Förslag till avgörande av generaladvokat Ćapeta – Mål C‑97/23 P WhatsApp Ireland/Europeiska dataskyddsstyrelsen
I. Inledning
1. Förevarande överklagande rör den evigt aktuella frågan om tolkningen och tillämpningen av villkoren för att en talan om ogiltigförklaring som väcks av fysiska eller juridiska personer ska kunna tas upp till sakprövning. Målet rör mer specifikt begreppen ”rättsakt mot vilken talan kan väckas”, i den mening som avses i artikel 263 första stycket FEUF, och ”direkt berörd”, i den mening som avses i artikel 263 fjärde stycket FEUF.
2. Dessa frågor har uppkommit i samband med den mekanism för enhetlighet som föreskrivs i förordning (EU) 2016/679. Denna mekanism består av ett sammansatt förfarande i vilket både nationella tillsynsmyndigheter och Europeiska dataskyddsstyrelsen (nedan även kallad EDPB) deltar.
3. Genom det överklagade beslutet avvisade tribunalen en talan som väckts av WhatsApp Ireland Ltd (nedan kallat WhatsApp eller klaganden) mot EDPB:s bindande beslut 1/2021 (nedan kallat det omtvistade beslutet) antagit inom ramen för denna mekanism. Därav förevarande överklagande.
4. Utöver det specifika överklagandet i förevarande mål ges domstolen tillfälle att mer allmänt förklara hur reglerna om upptagande till sakprövning av en talan om ogiltigförklaring ska tillämpas på sammansatta förfaranden.
II. Bakgrund
5. Förevarande mål har sin grund i den mekanism för enhetlighet som införts genom dataskyddsförordningen. Mer specifikt rör det den del av denna mekanism som föreskrivs i artikel 65 i dataskyddsförordningen, enligt vilken EDPB ges befogenhet att anta bindande beslut för att lösa vissa typer av tvister som uppstår mellan nationella tillsynsmyndigheter när de genomför bestämmelserna i dataskyddsförordningen.
6. Mekanismen för enhetlighet är ett av de många ”sammansatta administrativa förfaranden” som inrättats genom unionens sekundärrätt.
7. Detta uttryck används för att beskriva förfaranden där beslutsfattandet sker i flera steg och som inbegriper både unionsinstitutioner och nationella institutioner eller organ.
8. En av de rättsliga problemställningar som uppkommer i samband med sådana förfaranden är hur det ska fastställas vilka av de rättsakter som antas av ett antal olika aktörer under förfarandets gång som utgör ”rättsakter mot vilka talan kan väckas” och därefter vid vilka domstolar talan mot sådana rättsakter ska väckas.
9. Det är mot denna bakgrund som förevarande överklagande ska ses. Klaganden anser att tribunalen gjorde en felaktig bedömning när den fann att det omtvistade beslutet inte utgjorde en rättsakt mot vilken talan kan väckas vid unionsdomstolarna.
A. Mekanismen för enhetlighet i dataskyddsförordningen
10. Uppgiften att övervaka och verkställa tillämpningen av bestämmelserna i dataskyddsförordningen har anförtrotts medlemsstaternas olika tillsynsmyndigheter inom deras respektive territorier.
11. För att komma till rätta med den eventuella fragmentering av genomförandet av dataskyddsreglerna inom unionen som kan bli följden av ett sådant ”decentraliserat” system, föreskrivs i dataskyddsförordningen ett samarbete mellan nationella tillsynsmyndigheter.
12. När behandlingen av personuppgifter har en gränsöverskridande dimension ska den tillsynsmyndighet som är ansvarig för personuppgiftsbiträdet eller den personuppgiftsansvarige i fråga – den ansvariga tillsynsmyndigheten – för de berörda tillsynsmyndigheterna i andra medlemsstater lägga fram ett utkast till beslut mot personuppgiftsbiträdet eller den personuppgiftsansvarige i fråga som syftar till att verkställa tillämpningen av bestämmelserna i dataskyddsförordningen.
13. Om dessa andra myndigheter samtycker till den tolkning av dataskyddsförordningen och verkställighetsåtgärder som föreslagits av den ansvariga tillsynsmyndigheten, får den ansvariga tillsynsmyndigheten anta ett slutligt beslut, som är bindande för den personuppgiftsansvarige eller personuppgiftsbiträdet i fråga.
14. Om dessa andra tillsynsmyndigheter emellertid uttrycker relevanta och motiverade invändningar som den ansvariga tillsynsmyndigheten inte instämmer i eller inte anser vara relevanta eller motiverade, ska den ansvariga tillsynsmyndigheten överlämna ärendet till EDPB för beslut.
15. EDPB ska pröva tvisten mellan de berörda nationella tillsynsmyndigheterna och avgöra det enskilda fallet genom ett bindande beslut.
16. Enligt artikel 65.2 i dataskyddsförordningen ska detta beslut vara riktat till och bindande för den ansvariga tillsynsmyndigheten och alla berörda tillsynsmyndigheter. Beslutet ska även offentliggöras på EDPB:s webbplats.
17. Den ansvariga tillsynsmyndigheten ska, inom föreskrivna tidsfrister och på grundval av detta bindande beslut av EDPB, anta sitt slutliga beslut, vilket sedan ska meddelas den personuppgiftsansvarige eller personuppgiftsbiträdet i fråga.
B. Bakgrund
18. WhatsApp är ett företag som tillhandahåller internetbaserade samtals- och meddelandetjänster (nedan kallade meddelandetjänsten).
19. För att kunna skapa ett konto hos detta företag för att använda dess meddelandetjänst måste användare godkänna företagets användarvillkor och integritetspolicy.
20. Den 24 maj 2018 ändrade WhatsApp sin integritetspolicy för att beakta de ändringar som införts genom dataskyddsförordningen, vilken skulle tillämpas från och med den 25 maj 2018. Befintliga användare gavs möjlighet att godta dessa ändringar eller sluta använda klagandens meddelandetjänst.
21. Därefter mottog Irish Data Protection Commission (den irländska dataskyddskommissionen) (nedan kallad den irländska tillsynsmyndigheten) ett antal klagomål från enskilda registrerade angående klagandens behandling av personuppgifter.
22. Efter en preliminär bedömning av klagomålen inledde den irländska tillsynsmyndigheten i december 2018 en utredning om huruvida WhatsApp hade fullgjort sina skyldigheter enligt artiklarna 12–14 i dataskyddsförordningen vad gällde tillhandahållandet av information till såväl användare som icke-användare av dess meddelandetjänst och denna information tillhandahållits på ett öppet sätt.
23. Eftersom WhatsApps meddelandetjänst är förenad med gränsöverskridande behandling i hela unionen, lade den irländska tillsynsmyndigheten, i enlighet med sina skyldigheter enligt dataskyddsförordningen, fram sitt utkast till beslut för de andra berörda nationella tillsynsmyndigheterna.
24. Som svar mottog den irländska tillsynsmyndigheten invändningar från den tyska (federala) tillsynsmyndigheten samt tillsynsmyndigheterna i Ungern, Nederländerna, Polen, Frankrike, Italien, Portugal och den tyska förbundsstaten Baden-Württemberg. Dessutom lämnades kommentarer på utkastet till beslut av tillsynsmyndigheterna i Österrike, Nederländerna, Danmark, Polen, Belgien, Frankrike och den tyska förbundsstaten Hamburg.
25. Eftersom ett antal andra tillsynsmyndigheter hade framfört relevanta och motiverade invändningar mot utkastet till beslut som den irländska tillsynsmyndigheten inte samtyckte till, överlämnade sistnämnda myndighet invändningarna till EDPB för beslut.
26. Den 28 juli 2021 antog EDPB det omtvistade beslutet och underrättade därefter den irländska tillsynsmyndigheten och övriga berörda tillsynsmyndigheter.
27. I det omtvistade beslutet instruerade EDPB den irländska tillsynsmyndigheten att ändra ett antal av slutsatserna i utkastet till beslut och höja de sanktionsavgifter som föreslagits däri.
28. Enligt det omtvistade beslutet krävs det i princip att den irländska tillsynsmyndigheten skulle konstatera att ”förlusthashuppgifter” (”lossy hashed data”) utgör personuppgifter i den mening som avses i artikel 4.1 i dataskyddsförordningen och att klaganden överträtt bestämmelserna om öppenhet i artiklarna 5.1 a, 13.1 d, 13.2 e och 14 i dataskyddsförordningen.
29. Vad beträffar de processuella slutsatserna och sanktionsavgifterna slog EDPB i det omtvistade beslutet fast att klagandens frist för korrigerande åtgärder skulle förkortas från sex månader till tre månader, gjorde gällande att den irländska tillsynsmyndigheten hade gjort en felaktig tolkning av kriterierna för sanktionsavgiftens storlek och angav att de sanktionsavgifter som den irländska tillsynsmyndigheten hade förutsett måste höjas.
30. På grundval av dessa instruktioner ändrade den irländska tillsynsmyndigheten sitt utkast till beslut och antog det slutliga nationella beslutet den 20 augusti 2021.
31. Den 1 november 2021 väckte klaganden talan vid tribunalen om ogiltigförklaring av EDPB:s omtvistade beslut.
32. Den 7 december 2022 meddelade tribunalen det överklagade beslutet, varigenom klagandens talan avvisades.
33. I detta beslut fann tribunalen i huvudsak att det omtvistade beslutet inte utgjorde en rättsakt mot vilken talan kunde väckas med avseende på artikel 263 första stycket FEUF och att klaganden inte var direkt berörd av detta beslut i den mening som avses i artikel 263 fjärde stycket FEUF.
34. Det överklagade beslutet är strukturerat på följande sätt: I punkt 40 slår tribunalen fast att det omtvistade beslutet berör klaganden personligen. I punkterna 42–49 prövar tribunalen frågan huruvida det omtvistade beslutet utgör en rättsakt mot vilken talan kan väckas med avseende på artikel 263 första stycket FEUF och kommer fram till att det inte utgör en sådan rättsakt. I punkt 40 konstaterar nämnda domstol att klaganden berörs personligen av det omtvistade beslutet. I punkterna 50–65 undersöker tribunalen huruvida det omtvistade beslutet berör klaganden direkt i den mening som avses i artikel 263 fjärde stycket FEUF. Nämnda domstol slår fast att det omtvistade beslutet inte påverkar klagandens rättsliga ställning direkt och att det ger den irländska tillsynsmyndigheten ett utrymme för skönsmässig bedömning, varför villkoren för att klaganden ska vara direkt berörd inte är uppfyllda. I punkterna 66–71 slår tribunalen därför fast att klagandens talan om ogiltigförklaring inte kan tas upp till sakprövning, och förklarar dessutom varför dess slutsats är förenlig med logiken i det system med rättsmedel som inrättats genom fördragen.
C. Förfarandet vid domstolen
35. Genom sitt överklagande, som ingavs den 17 februari 2023, har klaganden yrkat att domstolen ska upphäva det överklagade beslutet, fastställa att talan kan tas upp till sakprövning, återförvisa målet till tribunalen för avgörande i sak och förplikta EDPB att ersätta rättegångskostnaderna.
36. Den tyska regeringen har intervenerat till stöd för EDPB.
37. Förhandling hölls den 26 november 2024, vid vilken klaganden och EDPB yttrade sig muntligen.
III. Bedömning
38. Klaganden har anfört två grunder till stöd för sitt överklagande. Som första grund har klaganden gjort gällande att tribunalen gjorde en felaktig tolkning av begreppet ”rättsakt mot vilken talan kan väckas”, som följer av artikel 263 första stycket FEUF, och begreppet ”direkt berörd”, som följer av artikel 263 fjärde stycket FEUF. Detta misstag ledde till en felaktig tillämpning av artikel 263 FEUF i förevarande mål, vilket ledde till att tribunalen felaktigt klassificerade det omtvistade beslutet som en rättsakt mot vilken klaganden inte kunde väcka talan. Klaganden har som andra grund gjort gällande att tribunalen gjorde sig skyldig till en felaktig tolkning och rättstillämpning av artikel 65.1 i dataskyddsförordningen med avseende på det omtvistade beslutet.
39. I förevarande förslag till avgörande kommer jag att föreslå att domstolen ska slå fast att tribunalen tillämpade den bedömning som krävs enligt artikel 263 första och fjärde styckena FEUF på ett felaktigt sätt på den mekanism för enhetlighet som inrättats genom dataskyddsförordningen. Överklagandet ska således bifallas på den första grunden och det överklagade beslutet upphävas. Det är därför inte nödvändigt att pröva den andra grunden för överklagandet.
40. Jag kan emellertid konstatera att förevarande mål, vid sidan av den omedelbara kontexten i förevarande överklagande, även aktualiserar en fråga av mer övergripande karaktär, nämligen vilka steg som ska tas analysmässigt för att fastställa huruvida en talan om ogiltigförklaring av en rättsakt som antagits inom ramen för ett sammansatt förfarande kan tas upp till sakprövning
41. De sammansatta förfarandena skiljer sig avsevärt åt, eftersom vart och ett av dem, genom den sekundärrättsakt genom vilken de inrättades, särskilt har utformats för att passa det syfte som just det särskilda förfarandet fyller inom ett visst område av administrativt beslutsfattande grundat på unionsrätten.
42. Om de steg som ska tas analysmässigt för att bedöma huruvida fysiska eller juridiska personers talan om ogiltigförklaring av rättsakter som antagits inom ramen för sådana förfaranden kan tas upp till sakprövning missförstås, finns det risk för att tribunalen, i framtida mål som rör olika typer av sammansatta förfaranden, återigen på ett omotiverat sätt kommer att neka sådana personer rätten att få sin sak prövad vid unionsdomstolarna.
43. Villkoren i artikel 263 FEUF är emellertid desamma, trots dessa olika strukturer. När talan väcks av fysiska eller juridiska personer mot rättsakter som antagits inom ramen för ett sammansatt förfarande ska de allmänna bestämmelserna om upptagande till sakprövning följaktligen tillämpas på samma sätt, med hjälp av samma steg analysmässigt, på alla sådana sammansatta förfaranden, samtidigt som särdragen i varje förfarande beaktas.
44. Som jag kommer att försöka visa i min bedömning, införde tribunalen, inspirerad av särdragen i dataskyddsförordningens mekanism för enhetlighet, några onödiga (och vilseledande) steg analysmässigt i sin bedömning av villkoren för sakprövning enligt artikel 263 FEUF. Jag anser exempelvis att frågan huruvida det omtvistade beslutet är en mellankommande rättsakt inom ramen för detta förfarande avleder uppmärksamheten från den relevanta frågan huruvida beslutet är en slutlig och rättsligt bindande rättsakt, vilken är den enda fråga som lämpligen ska ställas i samband med den bedömning som ska göras enligt artikel 263 första stycket FEUF. På liknande sätt avleder frågan huruvida det omtvistade beslutet kan göras gällande direkt mot klaganden uppmärksamheten från den analysmässigt rätta frågan huruvida beslutet i sig påverkar klagandens rättsliga ställning, såsom krävs enligt artikel 263 fjärde stycket FEUF.
45. När domstolen motiverar sin slutsats att ett specifikt mål (inte) kan tas upp till sakprövning hänvisar den ofta till särdragen i det sammansatta förfarande som är aktuellt i just det målet och skiljer inte sällan dessa särdrag från kännetecknen för ett annat förfarande, i fråga om vilket den dragit en annan slutsats. Domstolens förklaringar av detta slag kan inte generaliseras och mekaniskt överföras till nya mål.
46. Tribunalen stödde sig i sin bedömning på flera av domstolens domar, särskilt domarna i målet IBM och i de förenade målen Deutsche Post.
47. Jag kommer att föreslå att domstolen ska ta några av dessa domar under nytt övervägande och klargöra att vissa uttalanden som gjordes i dem inte var avsedda att komplettera de villkor som fastställts i EUF-fördraget. De syftade snarare till att förklara hur fördragets bestämmelser skulle tillämpas i just den situation som förelåg i dessa mål. Om domstolens uttalanden i tidigare mål automatiskt återges i senare domar, som grundar sig på andra omständigheter, kan detta leda till att tribunalen – såsom den gjort i förevarande mål – drar felaktiga slutsatser om huruvida en talan om ogiltigförklaring kan tas upp till sakprövning.
48. Förevarande mål ger således domstolen möjlighet att på nytt förklara vilka steg som är nödvändiga och tillräckliga analysmässigt för att fastställa huruvida en enskild kan väcka en direkt talan om ogiltigförklaring.
49. I detta avseende anser jag att det är viktigt att domstolen gör tydlig åtskillnad mellan de två stegen i den analys som ska göras med avseende på villkoren för upptagande till sakprövning enligt artikel 263 FEUF, nämligen, för det första, en bedömning av huruvida en rättsakt är en rättsakt mot vilken talan kan väckas med avseende på artikel 263 första stycket FEUF, och, för det andra, för det fall att rättsakten är en rättsakt mot vilken talan kan väckas, en bedömning enligt artikel 263 fjärde stycket FEUF av huruvida en viss sökande, som är en fysisk eller juridisk person, har rätt att väcka talan mot denna rättsakt.
50. Mot bakgrund av vad som anförts ovan är min bedömning strukturerad på följande sätt. Jag kommer att inleda med den prejudiciella frågan huruvida den underliggande talan väcktes för sent (A). Därefter kommer jag att övergå till att behandla överklagandet i sak och redogöra för varför jag anser att domstolen bör upphäva det överklagade beslutet. Därvid kommer jag att följa strukturen i den första grunden för överklagandet och för det första förklara att tribunalen blandade ihop villkoren för att det omtvistade beslutet ska anses vara en rättsakt mot vilken talan kan väckas med villkoren för att klaganden ska anses vara direkt berörd. Det är mot denna bakgrund som jag anser att tribunalen gjorde en felaktig bedömning när den fann att det omtvistade beslutet inte är en rättsakt mot vilken talan kan väckas (B). Jag kommer därefter att förklara att tribunalen även gjorde sig skyldig till felaktig rättstillämpning när den slog fast att det omtvistade beslutet inte berör klaganden direkt (C). Slutligen kommer jag att visa att logiken i systemet med rättsmedel, såsom det utformats i fördragen och tolkats av domstolen, i motsats till vad tribunalen slog fast, kräver att det omtvistade beslutets giltighet prövas inom ramen för en direkt talan vid unionsdomstolarna (D).
A. Talan väcktes inte för sent
51. EDPB har i sitt genmäle hävdat att klagandens talan väcktes för sent. EDPB har därvid hänvisat till en skrivelse i domstolens akt, daterad den 16 augusti 2021, varav framgår att den irländska tillsynsmyndigheten redan den 13 augusti 2021 informerade klaganden om ”det relevanta innehållet” i det omtvistade beslutet, det vill säga innan EDPB offentliggjorde detta på sin webbplats. EDPB har följaktligen gjort gällande att fristen för att väcka talan om ogiltigförklaring borde ha löpt ut ”senast den 25 oktober 2021”, det vill säga före den 1 november 2021, då talan väcktes vid tribunalen.
52. Jag anser att EDPB inte kan vinna framgång med detta argument.
53. Det framgår tydligt av rättspraxis att hänvisningen i artikel 263 sjätte stycket FEUF till tidpunkten då sökanden fick kännedom om åtgärden är ett subsidiärt kriterium i förhållande till offentliggörandet eller delgivningen av denna åtgärd.
54. I förevarande fall delgavs inte klaganden det omtvistade beslutet. EDPB är endast skyldig att meddela sitt beslut direkt till den ansvariga irländska tillsynsmyndigheten och till de berörda nationella tillsynsmyndigheterna.
55. Det måste följaktligen fastställas huruvida det omtvistade beslutet offentliggjordes, i den mening som avses i artikel 263 sjätte stycket FEUF.
56. I artikel 263 FEUF uppställs inte några särskilda villkor för offentliggörandet.
57. Eftersom domstolen har slagit fast att de tidsfrister som föreskrivs i fördragen företrädesvis ska tolkas på ett sådant sätt att varje otillbörlig begränsning av rätten till ett effektivt rättsmedel undviks, ska emellertid begreppet ”offentliggörande” ges en vid tolkning.
58. I detta hänseende har domstolen redan haft tillfälle att slå fast att offentliggörandet på en webbplats, när detta föreskrivs i unionens sekundärrätt, uppfyller kravet på ”offentliggörande” i artikel 263 sjätte stycket FEUF.
59. I förevarande fall krävs det enligt artikel 65.5 tredje meningen i dataskyddsförordningen att bindande beslut av EDPB, såsom det omtvistade beslutet, ska offentliggöras.
60. Eftersom klaganden väckte talan mot det omtvistade beslutet inom den tillämpliga tidsfristen, som löpte från och med dagen för dess offentliggörande på EDPB:s webbplats (den 2 september 2021), saknar den omständigheten att klaganden även kan ha känt till det materiella innehållet i beslutet före det obligatoriska offentliggörandet betydelse för huruvida förevarande talan om ogiltigförklaring kan tas upp till sakprövning.
61. Med hänsyn till vad som anförts ovan är det inte nödvändigt att fastställa den exakta tidpunkt då klaganden fick kännedom om innehållet i det omtvistade beslutet.
62. Jag föreslår följaktligen att domstolen ska lämna EDPB:s argument att talan vid tribunalen väcktes för sent utan avseende.
B. Det omtvistade beslutet är en rättsakt mot vilken talas kan väckas
1. Två ur analyssynpunkt skilda frågor
63. Klaganden har som första och andra argument inom ramen för den första grunden för överklagandet gjort gällande att frågan huruvida en rättsakt är en rättsakt mot vilken talan kan väckas, i motsats till vad tribunalen slog fast, inte kräver en bedömning av huruvida rättsakten medför en tydlig förändring av klagandens rättsliga ställning.
64. Jag instämmer med klaganden. Frågan huruvida en åtgärd är en rättsakt mot vilken talan kan väckas är skild från frågan huruvida en konkret sökande, som är en fysisk eller juridisk person, alls kan väcka talan mot denna rättsakt – förutsatt att den är en rättsakt mot vilken talan kan väckas.
65. Frågan om en rättsakt är en rättsakt mot vilken talan kan väckas hänför sig till den bedömning som ska göras enligt artikel 263 första stycket FEUF. Detta kräver en annan och separat analysmetod som föranleder andra frågor än de som är relevanta för att fastställa huruvida en rättsakt påverkar sökandens rättsliga ställning (som hänför sig till artikel 263 fjärde stycket FEUF).
66. Denna slutsats följer av ordalydelsen och strukturen i, samt bakgrunden till artikel 263 FEUF (a) och står inte i strid med domstolens rättspraxis (b).
a) Artikel 263 FEUF – lydelse, struktur och bakgrund
67. Det finns flera skäl till varför frågan huruvida det omtvistade beslutet utgör en typ av rättsakt som kan bli föremål för en giltighetsprövning av unionsdomstolarna bör bedömas skild från frågan huruvida denna rättsakt påverkar klagandens rättsliga ställning.
68. För det första föreskrivs det i artikel 263 första stycket FEUF vilka typer av rättsakter som ska fastställas utgöra rättsakter mot vilka talan kan väckas vid unionsdomstolarna. Detta ska fastställas utan hänsyn till av vem som väcker talan.
69. Svaret på frågan huruvida talan kan väckas mot en rättsakt ska således vara detsamma oavsett om talan om ogiltigförklaring väcks av en sökande som är så kallat privilegierad (enligt uppräkningen i artikel 263 andra stycket FEUF), semiprivilegierad (enligt uppräkningen i artikel 263 tredje stycket FEUF) eller icke privilegierad (enligt uppräkningen i artikel 263 fjärde stycket FEUF).
70. För det andra kräver svaret på frågan huruvida en rättsakt utgör en rättsakt mot vilken talan kan väckas en bedömning av huruvida denna rättsakt kan medföra bindande rättsverkningar i förhållande till tredje man. Denna tredje man behöver inte vara densamma som den som väcker ifrågavarande talan om ogiltigförklaring.
71. Detta krav följer, såsom jag kommer att förklara nedan, av den nuvarande lydelsen av artikel 263 första stycket FEUF, såsom den framgår efter flera ändringar, och av domstolens praxis, som i hög grad utgjorde drivkraften till dessa ändringar.
72. I artikel 263 första stycket FEUF föreskrivs i den nuvarande versionen att rättsakter mot vilka talan kan väckas är i) lagstiftningsakter, ii) sådana akter som antas av rådet, kommissionen och Europeiska centralbanken och som inte är rekommendationer och yttranden och iii) sådana rättsakter som antas av Europaparlamentet och Europeiska rådet eller av unionens organ eller byråer som är avsedda att ha rättsverkan i förhållande till tredje man.
73. Den ursprungliga versionen av EEG‑fördraget innehöll ingen uppräkning av de rättsakter mot vilka talan kunde väckas, utan de definierades endast negativt som ”rådets och kommissionens rättsakter som inte är rekommendationer eller yttranden”.
74. Eftersom rekommendationer och yttranden i fördraget definieras som rättsakter som inte är bindande, har domstolen slagit fast att alla rättsakter, oavsett form och benämning, som antas av unionens institutioner och andra organ och som är avsedda att ha bindande rättsverkningar, utgör rättsakter mot vilka talan kan väckas.
75. Om en rättsakt inte har bindande rättsverkningar kan talan inte tas upp till sakprövning, oavsett om den har väckts av privilegierade eller icke privilegierade sökande.
76. Det är därför inte nödvändigt att ställa följdfrågan huruvida rättsakten påverkar sökandens rättsliga ställning i enlighet med artikel 263 fjärde stycket FEUF.
77. Det följer av rättspraxis och av ordalydelsen i artikel 263 första stycket FEUF att en rättsakt är rättsligt bindande om den är avsedd att ha rättsverkningar i förhållande till tredje man. Vad innebär det?
78. För att anses ha bindande rättsverkningar i förhållande till tredje man måste rättsakten ha rättsverkningar utanför den institution eller det organ som har antagit den. Om rättsakten endast skapar skyldigheter ”internt”, det vill säga för samma institution som har antagit den, men inte ”externt”, det vill säga för tredje man, utgör den inte en rättsakt mot vilken talan kan väckas.
79. Det behöver inte nödvändigtvis vara sökanden som är den tredje man för vilken rättsakten har bindande rättsverkningar.
80. Domstolen har vidare klargjort att en rättsakt har verkningar ”utanför” institutionen endast om den institution som antagit den därigenom har uttryckt sin slutliga ståndpunkt.
81. En ståndpunkt är slutgiltig om den institution eller det organ som har antagit rättsakten inte längre kan ändra den, vilket innebär att denna institution eller detta organ endast kan förhindra de rättsverkningar som följer av denna rättsakt genom att återkalla den. Om den slutliga rättsakten inte återkallas av upphovsmannen är det endast genom ogiltigförklaring inom ramen för ett rättsligt förfarande som dess rättsverkningar kan upphävas.
82. För att avgöra huruvida det omtvistade beslutet utgjorde en rättsakt mot vilken talan kan väckas var det alltså i förevarande mål, med hänsyn till vad som anförts ovan, nödvändigt och tillräckligt för tribunalen att fastställa att det omtvistade beslutet utgjorde EDPB:s slutliga ståndpunkt och att beslutet innebar att en person utanför detta organ, i detta fall den irländska tillsynsmyndigheten, ålades en skyldighet.
83. Vid denna bedömning är det inte nödvändigt att ta ställning till huruvida denna rättsakt även medför en klar förändring av klagandens rättsliga ställning. Det sistnämnda är en fråga som rör huruvida klaganden är direkt berörd och inte huruvida rättsakten kan betecknas som en rättsakt mot vilken talan kan väckas.
84. Ger den rättspraxis som tribunalen grundade sig på anledning till en annan slutsats?
b) Rättspraxis som till synes slår samman de två villkoren
85. I punkt 41 i det överklagade beslutet förklarade tribunalen att det även skulle kontrolleras ”huruvida det angripna beslutet har rättsverkningar som klart förändrar WhatsApps rättsliga ställning och om det direkt berör WhatsApp i den mening som avses i artikel 263 fjärde stycket FEUF”.
86. Tribunalens slutsats att bedömningen av huruvida det omtvistade beslutet klart förändrade WhatsApps rättsliga ställning, å ena sidan, och av huruvida detta beslut direkt berörde detta företag, å andra sidan, består av två separata analyser som ska göras tycks grunda sig på den rättspraxis som tribunalen hänvisar till, nämligen domarna i målet IBM och i de förenade målen Deutsche Post.
87. Jag ska därför ta dessa domar under övervägande.
88. I punkt 9 i domen i målet IBM konstaterade domstolen att ”rättsakter eller beslut som kan bli föremål för en talan om ogiltigförklaring i den mening som avses i artikel 173 [utgörs] av åtgärder som medför bindande rättsverkningar som kan påverka sökandens intressen genom att på ett tydligt sätt förändra dennes rättsliga läge”.
89. Denna formulering, som därefter upprepats i ett stort antal domar, både av domstolen och av tribunalen, kan tolkas och skulle kunna fortsätta att tolkas så, att frågan huruvida en rättsakt utgör en rättsakt mot vilken talan kan väckas enligt artikel 263 första stycket FEUF även inbegriper en bedömning av huruvida den påverkar sökandens rättsliga ställning. Det är också så tribunalen tycks ha uppfattat punkt 9 i domen i målet IBM (se punkt 86 i förevarande förslag till avgörande).
90. Enligt min mening är detta inte en korrekt (eller användbar) tolkning av denna punkt.
91. Jag uppfattar punkt 9 i domen i målet IBM som att domstolen – i en enda mening – har gett uttryck för alla nödvändiga villkor för att en icke privilegierad sökande ska kunna få tillgång till unionsdomstolarna, nämligen de som följer av artikel 263 första stycket FEUF, å ena sidan, och de som följer av artikel 263 fjärde stycket FEUF, å andra sidan.
92. Genom denna mening gör domstolen inte frågan om rättsaktens verkningar för sökanden till en del av bedömningen av huruvida villkoren i artikel 263 första stycket FEUF är uppfyllda. En rättsakt kan nämligen fortfarande anses vara en rättsakt mot vilken talan kan väckas i allmänhet, även om den i ett specifikt fall inte kan angripas av en enskild icke privilegierad sökande på grund av att den inte på ett tydligt sätt förändrar dennes rättsliga läge.
93. Enligt min mening försökte domstolen skingra den eventuella förvirring som uppstått till följd av den vid upprepade tillfällen använda frasen i domen i målet IBM i följande punkter i domen i de förenade målen Deutsche Post:
”36) Det framgår av fast rättspraxis avseende talan om ogiltigförklaring som väckts av medlemsstaterna eller av institutionerna att alla bestämmelser som antas av institutionerna och som är avsedda att medföra bindande rättsverkningar, oberoende av deras form, anses utgöra rättsakter mot vilka talan kan väckas i den mening som avses i artikel 263 FEUF ….
37) När det är fråga om en fysisk eller juridisk person som väcker talan om ogiltigförklaring av en rättsakt som har antagits av en institution, har domstolen vid flera tillfällen slagit fast att en sådan talan kan väckas endast om de bindande rättsverkningar som denna rättsakt medför kan påverka sökandens intressen, genom att klart förändra dennes rättsliga ställning …
38) Under alla omständigheter ska det framhållas att den rättspraxis som nämnts i föregående punkt avser sådana mål där fysiska eller juridiska personer har väckt talan vid unionsdomstolen mot rättsakter som riktats till dem. När en talan om ogiltigförklaring, såsom i det ovannämnda målet Deutsche Post mot kommissionen [], väcks av en sökande, som inte befinner sig i en privilegierad ställning, mot en rättsakt som är riktad till någon annan, överlappar kravet att den angripna rättsaktens bindande rättsverkningar ska kunna påverka sökandens intressen – genom att klart förändra dennes rättsliga ställning – villkoren i artikel 263 fjärde stycket FEUF.”
94. Enligt min mening försökte domstolen i domen i de förenade målen Deutsche Post klargöra att punkt 9 i domen i målet IBM avsåg en situation där den omtvistade rättsakten riktade sig till en sökande som inte befann sig i en privilegierad ställning. Detta beror på att svaret på frågan huruvida en rättsakt har bindande rättsverkningar i förhållande till tredje man i en sådan situation med nödvändighet kräver en bedömning av huruvida rättsakten har rättsverkningar i förhållande till sökanden i egenskap av rättsaktens adressat. I en sådan situation är frågan om huruvida en rättsakt har bindande rättsverkningar och frågan om huruvida den förändrar sökandens rättsliga ställning olika sidor av samma mynt.
95. När den ifrågavarande rättsakten inte riktar sig till den icke privilegierade sökanden, är frågan huruvida rättsakten klart förändrar dennes rättsliga ställning emellertid en fråga som rör huruvida sökanden är direkt berörd, vilken ska bedömas mot bakgrund av artikel 263 fjärde stycket FEUF och inte mot bakgrund av artikel 263 första stycket FEUF.
96. Den ofta felciterade formuleringen, enligt vilken kravet att rättsakten ska ha rättsverkningar som klart förändrar sökandens ställning ”överlappar” kravet i artikel 263 fjärde stycket FEUF att denne ska vara direkt berörd, ger i själva verket uttryck för domstolens uppfattning att frågan huruvida sökanden är direkt berörd ska bedömas separat och i tillägg till frågan huruvida rättsakten har bindande rättsverkningar.
97. I sin senare praxis har domstolen, efter att ha citerat punkt 38 i domen i de förenade målen Deutsche Post, i allmänhet fortsatt med att undersöka huruvida rättsakten i fråga direkt berör den icke privilegierade sökanden som inte är den angripna rättsaktens adressat.
98. Följaktligen ska domen i målet IBM, mot bakgrund av domen i de förenade målen Deutsche Post, inte tolkas så, att kraven i artikel 263 första och fjärde styckena FEUF slås samman i situationer där en rättsakt är riktad till en annan person än sökanden.
99. I sådana situationer, det vill säga när rättsakten riktar sig till någon annan än sökanden, är kravet att rättsakten ska vara rättsligt bindande skilt från kravet att rättsakten klart ska förändra sökandens rättsliga ställning.
100. För att besvara frågan huruvida en talan som väckts av en sökande kan tas upp till sakprövning är det i sådana fall inte tillräckligt att den omtvistade rättsakten har bindande rättsverkningar för adressaten eller någon annan, utan domstolen måste även bedöma huruvida rättsakten i fråga påverkar sökandens rättsliga ställning. Detta är vad som krävs enligt det ytterligare villkor för upptagande till sakprövning som följer av artikel 263 fjärde stycket FEUF.
101. I sin dom i de förenade målen Deutsche Post använde domstolen just denna metod och fastställde, i två olika steg, först att åtgärden var rättsligt bindande och, först därefter, att den direkt berörde den icke privilegierade sökanden. Det är också av betydelse att domstolen, i den del av analysen som avsåg frågan huruvida rättsakten var rättsligt bindande, inte ansåg det vara relevant att fastställa huruvida rättsakten var av förberedande karaktär inom ramen för det större förfarande under vilket den antogs. Det som enligt domstolen var avgörande för denna bedömning var att beslutet skapade självständiga rättsverkningar, vilket medförde att det kunde bli föremål för en talan om ogiltigförklaring. Det var först efter att ha konstaterat att tribunalen hade gjort sig skyldig till felaktig rättstillämpning genom att slå fast att det angripna beslutet inte var rättsligt bindande på grund av sin förberedande karaktär, som domstolen gick vidare till det andra steget i analysen och konstaterade att den icke privilegierade sökanden i fråga, nämligen Deutsche Post AG, även var direkt och personligen berörd av denna rättsakt.
102. Jag anser således att syftet med de tre punkter i domen i de förenade målen Deutsche Post som återges i punkt 93 i förevarande förslag till avgörande var just att skingra den eventuella förvirring som uppstått till följd av domen i målet IBM och att skilja bedömningen av den angripna rättsaktens rättsligt bindande karaktär från bedömningen av huruvida denna rättsakt påverkar sökandens rättsliga ställning.
103. I förevarande fall underlät tribunalen att skilja mellan dessa två steg i analysen. Tribunalen ansåg att det omtvistade beslutet inte i sig påverkade klagandens rättsliga ställning och drog därför felaktigt slutsatsen att det omtvistade beslutet inte utgjorde en rättsakt mot vilken talan kan väckas. I samband med denna analys fokuserade tribunalen inte på frågan huruvida det omtvistade beslutet hade bindande rättsverkningar i förhållande till tredje man. Tribunalen koncentrerade sig i stället på frågan huruvida denna rättsakt skulle betraktas som mellankommande ur sökandens synvinkel. Därigenom gjorde sig tribunalen skyldig till samma fel som den många år tidigare hade begått i sitt beslut i målet Deutsche Post/kommissionen, vilket domstolen upphävde i sin dom i de förenade målen Deutsche Post.
104. Enligt min mening är frågan huruvida en rättsakt är ”mellankommande” eller ”förberedande” överflödig och komplicerar i onödan bedömningen enligt artikel 263 första och fjärde styckena FEUF. Såsom förevarande mål visar kan det i själva verket leda till felaktiga slutsatser i fråga om huruvida talan om ogiltigförklaring kan tas upp till sakprövning om man dogmatiskt stödjer sig på dessa begrepp. Jag kommer nu att övergå till denna fråga.
2. De överflödiga frågorna om huruvida en rättsakt är ”förberedande”/”mellankommande” och huruvida den kan ”göras direkt gällande” mot klaganden
105. I punkt 42 i det överklagade beslutet fann tribunalen att det var relevant för bedömningen av huruvida talan kunde tas upp till sakprövning att det omtvistade beslutet i) utgjorde en ”förberedande” eller ”mellankommande” rättsakt i ett förfarande som skulle avslutas genom att den nationella tillsynsmyndigheten antog ett slutligt beslut och ii) att det inte kunde göras gällande direkt mot klaganden.
106. Ingen av dessa båda faktorer, vare sig rättsaktens ”förberedande” eller ”mellankommande” karaktär eller möjligheten att göra den gällande direkt mot klaganden, är ur analyssynpunkt relevanta för att besvara frågan huruvida rättsakten utgör en rättsakt mot vilken talan kan väckas med avseende på artikel 263 första stycket FEUF.
107. Dessa faktorer saknar även relevans för bedömningen av huruvida denna rättsakt direkt berör klaganden enligt artikel 263 fjärde stycket FEUF (vilket jag kommer att ta upp i avsnitt C nedan).
108. På samma sätt är frågan huruvida den aktuella rättsakten är ”slutlig”, det vill säga huruvida den avslutar ett visst sammansatt förfarande, eller snarare huruvida ”ytterligare en” rättsakt är att vänta från samma eller något annat organ, inte heller relevant för att avgöra huruvida talan kan väckas mot den ifrågavarande rättsakten. Den korrekta frågan att ställa i samband med bedömningen av huruvida talan kan väckas mot en rättsakt är, såsom jag förklarat i punkt 78 i förevarande förslag till avgörande, huruvida rättsakten i fråga skapar självständiga rättsverkningar – vilket den endast kan göra om den är slutlig, sett ur den institutions eller det organs synvinkel som antog den.
109. I det överklagade beslutet grundade sig tribunalen emellertid på punkt 10 i domen i målet IBM för att slå fast att det finns en princip enligt vilken mellankommande rättsakter inte utgör rättsakter mot vilka talan kan väckas. Efter att ha fastställt denna princip förklarade tribunalen att en mellankommande rättsakt undantagsvis kan angripas när denna rättsakt har självständiga rättsverkningar.
110. I punkt 10 i sin dom i målet IBM slog domstolen emellertid fast att ”det i princip endast är de åtgärder som efter detta förfarande slutgiltigt fastslår kommissionens eller rådets ställningstagande som utgör en rättsakt som kan angripas”. Domstolen förklarade följaktligen att bedömningen av huruvida talan kan väckas mot en rättsakt ska inriktas på frågan huruvida rättsakten i fråga ger uttryck för institutionens slutgiltiga ståndpunkt, sett ur denna institutions synvinkel.
111. Domen i målet IBM uppdagade således inte en princip av innebörd att talan inte kan väckas mot mellankommande rättsakter.
112. Domen i målet IBM rörde dessutom inte ens ett sammansatt förfarande, utan ett förfarande som genomfördes uteslutande av kommissionen. I samband med detta förfarande bedömde domstolen relevansen av de olika skedena i kommissionens interna förfarande och drog slutsatsen att den skrivelse som var omtvistad i det målet inte gav uttryck för något slutgiltigt ställningstagande från kommissionens sida.
113. Begreppen ”mellankommande” eller ”förberedande” är således endast relevanta om de används i motsats till begreppet ”slutlig” inom ramen för en institutions eller ett organs interna förfarande.
114. Om en rättsakt skulle förstås som ”mellankommande”, och därför inte kunde angripas, enbart på grund av dess placering i ett sammansatt förfarande, där den, sett ur sökandens synvinkel, kommer att efterföljas av en annan rättsakt som riktar sig till denne, skulle det aldrig vara möjligt för en enskild att angripa den rättsakt som faktiskt påverkar dennes rättsliga ställning och som således berör den enskilde direkt. Detta skulle strida mot artikel 263 fjärde stycket.
115. Tribunalens fokus på det omtvistade beslutets ”mellankommande” eller ”förberedande” karaktär, såsom dessa uttryck används i förevarande mål, gör således att analysen avleds från den enda relevanta frågan enligt artikel 263 första stycket FEUF, det vill säga huruvida EDPB:s ståndpunkt, såsom den kommer till uttryck i det omtvistade beslutet, utgör detta organs slutliga ståndpunkt, nämligen en ståndpunkt som är bindande i förhållande till tredje man, oberoende av den omständigheten att den kommer att efterföljas av en annan rättsakt genom vilken det förfarande som föreskrivs i mekanismen för enhetlighet i dataskyddsförordningen ”avslutas”.
116. I förevarande fall är det omtvistade beslutet en rättsakt som antagits av EDPB. Genom detta beslut tog detta organ slutlig ställning till dels huruvida ”förlusthashuppgifter” (”lossy hashed data”), såsom detta uttryck används av klaganden, utgjorde ”personuppgifter” i den mening som avses i dataskyddsförordningen, dels huruvida klaganden hade åsidosatt bestämmelserna om öppenhet i dataskyddsförordningen. Rättsverkan av dessa båda slutliga ställningstaganden är att de förpliktar den irländska tillsynsmyndigheten, i dess egenskap av ansvarig tillsynsmyndighet, att ändra sitt utkast till beslut (det vill säga just det utkast till beslut i vilket denna myndighet tidigare hade föreslagit ett beslut av motsatt innebörd). Genom det omtvistade beslutet ålägger EDPB även den irländska tillsynsmyndigheten att förkorta den relevanta fristen för korrigerande åtgärder och ger bindande instruktioner till denna myndighet om hur de ifrågavarande sanktionsavgifterna ska beräknas. Det sistnämnda leder till högre sanktionsavgifter än vad den irländska tillsynsmyndigheten avsåg att påföra klaganden. Dessa ställningstaganden är slutgiltiga ur EDPB:s synvinkel i den meningen att de fastställer detta organs slutliga ståndpunkt i de frågor som hänskjutits till den. De skapar därmed en förpliktelse för den irländska tillsynsmyndigheten som endast kan upphävas om EDPB återkallar sitt beslut eller om unionsdomstolarna ogiltigförklarar det.
117. Eftersom detta beslut är slutligt och har bindande rättsverkningar utanför det organ som antagit det, det vill säga i förhållande till den irländska tillsynsmyndigheten, borde tribunalen ha dragit slutsatsen att det omtvistade beslutet uppfyller villkoren i artikel 263 första stycket FEUF för att klassificeras som en rättsakt mot vilken talan kan väckas.
118. Den andra överflödiga faktor som tribunalen beaktade i sin bedömning var huruvida EDPB:s beslut kunde göras gällande direkt mot WhatsApp.
119. Jag kan hålla mig kort på denna punkt. Eftersom svaret på frågan huruvida talan kan väckas mot en rättsakt inte beror på om och hur denna rättsakt förändrar en sökandes rättsliga ställning, är frågan huruvida det omtvistade beslutet kan göras gällande direkt mot WhatsApp inte relevant för bedömningen enligt artikel 263 första stycket FEUF. Såsom jag kommer att argumentera för nedan är den omständigheten att rättsakten kan göras gällande direkt mot denna part dessutom irrelevant som kriterium för bedömningen av huruvida EDPB:s beslut direkt berör detta företag.
3. Slutsats i denna del
120. Svaret på frågan huruvida en rättsakt som antagits av en institution eller ett organ inom unionen utgör en rättsakt mot vilken talan kan väckas vid unionsdomstolarna, med avseende på artikel 263 första stycket FEUF, kräver en bedömning av huruvida denna rättsakt ger uttryck för denna institutions eller detta organs slutliga ståndpunkt som har bindande rättsverkningar för någon utanför denna institution eller detta organ.
121. För svaret på frågan huruvida talan kan väckas mot rättsakten vid unionsdomstolarna saknar det betydelse om den tredje person för vilken rättsakten har bindande rättsverkningar inte är densamma som den som har väckt talan om ogiltigförklaring.
122. Frågan huruvida den person som har väckt talan mot en rättsakt mot vilken talan kan väckas har rätt att väcka talan mot denna rättsakt ska avgöras på grundval av artikel 263 fjärde stycket FEUF och inte på grundval av artikel 263 första stycket FEUF.
123. Vid fastställandet av huruvida talan kan väckas mot en rättsakt är det irrelevant att denna rättsakt utgör ett ”mellankommande” steg i ett sammansatt förfarande.
124. Genom att i det omtvistade beslutet fokusera på den omständigheten att EDPB:s beslut inte utgjorde det slutliga beslutet inom ramen för den mekanism för enhetlighet som föreskrivs i dataskyddsförordningen, i stället således för att bedöma huruvida detta beslut utgjorde EDPB:s slutliga beslut med bindande rättsverkningar för den irländska tillsynsmyndigheten, gjorde tribunalen i det överklagade beslutet en felaktig bedömning av villkoren i artikel 263 första stycket FEUF.
125. Jag föreslår därför att domstolen ska bifalla överklagandet såvitt avser de två första argumenten i den första grunden för överklagandet.
C. Klaganden berörs direkt av det omtvistade beslutet
126. Klaganden har som tredje och fjärde argument inom ramen för den första grunden för överklagandet gjort gällande att tribunalen gjorde en felaktig bedömning när den slog fast att klaganden inte berörs direkt av det omtvistade beslutet.
127. Även om tribunalen, enligt klaganden, på ett korrekt sätt redogjorde för domstolens praxis, enligt vilken två villkor måste vara uppfyllda för att en fysisk eller juridisk person ska anses vara direkt berörd av en rättsakt som inte riktar sig till vederbörande, tillämpade emellertid nämnda domstol denna rättspraxis på ett felaktigt sätt.
128. Enligt den rättspraxis som tribunalen hänvisade till ”kräver villkoret att en fysisk eller juridisk person ska vara direkt berörd av den åtgärd mot vilken talan väcks att två kriterier är uppfyllda samtidigt. För det första måste åtgärden ha direkt inverkan på dennes rättsliga ställning. För det andra får rättsakten inte lämna något utrymme för skönsmässig bedömning för dem till vilka den riktar sig, och som ska genomföra den, vilket innebär att genomförandet ska ha en rent automatisk karaktär och endast följa av unionslagstiftningen, utan att några mellanliggande regler tillämpas”.
129. Dessa två kriterier behandlas som ”kumulativa” till följd av rättspraxis där den angripna rättsakten krävde genomförandeåtgärder.
130. I en sådan situation kan den angripna rättsakten endast ha direkt inverkan på en sökandes rättsliga ställning om det organ som ska genomföra den inte kan välja om det ska genomföra den angripna åtgärden eller inte.
131. Så är fallet i förevarande mål. Det omtvistade beslutet, som berör klaganden, är riktat till den irländska tillsynsmyndigheten och inte till klaganden. Detta beslut kräver att den irländska myndigheten, när den antar det slutliga beslutet, vilket är riktat till klaganden, ändrar sitt utkast till beslut så att det genomför slutsatserna i det omtvistade beslutet. Frågan huruvida den irländska tillsynsmyndigheten hade något utrymme för skönsmässig bedömning efter det att EDPB hade fattat det omtvistade beslutet är därför relevant för att fastställa om klaganden är direkt berörd.
132. Klaganden har i detta sammanhang gjort gällande att tribunalen feltolkade artikel 263 fjärde stycket FEUF på två sätt. Vid sin bedömning av det första villkoret för att klaganden skulle anses vara direkt berörd tillämpade tribunalen, för det första, kriterierna ”verkställbarhet” och ”sista skedet i förfarandet”, av vilka ingetdera är relevant för att fastställa huruvida klaganden är direkt berörd. För det andra tillämpade tribunalen, vid sin bedömning av det andra villkoret för att klaganden skulle anses vara direkt berörd, kriteriet utrymme för skönsmässig bedömning på ett felaktigt sätt på det omtvistade beslutet.
133. Jag instämmer med klaganden på båda dessa punkter.
1. Huruvida det omtvistade beslutet kan göras gällande mot klaganden
134. Klaganden har för det första kritiserat tribunalen för att i punkt 52 i det överklagade beslutet ha funnit att villkoret att det omtvistade beslutet skulle ha en direkt inverkan på WhatsApps rättsliga ställning inte var uppfyllt eftersom denna rättsakt inte kunde göras gällande mot WhatsApp.
135. Villkoret ”verkställbarhet” förekommer inte i texten i artikel 263 fjärde stycket FEUF och följer inte heller av domstolens praxis.
136. Det är så av goda skäl. I de flesta situationer där det krävs en genomförandeåtgärd, antingen på unionsnivå eller på nationell nivå, kan det unionsbeslut som ska genomföras inte i sig göras gällande mot fysiska eller juridiska personer, även om åtgärden riktar sig till dessa personer. Anledningen till att det ofta krävs en genomförandeåtgärd är just att den ifrågavarande unionsåtgärden i sig inte kan ”nå” sökanden. I sådana situationer är det endast genomförandeåtgärden som kan göras gällande mot en fysisk eller juridisk person.
137. Om det skulle krävas att en åtgärd kunde ”göras gällande direkt” mot en fysisk eller juridisk person för att denne skulle anses vara direkt berörd, skulle det knappast finnas någon situation där icke priviligierade sökande skulle kunna angripa en unionsrättsakt som kräver genomförandeåtgärder.
138. Det saknar i själva verket betydelse för frågan huruvida en fysisk eller juridisk person ska anses vara direkt berörd om det bara är den ifrågavarande genomförandeåtgärden som kan göras gällande mot vederbörande, och inte den åtgärd vars giltighet denna person har ifrågasatt vid unionsdomstolarna. Om genomförandeåtgärden är en ren kopia av den rättsakt som är föremål för talan, eftersom genomförandeorganet inte hade något val i fråga om huruvida och hur det skulle fatta och utforma sitt beslut, är det uppenbart att den angripna rättsakten är den verkliga grunden till att klagandens rättsliga ställning påverkades.
