C-97/23
ECLI:EU:C:2026:81
- Súd
- Súdny dvor Európskej únie
- IČS
- 62023CJ0097
- Zdroj
- eur-lex.europa.eu ↗
62023CJ0097
ROZSUDOK
SÚDNEHO DVORA (veľká komora)
z 10. februára 2026 ( *1 )
„Odvolanie – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 63 – Mechanizmus konzistentnosti – Článok 65 – Urovnanie sporov Európskym výborom pre ochranu údajov – Záväzné rozhodnutie – Žaloba o neplatnosť – Článok 263 prvý odsek ZFEÚ – Napadnuteľný akt – Článok 263 štvrtý odsek ZFEÚ – Podmienka, podľa ktorej musí byť žalobca priamo dotknutý opatrením, ktoré je predmetom jeho žaloby“
Vo veci C‑97/23 P,
ktorej predmetom je odvolanie podľa článku 56 Štatútu Súdneho dvora Európskej únie, podané 17. februára 2023,
WhatsApp Ireland Ltd , so sídlom v Dubline (Írsko), v zastúpení: E. Egan McGrath, SC, C. Geoghegan, SC, D. McGrath, SC, P. Sreenan, SC, B. Johnston, C. Monaghan a P. Nolan, solicitors, H.‑G. Kamann, Rechtsanwalt, F. Louis a A. Vallery, avocats,
odvolateľka,
ďalší účastník konania:
Európsky výbor pre ochranu údajov , v zastúpení: C. Foglia, M. Gufflet, G. Le Grand a I. Vereecken, splnomocnení zástupcovia, za právnej pomoci G. Haumont, E. de Lophem, P. Vernet, avocats, a G. Ryelandt, advocaat,
žalovaný v prvostupňovom konaní,
ktorého v konaní podporuje:
Spolková republika Nemecko , v zastúpení: pôvodne J. Möller a P.‑L. Krüger, neskôr J. Möller, splnomocnení zástupcovia,
vedľajší účastník konania v odvolacom konaní,
SÚDNY DVOR (veľká komora),
v zložení: predseda K. Lenaerts, podpredseda T. von Danwitz (spravodajca), predsedovia komôr K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu‑Matei a M. Condinanzi, sudcovia S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders a N. Fenger,
generálna advokátka: T. Ćapeta,
tajomník: A. Lamote, referentka,
so zreteľom na písomnú časť konania a po pojednávaní z 26. novembra 2024,
po vypočutí návrhov generálnej advokátky na pojednávaní 27. marca 2025,
vyhlásil tento
Rozsudok
1
Svojím odvolaním sa WhatsApp Ireland Ltd (ďalej len „WhatsApp“) domáha zrušenia uznesenia Všeobecného súdu Európskej únie zo 7. decembra 2022, WhatsApp Ireland/Európsky výbor pre ochranu údajov (T‑709/21, ďalej len „napadnuté uznesenie“, EU:T:2022:783 ), ktorým Všeobecný súd zamietol ako neprípustnú jej žalobu o neplatnosť záväzného rozhodnutia Európskeho výboru pre ochranu údajov č. 1/2021 (ďalej len „výbor“), z 28. júla 2021 týkajúceho sa sporu medzi dotknutými dozornými orgánmi, ktorý vznikol na základe návrhu rozhodnutia týkajúceho sa spoločnosti WhatsApp, ktorý vypracovala Data Protection Commission (DPC) (Dozorný orgán pre ochranu osobných údajov, Írsko) (ďalej len „írsky dozorný orgán“) (ďalej len „sporné rozhodnutie“).
Právny rámec
2
Odôvodnenia 10 a 143 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 a korigendum Ú. v. EÚ L 127, 2018, s. 2 ) (ďalej len „GDPR“), uvádzajú:
„(10)
S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci [Európskej ú]nie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. …
…
(143)
Každá fyzická alebo právnická osoba má právo podať na Súdnom dvore žalobu o vyhlásenie rozhodnutí [výboru] za neplatné, a to za podmienok stanovených v článku 263 [ZFEÚ]. Ak majú dotknuté dozorné orgány, ktoré sú adresátmi takýchto rozhodnutí, v úmysle ich napadnúť, môžu podať žalobu v lehote dvoch mesiacov od ich oznámenia v súlade s článkom 263 [ZFEÚ]. Ak sa rozhodnutia [výboru] priamo a osobne týkajú prevádzkovateľa, sprostredkovateľa alebo sťažovateľa, môžu proti týmto rozhodnutiam podať žalobu o ich neplatnosť v súlade s článkom 263 [ZFEÚ] v lehote dvoch mesiacov od uverejnenia týchto rozhodnutí na webovom sídle [výboru]. Bez toho, aby bolo dotknuté toto právo podľa článku 263 [ZFEÚ], každá fyzická alebo právnická osoba by mala mať na príslušnom vnútroštátnom súde účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu, ktoré má voči nej právne účinky. Takéto rozhodnutie sa týka najmä výkonu vyšetrovacích, nápravných a povoľovacích právomocí dozorným orgánom alebo nevyhovenia či odmietnutia sťažností. Právo na účinný prostriedok nápravy však nezahŕňa opatrenia dozorných orgánov, ktoré nie sú právne záväzné, ako napríklad stanoviská alebo poradenstvo, ktoré poskytol dozorný orgán. Návrh na začatie konania proti dozornému orgánu by sa mal podávať na súdoch členského štátu, v ktorom má dozorný orgán sídlo, pričom toto konanie by malo prebiehať v súlade s procesným právom tohto členského štátu. Tieto súdy by mali vykonávať plnú právomoc, ktorá by mala zahŕňať právomoc preskúmať všetky skutkové a právne otázky, ktoré sú relevantné pre daný spor.
Ak dozorný orgán sťažnosti nevyhovie alebo ju odmietne, môže sťažovateľ podať žalobu na súdoch v tom istom členskom štáte. V kontexte súdnych prostriedkov nápravy týkajúcich sa uplatňovania tohto nariadenia, vnútroštátne súdy, ktoré zvažujú rozhodnutie o otázke, ktorá im umožní vydať rozsudok, môžu alebo v prípade stanovenom v článku 267 [ZFEÚ] musia podať na Súdny dvor návrh na vydanie prejudiciálneho rozhodnutia v súvislosti s výkladom práva Únie vrátane tohto nariadenia. Okrem toho, ak sa rozhodnutie dozorného orgánu, ktorým sa vykonáva rozhodnutie [výboru], napadne na vnútroštátnom súde vrátane jeho platnosti, tento vnútroštátny súd nemá právomoc vyhlásiť rozhodnutie [výboru] za neplatné, ale vždy keď sa domnieva, že rozhodnutie je neplatné, musí otázku jeho platnosti predložiť Súdnemu dvoru podľa článku 267 [ZFEÚ], ako ho vykladá Súdny dvor. Vnútroštátny súd však otázku platnosti rozhodnutia [výboru] nemôže predložiť Súdnemu dvoru na základe podnetu fyzickej alebo právnickej osoby, ktoré mali možnosť podať žalobu o neplatnosť tohto rozhodnutia, najmä v prípade, ak sa ich rozhodnutie bezprostredne a osobne dotýkalo, ale tak v lehote stanovenej v článku 263 [ZFEÚ] neurobili.“
3
Článok 5 GDPR, nazvaný „Zásady spracúvania osobných údajov“, v odseku 1 písm. a) stanovuje, že osobné údaje musia byť spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe. Článok 5 ods. 1 písm. c) tohto nariadenia stanovuje, že tieto údaje musia byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú.
4
Článok 6 GDPR s názvom „Zákonnosť spracúvania“ stanovuje podmienky zákonnosti spracúvania osobných údajov. Odsek 1 tohto článku 6 stanovuje:
„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a)
dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
b)
spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;
c)
spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;
d)
spracúvanie je nevyhnutné, aby sa ochránili životne dôležité záujmy dotknutej osoby alebo inej fyzickej osoby;
e)
spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
f)
spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osobu dieťa.
Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.“
5
Článok 12 GDPR obsahuje ustanovenia týkajúce sa transparentnosti informácií a oznámení, ako aj spôsobov výkonu práv dotknutej osoby. Odsek 1 tohto článku 12 stanovuje:
„Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 13 a 14 a všetky oznámenia podľa článkov 15 až 22 a článku 34, ktoré sa týkajú spracúvania, a to v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho, a to najmä v prípade informácií určených osobitne dieťaťu. Informácie sa poskytujú písomne alebo inými prostriedkami, vrátane v prípade potreby elektronickými prostriedkami. Ak o to požiadala dotknutá osoba, informácie sa môžu poskytnúť ústne za predpokladu, že sa preukázala totožnosť dotknutej osoby iným spôsobom.“
6
Článok 13 GDPR s názvom „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“ uvádza:
„1. V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:
a)
totožnosť a kontaktné údaje prevádzkovateľa a v príslušných prípadoch zástupcu prevádzkovateľa;
b)
kontaktné údaje prípadnej zodpovednej osoby;
c)
účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;
d)
ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;
e)
príjemcovia alebo kategórie príjemcov osobných údajov, ak existujú;
f)
v relevantnom prípade informácia o tom, že prevádzkovateľ zamýšľa preniesť osobné údaje do tretej krajiny alebo medzinárodnej organizácii a informácia o existencii alebo neexistencii rozhodnutia [Európskej k]omisie o primeranosti alebo, v prípade prenosov uvedených v článku 46 alebo 47 či v článku 49 ods. 1 druhom pododseku odkaz na primerané alebo vhodné záruky a prostriedky na získanie ich kópie, alebo kde boli poskytnuté.
2. Okrem informácií, ktoré sa uvádzajú v odseku 1, prevádzkovateľ poskytne dotknutej osobe pri získavaní osobných údajov tieto ďalšie informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania:
a)
doba uchovávania osobných údajov alebo, ak to nie je možné, kritériá na jej určenie;
b)
existencia práva požadovať od prevádzkovateľa prístup k osobným údajom týkajúcim sa dotknutej osoby a práva na ich opravu alebo vymazanie alebo obmedzenie spracúvania, alebo práva namietať proti spracúvaniu, ako aj práva na prenosnosť údajov;
c)
ak je spracúvanie založené na článku 6 ods. 1 písm. a) alebo na článku 9 ods. 2 písm. a), existencia práva kedykoľvek svoj súhlas odvolať bez toho, aby to malo vplyv na zákonnosť spracúvania založeného na súhlase udelenom pred jeho odvolaním;
d)
právo podať sťažnosť dozornému orgánu;
e)
informácia o tom, či je poskytovanie osobných údajov zákonnou alebo zmluvnou požiadavkou, alebo požiadavkou, ktorá je potrebná na uzavretie zmluvy, či je dotknutá osoba povinná poskytnúť osobné údaje, ako aj možné následky neposkytnutia takýchto údajov;
f)
existencia automatizovaného rozhodovania vrátane profilovania uvedeného v článku 22 ods. 1 a 4 a aspoň v týchto prípadoch zmysluplné informácie o použitom postupe, ako aj význame a predpokladaných dôsledkoch takéhoto spracúvania pre dotknutú osobu.
…“
7
Článok 14 GDPR sa týka informácií, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby.
8
Podľa znenia článku 55 ods. 1 GDPR každý dozorný orgán je príslušný plniť úlohy, ktoré mu boli uložené, a vykonávať právomoci, ktoré mu boli zverené, v súlade s GDPR na území vlastného členského štátu.
9
Článok 56 GDPR, nazvaný „Príslušnosť hlavného dozorného orgánu“, stanovuje:
„1. Bez toho, aby bol dotknutý článok 55, dozorný orgán hlavnej prevádzkarne alebo jedinej prevádzkarne prevádzkovateľa alebo sprostredkovateľa je príslušný konať ako vedúci dozorný orgán pre cezhraničné spracúvanie vykonávané zo strany tohto prevádzkovateľa alebo sprostredkovateľa v súlade s postupom stanoveným v článku 60.
