1

Kasačním opravným prostředkem se společnost WhatsApp Ireland Ltd (dále jen „WhatsApp“) domáhá zrušení usnesení Tribunálu Evropské unie ze dne 7. prosince 2022, WhatsApp Ireland v. Evropský sbor pro ochranu osobních údajů (T‑709/21, dále jen napadené usnesení, EU:T:2022:783), kterým Tribunál odmítl jako nepřípustnou její žalobu znějící na zrušení závazného rozhodnutí Evropského sboru pro ochranu osobních údajů 1/2021 (dále jen „Sbor“), ze dne 28. července 2021, týkajícího se sporu mezi dotčenými dozorovými úřady, jenž vznikl ohledně návrhu rozhodnutí týkajícího se společnosti WhatsApp, vypracovaného Data Protection Commission (DPC) (Úřad pro ochranu údajů, Irsko) (dále jen „irský dozorový úřad“) (dále jen „sporné rozhodnutí“).

2

Body 10 a 143 odůvodnění nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a opravy Úř. věst. 2018, L 127, s. 2, Úř. věst. 2021, L 74, s. 35) (dále jen „GDPR“) uvádějí:

[...]

3

Článek 5 GDPR, nadepsaný „Zásady zpracování osobních údajů“, v odst. 1 písm. a) stanoví, že osobní údaje musí být ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem. Článek 5 odst. 1 písm. c) tohoto nařízení stanoví, že tyto údaje musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány.

4

Článek 6 GDPR, nadepsaný „Zákonnost zpracování“, stanoví podmínky zákonnosti zpracování osobních údajů. Odstavec 1 tohoto článku 6 stanoví:

„Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.“

5

Článek 12 GDPR obsahuje ustanovení týkající se transparentních informací, sdělení a postupů pro výkon práv subjektu údajů. Odstavec 1 tohoto článku 12 stanoví:

„Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování, zejména pokud se jedná o informace určené konkrétně dítěti. Informace poskytne písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě. Pokud si to subjekt údajů vyžádá, mohou být informace poskytnuty ústně, a to za předpokladu, že identita subjektu údajů je prokázána jinými způsoby.“

6

Článek 13 GDPR, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, stanoví:

„1.   Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

2.   Vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů v okamžiku získání osobních údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování:

[...]“

7

Článek 14 GDPR se týká informací poskytovaných v případě, že osobní údaje nebyly získány od subjektu údajů.

8

Podle čl. 55 odst. 1 GDPR je každý dozorový úřad na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.

9

Článek 56 GDPR, nadepsaný „Příslušnost vedoucího dozorového úřadu“, stanoví:

„1.   Aniž je dotčen článek 55, je dozorový úřad pro hlavní nebo jedinou provozovnu správce či zpracovatele příslušný k tomu, aby jednal jako vedoucí dozorový úřad v případě přeshraničního zpracování prováděného tímto správcem či zpracovatelem v souladu s postupem stanoveným v článku 60.

2.   Odchylně od odstavce 1 je každý dozorový úřad příslušný k tomu, aby se zabýval stížnostmi, které u něj byly podány, nebo možným porušením tohoto nařízení, pokud se daná záležitost týká pouze provozovny v jeho členském státě nebo jsou touto záležitostí podstatným způsobem dotčeny subjekty údajů pouze v jeho členském státě.

3.   V případech uvedených v odstavci 2 tohoto článku daný dozorový úřad o této záležitosti neprodleně informuje vedoucí dozorový úřad. Ve lhůtě tří týdnů po obdržení těchto informací vedoucí dozorový úřad rozhodne, zda se postupem podle článku 60 bude danou věcí zabývat či nikoli, a zohlední přitom, zda se v členském státě dozorového úřadu, který jej informoval, nachází provozovna správce nebo zpracovatele či nikoli.

4.   Pokud vedoucí dozorový úřad rozhodne, že se věcí zabývat bude, použije se postup podle článku 60. Dozorový úřad, který vedoucí dozorový úřad informoval, může vedoucímu dozorovému úřadu předložit návrh rozhodnutí. Vedoucí dozorový úřad tento návrh co nejvíce zohlední při přípravě návrhu rozhodnutí podle čl. 60 odst. 3.

5.   Pokud vedoucí dozorový úřad rozhodne, že se věcí zabývat nebude, zabývá se jí v souladu s články 61 a 62 dozorový úřad, který informoval vedoucí dozorový úřad.

6.   Provádějí-li správce či zpracovatel přeshraniční zpracování, je pro ně jediným příslušným orgánem vedoucí dozorový úřad.“

10

Článek 57 GDPR, nadepsaný „Úkoly“, v odst. 1 písm. h) stanoví, že každý dozorový úřad na území svého členského státu provádí šetření o uplatňování tohoto nařízení.

11

Vyšetřovací pravomoci tohoto orgánu jsou vyjmenovány v čl. 58 odst. 1 GDPR, nadepsaném „Pravomoci“. Odstavec 2 tohoto článku vyjmenovává nápravná opatření, která může uvedený úřad přijmout, včetně nápravných opatření uvedených v písmenech b), d) a i) tohoto odstavce, která spočívají v udělení napomenutí správci či zpracovateli, jehož operace zpracování porušily GDPR, v nařízení správci či zpracovateli, aby uvedl operace zpracování do souladu s ustanoveními GDPR, a to případně předepsaným způsobem a ve stanovené lhůtě, a v uložení správní pokuty podle článku 83 GDPR.

12

Článek 60 GDPR, nadepsaný „Spolupráce mezi vedoucím dozorovým úřadem a dalšími dotčenými dozorovými úřady“, stanoví:

„1.   Vedoucí dozorový úřad spolupracuje s ostatními dotčenými dozorovými úřady v souladu s tímto článkem ve snaze dosáhnout konsensu. Vedoucí dozorový úřad a dotčené dozorové úřady si vzájemně vyměňují veškeré relevantní informace.

2.   Vedoucí dozorový úřad může kdykoliv požádat další dotčené dozorové úřady o poskytnutí vzájemné pomoci podle článku 61 a může provádět společné postupy podle článku 62, zejména pokud jde o vedení šetření nebo monitorování provádění opatření týkajících se správce či zpracovatele usazených v jiném členském státě.

3.   Vedoucí dozorový úřad neprodleně sdělí relevantní informace o dané záležitosti ostatním dotčeným dozorovým úřadům. Neprodleně předloží ostatním dotčeným dozorovým úřadům návrh rozhodnutí, aby se k němu vyjádřily, a řádně zohlední jejich stanoviska.

4.   Pokud ve lhůtě čtyř týdnů kterýkoliv z ostatních dotčených dozorových úřadů poté, co byl v souladu s odstavcem 3 tohoto článku konzultován, vznese k návrhu rozhodnutí relevantní a odůvodněnou námitku, postoupí vedoucí dozorový úřad v případě, že relevantní a odůvodněnou námitku nesdílí nebo ji považuje za irelevantní či nedůvodnou [neodůvodněnou], záležitost k řešení v rámci mechanismu jednotnosti uvedeného v článku 63.

5.   Pokud má vedoucí dozorový úřad v úmyslu vznesenou relevantní a odůvodněnou námitku zohlednit, předloží ostatním dotčeným dozorovým úřadům revidovaný návrh rozhodnutí k vyjádření. Tento revidovaný návrh rozhodnutí podléhá postupu uvedenému v odstavci 4 v rámci dvoutýdenní lhůty.

6.   Pokud ve lhůtě uvedené v odstavcích 4 a 5 nevznesl žádný z ostatních dotčených dozorových úřadů námitku proti návrhu rozhodnutí předloženému vedoucím dozorovým úřadem, má se za to, že vedoucí dozorový úřad a dotčené dozorové úřady s tímto návrhem rozhodnutí souhlasí a toto rozhodnutí je pro ně závazné.

7.   Vedoucí dozorový úřad dané rozhodnutí přijme, ohlásí [oznámí] je hlavní nebo jediné provozovně správce či zpracovatele a o daném rozhodnutí včetně shrnutí relevantních skutečností a důvodů informuje ostatní dotčené dozorové úřady a Sbor. Dozorový úřad, u něhož byla podána stížnost, informuje o daném rozhodnutí stěžovatele.

8.   Odchylně od odstavce 7, pokud je stížnost odmítnuta nebo zamítnuta, přijme rozhodnutí dozorový úřad, u něhož byla stížnost podána; tento úřad oznámí rozhodnutí stěžovateli a informuje o něm správce.

