Domstolens dom (stora avdelningen) den 10 februari 2026

I mål C‑97/23 P, angående ett överklagande enligt artikel 56 i stadgan för Europeiska unionens domstol, som ingavs den 17 februari 2023,

DOMSTOLEN (stora avdelningen) sammansatt av ordföranden K. Lenaerts, vice ordföranden T. von Danwitz (referent), avdelningsordförandena K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu-Matei och M. Condinanzi samt domarna S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, och N. Fenger, generaladvokat: T. Ćapeta, justitiesekreterare: handläggaren A. Lamote,

efter det skriftliga förfarandet och förhandlingen den 26 november 2024,

och efter att den 27 mars 2025 ha hört generaladvokatens förslag till avgörande,

följande

Dom

1. WhatsApp Ireland Ltd (nedan kallat WhatsApp) har yrkat att domstolen ska upphäva det beslut som Europeiska unionens tribunal meddelade den 7 december 2022, WhatsApp Ireland/Europeiska dataskyddsstyrelsen ( T‑709/21, EU:T:2022:783) (nedan kallat det överklagade beslutet). Genom detta beslut avvisade tribunalen WhatsApps talan om ogiltigförklaring av Europeiska dataskyddsstyrelsens (nedan kallad dataskyddsstyrelsen) bindande beslut 1/2021 av den 28 juli 2021 angående den tvist mellan berörda tillsynsmyndigheter som hade uppstått till följd av Data Protection Commissions (DPC) (Dataskyddsmyndigheten, Irland) utkast till beslut avseende WhatsApp.

Tillämpliga bestämmelser

2. I skälen 10 och 143 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 199, 2016, s. 1 och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen) anges följande:

(”(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. …

…

(143) Varje fysisk eller juridisk person har rätt att väcka ogiltighetstalan mot styrelsens beslut vid domstolen enligt de villkor som föreskrivs i artikel 263 [FEUF]. I sin egenskap av adressater för sådana beslut måste, i enlighet med artikel 263 [FEUF], de berörda tillsynsmyndigheter som önskar överklaga dessa väcka talan inom två månader efter det att beslutet meddelats dem. Om styrelsens beslut direkt och personligen berör en personuppgiftsansvarig, ett personuppgiftsbiträde eller en enskild, kan den enskilde väcka ogiltighetstalan mot besluten inom två månader efter det att de har offentliggjorts på styrelsens webbplats, i enlighet med artikel 263 [FEUF]. Utan att det påverkar denna rätt inom ramen för [artikel 263 FEUF] bör varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel vid den behöriga nationella domstolen mot ett beslut av en tillsynsmyndighet som har rättsliga följder för denna person. Sådana beslut avser särskilt tillsynsmyndighetens utövande av utrednings-, korrigerings- och godkännandebefogenheter eller avvisande av eller avslag på klagomål. Rätten till ett effektivt rättsmedel inbegriper dock inte åtgärder som vidtagits av tillsynsmyndigheter när dessa inte är rättsligt bindande, såsom yttranden som avgivits eller rådgivning som tillhandahållits av tillsynsmyndigheten. Talan mot beslut som har fattats av en tillsynsmyndighet bör väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt säte och bör genomföras i enlighet med den medlemsstatens nationella processrätt. Dessa domstolar bör ha fullständig behörighet, vilket bör omfatta behörighet att pröva alla fakta och rättsliga frågor som rör den tvist som anhängiggjorts vid dem. Om talan avslås eller avvisas av en tillsynsmyndighet, kan den enskilde väcka talan vid domstolarna i samma medlemsstat. I samband med rättsmedel som avser tillämpningen av denna förordning kan eller, i det fall som anges i artikel 267 [FEUF], måste nationella domstolar som anser att ett beslut om ett förhandsavgörande är nödvändigt för att de ska kunna döma begära att domstolen meddelar ett förhandsavgörande om tolkningen av unionsrätten, inbegripet denna förordning. Om dessutom ett beslut av en tillsynsmyndighet om genomförande av ett beslut av styrelsen överklagas till en nationell domstol och giltigheten av styrelsens beslut ifrågasätts, har inte den nationella domstolen befogenhet att förklara styrelsens beslut ogiltigt utan måste hänskjuta frågan om giltighet till domstolen i enlighet med artikel 267 [FEUF] såsom den tolkats av domstolen, närhelst den anser att beslutet är ogiltigt. En nationell domstol får dock inte hänskjuta en fråga om giltigheten av styrelsens beslut på begäran av en fysisk eller juridisk person som haft tillfälle att väcka ogiltighetstalan mot beslutet, i synnerhet inte om denna person direkt och personligen berördes av beslutet men inte gjorde detta inom den frist som anges i artikel 263 [FEUF].”

3. Artikel 5 i dataskyddsförordningen har rubriken ”Principer för behandling av personuppgifter”. I artikel 5.1 a föreskrivs att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. I artikel 5.1 c föreskrivs att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

4. Artikel 6 i dataskyddsförordningen har rubriken ”Laglig behandling av personuppgifter”. I artikel 6.1 föreskrivs följande:

”Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.

b) Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.

c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

d) Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

f) Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

Led f i första stycket ska inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.”

5. Artikel 12 i dataskyddsförordningen innehåller bestämmelser om klar och tydlig information och kommunikation samt om villkoren för utövandet av den registrerades rättigheter. I artikel 12.1 föreskrivs följande:

”Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt.”

6. Artikel 13 i dataskyddsförordningen har rubriken ”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”. I den artikeln föreskrivs följande:

”1. Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:

a) Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.

b) Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.

c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.

d) Om behandlingen är baserad på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.

e) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall

f) I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till ett tredjeland eller en internationell organisation och huruvida ett beslut av kommissionen om adekvat skyddsnivå föreligger eller saknas eller, när det gäller de överföringar som avses i artikel 46, 47 eller artikel 49.1 andra stycket, hänvisning till lämpliga eller passande skyddsåtgärder och hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga

2. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige vid insamlingen av personuppgifterna lämna den registrerade följande ytterligare information, vilken krävs för att säkerställa rättvis och öppen behandling:

a) Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

b) Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling samt rätten till dataportabilitet.

c) Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, att det föreligger en rätt att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.

d) Rätten att inge klagomål till en tillsynsmyndighet.

e) Huruvida tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsenligt krav eller ett krav som är nödvändigt för att ingå ett avtal samt huruvida den registrerade är skyldig att tillhandahålla personuppgifterna och de möjliga följderna av att sådana uppgifter inte lämnas.

f) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

…”

7. Artikel 14 i dataskyddsförordningen avser den information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade.

8. Enligt artikel 55.1 i dataskyddsförordningen ska varje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt dataskyddsförordningen inom sin egen medlemsstats territorium.

9. I artikel 56 i dataskyddsförordningen, med rubriken ”Den ansvariga tillsynsmyndighetens behörighet”, föreskrivs följande:

”1. Utan att det påverkar tillämpningen av artikel 55 ska tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller enda verksamhetsställe vara behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling i enlighet med det förfarande som föreskrivs i artikel 60.

2. Genom undantag från punkt 1 ska varje tillsynsmyndighet vara behörig att behandla ett klagomål som lämnats in till denna eller en eventuell överträdelse av denna förordning, om sakfrågan i ärendet endast rör ett verksamhetsställe i medlemsstaten eller i väsentlig grad påverkar registrerade endast i medlemsstaten.

3. I de fall som avses i punkt 2 i den här artikeln ska tillsynsmyndigheten utan dröjsmål informera den ansvariga tillsynsmyndigheten om detta ärende. Inom tre veckor från det att den underrättats ska den ansvariga tillsynsmyndigheten besluta huruvida den kommer att behandla ärendet i enlighet med det förfarande som föreskrivs i artikel 60, med hänsyn till huruvida den personuppgiftsansvarige eller personuppgiftsbiträdet har eller inte har ett verksamhetsställe som är beläget i den medlemsstat där den tillsynsmyndighet som lämnat informationen är belägen.

4. Om den ansvariga tillsynsmyndigheten beslutar att behandla ärendet ska det ske i enlighet med det förfarande som föreskrivs i artikel 60. Den tillsynsmyndighet som underrättade den ansvariga tillsynsmyndigheten får lämna in ett utkast till beslut till den ansvariga tillsynsmyndigheten. Den ansvariga tillsynsmyndigheten ska ta största möjliga hänsyn till detta utkast till beslut när det utarbetar det utkast till beslut som avses i artikel 60.3.

5. Om den ansvariga tillsynsmyndigheten beslutar att inte behandla ärendet ska den tillsynsmyndighet som underrättade den ansvariga tillsynsmyndigheten behandla ärendet i enlighet med artiklarna 61 och 62.

6. Den ansvariga tillsynsmyndigheten ska vara den personuppgiftsansvariges eller personuppgiftsbiträdets enda motpart när det gäller den personuppgiftsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling.”

10. Artikel 57 i dataskyddsförordningen har rubriken ”Uppgifter”. I artikel 57.1 h föreskrivs att varje tillsynsmyndighet på sin egen medlemsstats territorium ska ha till uppgift att genomföra utredningar av tillämpningen av dataskyddsförordningen.

11. Artikel 58 i dataskyddsförordningen har rubriken ”Befogenheter”. I artikel 58.1 görs en uppräkning av tillsynsmyndigheternas befogenheter. I artikel 58.2 görs en uppräkning av de korrigerande åtgärder som en tillsynsmyndighet får vidta. Bland dessa återfinns möjligheten att utfärda reprimander till en personuppgiftsansvarig eller personuppgiftsbiträdet om behandling bryter mot bestämmelserna i dataskyddsförordningen (led b), möjligheten att förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att behandlingen sker i enlighet med bestämmelserna i dataskyddsförordningen och om så krävs på ett specifikt sätt och inom en specifik period (led d) samt möjligheten att påföra en sanktionsavgift i enlighet med artikel 83 i dataskyddsförordningen (led i).

12. Artikel 60 i dataskyddsförordningen har rubriken ”Samarbete mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna”. I den artikeln föreskrivs följande:

”1. Den ansvariga tillsynsmyndigheten ska samarbeta med de andra berörda tillsynsmyndigheterna i enlighet med denna artikel i en strävan att uppnå samförstånd. Den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna ska utbyta all relevant information med varandra.

2. Den ansvariga tillsynsmyndigheten får när som helst begära att andra berörda tillsynsmyndigheter ger ömsesidigt bistånd i enlighet med artikel 61 och får genomföra gemensamma insatser i enlighet med artikel 62, i synnerhet för att utföra utredningar eller övervaka genomförandet av en åtgärd som avser en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i en annan medlemsstat.