2. Odchylne od odseku 1 je každý dozorný orgán príslušný zaoberať sa jemu podanou sťažnosťou alebo prípadným porušením tohto nariadenia, ak sa skutková podstata týka iba prevádzkarne v jeho členskom štáte alebo podstatne ovplyvňuje dotknuté osoby iba v jeho členskom štáte.
3. V prípadoch uvedených v odseku 2 tohto článku dozorný orgán o tejto otázke bezodkladne informuje vedúci dozorný orgán. Vedúci dozorný orgán rozhodne v lehote troch týždňov odvtedy, ako bol informovaný, či sa bude alebo nebude prípadom zaoberať v súlade s postupom stanoveným v článku 60, pričom zohľadní, či prevádzkovateľ alebo sprostredkovateľ má alebo nemá prevádzkareň v členskom štáte dozorného orgánu, ktorý ho informoval.
4. Ak vedúci dozorný orgán rozhodne, že sa prípadom bude zaoberať, uplatňuje sa postup stanovený v článku 60. Dozorný orgán, ktorý informoval vedúci dozorný orgán, môže vedúcemu dozornému orgánu predložiť návrh rozhodnutia. Vedúci dozorný orgán uvedený návrh rozhodnutia v čo najväčšej miere zohľadní pri vypracúvaní návrhu rozhodnutia uvedeného v článku 60 ods. 3.
5. Ak vedúci dozorný orgán rozhodne, že sa prípadom nebude zaoberať, v súlade s článkami 61 a 62 sa prípadom bude zaoberať dozorný orgán, ktorý informoval vedúci dozorný orgán.
6. Vedúci dozorný orgán je jediným partnerom prevádzkovateľa alebo sprostredkovateľa v súvislosti s cezhraničným spracúvaním vykonávaným týmto prevádzkovateľom alebo sprostredkovateľom.“
10
Článok 57 GDPR, nazvaný „Úlohy“, v odseku 1 písm. h) stanovuje, že úlohou každého dozorného orgánu na území svojho členského štátu je viesť vyšetrovania týkajúce sa uplatňovania GDPR.
11
Vyšetrovacie právomoci tohto orgánu sú vymenované v odseku 1 článku 58 GDPR s názvom „Právomoci“. Odsek 2 tohto článku vymenúva nápravné opatrenia, ktoré môže prijať uvedený orgán, vrátane nápravných opatrení uvedených v písmenách b), d) a i) tohto článku, ktoré spočívajú v napomenutí prevádzkovateľa alebo sprostredkovateľa, ak spracovateľské operácie porušili ustanovenia GDPR, v nariadení prevádzkovateľovi alebo sprostredkovateľovi, aby spracovateľské operácie zosúladil podľa potreby určeným spôsobom a v rámci určenej lehoty s ustanoveniami GDPR, a v uložení správnej pokuty podľa článku 83 GDPR.
12
Článok 60 GDPR s názvom „Spolupráca medzi vedúcim dozorným orgánom a inými dotknutými dozornými orgánmi“ stanovuje:
„1. Vedúci dozorný orgán spolupracuje s inými dotknutými dozornými orgánmi v súlade s týmto článkom a s cieľom dosiahnuť konsenzus. Vedúci dozorný orgán a dotknuté dozorné orgány si navzájom vymieňajú všetky relevantné informácie.
2. Vedúci dozorný orgán môže kedykoľvek požiadať iné dotknuté dozorné orgány, aby mu poskytli vzájomnú pomoc podľa článku 61, a môže uskutočniť spoločné operácie podľa článku 62, najmä na účely vykonania vyšetrovania alebo monitorovania vykonávania opatrenia, ktoré sa týka prevádzkovateľa alebo sprostredkovateľa usadeného v inom členskom štáte.
3. Vedúci dozorný orgán bezodkladne oznámi relevantné informácie týkajúce sa veci iným dotknutým dozorným orgánom. Bezodkladne predloží iným dotknutým dozorným orgánom návrh rozhodnutia, aby sa k nemu vyjadrili a aby sa náležite zohľadnili ich stanoviská.
4. Ak ktorýkoľvek z iných dotknutých dozorných orgánov podá v lehote štyroch týždňov odo dňa, kedy bol v súlade s odsekom 3 tohto článku konzultovaný, relevantnú a odôvodnenú námietku k návrhu rozhodnutia, vedúci dozorný orgán, ak s relevantnou a odôvodnenou námietkou nesúhlasí alebo sa domnieva, že námietka je nerelevantná alebo neodôvodnená, predloží záležitosť mechanizmu konzistentnosti uvedenému v článku 63.
5. Ak má vedúci dozorný orgán v úmysle podanej relevantnej a odôvodnenej námietke vyhovieť, predloží iným dotknutým dozorným orgánom revidovaný návrh rozhodnutia na účely vyjadrenia stanoviska. Tento revidovaný návrh rozhodnutia podlieha postupu uvedenému v odseku 4 v lehote dvoch týždňov.
6. Ak voči návrhu rozhodnutia, ktorý predložil vedúci dozorný orgán, nenamietal v lehote uvedenej v odsekoch 4 a 5 žiadny z iných dotknutých dozorných orgánov, platí, že vedúci dozorný orgán a dotknuté dozorné orgány s týmto návrhom rozhodnutia súhlasia a tento návrh rozhodnutia sa pre ne stáva záväzným.
7. Vedúci dozorný orgán rozhodnutie prijme a oznámi ho hlavnej prevádzkarni alebo jedinej prevádzkarni prevádzkovateľa, prípadne sprostredkovateľa, a o danom rozhodnutí vrátane zhrnutia relevantných faktov a dôvodov informuje iné dotknuté dozorné orgány a [výbor]. Dozorný orgán, na ktorom sa sťažnosť podala, informuje sťažovateľa o rozhodnutí.
8. Odchylne od odseku 7, ak sa sťažnosť odmietne alebo sa jej nevyhovie, dozorný orgán, na ktorom sa sťažnosť podala, prijme rozhodnutie, oznámi ho sťažovateľovi a informuje prevádzkovateľa.
9. Ak sa vedúci dozorný orgán a dotknuté dozorné orgány dohodnú na tom, že sa časti sťažnosti odmietnu alebo sa im nevyhovie a v súvislosti s inými časťami sťažnosti sa bude konať, pre každú z týchto častí danej veci sa prijme samostatné rozhodnutie. Vedúci dozorný orgán prijme rozhodnutie pre časť týkajúcu sa opatrení vzťahujúcich sa na prevádzkovateľa, oznámi ho hlavnej prevádzkarni alebo jedinej prevádzkarni prevádzkovateľa alebo sprostredkovateľa na území svojho členského štátu a informuje o tom sťažovateľa, zatiaľ čo dozorný orgán sťažovateľa prijme rozhodnutie pre časť týkajúcu sa odmietnutia danej sťažnosti alebo jej nevyhovenia a oznámi toto rozhodnutie sťažovateľovi a informuje o tom prevádzkovateľa alebo sprostredkovateľa.
10. Po tom, ako im je oznámené rozhodnutie vedúceho dozorného orgánu podľa odsekov 7 a 9, prevádzkovateľ alebo sprostredkovateľ prijmú potrebné opatrenia na zabezpečenie súladu s rozhodnutím, pokiaľ ide o spracovateľské činnosti v súvislosti so všetkými svojimi prevádzkarňami v Únii. Prevádzkovateľ alebo sprostredkovateľ oznámia opatrenia prijaté na dodržanie rozhodnutia vedúceho dozornému orgánu, ktorý o tom informuje iné dotknuté dozorné orgány.
11. Ak má dotknutý dozorný orgán vo výnimočných prípadoch dôvody domnievať sa, že je naliehavo potrebné konať v záujme ochrany záujmov dotknutých osôb, uplatňuje sa postup pre naliehavé prípady uvedený v článku 66.
12. Vedúci dozorný orgán a iné dotknuté dozorné orgány si navzájom v elektronickej forme a s použitím štandardizovaného formátu poskytujú informácie, ktoré sa požadujú v rámci tohto článku.“
13
Podľa znenia článku 63 GDPR s názvom „Mechanizmus konzistentnosti“:
„S cieľom prispievať ku konzistentnému uplatňovaniu tohto nariadenia v celej Únii dozorné orgány spolupracujú navzájom a v relevantných prípadoch s Komisiou prostredníctvom mechanizmu konzistentnosti…“
14
Článok 65 GDPR, nazvaný „Riešenie sporov [výborom]“, stanovuje:
„1. S cieľom zabezpečiť správne a jednotné uplatňovanie tohto nariadenia v jednotlivých prípadoch prijme výbor záväzné rozhodnutie v týchto prípadoch:
a)
ak v prípade uvedenom v článku 60 ods. 4 dotknutý dozorný orgán vzniesol relevantnú a odôvodnenú námietku voči návrhu rozhodnutia vedúceho dozorného orgánu a vedúci dozorného orgán [vedúci dozorný orgán – neoficiálny preklad ] nezohľadnil námietku alebo zamietol takúto námietku ako irelevantnú alebo neodôvodnenú. Toto záväzné rozhodnutie sa týka všetkých záležitostí, ktoré sú predmetom relevantnej a odôvodnenej námietky, najmä pokiaľ ide o to, či došlo k porušeniu tohto nariadenia;
b)
ak existujú protichodné názory na to, ktorý z dotknutých dozorných orgánov je príslušný pre hlavnú prevádzkareň;
c)
ak príslušný dozorný orgán nepožiada [výbor] o stanovisko v prípadoch uvedených v článku 64 ods. 1 alebo nepostupuje podľa stanoviska [výboru] vydaného podľa článku 64. V tomto prípade môže záležitosť oznámiť [výboru] ktorýkoľvek dotknutý dozorný orgán alebo Komisia.
2. Rozhodnutie uvedené v odseku 1 sa prijme do jedného mesiaca od postúpenia záležitosti dvojtretinovou väčšinou členov [výboru]. Uvedená lehota sa môže predĺžiť o ďalší mesiac z dôvodu zložitosti danej záležitosti. Rozhodnutie uvedené v odseku 1 musí byť odôvodnené a adresované vedúcemu dozornému orgánu a všetkým dotknutým dozorným orgánom, pričom je pre ne záväzné.
3. Ak [výbor] nebol schopný prijať rozhodnutie v lehotách uvedených v odseku 2, prijme svoje rozhodnutie do dvoch týždňov od uplynutia druhého mesiaca uvedeného v odseku 2 jednoduchou väčšinou členov výboru. V prípade rovnosti hlasov členov [výboru] sa rozhodnutie prijme na základe hlasu jeho predsedu.
4. Počas lehôt uvedených v odsekoch 2 a 3 neprijmú dotknuté dozorné orgány vo veci predloženej [výboru] podľa odseku 1 rozhodnutie.
5. Predseda [výboru] oznámi bez zbytočného odkladu rozhodnutie uvedené v odseku 1 dotknutým dozorným orgánom. Informuje o tom Komisiu. Rozhodnutie sa bez odkladu uverejní na webovom sídle [výboru] po tom, ako dozorný orgán oznámil konečné rozhodnutie uvedené v odseku 6.
