1

Sagsøgeren, WhatsApp Ireland Ltd (herefter »WhatsApp«), har med sit søgsmål i henhold til artikel 263 TEUF nedlagt påstand om annullation af Det Europæiske Databeskyttelsesråds (herefter »EDPB«) bindende afgørelse 1/2021 af 28. juli 2021 om den tvist mellem de berørte tilsynsmyndigheder, der er opstået med hensyn til et udkast til afgørelse om WhatsApp, som er udarbejdet af Data Protection Commission (den irske tilsynsmyndighed til beskyttelse af fysiske personers personoplysninger, herefter »den irske tilsynsmyndighed«) (herefter »den anfægtede afgørelse«).

2

Efter ikrafttrædelsen af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1) modtog den irske tilsynsmyndighed klager fra brugere og ikke-brugere af beskedtjenesten »WhatsApp« om WhatsApps behandling af personoplysninger. Den tyske forbundstilsynsmyndighed anmodede i øvrigt den irske tilsynsmyndighed om bistand med hensyn til WhatsApps overholdelse af de gennemsigtighedsforpligtelser, der påhviler personer, som er ansvarlige for behandling af personoplysninger, for så vidt angår en eventuel deling af sådanne oplysninger med andre enheder i Facebook-koncernen (i september 2021 omdøbt til Meta).

3

I december 2018 indledte den irske tilsynsmyndighed på eget initiativ en generel undersøgelse af, hvorvidt WhatsApp overholdt sine gennemsigtigheds- og oplysningsforpligtelser over for enkeltpersoner (i modsætning til virksomheder) i henhold til artikel 12, 13 og 14 i forordning 2016/679, uden at dette berørte de afgørelser, som den måtte træffe i de individuelle sager, som den var blevet forelagt. Den irske tilsynsmyndighed handlede i denne henseende som »ledende tilsynsmyndighed«, således som det er fastsat i artikel 56, stk. 1, i forordning 2016/679, eftersom WhatsApp havde sit hovedforretningssted i Irland som dataansvarlig for beskedtjenesten »WhatsApps« behandlingsaktiviteter i Europa, idet denne behandling havde en grænseoverskridende karakter.

4

Efter undersøgelsesfasens afslutning i september 2019 ved efterforskerens fremlæggelse af en endelig rapport fremsatte den irske tilsynsmyndigheds beslutningstager efter afslutningen af mellemliggende proceduremæssige faser, hvorunder WhatsApp havde fremsat sine bemærkninger, i december 2020 et udkast til afgørelse for alle de øvrige tilsynsmyndigheder, der var berørt af sagen, dvs. alle de øvrige tilsynsmyndigheder i medlemsstaterne, med henblik på deres udtalelse herom i henhold til artikel 60, stk. 3, i forordning 2016/679.

5

I januar 2021 fremsatte otte af disse tilsynsmyndigheder, den tyske forbundstilsynsmyndighed, den tyske tilsynsmyndighed for Baden-Württemberg samt den ungarske, den nederlandske, den polske, den franske, den italienske og den portugisiske tilsynsmyndighed, indsigelser mod visse aspekter af dette udkast til afgørelse. Desuden fremsatte forskellige tilsynsmyndigheder bemærkninger. Den irske tilsynsmyndighed svarede de øvrige berørte tilsynsmyndigheder samlet og kom med forslag til kompromisløsninger. Selv om en af disse myndigheder efter dette svar trak en af sine indsigelser tilbage, konstaterede den irske tilsynsmyndighed, at der ikke kunne opnås enighed mellem de berørte tilsynsmyndigheder om dens forslag vedrørende de øvrige aspekter, der var genstand for indsigelser, og den besluttede at forkaste alle disse indsigelser med henblik på at forelægge dem for EDPB, således at det kunne afgøre tvisten mellem de berørte tilsynsmyndigheder om disse aspekter i overensstemmelse med bestemmelserne i artikel 60, stk. 4, og artikel 65, stk. 1, litra a), i forordning 2016/679.

6

I maj 2021 modtog den irske tilsynsmyndighed WhatsApps skriftlige bemærkninger til de oplysninger, der var blevet drøftet af de berørte tilsynsmyndigheder, efter at den havde tilsendt WhatsApp alle de dokumenter, der var blevet udvekslet i denne forbindelse, og den fremsendte selv disse bemærkninger til EDPB, således at det kunne få kendskab hertil inden for rammerne af den tvistbilæggelsesprocedure, som denne myndighed iværksatte i juni 2021.

7

EDPB, som i henhold til artikel 68, stk. 3, i forordning 2016/679 er sammensat »af chefen for en tilsynsmyndighed i hver medlemsstat og af Den Europæiske Tilsynsførende for Databeskyttelse eller deres respektive repræsentanter«, vedtog den 28. juli 2021 den anfægtede afgørelse med et flertal på to tredjedele, jf. artikel 65, stk. 2, i forordning 2016/679. Den anfægtede afgørelse er en afgørelse, som er rettet til den ledende tilsynsmyndighed og alle de berørte tilsynsmyndigheder og har bindende virkning for dem, således som dette er fastsat i samme bestemmelse, og den vedrører alle de spørgsmål, der har været genstand for relevante og begrundede indsigelser, som fastsat i artikel 65, stk. 1, litra a), i forordning 2016/679. I denne henseende vurderede EDPB i den anfægtede afgørelse for hver indsigelse fremsat af en berørt tilsynsmyndighed først, om den var relevant og begrundet. Det tog kun stilling til en indsigelse, såfremt dette forudgående spørgsmål kunne besvares bekræftende.

8

Da den irske tilsynsmyndighed havde modtaget den anfægtede afgørelse, og da den fra WhatsApp havde modtaget selskabets bemærkninger til de økonomiske sanktioner, som det i sidste ende påtænktes at pålægge selskabet i lyset af den anfægtede afgørelse, vedtog denne myndigheds beslutningstager den 20. august 2021 i henhold til artikel 65, stk. 6, i forordning 2016/679 en endelig afgørelse rettet til WhatsApp (herefter »den endelige afgørelse«). I den endelige afgørelse blev det fastslået, at WhatsApp havde tilsidesat gennemsigtighedsprincippet og gennemsigtighedsforpligtelserne i artikel 5, stk. 1, litra a), artikel 12, stk. 1, artikel 13, stk. 1, litra c), d), e) og f), artikel 13, stk. 2, litra a), c) og e), og artikel 14 i forordning 2016/679. Det var til gengæld også anført heri, at WhatsApp havde overholdt de forpligtelser, der er fastsat i artikel 13, stk. 1, litra a) og b), og artikel 13, stk. 2, litra b) og d), i forordning 2016/679. Som korrigerende foranstaltninger, der blev vedtaget på grundlag af artikel 58, stk. 2, litra b), d) og i), i forordning 2016/679, blev WhatsApp i den endelige afgørelse pålagt en irettesættelse, pligt til at gennemføre et vist antal foranstaltninger, der var opregnet i et bilag, med henblik på inden for en frist på tre måneder at bringe selskabet i overensstemmelse med de bestemmelser i forordning 2016/679, som var blevet tilsidesat, samt fire administrative bøder for de konstaterede overtrædelser af artikel 5, stk. 1, litra a), og artikel 12, 13 og 14 i forordning 2016/679 på i alt 225 mio. EUR.

9

I den endelige afgørelse identificerede den irske tilsynsmyndigheds beslutningstager de aspekter, med hensyn til hvilke den anfægtede afgørelse pålagde denne at tage vurderingen i det udkast til afgørelse, der er nævnt i denne kendelses præmis 4, op til fornyet overvejelse. Beslutningstageren valgte med hensyn til disse aspekter at gengive de begrundelser, som EDPB havde anført i den anfægtede afgørelse, i deres helhed, i gråskraverede felter, og blot hver gang drage konsekvenserne heraf i en konklusion. Beslutningstageren præciserede, at denne i den endelige afgørelse for det første hverken henviste til de indsigelser, som EDPB havde fundet irrelevante eller ubegrundede, og hvis berettigelse den følgelig ikke havde vurderet, eller de indsigelser, som EDPB havde anset for ikke at kræve en ændring af vurderingen i udkastet til afgørelse, og at den for det andet ikke havde taget stilling til disse indsigelser.