3. Den ansvariga tillsynsmyndigheten ska utan dröjsmål meddela de andra berörda tillsynsmyndigheterna den relevanta informationen i ärendet. Den ska utan dröjsmål lägga fram ett utkast till beslut för de andra berörda tillsynsmyndigheterna så att de kan avge ett yttrande och ta vederbörlig hänsyn till deras synpunkter.

4. Om någon av de andra berörda tillsynsmyndigheterna inom en period av fyra veckor efter att de har rådfrågats i enlighet med punkt 3 i den här artikeln uttrycker en relevant och motiverad invändning mot utkastet till beslut ska den ansvariga tillsynsmyndigheten, om den inte instämmer i den relevanta och motiverade invändningen eller anser att invändningen inte är relevant eller motiverad, överlämna ärendet till den mekanism för enhetlighet som avses i artikel 63.

5. Om den ansvariga tillsynsmyndigheten avser att följa den relevanta och motiverade invändningen ska den till de andra berörda tillsynsmyndigheterna överlämna ett reviderat utkast till beslut så att de kan avge ett yttrande. Detta reviderade utkast till beslut ska omfattas av det förfarande som avses i punkt 4 inom en period av två veckor.

6. Om ingen av de andra berörda tillsynsmyndigheterna har gjort invändningar mot det utkast till beslut som den ansvariga tillsynsmyndigheten har lagt fram inom den period som avses i punkterna 4 och 5 ska den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna anses samtycka till detta utkast till beslut och ska vara bundna av det.

7. Den ansvariga tillsynsmyndigheten ska anta och meddela beslutet till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe, allt efter omständigheterna, och underrätta de andra berörda tillsynsmyndigheterna och styrelsen om beslutet i fråga, inbegripet en sammanfattning av relevanta fakta och en relevant motivering. Den tillsynsmyndighet till vilken ett klagomål har lämnats in ska underrätta den enskilde om beslutet.

8. Om ett klagomål avvisas eller avslås ska den tillsynsmyndighet till vilken klagomålet lämnades in, genom undantag från punkt 7, anta beslutet och meddela den enskilde samt informera den personuppgiftsansvarige.

9. Om den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna är överens om att avvisa eller avslå delar av ett klagomål och att vidta åtgärder beträffande andra delar av klagomålet ska ett separat beslut antas för var och en av dessa delar av frågan. Den ansvariga tillsynsmyndigheten ska anta beslutet om den del som gäller åtgärder som avser den personuppgiftsansvarige och meddela det till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe på medlemsstatens territorium och underrätta den enskilde om detta, medan den enskildes tillsynsmyndighet ska anta beslutet för den del som gäller avvisande av eller avslag på klagomålet och meddela det till den enskilde och underrätta den personuppgiftsansvarige eller personuppgiftsbiträdet om detta.

10. Efter att den personuppgiftsansvarige eller personuppgiftsbiträdet har meddelats om den ansvariga myndighetens beslut i enlighet med punkterna 7 och 9 ska den personuppgiftsansvarige eller personuppgiftsbiträdet vidta nödvändiga åtgärder för att se till att beslutet efterlevs vad gäller behandling med koppling till alla deras verksamhetsställen i unionen. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska meddela den ansvariga tillsynsmyndigheten vilka åtgärder som har vidtagits för att efterleva beslutet, och den ansvariga tillsynsmyndigheten ska informera de andra berörda tillsynsmyndigheterna.

11. Om en berörd tillsynsmyndighet under exceptionella omständigheter har skäl att anse att det finns ett brådskande behov av att agera för att skydda registrerades intressen ska det skyndsamma förfarande som avses i artikel 66 tillämpas.

12. Den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna ska förse varandra med den information som krävs enligt denna artikel på elektronisk väg med användning av ett standardiserat format.”

13. Artikel 63 i dataskyddsförordningen har rubriken ”Mekanism för enhetlighet”. I den artikeln föreskrivs följande:

”För att bidra till en enhetlig tillämpning av denna förordning i hela unionen ska tillsynsmyndigheterna samarbeta med varandra och, i förekommande fall, med kommissionen, genom den mekanism för enhetlighet som föreskrivs i detta avsnitt.”

14. Artikel 65 i dataskyddsförordningen har rubriken ”Tvistlösning genom styrelsen”. I den artikeln föreskrivs följande:

”1. För att säkerställa en korrekt och enhetlig tillämpning av denna förordning i enskilda fall ska styrelsen anta ett bindande beslut i följande fall:

a) Om en berörd tillsynsmyndighet i ett fall som avses i artikel 60.4 har gjort en relevant och motiverad invändning mot ett utkast till beslut av den ansvariga tillsynsmyndigheten och den ansvariga tillsynsmyndigheten inte har instämt i invändningen eller har avslagit denna invändning med motiveringen att den inte var relevant eller motiverad. Det bindande beslutet ska avse alla ärenden som är föremål för den relevanta och motiverade invändningen, särskilt frågan om huruvida det föreligger en överträdelse av denna förordning.

b) Om det finns motstridiga åsikter om vilken av de berörda tillsynsmyndigheterna som är behörig för det huvudsakliga verksamhetsstället.

c) Om en behörig tillsynsmyndighet inte begär ett yttrande från styrelsen i de fall som avses i artikel 64.1, eller inte följer ett yttrande som styrelsen avger enligt artikel 64. I detta fall får varje berörd tillsynsmyndighet eller kommissionen översända ärendet till styrelsen.

2. Det beslut som avses i punkt 1 ska antas inom en månad efter det att sakfrågan hänskjutits med två tredjedels majoritet av styrelsens ledamöter. Denna period får förlängas med ytterligare en månad med hänsyn till sakfrågans komplexitet. Det beslut som avses i punkt 1 ska vara motiverat och riktat till den ansvariga tillsynsmyndigheten och alla berörda tillsynsmyndigheter och ska vara bindande för dem.

3. Om styrelsen inte har kunnat anta något beslut inom de perioder som avses i punkt 2 ska den anta sitt beslut inom två veckor efter utgången av den andra månad som avses i punkt 2 med enkel majoritet av styrelsens ledamöter. Om styrelsens ledamöter är delade i frågan ska beslutet antas i enlighet med ordförandens röst.

4. De berörda tillsynsmyndigheterna ska inte anta något beslut om den sakfråga som ingivits till styrelsen i enlighet med punkt 1 under de perioder som avses i punkterna 2 och 3.

5. Styrelsens ordförande ska utan onödigt dröjsmål meddela de berörda tillsynsmyndigheterna det beslut som avses i punkt 1. Kommissionen ska informeras om detta. Beslutet ska utan dröjsmål offentliggöras på styrelsens webbplats efter att tillsynsmyndigheten har meddelat det slutliga beslut som avses i punkt 6.

6. Den ansvariga tillsynsmyndigheten eller, allt efter omständigheterna, den tillsynsmyndighet till vilken klagomålet har ingetts ska anta sitt slutliga beslut på grundval av det beslut som avses i punkt 1 i den här artikeln, utan onödigt dröjsmål och senast en månad efter det att styrelsen har meddelat sitt beslut. Den ansvariga tillsynsmyndigheten eller, allt efter omständigheterna, den tillsynsmyndighet till vilken klagomålet har ingetts ska underrätta styrelsen om vilken dag dess slutliga beslut meddelas till den personuppgiftsansvarige respektive personuppgiftsbiträdet och den registrerade. De berörda tillsynsmyndigheternas slutliga beslut ska antas i enlighet med bestämmelserna i artikel 60.7, 60.8 och 60.9. Det slutliga beslutet ska hänvisa till det beslut som avses i punkt 1 i den här artikeln och ska precisera att det beslut som avses i punkt 1 kommer att offentliggöras på styrelsens webbplats i enlighet med punkt 5 i den här artikeln. Det beslut som avses i punkt 1 i den här artikeln ska fogas till det slutliga beslutet.”

15. Artikel 68 i dataskyddsförordningen har rubriken ”[Dataskyddsstyrelsen]”. I artikel 68.1 föreskrivs att styrelsen inrättas som ett unionsorgan och ska ha ställning som juridisk person.

16. Artikel 70 i dataskyddsförordningen har rubriken ”[Dataskyddsstyrelsens] uppgifter”. I artikel 70.1 a föreskrivs att styrelsen ska se till att dataskyddsförordningen tillämpas enhetligt. För detta ändamål ska styrelsen, på eget initiativ eller i förekommande fall på begäran av kommissionen, bland annat övervaka och säkerställa en korrekt tillämpning av dataskyddsförordningen i de fall som anges i artiklarna 64 och 65 i förordningen, utan att det påverkar de nationella tillsynsmyndigheternas uppgifter.

17. Artikel 78 i dataskyddsförordningen har rubriken ”Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut” och där föreskrivs följande:

”1. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet.

2. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol, ska varje registrerad person ha rätt till ett effektivt rättsmedel om den tillsynsmyndighet som är behörig i enlighet med artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur arbetet med det klagomål som ingetts med stöd av artikel 77 fortskrider eller om dess resultat.

3. Talan mot en tillsynsmyndighet ska väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt säte.

4. Om talan väcks mot ett beslut som fattats av en tillsynsmyndighet och som föregicks av ett yttrande från eller beslut av styrelsen inom ramen för mekanismen för enhetlighet ska tillsynsmyndigheten vidarebefordra detta yttrande eller beslut till domstolen.”

18. I artikel 83 i dataskyddsförordningen anges de allmänna villkoren för påförande av administrativa sanktionsavgifter.

Bakgrund till tvisten och det omtvistade beslutet

19. Bakgrunden till tvisten har beskrivits av tribunalen i punkterna 2–12 i det överklagade beslutet och kan med avseende på förevarande mål sammanfattas enligt följande.

20. Efter dataskyddsförordningens ikraftträdande tog den irländska tillsynsmyndigheten emot anmälningar från användare och icke-användare av meddelandeappen WhatsApp angående WhatsApps behandling av personuppgifter. Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Federala dataskydds- och informationsfrihetsmyndigheten, Tyskland) begärde dessutom bistånd från den irländska tillsynsmyndigheten angående frågan om WhatsApps iakttagande av de skyldigheter gällande öppenhet som personuppgiftsansvariga har beträffande delning av sådana uppgifter med andra enheter inom Facebook-koncernen (som sedan september 2021 bytt namn till Meta).

