Edición provisional

CONCLUSIONES DE LA ABOGADA GENERAL

SRA. TAMARA ĆAPETA

presentadas el 27 de marzo de 2025 (1)

Asunto C‑97/23 P

WhatsApp Ireland Ltd

contra

Comité Europeo de Protección de Datos

« Recurso de casación — Protección de datos personales — Reglamento (UE) 2016/679 — Artículo 65 — Mecanismo de coherencia — Resolución de conflictos por el Comité Europeo de Protección de Datos — Recurso de anulación — Artículo 263 TFUE, párrafo primero — Concepto de “acto impugnable” — Artículo 263 TFUE, párrafo cuarto — Concepto de “afectación directa” — Conceptos de “acto preparatorio” y “acto intermedio” — Cuestión de la “inoponibilidad” de una decisión contra una persona física o jurídica — Facultad de apreciación del órgano que ejecuta dicha decisión »

I.      Introducción

1.        El presente recurso de casación suscita la perenne cuestión de la interpretación y aplicación de los requisitos de admisibilidad de un recurso de anulación interpuesto por demandantes que sean personas físicas o jurídicas. En concreto, el asunto se refiere a los conceptos de «acto impugnable» en el sentido del artículo 263 TFUE, párrafo primero, y de «afectación directa» en el sentido del artículo 263 TFUE, párrafo cuarto.

2.        Esta cuestión se plantea en el contexto del mecanismo de coherencia regulado por el Reglamento General de Protección de Datos (en lo sucesivo, «RGPD»), (2) un mecanismo consistente en un procedimiento compuesto que implica la participación de las autoridades nacionales de control y del Comité Europeo de Protección de Datos (en lo sucesivo, «CEPD»).

3.        En el auto recurrido en casación, el Tribunal General consideró inadmisible un recurso interpuesto por WhatsApp Ireland Ltd (en lo sucesivo, «WhatsApp» o «recurrente») contra la Decisión Vinculante 1/2021 (en lo sucesivo, «Decisión controvertida»), (3) una decisión del CEPD adoptada en el contexto del citado mecanismo de coherencia. (4) De ahí el presente recurso de casación. (5)

4.        Más allá del recurso de casación en este asunto concreto, el Tribunal de Justicia tiene ocasión de explicar con carácter general cómo se han de aplicar las normas de admisibilidad de los recursos de anulación a los procedimientos compuestos.

II.    Antecedentes

5.        El presente asunto se deriva del mecanismo de coherencia introducido por el RGPD. En concreto, versa sobre la parte de dicho mecanismo prevista en el artículo 65 del RGPD, en virtud de la cual se otorga al CEPD la facultad de adoptar decisiones vinculantes por las que este resuelve determinados tipos de litigios surgidos entre las autoridades nacionales de control al aplicar las disposiciones del RGPD.

6.        El mecanismo de coherencia es uno de los muchos «procedimientos administrativos compuestos» establecidos por el Derecho derivado de la Unión. (6)

7.        Este término se utiliza para designar los procedimientos en que la toma de decisiones se lleva a cabo a través de distintas fases, con la participación de instituciones y órganos tanto de la UE como nacionales. (7)

8.        Uno de los problemas jurídicos que se plantean en relación con dichos procedimientos es cuáles de los actos adoptados por los distintos actores que intervienen en ellos constituyen «actos impugnables» y ante qué tribunales han de ser recurridos. (8)

9.        El presente recurso de casación se plantea en el referido contexto. El recurrente considera que el Tribunal General erró al declarar que la decisión adoptada por el CEPD con arreglo al mecanismo de coherencia no era un acto impugnable ante los tribunales de la Unión.

A.      El mecanismo de coherencia del RGPD

10.      La tarea de supervisar y hacer cumplir las disposiciones del RGPD se confía a las distintas autoridades de control de los Estados miembros en sus respectivos territorios. (9)

11.      Para abordar la posible fragmentación en la aplicación de las normas de protección de datos en toda la Unión Europea que pueda derivarse de tal sistema «descentralizado», el RGPD prevé la cooperación entre las autoridades nacionales de control. (10)

12.      Cuando una operación de tratamiento de datos presenta una dimensión transfronteriza, la autoridad competente sobre el encargado o el responsable del tratamiento de que se trate (la autoridad de control principal o ACP) debe comunicar a las autoridades de control competentes de los demás Estados miembros su proyecto de decisión por la que, al encargado o al responsable del tratamiento sometidos a su competencia, se les hace cumplir las disposiciones del RGPD.

13.      Si esas otras autoridades están de acuerdo con la interpretación del RGPD y con las medidas de aplicación propuestas por la ACP, esta puede adoptar su decisión definitiva, que será vinculante para el responsable y el encargado del tratamiento de que se trate.

14.      Sin embargo, en caso de que dichas otras autoridades de control expresen objeciones pertinentes y motivadas con las que la ACP no esté de acuerdo o las considere no pertinentes o no motivadas, la ACP debe someter el asunto al CEPD a efectos de que este adopte una decisión. (11)

15.      El CEPD conoce de las controversias entre las autoridades nacionales de control implicadas y resuelve el asunto individual mediante una decisión vinculante. (12)

16.      Con arreglo al artículo 65, apartado 2, del RGPD, dicha decisión se dirige y vincula a la ACP y a todas las demás autoridades de control implicadas. (13) Asimismo, la decisión se publica en el sitio web del CEPD. (14)

17.      Dentro de los plazos establecidos, (15) y sobre la base de esa decisión vinculante del CEPD, la ACP debe adoptar su decisión definitiva, (16) que se notifica entonces al responsable o encargado del tratamiento de que se trate.

B.      Acontecimientos que originan el presente asunto

18.      WhatsApp es una empresa que presta de servicios de llamadas y mensajes por internet (en lo sucesivo, «servicio de mensajería»).

19.      Para crear una cuenta con la empresa para utilizar el servicio de mensajería, el usuario tiene que prestar su consentimiento a las condiciones del servicio y a la política de protección de datos. (17)

20.      El 24 de mayo de 2018, WhatsApp modificó su política de protección de datos a fin de adaptarse a los cambios introducidos por el RGPD, con efectos a partir del 25 de mayo de 2018. (18) A los usuarios se les propuso la opción de aceptar dichos cambios o dejar de utilizar el servicio de mensajería del recurrente.

21.      A continuación, la Irish Data Protection Commission (autoridad de control irlandesa) recibió numerosas quejas de titulares de datos personales en relación con las actividades de tratamiento de datos del recurrente. (19)

22.      En diciembre de 2018, y tras un examen preliminar de las quejas, la autoridad de control irlandesa inició una investigación para comprobar si WhatsApp había cumplido correctamente con las obligaciones de transparencia que se derivan de los artículos 12 a 14 del RGPD, respecto a la facilitación de información y la transparencia de esta información frente a usuarios y no usuarios de su servicio de mensajería. (20)

23.      Dado que el servicio de mensajería de WhatsApp implica el tratamiento transfronterizo a lo ancho de toda la Unión Europea, de conformidad con las obligaciones que le incumben en virtud del RGPD, la autoridad de control irlandesa comunicó su proyecto de decisión a las demás autoridades nacionales de control interesadas. (21)

24.      La autoridad de control irlandesa recibió como respuesta las objeciones de las autoridades de control de Alemania (de ámbito federal), Hungría, Países Bajos, Polonia, Francia, Italia, Portugal y del estado federado alemán de Baden-Württemberg. (22) Además, remitieron diversos comentarios al proyecto de decisión las autoridades de control de Austria, Países Bajos, Dinamarca, Polonia, Bélgica, Francia y el estado federado alemán de Hamburgo. (23)

25.      Dado que muchas autoridades de control habían expresado objeciones pertinentes y motivadas al proyecto de decisión con las que la autoridad de control irlandesa no estaba de acuerdo, esta remitió las objeciones al CEPD para que resolviese. (24)

26.      El 28 de julio de 2021, el CEPD adoptó la Decisión controvertida y la notificó posteriormente a la autoridad de control irlandesa y a las demás autoridades de control interesadas. (25)

27.      En la Decisión controvertida, el CEPD indica a la autoridad de control irlandesa que modifique muchas de las conclusiones contenidas en el proyecto de decisión y que incremente las multas impuestas en ella.