9.   Pokud se vedoucí dozorový úřad a dotčené dozorové úřady shodnou na tom, že určité části stížnosti odmítnou nebo zamítnou a že budou reagovat na jiné části této stížnosti, přijme se pro každou z těchto částí dané věci samostatné rozhodnutí. Vedoucí dozorový úřad přijme rozhodnutí o části týkající se úkonů souvisejících se správcem, ohlásí [oznámí] je hlavní nebo jediné provozovně správce či zpracovatele na území svého členského státu a informuje o něm stěžovatele, zatímco dozorový úřad stěžovatele přijme rozhodnutí o části týkající se odmítnutí či zamítnutí této stížnosti, oznámí je danému stěžovateli a informuje o něm správce nebo zpracovatele.

10.   Poté, co mu bylo oznámeno rozhodnutí vedoucího dozorového úřadu podle odstavců 7 a 9, přijme správce nebo zpracovatel opatření nezbytná k zajištění souladu s daným rozhodnutím, pokud jde o činnosti zpracování prováděné v souvislosti se všemi jeho provozovnami v Unii. Správce nebo zpracovatel oznámí opatření přijatá k zajištění souladu s daným rozhodnutím vedoucímu dozorovému úřadu, který o tom informuje ostatní dotčené dozorové úřady.

11.   Pokud má za výjimečných okolností dotčený dozorový úřad důvody se domnívat, že je třeba naléhavě jednat, aby byly ochráněny zájmy subjektů údajů, použije se postup pro naléhavé případy podle článku 66.

12.   Vedoucí dozorový úřad a ostatní dotčené dozorové úřady si vzájemně poskytují informace požadované podle tohoto článku, a to v elektronické formě za použití standardizovaného formátu.“

13

Článek 63 GDPR, nadepsaný „Mechanismus jednotnosti“, stanoví:

„S cílem přispět k jednotnému uplatňování tohoto nařízení v celé Unii spolupracují dozorové úřady mezi sebou navzájem a ve vhodných případech s Komisí prostřednictvím mechanismu jednotnosti [...]“

14

Článek 65 GDPR, nadepsaný „Řešení sporů sborem“, stanoví:

„1.   S cílem zajistit, aby toto nařízení bylo v jednotlivých případech správně a důsledně uplatňováno, přijme sbor závazné rozhodnutí v těchto případech:

2.   Rozhodnutí uvedené v odstavci 1 přijmou do jednoho měsíce od postoupení dané záležitosti členové sboru dvoutřetinovou většinou. Tato lhůta může být z důvodu složitosti dané záležitosti prodloužena o další měsíc. Rozhodnutí uvedené v odstavci 1 musí být odůvodněno a určeno vedoucímu dozorovému úřadu a všem dotčeným dozorovým úřadům a je pro ně závazné.

3.   Pokud sbor nemohl rozhodnutí přijmout ve lhůtách uvedených v odstavci 2, přijme své rozhodnutí do dvou týdnů po uplynutí druhého měsíce uvedeného v odstavci 2 prostou většinou svých členů. Pokud členové sboru hlasují nerozhodně, rozhodnutí se přijme na základě hlasu jeho předsedy.

4.   Během lhůt uvedených v odstavcích 2 a 3 nepřijmou dotčené dozorové úřady žádné rozhodnutí o záležitosti předložené sboru podle odstavce 1.

5.   Předseda sboru bez zbytečného odkladu oznámí rozhodnutí uvedené v odstavci 1 dotčeným dozorovým úřadům. Uvědomí o tom Komisi. Rozhodnutí se neprodleně zveřejní na internetových stránkách sboru poté, co dozorový úřad oznámil konečné rozhodnutí podle odstavce 6.

6.   Vedoucí dozorový úřad nebo dozorový úřad, u něhož byla stížnost podána, přijme své konečné rozhodnutí na základě rozhodnutí uvedeného v odstavci 1 tohoto článku bez zbytečného odkladu a nejpozději do jednoho měsíce poté, co sbor oznámil své rozhodnutí. Vedoucí dozorový úřad nebo dozorový úřad, u něhož byla stížnost podána, informuje sbor o dni oznámení svého konečného rozhodnutí správci nebo zpracovateli a subjektu údajů. Konečné rozhodnutí dotčených dozorových úřadů se přijme podle čl. 60 odst. 7, 8 a 9. Konečné rozhodnutí musí odkazovat na rozhodnutí uvedené v odstavci 1 tohoto článku a uvádět, že rozhodnutí zmíněné v uvedeném odstavci bude zveřejněno na internetových stránkách sboru v souladu s odstavcem 5 tohoto článku. Ke konečnému rozhodnutí se přiloží rozhodnutí uvedené v odstavci 1 tohoto článku.“

15

Článek 68 GDPR, nadepsaný „[Sbor]“, v odstavci 1 stanoví, že se zřizuje sbor jako subjekt Unie s právní subjektivitou.

16

Článek 70 GDPR, nadepsaný „Úkoly sboru“, v odst. 1 písm. a) stanoví, že sbor zajišťuje jednotné uplatňování GDPR. Za tímto účelem sbor z vlastního podnětu nebo případně na žádost Komise zejména monitoruje a zajišťuje řádné uplatňování GDPR v případech uvedených v článcích 64 a 65, aniž jsou dotčeny úkoly vnitrostátních dozorových úřadů.

17

Článek 78 GDPR, nadepsaný „Právo na účinnou soudní ochranu vůči dozorovému úřadu“, stanoví:

„1.   Aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každá fyzická nebo právnická osoba právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká.

2.   Aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každý subjekt údajů právo na účinnou soudní ochranu, pokud se dozorový úřad, který je příslušný podle článků 55 a 56, stížností nezabývá nebo pokud neinformuje subjekt údajů do tří měsíců o pokroku v řešení stížnosti podané podle článku 77 či o jeho výsledku.

3.   Řízení proti dozorovému úřadu se zahajuje u soudů toho členského státu, v němž je daný dozorový úřad zřízen.

4.   Je-li zahájeno řízení proti rozhodnutí dozorového úřadu, kterému předcházelo stanovisko nebo rozhodnutí sboru v rámci mechanismu jednotnosti, dozorový úřad toto stanovisko nebo rozhodnutí předloží soudu.“

18

Článek 83 GDPR stanoví obecné podmínky pro ukládání správních pokut.

19

Skutečnosti předcházející sporu jsou uvedeny v bodech 2 až 12 napadeného usnesení a pro potřeby tohoto řízení je lze shrnout následovně.

20

Poté, co vstoupilo v platnost GDPR, obdržel irský dozorový úřad stížnosti z řad uživatelů aplikace pro zasílání textových zpráv „WhatsApp“ i osob, které tuto aplikaci nepoužívají, jež se týkaly zpracování osobních údajů společností WhatsApp. Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Spolkový zmocněnec pro ochranu osobních údajů a svobodu informací, Německo) kromě toho požádal irský dozorový úřad o pomoc v souvislosti s tím, zda společnost WhatsApp dodržuje povinnosti transparentnosti, které mají správci osobních údajů, pokud jde o případné sdílení takových údajů s dalšími subjekty skupiny Facebook, která se v září 2021 přejmenovala na „Meta“.

21

Irský dozorový úřad zahájil v prosinci 2018 z moci úřední všeobecné šetření týkající se toho, zda společnost WhatsApp dodržuje povinnosti transparentnosti a povinnosti informovat jednotlivce, které jsou uvedeny v článcích 12 až 14 GDPR, s tím, že tím není dotčeno jeho rozhodnutí o jednotlivých stížnostech a žádostech, které k němu byly předloženy. Irský dozorový úřad v tomto ohledu vystupoval jako vedoucí dozorový úřad podle čl. 56 odst. 1 GDPR, jelikož společnost WhatsApp měla coby správce pro operace v rámci aplikace pro zasílání textových zpráv „WhatsApp“ v Evropě hlavní provozovnu v Irsku a zpracování osobních údajů mělo přeshraniční povahu.

22

Poté, co byla fáze vyšetřování ukončena v září 2019 předložením závěrečné zprávy vyšetřovatele, předložil irský dozorový úřad po ukončení průběžných procesních fází, během nichž společnost WhatsApp sdělila své připomínky, v prosinci 2020 všem ostatním dozorovým úřadům dotčeným ve věci návrh rozhodnutí, aby se k němu vyjádřily v souladu s čl. 60 odst. 3 GDPR.

23

V lednu 2021 osm z těchto ostatních dozorových úřadů vyjádřilo námitky k některým aspektům tohoto návrhu rozhodnutí. Irský dozorový úřad na tyto námitky odpověděl skupinově a navrhl kompromisní řešení. V návaznosti na tuto odpověď sice vzal jeden z těchto osmi dozorových úřadů zpět jednu ze svých námitek, avšak irský dozorový úřad konstatoval, že nepanuje shoda o ostatních aspektech, které byly předmětem námitek. Rozhodl se všechny obdržené námitky zamítnout a obrátit se na Sbor, který by spor mezi dotčenými dozorovými úřady ohledně aspektů, kterých se tyto námitky týkaly, vyřešil v souladu s ustanoveními čl. 60 odst. 4 a čl. 65 odst. 1 písm. a) GDPR.