10

I henhold til artikel 65, stk. 6, i forordning 2016/679 blev den anfægtede afgørelse vedlagt den irske tilsynsmyndigheds endelige afgørelse.

11

I denne henseende fremgår det, at EDPB i den anfægtede afgørelse alene havde taget stilling til følgende aspekter, som ifølge EDPB havde været genstand for relevante og begrundede indsigelser:

12

WhatsApp har sideløbende anfægtet den endelige afgørelse ved en irsk domstol og for Retten nedlagt påstand om annullation af den anfægtede afgørelse.

13

Inden for rammerne af den foreliggende sag har Computer & Communication Industry Association anmodet om tilladelse til intervention til støtte for sagsøgeren, mens Republikken Finland, Europa-Kommissionen og Den Europæiske Tilsynsførende for Databeskyttelse har anmodet om tilladelse til intervention til støtte for EDPB. Med henblik på deres intervention har hovedparterne anmodet om, at dele af sagsakterne ikke meddeles visse intervenienter på grund af deres fortrolige karakter. Der er på indeværende tidspunkt ikke truffet afgørelse om disse anmodninger.

14

Den foranstaltning med henblik på sagens tilrettelæggelse, der blev vedtaget efter indgivelsen af svarskriftet, hvorved hovedparterne blev opfordret til ikke i replikken og duplikken at undlade at tage stilling til alle væsentlige spørgsmål vedrørende Rettens kompetence og søgsmålets antagelse til realitetsbehandling, nævnte i denne forbindelse kvalificeringen af den anfægtede afgørelse som en retsakt udstedt af et EU-organ, kvalificeringen af den anfægtede afgørelse som en anfægtelig retsakt samt sagsøgerens søgsmålskompetence og søgsmålsinteresse.

15

WhatsApp har nedlagt påstand om annullation af den anfægtede afgørelse i dens helhed eller subsidiært delvist og om, at EDPB tilpligtes at betale sagsomkostningerne.

16

EDPB har nedlagt påstand om afvisning af sagen, subsidiært om frifindelse, og mere subsidiært om, at den anfægtede afgørelse kun annulleres delvist. EDPB har ligeledes nedlagt påstand om, at sagsøgeren tilpligtes at betale sagsomkostningerne.

17

I henhold til artikel 129 i Rettens procesreglement kan Retten til enhver tid af egen drift, på forslag fra den refererende dommer og efter at have hørt hovedparterne, beslutte at afsige begrundet kendelse om, hvorvidt sagen skal afvises, fordi ufravigelige procesforudsætninger ikke er opfyldt.

18

I den foreliggende sag finder Retten, at sagen er tilstrækkeligt oplyst ved sagsakterne, og den har i henhold til denne artikel besluttet at træffe afgørelse vedrørende søgsmålets antagelse til realitetsbehandling uden at fortsætte sagens behandling.

19

Efterprøvelsen af Rettens kompetence og af en sagsøgers søgsmålskompetence er nemlig et spørgsmål om grundlæggende retsprincipper ligesom efterprøvelsen af andre forhold vedrørende et søgsmåls antagelse til realitetsbehandling, og i den foreliggende sag har hovedparterne haft mulighed for at fremsætte deres bemærkninger i denne henseende i forlængelse af den foranstaltning med henblik på sagens tilrettelæggelse, der er nævnt i denne kendelses præmis 14, efter at EDPB i øvrigt selv i svarskriftet har gjort gældende, at søgsmålet ikke kan antages til realitetsbehandling.

20

I den foreliggende sag skal der indledningsvis henvises til de institutionelle retlige rammer, som den anfægtede afgørelse indgår i.

21

Kapitel VI i forordning 2016/679 har overskriften »Uafhængige tilsynsmyndigheder«. I artikel 51 heri fastsættes det, at hver medlemsstat »sikrer, at en eller flere uafhængige offentlige myndigheder er ansvarlige for at føre tilsyn med anvendelsen af denne forordning«, at hver enkelt tilsynsmyndighed »bidrager til ensartet anvendelse af denne forordning i hele Unionen«, og at tilsynsmyndighederne til dette formål »samarbejder […] med hinanden og med Kommissionen i henhold til kapitel VII«.

22

Artikel 55 fastsætter, at hver tilsynsmyndighed er kompetent til at udføre de opgaver og udøve de beføjelser, der tillægges den i overensstemmelse med forordning 2016/679, på sin egen medlemsstats område, og artikel 56 bestemmer, at uden at det berører artikel 55, er tilsynsmyndigheden for den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering kompetent til at fungere som ledende tilsynsmyndighed for den grænseoverskridende behandling, der foretages af denne dataansvarlige eller databehandler efter proceduren i artikel 60. Som anført i denne kendelses præmis 3 handlede den irske tilsynsmyndighed i den foreliggende sag som ledende tilsynsmyndighed i forhold til WhatsApp.

23

Artikel 58, stk. 2, i forordning 2016/679 bestemmer, at hver tilsynsmyndighed kan udøve korrigerende beføjelser over for en dataansvarlig eller en databehandler og har navnlig som anført i bestemmelsens litra b), d) og i) beføjelse til at udtale kritik af dem, hvis deres behandlingsaktiviteter har været i strid med forordning 2016/679, til at give dem påbud om at bringe behandlingsaktiviteter i overensstemmelse med bestemmelserne i forordning 2016/679, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist, og til at pålægge dem en administrativ bøde.

24

Kapitel VII i forordning 2016/679, som følger efter de i denne kendelses præmis 21-23 nævnte bestemmelser, har overskriften »Samarbejde og sammenhæng«.

25

Under afdelingen »Samarbejde« i dette kapitel bestemmer artikel 60, der har overskriften »Samarbejde mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder«, bl.a. følgende:

»1.   Den ledende tilsynsmyndighed samarbejder i henhold til denne artikel med de andre berørte tilsynsmyndigheder med henblik på at nå til enighed. Den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder udveksler alle relevante oplysninger med hinanden.

[…]

3.   Den ledende tilsynsmyndighed underretter straks de andre berørte tilsynsmyndigheder om sagens relevante oplysninger. Den forelægger straks de andre berørte tilsynsmyndigheder et udkast til afgørelse med henblik på deres udtalelse og tager behørigt hensyn til deres synspunkter.

4.   Hvis en af de andre berørte tilsynsmyndigheder inden for fire uger efter at være blevet hørt, jf. denne artikels stk. 3, fremkommer med en relevant og begrundet indsigelse mod udkastet til afgørelse, forelægger den ledende tilsynsmyndighed, hvis den ikke følger den relevante og begrundede indsigelse eller er af den opfattelse, at indsigelsen ikke er relevant eller begrundet, sagen for den sammenhængsmekanisme, der er omhandlet i artikel 63.

5.   Agter den ledende tilsynsmyndighed at følge den relevante og begrundede indsigelse, forelægger den de andre berørte tilsynsmyndigheder et revideret udkast til afgørelse med henblik på deres udtalelse. Dette reviderede udkast til afgørelse er underlagt den i stk. 4 omhandlede procedure inden for en frist på to uger.

6.   Har ingen af de andre berørte tilsynsmyndigheder gjort indsigelse mod udkastet til afgørelse, som den ledende tilsynsmyndighed har forelagt inden for den frist, der er omhandlet i stk. 4 og 5, anses den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder for at være enige i dette udkast til afgørelse og er bundet af det.

7.   Den ledende tilsynsmyndighed vedtager og meddeler afgørelsen til den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering, alt efter omstændighederne, og underretter de andre berørte tilsynsmyndigheder og Databeskyttelsesrådet om den pågældende afgørelse, herunder et resumé af de relevante faktiske omstændigheder og begrundelser. Den tilsynsmyndighed, til hvilken der er indgivet klage, underretter klageren om afgørelsen.