28.      En esencia, la Decisión controvertida exige a la autoridad de control irlandesa declarar que los datos objeto de «lossy hashing» (26) constituyen datos personales en el sentido del artículo 4, punto 1, del RGPD (27) y que el recurrente infringió las normas de transparencia de los artículos 5, apartado 1, letra a), 13, apartados 1, letra d), y 2, letra e), y 14 del citado Reglamento. (28)

29.      En cuanto a las conclusiones procesales y las multas, la Decisión controvertida exige que se reduzca el plazo de cumplimiento del recurrente de seis a tres meses; declara que la autoridad de control irlandesa interpretó erróneamente el criterio relativo a la cuantía de las multas, y ordena que se incrementen los importes de las multas que contempla imponer dicha autoridad. (29)

30.      En cumplimiento de dichas instrucciones, la autoridad de control irlandesa modificó su proyecto de decisión y adoptó la decisión definitiva nacional el 20 de agosto de 2021. (30)

31.      El 1 de noviembre de 2021, el recurrente interpuso un recurso ante el Tribunal General en el que solicitaba la anulación de la Decisión controvertida.

32.      El 7 de diciembre de 2022, el Tribunal General dictó el auto recurrido, en que desestimaba, por inadmisible, el recurso del recurrente.

33.      En su auto, el Tribunal General consideró, en esencia, que la Decisión controvertida no constituía un acto impugnable a efectos del artículo 263 TFUE, párrafo primero, y que el recurrente no estaba directamente afectado por ella en el sentido del artículo 263 TFUE, párrafo cuarto.

34.      El auto recurrido presenta la siguiente estructura:

–        En el apartado 40, el Tribunal General concluye que la Decisión controvertida afecta al recurrente de forma individual.

–        En los apartados 42 a 49, el referido órgano jurisdiccional aborda la cuestión de si la Decisión controvertida constituye un acto impugnable a efectos del artículo 263 TFUE, párrafo primero, y llega a la conclusión de que no es así.

–        En los apartados 50 a 65, examina si la Decisión controvertida afecta directamente al recurrente en el sentido del artículo 263 TFUE, párrafo cuarto. Llega a la conclusión de que no afecta directamente a la situación jurídica del recurrente y que dicha Decisión concede un margen de apreciación a la autoridad de control irlandesa, por lo que no concurren los requisitos de la afectación directa.

–        En consecuencia, concluyendo la inadmisibilidad del recurso de anulación interpuesto por el recurrente, en los apartados 66 a 71, el Tribunal General expone también de qué forma su parecer es coherente con la lógica del sistema de recursos judiciales establecido en los Tratados.

C.      Procedimiento ante el Tribunal de Justicia

35.      Con su recurso de casación interpuesto el 17 de febrero de 2023, el recurrente solicita al Tribunal de Justicia que anule el auto recurrido, declare admisible la demanda, devuelva el asunto al Tribunal General para que se pronuncie sobre el fondo y condene en costas al CEPD.

36.      El Gobierno alemán intervino en apoyo de las tesis del CEPD.

37.      El 26 de noviembre de 2024 se celebró la vista, en la que el recurrente y el CEPD formularon observaciones orales.

III. Apreciación

38.      El recurrente invoca dos motivos de casación. Mediante el primero de ellos alega que el Tribunal General malinterpretó los conceptos de acto impugnable, derivado del artículo 263 TFUE, párrafo primero, y de afectación directa, contenido en el párrafo cuarto del mismo artículo. Dicho error da lugar a la incorrecta aplicación del artículo 263 TFUE en el presente asunto y ha inducido al Tribunal General a calificar incorrectamente la Decisión controvertida como acto no impugnable por el recurrente. Mediante su segundo motivo de casación, el recurrente alega que el Tribunal General erró al interpretar y aplicar el artículo 65, apartado 1, del RGPD en relación con la Decisión controvertida.

39.      En las presentes conclusiones voy a proponer al Tribunal de Justicia que declare que el Tribunal General aplicó incorrectamente el análisis que requiere el artículo 263 TFUE, párrafos primero y cuarto, al mecanismo de coherencia establecido por el RGPD. Por lo tanto, procede estimar el primer motivo de casación y anular el auto recurrido. En consecuencia, no es necesario entrar a analizar el segundo motivo de casación.

40.      No obstante, más allá del contexto inmediato del recurso de casación, considero que en el presente asunto se plantea también una cuestión de carácter más horizontal: qué procesos analíticos se deberían seguir para determinar la admisibilidad de un recurso de anulación contra un acto adoptado en el curso de un procedimiento compuesto.

41.      Los procedimientos compuestos varían considerablemente entre sí, al estar cada uno de ellos concebido específicamente por el acto de Derecho derivado de la Unión que lo instituye para adecuarse al fin perseguido por dicho procedimiento particular en un cierto ámbito de decisión administrativa basada en el Derecho de la Unión.

42.      Si se malinterpretan los procesos analíticos que determinan la admisibilidad de los recursos de anulación interpuestos por personas físicas o jurídicas contra los actos adoptados en dichos procedimientos, es probable que en futuros asuntos relacionados con distintos tipos de procedimientos compuestos el Tribunal General vuelva a denegar indebidamente a las referidas personas el acceso a los tribunales de la Unión.

43.      Sin embargo, los requisitos del artículo 263 TFUE siguen siendo los mismos, a pesar de las referidas diferencias estructurales, por lo que las normas generales sobre la admisibilidad de las demandas presentadas por personas físicas o jurídicas contra los actos adoptados en un procedimiento compuesto se han de aplicar de la misma manera —mediante idénticos procesos analíticos— a todos los procedimientos compuestos, siempre teniendo en cuenta las particularidades de cada uno.

44.      Tal como voy a tratar de demostrar en mi análisis, el Tribunal General, inspirado por las características del mecanismo de coherencia del RGPD, introdujo en su apreciación de los requisitos de admisibilidad del artículo 263 TFUE algunos procesos analíticos innecesarios (y engañosos). Por ejemplo, a mi entender, el análisis de si la Decisión controvertida constituye un acto intermedio en dicho procedimiento se aparta de la trascendente cuestión de si la decisión es un acto definitivo y vinculante, que es la única pregunta pertinente en el contexto de un análisis que se ha de llevar a cabo con arreglo al artículo 263 TFUE, párrafo primero. De igual manera, el examen de si la Decisión controvertida es directamente oponible al recurrente se aleja de la cuestión analítica de si esa Decisión afecta como tal a la situación jurídica del recurrente, según exige el artículo 263 TFUE, párrafo cuarto.

45.      Cuando justifica su apreciación sobre la admisibilidad (o inadmisibilidad) en un asunto concreto, el Tribunal de Justicia muchas veces atiende a las peculiaridades del procedimiento compuesto seguido en el asunto de que se trata y no pocas de ellas diferencia dichas peculiaridades de las características de otros procedimientos en que llegó a una conclusión diferente. (31) Tales explicaciones del Tribunal de Justicia no se pueden generalizar y trasladar mecánicamente a nuevos asuntos. (32)

46.      El Tribunal General basó su análisis en distintas sentencias del Tribunal de Justicia, en particular en las sentencias IBM (33) y Deutsche Post. (34)

47.      Voy a proponer al Tribunal de Justicia que revise algunas de esas sentencias y aclare que algunas de las afirmaciones allí formuladas no pretendían añadirse a los requisitos establecidos por el Tratado FUE. Antes bien, su propósito consistía en explicar la aplicación de las normas del Tratado a los hechos concretos de dichos asuntos. El hecho de que, en sentencias posteriores, derivadas de situaciones diferentes, se reprodujeran automáticamente afirmaciones formuladas por el Tribunal de Justicia en asuntos previos puede llevar (como en el presente asunto) al Tribunal General a una conclusión incorrecta sobre la admisibilidad de un recurso de anulación.

48.      En consecuencia, el presente asunto ofrece al Tribunal de Justicia la posibilidad de explicar una vez más qué procesos analíticos son necesarios y suficientes para determinar si un particular puede interponer un recurso directo de anulación.

49.      A este respecto, considero importante que el Tribunal de Justicia trace una clara diferencia entre dos procesos analíticos subyacentes a los requisitos de admisibilidad del artículo 263 TFUE: en primer lugar, la cuestión de si un acto es impugnable a efectos del artículo 263 TFUE, párrafo primero, y, en segundo lugar, en caso de que lo sea, el análisis, con arreglo al artículo 263 TFUE, párrafo cuarto, de si un demandante concreto, que es una persona física o jurídica, está legitimado para impugnarlo.