6. Vedúci dozorný orgán alebo prípadne dozorný orgán, ktorému sa podala sťažnosť, prijme svoje konečné rozhodnutie na základe rozhodnutia uvedeného v odseku 1 tohto článku bez zbytočného odkladu a najneskôr do jedného mesiaca po tom, ako [výbor] oznámil svoje rozhodnutie. Vedúci dozorný orgán alebo prípadne dozorný orgán, ktorému sa sťažnosť podala, informuje [výbor] o dátume oznámenia konečného rozhodnutia prevádzkovateľovi alebo sprostredkovateľovi a dotknutej osobe. Konečné rozhodnutie dotknutých dozorných orgánov sa prijme za podmienok stanovených v článku 60 ods. 7, 8 a 9. Konečné rozhodnutie odkazuje na rozhodnutie uvedené v odseku 1 tohto článku a uvedie sa v ňom, že rozhodnutie uvedené v uvedenom odseku sa uverejní na webovom sídle [výboru] v súlade s odsekom 5 tohto článku. Ku konečnému rozhodnutiu sa pripojí rozhodnutie uvedené v odseku 1 tohto článku.“
15
Článok 68 GDPR s názvom „[Výbor]“ v odseku 1 stanovuje, že výbor sa zriaďuje ako orgán Únie a má právnu subjektivitu.
16
Článok 70 GDPR, nazvaný „Úlohy [výboru]“, v odseku 1 písm. a) stanovuje, že výbor zaisťuje konzistentné uplatňovanie GDPR. Na tento účel výbor z vlastnej iniciatívy, alebo prípadne na žiadosť Komisie, najmä monitoruje a zabezpečuje správne uplatňovanie GDPR v prípadoch stanovených v jeho článkoch 64 a 65, a to bez toho, aby boli dotknuté úlohy vnútroštátnych dozorných orgánov.
17
Článok 78 GDPR s názvom „Právo na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu“ stanovuje:
„1. Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá fyzická alebo právnická osoba má právo na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka.
2. Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak dozorný orgán, ktorý je príslušný podľa článkov 55 a 56, sťažnosť nevybavil alebo neinformoval dotknutú osobu do troch mesiacov o pokroku alebo výsledku sťažnosti podanej podľa článku 77.
3. Návrh na začatie konania proti dozornému orgánu sa podáva na súdoch členského štátu, v ktorom je dozorný orgán zriadený.
4. Ak sa návrh na začatie konania podáva proti rozhodnutiu dozorného orgánu, ktorému predchádzalo stanovisko alebo rozhodnutie [výboru] v rámci mechanizmu konzistentnosti, dozorný orgán takéto stanovisko alebo rozhodnutie postúpi súdu.“
18
V článku 83 GDPR sa stanovujú všeobecné podmienky ukladania správnych pokút.
Okolnosti predchádzajúce sporu a sporné rozhodnutie
19
Okolnosti predchádzajúce sporu sú uvedené v bodoch 2 až 12 napadnutého uznesenia a na účely tohto konania ich možno zhrnúť takto.
20
Po nadobudnutí účinnosti GDPR boli írskemu dozornému orgánu doručené sťažnosti od užívateľov a osôb, ktoré nie sú užívateľmi služby zasielania správ „WhatsApp“, týkajúce sa spracúvania osobných údajov spoločnosťou WhatsApp. Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Spolkový komisár pre ochranu údajov a slobodu informácií, Nemecko) okrem toho požiadal írsky dozorný orgán v súvislosti s dodržaním povinnosti transparentnosti zo strany spoločnosti WhatsApp, ktorú majú prevádzkovatelia spracúvania osobných údajov, pokiaľ ide o prípadné vymieňanie si takýchto údajov s inými subjektmi skupiny Facebook, premenovanej od septembra 2021 na „Meta“, o pomoc.
21
Írsky dozorný orgán začal v decembri 2018 ex offo všeobecné vyšetrovanie týkajúce sa dodržiavania povinností transparentnosti a informovania zo strany spoločnosti WhatsApp vo vzťahu k jednotlivcom, uvedených v článkoch 12 až 14 GDPR bez toho, aby tým boli dotknuté jeho kroky týkajúce sa jednotlivých podaní a sťažností, ktoré mu boli predložené. Írsky dozorný orgán konal v tejto súvislosti ako „vedúci dozorný orgán“, podľa článku 56 ods. 1 GDPR, keďže WhatsApp mala v Írsku svoju hlavnú prevádzkareň ako prevádzkovateľ spracúvania pri operáciách zasielania správ „WhatsApp“ v Európe, pričom toto spracúvanie malo cezhraničnú povahu.
22
Po ukončení fázy vyšetrovania v septembri 2019, keď sa predložila konečná správa vyšetrovateľa, írsky dozorný orgán po skončení priebežných procesných krokov, počas ktorých WhatsApp oznámila svoje pripomienky, predložil v decembri 2020 všetkým ostatným dozorným orgánom dotknutým vo veci samej, návrh rozhodnutia, aby sa k nemu vyjadrili, v súlade s článkom 60 ods. 3 GDPR.
23
V januári 2021 osem z týchto ďalších dozorných orgánov formulovalo námietky k niektorým aspektom tohto návrhu rozhodnutia. Írsky dozorný orgán odpovedal na tieto námietky skupinovým spôsobom a navrhol kompromisné riešenia. Hoci v nadväznosti na túto odpoveď jeden z týchto ôsmich dozorných orgánov stiahol jednu zo svojich námietok, írsky dozorný orgán konštatoval, že v súvislosti s ostatnými aspektmi, voči ktorým boli vznesené námietky, nedošlo ku konsenzu. Rozhodol sa zamietnuť všetky prijaté námietky a požiadať výbor, aby vyriešil spor medzi dotknutými dozornými orgánmi týkajúci sa aspektov, na ktoré sa vzťahujú tieto námietky, v súlade s ustanoveniami článku 60 ods. 4 a článku 65 ods. 1 písm. a) GDPR.
24
V máji 2021 dostal írsky dozorný orgán písomné námietky spoločnosti WhatsApp ku skutočnostiam prerokovaným medzi dotknutými dozornými orgánmi potom, ako mu boli zaslané všetky podklady, ktoré si v tejto súvislosti vymenili, a následne tieto námietky postúpil výboru, aby sa s nimi oboznámil v rámci postupu na riešenie sporov, ktorý výbor začal v júni 2021.
25
Dňa 28. júla 2021 výbor prijal sporné rozhodnutie na základe článku 65 ods. 2 GDPR.
26
Po tom, ako bolo írskemu dozornému orgánu doručené sporné rozhodnutie a námietky spoločnosti WhatsApp k peňažným sankciám, ktoré jej v konečnom dôsledku bolo zamýšľané uložiť v dôsledku tohto rozhodnutia, tento orgán prijal 20. augusta 2021 v súlade s článkom 65 ods. 6 nariadenia GDPR konečné rozhodnutie určené spoločnosti WhatsApp (ďalej len „konečné rozhodnutie“).
27
V konečnom rozhodnutí írsky dozorný orgán konštatoval, že WhatsApp porušila zásadu a povinnosti transparentnosti stanovené v článku 5 ods. 1 písm. a), článku 12 ods. 1, článku 13 ods. 1 písm. c) až f), článku 13 ods. 2 písm. a), c) a e) ako aj v článku 14 GDPR. Na druhej strane tento orgán uviedol, že WhatsApp splnila povinnosti stanovené v článku 13 ods. 1 písm. a) a b) a článku 13 ods. 2 písm. b) a d) GDPR. V rámci nápravných opatrení prijatých na základe článku 58 ods. 2 písm. b), d) a i) GDPR uvedený orgán udelil spoločnosti WhatsApp napomenutie, uložil jej povinnosť prijať určitý počet opatrení vymenovaných v prílohe, ktorých cieľom je v lehote troch mesiacov dosiahnuť súlad s ustanoveniami GDPR, ktoré boli porušené, ako aj štyri správne pokuty týkajúce sa zistených porušení článku 5 ods. 1 písm. a), ako aj článkov 12 až 14 GDPR, v celkovej výške 225 miliónov eur.
28
Okrem toho v konečnom rozhodnutí írsky dozorný orgán identifikoval aspekty, v súvislosti s ktorými mu sporné rozhodnutie ukladalo povinnosť preskúmať posúdenie uvedené v jeho návrhu rozhodnutia. V súvislosti s týmito aspektmi sa rozhodol prevziať dôvody, ktoré výbor uviedol v napadnutom rozhodnutí ako také, a uviesť ich v podfarbených pasážach a vždy len v záverečnom bode z nich vyvodiť dôsledky.
29
V súlade s článkom 65 ods. 6 GDPR bolo sporné rozhodnutie priložené ku konečnému rozhodnutiu.
30
V spornom rozhodnutí výbor zaujal stanovisko k otázkam, ktoré boli predmetom relevantných a odôvodnených námietok v zmysle článku 65 ods. 1 písm. a) GDPR, a to:
–
existencia porušenia, zo strany spoločnosti WhatsApp, informačných povinností uvedených v článku 13 ods. 1 písm. d) GDPR, týkajúcich sa určitých informácií, ktoré sa majú poskytnúť dotknutým osobám, ak sa od nich získali osobné údaje. Írsky dozorný orgán vo svojom návrhu rozhodnutia takéto porušenie nezistil. Výbor naopak zistil, že WhatsApp toto ustanovenie porušila,
–
kvalifikácia osobných údajov pochádzajúcich z postupu kompresie so stratou, bežne nazvaného „lossy hashing“ použitého na údaje týkajúce sa kontaktov osôb, ktoré nie sú požívateľmi aplikácie WhatsApp a ktoré sú uvedené v adresároch koncových užívateľov aplikácie WhatsApp. Írsky dozorný orgán tieto informácie vo svojom návrhu rozhodnutia za osobné údaje nepovažoval. Výbor sa naopak domnieval, že stále predstavujú osobné údaje. Tento aspekt mal podľa výboru možný vplyv na prípadné konštatovanie porušenia článku 5 ods. 1 písm. c) a článku 6 ods. 1 nariadenia GDPR spoločnosťou WhatsApp, ako aj vplyv na rozsah porušenia článku 14 GDPR spoločnosťou WhatsApp, a na výšku peňažnej sankcie uloženej z týchto dôvodov,
–
porušenie zásady transparentnosti stanovenej v článku 5 ods. 1 písm. a) GDPR zo strany spoločnosti WhatsApp, čo írsky dozorný orgán vo svojom návrhu rozhodnutia nekonštatoval. Výbor naopak konštatoval, že WhatsApp túto zásadu porušila,
–
konštatovanie porušenia článku 13 ods. 2 písm. e) GDPR týkajúceho sa určitých informácií, ktoré sa majú poskytnúť dotknutým osobám, ak sa od nich získavajú osobné údaje, pričom írsky dozorný orgán sa nedomnieval, že môže toto konštatovanie uskutočniť, keďže vyšetrovateľ počas vyšetrovania nezaujal stanovisko k tejto otázke, a v súvislosti s ktorou konštatoval, že môže vydať len odporúčanie. Výbor naopak zistil, že vyšetrovanie sa týkalo všetkých ustanovení článku 13 GDPR a že by sa malo konštatovať porušenie uvedeného ustanovenia,
–
existencia porušenia článku 6 ods. 1 GDPR týkajúceho sa podmienok zákonnosti spracúvania osobných údajov spoločnosťou WhatsApp, ku ktorému írsky dozorný orgán nezaujal stanovisko. Výbor sa domnieval, že z procesných dôvodov skutočne nebolo možné o tejto otázke rozhodnúť a konštatovať takéto porušenie,
–
rozšírenie dôvodov porušenia informačných povinností spoločnosťou WhatsApp stanovených v článku 14 GDPR týkajúcich sa informácií, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby, v dôsledku analýzy týkajúcej sa druhej zarážky tohto bodu. Výbor potvrdil vplyv, ktorý toto rozšírenie malo mať na nápravné opatrenia týkajúce sa spôsobu konania a na sankcie uložené spoločnosti WhatsApp,
–
existencia porušenia zásady stanovenej v článku 5 ods. 1 písm. c) GDPR týkajúcej sa zhromažďovania len údajov primeraných, relevantných a obmedzených na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú, o ktorom írsky dozorný orgán nerozhodol. Výbor sa domnieval, že takéto porušenie nebolo na základe spisu preukázané, najmä vzhľadom na rozsah vyšetrovania vedeného voči proti spoločnosti WhatsApp,
–
lehota stanovená írskym dozorným orgánom na šesť mesiacov, v ktorej mala WhatsApp v rámci nápravných opatrení dosiahnuť súlad s požiadavkami GDPR, ktoré porušila. Výbor skrátil toto obdobie na tri mesiace,
–
pokiaľ ide o nápravné opatrenia týkajúce sa spôsobov informovania osôb, ktoré nie sú používateľmi aplikácie WhatsApp, o spracúvaní ich osobných údajov spoločnosťou WhatsApp, výbor potvrdil posúdenie, ktoré v tejto súvislosti formuloval írsky dozorný orgán vo svojom návrhu rozhodnutia,
–
pokiaľ ide o nápravné opatrenia v súvislosti s uvedením dodatočných dôvodov porušenia povinností stanovených v článku 14 GDPR spoločnosťou WhatsApp, výbor vysvetlil, že toto uvedenie bolo potrebné na zabezpečenie toho, aby WhatsApp prijala v tejto súvislosti primerané nápravné opatrenia,
–
so zreteľom na článok 83 GDPR o „všeobecných podmienkach ukladania správnych pokút“, kritériá výšky pokút, ktoré sa majú uložiť spoločnosti WhatsApp. Výbor sa domnieval, že írsky dozorný orgán nesprávne vyložil kritérium týkajúce sa celkového svetového ročného obratu dotknutého podniku, že správne vyložil pojem „predchádzajúci účtovný rok“, že nesprávne vyložil pravidlo, podľa ktorého v prípade porušenia viacerých ustanovení GDPR v rámci tej istej spracovateľskej operácie alebo súvisiacich spracovateľských operácií, celková suma správnej pokuty nesmie presiahnuť výšku stanovenú za najzávažnejšie porušenie, a že správne vyložil niektoré kritériá na určenie pokuty uvedené v článku 83 ods. 1 a 2 GDPR, a to úmyselný alebo nedbanlivostný charakter porušenia a závažnosť porušenia, ale nesprávne vyložil ďalšie z týchto kritérií, ako sú zohľadnenie obratu na vyčíslenie pokuty nezávisle od výpočtu jej hornej hranice a všeobecnejšie potreba, aby bola pokuta účinná, primeraná a odrádzajúca, a
–
výška pokút, keďže výbor sa domnieval, že vzhľadom na nesprávny výklad niektorých kritérií výšky pokuty, ktorého sa dopustil írsky dozorný orgán, a na ďalšie porušenia zo strany WhatsApp, ktoré bolo treba konštatovať, sumy pokút, ktoré tento orgán zvažoval na úrovni medzi 30 až 50 miliónov eur, mali byť zvýšené.
31
WhatsApp napadla konečné rozhodnutie na írskom súde.
Konanie na Všeobecnom súde a napadnuté uznesenie
32
Návrhom podaným do kancelárie Všeobecného súdu 1. novembra 2021 WhatsApp podala žalobu na základe článku 263 ZFEÚ, ktorou sa domáhala zrušenia sporného rozhodnutia.
33
Všeobecný súd napadnutým uznesením, ktoré vydal podľa článku 129 svojho rokovacieho poriadku, túto žalobu zamietol ako neprípustnú.
34
Hoci Všeobecný súd v bodoch 36, 37 a 40 napadnutého uznesenia uviedol, že sporné rozhodnutie predstavuje akt orgánu Únie, ktorý má vyvolávať právne účinky voči tretím osobám a že WhatsApp je osobne dotknutá týmto rozhodnutím, v bode 42 napadnutého uznesenia konštatoval, že uvedené rozhodnutie je prípravný alebo dočasný akt v konaní, ktoré sa musí ukončiť prijatím konečného rozhodnutia vnútroštátneho dozorného orgánu. Všeobecný súd sa však v bodoch 43 a 44 napadnutého uznesenia domnieval, že takýto akt predstavuje „napadnuteľný akt“ len vtedy, ak má autonómne právne účinky, v súvislosti s ktorými nemožno zabezpečiť dostatočnú súdnu ochranu v rámci žaloby proti rozhodnutiu o ukončení konania.
35
V tejto súvislosti Všeobecný súd v bode 45 napadnutého uznesenia konštatoval, že v prejednávanej veci bola účinná súdna ochrana, pokiaľ ide o sporné rozhodnutie, zabezpečená prostredníctvom opravného prostriedku, ktorý má WhatsApp k dispozícii pred vnútroštátnym súdom proti konečnému rozhodnutiu, pričom tento vnútroštátny súd je podľa článku 267 ZFEÚ oprávnený obrátiť sa na Súdny dvor s návrhom na začatie prejudiciálneho konania týkajúcim sa posúdenia platnosti sporného rozhodnutia. Všeobecný súd v bode 46 napadnutého uznesenia tiež spresnil, že sporné rozhodnutie nevyvoláva vo vzťahu k spoločnosti WhatsApp žiadny samostatný právny účinok v porovnaní s konečným rozhodnutím prijatým írskym dozorným orgánom.
36
Okrem toho Všeobecný súd v bode 49 napadnutého uznesenia konštatoval, že skutočnosť, že takýto dočasný akt vyjadruje konečné stanovisko orgánu, ktoré bude musieť byť prebraté do konečného rozhodnutia, ktorým sa predmetné konanie ukončí, nevyhnutne neznamená, že tento akt sám osebe podstatným spôsobom mení právne postavenie žalobcu.
37
Všeobecný súd tiež v bode 50 napadnutého uznesenia uviedol, že WhatsApp nebola priamo dotknutá sporným rozhodnutím. Všeobecný súd v bode 52 tohto uznesenia poznamenal, že toto rozhodnutie nie je možné uplatniť voči spoločnosti WhatsApp tak, aby jej bez ďalších procesných krokov vyplývali z neho povinnosti, prípadne práva pre iných jednotlivcov, takže nemá priame právne účinky na postavenie spoločnosti WhatsApp. Všeobecný súd v bode 53 uvedeného uznesenia tiež uviedol, že hoci sporné rozhodnutie bolo pre írsky dozorný orgán záväzné, pokiaľ ide o aspekty, ktorých sa týkalo, ponechávalo mu mieru voľnej úvahy, pokiaľ ide o obsah konečného rozhodnutia.
38
V bodoch 61 a 62 toho istého uznesenia tak Všeobecný súd rozhodol, že žiadna z podmienok vyžadovaných na to, aby sa WhatsApp považovala za priamo dotknutú opatrením, ktoré je predmetom jej žaloby, nebola splnená, a preto táto žaloba bola neprípustná.
39
Napokon Všeobecný súd v bodoch 66 až 70 napadnutého uznesenia rozhodol, že výsledok jeho analýzy patrí do logiky systému súdnych opravných prostriedkov zavedeného Zmluvami. Všeobecný súd najmä konštatoval, že akceptácia prípustnosti žaloby spoločnosti WhatsApp proti spornému rozhodnutiu by predstavovala riziko súbežných súdnych konaní na súde Únie a na vnútroštátnom súde, pričom tento posledný uvedený súd je okrem toho oprávnený predložiť Súdnemu dvoru návrh na začatie prejudiciálneho konania týkajúci sa posúdenia platnosti tohto rozhodnutia.
Návrhy účastníkov konania
40
WhatsApp svojím odvolaním navrhuje, aby Súdny dvor:
–
zrušil napadnuté uznesenie,
–
vyhlásil žalobu v prvostupňovom konaní za prípustnú,
–
vrátil vec Všeobecnému súdu na rozhodnutie a
–
uložil výboru povinnosť nahradiť trovy odvolacieho konania.
41
Výbor, ktorého v jeho návrhoch podporuje Spolková republika Nemecko, navrhuje, aby Súdny dvor:
–
zamietol odvolanie,
–
uložil spoločnosti WhatsApp povinnosť nahradiť trovy konania a
–
subsidiárne vrátil vec Všeobecnému súdu na rozhodnutie.
O odvolaní
O údajne oneskorenom podaní žaloby na prvom stupni
Argumentácia účastníkov konania
42
Výbor tvrdí, že žaloba na prvom stupni bola podaná oneskorene. V tejto súvislosti tvrdí, že WhatsApp sa s relevantnými časťami sporného rozhodnutia oboznámila pred jeho uverejnením na jeho internetovej stránke, konkrétne 13. augusta 2021. V dôsledku toho bez ohľadu na dátum uverejnenia sporného rozhodnutia na internetovej stránke výboru, ktorý navyše nemožno prirovnať k uverejneniu v Úradnom vestníku Európskej únie , lehota na podanie žaloby začala plynúť 13. augusta 2021 a uplynula 25. októbra 2021. Keďže WhatsApp podala svoju žalobu o neplatnosť 1. novembra 2021, táto žaloba bola podaná oneskorene.
43
WhatsApp tvrdí, že tvrdenie výboru týkajúce sa oneskoreného podania jej žaloby je nesprávne. Ak totiž žalobca nie je adresátom aktu, začiatok plynutia lehoty na podanie žaloby určuje dátum uverejnenia tohto aktu. Dátum oboznámenia sa s ním je v tejto súvislosti iba subsidiárnym kritériom. Pokiaľ ide o spôsob uverejnenia uvedeného aktu, ten je irelevantný. V prejednávanej veci k uverejneniu sporného rozhodnutia v každom prípade došlo na internetovej stránke výboru 2. septembra 2021 a žaloba bola podaná 1. novembra 2021 pri dodržaní lehoty stanovenej v článku 263 šiestom odseku ZFEÚ.
Posúdenie Súdnym dvorom
44
Podľa článku 263 šiesteho odseku ZFEÚ súdne konanie uvedené v tomto článku sa začne do dvoch mesiacov od zverejnenia daného opatrenia alebo jeho oznámenia žalobcovi, alebo ak toto chýba, odo dňa, keď sa o ňom žalobca dozvedel.
45
Zo znenia tohto ustanovenia, najmä z výrazov „alebo“ a „ak toto chýba“, jasne vyplýva, že začiatok plynutia lehoty na podanie žaloby je určený v závislosti od danej situácie a že prvé dve kritériá, ktoré môžu viesť k začatiu plynutia tejto lehoty, sú hierarchicky nadradené tretiemu. Lehota na podanie žaloby o neplatnosť tak začína plynúť predovšetkým od uverejnenia aktu alebo jeho oznámenia žalobcovi. Tieto dve hlavné kritériá sú v štruktúre uvedeného ustanovenia rovnocenné v tom zmysle, že žiadne z týchto dvoch kritérií nie je vo vzťahu k druhému subsidiárne. Naopak, dátum oboznámenia sa s napadnutým aktom ako kritérium pre začiatok plynutia lehoty na podanie žaloby má subsidiárny charakter vo vzťahu ku kritériám uverejnenia alebo oznámenia tohto aktu (pozri v tomto zmysle rozsudok z 26. septembra 2024, WEPA Hygieneprodukte a i./Komisia, C‑795/21 P a C‑796/21 P , EU:C:2024:807 , body 61 až 63 , ako aj citovanú judikatúru).
46
V prejednávanej veci je nesporné, že sporné rozhodnutie nebolo spoločnosti WhatsApp oznámené, keďže výbor bol podľa článku 65 ods. 5 prvej vety GDPR povinný oznámiť takéto rozhodnutie len dotknutým dozorným orgánom. Je teda potrebné preskúmať, či toto rozhodnutie bolo predmetom „zverejnenia“ v zmysle článku 263 šiesteho odseku ZFEÚ.
47
V tejto súvislosti treba spresniť, že pojem „zverejnenie“ sa nevzťahuje výlučne na uverejnenie v Úradnom vestníku Európskej únie , ale naopak, musí sa vykladať extenzívne. Tento pojem sa vzťahuje najmä na uverejnenie na internetovej stránke inštitúcie, orgánu, úradu alebo agentúry Únie, ak je to stanovené sekundárnym právom (pozri v tomto zmysle rozsudok z 26. septembra 2024, WEPA Hygieneprodukte a i./Komisia, C‑795/21 P a C‑796/21 P , EU:C:2024:807 , bod 70 , ako aj citovanú judikatúru).
48
Keďže v prejednávanej veci je uverejnenie sporného rozhodnutia stanovené v článku 65 ods. 5 tretej vete GDPR, treba zohľadniť dátum, ku ktorému bolo toto rozhodnutie uverejnené na internetovej stránke výboru, teda 2. september 2021. Tento výklad potvrdzuje odôvodnenie 143 tretia veta GDPR, z ktorého vyplýva, že lehota na podanie žaloby sa musí počítať od uverejnenia predmetného rozhodnutia výboru na jeho webovom sídle.
49
Keďže žaloba bola podaná 1. novembra 2021, lehota stanovená v článku 263 šiestom odseku ZFEÚ nebola porušená, takže treba preskúmať, či odvolacie dôvody uvedené v rámci tohto odvolania môžu spochybniť posúdenie, ktoré Všeobecný súd vykonal v napadnutom uznesení.
O prvom odvolacom dôvode založenom na nesprávnom právnom posúdení pri výklade a uplatnení pojmu napadnuteľný akt a podmienky, podľa ktorej musí byť žalobca priamo dotknutý opatrením, ktoré je predmetom jeho žaloby
O prvej časti prvého odvolacieho dôvodu
– Argumentácia účastníkov konania
50
WhatsApp tvrdí, že Všeobecný súd sa dopustil nesprávneho právneho posúdenia, keď konštatoval, že sporné rozhodnutie nie je napadnuteľným aktom.
51
WhatsApp spochybňuje najmä relevantnosť kritéria, ktoré Všeobecný súd použil v bode 41 napadnutého uznesenia na účely určenia, či je akt napadnuteľný alebo nie. Všeobecný súd sa tak nesprávne domnieval, že bolo potrebné preukázať, že sporné rozhodnutie vyvoláva právne účinky, ktoré podstatným spôsobom menia právne postavenie spoločnosti WhatsApp, a že sa jej priamo týka. Záver, že toto rozhodnutie malo vyvolávať právne účinky voči jednej alebo viacerým tretím osobám, by však stačil na konštatovanie, že predstavuje napadnuteľný akt z dôvodu jeho konečnej povahy. V každom prípade uvedené rozhodnutie nie je len obyčajným dočasným opatrením, ale vyjadruje konečné stanovisko výboru.
52
Podľa spoločnosti WhatsApp Všeobecný súd nesprávne uplatnil judikatúru týkajúcu sa právnych účinkov dočasných aktov tým, že uplatnil procesné kritérium, podľa ktorého by takýto akt mohol byť napadnuteľný len vtedy, ak by žaloba proti konečnému aktu neumožňovala zabezpečiť dostatočnú súdnu ochranu, a tým, že dospel k záveru, že sporné rozhodnutie nemá právne účinky.
53
V tejto súvislosti WhatsApp odkazuje na rozsudok z 11. novembra 1981, IBM/Komisia ( 60/81 , EU:C:1981:264 , body 10 a 11 ), z ktorého predovšetkým vyplýva, že dočasný akt je napadnuteľný, ak má konečnú povahu a je nezávislý od neskoršieho konečného rozhodnutia. Treba teda preskúmať podstatu tohto aktu a posúdiť jeho účinky podľa objektívnych kritérií, akými je obsah uvedeného aktu, a prípadne zohľadniť kontext, v akom bol tento akt prijatý, ako aj právomoci inštitúcie, ktorá je jeho autorom. WhatsApp v tejto súvislosti cituje najmä rozsudok z 12. júla 2022, Nord Stream 2/Parlament a Rada ( C‑348/20 P , EU:C:2022:548 , bod 63 ).
54
Konkrétne takýto akt nemožno napadnúť žalobou o neplatnosť len vtedy, ak na jednej strane má predbežnú povahu, pokiaľ ide o vec samu, takže jeho autor môže zmeniť svoje stanovisko v štádiu konečného rozhodnutia prijatého neskôr, a na druhej strane toto konečné rozhodnutie prijme tá istá inštitúcia alebo ten istý orgán Únie. Nie je teda vhodné uplatňovať pojem dočasné opatrenie na rozhodnutie prijaté inštitúciou alebo orgánom Únie a určené vnútroštátnemu orgánu poverenému vykonaním tohto rozhodnutia vo vzťahu k tretím osobám.
55
V prejednávanej veci sa podľa spoločnosti WhatsApp Všeobecný súd obmedzil na preskúmanie toho, či jej bola z procesného hľadiska zabezpečená účinná súdna ochrana prostredníctvom žaloby podanej na vnútroštátny súd. V bodoch 48 a 49 napadnutého uznesenia tak nesprávne konštatoval, že tvrdenie spoločnosti WhatsApp, podľa ktorého sporné rozhodnutie vyjadruje konečné stanovisko jeho autora, je irelevantné. Všeobecný súd sa teda týmto postupom nesprávne domnieval, že sporné rozhodnutie nevyvoláva právne účinky a že nie je nezávislé od konečného rozhodnutia, a to bez toho, aby posúdil obsah a kontext sporného rozhodnutia, ani rozsah jeho autonómnych právnych účinkov.
56
Pokiaľ ide o obsah sporného rozhodnutia, je nesporné, že toto rozhodnutie bolo, ako záväzné rozhodnutie prijaté na základe článku 65 GDPR, určené na to, aby malo právne účinky voči tretím stranám, a že predstavovalo konečné stanovisko výboru k otázkam, ktoré mu boli predložené. Toto stanovisko mohlo podstatným spôsobom zmeniť právne postavenie spoločnosti WhatsApp, najmä z dôvodu konštatovania, podľa ktorého údaje podrobené postupu kompresie so stratou boli osobnými údajmi, čo je konštatovanie, ktoré zaväzuje írsky dozorný orgán.
57
Pokiaľ ide o kontext sporného rozhodnutia, zo znenia článku 65 GDPR vyplýva, že toto rozhodnutie predstavuje záväzné rozhodnutie. Odôvodnenie 143 GDPR uvádza, že rozhodnutia prijaté výborom sa môžu priamo a osobne týkať najmä prevádzkovateľa, čo znamená, že tieto rozhodnutia môžu mať vonkajšie právne účinky nad rámec vnútroštátnych dozorných orgánov, ktorým sú určené. Potvrdzuje to tak dôvod existencie záväzného účinku rozhodnutí výboru, ktorý spočíva v zabezpečení správneho a konzistentného uplatňovania GDPR, ako aj štruktúra postupu stanoveného v článku 65 ods. 1 GDPR.
58
Pokiaľ ide o samostatné právne účinky sporného rozhodnutia nad rámec právnych účinkov, ktoré vyvoláva voči osobám, ktorým je určené, WhatsApp uvádza, že toto rozhodnutie má voči nej takéto účinky, pričom ovplyvňuje najmä spôsob, akým zamýšľa dodržiavať GDPR, pokiaľ ide o údaje podrobené postupu kompresie so stratou, keďže tieto údaje výbor kvalifikuje ako osobné údaje. Sporné rozhodnutie má tiež právne účinky voči vnútroštátnym súdom, ktoré nie sú oprávnené ho zmeniť alebo vyhlásiť za neplatné.
59
Výbor spochybňuje túto argumentáciu. Tvrdí, že žalobu o neplatnosť možno v zásade podať len proti opatreniu, ktorým inštitúcia, orgán, úrad alebo agentúra Únie na konci správneho konania s konečnou platnosťou určí svoje stanovisko. Dočasné akty, ktorých cieľom je pripraviť konečné rozhodnutie, naopak nemožno kvalifikovať ako „napadnuteľné akty“, keďže takéto akty nemajú vyvolávať samostatné záväzné právne účinky vo vzťahu k aktu Únie, ktorý je takto pripravený, potvrdený alebo vykonaný. Okrem toho podľa výboru dočasný akt nemožno napadnúť žalobou, ak sa na protiprávnosť tohto aktu možno odvolávať na podporu žaloby smerujúcej proti konečnému rozhodnutiu, pre ktoré je tento akt prípravným aktom.
60
V prejednávanej veci podľa tohto účastníka konania sporné rozhodnutie predstavuje dočasný akt, ktorý je súčasťou nedeliteľného rozhodovacieho procesu vedeného írskym dozorným orgánom, ktorý vedie ku konečnému rozhodnutiu prijatému týmto orgánom. V tomto kontexte, hoci sú posúdenia výboru záväzné, nemožno ich priamo uplatniť voči spoločnosti WhatsApp a vo vzťahu k nej nemajú žiadny samostatný právny účinok v porovnaní s konečným rozhodnutím. Okolnosť, že sporné rozhodnutie obsahuje konečné stanovisko výboru, pokiaľ ide o určité aspekty, ktoré majú byť uvedené v konečnom rozhodnutí, teda neznamená, že sporné rozhodnutie samo osebe vedie k zmene odlišnej od právneho postavenia spoločnosti WhatsApp. Sporné rozhodnutie a konečné rozhodnutie boli totiž prijaté v rámci jednotného správneho konania pozostávajúceho zo vzájomne závislých etáp na vnútroštátnych a európskej úrovni, ktoré sa týkajú toho istého predmetu, a nie v nadväznosti na dve nezávislé konania, ktoré sa týkajú odlišných otázok.
61
V tejto súvislosti výbor spresňuje, že cieľom postupu riešenia sporov je zabezpečiť konzistentnosť vykonávania GDPR vnútroštátnymi orgánmi. V prejednávanej veci sporné rozhodnutie nevytvára pre WhatsApp nové zákonné povinnosti. Povinnosti tejto spoločnosti sú definované prostredníctvom samotného GDPR, a nie v spornom rozhodnutí, a uplatňujú ich írsky dozorný orgán, a nie výbor. Okrem toho tieto povinnosti boli uplatniteľné na WhatsApp pred tým, ako sa konštatovali predmetné porušenia.
62
Pokiaľ ide o údajné vonkajšie právne účinky sporného rozhodnutia, výbor tvrdí, že jeho výklad má záväzný účinok len medzi stranami, teda medzi dotknutými dozornými orgánmi. Sporné rozhodnutie sa okrem toho, že nemá priamy právny účinok na spoločnosť WhatsApp, týka obmedzených bodov uplatňovania GDPR, ktoré majú byť zahrnuté a rozvinuté v konečnom rozhodnutí. Hoci interpretácie GDPR prijaté výborom môžu mať určitú autoritu v budúcich veciach, ktoré sa budú týkať podobných právnych otázok, nie sú záväzné pre vnútroštátne súdy, ktoré by v prípade pochybností mali predložiť prejudiciálnu otázku Súdnemu dvoru.
63
Spolková republika Nemecko, ktorá vstúpila do konania ako vedľajší účastník na podporu návrhov výboru, tvrdí, že mechanizmus kontroly konzistentnosti stanovený v GDPR, vrátane postupu riešenia sporov, je čisto vnútorný a jeho jediným cieľom je dosiahnuť arbitráž v prípade rozdielnych názorov medzi dozornými orgánmi. Konkrétne z tretej vety článku 65 ods. 2 GDPR vyplýva, že opatrenie prijaté výborom v tomto rámci bude mať právne záväzný účinok len voči vnútroštátnym dozorným orgánom. Pre dotknutého prevádzkovateľa alebo sprostredkovateľa bude záväzné len konečné rozhodnutie.
– Posúdenie Súdnym dvorom
64
Prvá časť prvého odvolacieho dôvodu sa týka otázky, či sa Všeobecný súd dopustil nesprávneho právneho posúdenia, keď v bodoch 41 až 49 napadnutého uznesenia rozhodol, že sporné rozhodnutie nepredstavuje napadnuteľný akt podľa článku 263 prvého odseku ZFEÚ.
65
Podľa tohto ustanovenia Súdny dvor preskúmava najmä „zákonnosť aktov orgánov alebo úradov alebo agentúr Únie, ktoré zakladajú právne účinky voči tretím stranám“.
66
Podľa ustálenej judikatúry žalobu o neplatnosť upravenú v článku 263 ZFEÚ možno podať proti všetkým opatreniam prijatým orgánmi alebo úradmi alebo agentúrami Únie, ktoré majú vyvolávať záväzné právne účinky, bez ohľadu na ich formu (pozri v tomto zmysle rozsudok z 12. júla 2022, Nord Stream 2/Parlament a Rada, C‑348/20 P , EU:C:2022:548 , bod 62 , ako aj citovanú judikatúru).
67
Na účely určenia, či akt vyvoláva takéto účinky, a teda či môže byť napadnutý žalobou o neplatnosť podľa článku 263 ZFEÚ, je potrebné zamerať sa na podstatu tohto aktu a posúdiť tieto účinky podľa objektívnych kritérií, akými je obsah uvedeného aktu, a prípadne zohľadniť kontext, v akom bol tento akt prijatý, ako aj právomoci inštitúcie, orgánu alebo úradu alebo agentúry, ktorá je jeho autorom (pozri v tomto zmysle rozsudok z 12. júla 2022, Nord Stream 2/Parlament a Rada, C‑348/20 P , EU:C:2022:548 , bod 63 , ako aj citovanú judikatúru).
68
V tejto súvislosti, ako uviedla generálna advokátka v bodoch 79 a 121 svojich návrhov, z hľadiska článku 263 prvého odseku ZFEÚ tretia osoba, voči ktorej má predmetný akt právne účinky, nemusí byť nevyhnutne žalobcom. Postavenie tretej osoby má totiž každá fyzická alebo právnická osoba odlišná od autora tohto aktu. Preto na účely určenia, či uvedený akt vyvoláva takéto účinky, nie je potrebné overiť, či tieto účinky môžu ovplyvniť právne postavenie žalobcu, keďže toto overenie je relevantné len v rámci preskúmania dodržania podmienok stanovených v článku 263 štvrtom odseku ZFEÚ, podľa ktorých žalobu o neplatnosť proti aktu môže podať každá osoba, ktorej sa akt priamo a osobne týka, ak sa uplatní toto posledné uvedené ustanovenie (pozri v tomto zmysle rozsudok z 13. februára 2025, Swissgrid/Komisia, C‑121/23 P , EU:C:2025:83 , bod 46 ). Napadnuteľnosť aktu sa teda musí posudzovať objektívne, v závislosti od jeho podstaty, a nie v závislosti od žalobcu.
69
Vzhľadom na to treba pripomenúť, že v prípade aktov, ktoré sa vyhotovujú vo viacerých procesných etapách, je napadnuteľným aktom v zásade len opatrenie, ktoré s konečnou platnosťou vyjadruje stanovisko príslušnej inštitúcie, orgánu, úradu alebo agentúry Únie, s výnimkou dočasných opatrení, ktorých cieľom je pripraviť toto konečné opatrenie a ktoré nemajú samostatné právne účinky voči tretím osobám. Takéto dočasné opatrenia predstavujú najmä opatrenia vyjadrujúce predbežné stanovisko tejto inštitúcie, orgánu, úradu alebo agentúry Únie (pozri v tomto zmysle rozsudky z 11. novembra 1981, IBM/Komisia, 60/81 , EU:C:1981:264 , bod 10 ; z 22. septembra 2022, IMG/Komisia, C‑619/20 P a C‑620/20 P , EU:C:2022:722 , bod 103 , ako aj z 18. júna 2024, Komisia/SRB, C‑551/22 P , EU:C:2024:520 , bod 92 ).
70
Podľa judikatúry dočasné opatrenie nemôže byť predmetom žaloby o neplatnosť najmä vtedy, keď je preukázané, že na protiprávnosť tohto opatrenia sa možno odvolávať na podporu žaloby proti konečnému rozhodnutiu, ktorého je uvedené opatrenie prípravnou fázou. Za týchto podmienok poskytuje žaloba proti rozhodnutiu, ktorým sa konanie končí, záruku dostatočnej súdnej ochrany (pozri v tomto zmysle rozsudky z 11. novembra 1981, IBM/Komisia, 60/81 , EU:C:1981:264 , bod 12 , ako aj z 15. marca 2017, Stichting Woonlinie a i./Komisia, C‑414/15 P , EU:C:2017:215 , bod 46 , ako aj citovanú judikatúru).
71
V prejednávanej veci, pokiaľ ide o obsah dotknutého aktu a právomoci dotknutého orgánu, zo samotného znenia článku 65 ods. 1 písm. a) a ods. 2 GDPR a článku 68 ods. 1 GDPR vyplýva, že sporné rozhodnutie je aktom, ktorý pochádza od orgánu Únie a ktorý je záväzný pre tretie strany. Tento akt totiž zaväzuje vedúci dozorný orgán a všetky dotknuté dozorné orgány, ktoré sú jeho adresátmi a ktoré sú tretími stranami vo vzťahu k výboru. Podľa článku 65 ods. 6 GDPR musí vedúci dozorný orgán prijať svoje konečné rozhodnutie na základe rozhodnutia výboru. Toto konečné rozhodnutie musí tiež odkazovať na rozhodnutie výboru, ktoré musí byť k nemu pripojené.
72
Okrem toho, pokiaľ ide o kontext prijatia sporného rozhodnutia, je nesporné, že toto rozhodnutie bolo vypracované v rámci procesu zahŕňajúceho viacero procesných etáp v zmysle judikatúry uvedenej v bode 69 tohto rozsudku, keďže predchádza prijatiu iného aktu írskym dozorným orgánom. Toto rozhodnutie však v zmysle tejto judikatúry s konečnou platnosťou určuje stanovisko príslušného orgánu Únie, teda výboru, a vyčerpáva všetky otázky, o ktorých má tento orgán rozhodnúť. Treba totiž konštatovať, že takéto rozhodnutie prijaté na základe článku 65 ods. 1 písm. a) GDPR sa týka všetkých otázok, ktoré sú predmetom relevantnej a odôvodnenej námietky zo strany dotknutých dozorných orgánov v zmysle článku 60 ods. 4 GDPR, najmä otázky, či došlo k porušeniu GDPR.
73
Z vyššie uvedeného vyplýva, že hoci sporné rozhodnutie nepredstavuje poslednú etapu postupu kontroly konzistentnosti stanoveného v článkoch 58, 60 a 65 GDPR, nemožno ho na rozdiel od toho, ako rozhodol Všeobecný súd v bode 42 napadnutého uznesenia, kvalifikovať ako dočasné opatrenie, proti ktorému nemožno podať opravný prostriedok v zmysle judikatúry citovanej v bode 69 tohto rozsudku. V dôsledku toho je judikatúra pripomenutá v bode 70 tohto rozsudku v prejednávanej veci irelevantná.
74
V tomto kontexte, keďže rozhodnutie výboru má záväzné právne účinky voči tretím osobám, je irelevantná okolnosť, že rozsah konečného rozhodnutia vnútroštátneho dozorného orgánu zahŕňa otázky, ktoré nepatria do rámca postúpenia veci alebo do právomoci výboru.
75
Z rovnakých dôvodov okolnosť, ktorú uviedol Všeobecný súd v bode 42 napadnutého uznesenia, že na rozdiel od konečného rozhodnutia írskeho dozorného orgánu nie je sporné rozhodnutie uplatniteľné voči iným subjektom, než sú jeho adresáti, je tiež irelevantná na účely kvalifikácie tohto rozhodnutia ako napadnuteľného aktu podľa článku 263 prvého odseku ZFEÚ. Takáto okolnosť, ktorá sa týka právneho postavenia odvolateľky vo vzťahu k spornému rozhodnutiu, sa netýka ani podstaty sporného rozhodnutia, ani jeho záväzných právnych účinkov vzhľadom na objektívne kritériá.
76
Zo všetkých týchto úvah vyplýva, že sporné rozhodnutie predstavuje akt orgánu Únie, ktorý má vyvolávať právne účinky voči tretím osobám a ktorý vyjadruje konečné stanovisko tohto orgánu k otázkam, o ktorých má tento orgán rozhodnúť, ako to napokon konštatoval samotný Všeobecný súd v bodoch 36, 37 a 49 napadnutého uznesenia. Toto rozhodnutie tak vzhľadom na znenie článku 263 prvého odseku ZFEÚ a judikatúru citovanú v bodoch 66 až 69 tohto rozsudku predstavuje napadnuteľný akt bez toho, aby bolo v tomto štádiu potrebné posúdiť, či uvedené rozhodnutie malo za následok podstatnú zmenu právneho postavenia spoločnosti WhatsApp.
77
V tejto súvislosti treba konštatovať, že Všeobecný súd sa dopustil nesprávneho právneho posúdenia jednak v bode 38 napadnutého uznesenia tým, že zamenil požiadavky, ktoré vyplývajú z prvého a štvrtého odseku článku 263 ZFEÚ, a jednak v bode 42 napadnutého uznesenia tým, že stanovil nesprávne kritérium týkajúce sa neexistencie priamej uplatniteľnosti predmetného aktu voči spoločnosti WhatsApp, a tým, že kvalifikoval sporné rozhodnutie ako dočasné opatrenie, ktoré nemá samostatné právne účinky.
78
Prvej časti prvého odvolacieho dôvodu preto treba vyhovieť.
O druhej časti prvého odvolacieho dôvodu
– Argumentácia účastníkov konania
79
WhatsApp tvrdí, že Všeobecný súd sa dopustil nesprávneho právneho posúdenia, keď rozhodol, že WhatsApp nie je priamo dotknutá sporným rozhodnutím, a preto je jej žaloba neprípustná.
80
Na jednej strane, pokiaľ ide o podmienku, podľa ktorej by akt mal mať priame účinky na právne postavenie žalobcu, Všeobecný súd v bode 52 napadnutého uznesenia nesprávne dospel k záveru, že WhatsApp nebola priamo dotknutá sporným rozhodnutím z dôvodu, že toto rozhodnutie nebolo voči nej uplatniteľné a nepredstavovalo poslednú etapu konania stanoveného v článkoch 58, 60 a 65 GDPR.
81
Na druhej strane, pokiaľ ide o podmienku, podľa ktorej akt nesmie ponechávať žiadnu právomoc voľnej úvahy adresátom povereným jeho vykonaním, WhatsApp sa domnieva, že Všeobecný súd sa dopustil nesprávneho právneho posúdenia, keď v bodoch 53 až 60 napadnutého uznesenia rozhodol, že sporné rozhodnutie ponechalo írskemu dozornému orgánu mieru voľnej úvahy, pokiaľ ide o obsah jeho konečného rozhodnutia, pričom pripustil, že sporné rozhodnutie zaväzovalo tento dozorný orgán, pokiaľ ide o aspekty, ktorých sa týkalo.
82
Pokiaľ ide o body 54 až 56 napadnutého uznesenia, v ktorých sa Všeobecný súd domnieval, že obsah sporného rozhodnutia bol v porovnaní s konečným rozhodnutím čiastočný, WhatsApp tvrdí, že neexistenciu právomoci voľnej úvahy bolo potrebné preskúmať so zreteľom na samotnú podstatu sporného rozhodnutia bez odkazu na dodatočný obsah konečného rozhodnutia. Výbor totiž analyzoval len niektoré aspekty daného prípadu, a to otázky, ktoré boli predmetom relevantných a odôvodnených námietok zo strany dotknutých dozorných orgánov. Sporné rozhodnutie sa teda nemôže týkať celej veci a nemôže zahŕňať aspekty, ktoré nepatria do rámca postúpenia veci alebo do právomoci výboru.
83
Okrem toho sa Všeobecný súd dopustil nesprávneho právneho posúdenia, keď v bodoch 57 až 59 napadnutého uznesenia rozhodol, že írsky dozorný orgán uplatnil svoju právomoc voľnej úvahy na vyvodenie záverov zo sporného rozhodnutia. V prvom rade, pokiaľ ide o kvalifikáciu údajov, ktoré boli predmetom kompresie so stratou, ako osobných údajov, WhatsApp tvrdí, že táto kvalifikácia, ktorú vykonal výbor, zakladá pre ňu dodatočné povinnosti podľa GDPR, a to bez ohľadu na skutočnosť, že vedúci dozorný orgán vykonával právomoc voľnej úvahy nad rámec takejto kvalifikácie, keď overil, či WhatsApp konala ako prevádzkovateľ alebo sprostredkovateľ. V druhom rade, pokiaľ ide o zvýšenie pokút, ktoré sa majú uložiť spoločnosti WhatsApp, toto rozhodnutie nenechávalo írskemu dozornému orgánu mieru voľnej úvahy, keďže tento orgán bol povinný uložiť vyššiu pokutu, než aká bola pôvodne zamýšľaná. Skutočnosť, že tento orgán si ponecháva právomoc voľnej úvahy, pokiaľ ide o určenie presnej výšky pokuty, je irelevantná, keďže táto úloha patrí do právomoci uvedeného orgánu.
84
Výbor spochybňuje túto argumentáciu a tvrdí, že na to, aby fyzická alebo právnická osoba, ktorá nie je adresátom individuálneho aktu, bola priamo dotknutá aktom Únie, musia byť splnené dve kumulatívne kritériá. Na jednej strane by tento akt mal mať priamy vplyv na právne postavenie tejto osoby a na druhej strane by nemal ponechávať adresátovi poverenému jeho vykonaním žiadnu právomoc voľnej úvahy, tak aby jeho vykonanie bolo čisto automatické bez uplatnenia iných dočasných pravidiel.
85
Pokiaľ ide o prvé kritérium, tento účastník konania poznamenáva, že záväzný účinok aktu je potrebné posudzovať na základe jeho vplyvu na situáciu samotnej žalobkyne. V prejednávanej veci nemožno sporné rozhodnutie uplatniť voči spoločnosti WhatsApp spôsobom, ktorý by bez ďalších procesných krokov umožňoval vytvoriť zdroj povinností. Toto rozhodnutie nepredstavuje poslednú etapu konania uvedeného v článkoch 58, 60 a 65 GDPR a najmä neurčilo konečnú výšku pokuty, ani nedefinovalo nový súbor pravidiel pre činnosti spoločnosti WhatsApp. Spoločnosti WhatsApp sa teda priamo týka len konečné rozhodnutie, keďže írsky dozorný orgán je podľa článku 56 ods. 6 GDPR jediným partnerom tohto podniku v jeho postavení prevádzkovateľa.
86
Pokiaľ ide o druhé kritérium, výbor tvrdí, že írsky dozorný orgán si zachoval skutočnú právomoc voľnej úvahy, pokiaľ ide o závery, ktoré má uviesť vo svojom konečnom rozhodnutí, ktorá má širší rozsah ako sporné rozhodnutie a ktorá obsahuje konštatovania, ku ktorým výbor nebol vyzvaný sa vyjadriť, keďže predloženie veci tomuto výboru sa obmedzuje na otázky, ktoré boli predmetom relevantných a odôvodnených námietok. V každom prípade existuje vzájomná závislosť medzi sporným rozhodnutím a konečným rozhodnutím. Nie je možné oddeliť časti konečného rozhodnutia, ktoré zodpovedajú pokynom výboru, čo potvrdzuje skutočnosť, že výbor ponechal írskemu dozornému orgánu určitú mieru voľnej úvahy vo viacerých aspektoch.
87
Za týchto okolností by bol vnútroštátny súd v lepšej pozícii na preskúmanie tohto konečného rozhodnutia, pričom v prípade potreby by položil Súdnemu dvoru prejudiciálne otázky týkajúce sa ustanovení GDPR uplatňovaných tak ex offo , ako aj na základe pokynov výboru.
88
Podľa výboru si írsky dozorný orgán ponechal aj určitú mieru voľnej úvahy, pokiaľ ide o otázky uvedené v spornom rozhodnutí, najmä tie, ktoré sa týkajú jednak právnych dôsledkov, ktoré treba vyvodiť z kvalifikácie údajov podrobených kompresii so stratou ako osobných údajov, a jednak stanovenia výšky pokút, ktoré sa majú uložiť spoločnosti WhatsApp. Pokiaľ ide o tento prvý aspekt, tento orgán si ponechal diskrečnú právomoc a vykonal samostatné preskúmanie, najmä pokiaľ ide o dodržanie článku 14 GDPR. V tejto súvislosti je nesprávne tvrdiť, že výbor vykonal „úplné“ posúdenie, keďže jeho právomoc je obmedzená na obsah relevantných a odôvodnených námietok a nevzťahuje sa na celé konanie o porušení. Pokiaľ ide o druhý aspekt, a to stanovenie pokút, hoci sporné rozhodnutie obsahuje všeobecné pokyny týkajúce sa pokút, nezaoberá sa uplatňovaním týchto pokynov ani výpočtom týchto pokút.
89
Spolková republika Nemecko sa domnieva, že vzhľadom na to, že dozorný vedúci orgán bol jej jediným partnerom, WhatsApp nemožno považovať za priamo dotknutú sporným rozhodnutím. Takéto rozhodnutie nemá byť vykonané samostatne, ale musí po ňom vždy nasledovať konečné rozhodnutie tohto orgánu. Normotvorca Únie totiž zámerne zvolil decentralizovanú kontrolu GDPR bez toho, aby sa rozhodol zriadiť európsky a ústredný orgán pre ochranu údajov.
– Posúdenie Súdnym dvorom
90
Druhá časť prvého odvolacieho dôvodu sa týka toho, či sa Všeobecný súd dopustil nesprávneho právneho posúdenia, keď v bodoch 50 až 60 napadnutého uznesenia konštatoval, že sporné rozhodnutie sa priamo netýka spoločnosti WhatsApp v zmysle článku 263 štvrtého odseku ZFEÚ a že žaloba, ktorú podala WhatsApp, je v dôsledku toho neprípustná.
91
Podľa tohto ustanovenia akákoľvek fyzická alebo právnická osoba môže za podmienok ustanovených v prvom a druhom odseku článku 263 ZFEÚ podať žalobu proti aktom, ktoré sú jej určené alebo ktoré sa jej priamo a osobne týkajú, ako aj voči regulačným aktom, ktoré sa jej priamo týkajú a nevyžadujú vykonávacie opatrenia.
92
Prípustnosť žaloby podanej fyzickou alebo právnickou osobou proti aktu, ktorý jej nebol určený, sa teda v zmysle článku 263 štvrtého odseku ZFEÚ viaže na podmienku, že sa tento akt tejto osoby priamo a osobne dotýka (rozsudok z 3. decembra 2019, Iccrea Banca, C‑414/18 , EU:C:2019:1036 , bod 64 a citovaná judikatúra).
93
V prejednávanej veci, ako Všeobecný súd konštatoval v bode 40 napadnutého uznesenia, je preukázané, že WhatsApp je osobne dotknutá sporným rozhodnutím, keďže toto rozhodnutie sa týka určitých aspektov návrhu konečného rozhodnutia, ktoré sa špecificky týkajú situácie tohto podniku. V bodoch 52 a 53 tohto uznesenia však Všeobecný súd dospel k záveru, že WhatsApp nebola priamo dotknutá sporným rozhodnutím, a to jednak z toho dôvodu, že toto rozhodnutie nemalo voči WhatsApp charakter umožňujúci namietať ho voči nej, ktorý by bez dodatočnej etapy v konaní mohol byť pre ňu zdrojom povinností, alebo prípadne práv pre iných jednotlivcov, a na druhej strane, že aj keby sporné rozhodnutie bolo pre írsky dozorný orgán záväzné, pokiaľ ide o aspekty, ktorých sa týkalo, ponechávalo by mu určitú mieru voľnej úvahy, pokiaľ ide o obsah konečného rozhodnutia.
94
V tejto súvislosti je potrebné pripomenúť, že podľa ustálenej judikatúry podmienka, podľa ktorej sa musí rozhodnutie, ktoré je predmetom žaloby, priamo týkať fyzickej osoby alebo právnickej osoby, si vyžaduje splnenie dvoch kumulatívnych podmienok, a to po prvé, aby sporné opatrenie priamo ovplyvňovalo právne postavenie tejto osoby, a po druhé, aby neponechávalo žiadny priestor na voľnú úvahu jeho adresátom povereným jeho uplatňovaním, keďže má čisto automatický charakter a vyplýva zo samotnej právnej úpravy Únie bez uplatnenia iných sprostredkujúcich ustanovení (rozsudok zo 4. októbra 2024, Komisia a Rada/Front Polisario, C‑779/21 P a C‑799/21 P , EU:C:2024:835 , bod 87 , ako aj citovaná judikatúra).
95
Pred preskúmaním splnenia týchto dvoch podmienok v danom prípade treba spresniť, že absencia priamej uplatniteľnosti napadnutého aktu voči žalobcovi, ako aj okolnosť, že tento akt nepredstavuje poslednú etapu viacstupňového konania, nie sú prekážkou tomu, aby tento žalobca mohol byť priamo dotknutý uvedeným aktom, pokiaľ adresát tohto aktu nedisponuje žiadnou právomocou posúdenia (pozri v tomto zmysle rozsudky zo 4. júna 1992, Infortec/Komisia, C‑157/90 , EU:C:1992:243 , body 13 a 17 ; z 3. decembra 2019, Iccrea Banca, C‑414/18 , EU:C:2019:1036 , body 65 a 67 , ako aj z 12. júla 2022, Nord Stream 2/Parlament a Rada, C‑348/20 P , EU:C:2022:548 , bod 74 ).
96
V dôsledku toho, ako uviedla generálna advokátka v bodoch 139 a 144 svojich návrhov, Všeobecný súd sa dopustil nesprávneho právneho posúdenia, keď v bode 52 napadnutého uznesenia konštatoval, že WhatsApp nemôže byť priamo dotknutá sporným rozhodnutím z dôvodu, že toto rozhodnutie nie je uplatniteľné voči spoločnosti WhatsApp a nepredstavuje poslednú etapu postupu stanoveného v článkoch 58, 60 a 65 GDPR.
97
Pokiaľ ide o rešpektovanie prvej z podmienok pripomenutých bode 94 tohto rozsudku, treba posúdiť, či napadnutý akt je prameňom podstatnej zmeny právneho postavenia dotknutej fyzickej alebo právnickej osoby, pričom treba vychádzať z podstaty tohto aktu a posúdiť jeho účinky vzhľadom na objektívne kritériá, akými je obsah uvedeného aktu, a prípadne zohľadniť kontext, v akom bol tento akt prijatý, ako aj právomoci inštitúcie, orgánu, úradu alebo agentúry, ktorá je jeho autorom (pozri v tomto zmysle rozsudky z 11. novembra 1981, IBM/Komisia, 60/81 , EU:C:1981:264 , bod 9 , a z 18. júna 2024, Komisia/SRB, C‑551/22 P , EU:C:2024:520 , bod 65 , ako aj citovanú judikatúru).
