomto smyslu viz napadené usnesení, bod 11, a napadené rozhodnutí, body 429 a 430.
(
30
) – V tomto ohledu viz napadené usnesení, bod 9.
(
31
) – Tak například v rozsudku ze dne 18. června 2024, Komise v. SRB (C‑551/22 P, dále jen „rozsudek Komise v. SRB, EU:C:2024:520), Soudní dvůr vysvětlil, že závěry rozsudku ze dne 6. května 2021, ABLV Bank a další v. ECB (C‑551/19 P a C‑552/19 P, EU:C:2021:369), nemohou být automaticky přenášeny na situaci vzniklou v uvedené věci. V rozsudku ABLV Bank a další v. ECB Soudní dvůr uvedl, že konstatování Evropské centrální banky o selhání nebo pravděpodobném selhání banky nepředstavuje napadnutelný akt, neboť Jednotný výbor pro řešení krizí (SRB) nezavazuje, tudíž žalobu na neplatnost je nutno podat proti aktu přijatému SRB. To však neznamená, že akt přijatý SRB v rámci postupu řešení krize je vždy napadnutelným aktem. Pokud je akt přijatý touto institucí v jiné fázi postupu řešení krize, nepředstavuje napadnutelný akt, nemá-li závazné právní účinky vůči Evropské komisi, která je v rámci uvedeného složeného řízení oprávněna přijmout konečné rozhodnutí.
(
32
) – Soudní dvůr někdy musí vysvětlovat, proč nemohou být závěry přijaté v jeho předchozích rozsudcích uplatněny v rozsudku vydávaném v později projednávané věci. V tomto ohledu viz rozsudek Komise v. SRB, bod 92.
(
33
) – Rozsudek ze dne 11. listopadu 1981, IBM v. Komise (60/81, EU:C:1981:264, bod 9, dále jen „rozsudek IBM“).
(
34
) – Rozsudek ze dne 13. října 2011, Deutsche Post a Německo v. Komise (C‑463/10 P a C‑475/10 P, EU:C:2011:656, dále jen „rozsudek Deutsche Post“).
(
35
) – Z ustálené judikatury vyplývá, že otázky týkající se přípustnosti žaloby na neplatnost představují otázky veřejného pořádku, které mohou být vzneseny kdykoli, i když není podán vzájemný kasační opravný prostředek na základě čl. 176 odst. 2 jednacího řádu Soudního dvora; ex multis viz rozsudky ze dne 2. září 2021, Ja zum Nürburgring v. Komise (C‑647/19 P, EU:C:2021:666, body 52 a 53 a citovaná judikatura), a ze dne 21. září 2023, China Chamber of Commerce for Import and Export of Machinery and Electronic Products a další v. Komise (C‑478/21 P, EU:C:2023:685, body 42 a 43 a citovaná judikatura).
(
36
) – Ex multis viz rozsudky ze dne 10. března 1998, Německo v. Rada (C‑122/95, EU:C:1998:94, bod 35), a ze dne 26. září 2024, WEPA Hygieneprodukte a další v. Komise (C‑795/21 P a C‑796/21 P, EU:C:2024:807, body 63 a 73).
(
37
) – Viz čl. 65 odst. 5 první věta nařízení GDPR.
(
38
) – V tomto smyslu viz rozsudky ze dne 5. dubna 1979, Orlandi v. Komise (117/78, EU:C:1979:109, bod 11), a ze dne 26. září 2013, PPG a SNF v. ECHA (C‑625/11 P, EU:C:2013:594, bod 33).
(
39
) – Ex multis viz rozsudek ze dne 26. září 2024, WEPA Hygieneprodukte a další v. Komise (C‑795/21 P a C‑796/21 P, EU:C:2024:807, body 68 až 71).
(
40
) – Obdobně viz rozsudek ze dne 26. září 2013, PPG a SNF v. ECHA (C‑625/11 P, EU:C:2013:594, body 29 až 33), který se týkal zveřejnění seznamu látek pouze na internetové stránce Evropské agentury pro chemické látky, což nicméně Soudní dvůr považoval za zveřejněné rozhodnutí.