50.      A la luz de las consideraciones precedentes, mi examen va a obedecer a la siguiente estructura: Comenzaré con la cuestión preliminar de que la demanda no se presentó fuera de plazo (sección A). A continuación, me ocuparé del fondo del recurso de casación y expondré por qué entiendo que el Tribunal de Justicia debería anular el auto recurrido. Conforme a la estructura del primer motivo de casación, explicaré en primer lugar que el Tribunal General confundió los criterios para determinar si la Decisión controvertida es un acto impugnable con los criterios para apreciar la afectación directa del recurrente. Partiendo de estas premisas, considero que el Tribunal General erró al concluir que la Decisión controvertida no es un acto impugnable (sección B). Seguidamente, explicaré por qué el Tribunal General también incurrió en error de Derecho al considerar que la Decisión controvertida no afecta directamente al recurrente (sección C). Por último, demostraré que, en contra de la postura del Tribunal General, la lógica del sistema de recursos judiciales diseñado en los Tratados e interpretado por el Tribunal de Justicia exige que la validez de la Decisión controvertida se dirima en un recurso directo ante los tribunales de la Unión (sección D).

A.      Presentación en plazo

51.      En su contestación, el CEPD alega que la demanda del recurrente se presentó fuera de plazo. (35) Hace referencia a un escrito que obra en autos, de 16 de agosto de 2021, del que parece inferirse que ya el 13 de agosto de 2021 la autoridad de control irlandesa informó al recurrente del «contenido esencial» de la Decisión controvertida, antes de que el CEPD la publicase en su sitio web. En consecuencia, el CEPD considera que el plazo para interponer el recurso de anulación expiró el «25 de octubre de 2021 a más tardar», es decir, antes del 1 de noviembre de 2021, fecha en que se presentó la demanda ante el Tribunal General.

52.      En mi opinión, dicha alegación debe ser rechazada.

53.      De la jurisprudencia se deduce claramente que, cuando el artículo 263 TFUE, párrafo sexto, hace referencia a la fecha en que el demandante haya tenido conocimiento del acto, establece un criterio subsidiario al de la publicación o notificación del acto. (36)

54.      En el presente asunto no se ha producido la notificación de la Decisión controvertida al recurrente. El CEPD tiene solo la obligación de notificar su decisión directamente a la ACP irlandesa y a las autoridades nacionales de control interesadas. (37)

55.      Por lo tanto, es preciso determinar si la Decisión controvertida fue publicada en el sentido del artículo 263 TFUE, párrafo sexto.

56.      El artículo 263 TFUE no impone requisitos concretos al acto de publicación.

57.      Sin embargo, dado que el Tribunal de Justicia ha abogado por una interpretación de los plazos establecidos en los Tratados según la cual se impida toda restricción indebida del derecho a la tutela judicial efectiva, (38) el concepto de «publicación» debe interpretarse en sentido amplio. (39)

58.      A este respecto, el Tribunal de Justicia ya ha tenido ocasión de declarar que la publicación en un sitio web, cuando lo exija el Derecho derivado de la Unión, cumple el requisito de la «publicación» establecido en el artículo 263 TFUE, párrafo sexto. (40)

59.      En el presente asunto, la publicación de decisiones vinculantes del CEPD, como la Decisión controvertida, viene requerida por el artículo 65, apartado 5, tercera frase, del RGPD.

60.      Dado que el recurrente impugnó la Decisión controvertida dentro de los plazos aplicables desde su fecha de publicación en el sitio web del CEPD (el 2 de septiembre de 2021), el hecho de que ya hubiera podido conocer el contenido esencial de dicha decisión antes de su debida publicación es irrelevante a efectos de la admisibilidad del presente recurso de anulación. (41)

61.      Habida cuenta de las consideraciones que preceden, no es necesario determinar el momento exacto en que el recurrente tuvo conocimiento del contenido de la Decisión controvertida.

62.      Por consiguiente, propongo que el Tribunal de Justicia desestime la alegación del CEPD según la cual la acción se ejercitó ante el Tribunal General fuera de plazo.

B.      La Decisión controvertida es un acto impugnable

1.      Dos aspectos analíticamente independientes

63.      Mediante sus alegaciones primera y segunda formuladas dentro del primer motivo de casación, el recurrente aduce que, en contra de la postura del Tribunal General, la cuestión de si un acto es impugnable no requiere examinar si dicho acto modifica de forma caracterizada la situación jurídica del recurrente.

64.      Coincido con el recurrente. La cuestión de si se trata de un acto impugnable es diferente de la cuestión de si un demandante concreto, que es una persona física o jurídica, puede efectivamente impugnar dicho acto (en caso de que este sea impugnable).

65.      La cuestión de si un acto es impugnable corresponde al análisis con arreglo al artículo 263 TFUE, párrafo primero, y este análisis implica un método diferente e independiente que plantea cuestiones distintas de las que se han de examinar para determinar si el acto afecta a la situación jurídica del demandante (que corresponden al artículo 263 TFUE, párrafo cuarto).

66.      Esta conclusión se deriva del tenor, la estructura y los antecedentes del artículo 263 TFUE [letra a)] y no contradice a la jurisprudencia del Tribunal de Justicia [letra b)].

a)      El tenor, la estructura y los antecedentes del artículo 263 TFUE

67.      Hay diversas razones por las que el examen de la cuestión de si la Decisión controvertida pertenece al tipo de actos que pueden estar sujetos al control de validez de los tribunales de la Unión debe ser independiente de la cuestión de si dicho acto afecta a la situación jurídica del recurrente.

68.      En primer lugar, la determinación del tipo de acto que puede ser impugnado ante los tribunales de la Unión se regula en el artículo 263 TFUE, párrafo primero, y tal determinación es independiente de la persona que impugna el acto.

69.      En consecuencia, la respuesta a la cuestión de si un acto es impugnable debe ser la misma al margen de si el recurso de anulación lo ha interpuesto un demandante privilegiado (de los enumerados en el artículo 263 TFUE, párrafo segundo), uno semiprivilegiado (de los enumerados en el párrafo tercero de ese mismo artículo) o uno no privilegiado (de los enumerados en el párrafo cuarto del citado artículo).

70.      En segundo lugar, la respuesta a la cuestión de la impugnabilidad del acto exige valorar si este es capaz de producir efectos jurídicos obligatorios con respecto a terceros. (42) No es necesario que este tercero sea el mismo que interpone el recurso de anulación de que se trate.

71.      El referido requisito, como expongo más adelante, se deriva del actual tenor del artículo 263 TFUE, párrafo primero, que es el resultado de diversas modificaciones, y se deriva de la jurisprudencia del Tribunal de Justicia, que fue una de las causas que motivaron dichos cambios.

72.      En su actual versión, el artículo 263 TFUE, párrafo primero, califica de impugnables: i) los actos legislativos; ii) los actos del Consejo, de la Comisión y del Banco Central Europeo que no sean recomendaciones o dictámenes, y iii) los actos del Parlamento Europeo y del Consejo, así como los de los órganos u organismos de la Unión destinados a producir efectos jurídicos frente a terceros.

73.      El Tratado CEE original no enumeraba los actos susceptibles de impugnación, sino que se limitaba a definirlos como «actos del Consejo y de la Comisión que no sean recomendaciones o dictámenes». (43)

74.      Dado que el Tratado define las recomendaciones y los dictámenes como actos sin fuerza vinculante, (44) el Tribunal de Justicia concluyó que eran impugnables todos los actos (de las instituciones de la Unión y de otros organismos), cualesquiera que sean su forma o su nombre, destinados a producir efectos jurídicos obligatorios. (45)

75.      Si un acto no produce efectos jurídicos obligatorios, el recurso es inadmisible, ya proceda de un demandante privilegiado o no privilegiado. (46)

76.      En consecuencia, no es necesario plantear la cuestión subsiguiente de si el acto afecta a la situación jurídica del demandante, con arreglo al artículo 263 TFUE, párrafo cuarto. (47)

77.      De la jurisprudencia y del tenor del artículo 263 TFUE, párrafo primero, se deduce que un acto es jurídicamente vinculante si está destinado a producir efectos jurídicos obligatorios frente a terceros. ¿Qué significa esto?

78.      Para poder considerar que un acto produce efectos jurídicos obligatorios frente a terceros debe producir efectos jurídicos fuera de la institución u órgano que lo ha adoptado. Si solo genera obligaciones «internamente», es decir, para la misma institución que lo ha adoptado, pero no «externamente», es decir, para terceros, el acto no es impugnable. (48)

79.      El tercero para el cual el acto produce efectos jurídicos obligatorios no ha de ser necesariamente el demandante. (49)

80.      Asimismo, el Tribunal de Justicia ha aclarado un acto tiene efectos fuera de la institución únicamente si con dicho acto la referida institución que lo ha adoptado expresa su postura definitiva. (50)

81.      Una postura es definitiva si la institución u órgano que ha adoptado el acto ya no puede modificarlo o, lo que es lo mismo, que solo puede impedir los efectos jurídicos que produce revocándolo. (51) Si el acto definitivo no es revocado por su autor, la única forma de que se anulen sus efectos jurídicos es mediante la invalidación de ese acto en un procedimiento judicial.