21. I december 2018 inledde den irländska tillsynsmyndigheten på eget initiativ en utredning om WhatsApps iakttagande i allmänhet av öppenhets- och informationsskyldigheterna gentemot enskilda, vilka anges i artiklarna 12–14 i dataskyddskyddsförordningen. Denna utredning skulle inte påverka de åtgärder som myndigheten vidtog i anledning av de individuella klagomål som den hade mottagit. Den irländska tillsynsmyndigheten agerade i detta sammanhang som ansvarig tillsynsmyndighet enligt artikel 56.1 i dataskyddsförordningen. WhatsApp hade nämligen, såsom personuppgiftsansvarig för behandlingen av personuppgifter i meddelandeappen WhatsApp, sitt huvudsakliga verksamhetsställe i Irland och nämnda behandling av personuppgifter var gränsöverskridande.

22. Utredaren lade i september 2019 fram sin slutrapport, vilket innebar att utredningsfasen var avslutad. Den irländska kontrollmyndigheten fortsatte därefter sin handläggning och beredde WhatsApp möjlighet att yttra sig. I december 2020 lade den irländska tillsynsmyndigheten i enlighet med artikel 60.3 i dataskyddsförordningen fram ett utkast till beslut för övriga berörda tillsynsmyndigheter för att låta dem yttra sig.

23. Åtta av dessa tillsynsmyndigheter framställde i januari 2021 invändningar mot vissa delar av utkastet till beslut. Den irländska tillsynsmyndigheten bemötte dessa invändningar i ett gemensamt svar och föreslog kompromisslösningar. Efter detta svar återkallade visserligen en av de åtta tillsynsmyndigheterna sina invändningar, men den irländska tillsynsmyndigheten konstaterade att det inte gick att nå samförstånd angående andra punkter som var föremål för invändningar. Den irländska tillsynsmyndigheten beslutade att avslå samtliga invändningar och att i enlighet med artikel 60.4 och artikel 65.1 a i dataskyddsförordningen hänskjuta frågan till dataskyddsstyrelsen för att den skulle avgöra tvisten rörande de punkter som invändningarna avsåg.

24. I maj 2021 inhämtade den irländska tillsynsmyndigheten skriftligen synpunkter från WhatsApp om de omständigheter som hade diskuterats mellan de berörda tillsynsmyndigheterna, efter att först till WhatsApp ha överlämnat alla handlingar som hade utväxlats i detta sammanhang, och överlämnade själv nämnda synpunkter till styrelsen så att den skulle kunna ta del av dem inom ramen för tvistlösningsförfarandet, vilket inleddes i juni 2021.

25. Den 28 juli 2021 antog dataskyddsstyrelsen det omtvistade beslutet med stöd av artikel 65.2 i dataskyddsförordningen.

26. Den irländska tillsynsmyndigheten tog emot det omtvistade beslutet och inhämtade WhatsApps yttrande angående de ekonomiska påföljder som myndigheten avsåg att ålägga företaget som en följd av detta beslut. Den 20 augusti 2021 antog den irländska myndigheten i enlighet med artikel 65.6 i dataskyddsförordningen ett slutligt beslut som var riktat till WhatsApp (nedan kallat det slutliga beslutet).

27. Den irländska tillsynsmyndigheten slog i det slutliga beslutet fast att WhatsApp hade åsidosatt principen om öppenhet och de öppenhetsskyldigheter som anges i artikel 5.1 a, artikel 12.1, artikel 13.1 c–f, artikel 13.2 a, c och artikel 14 i dataskyddsförordningen. Myndigheten fann däremot att WhatsApp hade uppfyllt sina skyldigheter enligt artikel 13.1 a och b samt artikel 13.2 b och d i dataskyddsförordningen. Myndigheten ålade WhatsApp ett antal korrigerande åtgärder med stöd av artikel 58.2 b, d och i) i dataskyddsförordningen. WhatsApp gavs en reprimand och förelades att vidta ett antal åtgärder som angavs i en bilaga till beslutet. Dessa åtgärder syftade till att få WhatsApp att inom tre månader följa de bestämmelser i dataskyddsförordningen som bolaget hade åsidosatt. WhatsApp påfördes även fyra administrativa sanktionsavgifter för överträdelser av artiklarna 5.1 a samt 12–14 i dataskyddsförordningen. Sanktionsavgifterna uppgick till sammanlagt 225 miljoner euro.

28. Den irländska tillsynsmyndigheten angav i det slutliga beslutet på vilka punkter som det omtvistade beslutet ålade myndigheten att se över den bedömning som den hade gjort i sitt utkast till beslut. Myndigheten valde att, i gråa textboxar, oavkortat återge de skäl som dataskyddsstyrelsen hade angett i det omtvistade beslutet. Myndigheten angav vilka slutsatser den hade dragit av dessa skäl i en sammanfattande avslutningspunkt.

29. I enlighet med artikel 65.6 i dataskyddsförordningen var det omtvistade beslutet bifogat det slutliga beslutet.

30. I det omtvistade beslutet tog dataskyddsstyrelsen ställning till de frågor som var föremål för relevanta och motiverade invändningar, i den mening som avses i artikel 65.1 a i dataskyddsförordningen. Det rörde sig om följande frågor: Huruvida WhatsApp hade åsidosatt de informationsskyldigheter som anges i artikel 13.1 d i dataskyddsförordningen avseende viss information som ska tillhandahållas de registrerade när personuppgifter har samlats in från dem. Ett sådant åsidosättande hade inte angetts av den irländska tillsynsmyndigheten i dess utkast till beslut. Dataskyddsstyrelsen ansåg däremot att WhatsApp hade åsidosatt denna bestämmelse. Kvalificeringen av personuppuppgifter i material som härrör från destruktiv komprimering (så kallad lossy hashing) och som tillämpas på data avseende kontaktuppgifterna till de icke-användare av WhatsApp som finns i WhatsApp-användares terminaladressböcker. Den irländska tillsynsmyndigheten hade inte kvalificerat detta material som personuppgifter i sitt utkast till beslut. Dataskyddsstyrelsen ansåg emellertid att dessa data alltjämt utgjorde personuppgifter. Enligt dataskyddsstyrelsen hade denna aspekt en möjlig inverkan på frågan huruvida WhatsApp hade åsidosatt artikel 5.1 c och artikel 6.1 i dataskyddsförordningen samt på frågan i vilken utsträckning som WhatsApp hade åsidosatt artikel 14 i dataskyddsförordningen. Denna aspekt hade även en möjlig inverkan på storleken på den sanktionsavgift som kunde påföras för dessa överträdelser. Huruvida WhatsApp hade åsidosatt den öppenhetsprincip som anges i artikel 5.1 a i dataskyddsförordningen. Den irländska tillsynsmyndigheten hade i sitt utkast till beslut inte angett någon överträdelse av den bestämmelsen. Dataskyddsstyrelsen ansåg däremot att WhatsApp hade åsidosatt denna bestämmelse. Huruvida det skulle konstateras att WhatsApp hade åsidosatt artikel 13.2 e i dataskyddsförordningen avseende viss information som ska lämnas till de registrerade när personuppgifter har samlats in från dem. Den irländska tillsynsmyndigheten hade inte ansett att den kunde konstatera att någon sådan överträdelse förelåg, eftersom utredaren inte hade tagit ställning till denna fråga under utredningen. Tillsynsmyndigheten ansåg därför endast att den kunde utfärda en rekommendation. Dataskyddsstyrelsen ansåg däremot att utredningen täckte samtliga bestämmelser i artikel 13 i dataskyddsförordningen och att en överträdelse av nämnda artikel borde ha konstaterats. Huruvida WhatsApp hade åsidosatt artikel 6.1 i dataskyddsförordningen avseende villkoren för laglig behandling av personuppgifter, vilket den irländska tillsynsmyndigheten inte hade uttalat sig om. Dataskyddsstyrelsen ansåg att det av handläggningsskäl inte var möjligt att uttala sig om och konstatera att en sådan överträdelse förelåg. Huruvida det fanns anledning att – mot bakgrund av bedömningen i andra strecksatsen i denna punkt – utvidga skälen till att WhatsApp hade åsidosatt de informationsskyldigheter som anges i artikel 14 i dataskyddsförordningen avseende den information som ska lämnas när personuppgifterna inte har erhållits från den registrerade. Dataskyddsstyrelsen bekräftade den inverkan som denna utvidgning måste ha på de korrigerande åtgärder och den påföljd som åläggs WhatsApp. Huruvida WhatsApp hade åsidosatt den princip som anges i artikel 5.1 c i dataskyddsförordningen om att endast samla in uppgifter som är adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Den irländska tillsynsmyndigheten hade inte uttalat sig om ett åsidosättande av den bestämmelsen. Dataskyddsstyrelsen ansåg att det, med stöd av handlingarna i ärendet och med hänsyn till utredningens omfattning, inte hade bevisats något sådant åsidosättande. Den tidsfrist på sex månader som den irländska tillsynsmyndigheten hade fastställt för WhatsApp att, i enlighet med de korrigerande åtgärderna, uppfylla de krav i dataskyddsförordningen som bolaget hade åsidosatt. Dataskyddsstyrelsen hade kortat denna frist till tre månader. Beträffande de korrigerande åtgärderna: Det sätt på vilket icke-användare av WhatsApp ska informeras om att WhatsApp behandlar deras personuppgifter. Dataskyddsstyrelsen bekräftade den bedömning som den irländska tillsynsmyndigheten hade gjort i sitt utkast till beslut. Beträffande de korrigerande åtgärderna: Angivande av ytterligare skäl till varför WhatsApp hade åsidosatt sina skyldigheter enligt artikel 14 i dataskyddsförordningen. Dataskyddsstyrelsen ansåg att detta var nödvändigt för att se till att WhatsApp vidtog lämpliga korrigerande åtgärder i detta avseende. Beträffande artikel 83 i dataskyddsförordningen rörande ”Allmänna villkor för påförande av administrativa sanktionsavgifter”: Kriterierna för att fastställa storleken på de sanktionsavgifter som ska påföras WhatsApp. Dataskyddsstyrelsen ansåg att den irländska tillsynsmyndigheten hade gjort en felaktig tolkning av det kriterium som är kopplat till det berörda företagets globala årsomsättning, att myndigheten hade gjort en riktig tolkning av begreppet ”föregående budgetår”; att myndigheten hade gjort en felaktig tolkning av regeln enligt vilken sanktionsavgiftens belopp inte får överstiga det belopp som fastställts för den allvarligaste överträdelsen, om flera bestämmelser i dataskyddsförordningen åsidosatts i samband med en och samma eller sammankopplade uppgiftsbehandlingar; och att myndigheten hade gjort en riktig tolkning av vissa kriterier för bestämmandet av sanktionsavgifterna i artikel 83.1 och 83.2 i dataskyddsförordningen, närmare bestämt beaktandet av om överträdelsen skett med uppsåt eller av oaktsamhet och beaktandet av överträdelsens svårighetsgrad, men att myndigheten hade gjort en felaktig tolkning av andra kriterier såsom beaktandet av omsättningen för att beräkna sanktionsavgiftens belopp oberoende av taket för avgiften och, generellt, behovet att sanktionsavgiften ska vara effektiv, proportionell och avskräckande. Beträffande storleken på sanktionsavgifterna ansåg dataskyddsstyrelsen att det belopp på sanktionsavgifterna som den irländska tillsynsmyndigheten hade föreslagit (mellan 30 och 50 miljoner euro) borde ökas, med hänsyn till att myndigheten hade gjort en felaktig tolkning av vissa kriterier för att bestämma avgiftens storlek samt till de ytterligare överträdelser som det kunde konstateras att WhatsApp hade begått.