24

V květnu 2021 obdržel irský dozorový úřad písemné vyjádření společnosti WhatsApp ke skutečnostem projednávaným mezi dotčenými dozorovými úřady poté, co jí předal všechny podklady, jež si s nimi v tomto ohledu vyměnil, a sám předal uvedené vyjádření Sboru, aby se s ním seznámil v rámci postupu pro řešení sporů, který Sbor zahájil v červnu 2021.

25

Dne 28. července 2021 přijal Sbor sporné rozhodnutí na základě čl. 65 odst. 2 GDPR.

26

Poté, co irský dozorový úřad obdržel sporné rozhodnutí a od společnosti WhatsApp obdržel vyjádření k peněžitým sankcím, které jí hodlal v konečném důsledku uložit na základě tohoto rozhodnutí, přijal tento dozorový úřad dne 20. srpna 2021 v souladu s čl. 65 odst. 6 GDPR konečné rozhodnutí určené společnosti WhatsApp (dále jen „konečné rozhodnutí“).

27

V konečném rozhodnutí irský dozorový úřad konstatoval, že společnost WhatsApp porušila zásadu a povinnosti transparentnosti stanovené v čl. 5 odst. 1 písm. a), čl. 12 odst. 1, čl. 13 odst. 1 písm. c) až f), čl. 13 odst. 2 písm. a), c) a e) a v článku 14 GDPR. Tento úřad naproti tomu uvedl, že společnost WhatsApp splnila povinnosti stanovené v čl. 13 odst. 1 písm. a) a b), jakož i v čl. 13 odst. 2 písm. b) a d) GDPR. V rámci nápravných opatření přijatých na základě čl. 58 odst. 2 písm. b), d) a i) GDPR udělil uvedený úřad společnosti WhatsApp napomenutí a dále jí uložil povinnost přijmout řadu opatření uvedených v příloze, jejichž prostřednictvím mělo být do tří měsíců dosaženo souladu s ustanoveními GDPR, která byla porušena, jakož i čtyři správní pokuty v celkové výši 225 milionů eur za zjištěná porušení čl. 5 odst. 1 písm. a) a článků 12 až 14 GDPR.

28

Kromě toho irský dozorový úřad v konečném rozhodnutí identifikoval aspekty, ve vztahu k nimž mu sporné rozhodnutí ukládalo povinnost přezkoumat posouzení uvedené v jeho návrhu rozhodnutí. Stran těchto aspektů se rozhodl převzít důvody uvedené Sborem ve sporném rozhodnutí jako takové a uvést je v podbarvených pasážích a pouze z nich vyvodit důsledky vždy zvlášť v závěrečném odstavci.

29

V souladu s čl. 65 odst. 6 GDPR bylo sporné rozhodnutí přiloženo ke konečnému rozhodnutí.

30

Ve sporném rozhodnutí Sbor zaujal stanovisko k otázkám, k nimž byly vyjádřeny relevantní a odůvodněné námitky ve smyslu čl. 65 odst. 1 písm. a) GDPR, a sice:

31

Společnost WhatsApp napadla konečné rozhodnutí u irského soudu.

32

Návrhem došlým kanceláři Tribunálu dne 1. listopadu 2021 podala společnost WhatsApp na základě článku 263 SFEU žalobu znějící na zrušení sporného rozhodnutí.

33

Tribunál napadeným usnesením, které bylo přijato na základě článku 129 jeho jednacího řádu, uvedenou žalobu odmítl jako nepřípustnou.

34

Tribunál sice v bodech 36, 37 a 40 napadeného usnesení uvedl, že sporné rozhodnutí představuje akt unijního orgánu, který má právní účinky vůči třetím osobám, a že společnost WhatsApp je tímto rozhodnutím osobně dotčena, avšak v bodě 42 napadeného usnesení uvedl, že uvedené rozhodnutí je přípravným nebo mezitímním aktem v řízení, které musí být ukončeno přijetím konečného rozhodnutí vnitrostátního dozorového orgánu. Tribunál měl přitom v bodech 43 a 44 napadeného usnesení za to, že takový akt je „napadnutelným aktem“ pouze tehdy, pokud má samostatné právní účinky, ve vztahu k nimž by mohla být poskytnuta záruka dostatečné soudní ochrany v rámci žaloby proti rozhodnutí, kterým se končí řízení.

35

V tomto ohledu Tribunál v bodě 45 napadeného usnesení konstatoval, že v projednávané věci je účinná soudní ochrana proti spornému rozhodnutí zaručena prostřednictvím opravného prostředku, který může společnost WhatsApp podat k vnitrostátnímu soudu proti konečnému rozhodnutí, přičemž tento vnitrostátní soud je na základě článku 267 SFEU oprávněn předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce týkající se platnosti sporného rozhodnutí. Tribunál rovněž v bodě 46 napadeného usnesení upřesnil, že sporné rozhodnutí nevyvolává vůči společnosti WhatsApp samostatné právní účinky ve srovnání s konečným rozhodnutí irského dozorového úřadu.

36

Kromě toho měl Tribunál v bodě 49 napadeného usnesení za to, že skutečnost, že takový mezitímní akt vyjadřuje konečné stanovisko orgánu, které bude muset být převzato do konečného rozhodnutí, jímž dotčené řízení končí, nutně neznamená, že tento akt sám o sobě podstatným způsobem mění právní postavení žalobce.

37

Tribunál dále v bodě 50 napadeného usnesení uvedl, že společnost WhatsApp není sporným rozhodnutím bezprostředně dotčena. Tribunál v bodě 52 tohoto usnesení poznamenal, že toto rozhodnutí nelze uplatňovat vůči společnosti WhatsApp tak, aby z něj bez další fáze řízení mohly pro tuto společnost vyplývat povinnosti nebo případně práva pro jiné jednotlivce, takže nemá bezprostřední právní účinky na postavení společnosti WhatsApp. Tribunál v bodě 53 uvedeného usnesení rovněž uvedl, že i když byl irský dozorový úřad sporným rozhodnutím vázán, pokud jde o aspekty, kterých se týkalo, ponechávalo mu nicméně prostor pro uvážení stran obsahu konečného rozhodnutí.

38

V bodech 61 a 62 téhož usnesení Tribunál rozhodl, že nebyla splněna žádná z podmínek vyžadovaných k tomu, aby byla společnost WhatsApp považována za bezprostředně dotčenou opatřením, které je předmětem její žaloby, a že tato žaloba je tudíž nepřípustná.

39

Konečně Tribunál v bodech 66 až 70 napadeného usnesení rozhodl, že výsledek jeho analýzy zapadá do logiky systému procesních prostředků zavedeného Smlouvami. Tribunál zejména konstatoval, že přípustnost žaloby společnosti WhatsApp proti spornému rozhodnutí představuje riziko souběžných soudních řízení před unijním soudem a vnitrostátním soudem, přičemž vnitrostátní soud je mimoto oprávněn předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce za účelem posouzení platnosti tohoto rozhodnutí.

40

Společnost WhatsApp v kasačním opravném prostředku navrhuje, aby Soudní dvůr:

41

Sbor, podporovaný ve svých návrhových žádáních Spolkovou republikou Německo, navrhuje, aby Soudní dvůr:

42

Sbor tvrdí, že žaloba v prvním stupni byla podána opožděně. V tomto ohledu tvrdí, že se společnost WhatsApp seznámila s relevantními částmi sporného rozhodnutí před tím, než je zveřejnil na svých internetových stránkách, konkrétně dne 13. srpna 2021. Bez ohledu na datum zveřejnění sporného rozhodnutí na internetových stránkách Sboru, které ostatně nelze stavět na roveň zveřejnění v Úředním věstníku Evropské unie, tedy lhůta pro podání žaloby začala běžet od 13. srpna 2021 a uplynula dne 25. října 2021. Vzhledem k tomu, že společnost WhatsApp podala žalobu na neplatnost dne 1. listopadu 2021, byla tato žaloba podána opožděně.

43

Společnost WhatsApp tvrdí, že tvrzení Sboru, že její žaloba byla podána opožděně, je nesprávné. Pokud totiž žalobce není adresátem aktu, určuje počátek běhu lhůty pro podání žaloby datum zveřejnění tohoto aktu. Datum, kdy se o něm dozvěděl, představuje v tomto ohledu pouze podpůrné kritérium. Způsob zveřejnění uvedeného aktu je podle ní irelevantní. V projednávané věci bylo sporné rozhodnutí v každém případě zveřejněno na internetových stránkách Sboru dne 2. září 2021 a žaloba byla podána dne 1. listopadu 2021 v souladu se lhůtou stanovenou v čl. 263 šestém pododstavci SFEU.

44

Podle čl. 263 šestého pododstavce SFEU musí být žaloby uvedené v tomto článku podány ve lhůtě dvou měsíců, a to podle okolností ode dne vyhlášení příslušného aktu, ode dne jeho oznámení navrhovateli nebo ode dne, kdy se o něm navrhovatel dozvěděl.