(
41
) – V tomto smyslu ex multis viz rozsudek ze dne 26. září 2024, Covestro Deutschland a Německo v. Komise (C‑790/21 P a C‑791/21 P, EU:C:2024:792, bod 82), a ze dne 26. září 2024, WEPA Hygieneprodukte a další v. Komise (C‑795/21 P a C‑796/21 P, EU:C:2024:807, body 72 a 73), kde se v posledně uvedeném rozsudku vysvětluje, že v zájmu právní jistoty musí být lhůty pro podání žaloby stanoveny objektivně a s jistotou vůči všem účastníkům, jimž akt nebyl oznámen, bez ohledu na to, že se žalobce o dotčeném opatření případně dozvěděl již dříve.
(
42
) – K případnému praktickému rozdílu mezi dovoláváním se závazných právních účinků, nebo pouze právních účinků, a to k určení toho, zda je akt napadnutelný, viz stanovisko generálního advokáta M. Bobka ve věci Belgie v. Komise (C‑16/16 P, EU:C:2017:959, bod 59 a násl.).
(
43
) – Viz článek 173 Smlouvy o EHS (kurzivou zvýraznila autorka tohoto stanoviska). Dodala bych, že článek 33 Smlouvy o Evropském společenství uhlí a oceli obsahoval pozitivní výčet napadnutelných aktů, s uvedením „rozhodnutí“ a „doporučení“. Podle článku 14 uvedené Smlouvy byly tyto akty definovány jako právně závazné akty. Z tohoto důvodu raná judikatura Soudního dvora, která ovlivnila jeho pozdější judikaturu, posuzovala „závaznou“ povahu opatření, aby mohlo být rozhodnuto o tom, zda může být toto opatření předmětem žaloby na neplatnost. Viz například rozsudky ze dne 16. července 1956, Fédération charbonnière de Belgique v. Vysoký úřad (8/55, EU:C:1956:7, s. 256); ze dne 10. prosince 1957, Société des usines à tubes de la Sarre v. Vysoký úřad (1/57 a 14/57, EU:C:1957:13, s. 114); a ze dne 15. března 1967, C. B. R. a další v. Komise (8/66 až 11/66, EU:C:1967:7, s. 91).
(
44
) – Tímto způsobem jsou doporučení a stanoviska dnes definována v článku 288 SFEU, nicméně stejná definice byla obsažena v článku 189 Smlouvy o EHS.
(
45
) – V rozsudku ze dne 31. března 1971, Komise v. Rada (22/70, EU:C:1971:32, bod 39), odkázal Soudní dvůr na opatření, která směřují k vyvolání „právní síly“. V nedávné judikatuře se však tento výraz změnil na výraz popisující opatření, která směřují k vyvolání „závazných právních účinků“. Viz například rozsudek ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada (C‑348/20 P, EU:C:2022:548, bod 62 a citovaná judikatura).
(
46
) – Pokud jde o privilegované žalobce, viz například usnesení ze dne 17. května 1989, Itálie v. Komise (151/88, EU:C:1989:201, body 22 a 23), a rozsudek ze dne 25. října 2017, Slovensko v. Komise (C‑593/15 P a C‑594/15 P, EU:C:2017:800, body 63 až 65).
(
47
) – Pokud je žaloba podána privilegovaným žalobcem, pak tato otázka v každém případě není relevantní. Jak jsem však vysvětlila, i v případě privilegovaných žalobců musí Soudní dvůr určit, zda je napadený akt právně závazný. Ve dvou rozhodnutích Soudního dvora, které, pokud je mi známo, nebyly nikdy opakovány, však Soudní dvůr žalobu privilegovaného žalobce (v obou věcech byla žalobcem nizozemská vláda) zamítl z důvodu, že rozhodnutí Komise, jehož zrušení se tento privilegovaný žalobce domáhal, nemělo vůči tomuto žalobci závazné právní účinky. V tomto ohledu viz rozsudek ze dne 5. října 1999, Nizozemsko v. Komise (C‑308/95, EU:C:1999:477, body 26 a 29), a usnesení ze dne 28. ledna 2004, Nizozemsko v. Komise (C‑164/02, EU:C:2004:54, body 18 a 22). Pokud jde o kritické zamyšlení nad těmito dvěma rozsudky, viz stanovisko generálního advokáta F. G. Jacobse ve věci Itálie v. Komise (C‑301/03, EU:C:2005:550, body 52 a 53).