82.      Partiendo de las premisas recién expuestas, en el presente asunto esto significa lo siguiente: a fin de decidir si la Decisión controvertida es un acto impugnable, era necesario y suficiente que el Tribunal General acreditase que la Decisión controvertida constituía la postura definitiva del CEPD y que imponía una obligación a alguna persona ajena a dicho organismo; en este caso, la autoridad de control irlandesa.

83.      Para efectuar tal apreciación no era necesario examinar si el acto, además, modificaba de forma caracterizada la situación jurídica del demandante. Esta última es una cuestión referida a la afectación directa, y no a la impugnabilidad de un acto. (52)

84.      ¿Lleva a una conclusión diferente la jurisprudencia invocada por el Tribunal General?

b)      La jurisprudencia que parece mezclar los dos requisitos

85.      En el apartado 41 del auto recurrido, el Tribunal General expone que debe examinarse la cuestión de «si la Decisión [controvertida] produce efectos jurídicos que modifican de manera caracterizada la situación jurídica de WhatsApp y si la afecta directamente, en el sentido del artículo 263 TFUE, párrafo cuarto». (53)

86.      La conclusión del Tribunal General —según la cual la apreciación acerca de si la Decisión controvertida modifica de manera caracterizada la situación jurídica de WhatsApp, por un lado, y la apreciación acerca de si dicha decisión afecta directamente a WhatsApp, por otro, constituyen dos análisis separados que se han de llevar a cabo— parece venir inspirada por la jurisprudencia que cita, concretamente las sentencias IBM y Deutsche Post. (54)

87.      Así pues, procede hacer un repaso de dichas sentencias.

88.      En el apartado 9 de la sentencia IBM, el Tribunal de Justicia declaró que «constituyen actos o decisiones que pueden ser objeto de recurso de anulación, a efectos del artículo 173, las medidas que producen efectos jurídicos obligatorios que puedan afectar a los intereses del demandante, modificando de forma caracterizada la situación jurídica de este último». (55)

89.      Estos términos, que fueron repetidos en gran número de sentencias posteriores, tanto del Tribunal de Justicia (56) como del Tribunal General, (57) han sido y podrían seguir siendo interpretados en el sentido de que sugieren que la cuestión de si un acto es impugnable en virtud del artículo 263 TFUE, párrafo primero, comprende también el análisis de si el acto afecta directamente a la situación jurídica del demandante. (58) Y así es como parece haber entendido también el Tribunal General el apartado 9 de la sentencia IBM (véase el punto 86 de las presentes conclusiones).

90.      A mi parecer, esta no es una lectura correcta (o útil) de ese apartado.

91.      Yo entiendo el apartado 9 de la sentencia IBM como la expresión por el Tribunal de Justicia (en una sola frase) de todas las condiciones que se han de cumplir para que se conceda acceso a los tribunales de la Unión a un demandante no privilegiado, a saber, las condiciones que se derivan del artículo 263 TFUE, párrafo primero, por un lado, y las del artículo 263 TFUE, párrafo cuarto, por otro.

92.      Con dicha frase, el Tribunal de Justicia no hace que la cuestión relativa a los efectos del acto sobre el demandante forme parte del análisis de las condiciones establecidas en el artículo 263 TFUE, párrafo primero. En efecto, un acto puede seguir considerándose impugnable con carácter general aunque no pueda ser impugnado, en un caso concreto, por un demandante particular no privilegiado, al no modificar de manera caracterizada la situación jurídica de este.

93.      A mi parecer, en los siguientes apartados de la sentencia Deutsche Post el Tribunal de Justicia intentó disipar la posible confusión generada por la manida frase de la sentencia IBM:

«36      Según jurisprudencia reiterada, desarrollada en el marco de recursos de anulación interpuestos por los Estados miembros o las instituciones, se consideran actos impugnables, en el sentido del artículo 263 TFUE, todas las disposiciones adoptadas por las instituciones, cualquiera que sea su forma, destinadas a producir efectos jurídicos obligatorios […].

37      Cuando el recurso de anulación contra un acto adoptado por una institución se interpone por una persona física o jurídica, el Tribunal de Justicia ha declarado reiteradamente que únicamente es posible interponer dicho recurso si los efectos jurídicos obligatorios del referido acto pueden afectar a los intereses del demandante modificando sustancialmente su situación jurídica […]. (59)

38      No obstante, procede destacar que la jurisprudencia citada en el apartado anterior ha sido desarrollada en el marco de recursos interpuestos ante el juez de la Unión por personas físicas o jurídicas contra actos de los que eran destinatarios. Cuando, como sucede en el asunto que dio lugar al auto Deutsche Post/Comisión, [(60)] antes citado, un recurso de anulación se interpone por una parte demandante no privilegiada contra un acto del que no es destinataria, la exigencia de que los efectos jurídicos obligatorios de la medida impugnada deban poder afectar a los intereses de la parte demandante, modificando sustancialmente su situación jurídica, se solapa con las condiciones del artículo 263 TFUE, párrafo cuarto».

94.      En mi opinión, en la sentencia Deutsche Post el Tribunal de Justicia trató de aclarar que el apartado 9 de su sentencia IBM se refiere a una situación en que un demandante no privilegiado es el destinatario del acto impugnado. Esto se debe a que, en tal situación, la respuesta a la cuestión de si un acto produce efectos jurídicos obligatorios frente a terceros requiere imperiosamente valorar si dicho acto produce efectos en relación con el demandante como destinatario del acto. En tal situación, la cuestión de si un acto produce efectos jurídicos obligatorios y la cuestión de si modifica la situación jurídica del demandante son una misma cuestión.

95.      Sin embargo, cuando el demandante no privilegiado no es el destinatario del acto de que se trate, la cuestión de si este modifica de manera caracterizada su situación jurídica se refiere a la afectación directa, que se ha de examinar con arreglo al artículo 263 TFUE, párrafo cuarto, y no con arreglo al párrafo primero del mismo artículo.

96.      La frase, a menudo citada incorrectamente, según la cual la cuestión de si el acto produce efectos jurídicos que modifican de forma caracterizada la situación jurídica «se solapa» con el requisito de la afectación directa del artículo 263 TFUE, párrafo cuarto, en realidad expresa la opinión del Tribunal de Justicia de que la cuestión de la afectación directa debe valorarse por separado y adicionalmente a la cuestión de si el acto produce efectos jurídicos obligatorios.

97.      En su jurisprudencia más reciente, tras citar el apartado 38 de la sentencia Deutsche Post, el Tribunal de Justicia con frecuencia ha proseguido el análisis de si el acto afecta directamente al demandante no privilegiado que no es destinatario del acto impugnado. (61)

98.      En consecuencia, tal como se explica en la sentencia Deutsche Post, la sentencia IBM no se debe entender en el sentido de que fusiona los requisitos de los párrafos primero y cuarto del artículo 263 TFUE en las situaciones en que un acto se dirige a una persona distinta del demandante.

99.      En tales situaciones, es decir, cuando el acto se dirige a alguien distinto del demandante, el requisito de que el acto sea legalmente vinculante es diferente del requisito de que modifique de forma caracterizada la situación jurídica del demandante.

100. En tal caso, para apreciar la admisibilidad de la acción ejercitada por el demandante, no basta con que el acto de que se trata produzca efectos jurídicos obligatorios para su destinatario o para otras personas; el Tribunal de Justicia también debe comprobar si el acto en cuestión afecta a la situación jurídica del demandante. Esto es lo que requiere la condición adicional de admisibilidad que se deriva del artículo 263 TFUE, párrafo cuarto.

101. En su sentencia Deutsche Post, el Tribunal de Justicia siguió precisamente este método al determinar, en dos momentos diferentes, primero, que el acto era legalmente vinculante y, solo después, que el acto afectaba directamente al demandante no privilegiado. También es importante señalar que, en la parte del análisis relativa a la cuestión de si el acto era legalmente vinculante, el Tribunal de Justicia no consideró relevante determinar si se trataba o no de un acto preparatorio dentro de un procedimiento más amplio en el cual fue adoptado. (62) Según el Tribunal de Justicia, lo importante, a efectos de dicho análisis, era si la decisión producía efectos jurídicos autónomos y, por tanto, podía ser objeto de un recurso de anulación. (63) Solo después de declarar que el Tribunal General había incurrido en errores de Derecho al considerar que el acto impugnado no era legalmente vinculante debido a su naturaleza preparatoria, (64) el Tribunal de Justicia abordó la segunda parte de su análisis, en la que llegó a la conclusión de que el acto también afectaba directa e individualmente al demandante no privilegiado en cuestión, que en ese asunto era Deutsche Post AG. (65)

102. Por consiguiente, a mi parecer el objetivo de los tres apartados de la sentencia Deutsche Post citados en el punto 93 de las presentes conclusiones es precisamente aclarar la posible confusión derivada de la sentencia IBM y diferenciar el análisis del carácter vinculante del acto impugnado, por un lado, y el análisis de si dicho acto afecta a la situación jurídica del demandante, por otro.