45

Z formulace tohoto ustanovení, zejména z výrazů „podle okolností“ a „nebo“, jasně vyplývá, že počátek lhůty pro podání žaloby se určuje v závislosti na dotčené situaci a dvě první kritéria, na jejichž základě může tato lhůta začít běžet, jsou hierarchicky seřazena vůči třetímu kritériu. Lhůta pro podání žaloby na neplatnost tedy začíná běžet primárně od vyhlášení či zveřejnění aktu nebo ode dne jeho oznámení žalobci. Tato dvě kritéria jsou si v rámci systematiky citovaného ustanovení rovnocenná v tom smyslu, že žádné z nich není ve vztahu ke druhému podpůrné. Naproti tomu kritérium data, k němuž se o napadeném aktu dozvěděl, jakožto počátku lhůty pro podání žaloby má podpůrnou povahu ve vztahu ke kritériím data vyhlášení či zveřejnění aktu nebo data jeho oznámení (v tomto smyslu viz rozsudek ze dne 26. září 2024, WEPA Hygieneprodukte a další v. Komise, C‑795/21 P a C‑796/21 P, EU:C:2024:807, body 61 až 63 a citovaná judikatura).

46

V projednávané věci je nesporné, že sporné rozhodnutí nebylo společnosti WhatsApp oznámeno, jelikož Sbor je povinen takové rozhodnutí oznámit pouze dotčeným dozorovým úřadům podle čl. 65 odst. 5 první věty GDPR. Je tedy nutno určit, zda bylo toto rozhodnutí „vyhlášeno“ ve smyslu čl. 263 šestého pododstavce SFEU.

47

V tomto ohledu je třeba upřesnit, že pojem „vyhlášení“ se netýká výlučně zveřejnění v Úředním věstníku Evropské unie, a musí být naopak vykládán široce. Pod tento pojem spadá mimo jiné zveřejnění na internetových stránkách orgánu, instituce nebo jiného subjektu Unie, pokud je stanoveno sekundárním právem (v tomto smyslu viz rozsudek ze dne 26. září 2024, WEPA Hygieneprodukte a další v. Komise, C‑795/21 P a C‑796/21 P, EU:C:2024:807, bod 70 a citovaná judikatura).

48

Vzhledem k tomu, že v projednávané věci je zveřejnění sporného rozhodnutí stanoveno v čl. 65 odst. 5 třetí větě GDPR, je tedy třeba zohlednit datum, kdy bylo toto rozhodnutí zveřejněno na internetových stránkách Sboru, a sice 2. září 2021. Tento výklad je podpořen bodem 143 třetí větou odůvodnění GDPR, z něhož vyplývá, že lhůta pro podání žaloby musí být počítána od zveřejnění dotčeného rozhodnutí Sboru na jeho internetových stránkách.

49

Vzhledem k tomu, že žaloba byla podána dne 1. listopadu 2021, nebyla lhůta stanovená v čl. 263 šestém pododstavci SFEU překročena, a proto je třeba zkoumat, zda důvody uplatněné v rámci tohoto kasačního opravného prostředku mohou zpochybnit posouzení provedené Tribunálem v napadeném usnesení.

50

Společnost WhatsApp tvrdí, že se Tribunál dopustil nesprávného právního posouzení, když měl za to, že sporné rozhodnutí není napadnutelným aktem.

51

Společnost WhatsApp zpochybňuje zejména relevanci kritéria použitého Tribunálem v bodě 41 napadeného usnesení za účelem určení, zda je akt napadnutelný, či nikoli. Tribunál podle ní nesprávně rozhodl, že je nezbytné prokázat, že sporné rozhodnutí vyvolává právní účinky, které podstatným způsobem mění právní postavení společnosti WhatsApp, a bezprostředně se jí dotýká. K tomu, aby bylo možné konstatovat, že toto rozhodnutí je vzhledem ke své konečné povaze napadnutelným aktem, přitom podle společnosti WhatsApp postačuje učinění závěru, že toto rozhodnutí má právní účinky vůči jedné nebo několika třetím osobám. Uvedené rozhodnutí každopádně nepředstavuje pouhé mezitímní opatření, ale vyjadřuje konečné stanovisko Sboru.

52

Podle společnosti WhatsApp Tribunál nesprávně použil judikaturu týkající se právních účinků mezitímních aktů, když použil procesní kritérium, podle kterého je takový akt napadnutelný pouze tehdy, pokud by žaloba směřující proti konečnému aktu neumožňovala zajistit dostatečnou soudní ochranu, a když dospěl k závěru, že sporné rozhodnutí nemá právní účinky.

53

V této souvislosti společnost WhatsApp odkazuje na rozsudek ze dne 11. listopadu 1981, IBM v. Komise (60/81, EU:C:1981:264, body 10 a 11), z něhož podle jejího názoru zejména vyplývá, že mezitímní akt je napadnutelný, pokud má konečnou povahu a je nezávislý na pozdějším konečném rozhodnutí. Je tedy třeba zkoumat podstatu tohoto aktu a posoudit jeho účinky podle takových objektivních kritérií, jako je obsah uvedeného aktu, případně s přihlédnutím k souvislostem přijetí tohoto aktu, jakož i pravomocem orgánu, jenž je jeho autorem. V tomto ohledu společnost WhatsApp cituje zejména rozsudek ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada (C‑348/20 P, EU:C:2022:548, bod 63).

54

Konkrétně takový akt nemůže být předmětem žaloby na neplatnost pouze tehdy, pokud má předběžnou povahu, jde-li o věc samou, takže jeho autor může změnit své stanovisko ve fázi konečného rozhodnutí přijatého později, a pokud je toto konečné rozhodnutí přijato týmž unijním orgánem nebo institucí. Není tedy namístě použít pojem „mezitímní opatření“ na rozhodnutí přijaté unijním orgánem nebo institucí, jež je určeno vnitrostátnímu orgánu pověřenému provedením tohoto rozhodnutí vůči třetím osobám.

55

V projednávané věci se Tribunál podle společnosti WhatsApp omezil na posouzení toho, zda jí byla z procesního hlediska zaručena účinná soudní ochrana prostřednictvím žaloby u vnitrostátního soudu. Tribunál měl tedy v bodech 48 a 49 napadeného usnesení nesprávně za to, že argument společnosti WhatsApp, podle kterého sporné rozhodnutí vyjadřuje konečné stanovisko svého autora, je irelevantní. Tímto postupem dospěl Tribunál k nesprávnému závěru, že sporné rozhodnutí nevyvolává právní účinky a že toto rozhodnutí není nezávislé na konečném rozhodnutí, a to aniž posoudil obsah a kontext sporného rozhodnutí nebo rozsah jeho samostatných právních účinků.

56

Pokud jde o obsah sporného rozhodnutí, je nesporné, že jakožto závazné rozhodnutí přijaté na základě článku 65 GDPR má právní účinky vůči třetím osobám a představuje konečné stanovisko Sboru k otázkám, které mu byly předloženy. Toto stanovisko mohlo podstatným způsobem změnit právní postavení společnosti WhatsApp, zejména s ohledem na zjištění, že údaje, které prošly procesem komprese se ztrátou, jsou osobními údaji, což je zjištění, jímž je irský dozorový úřad vázán.

57

Pokud jde o kontext sporného rozhodnutí, ze znění článku 65 GDPR vyplývá, že toto rozhodnutí představuje závazné rozhodnutí. Bod 143 odůvodnění GDPR uvádí, že rozhodnutí Sboru se mohou bezprostředně a osobně dotýkat mimo jiné správce, což naznačuje, že tato rozhodnutí mohou vyvolávat vnější právní účinky přesahující rámec vnitrostátních dozorových úřadů, kterým jsou určena. To potvrzuje jak důvod existence závazného účinku rozhodnutí Sboru, který spočívá v zajištění správného a důsledného uplatňování GDPR, tak systematika postupu uvedeného v čl. 65 odst. 1 GDPR.

58

Pokud jde o samostatné právní účinky sporného rozhodnutí přesahující rámec právních účinků vůči jeho adresátům, společnost WhatsApp uvádí, že toto rozhodnutí má takové účinky i vůči ní, zejména tím, že ovlivňuje způsob, jakým bude dodržovat GDPR ve vztahu k údajům, které prošly procesem komprese se ztrátou, jelikož je Sbor kvalifikuje jako osobní údaje. Sporné rozhodnutí má rovněž právní účinky vůči vnitrostátním soudům, které nejsou oprávněny jej změnit nebo zneplatnit.