[…]

10.   Den dataansvarlige eller databehandleren træffer efter at være blevet underrettet om den ledende tilsynsmyndigheds afgørelse […] de nødvendige foranstaltninger til at sikre overholdelse af afgørelsen for så vidt angår behandlingsaktiviteter i forbindelse med alle vedkommendes etableringer i Unionen. Den dataansvarlige eller databehandleren underretter den ledende tilsynsmyndighed, der underretter de andre berørte tilsynsmyndigheder, om de foranstaltninger, der er truffet for at overholde afgørelsen.«

26

Under afdelingen »Sammenhæng« i samme kapitel VII i forordning 2016/679 bestemmer artikel 63 med overskriften »Sammenhængsmekanisme«:

»Med henblik på at bidrage til en ensartet anvendelse af denne forordning i hele Unionen samarbejder tilsynsmyndighederne med hinanden og, hvis det er relevant, med Kommissionen gennem den sammenhængsmekanisme, der er omhandlet i denne afdeling.«

27

EDPB medvirker i den nævnte mekanisme. EDPB’s status er fastsat i tredje og sidste afdeling i kapitel VII i forordning 2016/679 med overskriften »Det Europæiske Databeskyttelsesråd«.

28

Under denne afdeling hedder det i artikel 68:

»1.   Det Europæiske Databeskyttelsesråd (»Databeskyttelsesrådet«) oprettes herved som et EU-organ med status som juridisk person.

[…]

3.   Databeskyttelsesrådet sammensættes af chefen for en tilsynsmyndighed i hver medlemsstat og af Den Europæiske Tilsynsførende for Databeskyttelse eller deres respektive repræsentanter.

[…]«

29

Under samme afdeling bestemmer artikel 70 med overskriften »Databeskyttelsesrådets opgaver«:

»1.   Databeskyttelsesrådet sikrer ensartet anvendelse af denne forordning. Med henblik herpå skal Databeskyttelsesrådet på eget initiativ eller, når det er relevant, efter anmodning fra Kommissionen navnlig:

[…]«

30

Samme artikel 70 opregner i øvrigt i detaljer EDPB’s øvrige opgaver, som i det væsentlige består i rådgivningsopgaver, som EDPB skal udføre ved hjælp af udtalelser, samt i udstedelsen af retningslinjer, henstillinger og »bedste praksis«.

31

Under afdelingen »Sammenhæng«, der er nævnt i denne kendelses præmis 26, bestemmer artikel 65 med overskriften »Tvistbilæggelse ved Databeskyttelsesrådet« efter artikel 64, som opregner de tilfælde, hvor EDPB afgiver en udtalelse, bl.a.:

»1.   Med henblik på at sikre korrekt og konsekvent anvendelse af denne forordning i hvert enkelt tilfælde vedtager Databeskyttelsesrådet en bindende afgørelse i følgende tilfælde:

[…]

2.   Den afgørelse, der er omhandlet i stk. 1, vedtages […] med et flertal på to tredjedele blandt medlemmerne af Databeskyttelsesrådet. […] Afgørelsen i stk. 1 skal være begrundet og rettet til den ledende tilsynsmyndighed og alle de berørte tilsynsmyndigheder og have bindende virkning for dem.

[…]

5.   Formanden for Databeskyttelsesrådet meddeler uden unødig forsinkelse den i stk. 1 omhandlede afgørelse til de berørte tilsynsmyndigheder. Formanden underretter Kommissionen herom. Afgørelsen offentliggøres straks på Databeskyttelsesrådets websted, når tilsynsmyndigheden har meddelt den endelige afgørelse, jf. stk. 6.

6.   Den ledende tilsynsmyndighed eller efter omstændighederne den tilsynsmyndighed, til hvem en klage er indgivet, vedtager sin endelige afgørelse på grundlag af den i denne artikels stk. 1 omhandlede afgørelse uden unødig forsinkelse og senest en måned efter, at Databeskyttelsesrådet har meddelt sin afgørelse. […] Den endelige afgørelse skal indeholde en henvisning til den afgørelse, der er omhandlet i nærværende artikels stk. 1, og angive, at den i nævnte stykke omhandlede afgørelse vil blive offentliggjort på Databeskyttelsesrådets websted i overensstemmelse med nærværende artikels stk. 5. Den i nærværende artikels stk. 1 omhandlede afgørelse vedlægges den endelige afgørelse.«

32

Kapitel VIII i forordning 2016/679 med overskriften »Retsmidler, ansvar og sanktioner« omhandler i artikel 78 »adgang til effektive retsmidler over for en tilsynsmyndighed« og i artikel 79 »adgang til effektive retsmidler over for en dataansvarlig eller databehandler«. Det indeholder ingen bestemmelser om eventuelle retsmidler til prøvelse af EDPB’s bindende afgørelser vedtaget på grundlag af ovennævnte artikel 65, stk. 1. Artikel 78, stk. 4, bestemmer imidlertid, at »[h]vis sag anlægges mod en afgørelse fra en tilsynsmyndighed, der er truffet efter […] en afgørelse fra Databeskyttelsesrådet i forbindelse med sammenhængsmekanismen, fremsender tilsynsmyndigheden denne […] afgørelse til domstolen.«

33

I begrundelsen for forordning 2016/679 hedder det i 143. betragtning:

»Enhver fysisk eller juridisk person har ret til at anlægge annullationssøgsmål til prøvelse af afgørelser fra Databeskyttelsesrådet ved Domstolen på de betingelser, der er fastsat i artikel 263 i TEUF. De berørte tilsynsmyndigheder, som sådanne afgørelser er rettet til, skal, hvis de ønsker at anfægte afgørelserne, anlægge søgsmål inden for to måneder efter meddelelse af afgørelserne til dem i overensstemmelse med artikel 263 i TEUF. Når en dataansvarlig, databehandler eller klager er umiddelbart og individuelt berørt af Databeskyttelsesrådets afgørelser, kan disse anlægge annullationssøgsmål til prøvelse af disse afgørelser senest to måneder efter afgørelsernes offentliggørelse på Databeskyttelsesrådets websted i overensstemmelse med artikel 263 i TEUF. Uden at dette berører denne ret i henhold til artikel 263 i TEUF, bør enhver fysisk eller juridisk person have adgang til effektive retsmidler ved den kompetente nationale domstol til prøvelse af en tilsynsmyndigheds afgørelse, som har retsvirkninger for denne person. En sådan afgørelse vedrører navnlig tilsynsmyndighedens udøvelse af undersøgelsesbeføjelser, korrigerende beføjelser og godkendelsesbeføjelser eller afslag eller afvisning af klager. Denne ret til adgang til effektive retsmidler omfatter dog ikke foranstaltninger truffet af tilsynsmyndigheder, der ikke er juridisk bindende, som f.eks. udtalelser eller rådgivning fra tilsynsmyndigheden. En sag mod en tilsynsmyndighed bør anlægges ved domstolene i den medlemsstat, hvor tilsynsmyndigheden er etableret, og bør føres i overensstemmelse med den pågældende medlemsstats retspleje. Disse domstole bør have fuld jurisdiktion, herunder jurisdiktion til at undersøge alle de faktiske og retlige omstændigheder, der er relevante for den tvist, som de får forelagt.

Hvis en klage er blevet afslået eller afvist af en tilsynsmyndighed, kan klageren anlægge sag ved domstolene i samme medlemsstat. I forbindelse med domstolskontrol vedrørende anvendelsen af denne forordning kan eller i det tilfælde, der er omhandlet i artikel 267 i TEUF, skal de nationale domstole, som anser en afgørelse om spørgsmålet for nødvendig for at afsige dom, anmode Domstolen om en præjudiciel afgørelse om fortolkning af EU-retten, herunder denne forordning. Hvis en afgørelse truffet af en tilsynsmyndighed, som gennemfører en afgørelse fra Databeskyttelsesrådet, anfægtes ved en national domstol, og gyldigheden af Databeskyttelsesrådets afgørelse er omtvistet, har den nationale domstol ikke beføjelse til at erklære Databeskyttelsesrådets afgørelse for ugyldig, men skal forelægge Domstolen spørgsmålet om gyldighed i henhold til artikel 267 i TEUF som fortolket af Domstolen, hvis den anser afgørelsen for ugyldig. En national domstol kan imidlertid ikke forelægge et spørgsmål om gyldigheden af Databeskyttelsesrådets afgørelse efter anmodning fra en fysisk eller juridisk person, der havde mulighed for at indbringe et annullationssøgsmål til prøvelse af den pågældende afgørelse, navnlig hvis personen er umiddelbart og individuelt berørt af afgørelsen, men ikke havde gjort dette inden for fristen i henhold til artikel 263 i TEUF.«

34

Artikel 263 TEUF, hvis første, andet, fjerde og femte stykke er gengivet nedenfor, bestemmer:

»Den Europæiske Unions Domstol prøver lovligheden af lovgivningsmæssige retsakter, af retsakter vedtaget af Rådet, Kommissionen eller Den Europæiske Centralbank, bortset fra henstillinger og udtalelser, samt af de af Europa-Parlamentets og Det Europæiske Råds retsakter, der skal have retsvirkning over for tredjemand. Den prøver ligeledes lovligheden af de af Unionens organers, kontorers og agenturers retsakter, der skal have retsvirkning over for tredjemand.

I denne henseende har Domstolen kompetence til at udtale sig om klager, der af en medlemsstat, af Europa-Parlamentet, af Rådet eller af Kommissionen indbringes under påberåbelse af inkompetence, væsentlige formelle mangler, overtrædelse af traktaterne eller af retsregler vedrørende deres gennemførelse samt magtfordrejning.

[…]

Enhver fysisk eller juridisk person kan på det grundlag, der er omhandlet i stk. 1 og 2, indbringe klage med henblik på prøvelse af retsakter, der er rettet til vedkommende, eller som berører denne umiddelbart og individuelt, samt af regelfastsættende retsakter, der berører vedkommende umiddelbart, og som ikke omfatter gennemførelsesforanstaltninger.

Retsakter om oprettelse af EU-organer, ‑kontorer og ‑agenturer kan fastsætte særlige betingelser og vilkår for fysiske eller juridiske personers indbringelse af klager med henblik på prøvelse af retsakter vedtaget af disse organer, kontorer og agenturer, som skal have retsvirkning for dem.

[…]«

35

Det fremgår af artikel 263, stk. 1, TEUF, at Unionens retsinstanser har kompetence til at prøve lovligheden af en retsakt vedtaget af et EU-organ, der skal have retsvirkning over for tredjemand. Det følger endvidere af samme artikels stk. 4, at en juridisk person for at kunne anlægge sag med henblik på prøvelse af en individuel retsakt vedtaget af et EU-organ, der ikke er rettet til vedkommende, i princippet skal være umiddelbart og individuelt berørt af denne. I dette tilfælde findes der, som anført i denne kendelses præmis 32, ingen bestemmelse i forordning 2016/679, der svarer til bestemmelsen i artikel 263, stk. 5, TEUF, hvilket indebærer, at WhatsApp i den foreliggende sag faktisk skal opfylde de betingelser, der er fastsat i denne artikels stk. 4, om at være umiddelbart og individuelt berørt af den anfægtede afgørelse, hvis selskabets søgsmål til prøvelse af denne afgørelse skal kunne antages til realitetsbehandling.

36

Det skal indledningsvis fastslås, at den anfægtede afgørelse, der er vedtaget af EDPB, er en retsakt vedtaget af et EU-organ. Den institutionelle ordning, der er fastsat i forordning 2016/679, og som er gengivet i denne kendelses præmis 21-31, navnlig de nationale tilsynsmyndigheders enekompetence til at vedtage korrigerende foranstaltninger over for de dataansvarlige og databehandlerne samt samarbejds- og sammenhængsmekanismerne mellem disse myndigheder, herunder inden for EDPB, som i det væsentlige samler sådanne myndigheder, kan ganske vist give anledning til den opfattelse, at sidstnævnte kun er et koordineringsorgan mellem nationale myndigheder. I henhold til artikel 68, stk. 1, i forordning 2016/679 er EDPB imidlertid blevet oprettet som et EU-organ med status som juridisk person. Det er endvidere i denne egenskab beføjet til på grundlag af artikel 64 og 65 i forordning 2016/679 at vedtage udtalelser og i forbindelse med bilæggelse af tvister mellem nationale tilsynsmyndigheder afgørelser såsom den anfægtede afgørelse, der er bindende for de berørte tilsynsmyndigheder, idet disse udtalelser og afgørelser således er retsakter vedtaget af et EU-organ.

37

Det skal dernæst fastslås, at den anfægtede afgørelse skal have retsvirkninger over for tredjemand, eftersom der er tale om en »bindende afgørelse« i forhold til de berørte tilsynsmyndigheder, som er vedtaget på grundlag af artikel 65 i forordning 2016/679.

38

Når en sagsøger ikke er en af de såkaldt »privilegerede« sagsøgere, der er nævnt individuelt i artikel 263, stk. 2, TEUF, fremgår det imidlertid af fast retspraksis, at denne retsakt for at udgøre en retsakt, der kan anfægtes af denne sagsøger, skal have retligt bindende virkninger, som kan berøre sagsøgerens interesser gennem en væsentlig ændring af hans retsstilling (dom af 11.11.1981, IBM mod Kommissionen, 60/81, EU:C:1981:264, præmis 9; jf. ligeledes dom af 18.11.2010, NDSHT mod Kommissionen, C-322/09 P, EU:C:2010:701, præmis 45 og den deri nævnte retspraksis).

39

Domstolen har ligeledes fastslået, at når en sådan sagsøger ikke er adressat for den retsakt, som den pågældende anfægter, overlapper betingelsen om, at retsakten skal ændre sagsøgerens retsstilling væsentligt, de betingelser, der er fastsat i artikel 263, stk. 4, TEUF, dvs. – når den anfægtede retsakt ikke er en regelfastsættende retsakt, som ikke omfatter gennemførelsesforanstaltninger – kravet om, at sagsøgeren skal være umiddelbart og individuelt berørt af denne retsakt (jf. i denne retning dom af 13.10.2011, Deutsche Post og Tyskland mod Kommissionen, C-463/10 P og C-475/10 P, EU:C:2011:656, præmis 38).

40

I det foreliggende tilfælde kan det med hensyn til karakteren af den anfægtede retsakt, som er en individuel retsakt, indledningsvis bemærkes, at WhatsApp er individuelt berørt af den anfægtede afgørelse, eftersom denne vedrører visse aspekter af et udkast til endelig afgørelse fra den irske tilsynsmyndighed, der specifikt vedrører selskabet. I modsætning til det, som EDPB har anført i duplikken, er den anfægtede afgørelse ikke begrænset til at angive principper eller fortolke visse bestemmelser i forordning 2016/679, der kan berøre en hvilken som helst dataansvarlig. I den anfægtede afgørelse har EDPB, således som det er anført i denne kendelses præmis 11, udtalt sig om WhatsApps overholdelse af visse af selskabets forpligtelser i henhold til forordning 2016/679, kvalificeret oplysninger fra den såkaldte »lossy hashing-procedure«, som er en behandling, der udelukkende foretages af WhatsApp, som personoplysninger og udtalt sig om visse korrigerende foranstaltninger, der skal pålægges WhatsApp, navnlig visse aspekter af fastsættelsen af de administrative bøder, som WhatsApp skal pålægges. Den anfægtede afgørelse er således specifik for WhatsApp, selv om den, som det meget ofte er tilfældet med individuelle retsakter, indeholder en angivelse af eller henvisning til principper og generelle fortolkninger.

41

Dernæst skal det undersøges, om den anfægtede afgørelse har retsvirkninger, der ændrer WhatsApps retsstilling væsentligt, og om den berører WhatsApp umiddelbart, som omhandlet i artikel 263, stk. 4, TEUF.