(
48
) – V tomto ohledu, pokud jde o judikaturu týkající se interních pokynů a zásad, viz Lenaerts, K., Gutman, K. a Nowak, J.T., EU Procedural Law, 2. vydání, Oxford European Union Law Library, Oxford, 2023, s. 286, body 7.21 až 7.22.
(
49
) – To jednoznačně vyplývá z judikatury v oblasti státních podpor, kde rozhodnutí Komise, jímž prohlašuje existující podporu za neslučitelnou s vnitřním trhem a nařizuje členskému státu zajistit navrácení této podpory, je právně závazné pouze pro tento členský stát, ale může být napadeno i příjemcem uvedené podpory. Viz například rozsudek ze dne 19. října 2000, Itálie a Sardegna Lines v. Komise (C‑15/98 a C‑105/99, EU:C:2000:570, body 31 až 37).
(
50
) – V tomto ohledu viz rozsudek IBM, bod 10, a ze dne 26. ledna 2010, Internationaler Hilfsfonds v. Komise (C‑362/08 P, EU:C:2010:40, bod 58).
(
51
) – V tomto ohledu viz stanovisko generálního advokáta K. Roemera ve spojených věcech C. B. R. a další v. Komise (8/66 až 11/66, nezveřejněné, EU:C:1967:2, s. 103).
(
52
) – Viz k tomuto bodu naposledy rozsudek ze dne 13. února 2025, Swissgrid v. Komise (C‑121/23 P, EU:C:2025:83, bod 46) (vysvětlující, že pokud žalobce v žalobě na neplatnost není adresátem napadeného aktu, „stačí prokázat, že cílem tohoto aktu je vyvolat závazné právní účinky zejména ve vztahu k jeho adresátům“, neboť v této fázi „není třeba ověřovat, zda se tyto právní účinky mohou dotknout zájmů žalobce tím, že podstatným způsobem změní jeho právní postavení“, jelikož toto ověření se nutně provádí ve fázi zkoumání podmínky uložené v čl. 263 čtvrtém pododstavci SFEU).
(
53
) – Kurzivou zvýraznila autorka stanoviska.
(
54
) – Viz body 38 a 39 napadeného usnesení. Společně s rozsudkem IBM se Tribunál dovolává rovněž rozsudku ze dne 18. listopadu 2010, NDSHT v. Komise (C‑322/09 P, EU:C:2010:701, bod 45), který odkazuje na jiné věci, jež rovněž citují bod 9 rozsudku IBM.
(
55
) – Kurzivou zvýraznila autorka stanoviska.
(
56
) – Ex multis viz například rozsudek ze dne 31. března 1998, Francie a další v. Komise (C‑68/94 a C‑30/95, EU:C:1998:148, bod 62); ze dne 17. července 2008, Athinaïki Techniki v. Komise (C‑521/06 P, EU:C:2008:422, bod 29); ze dne 26. ledna 2010, Internationaler Hilfsfonds v. Komise (C‑362/08 P, EU:C:2010:40, bod 51); a rozsudek Komise v. SRB, bod 65.
(
57
) – Ex multis viz usnesení ze dne 3. července 2007, Commune de Champagne a další v. Rada a Komise (T‑212/02, EU:T:2007:194, body 86 a 88), a rozsudky ze dne 26. listopadu 2018, Shindler a další v. Rada (T‑458/17, EU:T:2018:838, bod 30), a ze dne 10. března 2021, ViaSat v. Komise (T‑245/17, EU:T:2021:128, bod 68).