59

Sbor s touto argumentací nesouhlasí. Tvrdí, že žalobu na neplatnost lze v zásadě podat pouze proti opatření, kterým orgán, instituce nebo jiný subjekt Unie vyjadřuje ve správním řízení konečné stanovisko. Jako „napadnutelné akty“ naproti tomu nelze kvalifikovat mezitímní akty, jejichž cílem je příprava konečného rozhodnutí, jelikož účelem takových aktů není vyvolat závazné právní účinky, které by byly samostatné ve vztahu k unijnímu aktu, který je takto připravován, potvrzován nebo prováděn. Sbor má dále za to, že mezitímní akt nemůže být předmětem žaloby, pokud se lze protiprávnosti takového aktu dovolávat na podporu žaloby proti konečnému rozhodnutí, jehož je přípravným aktem.

60

V projednávané věci je podle této strany sporné rozhodnutí mezitímním aktem, který je součástí nedělitelného rozhodovacího postupu vedeného irským dozorovým úřadem a vedoucího ke konečnému rozhodnutí přijatému tímto úřadem. V této souvislosti je třeba uvést, že i když jsou závěry Sboru závazné, nelze je vůči společnosti WhatsApp přímo uplatňovat a nemají vůči ní žádný právní účinek, který by byl samostatný ve vztahu ke konečnému rozhodnutí. Okolnost, že sporné rozhodnutí obsahuje konečné stanovisko Sboru k některým aspektům, které mají být uvedeny v konečném rozhodnutí, neznamená, že sporné rozhodnutí samo o sobě vede k samostatné změně právního postavení společnosti WhatsApp. Sporné rozhodnutí a konečné rozhodnutí byly totiž přijaty v rámci jednotného správního postupu, složeného z vzájemně závislých fází na vnitrostátní a evropské úrovni, které se týká téhož předmětu, a nikoli v rámci dvou nezávislých řízení, která by se týkala odlišných otázek.

61

V tomto ohledu Sbor upřesňuje, že cílem postupu řešení sporů je zajistit jednotné uplatňování GDPR vnitrostátními orgány. V projednávané věci sporné rozhodnutí nezakládá pro společnost WhatsApp nové právní povinnosti. Povinnosti této společnosti jsou vymezeny samotným GDPR, a nikoli sporným rozhodnutím, a jsou prosazovány irským dozorovým úřadem, a nikoli Sborem. Tyto povinnosti se ostatně vztahovaly na společnost WhatsApp již před zjištěním dotčených porušení.

62

Pokud jde o údajné vnější právní účinky sporného rozhodnutí, Sbor tvrdí, že jeho výklady mají závazný účinek pouze mezi stranami, tedy mezi dotčenými dozorovými úřady. Sporné rozhodnutí se kromě toho, že nemá přímý právní účinek na společnost WhatsApp, týká specifických otázek působnosti GDPR, které mají být zahrnuty a rozvedeny v konečném rozhodnutí. Výklady GDPR zastávané Sborem sice mohou mít určitý stupeň autority v budoucích případech, které se budou týkat podobných právních otázek, avšak nezavazují vnitrostátní soudy, které by v případě pochybností musely předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce.

63

Spolková republika Německo, která vystupuje jako vedlejší účastník na podporu návrhových žádání Sboru, tvrdí, že mechanismus jednotnosti stanovený GDPR, včetně postupu řešení sporů, je čistě vnitrostátní a jeho jediným cílem je dosáhnout rozsouzení v případě rozdílných názorů dozorových úřadů. Konkrétně z čl. 65 odst. 2 třetí věty GDPR vyplývá, že opatření přijaté Sborem v tomto rámci má právně závazný účinek pouze ve vztahu k vnitrostátním dozorovým úřadům. Pro dotčeného správce nebo zpracovatele je závazné pouze konečné rozhodnutí.

64

První část prvního důvodu kasačního opravného prostředku se týká otázky, zda se Tribunál dopustil nesprávného právního posouzení, když v bodech 41 až 49 napadeného usnesení rozhodl, že sporné rozhodnutí není napadnutelným aktem podle čl. 263 prvního pododstavce SFEU.

65

Podle tohoto ustanovení Soudní dvůr přezkoumává mimo jiné „legalitu aktů institucí a jiných subjektů Unie, které mají právní účinky vůči třetím osobám“.

66

Podle ustálené judikatury platí, že žalobu na neplatnost podle článku 263 SFEU lze podat vůči veškerým ustanovením přijatým orgány, institucemi nebo jinými subjekty Unie v jakékoliv formě, jejichž účelem je vyvolat závazné právní účinky (v tomto smyslu viz rozsudek ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada, C‑348/20 P, EU:C:2022:548, bod 62 a citovaná judikatura).

67

Za účelem určení, zda má akt takové účinky, a zda tedy může být předmětem žaloby na neplatnost podle článku 263 SFEU, je třeba vycházet z podstaty tohoto aktu a posoudit uvedené účinky podle takových objektivních kritérií, jako je obsah tohoto aktu, případně s přihlédnutím k souvislostem přijetí tohoto aktu, jakož i pravomocem orgánu, instituce nebo jiného subjektu, jenž je jeho autorem (v tomto smyslu viz rozsudek ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada, C‑348/20 P, EU:C:2022:548, bod 63 a citovaná judikatura).

68

V tomto ohledu nemusí být ve světle čl. 263 prvního pododstavce SFEU třetí osobou, vůči níž daný akt vyvolává právní účinky, nutně žalobce, jak uvedla generální advokátka v bodech 79 a 121 svého stanoviska. Třetí osobou je totiž každá fyzická nebo právnická osoba odlišná od autora tohoto aktu. Za účelem určení, zda uvedený akt vyvolává takové účinky, tedy není třeba ověřovat, zda tyto účinky mohou ovlivnit právní postavení žalobce, jelikož toto ověření je relevantní pouze v rámci přezkumu dodržení podmínek stanovených v čl. 263 čtvrtém pododstavci SFEU, podle nichž může žalobu na neplatnost proti aktu podat každá osoba, které se tento akt bezprostředně a osobně dotýká, pokud se posledně uvedené ustanovení použije (v tomto smyslu viz rozsudek ze dne 13. února 2025, Swissgrid v. Komise, C‑121/23 P, EU:C:2025:83, bod 46). Napadnutelnost aktu tedy musí být posuzována objektivně v závislosti na jeho obsahu, a nikoli v závislosti na žalobci.

69

Je však třeba připomenout, že v případě aktů, jejichž vypracování probíhá v několika procesních fázích, je napadnutelným aktem v zásadě pouze opatření, které vyjadřuje konečné stanovisko příslušného orgánu, instituce nebo jiného subjektu Unie, s vyloučením mezitímních opatření, jejichž cílem je příprava tohoto konečného opatření a nevyvolávají samostatné právní účinky vůči třetím osobám. Takovými mezitímními opatřeními jsou zejména opatření vyjadřující prozatímní stanovisko tohoto orgánu, instituce nebo jiného subjektu Unie (v tomto smyslu viz rozsudky ze dne 11. listopadu 1981, IBM v. Komise, 60/81, EU:C:1981:264, bod 10; ze dne 22. září 2022, IMG v. Komise, C‑619/20 P a C‑620/20 P, EU:C:2022:722, bod 103, jakož i ze dne 18. června 2024, Komise v. SRB, C‑551/22 P, EU:C:2024:520, bod 92).

70

Podle judikatury mezitímní opatření nemůže být předmětem žaloby na neplatnost zejména tehdy, když je konstatováno, že jeho protiprávnost lze uplatnit na podporu žaloby proti konečnému rozhodnutí, jehož je přípravným aktem. Za takových podmínek zajistí žaloba podaná proti rozhodnutí, kterým se končí řízení, dostatečnou soudní ochranu (v tomto smyslu viz rozsudky ze dne 11. listopadu 1981, IBM v. Komise, 60/81, EU:C:1981:264, bod 12, a dne 15. března 2017, Stichting Woonlinie a další v. Komise, C‑414/15 P, EU:C:2017:215, bod 46 a citovaná judikatura).

71

Pokud jde v projednávané věci o obsah dotčeného aktu a pravomoci dotčeného orgánu, ze samotného znění čl. 65 odst. 1 písm. a) a odst. 2 GDPR a čl. 68 odst. 1 GDPR vyplývá, že sporné rozhodnutí je aktem vydaným unijním orgánem a má závaznou povahu vůči třetím osobám. Tento akt totiž zavazuje vedoucí dozorový úřad a všechny dotčené dozorové úřady, které jsou jeho adresáty a jsou třetími stranami ve vztahu ke Sboru. Podle čl. 65 odst. 6 GDPR musí vedoucí dozorový úřad přijmout konečné rozhodnutí na základě rozhodnutí Sboru. Toto konečné rozhodnutí musí rovněž odkazovat na rozhodnutí Sboru, které k němu musí být přiloženo.