42

I denne forbindelse skal det, som EPDB denne gang med rette har fremhævet, bemærkes, at den anfægtede afgørelse ikke i sig selv ændrer WhatsApps retsstilling. I modsætning til den irske tilsynsmyndigheds endelige afgørelse kan den nemlig ikke direkte gøres gældende over for selskabet og udgør i forhold til dette en forberedende eller mellemkommende retsakt i en procedure, der i overensstemmelse med bestemmelserne i artikel 58, stk. 2, og artikel 60, 63 og 65 i forordning 2016/679, der er nævnt i denne kendelses præmis 23-26 og 31, netop skal afsluttes med en national tilsynsmyndigheds vedtagelse af en endelig afgørelse, som dette selskab er adressat for (jf. i denne retning og analogt dom af 24.6.1986, AKZO Chemie og AKZO Chemie UK mod Kommissionen, 53/85, EU:C:1986:256, præmis 19).

43

I denne henseende er det adskillige gange blevet fastslået, at foreløbige foranstaltninger, der har til formål at forberede den endelige beslutning, i procedurer, hvor retsakters tilblivelse omfatter flere stadier, principielt ikke kan anfægtes (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen, 60/81, EU:C:1981:264, præmis 10, og af 26.1.2010, Internationaler Hilfsfonds mod Kommissionen, C-362/08 P, EU:C:2010:40, præmis 52 og den deri nævnte retspraksis).

44

Undtagelserne fra det princip, der er nævnt i denne kendelses præmis 43, vedrører de tilfælde, hvor den foreløbige foranstaltning har selvstændige retsvirkninger, i forhold til hvilke det ikke er muligt at sikre en tilstrækkelig domstolsbeskyttelse i forbindelse med et søgsmål til prøvelse af den afgørelse, der bringer proceduren til ophør (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen, 60/81, EU:C:1981:264, præmis 11 og 12, og af 13.10.2011, Deutsche Post og Tyskland mod Kommissionen, C-463/10 P og C-475/10 P, EU:C:2011:656, præmis 53 og 54). Sådanne undtagelser er f.eks. blevet identificeret i forbindelse med en kontrolprocedure vedrørende overholdelsen af de for virksomheder gældende konkurrenceregler (jf. i denne retning dom af 24.6.1986, AKZO Chemie og AKZO Chemie UK mod Kommissionen, 53/85, EU:C:1986:256, præmis 20), i forbindelse med en kontrolprocedure vedrørende overholdelsen af statsstøttereglerne (jf. i denne retning dom af 9.10.2001, Italien mod Kommissionen, C-400/99, EU:C:2001:528, præmis 55-63), og for så vidt angår en accessorisk eller retsbevarende foranstaltning forud for en endelig afgørelse i forbindelse med suspension af en tjenestemand, som er genstand for en disciplinærsag (jf. i denne retning dom af 5.5.1966, Gutmann mod Kommissionen, 18/65 og 35/65, EU:C:1966:24, s. 175).

45

I det foreliggende tilfælde er WhatsApp derimod sikret en effektiv domstolsbeskyttelse i forhold til den anfægtede afgørelse i kraft af det retsmiddel, som selskabet råder over ved de nationale domstole til prøvelse af den irske tilsynsmyndigheds endelige afgørelse, som gør det muligt at vurdere gyldigheden af den anfægtede afgørelse. I henhold til bestemmelserne i artikel 78, stk. 1, i forordning 2016/679, hvorefter enhver person i samtlige medlemsstater har ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende, har WhatsApp anfægtet den endelige afgørelse, der er truffet af den irske tilsynsmyndighed, ved en irsk domstol, og selskabet kan i forbindelse med dette søgsmål gøre gældende, at de bindende vurderinger i den anfægtede afgørelse, der er gengivet i den endelige afgørelse, er ulovlige. Det bemærkes i denne henseende, at artikel 267 TEUF gør det muligt at rejse spørgsmål om gyldigheden af retsakter udstedt af Unionens institutioner, organer, kontorer eller agenturer ved en national ret, idet det fastsættes, at hvis den nationale ret skønner, at en afgørelse af dette spørgsmål er nødvendig, før den afsiger sin dom, kan eller skal den forelægge Den Europæiske Unions Domstol et præjudicielt spørgsmål vedrørende gyldigheden. Såfremt Domstolen efter den præjudicielle procedure fastslår, at en sådan retsakt, såfremt den forbereder en afgørelse fra en myndighed i en medlemsstat, er ugyldig, skal den nationale ret drage konsekvensen heraf for så vidt angår lovligheden af denne afgørelse, der er bebyrdende for den pågældende (jf. i denne retning dom af 30.10.1975, Rey Soda m.fl., 23/75, EU:C:1975:142, præmis 51, og af 20.3.2018, Šroubárna Ždánice mod Rådet, T-442/16, ikke trykt i Sml., EU:T:2018:159, præmis 34).

46

Desuden har den anfægtede afgørelse ingen selvstændige retsvirkninger over for WhatsApp i forhold til den endelige afgørelse fra den irske tilsynsmyndighed: Alle vurderingerne i den første afgørelse er gengivet i den anden, og den første har ingen virkning, som er uafhængig af indholdet i den anden, i modsætning til de situationer, der gav anledning til dom af 5. maj 1966, Gutmann mod Kommissionen (18/65 og 35/65, EU:C:1966:24), af 24. juni 1986, AKZO Chemie og AKZO Chemie UK mod Kommissionen (53/85, EU:C:1986:256), og af 9. oktober 2001, Italien mod Kommissionen (C-400/99, EU:C:2001:528), som er nævnt i denne kendelses præmis 44.

47

Selv om de principper, der er nævnt i denne kendelses præmis 43 og 44, er blevet udledt i forbindelse med procedurer, der for så vidt angår den endelige afgørelse henhører under Unionens institutioners eller andre enheders kompetence, er der i denne henseende ingen grund til, at dette skulle være anderledes, når EU-retten som i den foreliggende sag overdrager overvågningen af anvendelsen af særlige EU-regler til specifikke nationale myndigheder i forbindelse med procedurer, der omfatter flere stadier, og når der er tale om en foreløbig foranstaltning, der er vedtaget af et EU-organ under en sådan procedure, som afsluttes med en afgørelse vedtaget af en national myndighed.

48

WhatsApp har ganske vist gjort gældende, at den anfægtede afgørelse udgør EDPB’s endelige holdning, som den irske tilsynsmyndighed skulle følge i den endelige afgørelse. Dette argument må forstås således, at den anfægtede afgørelse dermed nødvendigvis er en anfægtelig retsakt, og at den adskiller sig fra foreløbige foranstaltninger, der kun er udtryk for en foreløbig holdning, og som alene er retsakter, der ikke kan anfægtes.

49

Som anført i denne kendelses præmis 38 gælder det imidlertid, at for at en retsakt skal kunne anfægtes af en anden sagsøger end de såkaldt privilegerede sagsøgere, der er nævnt i artikel 263, stk. 2, TEUF, skal denne retsakt bl.a. ændre denne sagsøgers retsstilling væsentligt. Den omstændighed, at en mellemkommende retsakt udtrykker en myndigheds endelige holdning, som skal gengives i den endelige afgørelse, der afslutter den pågældende procedure, som det er tilfældet i den foreliggende sag, eftersom den anfægtede afgørelse indeholder en endelig analyse af visse aspekter af den endelige afgørelse, betyder imidlertid ikke nødvendigvis, at denne mellemkommende retsakt selv ændrer sagsøgerens retsstilling væsentligt, således som det i denne sag er godtgjort i denne kendelses præmis 42-47. For så vidt som denne betingelse, som det er anført i denne kendelses præmis 39, overlapper betingelserne i artikel 263, stk. 4, TEUF, dvs. bl.a. kravet om, at sagsøgeren skal være umiddelbart berørt af den pågældende retsakt, kan dette i den foreliggende sag efterprøves ved at undersøge, om WhatsApp er umiddelbart berørt af den anfægtede afgørelse.

50

Som EDPB med rette har gjort gældende, er WhatsApp imidlertid ikke umiddelbart berørt af den anfægtede afgørelse.