(
58
) – Viz například stanovisko generální advokátky E. Sharpston ve věci Reynolds Tobacco a další v. Komise (C‑131/03 P, EU:C:2006:228, body 102 a 103), v němž zdůrazňuje, že požadavek, aby byl akt závazný pro dotčeného žalobce, byl Soudním dvorem doplněn k požadavku, aby byl tento akt závazný obecně.
(
59
) – Odkazy na citovanou judikaturu jsou vynechány.
(
60
) – Usnesení ze dne 14. července 2010, Deutsche Post v. Komise (T-570/08, nezveřejněno, EU:T:2010:311).
(
61
) – Viz například rozsudek ze dne 21. prosince 2021, Algebris (UK) a Anchorage Capital Group v. SRB (C‑934/19 P, EU:C:2021:1042, bod 87 a násl.).
(
62
) – V tomto smyslu viz rozsudek Deutsche Post, body 40 až 47.
(
63
) – Rozsudek Deutsche Post, bod 54.
(
64
) – Rozsudek Deutsche Post, bod 63.
(
65
) – Rozsudek Deutsche Post, body 66 až 75.
(
66
) – Napadené usnesení, body 42 až 49.
(
67
) – Usnesení ze dne 14. července 2010, Deutsche Post v. Komise (T‑570/08, nezveřejněné, EU:T:2010:311).
(
68
) – V tomto smyslu viz napadené usnesení, body 43 a 44 (nejdřív se uvádí, že mezitímní akty v rámci složených řízení v zásadě nepředstavují akty, které lze napadnout, a následně se uvádí, že „[v]ýjimky [z uvedené] zásady […] se týkají případů, kdy má mezitímní opatření samostatné právní účinky“).
(
69
) – Napadené usnesení, bod 44.
(
70
) – Rozsudek IBM, bod 10, kurzivou zvýraznila autorka stanoviska.
(
71
) – Totéž lze říci o konstatování Soudního dvora uvedeném v bodě 52 rozsudku ze dne 26. ledna 2010, Internationaler Hilfsfonds v. Komise (C‑362/08 P, EU:C:2010:40), z něhož Tribunál rovněž vycházel v bodě 43 napadeného usnesení.
(
72
) – Soudní dvůr sice při popisu kontextu určité konkrétní věci odkazuje na pojem „přípravný“ akt v rámci složeného řízení, nicméně nevylučuje možnost takový akt napadnout, pokud je zjištěno, že v rámci uvedeného řízení vyvolává autonomní právní účinky. Viz například rozsudek Komise v. SRB, bod 93, v němž Soudní dvůr vysvětluje, že „[v] takovém komplexním postupu nemohou být akty přijaté během přípravných fází pro přijetí konečného aktu napadeny žalobou na neplatnost, pokud nevyvolávají autonomní právní účinky“ (kurzivou zvýraznila autorka stanoviska).
(
73
) – Jak jsem již vysvětlila, závazné právní účinky rozhodnutí EDPB přijatého v rámci mechanismu jednotnosti pro příslušné vnitrostátní dozorové úřady jsou zakotveny v čl. 65 odst. 1 nařízení GDPR.
(
74
) – Napadené usnesení, bod 51.
(
75
) – Viz rozsudek ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada (C‑348/20 P, EU:C:2022:548, bod 43 a citovaná judikatura).
(
76
) – Domnívám se, že první věcí, v níž se objevila zmínka o „kumulativní“ povaze těchto kritérií, je rozsudek ze dne 10. září 2009, Komise v. Ente per le Ville vesuviane a Ente per le Ville Vesuviane v. Komise (C‑445/07 P a C‑455/07 P, EU:C:2009:529, bod 45), který se týkal finanční pomoci poskytované z Evropského fondu pro regionální rozvoj prostřednictvím pomoci zajišťované vnitrostátními orgány.
(
77
) – Situace, kdy unijní opatření vyžaduje dodatečné prováděcí opatření, aby „dosáhlo“ až na žalobce, nastává v praxi nejčastěji. Takováto situace však není jediným případem, kdy se může akt bezprostředně dotýkat fyzické nebo právnické osoby. Existují akty, které se dotýkají právního postavení jednotlivce, aniž by bylo nutné přijímat prováděcí opatření. To platí pro akty s obecnou působností, jako jsou nařízení. V tomto ohledu srov. například situaci dotčenou v rozsudku ze dne 1. dubna 2004, Komise v. Jégo-Quéré (C‑263/02 P, EU:C:2004:210). Za okolností daných v uvedené věci byla povinnost používání sítí s takovou minimální velikostí ok, aby se omezily úlovky nedospělých jedinců štikozubce, uložena přímo rybářské společnosti žalobkyně, aniž bylo nutné přijímat prováděcí opatření. Poslední změna čl. 263 čtvrtého pododstavce SFEU vyplývající z Lisabonské smlouvy umožnila podání žaloby na neplatnost proti nařizovacím aktům, které nevyžadují přijetí prováděcích opatření, aniž by bylo nutné prokazovat osobní dotčení. Žalobce však musí i tak prokázat, že je napadeným opatřením dotčen bezprostředně. Takový důkaz nebude zahrnovat druhé „kumulativní“ kritérium vyplývající z judikatury, tj. kritérium přijetí prováděcích opatření, jelikož v takové situaci neexistují žádná prováděcí opatření, která by zajišťovala „přemostění“ mezi napadeným opatřením a žalobcem.
(
78
) – Pokud jde o nedávné potvrzení této teze ve vztahu ke směrnicím, které vždy vyžadují přijetí prováděcích opatření, viz rozsudek ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada (C‑348/20 P, EU:C:2022:548, bod 70).
(
79
) – Viz napadené usnesení, bod 51.
(
80
) – Viz rozsudek ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada (C‑348/20 P, EU:C:2022:548, body 71 až 74).
(
81
) – Napadené usnesení, bod 64.
(
82
) – Viz například rozsudky ze dne 19. října 2000, Itálie a Sardegna Lines v. Komise (C‑15/98 a C‑105/99, EU:C:2000:570, body 31 a 34), a ze dne 29. dubna 2004, Itálie v. Komise (C‑298/00 P, EU:C:2004:240, bod 39).
(
83
) – Totéž platí pro judikaturu, které se Tribunál dovolává v bodě 65 napadeného usnesení a která se týkala rozhodnutí Komise určeného členskému státu, kterým mu bylo nařízeno omezit jisté unijní financování poskytované podniku. Soudní dvůr měl za to, že podnik nacházející se v takovém postavení je rozhodnutím Komise bezprostředně dotčen bez ohledu na nezbytnost přijetí prováděcích opatření členským státem.
(
84
) – Bod 64 napadeného usnesení.
(
85
) – Bod 53 napadeného usnesení.
(
86
) – Navrhovatelka dále zpochybňuje pravomoc EDPB zasahovat do metody výpočtu i do výše pokut, přičemž tvrdí, že nařízení GDPR ponechalo tuto pravomoc vnitrostátnímu dozorovému úřadu a uvedená pravomoc se řídí pravidly stanovenými vnitrostátním právem. Posledně uvedené tvrzení bude nutno posoudit z meritorního hlediska, přičemž Soudní dvůr se k uvedené otázce nemůže v rámci projednávaného kasačního opravného prostředku vyjádřit sám.
(
87
) – Viz body 57 až 59 napadeného usnesení. Skutečnost, že EDPB nevyjádřil stanovisko k otázce, zda společnost WhatsApp jednala jako správce nebo zpracovatel, pokud jde o osobní údaje vyplývající z procesu zvaného „Lossy Hashing Procedure“, nemění nic na tom, že irský dozorový úřad je vázán závěrem EDPB, že uvedený proces představuje zpracování osobních údajů.
(
88
) – V bodech 55 a 56 napadeného usnesení uvedl Tribunál výčet otázek, které byly předmětem rozhodnutí EDPB, jakož i těch otázek, o nichž bylo kromě toho rozhodnuto ještě irským dozorovým úřadem v konečném vnitrostátním rozhodnutí.
(
89
) – Viz napadené usnesení, bod 60.
(
90
) – Ex multis viz rozsudky ze dne 3. června 2021, Maďarsko v. Parlament (C‑650/18, EU:C:2021:426, bod 38 a citovaná judikatura), a rozsudek Komise v. SRB, bod 65 a citovaná judikatura.
(
91
) – V tomto ohledu se Tribunál opírá o rozsudek ze dne 25. července 2002, Unión de Pequeños Agricultores v. Rada (C‑50/00 P, EU:C:2002:462, bod 40); viz rovněž napadené usnesení, bod 68.
(
92
) – Viz rozsudek ze dne 22. října 1987, Foto-Frost (314/85, EU:C:1987:452, bod 17).
(
93
) – Rozsudek ze dne 9. března 1994 (C‑188/92, EU:C:1994:90, bod 26).
(
94
) – Rozsudek ze dne 25. července 2018 (C‑135/16, EU:C:2018:582, bod 17 a citovaná judikatura).
(
95
) – Rozsudek ze dne 25. července 2018, Georgsmarienhütte a další (C‑135/16, EU:C:2018:582, bod 18).
(
96
) – V tomto smyslu viz například rozsudek ze dne 10. března 2021, Von Aschenbach & Voss (C‑708/19, EU:C:2021:190, body 33 a 49).
(
97
) – Rozsudek ze dne 3. prosince 2019, Iccrea Banca (C‑414/18, dále jen „rozsudek Iccrea Banca, EU:C:2019:1036).
(
98
) – Rozsudek Iccrea Banca, body 72 a 74.
(
99
) – Uvedený návrh platí pouze v případě, že bylo „nade vši pochybnost“, že společnost WhatsApp skutečně byla aktivně legitimována k podání žaloby k unijním soudům. Kdyby společnost WhatsApp naopak nebyla aktivně legitimována k podání žaloby na neplatnost napadeného rozhodnutí u Tribunálu, jak tvrdí Tribunál, nemělo by jí být bráněno ve vznesení námitky neplatnosti před vnitrostátním soudem.
(
100
) – Viz napadené usnesení, bod 40.
(
101
) – V relevantní části bod 143 odůvodnění nařízení GDPR uvádí: „Pokud se rozhodnutí sboru bezprostředně a osobně dotýkají správce, zpracovatele nebo stěžovatele, mohou tyto osoby podat žalobu na neplatnost těchto rozhodnutí a v souladu s článkem 263 Smlouvy o fungování EU ve lhůtě dvou měsíců od jejich zveřejnění na internetových stránkách sboru.“
(
102
) – V tomto ohledu viz stanovisko generálního advokáta M. Campos Sánchez-Bordony ve věci Georgsmarienhütte a další (C‑135/16, EU:C:2018:120, bod 43). Viz též argumenty vznesené ve stanovisku generálního advokáta F. G. Jacobse ve věci Unión de Pequeños Agricultores v. Rada (C‑50/00 P, EU:C:2002:197, bod 40 a násl.), které zůstávají platné.
(
103
) – Viz napadené usnesení, bod 70.
(
104
) – Viz rozsudek ze dne 14. prosince 2000, Masterfoods a HB (C‑344/98, EU:C:2000:689, bod 39 a citovaná judikatura).
(
105
) – Viz rozsudky ze dne 14. prosince 2000, Masterfoods a HB (C‑344/98, EU:C:2000:689, bod 57), a ze dne 25. července 2018, Georgsmarienhütte a další (C‑135/16, EU:C:2018:582, bod 24 a citovaná judikatura).
(
106
) – Viz Meta Platforms Ireland Ltd v. Data Protection Commission (schváleno) [2024] IEHC 264 ze dne 10. května 2024, kde se v bodě 49 uvádí, že „Řízení o zákonném opravném prostředku a soudní přezkum budou obecně přerušeny, aby se vyčkalo výsledku řízení ve věci WhatsApp, které je v současné době vedeno u Soudního dvora Evropské unie“.
(
107
) – Viz rozsudek ze dne 25. července 2018, Georgsmarienhütte a další (C‑135/16, EU:C:2018:582, bod 25).
(
108
) – Viz napadené usnesení, bod 40.