72

Dále je nesporné, pokud jde o kontext přijetí sporného rozhodnutí, že toto rozhodnutí bylo vypracováno v rámci postupu zahrnujícího několik procesních fází ve smyslu judikatury uvedené v bodě 69 tohoto rozsudku, jelikož předchází přijetí jiného aktu irským dozorovým úřadem. Toto rozhodnutí však ve smyslu téže judikatury vyjadřuje konečné stanovisko příslušného unijního orgánu, a sice Sboru, a řeší všechny otázky, o nichž má tento orgán rozhodnout. Je totiž třeba konstatovat, že takové rozhodnutí přijaté na základě čl. 65 odst. 1 písm. a) GDPR se týká všech otázek, které jsou předmětem relevantní a odůvodněné námitky ze strany dotčených dozorových úřadů ve smyslu čl. 60 odst. 4 GDPR, zejména otázky, zda došlo k porušení GDPR.

73

Z výše uvedeného vyplývá, že i když sporné rozhodnutí nepředstavuje poslední fázi postupu přezkumu jednotnosti stanoveného v článcích 58, 60 a 65 GDPR, nemůže být na rozdíl od toho, co rozhodl Tribunál v bodě 42 napadeného usnesení, kvalifikováno jako mezitímní opatření, proti kterému nelze podat opravný prostředek ve smyslu judikatury citované v bodě 69 tohoto rozsudku. V důsledku toho je judikatura připomenutá v bodě 70 tohoto rozsudku v projednávané věci irelevantní.

74

Vzhledem k tomu, že rozhodnutí Sboru má závazné právní účinky vůči třetím osobám, je v této souvislosti irelevantní okolnost, že konečné rozhodnutí vnitrostátního dozorového úřadu zahrnuje otázky, které nebyly předmětem předložené stížnosti nebo nespadají do jeho pravomoci.

75

Ze stejných důvodů je okolnost uvedená Tribunálem v bodě 42 napadeného usnesení, že na rozdíl od konečného rozhodnutí irského dozorového úřadu nelze sporné rozhodnutí namítat vůči jiným subjektům, než jsou jeho adresáti, rovněž irelevantní pro kvalifikaci tohoto rozhodnutí jakožto napadnutelného aktu podle čl. 263 prvního pododstavce SFEU. Taková okolnost, která souvisí s právním postavením navrhovatelky ve vztahu ke spornému rozhodnutí, se netýká ani podstaty sporného rozhodnutí, ani jeho závazných právních účinků z hlediska objektivních kritérií.

76

Ze všech těchto úvah vyplývá, že sporné rozhodnutí je aktem unijního orgánu, který má právní účinky vůči třetím osobám a vyjadřuje konečné stanovisko tohoto orgánu k otázkám, které musí tento orgán vyřešit, jak ostatně Tribunál sám konstatoval v bodech 36, 37 a 49 napadeného usnesení. Toto rozhodnutí je tedy ve světle znění čl. 263 prvního pododstavce SFEU a judikatury citované v bodech 66 až 69 tohoto rozsudku napadnutelným aktem, aniž je třeba v této fázi posuzovat, zda uvedené rozhodnutí mělo za následek podstatnou změnu právního postavení společnosti WhatsApp.

77

V tomto ohledu je třeba konstatovat, že se Tribunál dopustil nesprávného právního posouzení jednak v bodě 38 napadeného usnesení tím, že zaměnil požadavky vyplývající z prvního a čtvrtého pododstavce článku 263 SFEU, a jednak v bodě 42 napadeného usnesení, když formuloval nesprávné kritérium spočívající v nemožnosti přímo uplatnit dotčený akt vůči společnosti WhatsApp a kvalifikoval sporné rozhodnutí jako mezitímní opatření postrádající samostatné právní účinky.

78

První části prvního důvodu kasačního opravného prostředku je tedy třeba vyhovět.

79

Společnost WhatsApp tvrdí, že se Tribunál dopustil nesprávného právního posouzení, když rozhodl, že společnost WhatsApp není sporným rozhodnutím bezprostředně dotčena, a její žaloba je tudíž nepřípustná.

80

Pokud jde o podmínku, podle které musí akt vyvolávat bezprostřední účinky na právní postavení navrhovatele, Tribunál v bodě 52 napadeného usnesení nesprávně dospěl k závěru, že společnost WhatsApp nebyla sporným rozhodnutím bezprostředně dotčena z důvodu, že toto rozhodnutí vůči ní nelze uplatňovat a nepředstavuje poslední fázi postupu stanoveného v článcích 58, 60 a 65 GDPR.

81

Pokud jde dále o podmínku, podle které akt nesmí ponechávat adresátům pověřeným jeho provedením žádnou posuzovací pravomoc, má společnost WhatsApp za to, že se Tribunál dopustil nesprávného právního posouzení, když v bodech 53 až 60 napadeného usnesení rozhodl, že sporné rozhodnutí ponechalo irskému dozorovému úřadu prostor pro uvážení, pokud jde o obsah jeho konečného rozhodnutí, přičemž zároveň připustil, že tento dozorový úřad je sporným rozhodnutím vázán, pokud jde o aspekty, kterých se týkalo.

82

Pokud jde o body 54 až 56 napadeného usnesení, v nichž měl Tribunál za to, že obsah sporného rozhodnutí je v porovnání s konečným rozhodnutím částečný, společnost WhatsApp tvrdí, že absenci posuzovací pravomoci bylo třeba zkoumat s ohledem na samotnou podstatu sporného rozhodnutí, aniž bylo nutné odkazovat na dodatečný obsah konečného rozhodnutí. Sbor totiž analyzoval pouze některé aspekty projednávaného případu, a sice otázky, které byly předmětem relevantních a odůvodněných námitek ze strany dotčených dozorových úřadů. Sporné rozhodnutí se tedy nemůže týkat celé věci a nemůže zahrnovat aspekty, které nebyly předmětem předložené stížnosti nebo nespadají do jeho pravomoci.

83

Kromě toho se Tribunál dopustil podle společnosti WhatsApp nesprávného právního posouzení, když v bodech 57 až 59 napadeného usnesení rozhodl, že irský dozorový úřad využil své posuzovací pravomoci, aby vyvodil důsledky ze sporného rozhodnutí. Zaprvé, pokud jde o kvalifikaci údajů, které prošly procesem komprese se ztrátou, jako osobních údajů, společnost WhatsApp tvrdí, že už na základě této kvalifikace provedené Sborem pro ni vyplynuly z GDPR další povinnosti, a to i když vedoucí dozorový úřad nad rámec takové kvalifikace využil své posuzovací pravomoci ve věci samé a ověřoval, zda společnost WhatsApp jednala jakožto správce nebo zpracovatel. Zadruhé, pokud jde o zvýšení pokut, které měly být uloženy společnosti WhatsApp, toto rozhodnutí neponechalo irskému dozorovému úřadu prostor pro uvážení, neboť tento úřad byl povinen uložit vyšší pokutu, než jaká byla původně zamýšlena. Skutečnost, že si tento úřad zachovává posuzovací pravomoc, pokud jde o určení přesné výše pokuty, je irelevantní, jelikož tento úkol spadá do pravomoci uvedeného úřadu.

84

Sbor s touto argumentací nesouhlasí a tvrdí, že by měla být splněna dvě kumulativní kritéria, aby byla fyzická nebo právnická osoba, které není určen individuální akt, bezprostředně dotčena unijním aktem. Tento akt by měl mít přímý dopad na právní postavení této osoby a zároveň by neměl ponechávat žádnou posuzovací pravomoc adresátovi pověřenému jeho provedením, přičemž toto provedení by mělo být čistě automatické bez nutnosti použít další prováděcí předpisy.

85

Pokud jde o první kritérium, tento účastník řízení poznamenává, že závazný účinek aktu musí být posuzován v závislosti na jeho dopadu na situaci žalobce. V projednávané věci nelze sporné rozhodnutí uplatnit vůči společnosti WhatsApp způsobem, který by bez dalších procesních kroků umožnil stanovit této společnosti povinnosti. Toto rozhodnutí nepředstavuje poslední fázi postupu uvedeného v článcích 58, 60 a 65 GDPR, a zejména nestanoví konečnou výši pokuty ani nevymezuje nový soubor pravidel pro činnost společnosti WhatsApp. Společnosti WhatsApp se bezprostředně dotýká pouze konečné rozhodnutí, jelikož irský dozorový úřad je podle čl. 56 odst. 6 GDPR jediným partnerem tohoto podniku jakožto správce.

86

Pokud jde o druhé kritérium, Sbor tvrdí, že si irský dozorový úřad zachoval reálnou posuzovací pravomoc k závěrům, které má učinit v konečném rozhodnutí, které má širší rozsah než sporné rozhodnutí a obsahuje zjištění, ke kterým se Sbor neměl vyjádřit, jelikož se stížnost předložená Sboru omezovala na otázky, které byly předmětem relevantních a odůvodněných námitek. V každém případě existuje vzájemná závislost mezi sporným rozhodnutím a konečným rozhodnutím. Není možné oddělit části konečného rozhodnutí, které odpovídají pokynům Sboru, což potvrzuje skutečnost, že Sbor ponechal irskému dozorovému úřadu určitý prostor pro uvážení v několika aspektech.