51

Det følger nemlig af fast retspraksis, at det, for at en sagsøger, der ikke er adressat for en retsakt, kan være umiddelbart berørt af retsakten, kræves, at denne for det første umiddelbart berører den pågældende sagsøgers retsstilling og for det andet ikke overlader et skøn til adressaterne, der skal gennemføre den, og at gennemførelsen sker helt automatisk, udelukkende i medfør af Unionens retsforskrifter og uden anvendelse af andre mellemkommende regler (dom af 13.5.1971, International Fruit Company m.fl. mod Kommissionen, 41/70-44/70, EU:C:1971:53, præmis 23-28, af 5.5.1998, Dreyfus mod Kommissionen, C-386/96 P, EU:C:1998:193, præmis 43, og af 17.9.2009, Kommissionen mod Koninklijke FrieslandCampina, C-519/07 P, EU:C:2009:556, præmis 48).

52

Hvad angår den første af disse betingelser er den anfægtede afgørelse, som allerede nævnt i denne kendelses præmis 42, ikke af en sådan karakter, at den kan gøres gældende over for WhatsApp og uden yderligere trin i proceduren skabe forpligtelser for WhatsApp eller i givet fald rettigheder for andre enkeltpersoner. Den adskiller sig således f.eks. fra de retsakter, der var genstand for dom af 23. april 1986, Les Verts mod Parlamentet (294/83, EU:C:1986:166), og hvorom det i denne doms præmis 31 for at konkludere, at de berørte den sagsøgende sammenslutning umiddelbart, blev bemærket, at »[de var] en fuldstændig regulering, som [var] tilstrækkelig i sig selv, og som ikke [nødvendiggjorde] nogen gennemførelsesbestemmelser«. I det foreliggende tilfælde er den anfægtede afgørelse ikke det sidste trin i hele den procedure, der er fastsat i artikel 58, 60 og 65 i forordning 2016/679.

53

Hvad angår den anden af disse betingelser vedrørende det skøn, som den myndighed, der skal gennemføre den omhandlede retsakt, har, skal det fastslås, at selv om den anfægtede afgørelse var bindende for den irske tilsynsmyndighed for så vidt angik de aspekter, som den vedrørte, overlod den et skøn til myndigheden med hensyn til indholdet af den endelige afgørelse.

54

Som det fremgår af en sammenligning af indholdet af den anfægtede afgørelse, der er gengivet i denne kendelses præmis 11, og hvorved der gives anvisninger til de berørte tilsynsmyndigheder, og indholdet af den endelige afgørelse, der er rettet til WhatsApp, og som er gengivet i denne kendelses præmis 8, indeholder den anfægtede afgørelse kun en del af indholdet af den endelige afgørelse.

55

Fælles for de to afgørelser er således konstateringen af, at WhatsApp har tilsidesat gennemsigtighedsprincippet i artikel 5, stk. 1, litra a), og de forpligtelser, der er fastsat i artikel 13, stk. 1, litra d), og i artikel 13, stk. 2, litra e), i forordning 2016/679, kvalificeringen som personoplysninger af oplysningerne fra den såkaldte »lossy hashing-procedure«, som anvendes på oplysninger om »kontakter«, der ikke bruger WhatsApp, og som er opført i adressebogen på WhatsApp-brugeres terminaler, konstateringen af, at WhatsApp som følge af denne kvalificering har tilsidesat forpligtelser, som er fastsat i artikel 14 i forordning 2016/679, fristen på tre måneder, som WhatsApp fik til at overholde kravene i forordning 2016/679, visse aspekter af de korrigerende foranstaltninger, nemlig vedrørende personoplysningerne om ikke-brugere af WhatsApp og forpligtelsen til at give WhatsApp-brugerne de oplysninger, der er nævnt i artikel 13, stk. 2, litra e), i forordning 2016/679, fortolkningen af kriterierne for størrelsen af de administrative bøder, som WhatsApp blev pålagt, og forhøjelsen af beløbet for disse bøder i forhold til det samlede beløb på 30-50 mio. EUR, som var blevet fastsat i den irske tilsynsmyndigheds udkast til afgørelse.

56

Hvad derimod angår følgende aspekter er den endelige afgørelse et resultat af den irske tilsynsmyndigheds vurdering, uden at EDPB i den anfægtede afgørelse har givet udtryk for en holdning i denne henseende: konstateringen af, at WhatsApp har tilsidesat forpligtelser, der er fastsat i artikel 12, stk. 1, artikel 13, stk. 1, litra c), e) og f), samt artikel 13, stk. 2, litra a) og c), i forordning 2016/679, konstateringen af, at WhatsApp overholder forpligtelserne i artikel 13, stk. 1, litra a) og b), og artikel 13, stk. 2, litra b) og d), i forordning 2016/679, WhatsApps egenskab, når selskabet behandler personoplysninger om ikke-brugere af dets beskedtjeneste, det væsentligste indhold af de korrigerende foranstaltninger, som WhatsApp er blevet pålagt, dvs. dem, der har til formål at sikre overholdelsen af forpligtelserne i artikel 12, stk. 1, artikel 13, stk. 1, litra c), d), e) og f), og artikel 13, stk. 2, litra a) og c), i forordning 2016/679 samt den konkrete fastsættelse af størrelsen af de administrative bøder, som WhatsApp blev pålagt, og som i alt beløber sig til 225 mio. EUR.

57

Det skal navnlig bemærkes, at den irske tilsynsmyndighed har udøvet sit skøn for at drage konsekvensen af anvisningerne i den anfægtede afgørelse for så vidt angår kvalificeringen af oplysningerne fra »lossy hashing-proceduren« som personoplysninger og for så vidt angår de administrative bøder.

58

Med hensyn til det første aspekt, dvs. spørgsmålet om behandlingen af personoplysninger om ikke-brugere af WhatsApp, navnlig oplysninger fra den såkaldte »lossy hashing-procedure«, således som det fremgår af punkt 111 i den endelige afgørelse, var det følgende trin i analysen med henblik på at afgøre, om WhatsApp i forhold til disse personer havde tilsidesat de forpligtelser, der er fastsat i artikel 14 i forordning 2016/679, at finde ud af, hvorvidt WhatsApp for så vidt angår behandlingen af de omhandlede personoplysninger havde handlet som dataansvarlig eller blot som en databehandler, der handlede på vegne af en bruger af WhatsApps beskedtjeneste, som havde aktiveret kontaktfunktionen. Dette trin i analysen, som udmøntede sig i, at den første mulighed blev tiltrådt, følger imidlertid af den irske tilsynsmyndigheds vurdering, uden at EDPB i den anfægtede afgørelse har givet udtryk for en holdning i denne henseende.

59

Hvad angår fastsættelsen af de administrative bøder forholder det sig således, at selv om den anfægtede afgørelse indeholder anvisninger vedrørende fortolkningen af kriterierne for størrelsen af de administrative bøder, der er pålagt på grundlag af forordning 2016/679, og forhøjelsen af det samlede beløb for de bøder, der i den foreliggende sag skulle pålægges WhatsApp, i forhold til det, der var fastsat i den irske tilsynsmyndigheds udkast til afgørelse, havde denne myndighed fortsat en skønsbeføjelse til at fastsætte det konkrete beløb for de bøder, der skulle pålægges WhatsApp. Som anført i denne kendelses præmis 8 anmodede den irske tilsynsmyndighed WhatsApp om at fremsætte dets bemærkninger til de nye administrative bøder, som den påtænkte at pålægge selskabet, inden den vedtog den endelige afgørelse, hvilket er i overensstemmelse med den konstatering, at myndigheden fortsat havde et skøn i denne henseende. I det foreliggende tilfælde kan det bemærkes, at det i den endelige afgørelse er den nedre ramme for den irske tilsynsmyndigheds nye bøder, der i sidste ende blev anvendt.

60

Den endelige afgørelse udgør imidlertid et hele, hvorfra man ikke kan udskille de dele, der svarer til anvisningerne i den anfægtede afgørelse, og gøre dem til en endelig »delafgørelse«, med hensyn til hvilken tilsynsmyndigheden ikke havde noget skøn. Den irske tilsynsmyndigheds undersøgelse og endelige afgørelse vedrørte således WhatsApps overholdelse af gennemsigtighedsprincippet og alle de hermed forbundne konkrete forpligtelser, som fremgår af forordning 2016/679. Det er således WhatsApps overordnede praksis i denne henseende, der er blevet analyseret i den endelige afgørelse, og et og samme aspekt af denne praksis er blevet undersøgt på grundlag af flere relevante bestemmelser i forordning 2016/679, f.eks. på grundlag af artikel 5, stk. 1, litra a), artikel 12, stk. 1, og de mange bestemmelser i artikel 13 i forordning 2016/679, mens den anfægtede afgørelse alene indeholder en analyse på grundlag af nogle af disse bestemmelser. Det giver ingen mening at tage visse særlige elementer ud af den samlede analyse, der er foretaget i den endelige afgørelse, når den procedure, der er indledt over for WhatsApp på den irske tilsynsmyndigheds initiativ og på dennes ansvar i dens egenskab af ledende tilsynsmyndighed, vedrørte den generelle vurdering af WhatsApps overholdelse af gennemsigtighedsprincippet. Hvad navnlig angår fastsættelsen af de økonomiske sanktioner er det på grundlag af samtlige de konstaterede overtrædelser af henholdsvis artikel 5, stk. 1, litra a), artikel 12, 13 og 14 i forordning 2016/679, at den irske tilsynsmyndighed fastsatte størrelsen af hver af de fire administrative bøder.

61

Følgelig er ingen af de to betingelser, der er nævnt i denne kendelses præmis 51, og som, hvis de var opfyldt, ville gøre det muligt at fastslå, at WhatsApp er umiddelbart berørt af den anfægtede afgørelse, opfyldt.

62

Det følger af det ovenstående, at WhatsApps søgsmål ikke kan antages til realitetsbehandling.

63

Resultatet af denne analyse stemmer overens med det, der har kunnet fastslås for så vidt angår andre procedurer, hvor der er rettet en bindende EU-retsakt vedrørende virksomheder til en medlemsstat.

64

På området for statsstøttekontrol er det således blevet fastslået, at når Kommissionen vedtager en afgørelse, der erklærer en støtte, der allerede er tildelt, ulovlig og uforenelig med det indre marked og pålægger den udbetalende medlemsstat at tilbagesøge den udbetalte støtte, er modtagerne af denne udbetalte støtte umiddelbart og individuelt berørt af denne afgørelse (jf. i denne retning dom af 19.10.2000, Italien og Sardegna Lines mod Kommissionen, C-15/98 og C-105/99, EU:C:2000:570, præmis 33-36). I denne henseende er det blevet bemærket, at disse modtagere på tidspunktet for vedtagelsen af en sådan afgørelse risikerer, at de fordele, de har modtaget, skal tilbagebetales, og at deres retsstilling således er berørt (dom af 9.6.2011, Comitato Venezia vuole vivere m.fl. mod Kommissionen, C-71/09 P, C-73/09 P og C-76/09 P, EU:C:2011:368, præmis 56). Dette skyldes, at kontrollen er afsluttet på dette trin, at der ikke skal foretages nogen yderligere vurdering af realiteten, eftersom de beløb, der skal tilbagesøges, fastsættes mekanisk på grundlag af Kommissionens afgørelse og den støtte, der tidligere er blevet ydet de berørte virksomheder, at medlemsstaten er forpligtet til selv at iværksætte tilbagesøgningen af denne støtte og til at gennemføre den, medmindre der foreligger helt usædvanlige omstændigheder (jf. i denne retning dom af 7.6.1988, Kommissionen mod Grækenland, 63/87, EU:C:1988:285, af 20.9.1990, Kommissionen mod Tyskland, C-5/89, EU:C:1990:320, præmis 15 og 16, og af 20.3.1997, Alcan Deutschland, C-24/95, EU:C:1997:163), og at tredjemand på grundlag af Kommissionens afgørelse kan henvende sig til den pågældende forvaltning eller til de nationale domstole for at få tilbagebetalt den pågældende støtte, uden selv at skulle føre bevis for, at støtten er ydet ulovligt (jf. analogt dom af 12.2.2008, CELF og Ministre de la Culture et de la Communication, C-199/06, EU:C:2008:79, præmis 23 og 39-41). I den foreliggende sag befinder den anfægtede afgørelse sig ikke på et tilsvarende trin, eftersom kontrollen ikke blev afsluttet med dens vedtagelse, da yderligere vurderinger vedrørende WhatsApps overholdelse af bestemmelserne i forordning 2016/679 og den pålagte sanktion endnu skulle bekræftes eller fremlægges af den ledende tilsynsmyndighed, og da den anfægtede afgørelse ikke i sig selv kunne tjene som retskraftigt grundlag for at pålægge WhatsApp forpligtelser.

65

Det er ligeledes blevet fastslået, at en afgørelse fra Kommissionen, der var rettet til en medlemsstat, og hvori det oplystes, at en EU-finansiering til fordel for en virksomhed var blevet nedsat i forhold til det planlagte, da nogle af de af denne virksomhed fremlagte udgifter ikke var berettigede til den pågældende finansiering, berørte denne virksomhed umiddelbart og individuelt, idet den omhandlede afgørelse fratog virksomheden en del af det tilskud, der oprindeligt var bevilget, og medlemsstaten ikke her havde noget skøn (dom af 4.6.1992, Infortec mod Kommissionen, C-157/90, EU:C:1992:243, præmis 17). I den foreliggende sag er den anfægtede afgørelse i modsætning til den afgørelse fra Kommissionen, der gav anledning til denne vurdering, imidlertid ikke, således som det er fastslået i denne kendelses præmis 52, det sidste trin i hele den omhandlede procedure, og som det er fastslået i denne kendelses præmis 56 og 57, overlades den irske tilsynsmyndighed et skøn.

66

Mere overordnet er afvisningen af det søgsmål, som WhatsApp har anlagt ved Retten til prøvelse af den anfægtede afgørelse, i overensstemmelse med det retsmiddelsystem, der er indført ved EU-traktaten og EUF-traktaten.

67

Som det fremgår af EU-traktatens artikel 2, bygger Unionen bl.a. på respekt for retsstaten. Artikel 6, stk. 1, i EU-traktaten bestemmer, at Unionen anerkender de rettigheder, friheder og principper, der findes i chartret om grundlæggende rettigheder, og chartrets artikel 47 sikrer adgang til effektive retsmidler og til en upartisk domstol. Det præciseres i EU-traktatens artikel 19, at Den Europæiske Unions Domstol sikrer overholdelse af lov og ret ved fortolkningen og anvendelsen af traktaterne, og navnlig at den træffer afgørelse i henhold til traktaterne i sager anlagt af en medlemsstat, en institution eller fysiske eller juridiske personer, i præjudicielle spørgsmål efter anmodning fra de nationale domstole om fortolkning af EU-retten eller om gyldigheden af retsakter vedtaget af institutionerne og i de øvrige tilfælde, der er nævnt i traktaterne. Samme artikel bestemmer, at medlemsstaterne tilvejebringer den nødvendige adgang til domstolsprøvelse for at sikre en effektiv retsbeskyttelse på de områder, der er omfattet af EU-retten.

68

Nærmere bestemt er der ved EUF-traktatens artikel 263 om direkte søgsmål ved Den Europæiske Unions Domstol og dens artikel 267 om de tilfælde, hvor Domstolen afgør præjudicielle spørgsmål, navnlig om gyldigheden og fortolkningen af retsakter udstedt af Unionens institutioner, organer, kontorer eller agenturer, oprettet et fuldstændigt retsmiddelsystem, som skal sikre kontrollen med lovligheden af Unionens retsakter (jf. i denne retning dom af 25.7.2002, Unión de Pequeños Agricultores mod Rådet, C-50/00 P, EU:C:2002:462, præmis 40). Både Den Europæiske Unions Domstol, som Retten er en del af, og de nationale retter deltager i dette system. Personer, der på grund af betingelserne i artikel 263 TEUF for at antage en sag til realitetsbehandling ikke kan anfægte Unionens retsakter direkte ved Den Europæiske Unions Domstol, har inden for rammerne af dette system mulighed for ved en ulovlighedsindsigelse at gøre gældende, at en sådan retsakt er ugyldig, for de nationale retter ved her at anlægge et søgsmål til prøvelse af de nationale foranstaltninger til gennemførelse af denne retsakt. I denne situation tilkommer det de nationale retter, hvis de finder, at en afgørelse af dette spørgsmål er nødvendig for, at de kan afsige dom, og er i tvivl om retsaktens gyldighed, at forelægge Den Europæiske Unions Domstol præjudicielle spørgsmål herom (jf. i denne retning og analogt dom af 25.7.2002, Unión de Pequeños Agricultores mod Rådet, C-50/00 P, EU:C:2002:462, præmis 40).