103. En el presente asunto, el Tribunal General no diferenció estos dos procesos analíticos. Al considerar que la Decisión controvertida, de por sí, no afectaba a la situación jurídica del demandante, el Tribunal General concluyó erróneamente que la Decisión controvertida no era un acto impugnable. Al efectuar este análisis, no atendió a la cuestión de si la Decisión controvertida producía efectos jurídicamente obligatorios para terceros. Más bien se centró en la cuestión de si el acto debía considerarse intermedio desde el punto de vista del demandante. (66) Con ello, el Tribunal General incurrió en un error similar al cometido en su auto Deutsche Post/Comisión (67) muchos años atrás y que el Tribunal de Justicia anuló en su sentencia Deutsche Post.

104. A mi entender, la cuestión de si un acto es «intermedio» o «preparatorio» es superflua y complica innecesariamente el análisis que se ha de llevar a cabo en virtud del artículo 263 TFUE, párrafos primero y cuarto. De hecho, tal como demuestra el presente asunto, la sacralización dogmática de dichos conceptos puede conducir a una conclusión incorrecta sobre la admisibilidad de un recurso de anulación. A continuación, vuelvo sobre este aspecto.

2.      Las cuestiones superfluas de la naturaleza «preparatoria» o «intermedia» del acto y de su carácter «oponible»

105. En el apartado 42 del auto recurrido el Tribunal General consideró pertinente para su examen de la admisibilidad que la Decisión controvertida: i) constituyese un acto «preparatorio» o «intermedio» en el procedimiento que debía concluir con una decisión definitiva de la autoridad nacional de control, y ii) no fuese directamente oponible al demandante.

106. Ninguno de estos dos factores —la naturaleza «preparatoria» o «intermedia» del acto y la posibilidad de oponerlo directamente frente al demandante— tiene relevancia analítica para responder a la cuestión de si el acto puede ser impugnado a efectos del artículo 263 TFUE, párrafo primero.

107. Asimismo, ambos factores son irrelevantes para la cuestión de si el acto afecta directamente al demandante con arreglo al artículo 263 TFUE, párrafo cuarto (de lo que me ocupo más adelante, en la sección C).

108. Igualmente, la cuestión de si el acto controvertido es «definitivo», es decir, si pone fin a un determinado procedimiento compuesto, o si debe ir seguido de «otro» acto del mismo órgano o de otro diferente, carece nuevamente de importancia a la hora de determinar si el acto en cuestión es susceptible de impugnación. En efecto, tal como explico en el punto 78 de las presentes conclusiones, la cuestión correcta a la que se ha de responder respecto a la impugnabilidad del acto es si este produce efectos jurídicos autónomos, lo cual solo sucederá si se trata de un acto definitivo desde el punto de vista de la institución u órgano que lo adoptó.

109. En el auto recurrido el Tribunal General se basó en el apartado 10 de la sentencia IBM para concluir que existe un principio según el cual los actos intermedios no son susceptibles de impugnación. (68) Una vez constatado este principio, el Tribunal General expuso que la posibilidad de impugnar un acto intermedio es excepcional y solo existe cuando el acto produce efectos jurídicos autónomos. (69)

110. No obstante, en el apartado 10 de su sentencia IBM, el Tribunal de Justicia había declarado lo siguiente: «en principio, solo constituyen actos que pueden impugnarse las medidas que fijan definitivamente la postura de la Comisión o del Consejo al finalizar dicho procedimiento». (70) En consecuencia, el Tribunal de Justicia expuso que el análisis del carácter impugnable de un acto debe centrarse en la cuestión de si el referido acto expresa la postura definitiva de la institución, desde el punto de vista de esta misma.

111. Por lo tanto, la sentencia IBM no reveló la existencia de un principio según el cual los actos intermedios no son impugnables.

112. De igual manera, en la sentencia IBM no se trataba siquiera de un procedimiento compuesto, sino de un procedimiento instruido únicamente por la Comisión. En el contexto de dicho procedimiento, el Tribunal de Justicia examinó la importancia de las distintas fases del procedimiento interno dentro de la Comisión y concluyó que el escrito allí impugnado no expresaba una postura definitiva de la referida institución. (71)

113. Por lo tanto, los términos «intermedio» o «preparatorio» solo pueden tener relevancia si se utilizan en contraposición a «definitivo» dentro del procedimiento interno de una institución u órgano. (72)

114. Si un acto hubiese de considerarse «intermedio» y, por ende, no impugnable, solo por su posición dentro del procedimiento compuesto en el que, desde el punto de vista del demandante, aún se ha de adoptar otro acto dirigido a él, nunca sería posible que un particular impugnase el acto que efectivamente modifica su situación jurídica y que, por tanto, afecta directamente a dicho particular, lo cual sería contrario a lo dispuesto en el artículo 263 TFUE, párrafo cuarto.

115. Por lo tanto, en el sentido que se da a los conceptos en el presente asunto, cuando el Tribunal General basa su análisis en la naturaleza «intermedia» o «preparatoria» de la Decisión controvertida se aparta de la única cuestión pertinente con arreglo al artículo 263 TFUE, párrafo primero, es decir, si la postura del CEPD, expresada en la Decisión controvertida, constituye la postura definitiva de dicho organismo, concretamente una postura que sea vinculante frente a terceros, independientemente de que haya de seguir otro acto que «ponga fin» al procedimiento establecido en el mecanismo de coherencia del RGPD.

116. En el presente asunto, la Decisión controvertida es el acto del CEPD. Con ella, dicho organismo fija su postura definitiva sobre la cuestión de si, en primer lugar, los datos objeto de «lossy hashing» utilizados por el demandante constituyen «datos personales» a efectos del RGPD y, en segundo lugar, si el demandante infringió las normas de transparencia del RGPD. Ambas conclusiones definitivas producen el efecto jurídico de obligar a la autoridad de control irlandesa, en su condición de ACP, a modificar su proyecto de decisión (es decir, la misma decisión en la que había propuesto llegar a la conclusión contraria). Así pues, mediante la Decisión controvertida el CEPD obliga a la autoridad de control irlandesa a reducir el plazo de cumplimiento y le imparte instrucciones vinculantes sobre el método de cálculo de las multas en cuestión. Esto último se traducirá en un incremento de las cuantías de estas en comparación con las multas que tenía intención de imponer la autoridad de control irlandesa. Las referidas conclusiones son definitivas desde el punto de vista del CEPD en el sentido de que fijan la postura definitiva de este organismo sobre las cuestiones que se le han planteado. De esta manera, generan una obligación (73) para la autoridad de control irlandesa, que solamente puede ser anulada si el CEPD revoca su decisión o si la anulan los tribunales de la Unión.

117. Dado que se trata de una decisión definitiva que produce efectos jurídicos obligatorios fuera del organismo que la adoptó, es decir, frente a la autoridad de control irlandesa, el Tribunal General debería haber considerado que la Decisión controvertida reúne los requisitos del artículo 263 TFUE, párrafo primero, para poder ser impugnada.

118. El segundo elemento superfluo que introdujo el Tribunal General en su análisis es el de la oponibilidad directa de la decisión del CEPD contra WhatsApp.

119. Seré breve a este respecto: dado que la apreciación de la posibilidad de impugnar un acto no depende de si este modifica, y cómo, la situación jurídica del demandante, la cuestión de la oponibilidad directa de la Decisión controvertida contra WhatsApp no puede ser relevante en el análisis que se ha de hacer con arreglo al artículo 263 TFUE, párrafo primero. Además, tal como explico más adelante, también es irrelevante la oponibilidad directa contra WhatsApp como criterio para determinar si la decisión del CEPD afecta directamente a dicha empresa.

3.      Conclusión provisional

120. La respuesta a la cuestión de la impugnabilidad de un acto de una institución u órgano de la Unión Europea ante los tribunales de la Unión, a efectos del artículo 263 TFUE, párrafo primero, exige valorar si el acto expresa la postura definitiva de la referida institución u órgano, con efectos jurídicos obligatorios para alguien ajeno a dicha institución u órgano.

121. A fin de responder a la cuestión de la impugnabilidad del acto ante los tribunales de la Unión, el tercero para el cual el acto produce efectos jurídicos obligatorios no ha de ser necesariamente la misma persona que interpone el recurso de anulación.

122. La cuestión de si la persona que interpone el recurso de anulación contra un acto impugnable está legitimada para hacerlo se ha de resolver con arreglo al artículo 263 TFUE, párrafo cuarto, y no con arreglo al párrafo primero de dicho artículo.

123. A la hora de determinar si un acto es impugnable resulta irrelevante que este constituya una fase «intermedia» de un procedimiento compuesto.

124. Al centrarse en el hecho de que la Decisión controvertida no constituye la decisión definitiva dentro del mecanismo de coherencia contemplado por el RGPD, en lugar de examinar si dicha decisión constituye la decisión definitiva del CEPD que produce efectos jurídicos obligatorios para la autoridad de control irlandesa, el Tribunal General erró, en el auto recurrido, en su apreciación de los requisitos establecidos en el artículo 263 TFUE, párrafo primero.

125. En consecuencia, propongo al Tribunal de Justicia que estime las dos primeras alegaciones del primer motivo de casación.

C.      La Decisión controvertida afecta directamente al demandante

126. Mediante sus alegaciones tercera y cuarta del primer motivo de casación, el recurrente defiende que el Tribunal General incurrió en error al declarar que la Decisión controvertida no le afectaba directamente.

127. En opinión del recurrente, si bien el Tribunal General identifica correctamente la jurisprudencia del Tribunal de Justicia que exige el cumplimiento de dos requisitos para apreciar que el acto afecta directamente a una persona física o jurídica distinta del destinatario del acto, (74) aplicó incorrectamente dicha jurisprudencia.

128. Según reiterada jurisprudencia, citada por el Tribunal General, «el requisito de que la medida objeto de recurso afecte directamente a una persona física o jurídica exige que se reúnan dos condiciones acumuladamente, a saber, que esa medida, por un lado, surta efectos directamente en la situación jurídica de esa persona y, por otro, que no deje ningún margen de apreciación a los destinatarios encargados de su aplicación, por tener esta carácter meramente automático y derivarse únicamente de la normativa de la Unión, sin aplicación de otras normas intermedias». (75)

129. El tratamiento de esos dos criterios como «acumulativos» se deriva de la jurisprudencia según la cual el acto impugnado requería actos de aplicación. (76)

130. En tal situación, el acto impugnado solo podía afectar directamente a la situación jurídica del demandante en caso de que el órgano que lo ejecutaba no gozase de un margen para decidir si ejecutaba ese acto y cómo. (77)

131. Este es el caso presente. La Decisión controvertida, que afecta al recurrente, se dirige a la autoridad de control irlandesa, y no al recurrente. La Decisión exige que la citada autoridad modifique su proyecto de decisión cuando adopte la decisión definitiva, que irá dirigida al recurrente, de tal manera que aplique las conclusiones contenidas en la Decisión controvertida. En consecuencia, para determinar la afectación directa del recurrente es irrelevante si la autoridad de control irlandesa gozaba o no de un margen de apreciación después de que el CEPD adoptase la Decisión controvertida.

132. A este respecto, el recurrente alega que el Tribunal General interpretó erróneamente el artículo 263 TFUE, párrafo cuarto, en un doble sentido. En primer lugar, al valorar el primer requisito de la afectación directa, aplicó el criterio de la «oponibilidad» y el de la «última fase del procedimiento», ninguno de los cuales es pertinente al objeto de apreciar la afectación directa. En segundo lugar, al valorar el segundo requisito de la afectación directa, aplicó erróneamente el criterio de la facultad de apreciación respecto a la Decisión controvertida.

133. Estoy de acuerdo con el recurrente en ambos aspectos.

1.      Oponibilidad al recurrente de la Decisión controvertida

134. El primer error de interpretación que el recurrente reprocha al Tribunal General consiste en que, en el apartado 52 del auto recurrido, este consideró que no se cumplía el requisito de que la Decisión controvertida afecte directamente a la situación jurídica de WhatsApp, ya que el acto no es oponible a esta empresa.

135. En el tenor del artículo 263 TFUE, párrafo cuarto, no se menciona el requisito de la «oponibilidad», y tampoco se deduce de la jurisprudencia del Tribunal de Justicia.

136. Hay una buena razón. En la mayoría de las situaciones en que se requiere un acto de aplicación, ya sea a escala de la Unión o nacional, la decisión de la Unión objeto de aplicación no es en sí misma oponible a personas físicas o jurídicas, aunque estas sean las destinatarias teóricas del acto. La razón concreta por la que se suele necesitar un acto de aplicación es que el acto de la Unión en cuestión no puede «llegar», por sí mismo, al demandante. En tales situaciones, solo el acto de aplicación es oponible a una persona física o jurídica.

137. Si la «oponibilidad directa» de un acto a una persona física o jurídica fuera necesaria para la afectación directa, difícilmente se podría dar una situación en que demandantes no privilegiados pudieran impugnar un acto de la Unión que requiera actos de aplicación.

138. De hecho, por lo que a la afectación directa se refiere es irrelevante si solo el acto de aplicación es oponible a la persona física o jurídica y no el acto cuya validez esta impugna ante los tribunales de la Unión. Si el acto de aplicación es una mera réplica del acto recurrido, ya que el organismo que lo aplica no tenía elección en cuanto a la toma de la decisión y a su contenido, queda claro que el acto impugnado es la verdadera causa de la afectación de la situación jurídica del demandante.

139. En el presente asunto, esto significa que el Tribunal General incurrió en error al tomar en consideración la oponibilidad de la Decisión controvertida respecto al recurrente como factor pertinente a la hora de determinar si este se veía directamente afectado por dicha decisión.

2.      El acto impugnado no constituye la última fase del procedimiento contemplado por el mecanismo de coherencia

140. En el mismo apartado 52 del auto recurrido, el Tribunal General consideró que la Decisión controvertida no afectaba directamente al recurrente, ya que no constituía la última fase del procedimiento contemplado por el mecanismo de coherencia del RGPD, sino que requería actos de aplicación a escala nacional.

141. Del análisis precedente ya se desprende que una persona puede estar directamente afectada por un acto, aunque este necesite actos de aplicación. (78)

142. El segundo requisito para apreciar la afectación directa en la jurisprudencia del Tribunal de Justicia (véase el punto 128 de las presentes conclusiones), que el Tribunal General citó como Derecho aplicable en el auto recurrido, (79) carecería de sentido si la afectación directa quedara excluida en caso de que el acto impugnado requiriese actos de aplicación.

143. Además, esta interpretación pasa por alto la diferencia entre el requisito de que el acto normativo no necesite actos de aplicación y el requisito de la afectación directa, que deben concurrir conjuntamente para que un demandante no privilegiado goce de legitimación activa en virtud del artículo 263 TFUE, párrafo cuarto. (80)

144. Así pues, el Tribunal General incurrió en error al considerar que, en el mecanismo de coherencia, la necesidad de que la autoridad de control irlandesa adopte una decisión de aplicación de la Decisión controvertida constituye un criterio pertinente en el análisis de si esta última afecta directamente al recurrente.

145. El Tribunal General trató de diferenciar la situación del presente asunto de aquellas surgidas en el ámbito de las ayudas de Estado, en que la Comisión considera que una ayuda es incompatible con el mercado interior y ordena su recuperación al Estado miembro de que se trate. (81) En tales situaciones, el Tribunal de Justicia ha declarado que los destinatarios de las ayudas están directamente afectados por las correspondientes decisiones de la Comisión, aunque estas deban ser aplicadas por el correspondiente Estado miembro y solo se puedan oponer en virtud de los actos de aplicación. (82)

146. Comparto con el recurrente que el Tribunal General se apoyó incorrectamente en dichos asuntos para diferenciar la presente situación y declarar que la Decisión controvertida no afectaba directamente a WhatsApp. (83)

147. Antes al contrario, dichos asuntos proporcionan argumentos a favor de apreciar la afectación directa de WhatsApp por la Decisión controvertida. Esta Decisión es el origen del cambio en la situación jurídica del recurrente, pese a la necesidad de que la autoridad de control irlandesa adopte una decisión «de aplicación». En esencia, la lógica subyacente es precisamente la que siguió el Tribunal de Justicia en la jurisprudencia citada por el Tribunal General en el apartado 64 del auto recurrido.