98
V prejednávanej veci, ako je uvedené v bode 30 tohto rozsudku, výbor v spornom rozhodnutí okrem iného rozhodol, že WhatsApp porušila informačné povinnosti stanovené v článku 13 ods. 1 písm. d) GDPR a dopustila sa porušenia článku 13 ods. 2 písm. e) tohto uvedeného nariadenia. V dôsledku toho toto rozhodnutie mení právne postavenie spoločnosti WhatsApp, ktorá má v dôsledku zásahu výboru predovšetkým zmeniť svoj zmluvný vzťah s používateľmi služby zasielania správ poskytovanej spoločnosťou WhatsApp. Z toho vyplýva, že existuje priama súvislosť medzi uvedeným rozhodnutím a jeho účinkami na situáciu spoločnosti WhatsApp v zmysle judikatúry citovanej v bodoch 94 a 95 tohto rozsudku.
99
Na rozdiel od toho, čo tvrdí výbor, okolnosť, že írsky dozorný orgán je podľa článku 56 ods. 6 GDPR jediným partnerom spoločnosti WhatsApp ako prevádzkovateľa, nemá vplyv na toto konštatovanie. Cieľom tohto ustanovenia je totiž len organizácia vzťahov medzi prevádzkovateľom alebo sprostredkovateľom, vedúcim dozorným orgánom a dotknutými dozornými orgánmi, takže sa netýka opravných prostriedkov dostupných vo vzťahu k rozhodnutiam výboru.
100
Pokiaľ ide o dodržanie druhej z podmienok pripomenutých v bode 94 tohto rozsudku, na účely posúdenia, či akt ponecháva svojim adresátom mieru voľnej úvahy na jeho vykonanie, treba preskúmať právne účinky vytvárané ustanoveniami tohto aktu, voči ktorým smeruje žaloba, na situáciu osoby, ktorá sa odvoláva na právo podať žalobu na základe článku 263 štvrtého odseku druhej časti vety ZFEÚ (rozsudok z 12. júla 2022, Nord Stream 2/Parlament a Rada, C‑348/20 P , EU:C:2022:548 , bod 98 a citovaná judikatúra).
101
Existenciu takej miery voľnej úvahy treba odmietnuť, najmä ak sa preukáže, že ustanovenia aktu, proti ktorým žaloba smeruje, majú za priamy následok podriadenie tejto osoby povinnostiam, ktorých výsledok nebolo možné zmeniť zo strany orgánu povereného vykonaním tohto aktu (pozri v tomto zmysle rozsudok z 12. júla 2022, Nord Stream 2/Parlament a Rada, C‑348/20 P , EU:C:2022:548 , bod 114 ).
102
V prejednávanej veci, ako vyplýva z bodov 71 a 72 tohto rozsudku, treba pripomenúť, že sporné rozhodnutie zaväzuje vedúci dozorný orgán a dotknuté dozorné orgány. Tie sa nemôžu odchýliť od stanoviska, ktoré zaujal výbor v tomto rozhodnutí a ktoré bolo pripomenuté v bode 30 tohto rozsudku. Uvedené rozhodnutie sa totiž zaoberá právnymi otázkami, ktoré sú predmetom predloženia veci výboru, a bezpodmienečne zaväzuje tieto orgány, najmä pokiaľ ide o konštatovanie porušenia určitých ustanovení GDPR, kvalifikáciu údajov podrobených postupu kompresie so stratou ako osobných údajov, ako aj povinnosť zvýšiť výšku zvažovaných pokút. Uvedené orgány nemajú možnosť zmeniť výsledok posúdenia výboru, pokiaľ ide o tieto otázky, v zmysle judikatúry citovanej v predchádzajúcom bode tohto rozsudku.
103
V tejto súvislosti je podľa článku 70 ods. 1 písm. a) GDPR úlohou výboru zaistiť konzistentné uplatňovanie GDPR tým, že monitoruje a zabezpečuje, ako vyplýva z jeho odôvodnenia 10, konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní ich osobných údajov v celej Únii v prípadoch stanovených najmä v článku 65 GDPR bez toho, aby boli dotknuté úlohy vnútroštátnych dozorných orgánov.
104
V tejto súvislosti nie je dôležité, že rozsah konečného rozhodnutia sa vzťahuje na otázky, ktoré nepatria do rámca predloženia veci výboru, konkrétne na aspekty, ktoré neboli predmetom relevantných a odôvodnených námietok v zmysle článku 65 ods. 1 písm. a) GDPR, alebo na otázky, ktoré nepatria do právomoci tohto orgánu, ako je najmä stanovenie presnej výšky pokuty, ktorá sa má uložiť prevádzkovateľovi alebo sprostredkovateľovi, čo podľa článku 58 ods. 2 písm. i), ako aj článku 83 GDPR prislúcha dozornému orgánu konajúcemu vo veci.
105
Okrem toho, hoci medzi sporným rozhodnutím a konečným rozhodnutím existuje vzťah vzájomnej závislosti, nič to nemení na tom, že tieto rozhodnutia predstavujú odlišné akty a že rozsah sporného rozhodnutia je presne vymedzený, ako to vyplýva z výpočtu uvedeného v bode 30 tohto rozsudku. Za týchto podmienok tento vzťah vzájomnej závislosti nemôže brániť konštatovaniu, že WhatsApp je priamo dotknutá sporným rozhodnutím.
106
Konkrétne, hoci súčasné podanie žaloby o neplatnosť na súd Únie na základe článku 263 ZFEÚ proti záväznému rozhodnutiu výboru a na vnútroštátny súd podľa článku 78 GDPR vo vzťahu ku konečnému rozhodnutiu, ktoré prijal vnútroštátny dozorný orgán, na základe tohto záväzného rozhodnutia nepochybne vedie k dvom súbežným konaniam, táto situácia nemá za dôsledok, že účinky rozhodnutia výboru by sa mali v prejednávanej veci považovať za nepriame vo vzťahu k spoločnosti WhatsApp.
107
Na jednej strane totiž podľa judikatúry Súdneho dvora, keď rozhodnutie sporu, o ktorom rozhoduje vnútroštátny súd, závisí od platnosti rozhodnutia orgánu Únie, z povinnosti lojálnej spolupráce vyplýva, že s cieľom zabrániť prijatiu rozhodnutia nezlučiteľného s rozhodnutím tohto orgánu, vnútroštátny súd musí prerušiť konanie, až kým súdy Únie nevydajú konečné rozhodnutie o žalobe o neplatnosť, s výnimkou toho, že sa domnieva, že za okolností prejednávanej veci je odôvodnené položiť Súdnemu dvoru prejudiciálnu otázku týkajúcu sa platnosti rozhodnutia uvedeného orgánu (pozri v tomto zmysle rozsudky zo 14. decembra 2000, Masterfoods a HB, C‑344/98 , EU:C:2000:689 , bod 57 , ako aj z 25. júla 2018, Georgsmarienhütte a i., C‑135/16 , EU:C:2018:582 , bod 24 ).
108
Na druhej strane je tiež potrebné uviesť, že zásada riadneho výkonu spravodlivosti v prípade súbežného predloženia veci Všeobecnému súdu v rámci žaloby o neplatnosť a Súdnemu dvoru v rámci konania o návrhu na začatie prejudiciálneho konania môže odôvodniť rozhodnutie Súdneho dvora, ak to považuje za vhodné, uplatniť článok 54 tretí odsek Štatútu Súdneho dvora Európskej únie s cieľom prerušiť pred ním prebiehajúce konanie v prospech konania začatého pred Všeobecným súdom (rozsudok z 25. júla 2018, Georgsmarienhütte a i., C‑135/16 , EU:C:2018:582 , bod 25 ).
109
V dôsledku toho, keďže obe podmienky uvedené v bode 94 tohto rozsudku sú splnené, WhatsApp je priamo dotknutá sporným rozhodnutím.
110
Vzhľadom na predchádzajúce úvahy je teda potrebné vyhovieť druhej časti prvého odvolacieho dôvodu a v dôsledku toho zrušiť napadnuté uznesenie.
O tretej časti prvého odvolacieho dôvodu
111
V tretej časti svojho prvého odvolacieho dôvodu WhatsApp tvrdí, že konštatovanie Všeobecného súdu v bodoch 66 až 70 napadnutého uznesenia, podľa ktorého neprípustnosť jej žaloby je v súlade s logikou systému súdnych prostriedkov nápravy ustanoveného Zmluvami o EÚ a o FEÚ, vychádza z nesprávneho právneho posúdenia.
112
Vzhľadom na záver uvedený v bode 110 tohto rozsudku nie je potrebné rozhodnúť o tretej časti prvého odvolacieho dôvodu.
O druhom odvolacom dôvode založenom na nesprávnom právnom posúdení pri výklade a uplatnení článku 65 GDPR a zásady jednotného uplatňovania práva Únie
113
WhatsApp s odkazom na argumentáciu rozvinutú v rámci prvého odvolacieho dôvodu tvrdí, že Všeobecný súd porušil článok 65 ods. 1 GDPR a zásadu jednotného uplatňovania práva Únie, keď v bodoch 41 až 60 napadnutého uznesenia rozhodol, že sporné rozhodnutie nevytvára iné právne účinky, než svoje záväzné účinky voči dotknutým dozorným orgánom.
114
Keďže WhatsApp sa obmedzuje na to, že len odkazuje na argumentáciu uvedenú na podporu svojho prvého odvolacieho dôvodu a vzhľadom na záver uvedený v bode 110 tohto rozsudku, nie je potrebné rozhodnúť o tomto druhom odvolacom dôvode, keďže tento druhý odvolací dôvod nemôže viesť k zrušeniu napadnutého uznesenia v širšom rozsahu.
O vrátení veci Všeobecnému súdu
115
V súlade s článkom 61 prvým odsekom Štatútu Súdneho dvora Európskej únie môže Súdny dvor v prípade zrušenia rozhodnutia Všeobecného súdu vydať konečný rozsudok sám, ak to stav konania dovoľuje.
116
Táto podmienka je v prejednávanej veci splnená len v rozsahu, v akom sa vec týka prípustnosti žaloby podanej na Všeobecný súd.
117
V tejto súvislosti po prvé, ako vyplýva z bodu 76 tohto rozsudku, sporné rozhodnutie predstavuje napadnuteľný akt v zmysle článku 263 prvého odseku ZFEÚ. Po druhé, ako bolo konštatované v bode 109 tohto rozsudku, WhatsApp je priamo dotknutá sporným rozhodnutím v zmysle článku 263 štvrtého odseku ZFEÚ. Po tretie toto rozhodnutie sa spoločnosti WhatsApp osobne týka, ako to v bode 40 napadnutého uznesenia konštatoval aj samotný Všeobecný súd.
118
V dôsledku toho, keďže podmienky zakotvené v prvom a štvrtom odseku článku 263 ZFEÚ sú splnené, a pri absencii akéhokoľvek iného dôvodu neprípustnosti, sa žaloba o neplatnosť vyhlasuje za prípustnú.
119
Keďže však Všeobecný súd nepreskúmal dôvodnosť žaloby, ktorá mu bola predložená, čo si vyžaduje podrobné skutkové a právne posúdenie, stav konania nedovoľuje rozhodnúť vo veci.
120
V dôsledku toho treba vrátiť vec na rozhodnutie Všeobecnému súdu.
O trovách
121
Vzhľadom na to, že vec sa vracia Všeobecnému súdu, o trovách tohto odvolacieho konania sa rozhodne neskôr.
Z týchto dôvodov Súdny dvor (veľká komora) rozhodol takto:
1.
Uznesenie
Všeobecného súdu Európskej únie zo 7. decembra 2022, WhatsApp Ireland/Európsky výbor pre ochranu údajov ( T‑709/21 , EU:T:2022:783 ), sa zrušuje.
2.
Vec sa vracia Všeobecnému súdu Európskej únie.
3.
O trovách konania sa rozhodne neskôr.
Podpisy
( *1 ) Jazyk konania: angličtina.