87

Za těchto okolností by bylo vhodnější, aby toto konečné rozhodnutí přezkoumal vnitrostátní soud, který by v případě potřeby předložil Soudnímu dvoru předběžné otázky týkající se ustanovení GDPR, která byla uplatněna jak z úřední povinnosti, tak na základě pokynů Sboru.

88

Podle Sboru si irský dozorový úřad rovněž ponechal určitý prostor pro uvážení, pokud jde o otázky řešené ve sporném rozhodnutí, zejména otázky týkající se jednak právních důsledků, které je třeba vyvodit z kvalifikace údajů, které prošly procesem komprese se ztrátou, jako osobních údajů, a jednak stanovení výše pokut, které mají být uloženy společnosti WhatsApp. Pokud jde o tento první aspekt, tento úřad si zachoval diskreční pravomoc a provedl samostatný přezkum, zejména pokud jde o soulad s článkem 14 GDPR. V tomto ohledu je nesprávné tvrdit, že Sbor provedl „úplné“ posouzení, jelikož jeho pravomoc je omezena na obsah relevantních a odůvodněných námitek a nevztahuje se na celé řízení týkající se protiprávního jednání. Pokud jde o druhý aspekt, tj. stanovení pokut, sporné rozhodnutí sice obsahuje obecné pokyny týkající se pokut, ale nezabývá se prováděním těchto pokynů ani výpočtem těchto pokut.

89

Spolková republika Německo má za to, že vzhledem k tomu, že vedoucí dozorový úřad byl jediným partnerem společnosti WhatsApp, nelze mít za to, že je společnost sporným rozhodnutím bezprostředně dotčena. Takové rozhodnutí nemá být prováděno samostatně, ale musí po něm vždy následovat konečné rozhodnutí tohoto úřadu. Unijní normotvůrce se totiž vědomě rozhodl pro decentralizovaný dozor nad GDPR, aniž se rozhodl pro zřízení evropského ústředního orgánu pro ochranu údajů.

90

Druhá část prvního důvodu kasačního opravného prostředku se týká otázky, zda se Tribunál dopustil nesprávného právního posouzení, když měl v bodech 50 až 60 napadeného usnesení za to, že se sporné rozhodnutí společnosti WhatsApp bezprostředně nedotýká ve smyslu čl. 263 čtvrtého pododstavce SFEU, a že žaloba podaná touto společností je tudíž nepřípustná.

91

Podle tohoto ustanovení může každá fyzická nebo právnická osoba za podmínek uvedených v prvním a druhém pododstavci článku 263 SFEU podat žalobu proti aktům, které jsou jí určeny nebo které se jí bezprostředně a osobně dotýkají, jakož i proti nařizovacím aktům, které se jí bezprostředně dotýkají a nevyžadují přijetí prováděcích opatření.

92

Přípustnost žaloby podané fyzickou nebo právnickou osobou proti aktu, který jí není určen, na základě čl. 263 čtvrtého pododstavce SFEU je tedy podmíněna zejména tím, že se jí tento akt bezprostředně a osobně dotýká (rozsudek ze dne 3. prosince 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, bod 64 a citovaná judikatura).

93

V projednávané věci, jak Tribunál konstatoval v bodě 40 napadeného usnesení, je prokázáno, že společnost WhatsApp je sporným rozhodnutím osobně dotčena, neboť se toto rozhodnutí týká některých aspektů návrhu konečného rozhodnutí, které se konkrétně vztahuje k situaci tohoto podniku. V bodech 52 a 53 tohoto usnesení měl však Tribunál za to, že společnost WhatsApp není sporným rozhodnutím bezprostředně dotčena zaprvé z důvodu, že toto rozhodnutí nelze uplatňovat vůči společnosti WhatsApp tak, aby z něj bez další fáze řízení mohly pro tuto společnost vyplývat povinnosti nebo případně práva pro jiné jednotlivce, a zadruhé proto, že i když sporné rozhodnutí zavazovalo irský dozorový úřad, pokud jde o aspekty, kterých se týkalo, ponechalo mu prostor pro uvážení stran obsahu konečného rozhodnutí.

94

V tomto ohledu je třeba připomenout ustálenou judikaturu, pod níž podmínka, že fyzická nebo právnická osoba musí být bezprostředně dotčena rozhodnutím, které je předmětem žaloby, vyžaduje splnění dvou kumulativních podmínek, a sice napadené opatření musí zaprvé vyvolávat bezprostřední účinky na právní postavení této osoby a zadruhé adresátům pověřeným jeho provedením nesmí ponechávat žádnou posuzovací pravomoc, neboť toto provedení je čistě automatické povahy a vyplývá výlučně z unijní úpravy, aniž je třeba použít další zprostředkující předpisy (rozsudek ze dne 4. října 2024, Komise a Rada v. Front Polisario, C‑779/21 P a C‑799/21 P, EU:C:2024:835, bod 87 a citovaná judikatura).

95

Před posouzením dodržení těchto dvou podmínek v projednávané věci je třeba upřesnit, že nemožnost přímo uplatnit napadený akt vůči žalobci stejně jako okolnost, že tento akt nepředstavuje poslední fázi složeného řízení, nebrání tomu, aby tento žalobce mohl být uvedeným aktem bezprostředně dotčen, pokud adresát téhož aktu nemá žádnou posuzovací pravomoc (v tomto smyslu viz rozsudky ze dne 4. června 1992, Infortec v. Komise, C‑157/90, EU:C:1992:243, body 13 a 17; ze dne 3. prosince 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, body 65 a 67, jakož i ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada, C‑348/20 P, EU:C:2022:548, bod 74).

96

Jak uvedla generální advokátka v bodech 139 a 144 svého stanoviska, Tribunál se proto dopustil nesprávného právního posouzení, když měl v bodě 52 napadeného usnesení za to, že společnost WhatsApp nemůže být sporným rozhodnutím bezprostředně dotčena z důvodu, že toto rozhodnutí nelze vůči společnosti WhatsApp uplatňovat a nepředstavuje poslední fázi postupu stanoveného v článcích 58, 60 a 65 GDPR.

97

Pokud jde o dodržení první z podmínek připomenutých v bodě 94 tohoto rozsudku, je třeba posoudit, zda je napadený akt zdrojem podstatné změny právního postavení dotčené fyzické nebo právnické osoby, a to s ohledem na podstatu tohoto aktu a na základě posouzení jeho účinků s ohledem na objektivní kritéria, jako je obsah uvedeného aktu, případně s přihlédnutím k souvislostem přijetí tohoto aktu, jakož i pravomocem orgánu, instituce nebo jiného subjektu, jenž je jeho autorem (v tomto smyslu viz rozsudky ze dne 11. listopadu 1981, IBM v. Komise, 60/81, EU:C:1981:264, bod 9, a ze dne 18. června 2024, Komise v. SRB, C‑551/22 P, EU:C:2024:520, bod 65 a citovaná judikatura).

98

V projednávané věci, jak je uvedeno v bodě 30 tohoto rozsudku, Sbor ve sporném rozhodnutí mimo jiné rozhodl, že společnost WhatsApp porušila informační povinnosti stanovené v čl. 13 odst. 1 písm. d) GDPR a porušila čl. 13 odst. 2 písm. e) tohoto nařízení. Toto rozhodnutí tedy mění právní postavení společnosti WhatsApp, která je zejména v důsledku zásahu Sboru nucena změnit smluvní vztah s uživateli služby zasílání textových zpráv, jež poskytuje. Z toho vyplývá, že existuje přímá souvislost mezi uvedeným rozhodnutím a jeho účinky na postavení společnosti WhatsApp ve smyslu judikatury citované v bodech 94 a 95 tohoto rozsudku.

99

Na rozdíl od toho, co tvrdí Sbor, okolnost, že irský dozorový úřad je podle čl. 56 odst. 6 GDPR jediným partnerem společnosti WhatsApp jakožto správce, nemá na toto zjištění vliv. Cílem tohoto ustanovení je totiž pouze uspořádat vztahy mezi správcem nebo zpracovatelem, vedoucím dozorovým úřadem a dotčenými dozorovými úřady, takže se netýká opravných prostředků proti rozhodnutím Sboru.

100

Pokud jde o splnění druhé z podmínek připomenutých v bodě 94 tohoto rozsudku, za účelem posouzení, zda akt ponechává svým adresátům určitý prostor pro uvážení při jeho provedení, je třeba zkoumat právní účinky ustanovení tohoto aktu, kterých se žaloba týká, na postavení osoby, která se dovolává práva podat žalobu na základě čl. 263 čtvrtého pododstavce druhé části věty SFEU (rozsudek ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada, C‑348/20 P, EU:C:2022:548, bod 98 a citovaná judikatura).