139. I förevarande fall innebär detta att tribunalen gjorde en felaktig bedömning när den ansåg frågan huruvida det omtvistade beslutet kunde göras gällande mot klaganden vara en relevant omständighet att beakta vid bedömningen av huruvida klaganden var direkt berörd av detta beslut.
2. Den omtvistade rättsakten utgör inte sista skedet i det förfarande som avses i mekanismen för enhetlighet
140. I samma punkt 52 i det överklagade beslutet slog tribunalen fast att klaganden inte berördes direkt av det omtvistade beslutet, eftersom detta beslut inte utgjorde det sista skedet i det förfarande som avses i mekanismen för enhetlighet i dataskyddsförordningen, utan att det i stället krävdes genomförandeåtgärder på nationell nivå.
141. Det följer redan av diskussionen ovan att en person kan vara direkt berörd av en åtgärd även om denna åtgärd kräver genomförandeåtgärder.
142. Det andra villkoret för att klaganden ska anses vara direkt berörd enligt domstolens praxis (se punkt 128 i förevarande förslag till avgörande), vilket tribunalen hänvisade till som tillämplig rätt i det överklagade beslutet, skulle inte vara meningsfullt om en person inte kunde vara direkt berörd när den ifrågavarande rättsakten medförde genomförandeåtgärder.
143. Denna tolkning tar dessutom inte hänsyn till åtskillnaden mellan kravet på att en regleringsakt inte medför genomförandeåtgärder och kravet på att personen ska vara direkt berörd, vilka båda måste vara uppfyllda för att en icke privilegierad sökande ska kunna hävda talerätt enligt artikel 263 fjärde stycket FEUF.
144. Tribunalen gjorde således en felaktig bedömning när den fann att den omständigheten att den irländska tillsynsmyndigheten, inom ramen för mekanismen för enhetlighet, måste anta ett beslut om genomförande av det omtvistade beslutet var ett relevant kriterium för bedömningen av huruvida sistnämnda beslut direkt berör klaganden.
145. Tribunalen försökte särskilja situationen i förevarande mål från situationer som uppkommer på området för statligt stöd när kommissionen konstaterar att ett stöd är oförenligt med den inre marknaden och förelägger den berörda medlemsstaten att återkräva stödet i fråga. I sådana situationer har domstolen funnit att stödmottagare berörs direkt av ett relevant kommissionsbeslut, även om detta beslut måste genomföras av den berörda medlemsstaten och endast kan göras gällande mot stödmottagaren på grundval av nämnda genomförandeåtgärder.
146. Jag delar klagandens uppfattning att tribunalen gjorde en felaktig bedömning när den stödde sig på dessa mål för att särskilja förevarande situation och konstatera att WhatsApp inte berördes direkt av det omtvistade beslutet.
147. Tvärtom utgör dessa mål i stället argument för att WhatsApp ska anses vara direkt berörd av det omtvistade beslutet. Det är detta beslut som är källan till att klagandens rättsliga ställning förändrades, trots att den irländska tillsynsmyndigheten måste anta ett ”genomförandebeslut”. I grunden är logiken således precis densamma som den som domstolen gav uttryck för i den praxis som tribunalen hänvisade till i punkt 64 i det överklagade beslutet.
148. Likaså anser jag att tribunalen gjorde en felaktig bedömning när den fann att det omtvistade beslutet inte var jämförbart med kommissionens beslut om återkrav av stöd, eftersom det ifrågavarande administrativa förfarandet inte avslutades på nationell nivå i och med det omtvistade beslutet. Såvitt avser de frågor som EDPB avgjorde genom det omtvistade beslutet avslutades emellertid i själva verket förfarandet avseende mekanismen för enhetlighet, eftersom den irländska tillsynsmyndigheten inte kunde ändra slutsatserna i det omtvistade beslutet. Den omständigheten att denna myndighet även kunde behöva fatta beslut om vissa ytterligare frågor som inte omfattades av det omtvistade beslutet påverkar inte det faktum att de slutsatser som drogs i det omtvistade beslutet var ”av slutlig karaktär” såvitt avser de frågor som därigenom avgjordes.
149. Av vad som anförts ovan framgår enligt min mening tydligt att det omtvistade beslutet påverkade klagandens rättsliga ställning, eftersom det dels kvalificerade företagets förfarande för ”förlusthashning” (”lossy hashing”) som behandling av personuppgifter, dels slog fast att företagets praxis stred mot vissa regler om öppenhet som gäller för personuppgiftsansvariga enligt dataskyddsförordningen.
150. Redan denna slutsats medför en rättslig skyldighet för klaganden att ändra sin praxis. Dessutom utgör den rättslig grund för den irländska tillsynsmyndigheten att påföra klaganden högre sanktionsavgifter. Utan det omtvistade beslutet skulle den irländska tillsynsmyndigheten inte ha kunnat göra detta. Det enda skälet till att denna myndighet inbegrep dessa slutsatser i sitt slutliga beslut riktat till klaganden var att den var skyldig att göra det enligt det omtvistade beslutet. Enligt min mening står det därmed mycket klart att den verkliga orsaken till att klagandens rättsliga ställning förändrades var det omtvistade beslutet och inte, såsom tribunalen felaktigt slog fast, den irländska tillsynsmyndighetens beslut.
3. Den irländska tillsynsmyndighetens utrymme för skönsmässig bedömning
151. Om en rättsakt som är föremål för en talan om ogiltigförklaring kräver genomförandeåtgärder, ska den anses beröra sökanden direkt endast om det organ som antar dessa genomförandeåtgärder inte har något utrymme för skönsmässig bedömning, utan måste i stället med automatik tillämpa slutsatserna i det omtvistade beslutet.
152. I förevarande fall skulle detta innebära att WhatsApp skulle anses vara direkt berörd av det omtvistade beslutet om den irländska tillsynsmyndigheten inte hade något utrymme för skönsmässig bedömning i fråga om huruvida eller hur detta beslut skulle genomföras.
153. I det överklagade beslutet fann tribunalen att den irländska tillsynsmyndigheten hade ett utrymme för skönsmässig bedömning och att klaganden därför inte berördes direkt av det omtvistade beslutet, utan endast av denna myndighets slutliga beslut.
154. Jag delar klagandens uppfattning att tribunalen även här gjorde en felaktig bedömning.
155. För det första måste EDPB:s slutsats att ”förlusthashning” (”lossy hashing”) utgjorde behandling av personuppgifter och att klaganden, i egenskap av personuppgiftsansvarig, hade åsidosatt sina skyldigheter enligt artiklarna 5, 13 och 14 i dataskyddsförordningen införlivas i den irländska tillsynsmyndighetens slutliga beslut, vilket inte gav denna myndighet något utrymme för skönsmässig bedömning såvitt avsåg möjligheten att komma till en motsatt slutsats.
156. För det andra ålades den irländska tillsynsmyndigheten genom det omtvistade beslutet en ovillkorlig skyldighet att höja sanktionsavgifterna och använda de beräkningsmetoder som angavs i EDPB:s beslut, även om det slutliga beräkningen av sanktionsbeloppet överläts till den irländska tillsynsmyndigheten. Detta innebär att den irländska tillsynsmyndigheten, i egenskap av ”genomförande organ”, inte gavs något utrymme för att skönsmässigt besluta bibehålla eller sätta ned de ursprungliga sanktionsavgifterna.
157. När det gäller dessa aspekter av det omtvistade beslutet hade den irländska tillsynsmyndigheten således inte något utrymme för skönsmässig bedömning när det gällde huruvida och hur den skulle besluta med avseende på klaganden.
158. Härav följer att tribunalen gjorde en felaktig bedömning när den fann att den irländska tillsynsmyndigheten hade ett utrymme för skönsmässig bedömning i dessa hänseenden.
159. Enligt artikel 65.1 a i dataskyddsförordningen ska EDPB endast besluta om de aspekter av tillämpningen av dataskyddsförordningen som andra tillsynsmyndigheter har invänt mot och som de deltagande tillsynsmyndigheterna inte har kunnat enas om. Den irländska tillsynsmyndigheten har således ett utrymme för att efter eget gottfinnande besluta i de frågor som inte hänskjutits till EDPB, men som ändå utgör en del av det slutliga nationella beslutet.
160. Är detta av relevans för slutsatsen att klaganden är direkt berörd av det omtvistade beslutet?
161. I det överklagade beslutet fann tribunalen att det omtvistade beslutets begränsade omfattning var av betydelse, eftersom den irländska tillsynsmyndighetens slutliga beslut utgjorde en helhet, från vilken det inte gick att särskilja de aspekter avseende vilka den irländska tillsynsmyndigheten hade respektive inte hade något utrymme för skönsmässig bedömning.
162. Jag anser, återigen i likhet med klaganden, att denna omständighet saknar betydelse för frågan huruvida denna part ska anses vara direkt berörd av det omtvistade beslutet.
163. Vid bedömningen av huruvida klaganden är direkt berörd är det nödvändigt att se till den angripna rättsaktens innebörd. Därvid är det tillräckligt att den irländska tillsynsmyndigheten inte gavs något utrymme för skönsmässig bedömning såvitt avsåg det innehåll i det omtvistade beslutet som förändrade klagandens rättsliga ställning, även om denna myndighet i sitt slutliga beslut även avgjorde andra frågor.
164. Såsom jag kommer att förklara i nästa avsnitt av detta förslag till avgörande skulle klaganden faktiskt, för det fall att denne inte hade väckt talan mot det omtvistade beslutet vid tribunalen, ha förlorat möjligheten att yrka ogiltigförklaring av detta beslut inom ramen för sin talan mot den irländska tillsynsmyndighetens slutliga beslut vid behörig irländsk domstol.
165. Såsom klaganden förklarade vid förhandlingen pågår nämligen ett sådant förfarande vid irländsk domstol. I det målet har klaganden yrkat att den irländska tillsynsmyndighetens slutliga beslut ska ogiltigförklaras även i de delar som inte behandlades i det omtvistade beslutet. Parallellt väckte emellertid klaganden talan mot EDPB:s beslut vid tribunalen för att säkerställa sin rätt att yrka ogiltigförklaring av de delar av den irländska tillsynsmyndighetens beslut med avseende på vilka denna inte hade något utrymme för skönsmässig bedömning.
166. Av detta följer att tribunalen även gjorde en felaktig bedömning när den fann att klaganden inte direkt berördes av det omtvistade beslutet på den grunden att den irländska tillsynsmyndigheten hade ett utrymme för skönsmässig bedömning vid ”genomförandet” av det omtvistade beslutet på grund av att det slutliga nationella beslutet även innehöll aspekter som inte omfattades av det omtvistade beslutet.
4. Slutsats i denna del
167. Tribunalen gjorde en felaktig bedömning vid tillämpningen av villkoren för att klaganden skulle anses vara direkt berörd enligt artikel 263 fjärde stycket FEUF.
168. För det första grundade tribunalen sin bedömning på de obefintliga villkoren att den angripna rättsakten i) måste kunna göras gällande direkt mot sökanden i ett förfarande för ogiltigförklaring och ii) inte fick medföra genomförandeåtgärder.
169. För det andra gjorde tribunalen en felaktig bedömning när den fann att det omtvistade beslutet gav den genomförande myndigheten, i detta fall den irländska tillsynsmyndigheten, ett utrymme för skönsmässig bedömning.
170. Tribunalen gjorde slutligen en felaktig bedömning när den drog slutsatsen att den omständigheten att delar av den irländska tillsynsmyndighetens slutliga beslut inte täcktes av det omtvistade beslutet var relevant för frågan huruvida det omtvistade beslutet inte gav denna myndighet något utrymme för skönsmässig bedömning.
171. Jag föreslår därför att domstolen ska bifalla överklagandet såvitt avser det tredje och det fjärde argumentet i den första grunden för överklagandet.
D. Logiken i unionens system med rättsmedel kräver att talan tas upp till sakprövning i förevarande mål
172. Klaganden har som femte argument inom ramen för den första grunden för överklagandet gjort gällande att tribunalen gjorde en felaktig bedömning av de processuella kraven i unionens system med rättsmedel.
173. I det överklagade beslutet fann tribunalen att i enlighet med det förfarande som föreskrivs i mekanismen för enhetlighet, måste rättsliga åtgärder mot den nationella tillsynsmyndighetens slutliga beslut vidtas vid behörig nationell domstol. Enligt tribunalen talade logiken i det fullständiga systemet med rättsmedel för att den nationella domstolen var lämpligt forum, vilken då skulle kunna begära förhandsavgörande från domstolen såvitt avsåg giltigheten av den del av det nationella beslutet som dikterats av det relevanta beslutet av EDPB.
174. Tribunalens ståndpunkt att möjligheten att väcka talan bör koncentreras till en enda domstol har viss tyngd. Den lösning som tribunalen föreslår skulle nämligen undanröja den nuvarande processuella olägenhet som i praktiken innebär att en sökande måste väcka talan separat både vid tribunalen och vid nationell domstol om denne vill säkerställa ett effektivt skydd för alla sina rättigheter enligt unionsrätten. Detta är förvisso inte det mest effektiva sättet att ta tillvara sina rättigheter.
175. I förevarande mål har klaganden gjort just detta. Den har nämligen väckt talan vid två instanser, dels vid tribunalen, dels vid de behöriga irländska domstolarna. Unionens system för domstolsskydd erbjuder dock, åtminstone i sin nuvarande form, inte någon annan lösning, vilket jag kommer att förklara nedan.
1. Förhållandet mellan direkt och indirekt talan mot en unionsrättsakt
176. För det första har nationella domstolar, som bekant, inte befogenhet att ogiltigförklara rättsakter som antagits av unionens institutioner och andra organ. Om de anser att en unionsrättsakt är ogiltig måste de därför begära förhandsavgörande från domstolen och få fastställt att den är ogiltig.
177. För det andra kan en nationell domstol inte ifrågasätta en unionsrättsakts giltighet om den part som gjort gällande att rättsakten är rättsstridig uppfyller villkoren för talerätt enligt artikel 263 fjärde stycket FEUF, men har underlåtit att väcka talan mot rättsakten vid unionsdomstolarna inom den frist som föreskrivs i artikel 263 sjätte stycket FEUF. Detta följer av domen i målet TWD Textilwerke Deggendorf och har bekräftats i senare domar, däribland domen i målet Georgsmarienhütte m.fl., som varit föremål för diskussion mellan parterna i förevarande mål.
178. I sistnämnda dom slog domstolen fast att ”[n]är en enskild avser att bestrida en unionsrättsakt och otvivelaktigt har talerätt mot denna akt enligt artikel 263 fjärde stycket FEUF, är denne … skyldig att utnyttja den i denna bestämmelse föreskrivna talerätten och väcka talan vid tribunalen”. I den mån en enskild hade möjlighet att väcka talan om ogiltigförklaring av en unionsrättsakt, men inte utnyttjade denna möjlighet inom den tidsfrist som föreskrivs i artikel 263 sjätte stycket FEUF, kan den nationella domstolen inte godta att vederbörande gör gällande att denna rättsakt är ogiltig, utan ska slå fast att den angripna rättsakten är slutgiltig i förhållande till denna person. Om den nationella domstolen skulle inge en begäran om förhandsavgörande i en sådan situation, skulle domstolen bli tvungen att avvisa denna begäran, eftersom svaret på den ställda frågan inte skulle vara användbart för den hänskjutande domstolen.
179. Ett aktuellt exempel som rör sammansatta förfaranden är domen i målet Iccrea Banca. I denna dom avvisade domstolen en del av den begäran om förhandsavgörande som framställts av Tribunale amministrativo regionale per il Lazio (Regionala förvaltningsdomstolen i Lazio, Italien), vid vilken en bank, Iccrea Banca, hade ifrågasatt beräkningen av storleken på dess bidrag till den gemensamma resolutionsfonden. Domstolen ansåg att denna bank var direkt och personligen berörd av ett beslut av Gemensamma resolutionsnämnden (SRB) – vilket låg till grund för fastställandet av storleken på dessa bidrag – men hade underlåtit att väcka talan vid tribunalen om ogiltigförklaring av detta beslut. Iccrea Banca hade därför förlorat möjligheten att indirekt vid den nationella domstolen göra gällande att SRB:s beslut var ogiltigt, varför domstolen var tvungen att avvisa begäran om förhandsavgörande på denna punkt.
180. Om denna rättspraxis tillämpas på förevarande situation, där WhatsApp hade rätt att väcka talan mot det omtvistade beslutet vid tribunalen, står det klart att frågan huruvida EDPB:s beslut var ogiltigt inte hade kunnat prövas vid den nationella domstolen om WhatsApp inte hade väckt talan mot detta beslut direkt vid tribunalen inom den tidsfrist som föreskrivs i artikel 263 sjätte stycket FEUF.
181. Eftersom klaganden för det första direkt berörs av det omtvistade beslutet och för det andra, såsom tribunalen själv konstaterade, personligen berörs av detta beslut, ska talan mot det omtvistade beslutet följaktligen väckas vid unionsdomstolarna och inte vid de nationella domstolarna.
182. Slutligen bekräftar skäl 143 i dataskyddsförordningen att domstolsprövningen i en situation såsom den som är aktuell i förevarande mål lämpligen bör organiseras så, att talan om ogiltigförklaring väcks vid tribunalen. Även om detta skäl inte är bindande, vilket EDPB med rätta har gjort gällande, beskriver det ändå konsekvenserna av tillämpningen av fördragets bindande bestämmelser om hur domstolsförfaranden ska organiseras.
183. Slutligen skulle jag till föregående argument kunna lägga att en direkt talan vid tribunalen, i vilken det unionsorgan som har antagit det omtvistade beslutet är part i förfarandet, enligt min mening är den väg som är mest lämpad att avgöra huruvida detta beslut är giltigt. Detta organs roll i förfarandet vid den nationella domstolen skulle nämligen bero på de relevanta nationella processuella reglerna, vilket skulle kunna hindra organet från att delta i diskussionen kring dess egen rättsakt.
2. Övriga processuella frågor
184. I det överklagade beslutet uttryckte tribunalen även oro över risken för motstridiga beslut på unionsnivå och nationell nivå, vilket skulle kunna bli följden av att domstolsförfarandena överlappar varandra.
185. Detta är inte något nytt område. Såsom domstolen förklarade i sin dom i målet Masterfoods och HB, är de nationella domstolarna, när giltigheten av en unionsakt ifrågasätts vid både de nationella domstolarna och unionsdomstolarna, skyldiga att, enligt principen om lojalt samarbete, inte fatta ett beslut när det föreligger risk för att det kan stå i strid med ett befintligt eller framtida avgörande från unionsdomstolarna. När en talan om ogiltigförklaring är anhängig vid tribunalen och en giltighetsfråga väcks inom ramen för en parallell talan i ett nationellt förfarande, kan behörighetsfördelningen mellan unionsdomstolarna och de nationella domstolarna således kräva att den nationella domstolen vilandeförklarar målet. Detta förefaller ha varit det beslut som fattades av de behöriga irländska domstolarna i förevarande mål.
186. Om den nationella domstolen skulle inleda ett förfarande för förhandsavgörande vid domstolen trots att ett mål om ogiltigförklaring pågår vid tribunalen, kan EU-domstolen med stöd av artikel 54 tredje stycket i stadgan för Europeiska unionens domstol och principen om en god rättskipning skjuta upp handläggningen av sitt eget mål så att handläggningen av det mål om ogiltigförklaring som pågår vid tribunalen kan fortsätta.
3. Slutsats i denna del
187. Logiken i det system för domstolsskydd som inrättats genom fördragen kräver inte att den talan om ogiltigförklaring som klaganden väckt vid tribunalen ska avvisas.
188. Jag föreslår därför att domstolen även ska godta det femte argumentet i den första grunden för överklagandet.
189. Mot bakgrund av allt vad som anförts ovan föreslår jag att domstolen ska bifalla överklagandet såvitt avser den första grunden för överklagandet.
E. Konsekvenser
190. Enligt artikel 61 i stadgan för Europeiska unionens domstol kan domstolen själv slutligt avgöra ärendet, om detta är färdigt för avgörande.
191. I förevarande mål är detta villkor uppfyllt såvitt avser frågan huruvida den direkta talan som väckts vid tribunalen kan tas upp till sakprövning.
192. Det omtvistade beslutet utgör således för det första en rättsakt mot vilken talan kan väckas, med avseende på artikel 263 första stycket FEUF. För det andra är klaganden direkt berörd av detta beslut, i den mening som avses i artikel 263 fjärde stycket FEUF. För det tredje berörs klaganden personligen av det omtvistade beslutet, vilket tribunalen själv konstaterade i det överklagade beslutet. Härav följer att villkoren i artikel 263 första och fjärde styckena FEUF är uppfyllda. Överklagandet kan därför tas upp till sakprövning.
193. Med hänsyn emellertid till att tribunalen inte prövade huruvida talan var välgrundad, och att detta kräver en ingående rättslig och faktisk bedömning, är det inte möjligt för domstolen att i detta skede avgöra klagandens överklagande i sak.
194. Målet ska följaktligen återförvisas till tribunalen och frågan om rättegångskostnader anstå.
IV. Förslag till avgörande
195. Jag föreslår att domstolen ska upphäva beslut av den 7 december 2022, WhatsApp Ireland/Europeiska dataskyddsstyrelsen ( T‑709/21, EU:T:2022:783), förklara att klagandens talan om ogiltigförklaring kan tas upp till sakprövning, återförvisa målet till tribunalen för avgörande i sak, och förordna att frågan om rättegångskostnader ska anstå.
1 Originalspråk: engelska.
2 Artiklarna 63 och 65 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, rättad genom EUT L 127, 2018, s. 2, och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).
3 Bindande beslut 1/2021 om den tvist som uppstått om den irländska tillsynsmyndighetens förslag till beslut om WhatsApp Ireland enligt artikel 65.1 a i den allmänna dataskyddsförordningen (nedan kallat det omtvistade beslutet). Offentliggjort på https://www.edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-12021-dispute-arisen_sv.
4 Beslut av den 7 december 2022, WhatsApp Ireland/Europeiska dataskyddsstyrelsen ( T‑709/21, EU:T:2022:783) (nedan kallat det överklagade beslutet).
5 I skrivande stund pågår sju andra mål vid tribunalen mot bindande beslut som antagits av EDPB genom mekanismen för enhetlighet, vilka har väckts av såväl personuppgiftsbiträden och personuppgiftsansvariga som nationella tillsynsmyndigheter. Se målen T‑682/22, Meta Platforms Ireland/EDPB; T‑70/23, Data Protection Commission/Europeiska dataskyddsstyrelsen; T‑84/23, Data Protection Commission/Europeiska dataskyddsstyrelsen; T‑128/23, Meta Platforms Ireland/Europeiska dataskyddsstyrelsen; T‑129/23, Meta Platforms Ireland/Europeiska dataskyddsstyrelsen; T‑111/23, Data Protection Commission/Europeiska dataskyddsstyrelsen; och T‑153/23, WhatsApp Ireland/Europeiska dataskyddsstyrelsen. I ytterligare tre pågående mål har talan väckts mot beslut av EDPB som fattats utanför ramen för mekanismen för enhetlighet. Se mål T‑325/23, Meta Platforms Ireland/Europeiska dataskyddsstyrelsen; mål T-1030/23, Tiktok Technology/Europeiska dataskyddsstyrelsen och mål T‑8/24, Meta Platforms Ireland/Europeiska dataskyddsstyrelsen.
6 För ett kategoriseringsförsök, se Eliantonio, M., ”Access to justice in composite procedures for the implementation of EU law: the story so far”, i Van Creynenbreugel, P. och Wildemeersch, J. (red.), Questions choisies de droit européen des affaires/Selected Issues in European Business Law: 60 ans d’études juridiques européennes à Liège/60 years of European legal studies at Liège, Bruylant, 2023, s. 189–221.
7 Hofmann, H.C.H. förklarar där att ”sammansatta förfaranden är förfaranden i flera steg med bidrag från administrativa aktörer i olika jurisdiktioner, där samarbetet antingen sker vertikalt mellan unionens institutioner och organ och medlemsstaternas institutioner och organ eller horisontellt mellan olika medlemsstaters institutioner och organ, eller inom ramen för trepartsförfaranden mellan institutioner och organ i olika medlemsstater och unionens institutioner och organ”. Se Hofmann, H.C.H., ”Composite decision making procedures in EU administrative law”, i Hofmann, H.C.H., Türk, A.H., Legal Challenges in EU Administrative Law, Edward Elgar, Cheltenham, 2009, s. 136.
8 För en aktuell redogörelse för de teoretiska och praktiska frågor som aktualiseras i samband med sammansatta förfaranden, se Bastos, F. B., Judging Composite Decision-Making: The Transformation of European Administrative Law, Hart Publishing, Oxford, 2024.
9 I artikel 55.1 i dataskyddsförordningen stadfästs att ”[v]arje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt denna förordning inom sin egen medlemsstats territorium”.
10 Se, i detta hänseende, skäl 9, 10 och 13 i dataskyddsförordningen.
11 Se artikel 60.4 i dataskyddsförordningen.
12 I detta avseende skiljer sig EDPB:s roll från dess föregångares, ”artikel 29-arbetsgruppen”, som inrättades med stöd av artikel 29.1 i Europaparlamentets och rådet direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31), och som endast hade en rådgivande funktion.
13 Se även skäl 136 i förordningen.
14 Artikel 65.5 i dataskyddsförordningen.
15 I artikel 65.6 i dataskyddsförordningen föreskrivs att ett sådant nationellt beslut ska antas senast en månad efter det att EDPB har delgett tillsynsmyndigheten sitt bindande beslut.
16 Om en nationell tillsynsmyndighet inte godtar ett bindande beslut av EDPB kan den ifrågasätta dess giltighet vid tribunalen. Se exempelvis det mål som avgjorts genom domen av den 29 januari 2025, Data Protection Commission/Europeiska dataskyddsstyrelsen ( T‑70/23, T‑84/23 och T‑111/23, EU:T:2025:116).
17 Integritetspolicyn är avsedd att tillgodose de krav på öppenhet som klaganden måste uppfylla enligt artiklarna 12 och 14 i dataskyddsförordningen, och även enligt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna. Se, allmänt, artikel 29-arbetsgruppen, Riktlinjer om öppenhet enligt förordning 2016/679, antagna den 29 november 2017 (WP260).
18 Se artikel 99.2 i dataskyddsförordningen.
19 Se Data Protection Commission, Decision of the Data Protection Commission made pursuant to Section 111 of the Data Protection Act, 2018 and Articles 60 and 65 of the General Data Protection Regulation (beslut av dataskyddskommissionen med tillämpning av artikel 111 i 2018 års dataskyddslag och artiklarna 60 och 65 i den allmänna dataskyddsförordningen), 2021, (IN-18–12–2) punkt 3 (nedan kallat det slutliga nationella beslutet), som finns tillgängligt på engelska på följande adress: https://www.dataprotection.ie/sites/default/files/uploads/2022–03/Full_decision_WhatsApp_Ireland-August_2021.pdf.
20 Se det slutliga nationella beslutet, punkt 4.
21 Se det överklagade beslutet, punkt 4. Se även det slutliga nationella beslutet, punkt 23.
22 Se det överklagade beslutet, punkt 5. Se även det slutliga nationella beslutet, punkt 23.
23 Se det överklagade beslutet, punkt 5. Se även det slutliga nationella beslutet, punkt 24.
24 Se det överklagade beslutet, punkt 5. Se det slutliga nationella beslutet, punkt 25.
25 Se det slutliga nationella beslutet, punkt 25.
26 Såsom jag förstår det är klagandens förfarande för ”förlusthashning” (”lossy hashing”) i huvudsak en krypteringsteknik för att översätta telefonnummer till användare och icke-användare av dess meddelandetjänst till numeriska koder, som klaganden sedan kan dela med tredje man. I motsats till den irländska tillsynsmyndighetens utkast till beslut ansåg EDPB att eftersom det var möjligt för klaganden att särskilja och därmed återidentifiera registrerade personer på grundval av dessa ”hashade” (”hashed”) koder, utgjorde de hashade uppgifterna personuppgifter i den mening som avses i dataskyddsförordningen. Se, i detta avseende, det omtvistade beslutet, punkterna 141–157.
27 Se, i detta avseende, det överklagade beslutet, punkt 11, och det omtvistade beslutet, punkterna 427 och 428.
28 Se, i detta avseende, det överklagade beslutet, punkt 11, och det omtvistade beslutet, punkterna 426 och 428.
29 Se, i detta avseende, det överklagade beslutet, punkt 11, och punkterna 429 och 430.
30 Se det överklagade beslutet, punkt 9.
31 Således förklarade domstolen, exempelvis, i sin dom av den 18 juni 2024, kommissionen/SRB ( C‑551/22 P, EU:C:2024:520) (nedan kallad domen i målet kommissionen/SRB), att slutsatserna i domen av den 6 maj 2021, ABLV Bank m.fl./ECB ( C‑551/19 P och C‑552/19 P, EU:C:2021:369), inte automatiskt kunde appliceras på den situation som var aktuell i det målet. I sistnämnda dom fann domstolen att ett beslut av Europeiska centralbanken om att en bank fallerar eller sannolikt kommer att fallera inte utgör en rättsakt mot vilken talan kan väckas, eftersom den inte är bindande för den gemensamma resolutionsnämnden (nedan kallad SRB), vilket innebär att talan om ogiltigförklaring ska väckas mot den rättsakt som antagits av SRB. Detta innebär emellertid inte att en rättsakt som antagits av SRB inom ramen för resolutionsförfarandet alltid utgör en rättsakt mot vilken talan kan väckas. När en rättsakt antas av detta organ i ett annat skede av resolutionsförfarandet utgör den inte en rättsakt mot vilken talan kan väckas om den inte har bindande rättsverkningar för kommissionen, som i detta sammansatta förfarande har befogenhet att anta ett slutligt beslut.
32 Domstolen måste således ibland förklara varför slutsatserna i dess tidigare domar inte går att tillämpa i det aktuella fallet. Se, i detta hänseende, domstolens förklaring i domen i målet kommissionen/SRB, punkt 92.
33 Dom av den 11 november 1981, IBM/kommissionen ( 60/81, EU:C:1981:264; svensk specialutgåva, volym VI, s. 225, punkt 9) (nedan kallad domen i målet IBM).
34 Dom av den 13 oktober 2011, Deutsche Post och Tyskland/kommissionen ( C‑463/10 P och C‑475/10 P, EU:C:2011:656) (nedan kallad domen i de förenade målen Deutsche Post).
35 Det följer av fast rättspraxis att frågan huruvida en talan om ogiltigförklaring kan tas upp till sakprövning utgör en fråga rörande tvingande rätt som unionsdomstolarna kan pröva när som helst, även om det inte föreligger något anslutningsöverklagande enligt artikel 176.2 i domstolens rättegångsregler. Se, bland annat, dom av den 2 september 2021, Ja zum Nürburgring/kommissionen ( C‑647/19 P, EU:C:2021:666, punkterna 52–53 och där angiven rättspraxis) och dom av den 21 september 2023, China Chamber of Commerce for Import and Export of Machinery and Electronic Products m.fl./kommissionen ( C‑478/21 P, EU:C:2023:685, punkterna 42 och 43 och där angiven rättspraxis).
36 Se, bland annat, dom av den 10 mars 1998, Tyskland/rådet ( C‑122/95, EU:C:1998:94, punkt 35), och dom den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen ( C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkterna 63 och 73).
37 Se artikel 65.5 första meningen i dataskyddsförordningen.
38 Se, för ett liknande resonemang, dom av den 5 april 1979, Orlandi/kommissionen ( 117/78, EU:C:1979:109, punkt 11), och dom av den 26 september 2013, PPG och SNF/ECHA ( C‑625/11 P, EU:C:2013:594, punkt 33).
39 Se, bland annat, dom av den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen ( C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkterna 68–71).
40 Se, analogt, dom av den 26 september 2013, PPG and SNF/ECHA ( C‑625/11 P, EU:C:2013:594, punkterna 29–33) (som rörde [ett beslut om uppförande av ett ämne i] en förteckning över ämnen som enbart offentliggjorts på Europeiska kemikaliemyndighetens webbplats, vilket domstolen likväl betraktade som ett offentliggjort beslut).
41 Se, för ett liknande resonemang, bland annat dom av den 26 september 2024, Covestro Deutschland och Tyskland/kommissionen ( C‑790/21 P och C‑791/21 P, EU:C:2024:792, punkt 82), och dom av den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen ( C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkterna 72 och 73). I den sistnämnda domen förklaras det att tidsfristerna för att väcka talan, i rättssäkerhetens intresse, ska fastställas på ett objektivt och säkert sätt i förhållande till samtliga berörda parter som inte har delgetts detta beslut, oberoende av om dessa har kunnat ta del av rättsakten i förväg.
42 Angående den eventuella praktiska skillnaden mellan att stödja sig på bindande rättsverkningar eller enbart på rättsverkningar vid bedömningen av huruvida talan kan väckas mot en rättsakt, se förslag till avgörande av generaladvokat Bobek i målet Belgien/kommissionen ( C‑16/16 P, EU:C:2017:959, punkt 59 och följande punkter).
43 Se artikel 173 i fördraget om upprättandet av Europeiska ekonomiska gemenskapen (EEG-fördraget) (min kursivering). Det kan tilläggas att artikel 33 i Fördraget om upprättandet av Europeiska kol- och stålgemenskapen (EKSG-fördraget) innehöll en positiv förteckning över rättsakter mot vilka talan kunde väckas, i vilken ”beslut” och ”rekommendationer” ingick. Dessa rättsakter definierades i artikel 14 i EKSG-fördraget som rättsakter med bindande rättsverkningar. I domstolens tidiga praxis, som har influerat dess senare praxis, undersöktes det således huruvida en rättsakt var av ”bindande” karaktär i syfte att avgöra om den kunde läggas till grund för en talan om ogiltigförklaring. Se, exempelvis, dom av den 16 juli 1956, Fédération charbonnière de Belgique/Höga myndigheten ( 8/55, EU:C:1956:7, s. 256 [i den engelska språkversionen]), dom av den 10 december 1957, Société des usines à tubes de la Sarre/Höga myndigheten ( 1/57 och 14/57, EU:C:1957:13, s. 114 [i den engelska språkversionen]), och dom av den 15 mars 1967, Cimenteries C.B.R. Cementbedrijven NV m.fl./kommissionen ( 8/66–11/66, EU:C:1967:7, s. 91; svensk specialutgåva, volym I, s. 317, på s. 323).
44 Det är så rekommendationer och yttranden definieras i dag i artikel 288 FEUF, men samma definition återfanns i artikel 189 EEG.
45 I dom av den 31 mars 1971, kommissionen/rådet (”AETR-målet”) ( 22/70, EU:C:1971:32; svensk specialutgåva, volym I, s. 551, punkt 39), hänvisade domstolen till åtgärder som var avsedda att ha ”rättsverkan”. I senare rättspraxis har detta uttryck emellertid kommit att förändras till åtgärder som är avsedda att ha ”bindande rättsverkningar”. Se, exempelvis, dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkt 62 och där angiven rättspraxis).
46 Se exempelvis, såvitt avser privilegierade sökande, beslut av den 17 maj 1989, Italien/kommissionen ( 151/88, EU:C:1989:201, punkterna 22 och 23) och dom av den 25 oktober 2017, Slovakien/kommissionen ( C‑593/15 P och C‑594/15 P, EU:C:2017:800, punkterna 63–65).
47 När talan väcks av en privilegierad sökande är denna fråga hursomhelst inte relevant. Såsom jag har förklarat måste domstolen emellertid fastställa huruvida den angripna rättsakten är rättsligt bindande även i förhållande till priviligierade sökande. I två avgöranden, som såvitt jag vet aldrig har upprepats, avvisade domstolen emellertid en talan som väckts av en privilegierad sökande (den nederländska regeringen i båda fallen), på den grunden att det kommissionsbeslut som sökanden yrkade ogiltigförklaring av inte hade några bindande rättsverkningar för sökanden. Se, i detta hänseende, dom av den 5 oktober 1999, Nederländerna/kommissionen ( C‑308/95, EU:C:1999:477, punkterna 26 och 29), och beslut av den 28 januari 2004, Nederländerna/kommissionen ( C‑164/02, EU:C:2004:54, punkterna 18 och 22). För en kritisk betraktelse över dessa båda domar, se förslag till avgörande av generaladvokat Jacobs i målet Italien/kommissionen ( C‑301/03, EU:C:2005:550, punkterna 52 och 53).
48 Se, i detta hänseende, vad gäller rättspraxis avseende interna instruktioner och riktlinjer, Lenaerts, K., Gutman, K., Nowak, J.T., EU Procedural Law, 2:a upplagan, Oxford European Union Law Library, Oxford, 2023, s. 286, punkterna 7.21–7.22.
49 Detta följer tydligt av rättspraxis på området för statligt stöd, enligt vilken ett beslut genom vilket kommissionen förklarar ett befintligt stöd oförenligt med den inre marknaden och ålägger medlemsstaten att återkräva detta stöd endast är rättsligt bindande för denna medlemsstat, men även kan ifrågasättas av stödmottagaren. Se, exempelvis, dom av den 19 oktober 2000, Italien och Sardegna Lines/kommissionen ( C‑15/98 och C‑105/99, EU:C:2000:570, punkterna 31–37).
50 Se, i detta hänseende, domen i målet IBM, punkt 10, och dom av den 26 januari 2010, Internationaler Hilfsfonds/kommissionen ( C‑362/08 P, EU:C:2010:40, punkt 58).
51 Se, i detta hänseende, förslag till avgörande av generaladvokat Roemer i de förenade målen CBR m.fl./kommissionen ( 8/66–11/66, ej publicerat, EU:C:1967:2, s. 103).
52 Det senaste avgörandet beträffande fråga är domen av den 13 februari 2025, Swissgrid/kommissionen ( C‑121/23 P, EU:C:2025:83, punkt 46) (domstolen förklarade att, när sökanden i talan om ogiltigförklaring inte är den som den angripna rättsakten är riktad till, är det ”tillräckligt att visa att rättsakten är avsedd att ha bindande rättsverkningar för, bland annat, den till vilken den riktar sig”, eftersom det ”i detta skede … inte [är] nödvändigt att pröva huruvida dessa rättsverkningar kan påverka sökandens intressen, genom att klart förändra dennes rättsliga ställning”. Detta ska nämligen bedömas i samband med prövningen av det villkor som ställs upp i artikel 263 fjärde stycket FEUF.)
53 Min kursivering.
54 Se punkterna 38 och 39 i det överklagade beslutet. Vid sidan av domen i målet IBM, grundade sig tribunalen även på domen av den 18 november 2010, NDSHT/kommissionen ( C‑322/09 P, EU:C:2010:701, punkt 45), som hänvisar till andra mål som också refererar till punkt 9 i domen i målet IBM.
55 Min kursivering.
56 Se exempelvis, bland många andra, dom av den 31 mars 1998, Frankrike m.fl./kommissionen ( C‑68/94 och C‑30/95, EU:C:1998:148, punkt 62), dom av den 17 juli 2008, Athinaïki Techniki/kommissionen ( C‑521/06 P, EU:C:2008:422, punkt 29), dom av den 26 januari 2010, Internationaler Hilfsfonds/kommissionen ( C‑362/08 P, EU:C:2010:40, punkt 51), och domen i målet kommissionen/SRB (punkt 65).
57 Se, bland annat, beslut av den 3 juli 2007, Commune de Champagne m.fl./rådet och kommissionen ( T‑212/02, EU:T:2007:194, punkterna 86 och 88), samt dom av den 26 november 2018, Shindler m.fl./rådet ( T‑458/17, EU:T:2018:838, punkt 30), och dom av den 10 mars 2021, ViaSat/kommissionen ( T‑245/17, EU:T:2021:128, punkt 68).
58 Se, exempelvis, förslag till avgörande av generaladvokat Sharpston i målet Reynolds Tobacco m.fl./kommissionen ( C‑131/03 P, EU:C:2006:228, punkterna 102 och 103), där hon markerade att det framstod som om domstolen, till kravet att en rättsakt skulle vara bindande i allmänhet, hade lagt kravet att rättsakten skulle vara bindande med avseende på sökanden i fråga.
59 Hänvisningar till rättspraxis har utelämnats.
60 Beslut av den 14 juli 2010, Deutsche Post/kommissionen ( T‑570/08, ej publicerat, EU:T:2010:311).
61 Se, exempelvis, dom av den 21 december 2021, Algebris (UK) och Anchorage Capital Group/SRB ( C‑934/19 P, EU:C:2021:1042, punkt 87 och följande punkter).
62 Se, för ett liknande resonemang, domen i de förenade målen Deutsche Post, punkterna 40–47.
63 Domen i de förenade målen Deutsche Post, punkt 54.
64 Domen i de förenade målen Deutsche Post, punkt 63.
65 Domen i de förenade målen Deutsche Post, punkterna 66–75.
66 Det överklagade beslutet, punkterna 42–49.
67 Beslut av den 14 juli 2010, Deutsche Post/kommissionen ( T‑570/08, ej publicerat, EU:T:2010:311).
68 Se, i detta hänseende, punkterna 43 och 44 i det överklagade beslutet (där det först slås fast att mellankommande rättsakter i sammansatta förfaranden i princip inte utgör rättsakter mot vilken talan kan väckas, och därefter att ”[u]ndantagen från [denna] princip … utgörs av de fall där den mellankommande åtgärden har självständiga rättsverkningar”).
69 Det överklagade beslutet, punkt 44.
70 Domen i målet IBM, punkt 10 (min kursivering).
71 Detsamma kan sägas om domstolens uttalande i punkt 52 i domen av den 26 januari 2010, Internationaler Hilfsfonds/kommissionen ( C‑362/08 P, EU:C:2010:40), som tribunalen också stödde sig på i punkt 43 i det överklagade beslutet.
72 Även om domstolen, i sin beskrivning av sammanhanget i ett visst mål, hänvisar till begreppet ”förberedande” åtgärder i ett sammansatt förfarande, utesluter den ändå inte att talan kan väckas mot en sådan rättsakt om den visar sig skapa självständiga rättsverkningar inom ramen för detta förfarande. Se, exempelvis, domen i målet kommissionen/SRB där det i punkt 93 förklaras att ”[i] ett sådant komplext förfarande kan de åtgärder som vidtas under de förberedande etapperna inför antagandet av den slutliga rättsakten inte bli föremål för en talan om ogiltigförklaring när de inte har självständiga rättsverkningar” (min kursivering).
73 Såsom jag har förklarat föreskrivs det i artikel 65.1 i dataskyddsförordningen att beslut som antas av EDPB inom ramen för mekanismen för enhetlighet ska ha bindande verkningar för de berörda nationella tillsynsmyndigheterna.
74 Det överklagade beslutet, punkt 51.
75 Se dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkt 43 och där angiven rättspraxis).
76 Den första gången det hänvisas till dessa kriteriers ”kumulativa” karaktär är såvitt jag förstår i domen av den 10 september 2009, kommissionen/Ente per le Ville vesuviane och Ente per le Ville vesuviane/kommissionen ( C‑445/07 P och C‑455/07 P, EU:C:2009:529, punkt 45), som avsåg finansiellt stöd som beviljats av Europeiska regionala utvecklingsfonden med hjälp av nationella myndigheter.
77 En situation där en unionsrättsakt kräver ytterligare en genomförandeåtgärd för att ”nå” sökanden är den som är vanligast förekommande i praktiken. Det är emellertid inte bara i denna typ av situation som en rättsakt direkt kan beröra en fysisk eller juridisk person. Det finns rättsakter som påverkar en enskilds rättsliga ställning utan att det krävs någon genomförandeåtgärd. Så är fallet med rättsakter med allmän giltighet, såsom förordningar. Betänk, i detta hänseende, exempelvis den situation som var aktuell i dom av den 1 april 2004, kommissionen/Jégo-Quéré ( C‑263/02 P, EU:C:2004:210). Under de omständigheter som förelåg i det målet förelades sökandens fiskeriföretag enligt tvingande bestämmelser direkt att använda nät med en viss minsta maskstorlek för att minska fångsten av ungkummel, utan att några genomförandeåtgärder behövde vidtas. Genom den senaste ändringen av artikel 263 fjärde stycket FEUF, som hade sin grund i Lissabonfördraget, öppnades möjligheten att väcka talan om ogiltigförklaring även mot rättsakter som inte kräver genomförandeåtgärder, utan att det behöver visas att sökanden är personligen berörd. Sökanden måste emellertid fortfarande visa att han eller hon är direkt berörd av den angripna åtgärden. Detta innebär inte att det andra ”kumulativa” kriteriet som följer av rättspraxis – det vill säga det om genomförandeåtgärder – måste uppfyllas, eftersom det i en sådan situation inte finns några genomförandeåtgärder som kan fungera som en ”brygga” mellan den omtvistade åtgärden och sökanden.
78 Se, för en aktuell bekräftelse på detta såvitt avser direktiv som alltid medför genomförandeåtgärder, dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkt 70).
79 Se det överklagade beslutet, punkt 51.
80 Se dom av den 12 juli 2022, Nord Stream 2-parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkterna 71–74).
81 Det överklagade beslutet, punkt 64.
82 Se, exempelvis, dom av den 19 oktober 2000, Italien och Sardegna Lines/kommissionen ( C‑15/98 och C‑105/99, EU:C:2000:570, punkterna 31 och 34) och dom av den 29 april 2004, Italien/kommissionen ( C‑298/00 P, EU:C:2004:240, punkt 39).
83 Detsamma gäller den rättspraxis som tribunalen grundade sig på i punkt 65 i det överklagade beslutet, vilken rörde ett kommissionsbeslut riktat till en medlemsstat, i vilket denna anmodades att minska viss finansiering från unionen som beviljats ett företag. Domstolen fann att ett företag i en sådan situation berörs direkt av kommissionens beslut, trots att det krävs genomförandeåtgärder från medlemsstatens sida.
84 Punkt 64 i det överklagade beslutet.
85 Punkt 53 i det överklagade beslutet.
86 Klaganden har därutöver gjort gällande att EDPB inte har befogenhet att lägga sig i vare sig beräkningsmetoden eller sanktionsavgifternas storlek, och har hävdat att denna befogenhet enligt dataskyddsförordningen ligger hos den nationella tillsynsmyndigheten och omfattas av de bestämmelser som föreskrivs i nationell rätt. Sistnämnda påstående måste bedömas i sak och domstolen kan inte uttala sig om denna fråga inom ramen för förevarande överklagande.
87 Se punkterna 57–59 i det överklagade beslutet. Den omständigheten att EDPB inte uttalade sig om huruvida WhatsApp agerade som personuppgiftsansvarig eller personuppgiftsbiträde med avseende på den behandling av personuppgifter som uppstod till följd av ”förlusthashningsförfarandet” (”lossy hashing procedure”) förändrar inte det faktum att den irländska tillsynsmyndigheten var bunden av EDPB:s slutsats att detta förfarande utgjorde behandling av personuppgifter.
88 I punkterna 55 och 56 i det överklagade beslutet räknade tribunalen upp de frågor som hade avgjorts av EDPB och de frågor som därutöver hade avgjorts av den irländska tillsynsmyndigheten i det slutliga nationella beslutet.
89 Se det överklagade beslutet, punkt 60.
90 Se, bland annat, dom av den 3 juni 2021, Ungern/parlamentet ( C‑650/18, EU:C:2021:426, punkt 38 och där angiven rättspraxis), och domen i målet kommissionen/SRB (punkt 65).
91 Tribunalen grundade sig i detta hänseende på dom av den 25 juli 2002, Unión de Pequeños Agricultores/rådet ( C‑50/00 P, EU:C:2002:462, punkt 40). Se det överklagade beslutet, punkt 68.
92 Se dom av den 22 oktober 1987, Foto-Frost ( 314/85, EU:C:1987:452, punkt 17).
93 Dom av den 9 mars 1994 (C‑188/92, EU:C:1994:90, punkt 26).
94 Dom av den 25 juli 2018 (C‑135/16, EU:C:2018:582, punkt 17 och där angiven rättspraxis).
95 Dom av den 25 juli 2018, Georgsmarienhütte m.fl. ( C‑135/16, EU:C:2018:582, punkt 18).
96 Se, för ett liknande resonemang, exempelvis dom av den 10 mars 2021, Von Aschenbach & Voss ( C‑708/19, EU:C:2021:190, punkterna 33 och 49).
97 Dom av den 3 december 2019, Iccrea Banca ( C‑414/18, EU:C:2019:1036) (nedan kallad domen i målet Iccrea Banca).
98 Domen i målet Iccrea Banca, punkterna 72 och 74.
99 Denna möjlighet är självfallet endast giltig om det var ställt ”utom allt tvivel” att WhatsApp hade talerätt vid unionsdomstolarna. Om WhatsApp däremot saknade talerätt vid tribunalen för att angripa det omtvistade beslutets giltighet, vilket är tribunalens uppfattning, kan det företaget inte hindras från att framställa en invändning om rättsstridighet vid en nationell domstol.
100 Se det överklagade beslutet, punkt 40.
101 Skäl 143 i dataskyddsförordningen har i relevanta delar följande lydelse: ”Om styrelsens beslut direkt och personligen berör en personuppgiftsansvarig, ett personuppgiftsbiträde eller en enskild, kan den enskilde väcka ogiltighetstalan mot besluten inom två månader efter det att de har offentliggjorts på styrelsens webbplats, i enlighet med artikel 263 i EUF-fördraget.”
102 Se, i detta hänseende, förslag till avgörande av generaladvokat Campos Sánchez-Bordona i målet Georgsmarienhütte m.fl. ( C‑135/16, EU:C:2018:120, punkt 43). Se även de argument som generaladvokat Jacobs framförde i sitt förslag till avgörande i målet Unión de Pequeños Agricultores/rådet ( C‑50/00 P, EU:C:2002:197, punkt 40 och följande punkter), vilka alltjämt äger giltighet.
103 Se det överklagade beslutet, punkt 70.
104 Se dom av den 14 december 2000, Masterfoods och HB ( C‑344/98, EU:C:2000:689, punkt 39 och där angiven rättspraxis).
105 Se dom av den 14 december 2000, Masterfoods och HB ( C‑344/98, EU:C:2000:689, punkt 57) och dom av den 25 juli 2018, Georgsmarienhütte m.fl. ( C‑135/16, EU:C:2018:582, punkt 24 och där angiven rättspraxis).
106 Se beslut av High Court, Ireland (Högsta domstolen, Irland) i målet Meta Platforms Ireland Ltd mot Data Protection Commission (approved) [2024] IEHC 264 av den 10 maj 2024, där det i punkt 49 konstateras att ”det lagstadgade överklagandet och det rättsliga omprövningsförfarandet ska vilandeförklaras i sin helhet i avvaktan på utgången i målet WhatsApp som för närvarande är anhängigt vid Europeiska unionens domstol”.
107 Se dom av den 25 juli 2018, Georgsmarienhütte m.fl. ( C‑135/16, EU:C:2018:582, punkt 25).
108 Det överklagade beslutet, punkt 40.