69

Logikken bag dette system, som bl.a. forklarer fortolkningen af de betingelser for at antage direkte søgsmål til realitetsbehandling, der er fastsat i artikel 263 TEUF, hvilken fortolkning der er henvist til i analysen i denne kendelses præmis 35-62, er, at Den Europæiske Unions Domstol og de nationale retter supplerer hinanden effektivt, og at Unionens retsinstanser og de nationale retter ikke i forbindelse med sideløbende sager foranlediges til at udtale sig om gyldigheden af den samme EU-retsakt, hverken direkte eller, hvad angår de nationale retter, hvis de er i tvivl om gyldigheden af den omhandlede retsakt, efter et præjudicielt spørgsmål. Denne logik har bl.a. kunnet begrunde, at det er blevet fastslået, at en sagsøger, som utvivlsomt kunne have anfægtet en EU-afgørelse direkte ved Den Europæiske Unions Domstol, ikke længere efterfølgende kan anfægte gyldigheden af denne afgørelse, navnlig i forbindelse med en efterfølgende sag ved den nationale ret (jf. i denne retning dom af 9.3.1994, TWD Textilwerke Deggendorf, C-188/92, EU:C:1994:90, præmis 17; jf. ligeledes i denne retning dom af 9.6.2011, Comitato Venezia vuole vivere m.fl. mod Kommissionen, C-71/09 P, C-73/09 P og C-76/09 P, EU:C:2011:368, præmis 58 og den deri nævnte retspraksis). Omvendt fremgår det af fast retspraksis, at ulovligheden af en EU-retsakt, der ikke kan anfægtes, og som danner grundlag for en anden retsakt, kan påberåbes i forbindelse med et søgsmål til prøvelse af denne anden retsakt (dom af 11.11.1981, IBM mod Kommissionen, 60/81, EU:C:1981:264, præmis 12 og a contrario de foregående henvisninger til retspraksis).

70

Hvis WhatsApps søgsmål til prøvelse af den anfægtede afgørelse i det foreliggende tilfælde blev antaget til realitetsbehandling, ville det føre til, at der ville versere to sideløbende retssager med omfattende overlapninger, den ene for Retten til prøvelse af den anfægtede afgørelse, og den anden ved en irsk retsinstans til prøvelse af den endelige afgørelse, hvis begrundelse delvis er baseret på den anfægtede afgørelse. WhatsApp har i øvrigt med henblik på at opnå en frist for indlevering af replikken til Retten anført den parallelle arbejdsbyrde, som sagen ved den irske retsinstans krævede af selskabet. Medmindre den ene af disse retsinstanser udsætter den ved denne anlagte sag, hvilket kan resultere i, at det kommer til at tage længere tid at nå frem til en endelig løsning vedrørende lovligheden af den endelige afgørelse, kan disse sideløbende sager endog føre til, at Domstolen i forbindelse med en præjudiciel forelæggelse og Retten ved WhatsApps direkte søgsmål vil skulle udtale sig samtidig om gyldigheden af den anfægtede afgørelse. Under henvisning til det retsmiddelsystem, der er nævnt i denne kendelses præmis 68 og 69, og henset til bestemmelserne i artikel 78 i forordning 2016/679 om adgang til effektive retsmidler over for en tilsynsmyndighed, tilkommer det i givet fald den irske ret, der behandler sagen, og som er den eneste kompetente i denne henseende, at efterprøve lovligheden af den endelige afgørelse, der kan gøres gældende over for WhatsApp, ved at forelægge et præjudicielt spørgsmål om gyldigheden for Den Europæiske Unions Domstol for så vidt angår den anfægtede afgørelse, hvis den finder det nødvendigt for at kunne træffe afgørelse i tvisten mellem WhatsApp og den irske tilsynsmyndighed. Den irske ret, der behandler sagen, kan i denne henseende afgøre den tvist, der verserer for den, enten ved at forkaste den ulovlighedsindsigelse, der eventuelt måtte blive rejst mod den anfægtede afgørelse, uden at henvende sig til Domstolen, hvis ikke den nærer tvivl om gyldigheden af denne afgørelse, eller ved at forelægge Domstolen et præjudicielt spørgsmål, hvis den nærer en sådan tvivl, eller den kan afgøre tvisten uafhængigt af spørgsmålet om den anfægtede afgørelses gyldighed i lyset af de anbringender, der er fremført for den. Denne løsning er i overensstemmelse med hensynet til god retspleje, henset til de risici i forbindelse med sideløbende retssager, der er nævnt først i denne præmis.

71

Endelig skal det med hensyn til 143. betragtning til forordning 2016/679, der er nævnt i denne kendelses præmis 33, og som kan give anledning til den opfattelse, at et søgsmål som det, som WhatsApp har anlagt ved Retten, kan antages til realitetsbehandling, bemærkes, at en betragtning til en forordning kan være et vejledende moment ved fortolkningen af en retsregel, men kan ikke i sig selv være en retsregel, og at præamblen til en EU-retsakt ikke er retligt bindende (jf. dom af 26.10.2017, Marine Harvest mod Kommissionen, T-704/14, EU:T:2017:753, præmis 150 og den deri nævnte retspraksis; jf. ligeledes i denne retning dom af 24.11.2005, Deutsches Milch-Kontor, C-136/04, EU:C:2005:716, præmis 32 og den deri nævnte retspraksis). I det foreliggende tilfælde understøtter denne betragtning imidlertid ikke nogen bestemmelse i forordning 2016/679, således som det er anført i denne kendelses præmis 32 og 35. Desuden kan en forklaring i en forordnings begrundelse ikke have forrang for de gældende regler i primærretten, som findes i traktaterne, i det foreliggende tilfælde for bestemmelserne i artikel 263, stk. 1 og 4, TEUF, hvis indhold i øvrigt delvis er nævnt i den omhandlede betragtning med angivelsen i første punktum af, at »[e]nhver fysisk eller juridisk person har ret til at anlægge annullationssøgsmål til prøvelse af afgørelser fra Databeskyttelsesrådet ved Domstolen på de betingelser, der er fastsat i artikel 263 i TEUF«.

72

Det følger af det ovenstående, at søgsmålet skal afvises.

73

I henhold til procesreglementets artikel 142, stk. 2, er interventionen accessorisk i forhold til hovedsagen og mister sin genstand, såfremt sagen afvises.

74

Det er følgelig ufornødent at træffe afgørelse vedrørende anmodningerne om intervention og de anmodninger om beskyttelse af fortroligheden af oplysninger i sagsakterne, som de har givet anledning til.

75

I henhold til procesreglementets artikel 134, stk. 1, pålægges det den tabende part at betale sagsomkostningerne, hvis der er nedlagt påstand herom. Da WhatsApp har tabt sagen, bør det pålægges WhatsApp at betale sagsomkostningerne i overensstemmelse med EDPB’s påstand herom, med forbehold af det i denne kendelses præmis 76 anførte.

76

I henhold til procesreglementets artikel 144, stk. 10, bærer den, der anmoder om intervention, og hovedparterne hver især de omkostninger, som de har haft i forbindelse med anmodningen om intervention, såfremt hovedsagen afsluttes, inden der er truffet afgørelse om en anmodning om intervention. I den foreliggende sag bærer WhatsApp, EDPB, Republikken Finland, Kommissionen, Den Europæiske Tilsynsførende for Databeskyttelse og Computer & Communication Industry Association hver især de omkostninger, som de har haft i forbindelse med anmodningerne om intervention.

På grundlag af disse præmisser

udtaler og bestemmer

RETTEN (Fjerde Udvidede Afdeling):