101

Existence takového prostoru pro uvážení musí být vyloučena zejména tehdy, je-li prokázáno, že přímým důsledkem ustanovení aktu, kterých se týká žaloba, bylo, že tato osoba podléhala povinnostem, jejichž výsledek nemohl být změněn subjektem pověřeným následným provedením tohoto aktu (v tomto smyslu viz rozsudek ze dne 12. července 2022, Nord Stream 2 v. Parlament a Rada, C‑348/20 P, EU:C:2022:548, bod 114).

102

V projednávané věci, jak vyplývá z bodů 71 a 72tohoto rozsudku, je třeba připomenout, že sporné rozhodnutí je závazné pro vedoucí dozorový úřad a dotčené dozorové úřady. Tyto se nemohou odchýlit od stanoviska, které Sbor zaujal v tomto rozhodnutí a které bylo připomenuto v bodě 30 tohoto rozsudku. Uvedené rozhodnutí totiž řeší právní otázky, které jsou předmětem předložené stížnosti, a bezpodmínečně zavazuje tyto úřady, zejména pokud jde o konstatování porušení některých ustanovení GDPR, kvalifikaci údajů, které prošly procesem komprese se ztrátou, jako osobních údajů, jakož i povinnost zvýšit částky zamýšlených pokut. Uvedené úřady nemají možnost změnit výsledek posouzení provedených Sborem, pokud jde o tyto otázky, ve smyslu judikatury citované v předchozím bodě tohoto rozsudku.

103

V tomto ohledu je podle čl. 70 odst. 1 písm. a) GDPR úkolem Sboru zajistit jednotné uplatňování GDPR tím, že monitoruje a zajišťuje, jak vyplývá z bodu 10 odůvodnění GDPR, soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním jejich osobních údajů v celé Unii v případech uvedených zejména v článku 65 GDPR, aniž jsou dotčeny úkoly vnitrostátních dozorových úřadů.

104

V tomto kontextu není důležité, zda se působnost konečného rozhodnutí vztahuje na otázky, které nespadají do působnosti Sboru, a sice na aspekty, které nebyly předmětem relevantních a odůvodněných námitek ve smyslu čl. 65 odst. 1 písm. a) GDPR, nebo na otázky, které nespadají do pravomoci tohoto orgánu, jako je zejména stanovení přesné výše pokuty, která má být uložena správci nebo zpracovateli, což přísluší dozorovému úřadu, jemuž byla věc předložena na základě čl. 58 odst. 2 písm. i), jakož i článku 83 GDPR.

105

Kromě toho, i když je pravda, že mezi sporným rozhodnutím a konečným rozhodnutím existuje vztah vzájemné závislosti, nic to nemění na tom, že tato rozhodnutí představují odlišné akty a působnost sporného rozhodnutí je jasně vymezena, jak vyplývá z výčtu uvedeného v bodě 30 tohoto rozsudku. Za těchto podmínek nemůže tento vztah vzájemné závislosti bránit konstatování, že společnost WhatsApp je sporným rozhodnutím bezprostředně dotčena.

106

I když je zejména pravda, že souběžné podání žaloby na neplatnost k unijnímu soudu na základě článku 263 SFEU proti závaznému rozhodnutí Sboru a k vnitrostátnímu soudu na základě článku 78 GDPR proti konečnému rozhodnutí přijatému na základě tohoto závazného rozhodnutí vnitrostátním dozorovým úřadem vede ke dvěma souběžným řízením, nemá tato situace za následek, že by účinky rozhodnutí Sboru měly být v projednávané věci považovány za nepřímé ve vztahu ke společnosti WhatsApp.

107

Podle judikatury Soudního dvora totiž platí, že pokud řešení sporu probíhajícího před vnitrostátním soudem závisí na platnosti rozhodnutí unijního orgánu, pak z povinnosti loajální spolupráce vyplývá, že by vnitrostátní soud měl, aby se vyhnul tomu, že přijme rozhodnutí odporující rozhodnutí tohoto orgánu, přerušit řízení do doby, než unijní soudy vydají konečné rozhodnutí o žalobě na neplatnost, ledaže se domnívá, že za okolností projednávaného případu je důvodné položit Soudnímu dvoru předběžnou otázku týkající se platnosti rozhodnutí uvedeného orgánu (v tomto smyslu viz rozsudky ze dne 14. prosince 2000, Masterfoods a HB, C‑344/98, EU:C:2000:689, bod 57, jakož i ze dne 25. července 2018, Georgsmarienhütte a další, C‑135/16, EU:C:2018:582, bod 24).

108

Je třeba rovněž uvést, že zásada řádného výkonu spravedlnosti může v případě současného předložení věci Tribunálu v rámci žaloby na neplatnost a Soudnímu dvoru v rámci řízení o předběžné otázce odůvodnit rozhodnutí Soudního dvora uplatnit, považuje-li to za vhodné, čl. 54 třetí pododstavec statutu Soudního dvora Evropské unie za účelem přerušení řízení vedeného před ním ve prospěch řízení zahájeného u Tribunálu (rozsudek ze dne 25. července 2018, Georgsmarienhütte a další, C‑135/16, EU:C:2018:582, bod 25).

109

Vzhledem k tomu, že obě podmínky uvedené v bodě 94 tohoto rozsudku jsou splněny, je společnost WhatsApp sporným rozhodnutím bezprostředně dotčena.

110

S ohledem na výše uvedené úvahy, je tedy třeba druhé části prvního důvodu kasačního opravného prostředku vyhovět, a v důsledku toho napadené usnesení zrušit.

111

Ve třetí části prvního důvodu kasačního opravného prostředku společnost WhatsApp tvrdí, že konstatování Tribunálu v bodech 66 až 70 napadeného usnesení, podle kterého nepřípustnost její žaloby zapadá do logiky systému soudních opravných prostředků zavedeného Smlouvou o EU a Smlouvou o FEU, je stiženo nesprávným právním posouzením.

112

S ohledem na závěr uvedený v bodě 110 tohoto rozsudku není namístě rozhodovat o třetí části prvního důvodu kasačního opravného prostředku.

113

Společnost WhatsApp s odkazem na argumentaci rozvinutou v rámci prvního důvodu kasačního opravného prostředku tvrdí, že Tribunál porušil čl. 65 odst. 1 GDPR a zásadu soudržného uplatňování unijního práva, když v bodech 41 až 60 napadeného usnesení rozhodl, že sporné rozhodnutí nemá jiné právní účinky než závazné účinky pro dotčené dozorové úřady.

114

Vzhledem k tomu, že společnost WhatsApp odkazuje pouze na argumentaci rozvinutou na podporu prvního důvodu kasačního opravného prostředku a s ohledem na závěr uvedený v bodě 110 tohoto rozsudku, není namístě rozhodnout o tomto druhém důvodu kasačního opravného prostředku, jelikož tento důvod nemůže vést ke zrušení napadeného usnesení v širším rozsahu.

115

Podle čl. 61 prvního pododstavce statutu Soudního dvora Evropské unie platí, že zruší-li Soudní dvůr rozhodnutí Tribunálu, může vydat sám konečné rozhodnutí ve věci, pokud to soudní řízení dovoluje.

116

Tato podmínka je v projednávané věci splněna pouze v rozsahu, v němž se věc týká přípustnosti žaloby podané k Tribunálu.

117

V tomto ohledu zaprvé, jak vyplývá z bodu 76 tohoto rozsudku, sporné rozhodnutí představuje napadnutelný akt ve smyslu čl. 263 prvního pododstavce SFEU. Zadruhé, jak je konstatováno v bodě 109 tohoto rozsudku, společnost WhatsApp je sporným rozhodnutím bezprostředně dotčena ve smyslu čl. 263 čtvrtého pododstavce SFEU. Zatřetí je společnost WhatsApp tímto rozhodnutím osobně dotčena, jak konstatoval i sám Tribunál v bodě 40 napadeném usnesení.

118

Vzhledem k tomu, že podmínky zakotvené v prvním a čtvrtém pododstavci článku 263 SFEU jsou tedy splněny a neexistuje žádný jiný důvod nepřípustnosti, je žaloba na neplatnost prohlášena za přípustnou.

119

Nicméně vzhledem k tomu, že Tribunál neprovedl meritorní posouzení žaloby, která mu byla předložena, jež vyžaduje podrobné právní a skutkové posouzení, nedovoluje stav soudního řízení vydat rozhodnutí ve věci samé.

120

Proto je třeba věc vrátit Tribunálu.

121

Vzhledem k tomu, že se věc vrací Tribunálu, je třeba rozhodnout o nákladech řízení souvisejících s tímto řízením o kasačním opravném prostředku později.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto: