62023CC0097
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
T. ĆAPETA
fremsat den 27. marts 2025 (
1
)
Sag C-97/23 P
WhatsApp Ireland Ltd
mod
Det Europæiske Databeskyttelsesråd
»Appel – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 65 – sammenhængsmekanismen – tvistbilæggelse ved Det Europæiske Databeskyttelsesråd – annullationssøgsmål – artikel 263, stk. 1, TEUF – begrebet »anfægtelig retsakt« – artikel 263, stk. 4, TEUF – umiddelbart berørt – begrebet »forberedende« eller »mellemkommende« retsakt – spørgsmålet om en afgørelse, der ikke kan gøres gældende over for en fysisk eller juridisk person – skønsbeføjelse for det organ, der gennemfører denne afgørelse«
I. Indledning
1.
Den foreliggende appel rejser det varige spørgsmål om fortolkningen og anvendelsen af betingelserne for at antage et annullationssøgsmål, der er anlagt af sagsøgere, som er fysiske eller juridiske personer, til realitetsbehandling. Sagen omhandler nærmere bestemt begreberne »anfægtelig retsakt« som omhandlet i artikel 263, stk. 1, TEUF og »umiddelbart berørt« som omhandlet i artikel 263, stk. 4, TEUF.
2.
Dette spørgsmål opstår i forbindelse med den sammenhængsmekanisme, der er fastsat i forordning (EU) 2016/679 (
2
). Denne mekanisme indebærer en sammensat procedure, der involverer de nationale tilsynsmyndigheder og Det Europæiske Databeskyttelsesråd (herefter »Databeskyttelsesrådet«).
3.
I den appellerede kendelse afviste Retten et søgsmål anlagt af WhatsApp Ireland Ltd (herefter »WhatsApp« eller »appellanten«) til prøvelse af Binding Decision 1/2021 (herefter »den omtvistede afgørelse«) (
3
) en afgørelse truffet af Databeskyttelsesrådet inden for rammerne af denne mekanisme (
4
). Dette er baggrunden for den foreliggende appel (
5
).
4.
Ud over den specifikke appel i den foreliggende sag har Domstolen lejlighed til mere generelt at forklare, hvordan reglerne om antagelse til realitetsbehandling af annullationssøgsmål skal anvendes på sammensatte procedurer.
II. Baggrund
5.
Den foreliggende sag udspringer af den sammenhængsmekanisme, der er indført med databeskyttelsesforordningen. Den omhandler nærmere bestemt den del af denne mekanisme, der er fastsat i databeskyttelsesforordningens artikel 65, i henhold til hvilken Databeskyttelsesrådet har beføjelse til at vedtage bindende afgørelser, hvorved det løser visse typer tvister, der opstår mellem de nationale tilsynsmyndigheder, når de håndhæver databeskyttelsesforordningens regler.
6.
Sammenhængsmekanismen er en af de mange »sammensatte administrative procedurer«, der er fastsat i den afledte EU-ret (
6
).
7.
Dette udtryk anvendes til at beskrive procedurer, hvor beslutningstagningen finder sted i flere faser, der involverer både EU-institutioner eller ‑organer og nationale institutioner eller organer (
7
).
8.
Et af de juridiske problemer, der opstår i forbindelse med disse procedurer, er spørgsmålet om, hvilke retsakter, som er vedtaget af flere aktører under hele denne procedure, der udgør »anfægtelige retsakter«, og ved hvilke retter sådanne retsakter skal anfægtes (
8
).
9.
Den foreliggende appel skal ses i denne sammenhæng. Appellanten er af den opfattelse, at Retten med urette fastslog, at den omtvistede afgørelse, der er truffet i henhold til sammenhængsmekanismen, ikke er en retsakt, der kan anfægtes ved Unionens retsinstanser.
A.
Databeskyttelsesforordningens sammenhængsmekanisme
10.
De forskellige tilsynsmyndigheder i medlemsstaterne har til opgave at overvåge og håndhæve databeskyttelsesforordningens regler på deres respektive områder (
9
).
11.
For at afhjælpe den potentielle fragmentering af gennemførelsen af databeskyttelsesreglerne i hele Unionen, som kan opstå som følge af et sådant »decentraliseret« system, indeholder databeskyttelsesforordningen bestemmelser om samarbejde mellem de nationale tilsynsmyndigheder (
10
).
12.
Hvis en databehandling har en grænseoverskridende dimension, skal den myndighed, der er ansvarlig for den pågældende databehandler eller dataansvarlige – den ledende tilsynsmyndighed – videresende sit udkast til afgørelse om håndhævelse af databeskyttelsesforordningens regler over for databehandleren eller den dataansvarlige under dens kompetence til de berørte tilsynsmyndigheder i andre medlemsstater.
13.
Hvis disse andre myndigheder er enige i fortolkningen af databeskyttelsesforordningen og de håndhævelsesforanstaltninger, der foreslås af den ledende tilsynsmyndighed, kan sidstnævnte vedtage den endelige afgørelse, som er bindende for den pågældende dataansvarlige eller databehandler.
14.
Hvis disse andre tilsynsmyndigheder fremsætter relevante og begrundede indsigelser, som den ledende tilsynsmyndighed er uenig i eller ikke finder relevante eller begrundede, skal sidstnævnte imidlertid forelægge sagen for Databeskyttelsesrådet til afgørelse (
11
).
15.
Databeskyttelsesrådet bilægger tvisten mellem de berørte nationale tilsynsmyndigheder og afgør sagen ved en bindende afgørelse (
12
).
16.
I henhold til databeskyttelsesforordningens artikel 65, stk. 2, er denne afgørelse rettet til og bindende for den ledende tilsynsmyndighed og andre berørte tilsynsmyndigheder (
13
). Afgørelsen offentliggøres endvidere på Databeskyttelsesrådets websted (
14
).
17.
Inden for de fastsatte frister (
15
) og på grundlag af denne bindende afgørelse fra Databeskyttelsesrådet skal den ledende tilsynsmyndighed vedtage sin endelige afgørelse (
16
), som derefter meddeles den pågældende dataansvarlige eller databehandler.
B.
De faktiske omstændigheder, der førte til den foreliggende sag
18.
WhatsApp er et selskab, der leverer internetbaserede opkalds- og beskedtjenester (herefter »beskedtjenesten«).
19.
For at oprette en konto hos dette selskab skal en bruger acceptere selskabets tjenestevilkår og dens privatlivspolitik (
17
).
20.
Den 24. maj 2018 ændrede WhatsApp sin privatlivspolitik for at tage højde for de ændringer, der blev indført med databeskyttelsesforordningen, som skulle gælde fra den 25. maj 2018 (
18
). De eksisterende brugere fik mulighed for at acceptere disse ændringer eller ophøre med at anvende appellantens beskedtjeneste.
21.
Efterfølgende modtog Data Protection Commission (den irske tilsynsmyndighed for beskyttelse af fysiske personers personoplysninger, herefter »den irske tilsynsmyndighed«) flere klager fra forskellige registrerede vedrørende appellantens databehandlingsaktiviteter (
19
).
22.
I december 2018 og efter en foreløbig vurdering af klagerne indledte den irske tilsynsmyndighed en undersøgelse af, om WhatsApp havde opfyldt sine gennemsigtighedsforpligtelser i henhold til databeskyttelsesforordningens artikel 12-14 med hensyn til oplysninger og gennemsigtigheden af disse oplysninger over for både brugere og ikke-brugere af selskabets beskedtjeneste (
20
).
23.
Da WhatsApps beskedtjeneste indebærer grænseoverskridende behandling i hele Unionen, forelagde den irske tilsynsmyndighed i overensstemmelse med sine forpligtelser i henhold til databeskyttelsesforordningen de andre berørte nationale tilsynsmyndigheder sit udkast til afgørelse (
21
).
24.
Som svar herpå modtog den irske tilsynsmyndighed indsigelser fra de tyske (føderale), de ungarske, de nederlandske, de polske, de franske, de italienske, de portugisiske og de nederlandske tilsynsmyndigheder (
22
). Desuden modtog den en række bemærkninger til dette udkast til afgørelse fra tilsynsmyndighederne i Østrig, Nederlandene, Danmark, Polen, Belgien og Frankrig samt den tyske delstat Hamburg (
23
).
25.
Da en række tilsynsmyndigheder fremsatte relevante og begrundede indsigelser mod det udkast til afgørelse, som den irske tilsynsmyndighed ikke var enig i, fremsendte den irske tilsynsmyndighed indsigelserne til Databeskyttelsesrådet med henblik på bilæggelse (
24
).
26.
Den 28. juli 2021 vedtog Databeskyttelsesrådet den omtvistede afgørelse og underrettede efterfølgende de irske tilsynsmyndigheder og de andre berørte tilsynsmyndigheder (
25
).
27.
I den omtvistede afgørelse pålægger Databeskyttelsesrådet den irske tilsynsmyndighed at ændre en række af de konklusioner, der er indeholdt i udkastet til afgørelse, og at forhøje de bøder, der er foreslået heri.
28.
I henhold til den omtvistede afgørelse skal den irske tilsynsmyndighed fastslå, at »lossy hashed data« (
26
) udgør personoplysninger som omhandlet i databeskyttelsesforordningens artikel 4, stk. 1 (
27
), og at appellanten har overtrådt gennemsigtighedsreglerne i databeskyttelsesforordningens artikel 5, stk. 1, litra a), artikel 13, stk. 1, litra d), artikel 13, stk. 2, litra e), og artikel 14 (
28
).
29.
Hvad angår de proceduremæssige konstateringer og bøderne følger det af den omtvistede afgørelse, at appellantens frist for overholdelse nedsættes fra seks til tre måneder, at den irske tilsynsmyndighed havde fejlfortolket kriteriet vedrørende bødernes størrelse, og at størrelsen af de af denne myndighed påtænkte bøder forhøjes (
29
).
30.
Ud fra disse instrukser ændrede den irske tilsynsmyndighed sit udkast til afgørelse og vedtog den endelige nationale afgørelse den 20. august 2021 (
30
).
31.
Den 1. november 2021 anlagde appellanten sag ved Retten med påstand om annullation af den omtvistede afgørelse.
32.
Den 7. december 2022 afsagde Retten den appellerede kendelse, hvorved den afviste appellantens søgsmål.
33.
I denne kendelse fastslog Retten i det væsentlige, at den omtvistede afgørelse ikke udgør en anfægtelig retsakt som omhandlet i artikel 263, stk. 1, TEUF, og at appellanten ikke var umiddelbart berørt af denne afgørelse som omhandlet i artikel 263, stk. 4, TEUF.
34.
Den appellerede kendelse er opbygget således:
–
I præmis 40 fastslår Retten, at den omtvistede afgørelse berører appellanten individuelt.
–
I præmis 42-49 behandler Retten spørgsmålet om, hvorvidt den omtvistede afgørelse udgør en anfægtelig retsakt som omhandlet i artikel 263, stk. 1, TEUF, og konkluderer, at den ikke udgør en sådan retsakt.
–
I præmis 50-65 undersøger Retten, om appellanten er umiddelbart berørt af den omtvistede afgørelse som omhandlet i artikel 263, stk. 4, TEUF. Den konkluderer, at den omtvistede afgørelse ikke umiddelbart berører appellantens retsstilling, og at denne afgørelse overlader et skøn til den irske tilsynsmyndighed, således at betingelserne for at være umiddelbart berørt ikke er opfyldt.
–
Retten konkluderer derfor, at appellantens annullationssøgsmål ikke kan antages til realitetsbehandling, og forklarer endvidere i præmis 66-71, hvorfor dens konklusion er i overensstemmelse med det retsmiddelsystem, der er indført ved traktaterne.
C.
Retsforhandlingerne for Domstolen
35.
Ved appel iværksat den 17. februar 2023 har appellanten nedlagt påstand om, at Domstolen ophæver den appellerede kendelse, fastslår, at søgsmålet antages til realitetsbehandling, hjemviser sagen til Retten med henblik på, at denne træffer afgørelse om sagens realitet, og pålægger Databeskyttelsesrådet at betale sagsomkostningerne.
36.
Den tyske regering har interveneret til støtte for Databeskyttelsesrådet.
37.
Der blev afholdt retsmøde den 26. november 2024, hvor appellanten og Databeskyttelsesrådet fremlagde mundtlige argumenter.
III. Bedømmelse
38.
Appellanten har fremsat to anbringender til støtte for sin appel. Med det første anbringende har appellanten gjort gældende, at Retten foretog en fejlagtig fortolkning af begreberne anfægtelig retsakt i henhold til artikel 263, stk. 1, TEUF og umiddelbart berørt som indeholdt i artikel 263, stk. 4, TEUF. Denne fejl førte til en urigtig anvendelse af artikel 263 TEUF i den foreliggende sag, hvilket foranledigede Retten til fejlagtigt at kvalificere den omtvistede afgørelse som en retsakt, der ikke kan anfægtes af appellanten. Med det andet anbringende har appellanten gjort gældende, at Retten fortolkede og anvendte databeskyttelsesforordningens artikel 65, stk. 1, forkert i forbindelse med den omtvistede afgørelse.
39.
I dette forslag til afgørelse vil jeg foreslå Domstolen at fastslå, at Retten anvendte den analyse, der kræves i henhold til artikel 263, stk. 1 og 4, TEUF, fejlagtigt på den sammenhængsmekanisme, der er fastsat i databeskyttelsesforordningen. Det første anbringende skal derfor tages til følge, og den appellerede kendelse ophæves. Det er derfor ikke nødvendigt at behandle det andet appelanbringende.
40.
Ud over denne appels umiddelbare sammenhæng henledes opmærksomheden endvidere på, at denne sag også rejser et spørgsmål af mere horisontal karakter: Dvs. spørgsmålet om, hvilke analysetrin der skal følges for at afgøre, om et annullationssøgsmål anlagt til prøvelse af en retsakt, der er vedtaget under en sammensat procedure, kan antages til realitetsbehandling.
41.
Sammensatte procedurer er meget forskellige, idet de hver især er specifikt udformet i den afledte EU-retsakt, hvorved de indføres, således at de er egnet til det formål, som denne særlige procedure opfylder på et givet område, hvor der træffes administrative afgørelser på grundlag af EU-retten.
42.
Hvis analysetrinnene i vurderingen af antageligheden af annullationssøgsmål anlagt af fysiske eller juridiske personer mod retsakter vedtaget i sådanne procedurer misforstås, er der risiko for, at Retten i fremtidige sager vedrørende forskellige typer sammensatte procedurer igen uberettiget vil nægte sådanne personer adgang til Unionens retsinstanser.
43.
Betingelserne i artikel 263 TEUF forbliver imidlertid de samme uanset disse forskellige strukturer. De almindelige regler om antagelse til realitetsbehandling af søgsmål anlagt af fysiske eller juridiske personer til prøvelse af retsakter, der er vedtaget inden for rammerne af en sammensat procedure, skal derfor anvendes på samme måde og ved brug af de samme analysetrin på alle disse sammensatte procedurer, samtidig med at der tages hensyn til de særlige kendetegn ved hver enkelt procedure.
44.
Som jeg vil forsøge at vise i min analyse, indførte Retten nogle unødvendige (og vildledende) analysetrin, som var inspireret af de særlige forhold i databeskyttelsesforordningens sammenhængsmekanisme, i sin vurdering af betingelserne for antagelse til realitetsbehandling i henhold til artikel 263 TEUF. Efter min opfattelse griber f.eks. spørgsmålet om, hvorvidt den omtvistede afgørelse er en foreløbig retsakt i forbindelse med denne procedure, ind i det relevante spørgsmål om, hvorvidt denne afgørelse er en endelig og bindende retsakt, som er det eneste passende spørgsmål, der skal stilles i forbindelse med den analyse, der skal foretages i henhold til artikel 263, stk. 1, TEUF. Undersøgelsen af, om den omtvistede afgørelse direkte kan gøres gældende over for appellanten, griber ligeledes ind i det korrekte analytiske spørgsmål om, hvorvidt denne afgørelse i sig selv berører appellantens retsstilling, således som det kræves i henhold til artikel 263, stk. 4, TEUF.
45.
Når Domstolen begrunder sin konklusion om antagelse til realitetsbehandling (eller afvisning) i en konkret sag, henviser den ofte til særegenhederne ved den sammensatte procedure, der var omhandlet i den foreliggende sag, og sondrer ikke sjældent mellem disse særegenheder og kendetegnene ved en anden procedure, hvor den er nået frem til en anden konklusion (
31
). Sådanne forklaringer fra Domstolen kan ikke generaliseres og mekanisk overføres på nye sager (
32
).
46.
Retten støttede sin analyse på flere af Domstolens domme, især IBM-dommen (
33
) og Deutsche Post-dommen. (
34
)
47.
Jeg vil foreslå Domstolen på ny at gennemgå nogle af disse domme og præcisere, at visse udtalelser heri ikke havde til formål at supplere de betingelser, der er fastsat i EUF-traktaten. De havde i stedet til formål at forklare anvendelsen af traktatbestemmelserne på den særlige situation, der lå til grund for disse sager. Den automatiske gengivelse i senere domme, der følger af andre omstændigheder, af Domstolens udtalelser i tidligere sager kan – som den har gjort i den foreliggende sag – føre til, at Retten når frem til en fejlagtig konklusion om, hvorvidt et annullationssøgsmål kan antages til realitetsbehandling.
48.
Den foreliggende sag giver derfor Domstolen mulighed for på ny at redegøre for de analysetrin, der er nødvendige og tilstrækkelige til at fastslå, om en borger kan anlægge et direkte annullationssøgsmål.
49.
I denne forbindelse er det efter min opfattelse vigtigt, at Domstolen foretager en klar sondring mellem to analysetrin, der ligger til grund for betingelserne for antagelighed i henhold til artikel 263 TEUF: for det første analysen af spørgsmålet om, hvorvidt en retsakt er en anfægtelig retsakt som omhandlet i artikel 263, stk. 1, TEUF, og for det andet, når denne retsakt kan anfægtes, analysen i henhold til artikel 263, stk. 4, TEUF af spørgsmålet om, hvorvidt en bestemt sagsøger, det være sig en fysisk eller juridisk person, kan anfægte denne retsakt.
50.
I lyset af det ovenstående er min analyse opbygget på følgende måde. Jeg vil begynde med det indledende spørgsmål om, at det underliggende søgsmål blev anlagt efter fristens udløb (A). Jeg vil derefter behandle realiteten i appellen med henblik på at redegøre for grundene til, at jeg mener, at Domstolen bør ophæve den appellerede kendelse. I overensstemmelse med opbygningen af det første anbringende vil jeg først forklare, at Retten sammenblandede betingelserne for at fastslå, om den omtvistede afgørelse er en anfægtelig retsakt, med betingelserne for at fastslå, at appellanten er umiddelbart berørt. Det er på dette grundlag, at det er min opfattelse, at Retten med fejlagtigt konkluderede, at den omtvistede afgørelse ikke er en anfægtelig retsakt (B). For det andet vil jeg forklare, at Retten ligeledes begik en retlig fejl ved at fastslå, at den omtvistede afgørelse ikke berører appellanten umiddelbart (C). Endelig vil jeg vise, at tankegangen bag retsmiddelsystemet, som det er udformet i henhold til traktaterne og fortolket af Domstolen i modsætning til Rettens holdning, kræver, at der træffes afgørelse om gyldigheden af den omtvistede afgørelse i et direkte søgsmål ved Unionens retsinstanser (D).
A.
Sagen er ikke anlagt efter fristens udløb
51.
I svarskriftet har Databeskyttelsesrådet gjort gældende, at appellantens søgsmål er anlagt for sent (
35
). Databeskyttelsesrådet har henvist til en skrivelse i sagsakterne dateret den 16. august 2021, hvoraf det fremgår, at den irske tilsynsmyndighed allerede den 13. august 2021 havde underrettet appellanten om »det relevante indhold« af den omtvistede afgørelse forud for Databeskyttelsesrådets offentliggørelse heraf på sit websted. Databeskyttelsesrådet har således gjort gældende, at fristen for at anlægge annullationssøgsmål udløb »senest den 25. oktober 2021«, dvs. inden den 1. november 2021, hvor stævningen ved Retten blev indgivet.
52.
Det er min opfattelse, at dette argument skal forkastes.
53.
Det fremgår af retspraksis, at henvisningen i artikel 263, stk. 6, TEUF til det tidspunkt, hvor sagsøgeren fik kendskab til retsakten, er subsidiær i forhold til kriterierne om samme retsakts offentliggørelse eller meddelelse (
36
).
54.
I det foreliggende tilfælde er den omtvistede afgørelse ikke blevet meddelt appellanten. Databeskyttelsesrådet er kun forpligtet til at meddele sin afgørelse direkte til den ledende irske tilsynsmyndighed og de berørte nationale tilsynsmyndigheder (
37
).
55.
Det skal således afgøres, om den omtvistede afgørelse blev offentliggjort som omhandlet i artikel 263, stk. 6, TEUF.
56.
Artikel 263 TEUF knytter ingen specifikke betingelser til handlingen offentliggørelse.
57.
Da Domstolen imidlertid har foretrukket at fortolke de frister, der er fastsat i traktaterne, således at enhver urimelig begrænsning af retten til en effektiv domstolsprøvelse undgås (
38
), skal begrebet »offentliggørelse« fortolkes bredt (
39
).
58.
I denne henseende har Domstolen allerede haft lejlighed til at fastslå, at offentliggørelse på et websted, når den er påkrævet i henhold til den afledte EU-ret, opfylder kravet om »offentliggørelse« i artikel 263, stk. 6, TEUF (
40
).
59.
I den foreliggende sag er offentliggørelsen af Databeskyttelsesrådets bindende afgørelser, såsom den omtvistede afgørelse, påkrævet i henhold til databeskyttelsesforordningens artikel 65, stk. 5, tredje punktum.
60.
Da appellanten har anfægtet den omtvistede afgørelse inden for de frister, der fandt anvendelse fra datoen for dens offentliggørelse på Databeskyttelsesrådets websted (den 2.9.2021), er den omstændighed, at appellanten ligeledes kan have haft kendskab til denne afgørelses materielle indhold, inden den blev offentliggjort, uden betydning for, om det foreliggende annullationssøgsmål kan antages til realitetsbehandling (
41
).
61.
Henset til det ovenstående er det ufornødent at fastlægge det præcise tidspunkt, hvor appellanten fik kendskab til indholdet af den omtvistede afgørelse.
62.
Jeg foreslår derfor, at Domstolen forkaster Databeskyttelsesrådets argument om, at søgsmålet for Retten er anlagt for sent.
B.
Den omtvistede afgørelse er en anfægtelig retsakt
1. To analytisk adskilte spørgsmål
63.
Med det første anbringendes første og andet argument har appellanten gjort gældende, at spørgsmålet om, hvorvidt en retsakt er en anfægtelig retsakt, i modsætning til Rettens opfattelse ikke kræver en undersøgelse af, om denne retsakt væsentligt ændrer appellantens retsstilling.
64.
Jeg er enig med appellanten. Spørgsmålet om, hvorvidt en foranstaltning er en anfægtelig retsakt, adskiller sig fra spørgsmålet om, hvorvidt en konkret sagsøger, som er en fysisk eller juridisk person, kan anfægte denne retsakt til at begynde med, forudsat at der er tale om en anfægtelig retsakt.
65.
Spørgsmålet om, hvorvidt en retsakt er en anfægtelig retsakt, henhører under analysen i henhold til artikel 263, stk. 1, TEUF. Dette kræver en anden og særskilt analysemetode, som rejser andre spørgsmål end dem, der er relevante for at afgøre, om en retsakt berører sagsøgerens retsstilling (som er omfattet af artikel 263, stk. 4, TEUF).
66.
Denne konklusion følger af artikel 263 TEUF’s ordlyd, opbygning og tilblivelseshistorie [a)] og er ikke i strid med Domstolens praksis [b)].
a) Artikel 263 TEUF’s ordlyd, opbygning og tilblivelseshistorie
67.
Der er flere grunde til, at vurderingen af spørgsmålet om, hvorvidt den omtvistede afgørelse udgør den type retsakt, der kan gøres til genstand for en gyldighedsvurdering ved Unionens retsinstanser, skal være adskilt fra spørgsmålet om, hvorvidt den pågældende retsakt berører appellantens retsstilling.
68.
For det første er fastlæggelsen af den type retsakt, der kan indbringes for Unionens retsinstanser, fastsat i artikel 263, stk. 1, TEUF. Denne fastlæggelse foretages, uafhængigt af hvem der indgiver klagen.
69.
Følgelig skal svaret på spørgsmålet om, hvorvidt en retsakt er en anfægtelig retsakt, være det samme, uanset om annullationssøgsmålet er anlagt af en privilegeret (som omhandlet i artikel 263, stk. 2, TEUF), en delvis privilegeret (som omhandlet i artikel 263, stk. 3, TEUF) eller af en ikke-privilegeret sagsøger (som omhandlet i artikel 263, stk. 4, TEUF).
70.
For det andet kræver besvarelsen af spørgsmålet om, hvorvidt en retsakt kan anfægtes, en vurdering af, om denne retsakt kan have bindende retsvirkninger over for tredjemand (
42
). Denne part behøver ikke at være den samme som den, der anlægger det pågældende annullationssøgsmål.
71.
Som jeg vil forklare nedenfor, følger dette krav af den nuværende ordlyd af artikel 263, stk. 1, TEUF, således som den står tilbage efter flere ændringer, og af Domstolens praksis, som i høj grad har påvirket disse ændringer.
72.
I den nuværende affattelse af artikel 263, stk. 1, TEUF fastsættes følgende retsakter som anfægtelige retsakter: i) lovgivningsmæssige retsakter, ii) retsakter vedtaget af Rådet, Kommissionen og Den Europæiske Centralbank, bortset fra henstillinger og udtalelser, og iii) de af Europa-Parlamentets og Det Europæiske Råds samt af Den Europæiske Unions organers, kontorers og agenturers retsakter, der skal have retsvirkning over for tredjemand.
73.
Den oprindelige EØF-traktat opregnede ikke de retsakter, der kunne anfægtes, men definerede dem alene negativt som »Kommissionens og Rådets retsakter, bortset fra henstillinger og udtalelser« (
43
).
74.
Da henstillinger og udtalelser i traktaten er defineret som retsakter, der ikke er bindende (
44
), fastslog Domstolen, at alle retsakter (fra EU-institutioner og andre organer), uanset deres form eller benævnelse, der skal have bindende retsvirkninger, er anfægtelige retsakter (
45
).
75.
Hvis en retsakt ikke har bindende retsvirkninger, kan søgsmålet ikke antages til realitetsbehandling, uanset om det er anlagt af privilegerede eller ikke-privilegerede sagsøgere (
46
).
76.
Det er derfor ufornødent efterfølgende at tage stilling til, om retsakten berører sagsøgerens retsstilling i henhold til artikel 263, stk. 4, TEUF (
47
).
77.
Det fremgår af retspraksis og af ordlyden af artikel 263, stk. 1, TEUF, at en retsakt er retligt bindende, hvis den skal have retsvirkninger over for tredjemand. Hvad betyder dette?
78.
For at kunne anses for at have bindende retsvirkninger over for tredjemand skal retsakten have retsvirkninger uden for den institution eller det organ, der har vedtaget den. Hvis retsakten kun skaber forpligtelser »internt«, dvs. for den samme institution, der har vedtaget den, men ikke »eksternt«, dvs. for tredjemand, udgør denne retsakt ikke en anfægtelig retsakt (
48
).
79.
Den tredjemand, i forhold til hvilken retsakten har bindende retsvirkninger, skal ikke nødvendigvis være sagsøgeren (
49
).
80.
Domstolen har endvidere præciseret, at en retsakt kun har virkninger uden for institutionen, hvis det organ, der har udstedt retsakten, herved har givet udtryk for sit endelige standpunkt (
50
).
81.
Et standpunkt er endeligt, hvis den institution eller det organ, der har vedtaget retsakten, ikke kan ændre den yderligere, dvs. at institutionen eller organet kun kan forhindre retsvirkningerne af denne retsakt ved at tilbagekalde den (
51
). Hvis den endelige retsakt ikke tilbagekaldes af dens ophavsmand, er den eneste måde, hvorpå dens retsvirkninger kan ophæves, ved at den ugyldiggøres i en retssag.
82.
På grundlag af det ovenstående betyder dette for den foreliggende sag følgende: For at afgøre, om den omtvistede afgørelse udgør en anfægtelig retsakt, var det nødvendigt og tilstrækkeligt, at Retten fastslog, at den omtvistede afgørelse udgjorde Databeskyttelsesrådets endelige standpunkt, og at denne afgørelse pålagde en person uden for dette organ en forpligtelse, i den foreliggende sag den irske tilsynsmyndighed.
83.
Med henblik på denne vurdering var det ikke nødvendigt at vurdere, om denne retsakt ligeledes væsentligt ændrer sagsøgerens retsstilling. Sidstnævnte er et spørgsmål, der har at gøre med at være umiddelbart berørt og ikke den anfægtelige retsakts kvalitet (
52
).
84.
Fører den retspraksis, som Retten har henvist til, til en anden konklusion?
b) Retspraksis, der synes at sammenlægge de to betingelser
85.
I den appellerede kendelses præmis 41 forklarede Retten, at den skal undersøge, »om den anfægtede afgørelse har retsvirkninger, der ændrer WhatsApps retsstilling væsentligt, og
om den berører WhatsApp umiddelbart, som omhandlet i artikel 263, stk. 4, TEUF« (
53
).
86.
Rettens konklusion om, at dels vurderingen af, om den omtvistede afgørelse væsentligt ændrer WhatsApps retsstilling, og dels vurderingen af, om dette selskab er umiddelbart berørt af denne afgørelse, udgør to særskilte analyser, synes at være baseret på den retspraksis, som Retten har henvist til, nemlig IBM-dommen og Deutsche Post-dommen (
54
).
87.
Jeg vil derfor genbesøge disse domme.
88.
I IBM-dommens præmis 9 fastslog Domstolen, at der »foreligger [...] retsakter eller beslutninger, der kan gøres til genstand for et annullationssøgsmål i medfør af artikel 173, når foranstaltningerne har retligt bindende virkninger, som kan berøre sagsøgerens interesser gennem en væsentlig ændring af hans retsstilling« (
55
).
89.
Denne ordlyd, der er gengivet i en lang række efterfølgende domme, såvel af Domstolen (
56
) som af Retten (
57
), kan og er blevet fortolket således, at den indebærer, at spørgsmålet om, hvorvidt en retsakt udgør en anfægtelig retsakt som omhandlet i artikel 263, stk. 1, TEUF, ligeledes omfatter vurderingen af, om den berører en sagsøgers retsstilling (
58
). Dette er også sådan Retten synes at have forstået IBM-dommens præmis 9 (jf. punkt 86 i dette forslag til afgørelse).
90.
Dette er efter min opfattelse ikke en korrekt (eller nyttig) forståelse af denne præmis.
91.
Jeg læser IBM-dommens præmis 9 som Domstolens udtryk – i en enkelt sætning – for alle de betingelser, der skal opfyldes, hvis en ikke-privilegeret sagsøger skal opnå adgang til Unionens retsinstanser: Dvs. dels dem, der følger af artikel 263, stk. 1, TEUF, og dels dem, der følger af artikel 263, stk. 4, TEUF.
92.
Med denne sætning gør Domstolen ikke spørgsmålet om retsaktens virkninger for sagsøgeren til en del af vurderingen af, om betingelserne i artikel 263, stk. 1, TEUF er opfyldt. En retsakt kan nemlig stadig betragtes som en retsakt, der generelt kan anfægtes, selv om den ikke i et konkret tilfælde kan anfægtes af en bestemt, ikke-privilegeret sagsøger, fordi den ikke ændrer denne sagsøgers retsstilling væsentligt.
93.
Efter min opfattelse forsøgte Domstolen at fjerne den eventuelle forvirring, der er opstået som følge af den gentagne anvendte sætning fra IBM-dommen i de følgende præmisser i Deutsche Post-dommen:
»36
Det fremgår af fast retspraksis, som Domstolen har udviklet i sager vedrørende annullationssøgsmål, der er anlagt af medlemsstaterne eller af institutionerne, at enhver af institutionerne udstedt bestemmelse – uanset form – som tilsigter at have retligt bindende virkninger, udgør en anfægtelig retsakt i artikel 263 TEUF’s forstand [...]
37
Når et annullationssøgsmål til prøvelse af en retsakt, der er vedtaget af en af institutionerne, er anlagt af en fysisk eller juridisk person, har Domstolen gentagne gange fastslået, at annullationssøgsmålet kun kan anlægges til prøvelse af en retsakt, hvis dennes retligt bindende virkninger kan berøre appellantens interesser gennem en væsentlig ændring af dennes retsstilling […] [ (
59
)]
38
Det skal imidlertid understreges, at den retspraksis, der er nævnt i den foregående præmis, har udviklet sig inden for rammerne af de søgsmål, der er anlagt for Unionens retsinstanser, af fysiske eller juridiske personer til prøvelse af retsakter, som de var adressater for. Når, som i den sag, der førte til kendelsen i sagen Deutsche Post mod Kommissionen [ (
60
)], en ikke-privilegeret appellant anlægger et annullationssøgsmål til prøvelse af en retsakt, som han ikke er adressat for, overlapper betingelsen om, at den anfægtede foranstaltnings retligt bindende virkninger kan berøre appellantens interesser gennem en væsentlig ændring af dennes retsstilling, de betingelser, der er fastsat i artikel 263, stk. 4, TEUF.«
94.
Efter min opfattelse havde Domstolen i Deutsche Post-dommen til hensigt at præcisere, at IBM-dommens præmis 9 omhandler en situation, hvor en ikke-privilegeret sagsøger er adressat for den anfægtede retsakt. Dette skyldes, at i en sådan situation kræver besvarelsen af spørgsmålet om, hvorvidt en retsakt har bindende retsvirkninger over for tredjemand, nødvendigvis, at det vurderes, om denne retsakt har virkninger i forhold til sagsøgeren som adressat for retsakten. I en sådan situation er spørgsmålet om, hvorvidt en retsakt har bindende retsvirkninger, og om den ændrer sagsøgerens retsstilling, de samme spørgsmål.
95.
Når den ikke-privilegerede sagsøger imidlertid ikke er adressat for den pågældende retsakt, er spørgsmålet om, hvorvidt denne retsakt væsentligt ændrer den pågældendes retsstilling, et spørgsmål om at være umiddelbart berørt, som skal vurderes i henhold til artikel 263, stk. 4, TEUF – og ikke i henhold til stk. 1 heri.
96.
Den ofte fejlciterede formulering, hvorefter spørgsmålet om, hvorvidt en retsakt har retsvirkninger, der medfører en væsentlig ændring, »overlapper« med kravet om at være umiddelbart berørt i artikel 263, stk. 4, TEUF, er reelt udtryk for Domstolens fortolkning, hvorefter spørgsmålet om at være umiddelbart berørt skal vurderes særskilt og i tillæg til spørgsmålet om, hvorvidt retsakten har bindende retsvirkninger.
97.
I nyere praksis er Domstolen efter at have citeret Deutsche Post-dommens præmis 38 generelt gået videre med analysen af, om den pågældende retsakt umiddelbart berører den ikke-privilegerede sagsøger, som ikke er adressat for den anfægtede retsakt (
61
).
98.
IBM-dommen skal derfor, som forklaret i Deutsche Post-dommen, ikke fortolkes som en sammensmeltning af kravene i artikel 263, stk. 1 og 4, TEUF i situationer, hvor en retsakt er adresseret til en anden person end sagsøgeren.
99.
I en sådan situation, dvs. når retsakten er adresseret til en anden end sagsøgeren, er kravet om, at retsakten er retligt bindende, adskilt fra kravet om, at denne retsakt væsentligt ændrer sagsøgerens retsstilling.
100.
I den foreliggende sag er det for at besvare spørgsmålet om, hvorvidt et søgsmål anlagt af en sagsøger kan antages til realitetsbehandling, ikke tilstrækkeligt, at den omtvistede retsakt har bindende retsvirkninger over for adressaten eller en anden adressat, men Domstolen skal ligeledes vurdere, om den pågældende retsakt berører sagsøgerens retsstilling. Dette er, hvad der kræves af den yderligere betingelse for antagelse til realitetsbehandling, der følger af artikel 263, stk. 4, TEUF.
101.
I Deutsche Post-dommen fulgte Domstolen netop denne metode og fastslog i to særskilte trin for det første, at retsakten er retligt bindende, og først derefter, at den umiddelbart berører den ikke-privilegerede sagsøger. Det er ligeledes vigtigt, at Domstolen i den del af analysen, der vedrører spørgsmålet om, hvorvidt retsakten var retligt bindende, ikke fandt det relevant, om denne retsakt var forberedende i forbindelse med den større procedure, hvor den blev vedtaget (
62
). Ifølge Domstolen var det afgørende for denne analyse, at afgørelsen havde selvstændige retsvirkninger, således at den kunne være genstand for et annullationssøgsmål (
63
). Det var først efter at have fastslået, at Retten begik en retlig fejl ved at fastslå, at den omtvistede afgørelse ikke var retligt bindende på grund af sin forberedende karakter (
64
), at Domstolen gik videre til analysens andet trin, idet den konkluderede, at denne retsakt ligeledes berørte den pågældende ikke-privilegerede sagsøger, Deutsche Post AG, umiddelbart og individuelt (
65
).
102.
Det er derfor min opfattelse, at formålet med de tre præmisser i Deutsche Post-dommen som nævnt i punkt 93 i dette forslag til afgørelse, netop er at fjerne den eventuelle forvirring, der følger af IBM-dommen, og at sondre mellem analysen af den anfægtede retsakts retligt bindende karakter og analysen af, om denne retsakt berører sagsøgerens retsstilling.
103.
I det foreliggende tilfælde undlod Retten at sondre mellem disse to analysetrin. Ved at fastslå at den omtvistede afgørelse ikke i sig selv berører appellantens retsstilling, konkluderede Retten fejlagtigt, at den omtvistede afgørelse ikke udgør en anfægtelig retsakt. I forbindelse med denne analyse forholdt Retten sig ikke til, hvorvidt den omtvistede afgørelse har bindende retsvirkninger over for tredjemand. Retten koncentrerede sig i stedet om spørgsmålet om, hvorvidt denne retsakt set fra sagsøgerens synspunkt skulle anses som mellemkommende (
66
). Herved begik Retten den samme fejl som i kendelsen i sagen Deutsche Post mod Kommissionen (
67
) mange år tidligere, som Domstolen annullerede i Deutsche Post-dommen.
104.
Efter min opfattelse er spørgsmålet om, hvorvidt en retsakt er »mellemkommende« eller »forberedende«, overflødigt og komplicerer analysen i henhold til artikel 263, stk. 1 og 4, TEUF unødigt. Som det fremgår af den foreliggende sag, kan en dogmatisk påberåbelse af disse begreber i realiteten føre til en fejlagtig konklusion om, hvorvidt et annullationssøgsmål kan antages til realitetsbehandling. Jeg vil nu behandle denne problemstilling.
2. De overflødige spørgsmål om, hvorvidt en retsakt er »forberedende«/»mellemkommende«, og om den er »eksigibel«
105.
I den appellerede kendelses præmis 42 fastslog Retten, at det var relevant for dens vurdering af formaliteten, at den omtvistede afgørelse dels udgør en »forberedende« eller »mellemkommende« retsakt i forbindelse med en procedure, der skal afsluttes med en endelig afgørelse fra den nationale tilsynsmyndighed, dels at denne afgørelse ikke kan gøres direkte gældende over for appellanten.
106.
Ingen af disse to forhold, nemlig retsaktens »forberedende« eller »mellemkommende« karakter eller i øvrigt dens direkte virkning over for appellanten, er analytisk relevant med henblik på at besvare spørgsmålet om, hvorvidt denne retsakt udgør en anfægtelig retsakt som omhandlet i artikel 263, stk. 1, TEUF.
107.
Disse faktorer er heller ikke relevante for vurderingen af, om denne retsakt berører sagsøgeren umiddelbart i henhold til artikel 263, stk. 4, TEUF (som jeg vil behandle nedenfor i afsnit C).
108.
Spørgsmålet om, hvorvidt den pågældende retsakt er »endelig«, dvs. om den afslutter en vis sammensat procedure, eller om »en anden« retsakt fra det samme eller et andet organ følger, er ikke relevant for afgørelsen af, om den pågældende retsakt kan anfægtes. Som jeg har forklaret i punkt 78 i dette forslag til afgørelse, er det rette spørgsmål at stille i forhold til vurderingen af, om en retsakt kan anfægtes, nemlig om den pågældende retsakt har selvstændige retsvirkninger, som den kun kan afføde, hvis den er definitiv eller endelig for så vidt angår den institution eller det organ, der har vedtaget den.
109.
I den appellerede kendelse lagde Retten imidlertid IBM-dommens præmis 10 til grund for sin konklusion om, at der gælder et princip om, at mellemkommende retsakter ikke kan anfægtes (
68
). Efter at have fastslået dette princip forklarede Retten, at muligheden for at anfægte en mellemkommende retsakt udgør en undtagelse, der foreligger, når en sådan retsakt har selvstændige retsvirkninger (
69
).
110.
I IBM-dommens præmis 10 fastslog Domstolen imidlertid følgende: »principielt [kan retsakter] kun anfægtes, hvis det drejer sig om foranstaltninger, som definitivt fastlægger Kommissionens eller Rådets standpunkt som afslutning på denne procedure« (
70
). I overensstemmelse hermed forklarede Domstolen, at analysen af, om en retsakt er anfægtelig, skal have fokus på spørgsmålet om, hvorvidt den omtvistede retsakt udtrykker institutionens definitive standpunkt set fra denne institutions perspektiv.
111.
IBM-dommen afslørede derfor ikke eksistensen af et princip om, at mellemkommende retsakter ikke kan anfægtes.
112.
Desuden vedrører IBM-dommen end ikke en sammensat procedure, men en procedure, der alene gennemføres af Kommissionen. Inden for rammerne af denne procedure vurderede Domstolen relevansen af de forskellige trin i den interne procedure i Kommissionen og konkluderede, at den anfægtede skrivelse i denne sag ikke var udtryk for denne institutions definitive standpunkt (
71
).
113.
Udtrykket »mellemkommende« eller »forberedende« kan således kun være relevant, hvis det anvendes i modsætning til udtrykket »definitiv« eller »endelig« i forbindelse med en institutions eller et organs interne procedure (
72
).
114.
Hvis en retsakt skulle forstås som »mellemkommende« og derfor ikke anfægtelig alene på grund af dens placering i den sammensatte procedure, hvor der efter sagsøgerens opfattelse vil foreligge en anden retsakt, der vil blive adresseret til sagsøgeren, ville det aldrig være muligt for en borger at anfægte selve den retsakt, der påvirker den pågældendes retsstilling, og som derfor berører denne borger umiddelbart. Dette ville være i strid med artikel 263, stk. 4, TEUF.
115.
Som anvendt i den foreliggende sag trækker Rettens fokus på den omtvistede afgørelses »mellemkommende« eller »forberedende« karakter således analysen bort fra det eneste relevante spørgsmål i henhold til artikel 263, stk. 1, TEUF: Dvs. om Databeskyttelsesrådets standpunkt som udtrykt i den omtvistede afgørelse udgør dette organs endelige standpunkt, nemlig et standpunkt, som er bindende over for tredjemand, uanset at en anden retsakt følger for at »lukke« den procedure, der er fastsat i Databeskyttelsesrådets sammenhængsmekanisme.
116.
I den foreliggende sag er den omtvistede afgørelse Databeskyttelsesrådets retsakt. Med denne afgørelse har dette organ vedtaget sin endelige holdning til spørgsmålet dels om »lossy hashed data«, som appellanten har anvendt, udgør »personoplysninger« som omhandlet i databeskyttelsesforordningen, og dels om appellanten har tilsidesat databeskyttelsesforordningens gennemsigtighedsregler. Disse to endelige konklusioner har den retsvirkning, at den irske tilsynsmyndighed i sin rolle som ledende tilsynsmyndighed er forpligtet til at ændre sit udkast til afgørelse (dvs. selve den afgørelse, hvori den tidligere havde foreslået at konkludere det modsatte). Ved den omtvistede afgørelse forpligter Databeskyttelsesrådet ligeledes den irske tilsynsmyndighed til at reducere den relevante frist for overholdelse og giver den bindende instrukser om, hvordan de omhandlede bøder skal beregnes. Sidstnævnte vil medføre en forhøjelse i forhold til de bøder, som den irske tilsynsmyndighed havde til hensigt at pålægge. Disse konklusioner er endelige set fra Databeskyttelsesrådets synspunkt i den forstand, at de fastlægger organets endelige standpunkt til de forelagte spørgsmål. De skaber dermed en bindende forpligtelse (
73
) for de irske tilsynsmyndigheder, som kun kan annulleres, hvis Databeskyttelsesrådet tilbagekalder sin afgørelse, eller hvis Unionens retsinstanser annullerer den.
117.
Da denne afgørelse er endelig og har bindende retsvirkninger uden for det organ, der har vedtaget den, dvs. over for den irske tilsynsmyndighed, skulle Retten have konkluderet, at den omtvistede afgørelse opfylder betingelserne i artikel 263, stk. 1, TEUF for at kunne kvalificeres som en anfægtelig retsakt.
118.
Det andet overflødige element, som Retten inddrog i sin analyse, er den direkte eksigibilitet af Databeskyttelsesrådets afgørelse over for WhatsApp.
119.
Jeg kan fatte mig i korthed på dette punkt: Da afgørelsen af, om en retsakt kan anfægtes, ikke afhænger af, om og hvordan den ændrer en sagsøgers retsstilling, kan spørgsmålet om, hvorvidt den omtvistede afgørelse kan gøres direkte gældende over for WhatsApp, ikke være relevant for analysen i henhold til artikel 263, stk. 1, TEUF. Som jeg vil argumentere for i det følgende, er den direkte eksigibilitet over for denne part desuden heller ikke relevant som kriterium for vurderingen af, om Databeskyttelsesrådets afgørelse berører dette selskab umiddelbart.
3. Foreløbig konklusion
120.
Besvarelsen af spørgsmålet om, hvorvidt en retsakt udstedt af en EU-institution eller et EU-organ udgør en retsakt, der kan anfægtes ved Unionens retsinstanser som omhandlet i artikel 263, stk. 1, TEUF, indebærer en vurdering af, om denne retsakt er udtryk for denne institutions eller dette organs endelige standpunkt, som har bindende retsvirkninger over for en person uden for denne institution eller dette organ.
121.
Hvad angår besvarelsen af spørgsmålet om, hvorvidt en retsakt kan anfægtes ved Unionens retsinstanser, behøver den tredjemand, som retsakten har bindende retsvirkninger over for, ikke at være den samme som den person, der har anlagt annullationssøgsmålet.
122.
Spørgsmålet om, hvorvidt den person, der har anlagt sag til prøvelse af en anfægtelig retsakt, kan anfægte denne retsakt, afgøres i henhold til artikel 263, stk. 4, TEUF og ikke i henhold til stk. 1 heri.
123.
Med henblik på at fastslå om en retsakt kan anfægtes, er det uden betydning, at denne retsakt udgør et »mellemkommende« trin i en sammensat procedure.
124.
Ved i den appellerede kendelse at fokusere på den omstændighed, at Databeskyttelsesrådets afgørelse ikke udgør den endelige afgørelse inden for rammerne af den sammenhængsmekanisme, der er fastsat i databeskyttelsesforordningen, og dermed i stedet for at vurdere, om denne afgørelse udgør Databeskyttelsesrådets endelige eller definitive afgørelse, der har bindende retsvirkninger over for den irske tilsynsmyndighed, begik Retten en fejl i den appellerede kendelse ved sin vurdering af betingelserne i artikel 263, stk. 1, TEUF.
125.
Jeg foreslår derfor, at Domstolen tager de to første argumenter i det første appelanbringende til følge.
C.
Appellanten er umiddelbart berørt af den omtvistede afgørelse
126.
Med det første anbringendes tredje og fjerde argument har appellanten gjort gældende, at Retten begik en fejl, da den fastslog, at appellanten ikke var umiddelbart berørt af den omtvistede afgørelse.
127.
Appellanten har anført, at selv om Retten på korrekt vis udstikker Domstolens praksis, hvorefter to betingelser skal være opfyldt, for at det kan fastslås, at en retsakt umiddelbart berører en fysisk eller juridisk person, som ikke er adressat for retsakten (
74
), har Retten imidlertid foretaget en urigtig anvendelse af denne praksis.
128.
Det følger af den retspraksis, som Retten har henvist til, at »betingelsen om, at en fysisk eller juridisk person skal være umiddelbart berørt af den foranstaltning, som prøves under en sag, kræver, at to kumulative betingelser er opfyldt, nemlig for det første, at denne foranstaltning umiddelbart skal have indvirkning på den pågældendes retsstilling, og for det andet, at foranstaltningen ikke må overlade et skøn til de adressater, der skal gennemføre den, men at gennemførelsen skal ske helt automatisk og udelukkende i medfør af EU-reglerne uden anvendelse af andre mellemkommende regler« (
75
).
129.
Kvalificeringen af disse to kriterier som »kumulative« følger af retspraksis, ifølge hvilken den anfægtede retsakt krævede gennemførelsesforanstaltninger (
76
).
130.
I en sådan situation kan den anfægtede retsakt kun umiddelbart berøre en sagsøgers retsstilling, hvis gennemførelsesorganet ikke havde noget valg, med hensyn til om og hvordan den anfægtede foranstaltning skulle gennemføres (
77
).
131.
Således forholder det sig i den foreliggende sag. Den omtvistede afgørelse, som vedrører appellanten, er rettet til den irske tilsynsmyndighed og ikke til appellanten. Den pålægger den irske myndighed at ændre sit udkast til afgørelse i forbindelse med vedtagelsen af den endelige afgørelse, der er adresseret til appellanten, på den måde, så den gennemfører konstateringerne i den omtvistede afgørelse. Derfor er spørgsmålet om, hvorvidt den irske tilsynsmyndighed var overladt et skøn, efter at Databeskyttelsesrådet havde truffet den omtvistede afgørelse, relevant for at fastslå, om appellanten var umiddelbart berørt.
132.
Appellanten har i denne forbindelse gjort gældende, at Retten fejlfortolkede artikel 263, stk. 4, TEUF på to måder. For det første anvendte Retten i sin vurdering af den første betingelse om at være umiddelbart berørt kriterierne om »eksigibilitet« og »sidste trin i proceduren«, som ikke er relevante med henblik på at godtgøre, at sagsøgeren er umiddelbart berørt. For det andet anvendte Retten i sin vurdering af den anden betingelse om at være umiddelbart berørt kriteriet om den skønsmæssige beføjelse på den omtvistede afgørelse fejlagtigt.
133.
Jeg er enig med appellanten i disse to punkter.
1. Den omtvistede afgørelses eksigibilitet over for appellanten
134.
Den første fejlfortolkning, som appellanten har foreholdt Retten, er, at den i den appellerede kendelses præmis 52 fastslog, at betingelsen om, at den omtvistede afgørelse umiddelbart berører WhatsApps retsstilling, ikke er opfyldt, fordi denne retsakt ikke kan gøres gældende over for appellanten.
135.
Betingelsen om »eksigibilitet« fremgår ikke af ordlyden af artikel 263, stk. 4, TEUF og følger heller ikke af Domstolens praksis.
136.
Dette er der en god grund til. I de fleste situationer, hvor der kræves en gennemførelsesforanstaltning enten på EU-plan eller nationalt plan, kan den EU-afgørelse, som gennemføres, ikke i sig selv gøres gældende over for fysiske eller juridiske personer, selv om retsakten er adresseret til dem. Selve grunden til, at gennemførelsesforanstaltningen ofte er påkrævet, er, at den pågældende EU-foranstaltning ikke i sig selv kan »nå« sagsøgeren. I disse tilfælde er det kun gennemførelsesforanstaltningen, der kan gøres gældende over for en fysisk eller juridisk person.
137.
Hvis en foranstaltnings »direkte eksigibilitet« over for en fysisk eller juridisk person var en betingelse for at være umiddelbart berørt, ville der næppe være nogen situationer, hvor ikke-privilegerede aktører ville være i stand til at anfægte en EU-retsakt, der kræver gennemførelsesforanstaltninger.
138.
Det er faktisk ligegyldigt for spørgsmålet om umiddelbart berørt, om det kun er den pågældende gennemførelsesforanstaltning, der kan gøres gældende over for en fysisk eller juridisk person, og ikke den foranstaltning, hvis gyldighed den pågældende person anfægter ved Unionens retsinstanser. Hvis gennemførelsesretsakten blot er en gengivelse af den retsakt, der er genstand for søgsmålet, fordi gennemførelsesorganet ikke havde noget valg, med hensyn til om og hvordan den skulle udforme sin afgørelse, er det klart, at den anfægtede retsakt er den egentlige årsag til, at sagsøgerens retsstilling berøres.
139.
I den foreliggende sag betyder dette, at Retten begik en fejl, da den tog hensyn til den omtvistede afgørelses eksigibilitet over for appellanten som et relevant forhold ved vurderingen af, om appellanten var umiddelbart berørt af denne afgørelse.
2. Den anfægtede retsakt udgør ikke et sidste trin i den procedure, der er omhandlet i sammenhængsmekanismen
140.
I samme præmis 52 i den appellerede kendelse fastslog Retten, at appellanten ikke er umiddelbart berørt af den omtvistede afgørelse, fordi den ikke udgør det sidste trin i den procedure, der er omhandlet i databeskyttelsesforordningens sammenhængsmekanisme, men i stedet kræver gennemførelsesforanstaltninger på nationalt plan.
141.
Det fremgår allerede af ovenstående drøftelse, at en person kan være umiddelbart berørt af en retsakt, selv når denne omfatter gennemførelsesforanstaltninger (
78
).
142.
Den »anden« betingelse i Domstolens praksis (jf. punkt 128 i dette forslag til afgørelse) for at fastslå, at sagsøgeren er umiddelbart berørt, som Retten henviste til som gældende ret i den appellerede kendelse (
79
), ville ikke give nogen mening, hvis det ikke var muligt at være umiddelbart berørt, når den anfægtede retsakt omfatter gennemførelsesforanstaltninger.
143.
Denne fortolkning ser desuden bort fra sondringen mellem kravet om, at en regelfastsættende retsakt ikke omfatter gennemførelsesforanstaltninger, og kravet om at være umiddelbart berørt, som begge skal være opfyldt, for at en ikke-privilegeret sagsøger har søgsmålskompetence i henhold til artikel 263, stk. 4, sidste punktum, TEUF (
80
).
144.
Retten begik således en fejl ved at fastslå, at den omstændighed, at den irske tilsynsmyndighed inden for rammerne af sammenhængsmekanismen skal vedtage en afgørelse om gennemførelse af den omtvistede afgørelse, er et relevant kriterium for vurderingen af, om appellanten er umiddelbart berørt.
145.
Retten forsøgte at sondre mellem situationen i den foreliggende sag og de situationer, der foreligger på statsstøtteområdet, hvor Kommissionen fastslår, at en støtte er uforenelig med det indre marked, og pålægger den pågældende medlemsstat at tilbagesøge den pågældende støtte (
81
). I sådanne situationer har Domstolen fastslået, at støttemodtagerne er umiddelbart berørt af en relevant afgørelse fra Kommissionen, selv når denne afgørelse skulle gennemføres af den pågældende medlemsstat og kun kunne gennemføres på grundlag af de nævnte gennemførelsesforanstaltninger (
82
).
146.
Jeg er enig med appellanten i, at Retten med urette støttede sig på disse sager for at sondre mellem den foreliggende situation og fastslå, at WhatsApp ikke er umiddelbart berørt af den omtvistede afgørelse (
83
).
147.
Tværtimod bidrager disse sager i stedet til argumenterne til støtte for konstateringen af, at WhatsApp er umiddelbart berørt af den omtvistede afgørelse. Denne afgørelse var årsagen til ændringen af sagsøgerens retsstilling, selv om det var nødvendigt, at den irske tilsynsmyndighed vedtog en »gennemførelsesafgørelse«. Kernen i denne sag er således netop den tankegang, som Domstolen lagde til grund i den retspraksis, som Retten henviste til i den appellerede kendelses præmis 64.
148.
Jeg er ligeledes af den opfattelse, at Retten begik en fejl ved at fastslå, at den omtvistede afgørelse ikke svarede til Kommissionens afgørelser om tilbagesøgning af støtte, fordi den omtvistede afgørelse ikke afsluttede den omhandlede administrative procedure på nationalt plan (
84
). For så vidt angår de spørgsmål, der blev afgjort af Databeskyttelsesrådet ved den omtvistede afgørelse, blev proceduren vedrørende sammenhængsmekanismen imidlertid faktisk afsluttet, idet den irske tilsynsmyndighed ikke kan ændre de konstateringer, der er indeholdt i den omtvistede afgørelse. Den omstændighed, at denne myndighed eventuelt endvidere skal tage stilling til visse yderligere spørgsmål, der ikke er omfattet af den omtvistede afgørelse, ændrer ikke ved den »endelige karakter« af konstateringerne i den omtvistede afgørelse for så vidt angår de spørgsmål, som den har afgjort.
149.
Ud fra det ovenstående forekommer det mig klart, at den omtvistede afgørelse berører appellantens retsstilling, fordi den for det første kvalificerer selskabets »lossy hashing-procedure« som indeholdende personoplysninger og for det andet fastslår, at selskabets praksis er i strid med visse gennemsigtighedsregler, der er pålagt dataansvarlige i henhold til databeskyttelsesforordningen.
150.
Denne konstatering alene skaber en retlig forpligtelse for sagsøgeren til at ændre sin praksis. Den udgør desuden retsgrundlaget for, at den irske tilsynsmyndigheds pålagde appellanten højere bøder. Uden den omtvistede afgørelse ville den irske tilsynsmyndighed ikke pålægge appellanten disse forpligtelser. Den eneste grund til, at denne myndighed inddrog disse konstateringer i sin endelige afgørelse rettet til appellanten, var, at den var forpligtet hertil ved den omtvistede afgørelse. Dette viser efter min opfattelse meget klart, at den egentlige grund til ændringen af appellantens retsstilling er den omtvistede afgørelse og ikke, som Retten med urette konkluderede, den irske tilsynsmyndigheds afgørelse.
3. Den irske tilsynsmyndigheds skøn
151.
Hvis en retsakt, der er genstand for et annullationssøgsmål, kræver gennemførelsesforanstaltninger, vil den kun anses for umiddelbart at berøre sagsøgeren, hvis det organ, der vedtager disse gennemførelsesforanstaltninger, ikke kan udøve noget skøn, men automatisk skal anvende konklusionerne i den omtvistede afgørelse.
152.
I det foreliggende tilfælde betyder dette, at WhatsApp er umiddelbart berørt af den omtvistede afgørelse, hvis den irske tilsynsmyndighed ikke havde noget skøn, med hensyn til om og hvordan denne afgørelse gennemføres.
153.
I den appellerede kendelse fastslog Retten, at den irske tilsynsmyndighed havde et skøn, og at appellanten derfor ikke var umiddelbart berørt af den omtvistede afgørelse, men udelukkende af denne myndigheds endelige afgørelse (
85
).
154.
Jeg er enig med appellanten i, at Retten også her foretog en urigtig bedømmelse.
155.
For det første skulle Databeskyttelsesrådets konstatering af, at »lossy hashing« udgør behandling af personoplysninger, og at appellanten som dataansvarlig tilsidesatte sine forpligtelser i henhold til databeskyttelsesforordningens artikel 5, 13 og 14, gennemføres i den irske tilsynsmyndigheds endelige afgørelse, hvilket ikke efterlod sidstnævnte noget skøn med hensyn til muligheden for at nå frem til en anden konklusion.
156.
For det andet pålagde den omtvistede afgørelse den irske tilsynsmyndighed en ubetinget forpligtelse til at forhøje bøderne og anvende de beregningsmetoder, der er angivet i Databeskyttelsesrådets afgørelse, selv om den endelige beregning og pålæggelse af disse bøders størrelse var overladt til den irske tilsynsmyndighed. Dette betyder, at den irske tilsynsmyndighed i sin egenskab af »gennemførelsesorgan« ikke havde noget skøn med hensyn til at opretholde eller nedsætte de oprindelige bøder (
86
).
157.
Hvad angår disse aspekter af den omtvistede afgørelse rådede den irske tilsynsmyndighed følgelig ikke over noget skøn, med hensyn til om og hvordan den skulle træffe afgørelse i forhold til appellanten.
158.
Det følger heraf, at Retten fejlagtigt fastslog, at den irske tilsynsmyndighed havde et skøn med hensyn til disse aspekter (
87
).
159.
I henhold til databeskyttelsesforordningens artikel 65, stk. 1, litra a), træffer Databeskyttelsesrådet kun afgørelse om aspekter af databeskyttelsesforordningens anvendelse, som andre tilsynsmyndigheder har gjort indsigelse mod, og som ikke er blevet løst mellem de deltagende tilsynsmyndigheder. Den irske tilsynsmyndighed er derfor faktisk overladt et skøn til at træffe afgørelse om spørgsmål, der ikke er blevet forelagt Databeskyttelsesrådet, men som ikke desto mindre er en del af den endelige nationale afgørelse (
88
).
160.
Er dette relevant for at fastslå, at appellanten er umiddelbart berørt af den omtvistede afgørelse?
161.
I den appellerede kendelse fastslog Retten, at den omtvistede afgørelses begrænsede rækkevidde var vigtig, fordi den irske tilsynsmyndigheds endelige afgørelse udgør et hele, som ikke kunne adskilles i forhold til de aspekter, med hensyn til hvilke den irske tilsynsmyndighed havde og ikke havde et skøn (
89
).
162.
Efter min opfattelse, og på ny er jeg enig med appellanten, har dette forhold ingen betydning for spørgsmålet om, hvorvidt denne part er umiddelbart berørt af den omtvistede afgørelse.
163.
Ved vurderingen af spørgsmålet om at være umiddelbart berørt skal der tages udgangspunkt i den anfægtede retsakts indhold (
90
). I denne henseende er det tilstrækkeligt, at indholdet af den omtvistede afgørelse, som berører sagsøgerens retsstilling, ikke overlod noget skøn til den irske tilsynsmyndighed på disse punkter, selv om dens endelige afgørelse ligeledes behandlede andre spørgsmål.
164.
Som jeg vil forklare i den følgende del af dette forslag til afgørelse, ville appellanten, hvis denne ikke havde anfægtet den omtvistede afgørelse ved Retten, nemlig miste muligheden for at påberåbe sig denne afgørelses ugyldighed i forbindelse med anfægtelsen af den irske tilsynsmyndigheds endelige afgørelse ved de kompetente irske domstole.
165.
Som appellanten forklarede i retsmødet, verserer en sådan sag for de irske domstole faktisk. I denne sag har appellanten ligeledes nedlagt påstand om, at den irske tilsynsmyndigheds endelige afgørelse erklæres ugyldig for så vidt angår de aspekter, der ikke er behandlet i den omtvistede afgørelse. Appellanten indbragte imidlertid samtidig Databeskyttelsesrådets afgørelse for Retten for at sikre sin ret til at påberåbe sig ugyldigheden af de dele af den irske tilsynsafgørelse, som denne myndighed ikke kunne udøve noget skøn over.
166.
Det følger heraf, at Retten ligeledes begik en fejl, da den konkluderede, at appellanten ikke var umiddelbart berørt af den omtvistede afgørelse, da den irske tilsynsmyndighed rådede over et skøn i forbindelse med den omtvistede afgørelses »gennemførelse« i og med den endelige nationale afgørelse ligeledes indeholdt aspekter, der ikke var omfattet af den omtvistede afgørelse.
4. Foreløbig konklusion
167.
Retten begik en fejl, da den anvendte betingelserne for vurderingen af kriteriet om at være umiddelbart berørt i henhold til artikel 263, stk. 4, TEUF.
168.
For det første baserede den sin vurdering på ikkeeksisterende betingelser om, at den anfægtede retsakt kan i) gøres direkte gældende over for sagsøgeren i forbindelse med et annullationssøgsmål og ii) ikke omfatter gennemførelsesforanstaltninger.
169.
For det andet begik Retten en fejl ved vurderingen af, at den omtvistede afgørelse overlod et skøn til gennemførelsesmyndigheden, som i det foreliggende tilfælde var den irske tilsynsmyndighed.
170.
Endelig begik Retten en fejl, da den konkluderede, at tilstedeværelsen af dele, der ikke var omfattet af den omtvistede afgørelse, i den irske tilsynsmyndigheds endelige afgørelse var relevant for spørgsmålet om, hvorvidt den omtvistede afgørelse overlod denne myndighed noget skøn.
171.
Jeg foreslår derfor, at Domstolen tager det første appelanbringendes tredje og fjerde argument til følge.
D.
Tankegangen bag EU’s retsmiddelsystem kræver, at søgsmålet i den foreliggende sag antages til realitetsbehandling
172.
Med det femte anbringende i det første appelanbringende har appellanten gjort gældende, at Retten har givet en fejlagtig fremstilling af de processuelle krav i EU’s retsmiddelsystem.
173.
I den appellerede kendelse fastslog Retten, at inden for rammerne af den procedure, der er fastsat i sammenhængsmekanismen, skal et søgsmål til prøvelse af den nationale tilsynsmyndigheds endelige afgørelse indbringes for de kompetente nationale domstole. Efter Rettens opfattelse taler tankegangen bag det fuldstændige retsmiddelsystem for, at den nationale ret er det rette forum (
91
), som derefter indleder den præjudicielle procedure for Domstolen vedrørende gyldigheden af den del af den nationale afgørelse, der er dikteret af den relevante afgørelse fra Databeskyttelsesrådet.
174.
Rettens holdning har en vis styrke ved at kræve, at søgsmål koncentreres ved en enkelt retsinstans. Den løsning, som den foreslår, løser de aktuelle processuelle ulemper, som faktisk tvinger en sagsøger til at anlægge to særskilte søgsmål, det ene ved Retten og det andet ved en national ret, hvis denne part ønsker at sikre en effektiv beskyttelse af alle sine rettigheder i henhold til EU-retten. Det er bestemt ikke den mest effektive måde at beskytte sine rettigheder på.
175.
I den foreliggende sag har appellanten præcist gjort dette: Selskabet har anlagt to søgsmål, det ene ved Retten og det andet ved de kompetente irske domstole. Imidlertid giver EU’s retsmiddelsystem i det mindste i sin nuværende opbygning, som jeg vil forklare, ikke mulighed for nogen anden løsning.
1. Forholdet mellem direkte og indirekte søgsmål til prøvelse af en EU-retsakt
176.
For det første er de nationale retter som bekendt ikke kompetente til at erklære EU-institutionernes og andre organers retsakter for ugyldige. Hvis de er af den opfattelse, at en EU-retsakt er ugyldig, skal de derfor indlede den præjudicielle procedure ved Domstolen og anmode Domstolen om at bekræfte denne ugyldighed (
92
).
177.
For det andet kan en national ret ikke sætte spørgsmålstegn ved gyldigheden af en EU-retsakt, hvis den part, der påberåber sig denne ugyldighed, opfylder betingelserne for søgsmålskompetence i henhold til artikel 263, stk. 4, TEUF, men ikke har anfægtet den pågældende retsakt inden for den frist, der er fastsat i denne artikels stk. 6 ved Unionens retsinstanser. Dette følger af dommen i sagen TWD Textilwerke Deggendorf (
93
), og er blevet bekræftet i senere domme, herunder dommen i sagen Georgsmarienhütte m.fl. (
94
), som er blevet drøftet af parterne i den foreliggende sag.
178.
I sidstnævnte dom fastslog Domstolen, at »[n]år en borger, som påtænker at anfægte en EU-retsakt, uden nogen tvivl har søgsmålskompetence i medfør af artikel 263, stk. 4, TEUF, har den pågældende derfor pligt til at anvende det retsmiddel, som er fastsat i denne bestemmelse, ved at anlægge et søgsmål ved Retten« (
95
). Hvis den person, der havde mulighed for at gøre det, ikke har anlagt et annullationssøgsmål inden for den frist, der er fastsat i artikel 263, stk. 6, TEUF, kan den nationale ret ikke tage en påstand om ugyldighed af en EU-retsakt, fremsat af denne person, til følge, men skal betragte den anfægtede retsakt som endelig i forhold til denne person (
96
). Hvis den nationale ret i en sådan situation indgiver en anmodning om præjudiciel afgørelse, vil Domstolen skulle afvise anmodningen, da den vil skulle svare på et spørgsmål, hvis besvarelse ikke kan anvendes af den forelæggende ret.
179.
Et nyligt eksempel vedrørende sammensatte procedurer er Iccrea Banca-dommen (
97
). I denne dom afviste Domstolen en del af den præjudicielle forelæggelse fra Tribunale amministrativo regionale per il Lazio (den regionale forvaltningsdomstol for Lazio, Italien), for hvilken en bank, Iccrea Banca, anfægtede beregningen af størrelsen af dens bidrag til Den Fælles Afviklingsfond. Domstolen fandt, at denne bank var direkte og individuelt berørt af en afgørelse truffet af Den Fælles Afviklingsinstans – som var grundlaget for fastsættelsen af størrelsen af disse bidrag – men at den havde undladt at anfægte denne afgørelse ved et annullationssøgsmål ved Retten (
98
). Iccrea Banca havde derfor mistet muligheden for at gøre ugyldighedsindsigelsen om Afviklingsinstansens afgørelse gældende indirekte for den nationale domstol, således at Domstolen måtte afvise forelæggelsen fra realitetsbehandling på dette punkt.
180.
Ved at anvende denne retspraksis på den foreliggende situation, hvor WhatsApp havde søgsmålskompetence til at anfægte den omtvistede afgørelse ved Retten, er det klart, at ugyldighedsindsigelsen om Databeskyttelsesrådets afgørelse ikke kunne gøres gældende for den nationale ret, hvis WhatsApp ikke ligeledes havde anfægtet denne afgørelse direkte ved Retten inden for den frist, der er fastsat i artikel 263, stk. 6, TEUF (
99
).
181.
Da appellanten for det første er direkte berørt af den omtvistede afgørelse, og da den omtvistede afgørelse for det andet, som Retten selv fastslog, individuelt berører appellanten (
100
), skal søgsmålet til prøvelse af den omtvistede afgørelse følgelig indbringes for Unionens retsinstanser og ikke for de nationale domstole.
182.
Endelig bekræftes det i 143. betragtning til databeskyttelsesforordningen, at den korrekte tilrettelæggelse af domstolskontrol i en situation som den, der er tale om i denne sag, bør ske gennem annullationssøgsmål ved Retten (
101
). Selv om denne betragtning ikke er bindende, således som Databeskyttelsesrådet med rette har anført, beskriver den ikke desto mindre de konsekvenser, der følger af anvendelsen af traktatens bindende normer vedrørende tilrettelæggelsen af retslige procedurer.
183.
Endelig kan jeg til ovenstående argumenter tilføje, at det direkte søgsmål for Retten, hvor det EU-organ, der har truffet den omtvistede afgørelse, er part i sagen, efter min opfattelse er det bedst egnede forum til at træffe afgørelse om gyldigheden af dens afgørelse. For den nationale ret afhænger dette organs processuelle rolle trods alt af de relevante nationale processuelle regler, hvilket kan forhindre det i at få adgang til den diskussion, der ligger til grund for dets egen retsakt (
102
).
2. Andre procedurespørgsmål
184.
I den appellerede kendelse gav Retten ligeledes udtryk for betænkeligheder med hensyn til muligheden for divergerende afgørelser på EU-plan og nationalt plan, som kan følge af overlappende retslige procedurer (
103
).
185.
Dette er ikke et nyt spørgsmål. Som Domstolen forklarede i sine domme i Masterfoods og HB, er de nationale retter, når gyldigheden af en EU-retsakt anfægtes ved både de nationale retter og Unionens retsinstanser, i kraft af princippet om loyalt samarbejde forpligtet til ikke at træffe en afgørelse, der kan indebære en risiko for modstrid med en eksisterende eller kommende afgørelse fra Unionens retsinstanser (
104
). Når et annullationssøgsmål verserer for Retten, og et spørgsmål om gyldighed rejses i et parallelt søgsmål i en national sag, kan kompetencefordelingen mellem Unionens retsinstanser og de nationale retter således kræve, at den nationale ret udsætter sagen (
105
). Dette synes at have været de kompetente irske retters afgørelse i den foreliggende sag (
106
).
186.
Hvis den nationale ret har indledt den præjudicielle procedure ved Domstolen på trods af det annullationssøgsmål, der verserer for Retten, kan Domstolen udsætte sin egen sag til fordel for det annullationssøgsmål, der verserer for Retten, i henhold til artikel 54, stk. 3, i statutten for Den Europæiske Unions Domstol og i medfør af princippet om god forvaltningsskik (
107
).
3. Foreløbig konklusion
187.
Tankegangen bag det system for domstolsbeskyttelse, der er indført ved traktaterne, kræver ikke, at det annullationssøgsmål, som appellanten har anlagt ved Retten, afvises.
188.
Jeg foreslår derfor, at Domstolen også tager det femte argument i det første anbringende til følge.
189.
På baggrund af samtlige ovenstående argumenter foreslår jeg, at Domstolen tager appellantens første appelanbringende til følge.
E.
Følger
190.
I henhold til artikel 61 i statutten for Den Europæiske Unions Domstol kan Domstolen, hvis sagen er moden til påkendelse, selv træffe endelig afgørelse.
191.
I den foreliggende sag er denne betingelse opfyldt, for så vidt som den vedrører spørgsmålet om, hvorvidt det underliggende direkte søgsmål kan antages til realitetsbehandling.
192.
For det første udgør den omtvistede afgørelse en anfægtelig retsakt som omhandlet i artikel 263, stk. 1, TEUF. For det andet er appellanten umiddelbart berørt af denne afgørelse som omhandlet i artikel 263, stk. 4, TEUF. For det tredje er appellanten individuelt berørt af den omtvistede afgørelse, således som Retten selv fastslog i den appellerede kendelse (
108
). Det følger heraf, at betingelserne i artikel 263, stk. 1 og 4, TEUF er opfyldt. Søgsmålet kan derfor antages til realitetsbehandling.
193.
Da Retten imidlertid ikke har realitetsbehandlet det søgsmål, der var indbragt for den, og hvis afgørelse kræver en detaljeret retlig og faktisk vurdering, er sagen ikke moden til, at Domstolen træffer afgørelse om realiteten i appellantens søgsmål.
194.
Sagen bør som følge heraf hjemvises til Retten, og afgørelsen om sagsomkostningerne bør udsættes.
IV. Forslag til afgørelse
195.
Jeg foreslår Domstolen at træffe følgende afgørelse:
»–
Den Europæiske Unions Rets kendelse af 7. december 2022, WhatsApp Ireland mod Det Europæiske Databeskyttelsesråd (T-709/21, EU:T:2022:783), ophæves.
–
Appellantens annullationssøgsmål antages til realitetsbehandling.
–
Sagen hjemvises til Retten med henblik på realitetsafgørelse.
–
Afgørelsen om sagsomkostningerne udsættes.«
(
1
) – Originalsprog: engelsk.
(
2
) – Europa-Parlamentets og Rådets forordning af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1) (herefter »databeskyttelsesforordningen«), artikel 63 og 65.
(
3
) – Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR (herefter »den omtvistede afgørelse«) (offentliggjort på https://www.edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-12021-dispute-arisen_en).
(
4
) – Kendelse af 7.12.2022, WhatsApp Ireland mod Det Europæiske Databeskyttelsesråd (T-709/21, herefter den appellerede kendelse, EU:T:2022:783).
(
5
) – På tidspunktet for udarbejdelsen af dette forslag til afgørelse verserer der syv andre sager for Retten til prøvelse af bindende afgørelser truffet af Databeskyttelsesrådet gennem sammenhængsmekanismen, som er anlagt af databehandlere, dataansvarlige og nationale tilsynsmyndigheder. Jf. Meta Platforms Ireland mod Det Europæiske Databeskyttelsesråd (sag T-682/22), Data Protection Commission mod Det Europæiske Databeskyttelsesråd (sag T-70/23), Data Protection Commission mod Det Europæiske Databeskyttelsesråd (sag T-84/23), Meta Platforms Ireland mod Det Europæiske Databeskyttelsesråd (sag T-128/23), Meta Platforms Ireland mod Det Europæiske Databeskyttelsesråd (sag T-129/23), Data Protection Commission mod Det Europæiske Databeskyttelsesråd (sag T-111/23) og WhatsApp Ireland mod Det Europæiske Databeskyttelsesråd (sag T-153/23). Yderligere tre verserende sager anfægter afgørelser truffet af Databeskyttelsesrådet uden for rammerne af sammenhængsmekanismen, jf. Meta Platforms Ireland mod Det Europæiske Databeskyttelsesråd (sag T-325/23), Tiktok Technology mod Det Europæiske Databeskyttelsesråd (sag T-1030/23), og Meta Platforms Ireland mod Det Europæiske Databeskyttelsesråd (sag T-8/24).
(
6
) – Jf. for kategoriseringsbestræbelser M. Eliantonio, »Access to justice in composite procedures for the implementation of EU law: The story so far«, i P. Van Creynenbreugel og J. Wildemeersch (red.), Questions choisies de droit européen des affaires / Selected Issues i European Business Law: 60 ans d’études juridiques européennes à Liège/60 years of European legal studies at Liège, Bruylant, 2023, s. 189-221.
(
7
) – H.C.H. Hofmann forklarer, at »sammensatte procedurer er procedurer i flere faser med input fra administrative aktører fra forskellige jurisdiktioner, som samarbejder enten vertikalt mellem EU-institutioner og ‑organer og medlemsstaternes institutioner og organer eller horisontalt mellem forskellige institutioner og organer i medlemsstaterne eller i trepartsprocedurer med forskellige berørte medlemsstater og EU-institutioner og ‑organer«, jf. H.C.H. Hofmann, »Composite decision making procedures in EU administrative law«, i H.C.H. Hofmann og A.H. Türk, Legal Challenges in EU Administrative Law, Edward Elgar, Cheltenham (2009), s. 136.
(
8
) – For en nylig redegørelse for de teoretiske og praktiske spørgsmål, som de sammensatte procedurer rejser, jf. F.B. Bastos, Judging Composite Decision-Making: The Transformation of European Administrative Law, Hart Publishing, Oxford, 2024.
(
9
) – Databeskyttelsesforordningens artikel 55, stk. 1, fastsætter, at »hver tilsynsmyndighed er kompetent til at udføre de opgaver og udøve de beføjelser, der tillægges den i overensstemmelse med denne forordning, på sin egen medlemsstats område«.
(
10
) – Jf. i denne forbindelse 9., 10. og 13. betragtning til databeskyttelsesforordningen.
(
11
) – Jf. databeskyttelsesforordningens artikel 60, stk. 4.
(
12
) – I denne henseende er Databeskyttelsesrådets rolle forskellig fra dens forgænger, »Artikel 29-Gruppen«, der blev nedsat i henhold til artikel 29, stk. 1, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24.10.1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31), og som alene havde en rådgivende status.
(
13
) – Jf. endvidere 136. betragtning hertil.
(
14
) – Databeskyttelsesforordningens artikel 65, stk. 5.
(
15
) – Databeskyttelsesforordningens artikel 65, stk. 6, fastsætter, at en sådan national afgørelse skal vedtages senest en måned efter, at Databeskyttelsesrådet har underrettet tilsynsmyndigheden om den bindende afgørelse.
(
16
) – Hvis en national tilsynsmyndighed ikke er enig i en bindende afgørelse fra Databeskyttelsesrådet, kan den anfægte dens gyldighed ved Retten. Jf. eksempelvis sagerne, der førte til dom af 29.1.2025, Data Protection Commission mod Det Europæiske Databeskyttelsesråd (forenede sager T-70/23, T-84/23 og T-111/23).
(
17
) – Privatlivspolitikken har til formål at opfylde appellantens gennemsigtighedskrav, der følger af databeskyttelsesforordningens artikel 12 og 14, og utvivlsomt artikel 8 i Den Europæiske Unions Charter om grundlæggende rettigheder. Jf. generelt Artikel 29-Gruppens retningslinjer om gennemsigtighed som omhandlet i forordning (EU) 2016/679, vedtaget den 29.11.2017 (WP260).
(
18
) – Jf. databeskyttelsesforordningens artikel 99, stk. 2.
(
19
) – Jf. afgørelse truffet af Data Protection Commission i henhold til section 111 i databeskyttelsesloven af 2018 og databeskyttelsesforordningens artikel 60 og 65 (IN-18-12-2), punkt 3 (tilgængelig her: https://www.dataprotection.ie/sites/default/files/uploads/2022-03/Full_decision_WhatsApp_Ireland-August_2021.pdf).
(
20
) – Jf. den endelige nationale afgørelse, punkt 4.
(
21
) – Jf. den appellerede kendelse, præmis 4. Jf. endvidere den endelige nationale afgørelse, punkt 4.
(
22
) – Jf. den appellerede kendelse, præmis 5. Jf. endvidere den endelige nationale afgørelse, punkt 23.
(
23
) – Jf. den appellerede kendelse, præmis 5. Jf. endvidere den endelige nationale afgørelse, punkt 24.
(
24
) – Jf. den appellerede kendelse, præmis 5. Jf. endvidere den endelige nationale afgørelse, punkt 25.
(
25
) – Den endelige nationale afgørelse, præmis 25.
(
26
) – Det er min opfattelse, at appellantens »lossy hashing-procedure« i det væsentlige udgør en krypteringsteknik til at oversætte telefonnumre på brugere og ikke-brugere af dennes beskedtjeneste til numeriske koder. Appellanten deler derefter de numeriske koder med tredjeparter. I modsætning til den irske tilsynsmyndigheds udkast til afgørelse fandt Databeskyttelsesrådet, at eftersom appellanten var i stand til at udskille og dermed genidentificere de registrerede, selv på grundlag af disse »hashed« koder, udgjorde disse oplysninger personoplysninger som omhandlet i databeskyttelsesforordningen. Jf. i denne retning den omtvistede afgørelses punkt 141-157.
(
27
) – Jf. i denne retning den appellerede kendelse, præmis 11 og den omtvistede afgørelse, punkt 427 og 428.
(
28
) – Jf. i denne retning den appellerede kendelse, præmis 11 og punkt 426 og 428 i den omtvistede afgørelse.
(
29
) – Jf. i denne retning den appellerede kendelse, præmis 11 og punkt 429 og 430 i den omtvistede afgørelse.
(
30
) – Jf. i denne henseende den appellerede kendelse, præmis 9.
(
31
) – I dom af 18.6.2024, Kommissionen mod Afviklingsinstansen (C-551/22 P, EU:C:2024:520) (herefter »dommen i sagen Kommissionen mod Afviklingsinstansen«), forklarede Domstolen f.eks. således, at konklusionerne i dom af 6.5.2021, ABLV Bank m.fl. mod ECB (C-551/19 P og C-552/19 P, EU:C:2021:369), ikke automatisk kunne overføres til den situation, der var opstået i den pågældende sag. I sidstnævnte dom fastslog Domstolen, at en afgørelse truffet af Den Europæiske Centralbank, hvorefter en bank er nødlidende eller forventeligt nødlidende, ikke udgør en anfægtelig retsakt, da den ikke er bindende for Den Fælles Afviklingsinstans (Afviklingsinstansen), således at der skal anlægges et annullationssøgsmål til prøvelse af den af Afviklingsinstansen vedtagne retsakt. Dette betyder imidlertid ikke, at en retsakt vedtaget af Afviklingsinstansen i forbindelse med afviklingsproceduren altid udgør en anfægtelig retsakt. Når den vedtages i en anden fase af afviklingsproceduren, udgør den af dette organ vedtagne retsakt ikke en anfægtelig retsakt, hvis den ikke har bindende retsvirkninger for Kommissionen, som inden for rammerne af denne sammensatte procedure har beføjelse til at vedtage en endelig afgørelse.
(
32
) – Domstolen skal således undertiden forklare, hvorfor konklusionerne i dens tidligere domme ikke kan anvendes i den pågældende dom. Jf. i denne henseende Domstolens forklaring i dommen i sagen Kommissionen mod Afviklingsinstansen, præmis 92.
(
33
) – Dom af 11.11.1981, IBM mod Kommissionen (60/81, EU:C:1981:264, præmis 9, herefter »IBM-dommen«).
(
34
) – Dom af 13.10.2011, Deutsche Post og Tyskland mod Kommissionen (C-463/10 P og C-475/10 P, EU:C:2011:656, herefter »Deutsche Post-dommen«).
(
35
) – Det følger af fast retspraksis, at spørgsmål om formaliteten vedrørende et annullationssøgsmål udgør en ufravigelig procesforudsætning, som til enhver tid kan rejses, selv om der ikke er iværksat en kontraappel i henhold til artikel 176, stk. 2, i Domstolens procesreglement. jf. bl.a. dom af 2.9.2021, Ja zum Nürburgring mod Kommissionen (C-647/19 P, EU:C:2021:666, præmis 52 og 53 og den deri nævnte retspraksis), og af 21.9.2023, China Chamber of Commerce for Import and Export of Machinery and Electronic Products m.fl. mod Kommissionen (C-478/21 P, EU:C:2023:685, præmis 42 og 43 og den deri nævnte retspraksis).
(
36
) – Jf. bl.a. dom af 10.3.1998, Tyskland mod Rådet (C-122/95, EU:C:1998:94, præmis 35), og af 26.9.2024, WEPA Hygieneprodukte m.fl. mod Kommissionen (C-795/21 P og C-796/21 P, EU:C:2024:807, præmis 63 og 73).
(
37
) – Jf. databeskyttelsesforordningens artikel 65, stk. 5, første punktum.
(
38
) – Jf. i denne retning dom af 5.4.1979, Orlandi mod Kommissionen (117/78, EU:C:1979:109, præmis 11), og af 26.9.2013, PPG og SNF mod ECHA (C-625/11 P, EU:C:2013:594, præmis 33).
(
39
) – Jf. bl.a. dom af 26.9.2024, WEPA Hygieneprodukte m.fl. mod Kommissionen (C-795/21 P og C-796/21 P, EU:C:2024:807, præmis 68-71).
(
40
) – Jf. analogt dom af 26.9.2013, PPG og SNF mod ECHA (C-625/11 P, EU:C:2013:594, præmis 29-33) (der vedrørte offentliggørelsen af en liste over stoffer udelukkende på webstedet for Det Europæiske Kemikalieagentur, som Domstolen ikke desto mindre betragtede som en offentliggjort afgørelse).
(
41
) – Jf. i denne retning bl.a. dom af 26.9.2024, Covestro Deutschland og Tyskland mod Kommissionen (C-790/21 P og C-791/21 P, EU:C:2024:792, præmis 82), og af 26.9.2024, WEPA Hygieneprodukte m.fl. mod Kommissionen (C-795/21 P og C-796/21 P, EU:C:2024:807, præmis 72 og 73) (hvori det forklares, at søgsmålsfristerne af hensyn til retssikkerheden skal fastsættes objektivt og med sikkerhed i forhold til alle de parter, til hvilke denne afgørelse er blevet meddelt, uafhængigt af om sagsøgeren har haft forudgående kendskab til retsakten).
(
42
) – Om den mulige praktiske forskel mellem påberåbelse af bindende retsvirkninger eller blot retsvirkninger med henblik på at afgøre, om en retsakt kan anfægtes, jf. generaladvokat Bobeks forslag til afgørelse Belgien mod Kommissionen (C-16/16 P, EU:C:2017:959, punkt 59 ff.).
(
43
) – Jf. EØF-traktatens artikel 173 (min fremhævelse). Det kan tilføjes, at artikel 33 i traktaten om oprettelse af Det Europæiske Kul- og Stålfællesskab indeholdt en positivliste over retsakter, der kan anfægtes, som opregner »beslutninger« og »henstillinger«. I henhold til EKSF-traktatens artikel 14 var disse retsakter defineret som retsakter med bindende retsvirkning. Følgelig har Domstolens tidlige praksis, som har haft indflydelse på dens senere praksis, behandlet en retsakts »bindende« karakter med henblik på at afgøre, om den kan danne grundlag for et annullationssøgsmål. Jf. f.eks. dom af 16.7.1956, Fédération charbonnière de Belgique mod Den Høje Myndighed (8/55, EU:C:1956:7, s. 256), af 10.12.1957, Société des usines à tubes de la Sarre mod Den Høje Myndighed (1/57 og 14/57, EU:C:1957:13, præmis 114), og af 15.3.1967, CBR m.fl. mod Kommissionen (8/66-11/66, EU:C:1967:7, s. 91).
(
44
) – Således er henstillinger og udtalelser i dag defineret i artikel 288 TEUF, men den samme definition fandtes i artikel 189 EØF.
(
45
) – I dom af 31.3.1971, Kommissionen mod Rådet, AETR (22/70, EU:C:1971:32, præmis 39), henviste Domstolen til foranstaltninger, som er bestemt til at have »retsvirkninger«. I dens senere praksis er dette udtryk imidlertid blevet til foranstaltninger, som tilsigter at have »bindende retsvirkninger«. Jf. f.eks. dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet (C-348/20 P, EU:C:2022:548, præmis 62 og den deri nævnte retspraksis).
(
46
) – Jf. vedrørende privilegerede sagsøgere f.eks. kendelse af 17.5.1989, Italien mod Kommissionen (151/88, EU:C:1989:201, præmis 22 og 23), og dom af 25.10.2017, Slovakiet mod Kommissionen (C-593/15 P og C-594/15 P, EU:C:2017:800, præmis 63-65).
(
47
) – Når søgsmålet er anlagt af en privilegeret sagsøger, er dette spørgsmål under alle omstændigheder ikke relevant. Som jeg har forklaret, skal Domstolen ikke desto mindre selv for privilegerede sagsøgere afgøre, om den anfægtede retsakt er retligt bindende. I to afgørelser fra Domstolen som mig bekendt aldrig er blevet gentaget, har Domstolen imidlertid afvist den af den privilegerede sagsøger (den nederlandske regering i begge sager) anlagte sag med den begrundelse, at Kommissionens beslutning, som den påstod annulleret, ikke havde bindende retsvirkninger over for sagsøgeren. Jf. i denne henseende dom af 5.10.1999, Nederlandene mod Kommissionen (C-308/95, EU:C:1999:477, præmis 26 og 29), og kendelse af 28.1.2004, Nederlandene mod Kommissionen (C-164/02, EU:C:2004:54, præmis 18 og 22). For en kritisk overvejelse af disse to domme henvises til generaladvokat Jacobs forslag til afgørelse Italien mod Kommissionen (C-301/03, EU:C:2005:550, punkt 52 og 53).
(
48
) – Jf. i denne henseende for så vidt angår retspraksis vedrørende interne instrukser og retningslinjer K. Lenaerts, K. Gutman og J.T. Nowak, EU Procedural Law, 2. udg., Oxford European Union Law Library, 2023, s. 286, punkt 7.21 og 7.22.
(
49
) – Dette følger klart af retspraksis på statsstøtteområdet, hvor en afgørelse, hvorved Kommissionen erklærer en eksisterende støtte uforenelig med det indre marked og pålægger medlemsstaten at tilbagesøge denne støtte, kun er retligt bindende for denne medlemsstat, men ligeledes kan anfægtes af modtageren af denne støtte. Jf. f.eks. dom af 19.10.2000, Italien og Sardegna Lines mod Kommissionen (C-15/98 og C-105/99, EU:C:2000:570, præmis 31-37).
(
50
) – Jf. i denne henseende IBM-dommen og dom af 26.1.2010, Internationaler Hilfsfonds mod Kommissionen (C-362/08 P, EU:C:2010:40, præmis 58).
(
51
) – Jf. i denne henseende generaladvokat Roemers forslag til afgørelse CBR m.fl. mod Kommissionen (8/66-11/66, ikke trykt i Sml., EU:C:1967:2, s. 103).
(
52
) – Jf. i denne henseende senest dom af 13.2.2025, Swissgrid mod Kommissionen (C‑121/23 P, EU:C:2025:83, præmis 46), hvoraf det fremgår, at når sagsøgeren ikke er adressat for den anfægtede retsakt »er det […] tilstrækkeligt at godtgøre, at denne retsakt tilsigter at have retligt bindende retsvirkninger« i forhold til bl.a. dens adressater, efter som det »[p]å dette trin […] ikke [er] nødvendigt at efterprøve, om disse retsvirkninger kan berøre sagsøgerens interesser gennem en væsentlig ændring af dennes retsstilling«, idet denne efterprøvelse nødvendigvis foretages i forbindelse med undersøgelsen af betingelserne i artikel 263, stk. 4 TEUF.
(
53
) – Min fremhævelse.
(
54
) – Jf. den appellerede kendelses præmis 38 og 39. Retten henviste sammen med IBM-dommen ligeledes til dom af 18.11.2010, NDSHT mod Kommissionen (C-322/09 P, EU:C:2010:701, præmis 45), hvori der henvises til andre sager, der ligeledes henviser til IBM-dommens præmis 9.
(
55
) – Min fremhævelse.
(
56
) – Jf. f.eks. bl.a. dom af 31.3.1998, Frankrig m.fl. mod Kommissionen (C-68/94 og C-30/95, EU:C:1998:148, præmis 62), af 17.7.2008, Athinaïki Techniki mod Kommissionen (C-521/06 P, EU:C:2008:422, præmis 29), og af 26.1.2010, Internationaler Hilfsfonds mod Kommissionen (C-362/08 P, EU:C:2010:40, præmis 51), samt dommen i sagen Kommissionen mod Afviklingsinstansen, præmis 65.
(
57
) – Jf. bl.a. kendelse af 3.7.2007, Commune de Champagne m.fl. mod Rådet og Kommissionen (T-212/02, EU:T:2007:194, præmis 86 og 88), og dom af 26.11.2018, Shindler m.fl. mod Rådet (T-458/17, EU:T:2018:838, præmis 30), og af 10.3.2021, ViaSat mod Kommissionen (T-245/17, EU:T:2021:128, præmis 68).
(
58
) – Jf. f.eks. generaladvokat Sharpstons forslag til afgørelse Reynolds Tobacco m.fl. mod Kommissionen (C-131/03 P, EU:C:2006:228, punkt 102 og 103), hvori hun påpegede, at Domstolen synes at have tilføjet kravet om, at en retsakt er bindende for den pågældende sagsøger, til kravet om, at denne retsakt generelt er bindende.
(
59
) – Henvisninger til retspraksis udeladt.
(
60
) – Kendelse af 14.7.2010, Deutsche Post mod Kommissionen (T-570/08, ikke trykt i Sml., EU:T:2010:311).
(
61
) – Jf. f.eks. dom af 21.12.2021, Algebris (UK) og Anchorage Capital Group mod Afviklingsinstansen (C-934/19 P, EU:C:2021:1042, præmis 87 ff.).
(
62
) – Jf. i denne retning Deutsche Post-dommen, præmis 40-47.
(
63
) – Deutsche Post-dommen, præmis 54.
(
64
) – Deutsche Post-dommen, præmis 63.
(
65
) – Deutsche Post-dommen, præmis 66-75.
(
66
) – Den appellerede kendelse, præmis 42-49.
(
67
) – Kendelse af 14.7.2010, Deutsche Post mod Kommissionen (T-570/08, ikke trykt i Sml., EU:T:2010:311).
(
68
) – Jf. i denne retning den appellerede kendelse, præmis 43 og 44 (hvor det først fastslås, at foreløbige foranstaltninger i sammensatte procedurer i princippet ikke udgør anfægtelige retsakter og dernæst, at »[u]ndtagelserne fra [dette] princip vedrører de tilfælde, hvor den foreløbige retsakt har selvstændige retsvirkninger«).
(
69
) – Den appellerede kendelse, præmis 44.
(
70
) – IBM-dommen, præmis 10, min fremhævelse.
(
71
) – Det samme gælder for Domstolens udtalelse i præmis 52 i dom af 26.1.2010, Internationaler Hilfsfonds mod Kommissionen (C-362/08 P, EU:C:2010:40), som Retten ligeledes støttede sig på i den appellerede kendelses præmis 43.
(
72
) – Selv om Domstolen i beskrivelsen af den sammenhæng, hvori en given sag indgår, henviser til begrebet »forberedende« retsakt inden for rammerne af en sammensat procedure, udelukker den dog ikke muligheden for at anfægte en sådan retsakt, hvis det fastslås, at den har selvstændige retsvirkninger inden for rammerne af denne procedure. Se f.eks. dommen i sagen Kommissionen mod Afviklingsinstansen, præmis 93 (hvori det forklares, at »[u]nder en sådan kompleks procedure kan de retsakter, der vedtages i løbet af de forberedende trin til vedtagelsen af den endelige retsakt, ikke, når de ikke skaber selvstændige retsvirkninger, være genstand for et annullationssøgsmål«) (min fremhævelse).
(
73
) – Som jeg har forklaret, følger den bindende virkning for de relevante nationale tilsynsmyndigheder af en afgørelse truffet af Databeskyttelsesrådet i forbindelse med sammenhængsmekanismen af databeskyttelsesforordningens artikel 65, stk. 1.
(
74
) – Den appellerede kendelse, præmis 51.
(
75
) – Jf. dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet (C-348/20 P, EU:C:2022:548, præmis 43 og den deri nævnte retspraksis).
(
76
) – Efter min opfattelse er den første sag, hvori der henvises til disse kriteriers »kumulative« karakter, dom af 10.9.2009, Kommissionen mod Ente per le Ville vesuviane og Ente per le Ville vesuviane mod Kommissionen (C-445/07 P og C-455/07 P, EU:C:2009:529, præmis 45), som vedrørte finansiel støtte ydet af Den Europæiske Fond for Regionaludvikling gennem tilskud fra de nationale myndigheder.
(
77
) – En situation, hvor en EU-retsakt kræver en yderligere gennemførelsesforanstaltning for at »nå« ansøgeren, opstår oftest i praksis. Denne type situation er imidlertid ikke den eneste, hvor en retsakt kan berøre en fysisk eller juridisk person umiddelbart. Der findes retsakter, som berører en borgers retsstilling, uden at det er nødvendigt med en gennemførelsesforanstaltning. Dette er tilfældet for almengyldige retsakter såsom forordninger. I denne henseende kan der f.eks. henvises til den situation, der var omhandlet i dom af 1.4.2004, Kommissionen mod Jégo-Quéré (C-263/02 P, EU:C:2004:210). I denne sag blev den obligatoriske anvendelse af en mindste maskestørrelse for at reducere fangsterne af kulmuleungfisk direkte pålagt sagsøgerens fiskerselskab, uden at det var nødvendigt at træffe gennemførelsesforanstaltninger. Den seneste ændring af artikel 263, stk. 4, TEUF, der følger af Lissabontraktaten, åbnede op for, at annullationssøgsmål også kan anlægges til prøvelse af regelfastsættende retsakter, som ikke omfatter gennemførelsesforanstaltninger, uden at det er nødvendigt at godtgøre, at sagsøgeren er individuelt berørt. Sagsøgeren skal dog stadig bevise, at denne er umiddelbart berørt af den anfægtede retsakt. Et sådant bevis omfatter ikke det andet »kumulative« kriterium, der følger af retspraksis, nemlig det vedrørende gennemførelsesforanstaltningerne, da der i en sådan situation ikke findes gennemførelsesforanstaltninger, der fungerer som »bro« mellem den anfægtede retsakt og sagsøgeren.
(
78
) – Jf. vedrørende en nylig bekræftelse i forhold til direktiver, der altid omfatter gennemførelsesforanstaltninger, dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet (C-348/20 P, EU:C:2022:548, præmis 70).
(
79
) – Jf. den appellerede kendelse, præmis 51.
(
80
) – Jf. dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet (C-348/20 P, EU:C:2022:548, præmis 71-74).
(
81
) – Den appellerede kendelse, præmis 64.
(
82
) – Jf. f.eks. dom af 19.10.2000, Italien og Sardegna Lines mod Kommissionen (C-15/98 og C-105/99, EU:C:2000:570, præmis 31 og 34), og af 29.4.2004, Italien mod Kommissionen (C-298/00 P, EU:C:2004:240, præmis 39).
(
83
) – Det samme gælder for den retspraksis, som Retten henviste til i den appellerede kendelses præmis 65, og som vedrører en afgørelse fra Kommissionen rettet til en medlemsstat, som pålagde denne at nedsætte visse former for EU-finansiering, der var tildelt en virksomhed. Domstolen fandt, at en virksomhed, der befinder sig i en sådan situation, var umiddelbart berørt af Kommissionens beslutning, selv om der var behov for en medlemsstats gennemførelsesforanstaltninger.
(
84
) – Den appellerede kendelses præmis 64.
(
85
) – Den appellerede kendelses præmis 53.
(
86
) – Appellanten har desuden anfægtet Databeskyttelsesrådets kompetence til at gribe ind i enten metoden til beregning eller størrelsen af bøderne og hævder, at Databeskyttelsesrådet overlod denne kompetence til den nationale tilsynsmyndighed og i henhold til reglerne i den nationale lovgivning. Sidstnævnte klagepunkt skal realitetsbehandles, og Domstolen kan ikke tage stilling til dette spørgsmål i forbindelse med den foreliggende appel.
(
87
) – Jf. den appellerede kendelses præmis 57-59. Den omstændighed, at Databeskyttelsesrådet ikke har givet udtryk for sin holdning til spørgsmålet om, hvorvidt WhatsApp handlede som dataansvarlig eller databehandler i forhold til de personoplysninger, der følger af »lossy hashing-proceduren«, ændrer ikke ved, at den irske tilsynsmyndighed er bundet af Databeskyttelsesrådets konklusion om, at sidstnævnte procedure udgør behandling af personoplysninger.
(
88
) – I den appellerede kendelses præmis 55 og 56 opregnede Retten de spørgsmål, som Databeskyttelsesrådet havde afgjort, og de spørgsmål, som den irske tilsynsmyndighed herudover havde afgjort i den endelige nationale afgørelse.
(
89
) – Jf. den appellerede kendelse, præmis 60.
(
90
) – Jf. bl.a. dom af 3.6.2021, Ungarn mod Parlamentet (C-650/18, EU:C:2021:426, præmis 38 og den deri nævnte retspraksis), og dommen i sagen Kommissionen mod Afviklingsinstansen (præmis 65 og den deri nævnte retspraksis).
(
91
) – I denne henseende støttede Retten sig på dom af 25.7.2002, Unión de Pequeños Agricultores mod Rådet (C-50/00 P, EU:C:2002:462, præmis 40), jf. den appellerede kendelse, præmis 68.
(
92
) – Jf. dom af 22.10.1987, Foto-Frost (314/85, EU:C:1987:452, præmis 17).
(
93
) – Dom af 9.3.1994 (C-188/92, EU:C:1994:90, præmis 26).
(
94
) – Dom af 25.7.2018 (C-135/16, EU:C:2018:582, præmis 17 og den deri nævnte retspraksis).
(
95
) – Dom af 25.7.2018, Georgsmarienhütte m.fl. (C-135/16, EU:C:2018:582, præmis 18).
(
96
) – Jf. i denne retning f.eks. dom af 10.3.2021, Von Aschenbach & Voss (C-708/19, EU:C:2021:190, præmis 33 og 49).
(
97
) – Dom af 3.12.2019, Iccrea Banca (C-414/18, EU:C:2019:1036).
(
98
) – Iccrea Banca-dommen, præmis 72 og 74.
(
99
) – Et sådant forslag er naturligvis kun gyldigt, hvis det var »hævet over enhver tvivl«, at WhatsApp faktisk havde søgsmålskompetence ved Unionens retsinstanser. Hvis WhatsApp derimod ikke havde kompetence til at anfægte gyldigheden af den omtvistede afgørelse for Retten, således som denne ret har gjort gældende, skal dette selskab stadig ikke være forhindret i at fremsætte en ugyldighedsindsigelse for den nationale ret.
(
100
) – Jf. den appellerede kendelse, præmis 40.
(
101
) – Den relevante del af 143. betragtning til databeskyttelsesforordningen har følgende ordlyd: »Når en dataansvarlig, databehandler eller klager er umiddelbart og individuelt berørt af Databeskyttelsesrådets afgørelser, kan disse anlægge annullationssøgsmål til prøvelse af disse afgørelser senest to måneder efter afgørelsernes offentliggørelse på Databeskyttelsesrådets websted i overensstemmelse med artikel 263 i TEUF.«
(
102
) – Jf. i denne henseende generaladvokat Campos Sánchez-Bordonas forslag til afgørelse Georgsmarienhütte m.fl. (C-135/16, EU:C:2018:120, punkt 43). Jf. endvidere de stadig gyldige argumenter i generaladvokat Jacobs forslag til afgørelse Unión de Pequeños Agricultores mod Rådet (C-50/00 P, EU:C:2002:197, punkt 40 ff.).
(
103
) – Jf. den appellerede kendelse, præmis 70.
(
104
) – Jf. dom af 14.12.2000, Masterfoods og HB (C-344/98, EU:C:2000:689, præmis 39 og den deri nævnte retspraksis).
(
105
) – Jf. dom af 14.12.2000, Masterfoods og HB (C-344/98, EU:C:2000:689, præmis 57), og af 25.7.2018, Georgsmarienhütte m.fl. (C-135/16, EU:C:2018:582, præmis 24 og den deri nævnte retspraksis).
(
106
) – Jf. Meta Platforms Ireland Ltd mod Data Protection Commission (Approved) [2024] IEHC 264 (10.5.2024), hvoraf det i præmis 49 fremgår, at »den lovbestemte appel og domstolsprøvelsen vil generelt blive udsat for at afvente udfaldet af den WhatsApp-sag, der verserer for EU-Domstolen«.
(
107
) – Jf. dom af 25.7.2018, Georgsmarienhütte m.fl. (C-135/16, EU:C:2018:582, præmis 25).
(
108
) – Den appellerede kendelse, præmis 40.