31. WhatsApp överklagade det slutliga beslutet till en irländsk domstol.

Förfarandet vid tribunalen och det överklagade beslutet

32. Genom ansökan som inkom till tribunalens kansli den 1 november 2021 väckte WhatsApp talan med stöd av artikel 263 FEUF om ogiltigförklaring av det omtvistade beslutet.

33. Tribunalen avvisade talan i det överklagade beslutet med stöd av artikel 129 i tribunalens rättegångsregler.

34. I punkterna 36, 37 och 40 i det överklagade beslutet påpekade tribunalen att det omtvistade beslutet utgjorde en akt som har antagits av ett unionsorgan, som var avsedd att ha rättsverkningar i förhållande till tredje man, och att WhatsApp var personligen berört av det omtvistade beslutet. Däremot fann tribunalen, i punkt 42 i det överklagade beslutet, att nämnda beslut var en förberedande eller mellankommande rättsakt i ett förfarande som skulle avslutas med att den nationella tillsynsmyndigheten antog ett slutligt beslut. Tribunalen fann emellertid, i punkterna 43 och 44 i det överklagade beslutet, att en sådan rättsakt endast utgjorde en ”rättsakt mot vilken talan kan väckas” om den hade självständiga rättsverkningar mot vilka ett tillräckligt domstolsskydd inte kunde säkerställas inom ramen för en talan mot det beslut genom vilket det aktuella förfarandet avslutas.

35. Tribunalen fann i detta avseende, i punkt 45 i det överklagade beslutet, att ett effektivt domstolsskydd vad gäller det omtvistade beslutet i förevarande fall säkerställdes genom det rättsmedel mot det slutliga beslutet som WhatsApp har tillgång till i form av väckande av talan vid nationell domstol, eftersom den nationella domstolen enligt artikel 267 FEUF är behörig att hänskjuta en begäran om förhandsavgörande till EU-domstolen för bedömning av det omtvistade beslutets giltighet. I punkt 46 i det överklagade beslutet preciserade tribunalen att det omtvistade beslutet inte hade någon självständig rättsverkan gentemot WhatsApp jämfört med den irländska tillsynsmyndighetens slutliga beslut.

36. Tribunalen fann dessutom, i punkt 49 i det överklagade beslutet, att den omständigheten att en sådan mellankommande rättsakt ger uttryck för en myndighets slutliga ståndpunkt, vilken måste återges i det slutliga beslut genom vilket förfarandet i fråga avslutas, inte nödvändigtvis betyder att rättsakten i sig klart förändrar sökandens rättsliga ställning.

37. Tribunalen konstaterade dessutom i punkt 50 i det överklagade beslutet att WhatsApp inte var direkt berört av det omtvistade beslutet. I punkt 52 i det överklagade beslutet påpekade tribunalen att det omtvistade beslutet inte kunde göras gällande mot kommissionen på ett sådant sätt att det, utan ytterligare skeden i förfarandet, skulle kunna medföra skyldigheter för WhatsApp eller, i förekommande fall, rättigheter för andra personer. Det omtvistade beslutet hade således inte någon direkt rättsverkan på WhatsApps ställning. Tribunalen konstaterade i punkt 53 i det överklagade beslutet att även om det omtvistade beslutet var bindande för den irländska tillsynsmyndigheten vad gäller de aspekter som det avsåg, gav det den irländska tillsynsmyndigheten ett utrymme för skönsmässig bedömning vad gäller innehållet i det slutliga beslutet.

38. I punkterna 61 och 62 i det överklagade beslutet fann tribunalen således att inget av villkoren för att WhatsApp skulle anses vara direkt berört av den åtgärd som var föremål för dess talan var uppfyllt och att talan följaktligen inte kunde tas upp till sakprövning.

39. Slutligen fann tribunalen i punkterna 66–70 i det överklagade beslutet att dess bedömning var en logisk följd av det system med rättsmedel som har inrättats genom fördragen. Tribunalen fann bland annat att det skulle innebära en risk för parallella rättsliga förfaranden vid unionsdomstolen och den nationella domstolen om WhatsApps talan mot det omtvistade beslutet skulle tas upp till sakprövning. Den nationella domstolen är dessutom behörig att hänskjuta en begäran om förhandsavgörande till EU-domstolen för att bedöma giltigheten av detta beslut.

Parternas yrkanden

40. WhatsApp har i sitt överklagande yrkat att domstolen ska upphäva det överklagade beslutet, förklara att talan i första instans kan tas upp till sakprövning, återförvisa målet till tribunalen för avgörande, och förplikta dataskyddsstyrelsen att ersätta rättegångskostnaderna i målet om överklagande.

41. Dataskyddsstyrelsen har, med stöd av Förbundsrepubliken Tyskland, yrkat att domstolen ska ogilla överklagandet, förplikta WhatsApp att ersätta rättegångskostnaderna, och i andra hand, återförvisa målet till tribunalen för nytt avgörande.

Prövning av överklagandet

Påståendet att talan i första instans väckts för sent

Parternas argument

42. Dataskyddsstyrelsen har gjort gällande att talan i första instans väcktes för sent. Dataskyddsstyrelsen har hävdat att WhatsApp fick kännedom om relevanta avsnitt i det omtvistade beslutet den 13 augusti 2021, vilket var före offentliggörandet av detta beslut på styrelsens webbplats. Tidsfristen för väckande av talan började således löpa den 13 augusti 2021 och löpte ut den 25 oktober samma år – oberoende av vilket datum som det omtvistade beslutet offentliggjordes på styrelsens webbplats. Ett offentliggörande på styrelsens webbplats kan för övrigt inte jämställas med ett offentliggörande i Europeiska unionens officiella tidning. Eftersom WhatsApp väckte sin talan om ogiltigförklaring den 1 november 2021, har den väckts för sent.

43. WhatsApp har genmält att dataskyddsstyrelsens påstående att talan väckts för sent är felaktigt. När en rättsakt inte är riktad till sökanden är det nämligen dagen för offentliggörandet som avgör när fristen för att väcka talan börjar löpa. Det datum då sökanden fick kännedom om handlingen utgör endast ett subsidiärt kriterium. Det sätt som rättsakten offentliggörs på saknar betydelse. I förevarande fall offentliggjordes det omtvistade beslutet under alla omständigheter på dataskyddsstyrelsens webbplats den 2 september 2021 och talan väcktes den 1 november 2021, vilket är inom den frist som föreskrivs i artikel 263 sjätte stycket FEUF.

Domstolens bedömning

44. Enligt artikel 263 sjätte stycket FEUF ska talan som avses i denna artikel väckas inom två månader från den dag då åtgärden offentliggjordes eller delgavs sökanden eller, om så inte skett, från den dag då denne fick kännedom om åtgärden allt efter omständigheterna.

45. Det framgår tydligt av lydelsen i denna bestämmelse, särskilt uttrycken ”allt efter omständigheterna” och ”om så inte skett”, att den tidpunkt då talefristen börjar löpa bestäms utifrån den aktuella situationen och att de tre kriterier som kan utlösa denna frist är rangordnade. Fristen för att väcka talan om ogiltigförklaring börjar således i första hand löpa från offentliggörandet av rättsakten eller från den dag då den delgavs sökanden. Det framgår av bestämmelsens systematik att dessa båda huvudkriterier är likställda, i den betydelsen att inget av dem är subsidiärt i förhållande till det andra. Det kriterium som avser tidpunkten då sökanden fick kännedom om den angripna rättsakten är däremot subsidiärt i förhållande till offentliggörandet eller delgivningen av rättsakten (se, för ett liknande resonemang, dom av den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen, C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkterna 61–63 och där angiven rättspraxis).

46. I förevarande fall är det utrett att WhatsApp inte har delgetts det omtvistade beslutet, eftersom dataskyddsstyrelsen enligt artikel 65.5 första meningen i dataskyddsförordningen endast var skyldig att meddela berörda tillsynsmyndigheter ett sådant beslut. Det ska således prövas huruvida detta beslut har ”offentliggjorts” i den mening som avses i artikel 263 sjätte stycket FEUF.

47. Domstolen påpekar att begreppet offentliggörande avser inte enbart offentliggörande i Europeiska unionens officiella tidning, utan ska ges en vid tolkning. I detta begrepp ingår bland annat offentliggörande på en EU-institutions, ett EU-organs eller en EU-byrås webbplats när ett sådant offentliggörande är föreskrivet i sekundärrätten (se, för ett liknande resonemang, dom av den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen, C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkt 70 och där angiven rättspraxis).

48. Eftersom offentliggörandet av det omtvistade beslutet var föreskrivet i artikel 65.5 tredje meningen i dataskyddsförordningen är det datum då beslutet offentliggjordes på styrelsens webbplats som ska beaktas, det vill säga den 2 september 2021. Denna tolkning stöds av skäl 143 tredje meningen i dataskyddsförordningen, av vilket det framgår att fristen för att väcka talan ska beräknas från och med offentliggörandet av det aktuella beslutet på dataskyddsstyrelsens webbplats.

49. Talan väcktes den 1 november 2021 och den frist som föreskrivs i artikel 263 sjätte stycket FEUF har således iakttagits. Domstolen ska därför pröva de grunder som har åberopats till stöd för överklagandet för att avgöra huruvida de kan kullkasta den bedömning som tribunalen gjorde i det överklagade beslutet.

Den första grunden: Felaktig rättstillämpning vid tolkningen och tillämpningen av begreppet rättsakt mot vilken talan kan väckas och villkoret att sökanden ska vara direkt berörd av den åtgärd som är föremål för talan

Den första grundens första del

– Parternas argument

50. WhatsApp har gjort gällande att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den fann att det omtvistade beslutet inte var en rättsakt mot vilken talan kan väckas.

51. WhatsApp har särskilt bestritt relevansen av det kriterium som tribunalen tillämpade i punkt 41 i det överklagade beslutet för att avgöra huruvida talan kan väckas mot en rättsakt. Tribunalen fann således felaktigt att det var nödvändigt att visa att det omtvistade beslutet har rättsverkningar som klart förändrar WhatsApps rättsliga ställning och att det berör WhatsApp direkt. Enligt WhatsApp skulle det emellertid ha räckt att dra slutsatsen att beslut var avsett att ha rättsverkningar i förhållande till en eller flera tredje parter för att konstatera att det utgjorde en rättsakt mot vilken talan kan väckas, på grund av att beslutet var slutligt. Under alla omständigheter utgör beslutet inte endast en mellankommande åtgärd, utan ger uttryck för dataskyddsstyrelsens slutliga ställningstagande.

52. Enligt WhatsApp var tribunalens tillämpning av rättspraxis avseende mellankommande rättsakters rättsverkningar felaktig. Tribunalen tillämpade nämligen ett processuellt kriterium som innebar att en sådan rättsakt endast kan angripas om en talan mot den slutliga rättsakten inte möjliggör ett tillräckligt domstolsskydd, och genom att slå fast att det omtvistade beslutet saknade rättsverkningar.

53. WhatsApp har i detta sammanhang hänvisat till domen av den 11 november 1981, IBM/kommissionen ( 60/81, EU:C:1981:264, punkterna 10 och 11). Enligt WhatsApp framgår det särskilt av den domen att talan kan väckas mot en mellankommande rättsakt när den är slutgiltig och inte är beroende av det slutliga beslut som senare antas. Denna rättsakt materiella innehåll ska således prövas och det ska göras en bedömning av rättsaktens rättsverkningar mot bakgrund av objektiva kriterier, såsom rättsaktens innehåll, med beaktande i förekommande fall av det sammanhang i vilket rättsakten antagits samt de befogenheter som upphovsmannainstitutionen har. WhatsApp har i detta avseende bland annat hänvisat till dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkt 63).

54. En sådan rättsakt kan i synnerhet inte utgöra en rättsakt mot vilken talan om ogiltigförklaring kan väckas, när, för det första, rättsaktens materiella innehåll är preliminärt, vilket innebär att upphovsmannen kan ändra ståndpunkt i samband med det senare slutliga beslutet och, för det andra, det slutliga beslutet antas av samma unionsinstitution eller unionsorgan. Enligt WhatsApp finns det således inte anledning att tillämpa begreppet mellankommande åtgärd på ett beslut som antagits av en unionsinstitution eller ett unionsorgan och som är riktat till en nationell myndighet som har till uppgift att genomföra detta beslut i förhållande till tredje man.

55. WhatsApp anser att tribunalen i förevarande fall begränsade sig till att pröva huruvida WhatsApp, genom att väcka talan vid nationell domstol, i processuellt hänseende tillförsäkrades ett effektivt domstolsskydd. Tribunalen fann således felaktigt, i punkterna 48 och 49 i det överklagade beslutet, att WhatsApps argument att det omtvistade beslutet gav uttryck för upphovsmannens slutgiltiga ståndpunkt saknade relevans. Genom att förfara på detta sätt gjorde tribunalen således en felaktig bedömning när den fann att det omtvistade beslutet inte hade några rättsverkningar och att det inte var oberoende av det slutliga beslutet, utan att ha bedömt det omtvistade beslutets innehåll och sammanhang eller räckvidden av dess självständiga rättsverkningar.

56. Beträffande innehållet i det omtvistade beslutet har WhatsApp anfört att det inte har bestritts att detta, i egenskap av bindande beslut som antagits med stöd av artikel 65 i dataskyddsförordningen, var avsett att ha rättsverkningar i förhållande till tredje man och att det utgjorde styrelsens slutliga ställningstagande i de frågor som underställts den. Detta ställningstagande kunde väsentligt förändra WhatsApps rättsliga ställning, bland annat på grund av konstaterandet att de uppgifter som var föremål för destruktiv komprimering utgjorde personuppgifter. Detta konstaterande är nämligen bindande för den irländska tillsynsmyndigheten.

57. Beträffande det sammanhang i vilket det omtvistade beslutet ingår, följer det av lydelsen i artikel 65 i dataskyddsförordningen att detta beslut är ett bindande beslut. I skäl 143 i dataskyddsförordningen anges att dataskyddsstyrelsens beslut bland annat kan beröra en personuppgiftsansvarig direkt och personligen, vilket underförstått innebär att sådana beslut är ägnade att ha externa rättsverkningar, vilka går utöver de nationella tillsynsmyndigheter som är sådana besluts adressater. Enligt WhatsApp bekräftas detta såväl av skälet till att dataskyddsstyrelsens beslut har bindande verkan, vilket är att säkerställa en korrekt och enhetlig tillämpning av dataskyddsförordningen, som av systematiken i det förfarande som avses i artikel 65.1 i dataskyddsförordningen.

58. Beträffande det omtvistade beslutets självständiga rättsverkningar, det vill säga de rättsverkningar som går utöver dem som beslutet riktar sig till, har WhatsApp påpekat att detta beslut har sådana verkningar för bolaget. Det omtvistade beslutet påverkar bland annat det sätt på vilket WhatsApp avser att följa dataskyddsförordningen vad gäller de uppgifter som är föremål för destruktiv komprimering, eftersom dessa uppgifter av dataskyddsstyrelsen kvalificeras som personuppgifter. Det omtvistade beslutet har även rättsverkningar för nationella domstolar, vilka inte är bemyndigade att ändra eller ogiltigförklara det.

59. Dataskyddsstyrelsen har bestritt denna argumentation. Dataskyddsstyrelsen har gjort gällande att en talan om ogiltigförklaring i princip endast kan väckas mot en åtgärd genom vilken en av unionens institutioner, organ eller byråer, efter ett administrativt förfarande, intar en slutgiltig ståndpunkt. Mellankommande rättsakter, vilkas syfte är att förbereda ett slutligt beslut, kan inte kvalificeras som rättsakter mot vilka talan kan väckas. Mellankommande rättsakter syftar nämligen inte till att få bindande rättsverkningar som är fristående från den unionsrättsakt som förbereds, bekräftas eller genomförs. Vidare anser styrelsen att talan inte kan väckas mot en mellankommande rättsakt om den rättsstridighet som en sådan rättsakt är behäftad med kan åberopas till stöd för en talan mot det slutliga beslut i vars beredning den ingår.

60. Enligt dataskyddsstyrelsen utgör det omtvistade beslutet i förevarande fall en mellankommande rättsakt som ingår i ett odelbart beslutsförfarande som leds av den irländska tillsynsmyndigheten och som utmynnar i ett slutligt beslut som antas av denna myndighet. I detta sammanhang kan dataskyddsstyrelsens bedömning inte göras gällande direkt mot WhatsApp, även om den är bindande, och den har inte någon rättsverkan som är fristående från det slutliga beslutet. Den omständigheten att det omtvistade beslutet innehåller dataskyddsstyrelsens slutgiltiga ställningstagande beträffande vissa aspekter som kom att ingå i det slutliga beslutet innebär således inte att det omtvistade beslutet i sig ger upphov till en separat förändring av WhatsApps rättsliga situation. Det omtvistade beslutet och det slutliga beslutet fattades nämligen inom ramen för ett enhetligt administrativt förfarande, som bestod av flera steg på nationell och europeisk nivå vilka var ömsesidigt beroende av varandra, som hade ett och samma föremål. Dessa beslut fattades inte efter två separata förfaranden som avsåg skilda frågor.

61. Dataskyddsstyrelsen har i detta avseende preciserat att tvistlösningsförfarandet syftar till att upprätthålla enhetligheten i samband med nationella myndigheters genomförande av dataskyddsförordningen. I förevarande fall ger det omtvistade beslutet inte upphov till några nya rättsliga skyldigheter för WhatsApp. WhatsApps skyldigheter är definierade i dataskyddsförordningen och inte i det omtvistade beslutet. Det är den irländska tillsynsmyndigheten som tillämpar dessa skyldigheter och inte dataskyddsstyrelsen. För övrigt var dessa skyldigheter tillämpliga på WhatsApp innan de aktuella överträdelserna konstaterades.

62. Beträffande det omstridda beslutets påstådda externa rättsverkningar har dataskyddsstyrelsen gjort gällande att dess tolkningar endast är bindande mellan parterna, det vill säga de berörda tillsynsmyndigheterna. Utöver det faktum att det omtvistade beslutet inte hade någon direkt rättsverkan gentemot WhatsApp, avsåg det beslutet avgränsade frågor rörande tillämpningen av dataskyddsförordningen som var ägnade att ingå i och utvecklas vidare i det slutliga beslutet. Även om dataskyddsstyrelsens tolkningar av dataskyddsförordningen således har visst prejudikatvärde i efterföljande ärenden som rör liknande rättsfrågor, är de inte bindande för nationella domstolar. Dessa domstolar är skyldiga att begära förhandsavgörande från EU-domstolen om de hyser några tvivel.

63. Förbundsrepubliken Tyskland har intervenerat till stöd för dataskyddsstyrelsens yrkanden. Tyskland har gjort gällande att den mekanism för enhetlighet som föreskrivs i dataskyddsförordningen, inbegripet tvistlösningsförfarandet, är rent intern och har som enda syfte att jämka mellan tillsynsmyndigheterna i de fall då de har olika uppfattningar. Det framgår särskilt av tredje meningen i artikel 65.2 i dataskyddsförordningen att en åtgärd som vidtas av styrelsen i detta sammanhang har en rättsligt bindande verkan endast i förhållande till de nationella tillsynsmyndigheterna. Endast det slutliga beslutet är bindande för berörd personuppgiftsansvarig eller berört personuppgiftsbiträde.

– Domstolens bedömning

64. Den första grundens första del avser frågan huruvida tribunalen gjorde sig skyldig till felaktig rättstillämpning när den i punkterna 41–49 i det överklagade beslutet slog fast att det omtvistade beslutet inte utgjorde en rättsakt mot vilken talan kan väckas enligt artikel 263 första stycket FEUF.

65. Enligt denna bestämmelse ska domstolen bland annat granska ”lagenligheten av sådana akter antagna av unionens organ eller byråer som är avsedda att ha rättsverkan i förhållande till tredje man”.

66. Enligt fast rättspraxis kan en talan om ogiltigförklaring enligt artikel 263 FEUF väckas mot alla åtgärder – oavsett form – som antas av institutionerna och som är avsedda att ha bindande rättsverkningar (dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 62 och där angiven rättspraxis).

67. För att avgöra huruvida en rättsakt har sådana verkningar och således kan bli föremål för en talan om ogiltigförklaring enligt artikel 263 FEUF, är det nödvändigt att se till rättsaktens materiella innehåll och att bedöma nämnda verkningar mot bakgrund av objektiva kriterier, såsom rättsaktens innehåll, i förekommande fall med beaktande av det sammanhang i vilket den antogs och den antagande institutionens, organets eller byråns befogenheter (dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 63 och där angiven rättspraxis).

68. Såsom generaladvokaten har påpekat i punkterna 79 och 121 i sitt förslag till avgörande måste, mot bakgrund av artikel 263 första stycket FEUF, den tredje man i förhållande till vilken den aktuella rättsakten har rättsverkningar inte nödvändigtvis vara sökanden. Varje fysisk eller juridisk person som är skild från rättsaktens upphovsman har nämligen ställning som tredje man. För att fastställa huruvida den aktuella rättsakten har sådana verkningar är det således inte nödvändigt att pröva huruvida dessa verkningar kan förändra sökandens rättsliga ställning. Denna kontroll är nämligen endast relevant inom ramen för prövningen av huruvida villkoren i artikel 263 fjärde stycket FEUF är uppfyllda. Om denna bestämmelse är tillämplig får enligt dessa villkor den som är direkt och personligen berörd av en rättsakt väcka talan om ogiltigförklaring (se, för ett liknande resonemang, dom av den 13 februari 2025, Swissgrid/kommissionen, C‑121/23 P, EU:C:2025:83, punkt 46). Frågan huruvida en rättsakt är en rättsakt mot vilken talan kan väckas ska således bedömas objektivt i förhållande till dess materiella innehåll och inte i förhållande till sökanden.

69. När det är fråga om rättsakter, vars antagande föregås av en handläggning i flera steg, är det emellertid i princip endast den åtgärd i vilken den behöriga unionsinstitutionens, det behöriga unionsorganets eller den behöriga unionsbyråns ställningstagande slås fast slutgiltigt som utgör en rättsakt mot vilken talan kan väckas. Detta utesluter förberedande åtgärder vilkas syfte är att bereda den slutgiltiga åtgärden och vilka inte har några självständiga rättsverkningar i förhållande till tredje man. En institutions, ett organs eller en byrås preliminära bedömning utgör i synnerhet ett exempel på sådana förberedande åtgärder (se, för ett liknande resonemang, dom av den 11 november 1981, IBM/kommissionen, 60/81, EU:C:1981:264, punkt 10, dom av den 22 september 2022, IMG/kommissionen, C‑619/20 P och C‑620/20 P, EU:C:2022:722, punkt 103, och dom av den 18 juni 2024, kommissionen/Gemensamma resolutionsnämnden, C‑551/22 P, EU:C:2024:520, punkt 92).

70. Det framgår av rättspraxis att det inte går att väcka talan mot en förberedande åtgärd om det är visat att den rättsstridighet som häftar vid denna åtgärd skulle kunna åberopas till stöd för en talan riktad mot det slutliga beslut där den förberedande åtgärden endast ingår som ett led i beredningen. Under dessa omständigheter tillförsäkrar en talan som väcks mot det beslut genom vilket ärendet avslutas ett tillräckligt domstolsskydd (se, för ett liknande resonemang, dom av den 11 november 1981, IBM/kommissionen, 60/81, EU:C:1981:264, punkt 12, och dom av den 15 mars 2017, Stichting Woonlinie m.fl./kommissionen, C‑414/15 P, EU:C:2017:215, punkt 46 och där angiven rättspraxis).

71. Beträffande den aktuella rättsaktens innehåll och det aktuella organets befogenheter framgår det i förevarande fall av lydelsen i artiklarna 65.1 a, 65.2 och 68.1 i dataskyddsförordningen att det omtvistade beslutet är en rättsakt från ett unionsorgan som är bindande i förhållande till tredje man. Denna rättsakt binder nämligen den ansvariga tillsynsmyndigheten och samtliga berörda tillsynsmyndigheter, till vilka rättsakten är riktad och vilka är utomstående i förhållande till dataskyddsstyrelsen. I enlighet med artikel 65.6 i dataskyddsförordningen ska den ansvariga tillsynsmyndigheten anta sitt slutliga beslut på grundval av dataskyddsstyrelsens beslut. I detta slutliga beslut ska det också hänvisas till dataskyddsstyrelsens beslut, som ska fogas till det slutliga beslutet.

72. Beträffande det sammanhang i vilket det omtvistade beslutet antogs, är det dessutom utrett att detta beslut har antagits enligt en process som innefattar flera handläggningssteg, i den mening som avses i den rättspraxis som nämns i punkt 69 ovan, och att det således föregick den irländska tillsynsmyndighetens antagande av den andra rättsakten. I detta beslut slås emellertid det behöriga unionsorganets, det vill säga dataskyddsstyrelsens, ställningstagande slutgiltigt fast, i den mening som avses i denna rättspraxis, och därmed är samtliga frågor som detta organ har att avgöra uttömda. Ett sådant beslut, som fattats med stöd av artikel 65.1 a i dataskyddsförordningen, avser nämligen alla frågor som är föremål för en relevant och motiverad invändning från de berörda tillsynsmyndigheterna, i den mening som avses i artikel 60.4 i dataskyddsförordningen, bland annat frågan huruvida det har skett en överträdelse av dataskyddsförordningen.

73. Av det anförda följer att – i motsats till vad tribunalen har funnit i punkt 42 i det omtvistade beslutet – det omtvistade beslutet, även om det inte utgör det sista steget i den i artiklarna 58, 60 och 65 föreskrivna mekanismen för enhetlighet, kan inte kvalificeras som en mellankommande rättsakt mot vilken det inte går att väcka talan, i den mening som avses i den rättspraxis som det hänvisas till i punkt 69 ovan. Den rättspraxis som det erinrats om i punkt 70 saknar följaktligen betydelse i förevarande fall.

74. Eftersom dataskyddsstyrelsens beslut har bindande rättsverkningar i förhållande till tredje man, saknar det i detta sammanhang betydelse att frågor som inte ingick i hänskjutandet till styrelsen eller som inte omfattas av styrelsens befogenhet ingår i räckvidden av den nationella tillsynsmyndighetens slutliga beslut.

75. Av samma skäl saknar den omständighet som tribunalen har lyft fram i punkt 42 i det överklagade beslutet, nämligen att det omtvistade beslutet – i motsats till den irländska tillsynsmyndighetens slutliga beslut – inte går att göra gällande mot andra enheter än dem som det är riktat till, betydelse för kvalificeringen av detta beslut såsom en rättsakt mot vilken talan kan väckas enligt artikel 263 första stycket FEUF. En sådan omständighet, som rör klagandens rättsliga ställning i förhållande till det omtvistade beslutet, avser – mot bakgrund av objektiva kriterier – varken det omtvistade beslutets materiella innehåll eller dess bindande rättsverkningar.

76. Av det anförda följer att det omtvistade beslutet utgör en rättsakt från ett unionsorgan som är avsedd att ha rättsverkningar i förhållande till tredje man och som ger uttryck för organets slutliga ställningstagande i de frågor som ska avgöras av organet, såsom tribunalen för övrigt själv konstaterade i punkterna 36, 37 och 49 i det överklagade beslutet. Mot bakgrund av lydelsen i artikel 263 första stycket FEUF och den rättspraxis som det hänvisas till i punkterna 66–69 ovan, utgör detta beslut således en rättsakt mot vilken talan kan väckas, utan att det i detta skede är nödvändigt att bedöma huruvida nämnda beslut har medfört en klar förändring av WhatsApps rättsliga ställning.

77. Domstolen konstaterar att tribunalen i detta hänseende gjorde sig skyldig till felaktig rättstillämpning i två punkter i det överklagade beslutet. För det första i punkt 38 genom att blanda ihop de krav som följer av första respektive fjärde stycket i artikel 263 FEUF. För det andra i punkt 42 genom att formulera ett felaktigt kriterium, grundat på att den aktuella rättsakten inte kan göras gällande direkt mot WhatsApp, och genom att kvalificera det omtvistade beslutet som en mellankommande åtgärd utan självständiga rättsverkningar.

78. Överklagandet ska således bifallas såvitt avser den första grundens första del.

Den första grundens andra del

– Parternas argument

79. WhatsApp har gjort gällande att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den fann att WhatsApp inte var direkt berört av det omtvistade beslutet och att bolagets talan följaktligen skulle avvisas.

80. Beträffande villkoret att rättsakten ska ha direkta verkningar på klagandens rättsliga ställning, fann tribunalen felaktigt i punkt 52 i det överklagade beslutet att WhatsApp inte var direkt berört av det omtvistade beslutet, eftersom detta beslut inte kunde göras gällande mot bolaget och inte utgjorde det sista skedet i det förfarande som föreskrivs i artiklarna 58, 60 och 65 i dataskyddsförordningen.

81. Beträffande villkoret att en rättsakt inte ska lämna något utrymme för skönsmässig bedömning till dem till vilka den riktar sig och som ska genomföra den, anser WhatsApp att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den i punkterna 53–60 i det överklagade beslutet slog fast att det omtvistade beslutet hade gett den irländska tillsynsmyndigheten ett utrymme för skönsmässig bedömning vad gäller innehållet i dess slutliga beslut, samtidigt som tribunalen fann att det omtvistade beslutet var bindande för tillsynsmyndigheten vad gäller de aspekter som det avsåg.

82. I punkterna 54–56 i det överklagade beslutet fann tribunalen att innehållet i det omtvistade beslutet var partiellt i förhållande till det slutliga beslutet. WhatsApp har hävdat att tribunalen borde ha prövat avsaknaden av utrymme för skönsmässig bedömning genom att beakta det materiella innehållet i det omtvistade beslutet, utan att ta någon hänsyn till det kompletterande innehållet i det slutliga beslutet. Enligt WhatsApp hade dataskyddsstyrelsen nämligen endast bedömt vissa aspekter av ett specifikt fall, nämligen de frågor som var föremål för relevanta och motiverade invändningar från berörda tillsynsmyndigheters sida. Det omtvistade beslutet kan således inte avse hela ärendet och kan inte omfatta aspekter som inte ingick i hänskjutandet till styrelsen eller som inte omfattas av dataskyddsstyrelsens befogenhet.

83. Tribunalen gjorde sig dessutom skyldig till felaktig rättstillämpning när den i punkterna 57–59 i det överklagade beslutet slog fast att den irländska tillsynsmyndigheten hade utövat sitt utrymme för skönsmässig bedömning för att dra konsekvenserna av det omtvistade beslutet. För det första beträffande kvalificeringen av data som varit föremål för destruktiv komprimering som personuppgifter, har WhatsApp hävdat att denna kvalificering, som gjorts av dataskyddsstyrelsen, medför ytterligare skyldigheter för WhatsApp enligt dataskyddsförordningen, och detta oberoende av det faktum att den ansvariga tillsynsmyndigheten har utövat ett utrymme för skönsmässig bedömning i sak, som går utöver en sådan kvalificering, genom att kontrollera huruvida WhatsApp hade agerat i egenskap av personuppgiftsansvarig eller personuppgiftsbiträde. För det andra beträffande höjningen av de administrativa sanktionsavgifter som WhatsApp skulle åläggas, gav detta beslut inte den irländska tillsynsmyndigheten något utrymme för skönsmässig bedömning, eftersom myndigheten var skyldig att ålägga högre sanktionsavgifter än vad den ursprungligen hade planerat. Den omständigheten att denna myndighet behåller ett utrymme för skönsmässig bedömning vid fastställandet av sanktionsavgifternas exakta belopp saknar relevans, eftersom denna uppgift omfattas av nämnda myndighets befogenheter.

84. Dataskyddsstyrelsen har bestritt denna argumentation och hävdat att två kumulativa kriterier måste vara uppfyllda för att en fysisk eller juridisk person, som inte är en enskild rättsakts adressat, ska vara direkt berörd av en unionsrättsakt. Rättsakten ska ha en direkt inverkan på personens rättsliga ställning och får inte lämna något utrymme för skönsmässig bedömning för den person till vilken den riktar sig och som ska genomföra den, eftersom genomförandet är rent automatiskt, utan att några mellanliggande regler tillämpas.

85. Beträffande det första kriteriet har dataskyddsstyrelsen påpekat att en rättsakts bindande verkan ska bedömas med hänsyn till dess inverkan på sökandens specifika situation. I förevarande fall kan det omtvistade beslutet inte göras gällande mot WhatsApp på ett sådant sätt att det utan ytterligare handläggningssteg kan utgöra en källa till skyldigheter. Detta beslut utgör inte det sista steget i det förfarande som avses i artiklarna 58, 60 och 65 i dataskyddsförordningen och i beslutet fastställs varken sanktionsavgifternas slutliga belopp eller några nya regler för WhatsApps verksamhet. Det är således endast det slutliga beslutet som direkt berör WhatsApp, eftersom den irländska tillsynsmyndigheten, enligt artikel 56.6 i dataskyddsförordningen, är företagets enda motpart i egenskap av personuppgiftsansvarig.

86. Beträffande det andra kriteriet har dataskyddsstyrelsen hävdat att den irländska tillsynsmyndigheten har behållit ett verkligt utrymme för skönsmässig bedömning när det gäller de slutsatser som ska anges i dess slutliga beslut, vilket har en vidare räckvidd än det omtvistade beslutet och innehåller konstateranden som styrelsen inte har ombetts att uttala sig om, eftersom ett hänskjutande till styrelsen är begränsat till frågor som varit föremål för relevanta och motiverade invändningar. Enligt styrelsen är det omtvistade beslutet, under alla omständigheter, beroende av det slutliga beslutet och vice versa. Det är inte möjligt att särskilja de delar av det slutliga beslut som motsvarar styrelsens anvisningar, vilket bekräftar att styrelsen har gett den irländska tillsynsmyndigheten ett visst utrymme för skönsmässig bedömning i flera avseenden.

87. Under sådana omständigheter skulle en nationell domstol vara bättre lämpad att ompröva det slutliga beslutet, i förekommande fall genom att ställa tolkningsfrågor till EU-domstolen avseende de bestämmelser i dataskyddsförordningen som tillämpats ex officio eller i enlighet med styrelsens anvisningar.

88. Enligt dataskyddsstyrelsen behöll den irländska tillsynsmyndigheten ett visst utrymme för skönsmässig bedömning i de frågor som togs upp i det omtvistade beslutet, i synnerhet de frågor som avsåg de rättsliga följderna av att de uppgifter som genomgick destruktiv komprimering kvalificerades som personuppgifter samt fastställandet av de sanktionsavgifter som WhatsApp skulle åläggas. Beträffande den första aspekten behöll den irländska tillsynsmyndigheten ett utrymme för skönsmässig bedömning och gjorde en fristående prövning, bland annat vad gäller iakttagandet av artikel 14 i dataskyddsförordningen. Det är i detta avseende felaktigt att hävda att dataskyddsstyrelsen har gjort en ”fullständig” bedömning, eftersom styrelsens befogenhet är begränsad till innehållet i de relevanta och motiverade invändningarna och inte omfattar hela överträdelseförfarandet. Beträffande den andra aspekten, det vill säga fastställandet av sanktionsavgifterna, rör det omtvistade beslutet, även om det innehåller generella anvisningar rörande sanktionsavgifterna, inte genomförandet av dessa anvisningar eller beräkningen av avgifterna.

89. Förbundsrepubliken Tyskland anser att eftersom den ansvariga tillsynsmyndigheten var WhatsApps enda samtalspartner, kan bolaget inte anses vara direkt berört av det omtvistade beslutet. Ett sådant beslut är inte avsett att genomföras fristående, utan måste alltid följas av ett slutligt beslut från myndigheten. Unionslagstiftaren gjorde nämligen ett medvetet val att tillsynen av dataskyddsförordningen skulle vara decentraliserad, istället för att inrätta en central, europeisk dataskyddsmyndighet.

– Domstolens bedömning

90. Den första grundens andra del avser huruvida tribunalen gjorde sig skyldig till felaktig rättstillämpning när den i punkterna 50–60 i det överklagade beslutet fann att det omtvistade beslutet inte direkt berörde WhatsApp, i den mening som avses i artikel 263 fjärde stycket FEUF, och att WhatsApps talan följaktligen skulle avvisas.

91. Enligt den bestämmelsen får alla fysiska eller juridiska personer på de villkor som anges i första och andra styckena i artikel 263 FEUF väcka talan mot en akt som är riktad till dem eller som direkt och personligen berör dem samt mot en regleringsakt som direkt berör dem och som inte medför genomförandeåtgärder.

92. För att en talan som väckts av en fysisk eller juridisk person mot en akt som riktar sig till någon annan än personen i fråga ska kunna tas upp till sakprövning enligt artikel 263 fjärde stycket FEUF, krävs det således bland annat att akten berör dem direkt och personligen (dom av den 3 december 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punkt 64 och där angiven rättspraxis).

93. I förevarande fall är det, såsom tribunalen konstaterade i punkt 40 i det överklagade beslutet, utrett att WhatsApp är personligen berört av det omtvistade beslutet, eftersom det avser vissa aspekter av utkastet till slutligt beslut som specifikt rör detta företags situation. I punkterna 52 och 53 i det överklagade beslutet fann tribunalen emellertid att WhatsApp inte var direkt berört av det omtvistade beslutet. Tribunalen ansåg för det första att WhatsApp inte var direkt berört på grund av att beslutet inte kunde göras gällande mot WhatsApp, så att det utan ytterligare skeden i förfarandet skulle kunna medföra skyldigheter för WhatsApp eller, i förekommande fall, rättigheter för andra personer. För det andra var WhatsApp inte direkt berört på grund av att även om det angripna beslutet var bindande för den irländska tillsynsmyndigheten vad gäller de aspekter som beslutet avsåg, gav det den myndigheten ett utrymme för skönsmässig bedömning vad gäller innehållet i det slutliga beslutet.

94. Det följer av fast rättspraxis att villkoret att en fysisk eller juridisk person måste vara direkt berörd av det beslut mot vilket talan väcks kan anses vara uppfyllt endast om två kumulativa kriterier är uppfyllda. För det första måste den omtvistade åtgärden ha direkt inverkan på dennes rättsliga ställning. För det andra får den inte lämna något utrymme för skönsmässig bedömning för dem till vilka den riktar sig, och som ska genomföra den, vilket innebär att genomförandet ska ha en rent automatisk karaktär och följa enbart av unionslagstiftningen, utan att några mellankommande regler tillämpas (dom av den 4 oktober 2024, kommissionen och rådet/Front Polisario, C‑779/21 P och C‑799/21 P, EU:C:2024:835, punkt 87 och där angiven rättspraxis).

95. Innan domstolen prövar huruvida dessa båda villkor är uppfyllda i förevarande fall, ska det påpekas att det faktum att den angripna rättsakten inte direkt kan göras gällande mot klaganden samt den omständigheten att den rättsakten inte utgör det sista steget i ett förfarande som består av flera handläggningssteg inte utgör hinder för att sökanden kan anses vara direkt berörd av rättsakten i fråga när den till vilken rättsakten är riktad inte har något utrymme för skönsmässig bedömning (se, för ett liknande resonemang, dom av den 4 juni 1992, Infortec/kommissionen, C‑157/90, EU:C:1992:243, punkterna 13 och 17, dom av den 3 december 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punkterna 65 och 67, och dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 74).

96. Tribunalen gjorde sig således skyldig till felaktig rättstillämpning i punkt 52 i det överklagade beslutet, såsom generaladvokaten har funnit i punkterna 139 och 144 i sitt förslag till avgörande. I den punkten fann tribunalen att WhatsApp inte kunde vara direkt berört av det omtvistade beslutet på grund av att det inte kunde göras gällande mot WhatsApp och inte utgjorde det sista skedet i det förfarande som föreskrivs i artiklarna 58, 60 och 65 i dataskyddsförordningen.

97. Beträffande frågan huruvida det första villkoret som anges i punkt 94 ovan är uppfyllt, måste det bedömas huruvida den angripna rättsakten ger upphov till en klar förändring av den fysiska eller juridiska personens rättsliga ställning. Vid denna bedömning ska rättsaktens materiella innehåll beaktas och dess verkningar bedömas mot bakgrund av objektiva kriterier, såsom rättsaktens innehåll, i förekommande fall med beaktande av det sammanhang i vilket den antogs och den antagande institutionens, organets eller byråns befogenheter (se, för ett liknande resonemang, dom av den 11 november 1981, IBM/kommissionen, 60/81, EU:C:1981:264, punkt 9, och dom av den 18 juni 2024, kommissionen/Gemensamma resolutionsnämnden, C‑551/22 P, EU:C:2024:520, punkt 65 och där angiven rättspraxis).

98. Såsom framgår av punkt 30 ovan fann dataskyddsstyrelsen i det omtvistade beslutet bland annat att WhatsApp hade åsidosatt informationsskyldigheten i artikel 13.1 d i dataskyddsförordningen och hade begått en överträdelse av artikel 13.2 e i den förordningen. Detta beslut förändrar följaktligen WhatsApps rättsliga ställning, eftersom WhatsApp på grund av dataskyddsstyrelsens ingripande i synnerhet blir tvungen att ändra sitt avtalsförhållande med användarna av den meddelandetjänst som bolaget tillhandahåller. Av detta följer att det finns ett direkt samband mellan beslutet och dess verkningar på WhatsApps ställning, i den mening som avses i den rättspraxis som det hänvisas till i punkterna 94 och 95 ovan.

99. I motsats till vad dataskyddsstyrelsen har hävdat påverkar inte den omständigheten att den irländska tillsynsmyndigheten enligt artikel 56.6 i dataskyddsförordningen är WhatsApps enda motpart, i egenskap av personuppgiftsansvarig, denna slutsats. Denna bestämmelse syftar nämligen endast till att organisera förhållandena mellan en personuppgiftsansvarig eller ett personuppgiftsbiträde, en ansvarig tillsynsmyndighet och berörda tillsynsmyndigheter. Detta innebär att den bestämmelsen inte avser de rättsmedel som är tillgängliga mot dataskyddsstyrelsens beslut.

100. Beträffande frågan huruvida det andra av de båda villkor som det erinrats om i punkt 94 ovan är uppfyllt, finns det anledning att, för att bedöma huruvida en rättsakt ger dem till vilken den riktar sig ett utrymme för skönsmässig bedömning för att genomföra den, pröva de rättsverkningar som de bestämmelser i rättsakten, vilka talan avser, har för ställningen för den person som gör anspråk på talerätt enligt artikel 263 fjärde stycket andra meningsledet FEUF (se, för ett liknande resonemang, dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 98 och där angiven rättspraxis).

101. Det ska i synnerhet inte anses föreligga något sådant utrymme för skönsmässig bedömning när det är visat att de bestämmelser i rättsakten som talan avser har som direkt följd att nämnda person ålades skyldigheter vars fullgörande ledde till ett resultat som inte kunde ändras (se, för ett liknande resonemang, dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 114).

102. I förevarande fall ska det, såsom framgår av punkterna 71 och 72 ovan, erinras om att det omtvistade beslutet är bindande för den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Dessa myndigheter får inte avvika från dataskyddsstyrelsens ställningstagande i detta beslut och som det erinrats om i punkt 30 i förevarande dom. Genom nämnda beslut avgörs nämligen de rättsfrågor som ingick i hänskjutandet till dataskyddsstyrelsen och det är ovillkorligt bindande för dessa myndigheter, i synnerhet avseende konstaterandet att vissa bestämmelser i dataskyddsförordningen har åsidosatts, kvalificeringen av uppgifter som är föremål för destruktiv komprimering som personuppgifter samt skyldigheten att höja de planerade sanktionsavgifterna. Myndigheter har inte möjlighet att ändra det resultat som dataskyddsstyrelsens bedömningar i dessa frågor har lett till, i den mening som avses i den rättspraxis som det hänvisas till i föregående punkt.

103. Enligt artikel 70.1 a i dataskyddsförordningen har dataskyddsstyrelsen till uppgift att säkerställa en enhetlig tillämpning av den förordningen genom att, såsom framgår av skäl 10 i förordningen, övervaka och säkerställa en konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande fri- och rättigheter vid behandling av deras personuppgifter i hela unionen, i de fall som anges i bland annat artikel 65 i dataskyddsförordningen, utan att det påverkar de nationella tillsynsmyndigheternas uppgifter.

104. I detta sammanhang saknar det betydelse att det slutliga beslutets räckvidd omfattar frågor som inte ingick i hänskjutandet till dataskyddsstyrelsen, det vill säga aspekter som inte varit föremål för relevanta och motiverade invändningar i den mening som avses artikel 65.1 a i dataskyddsförordningen, eller frågor som inte omfattas av dataskyddsstyrelsens befogenhet, såsom bland annat fastställandet av det exakta beloppet av den sanktionsavgift som ska åläggas en personuppgiftsansvarig eller ett personuppgiftsbiträde, vilket ska bestämmas av den behöriga tillsynsmyndigheten i enlighet med artikel 58.2 i samt artikel 83 i dataskyddsförordningen.

105. Det är visserligen riktigt att det omtvistade beslutet och det slutliga beslutet är ömsesidigt beroende av varandra, men de utgör icke desto mindre separata rättsakter och det omtvistade beslutets räckvidd är klart avgränsad, såsom framgår av den uppräkning som återges i punkt 30 ovan. Under dessa omständigheter kan det förhållandet att de båda besluten är ömsesidigt beroende av varandra inte utgöra hinder för konstaterandet att WhatsApp är direkt berört av det omtvistade beslutet.

106. Det är visserligen riktigt att det faktum att det samtidigt väcks en talan om ogiltigförklaring vid unionsdomstolen med stöd av artikel 263 FEUF mot dataskyddsstyrelsens bindande beslut, och vid en nationell domstol med stöd av artikel 78 i dataskyddsförordningen mot det slutliga beslut som den nationella tillsynsmyndigheten har antagit med dataskyddsstyrelsens bindande beslut som grund, ger upphov till två parallella förfaranden. Denna situation får emellertid inte till följd att verkningarna av dataskyddsstyrelsens beslut i det föreliggande fallet ska anses vara indirekta i förhållande till WhatsApp.

107. Det framgår nämligen av domstolens rättspraxis att, när avgörandet av ett mål vid den nationella domstolen är beroende av huruvida ett beslut av ett unionsorgan är giltigt, följer det av skyldigheten till lojalt samarbete att den nationella domstolen, för att förhindra att träffa ett avgörande som står i strid med detta organs beslut, ska förklara målet vilande till dess unionsdomstolen slutligt har avgjort talan om ogiltigförklaring, såvida inte den nationella domstolen med anledning av omständigheterna i målet anser det motiverat att begära ett förhandsavgörande av domstolen beträffande giltigheten av organets beslut (se, för ett liknande resonemang, dom av den 14 december 2000, Masterfoods och HB, C‑344/98, EU:C:2000:689, punkt 57 och dom av den 25 juli 2018, Georgsmarienhütte m.fl., C‑135/16, EU:C:2018:582, punkt 24).

108. Det ska även påpekas att principen om god rättsskipning kan, för det fall tribunalen har att pröva en talan om ogiltigförklaring samtidigt som domstolen har att pröva en begäran om förhandsavgörande avseende giltigheten av en akt, motivera att domstolen om den finner det lämpligt, med stöd av artikel 54 tredje stycket i stadgan för Europeiska unionens domstol, vilandeförklarar sitt mål så att handläggningen vid tribunalen kan fortsätta (dom av den 25 juli 2018, Georgsmarienhütte m.fl., C‑135/16, EU:C:2018:582, punkt 25).

109. Eftersom båda de villkor som avses i punkt 94 ovan är uppfyllda, är WhatsApp följaktligen direkt berört av det omtvistade beslutet.

110. Av det ovan anförda följer att överklagandet ska bifallas såvitt avser den första grundens andra del och att det överklagade beslutet följaktligen ska upphävas.

Den första grundens tredje del

111. Genom den första grundens tredje del har WhatsApp gjort gällande att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den i punkterna 66–70 i det överklagade beslutet slog fast att avvisningen av WhatsApps talan är en logisk följd av det system med rättsmedel som inrättats genom EU-fördraget och EUF-fördraget.

112. Med hänsyn till vad domstolen funnit i punkt 110 ovan saknas det anledning att pröva den första grundens tredje del.

Den andra grunden: Felaktig rättstillämpning i samband med tolkningen och tillämpningen av artikel 65 i dataskyddsförordningen och principen om unionsrättens enhetliga tillämpning

113. WhatsApp har, med hänvisning till de argument som framförts inom ramen för den första grunden, gjort gällande att tribunalen åsidosatte artikel 65.1 i dataskyddsförordningen och principen om unionsrättens enhetliga tillämpning genom att, i punkterna 41–60 i det överklagade beslutet, slå fast att det omtvistade beslutet inte hade några andra rättsverkningar än sina bindande verkningar för de berörda tillsynsmyndigheterna.

114. Eftersom WhatsApp endast har hänvisat till de argument som anförts till stöd för den första grunden, och med hänsyn till vad domstolen har funnit i punkt 110 ovan, saknas det anledning att pröva den andra grunden, eftersom den inte kan leda till ett mer omfattande upphävande av det överklagade beslutet.

Huruvida målet ska återförvisas till tribunalen

115. Enligt artikel 61 första stycket i stadgan för Europeiska unionens domstol får domstolen, om den upphäver tribunalens avgörande, själv slutligt avgöra målet, om detta är färdigt för avgörande.

116. Detta villkor är uppfyllt i förevarande fall, eftersom målet endast rör frågan huruvida den talan som väckts vid tribunalen kan tas upp till sakprövning.

117. För det första utgör det omtvistade beslutet, såsom framgår av punkt 76 ovan, en rättsakt mot vilken talan kan väckas i den mening som avses i artikel 263 första stycket FEUF. För det andra är WhatsApp, såsom konstaterats i punkt 109 ovan, direkt berört av det omtvistade beslutet, i den mening som avses i artikel 263 fjärde stycket FEUF. För det tredje berör detta beslut WhatsApp personligen, såsom tribunalen själv konstaterade i punkt 40 i det överklagade beslutet.

118. Eftersom villkoren i första och fjärde styckena i artikel 263 FEUF således är uppfyllda, och i avsaknad av andra grunder för att avvisa talan, kan talan om ogiltigförklaring tas upp till sakprövning.

119. Eftersom tribunalen emellertid inte har prövat talan i sak, vilket kräver en utförlig bedömning av de faktiska och rättsliga omständigheterna, är målet inte färdigt för avgörande i sak.

120. Målet ska därför återförvisas till tribunalen.

Rättegångskostnader

121. Eftersom målet återförvisas till tribunalen ska frågan om rättegångskostnader i målet om överklagande anstå.

Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:

1) Det beslut som Europeiska unionens tribunal meddelade den 7 december 2022, WhatsApp Ireland/Europeiska dataskyddsstyrelsen ( T‑709/21, EU:T:2022:783), upphävs.

2) Målet återförvisas till Europeiska unionens tribunal.

3) Beslut om rättegångskostnader anstår.

1 Rättegångsspråk: engelska.