148. De igual manera, opino que el Tribunal General incurrió en error al considerar que la Decisión controvertida no es análoga a las decisiones de la Comisión que ordenan la recuperación de ayudas, con el argumento de que la Decisión controvertida no ponía fin al procedimiento administrativo en el ámbito nacional. (84) En cualquier caso, por lo que se refiere a los aspectos resueltos por el CEPD mediante la Decisión controvertida, el procedimiento que rige el mecanismo de coherencia en realidad ya había concluido, pues la autoridad de control irlandesa no puede modificar las conclusiones formuladas en la Decisión controvertida. El hecho de que dicha autoridad quizá haya de decidir también sobre otros aspectos no abordados en la Decisión controvertida no afecta al «carácter definitivo» de las conclusiones que esta contiene respecto a los asuntos por ella resueltos.

149. De todo lo anterior se deduce con claridad, a mi entender, que la Decisión controvertida afecta a la situación jurídica del recurrente, ya que, en primer lugar, declara que su proceso de «lossy hashing» tiene por objeto datos personales y, en segundo lugar, califica dicha práctica como contraria a ciertas normas de transparencia impuestas por el RGPD a los responsables del tratamiento.

150. Esta sola conclusión genera para el recurrente la obligación legal de modificar su práctica. Además, constituye el fundamento jurídico para que la autoridad de control irlandesa imponga multas más elevadas al recurrente. Sin la Decisión controvertida, la citada autoridad no podría obrar así. El único motivo por el que esa autoridad incluyó las referidas conclusiones en su decisión definitiva dirigida al recurrente es porque estaba obligada a ello en virtud de la Decisión controvertida. En mi opinión, con ello queda meridianamente claro que el verdadero motivo para el cambio en la situación jurídica del recurrente es la Decisión controvertida, y no, como desacertadamente afirma el Tribunal General, la decisión de la autoridad de control irlandesa.

3.      Facultad de apreciación de la autoridad de control irlandesa

151. Si un acto objeto de recurso de anulación requiere actos de aplicación, solo podrá considerarse que afecta directamente al demandante en caso de que el órgano que adopte tales actos de aplicación no goce de margen de apreciación alguno y en su lugar deba aplicar automáticamente las conclusiones de la decisión objeto de impugnación.

152. En el presente asunto, esto significaría que la Decisión controvertida afectaría directamente a WhatsApp si la autoridad de control irlandesa no tuviera elección en cuanto a la aplicación de la decisión y a la forma de aplicarla.

153. En el auto recurrido, el Tribunal General consideró que la autoridad de control irlandesa gozaba de una facultad de apreciación, por lo que el recurrente no estaba directamente afectado por la Decisión controvertida, sino únicamente por la decisión definitiva de aquella autoridad. (85)

154. Coincido con el recurrente en que, sobre este aspecto, el Tribunal General también erró en su apreciación.

155. En primer lugar, la conclusión a la que llega el CEPD en el sentido de que el «lossy hashing» constituye un tratamiento de datos personales y que el recurrente, como responsable del tratamiento, incumplió las obligaciones que le incumben en virtud de los artículos 5, 13 y 14 del RGPD debía ser transpuesta en la decisión definitiva de la autoridad de control irlandesa, sin dejar a esta la opción de llegar a una conclusión diferente.

156. En segundo lugar, la Decisión controvertida imponía a la autoridad de control irlandesa una obligación incondicional de incrementar las multas y de aplicar los métodos de cálculo indicados en la decisión del CEPD, aunque el cálculo y la determinación última de la cuantía de dichas multas se dejaba a la autoridad de control irlandesa. En consecuencia, esta carecía de facultad de apreciación alguna, en su condición de «órgano de ejecución», tanto para mantener las multas iniciales como para reducirlas. (86)

157. Por consiguiente, en cuanto a estos aspectos de la Decisión controvertida, la autoridad de control irlandesa no gozaba de margen de apreciación alguno sobre si decidir o no y de qué forma hacerlo por lo que respecta al recurrente.

158. De ello se deduce que el Tribunal General incurrió en error cuando declaró que, en cuanto a estos aspectos, la autoridad de control irlandesa gozaba de una facultad de apreciación. (87)

159. Con arreglo al artículo 65, apartado 1, letra a), del RGPD, el CEPD solo decide sobre los aspectos de la aplicación del RGPD a los que se refiera la objeción formulada por las demás autoridades de control y que no hayan sido resueltos entre las autoridades de control participantes. Por lo tanto, la autoridad de control irlandesa sí gozaba de un margen de apreciación para decidir sobre los asuntos que no se hubiesen sometido al CEPD pese a formar parte de la decisión definitiva nacional. (88)

160. ¿Tiene esto incidencia en la conclusión de que la Decisión controvertida afecta directamente al recurrente?

161. En el auto recurrido, el Tribunal General declaró que el limitado alcance de la Decisión controvertida tenía trascendencia en la medida en que la decisión definitiva de la autoridad de control irlandesa constituye un todo que no podía ser dividido en aspectos sobre los que la autoridad de control irlandesa tuviera o no tuviera facultad de apreciación. (89)

162. A mi parecer, y de nuevo coincidiendo con el recurrente, este elemento carece de incidencia en la cuestión de si la Decisión controvertida afecta directamente a dicha parte procesal.

163. Para analizar la cuestión de la afectación directa se ha de partir del contenido sustantivo del acto impugnado. (90) A este respecto, basta con que el contenido de la Decisión controvertida, que afecta a la situación jurídica del recurrente en el recurso de casación, no dejase margen de apreciación a la autoridad de control irlandesa sobre dichos aspectos, aunque su decisión definitiva también se ocupase de otros.

164. En efecto, tal como expongo en la siguiente parte de las presentes conclusiones, si el recurrente no actuase ante el Tribunal General contra la Decisión controvertida, perdería la oportunidad de invocar la invalidez de dicha Decisión dentro de la impugnación de la decisión definitiva de la autoridad de control irlandesa ante los tribunales competentes de Irlanda.

165. De hecho, según explicó el recurrente en la vista oral, tal procedimiento se está siguiendo actualmente ante los órganos jurisdiccionales irlandeses. En él, el recurrente solicita la invalidación de la decisión definitiva de la autoridad de control irlandesa también en los aspectos de los que no se ocupó la Decisión controvertida. No obstante, al mismo tiempo el recurrente llevó la Decisión del CEPD ante el Tribunal General a fin de salvaguardar su derecho a invocar la invalidez de las partes de la decisión adoptada por la autoridad de control irlandesa sobre las cuales esta carecía de facultad de apreciación alguna.

166. En consecuencia, el Tribunal General también incurrió en error al concluir que la Decisión controvertida no afectaba directamente al recurrente debido a que la autoridad de control irlandesa gozaba de una facultad de apreciación para «ejecutar» la Decisión controvertida debido a que la decisión definitiva nacional también contenía aspectos no abordados en la Decisión controvertida.

4.      Conclusión provisional

167. El Tribunal General aplicó erróneamente los requisitos para apreciar la afectación directa con arreglo al artículo 263 TFUE, párrafo cuarto.

168. En primer lugar, basó su apreciación en requisitos inexistentes en el sentido de que el acto impugnado i) sea directamente oponible al recurrente en los procedimientos de anulación, y ii) no requiera actos de aplicación.

169. En segundo lugar, el Tribunal General erró al considerar que la Decisión controvertida dejaba un margen de apreciación a la autoridad de ejecución, en este caso la autoridad de control irlandesa.

170. Por último, incurrió en error al concluir que la existencia de partes no abordadas por la Decisión controvertida en la decisión definitiva de la autoridad de control irlandesa tenía incidencia en la cuestión de si la Decisión controvertida dejaba un margen de apreciación a dicha autoridad.

171. En definitiva, propongo al Tribunal de Justicia que estime las alegaciones tercera y cuarta del primer motivo de casación.

D.      La lógica del sistema de recursos de la Unión implica la admisibilidad de la demanda en el presente asunto

172. Mediante su quinta alegación dentro del primer motivo de casación, el recurrente aduce que el Tribunal General confundió los requisitos procesales del sistema de recursos de la Unión.

173. En el auto recurrido, el Tribunal General consideró que, en el procedimiento establecido por el mecanismo de coherencia, los procedimientos judiciales contra la decisión definitiva de la autoridad nacional de control deben incoarse los tribunales nacionales competentes. En opinión del Tribunal General, la lógica del sistema de recursos judiciales, en su conjunto, apunta a favor de los tribunales nacionales como foro adecuado, (91) y estos iniciarían después el procedimiento prejudicial ante el Tribunal de Justicia respecto a la validez de la parte de la decisión nacional impuesta por la decisión correspondiente del CEPD.

174. La postura del Tribunal General en el sentido de concentrar las acciones judiciales en un solo órgano jurisdiccional tiene cierta fuerza. De hecho, la solución que propone resolvería la actual inconveniencia procesal de exigir al demandante ejercitar dos acciones distintas: una ante el Tribunal General y otra ante un órgano jurisdiccional nacional, si desea asegurarse la protección efectiva de todos sus derechos reconocidos por el Derecho de la Unión. En efecto, esta no es la forma más eficiente de proteger los propios derechos.

175. En el presente asunto, el recurrente ha hecho precisamente eso: ha presentado dos demandas, una ante el Tribunal General y otra ante los tribunales irlandeses competentes. Sin embargo, al menos en su actual estructura, el sistema de tutela judicial de la Unión no brinda ninguna otra solución, tal como voy a explicar.

1.      La relación entre los recursos directos y los indirectos contra actos de la Unión

176. En primer lugar, como es sabido, los tribunales nacionales no tienen competencia para invalidar actos de las instituciones y órganos de la Unión. En consecuencia, si entienden que un acto de la Unión es inválido, deben iniciar el procedimiento prejudicial ante el Tribunal de Justicia a fin de obtener la confirmación de dicha invalidez. (92)

177. En segundo lugar, los órganos jurisdiccionales nacionales no pueden cuestionar la validez de un acto de la Unión si la parte que invoca dicha invalidez, pese a gozar de legitimación activa con arreglo al artículo 263 TFUE, párrafo cuarto, no ha impugnado el acto ante los tribunales de la Unión en el plazo previsto en el artículo 263 TFUE, párrafo sexto. Así se deduce de la sentencia TWD Textilwerke Deggendorf, (93) y quedó confirmado también en resoluciones posteriores, como la sentencia Georgsmarienhütte y otros, (94) que ha sido comentada por las partes del presente procedimiento.

178. En la segunda de ellas el Tribunal de Justicia declaró que, «si un justiciable que desea impugnar un acto de la Unión tiene, sin la menor duda, legitimación activa con arreglo al artículo 263 TFUE, párrafo cuarto, está obligado a hacer uso del medio de impugnación establecido en esa disposición interponiendo un recurso ante el Tribunal [General]». (95) Si una persona que ha tenido oportunidad de hacerlo no ha interpuesto un recurso de anulación dentro del plazo establecido en el artículo 263 TFUE, párrafo sexto, el órgano jurisdiccional nacional no puede admitir una pretensión de anulación de un acto de la Unión formulada por esa misma persona, sino que debe considerar la firmeza de dicho acto por lo que respecta a ella. (96) En caso de que, en tal situación, el órgano jurisdiccional nacional acuda, mediante una petición de decisión prejudicial, al Tribunal de Justicia, este habrá de declarar la inadmisibilidad de la remisión prejudicial, pues de lo contrario resolvería una cuestión cuya respuesta no podría ser utilizada por el órgano jurisdiccional remitente.

179. Un ejemplo reciente respecto a los procedimientos compuestos lo constituye la sentencia Iccrea Banca. (97) En ella, el Tribunal de Justicia declaró inadmisible parte de la petición de decisión prejudicial remitida por el Tribunale amministrativo regionale per il Lazio (Tribunal Regional de lo Contencioso-Administrativo del Lacio, Italia), ante el cual cierto banco, Iccrea Banca, había impugnado el cálculo de su contribución al Fondo Único de Resolución. El Tribunal de Justicia consideró que el citado banco estaba directa e individualmente afectado por una decisión de la JUR (que constituía la base para la cuantificación de esas contribuciones), pero que no había impugnado dicha decisión mediante un recurso de anulación ante el Tribunal General. (98) En consecuencia, Iccrea Banca había perdido la oportunidad de invocar la invalidez de la decisión de la JUR indirectamente ante el órgano jurisdiccional nacional, por lo que, a este respecto, el Tribunal de Justicia tuvo que rechazar la remisión por inadmisible.

180. Trasladando esta jurisprudencia al presente asunto, en que WhatsApp gozaba de legitimación activa para recurrir la Decisión controvertida ante el Tribunal General, es evidente que la invalidez de la decisión del CEPD no podría ser invocada ante el órgano jurisdiccional nacional si WhatsApp no hubiese tratado de impugnar dicha decisión también directamente ante el Tribunal General dentro del plazo establecido por el artículo 263 TFUE, párrafo sexto. (99)

181. En consecuencia, dado que, en primer lugar, el recurrente se ve directamente afectado por la Decisión controvertida y, en segundo lugar, según ha declarado el propio Tribunal General, la Decisión controvertida afecta individualmente al recurrente, (100) el recurso contra dicha decisión deberá interponerse ante los tribunales de la Unión y no ante los nacionales.

182. El considerando 143 del RGPD confirma que la adecuada organización del control judicial en una situación como la del presente asunto se ha de articular por medio de los recursos de anulación ante el Tribunal General. (101) Aunque dicho considerando no es vinculante, como acertadamente señala el CEPD, describe las consecuencias que se derivan de la aplicación de las normas imperativas del Tratado respecto a la organización de los procedimientos judiciales.

183. Por último, quisiera añadir a las anteriores consideraciones que el recurso directo ante el Tribunal General, en que el órgano de la Unión autor de la decisión objeto de impugnación es parte del procedimiento, a mi parecer constituye el medio más adecuado para resolver sobre la validez de su decisión. No en vano, ante el órgano jurisdiccional nacional la condición procesal de dicho órgano dependería de las normas de procedimiento nacionales aplicables, lo cual podría impedirle acceder al debate respecto a su propio acto. (102)

2.      Otras cuestiones de procedimiento

184. En el auto recurrido, el Tribunal General también expresó su inquietud sobre la posibilidad de que recaigan resoluciones discrepantes en el ámbito de la Unión y en el nacional, a resultas de los procedimientos judiciales paralelos. (103)

185. No es este un territorio novedoso. Como expuso el Tribunal de Justicia en su sentencia Masterfoods y HB, en que se cuestionaba la validez de un acto de la Unión ante los tribunales tanto nacionales como de la Unión, los primeros estaban obligados, en virtud del principio de cooperación leal, a no adoptar resoluciones que entrañasen el riesgo de contradicción con una futura resolución de los tribunales de la Unión. (104) Así, cuando haya pendiente un recurso de anulación ante el Tribunal General y se plantee una cuestión de validez en una demanda paralela en el ámbito nacional, el reparto de competencias entre los tribunales de la Unión y los nacionales puede requerir que el órgano jurisdiccional nacional suspenda el procedimiento. (105) Esto parece ser lo que decidieron los órganos jurisdiccionales irlandeses en el presente asunto. (106)

186. Si el órgano jurisdiccional nacional hubiera iniciado el procedimiento prejudicial ante el Tribunal de Justicia a pesar del recurso de anulación pendiente ante el Tribunal General, el Tribunal de Justicia puede suspender su propio procedimiento a fin de dar preferencia a dicho recurso de anulación, en virtud del artículo 54 del Estatuto del Tribunal de Justicia de la Unión Europea y del principio de buena administración. (107)

3.      Conclusión provisional

187. La lógica del sistema de tutela judicial establecido en los Tratados no exige que el recurso de anulación interpuesto por el recurrente ante el Tribunal General sea declarado inadmisible.

188. En consecuencia, propongo al Tribunal de Justicia que estime también la quinta alegación del primer motivo de casación.

189. Habida cuenta de las consideraciones que preceden, propongo al Tribunal de Justicia que estime el primer motivo de casación del recurrente.

E.      Consecuencias

190. Con arreglo al artículo 61 del Estatuto del Tribunal de Justicia, cuando así lo permita el estado del litigio, el Tribunal de Justicia puede resolverlo él mismo con carácter definitivo.

191. En el presente asunto, se cumple esta condición por lo que se refiere a la admisibilidad del recurso directo interpuesto ante el Tribunal General.

192. En primer lugar, la Decisión controvertida es acto impugnable en el sentido del artículo 263 TFUE, párrafo primero. En segundo lugar, dicha Decisión afecta directamente al recurrente en el sentido del artículo 263 TFUE, párrafo cuarto. En tercer lugar, la Decisión controvertida afecta individualmente al recurrente, como el propio Tribunal General ha reconocido en el auto recurrido. (108) En consecuencia, se cumplen los requisitos establecidos en el artículo 263 TFUE, párrafos primero y cuarto, con lo que la demanda es admisible.

193. No obstante, dado que el Tribunal General no entró en el fondo del asunto, para lo que se requiere una apreciación jurídica y fáctica detallada, el estado del litigio no permite al Tribunal de Justicia resolver el fondo de la demanda del recurrente.

194. Por consiguiente, procede devolver el asunto al Tribunal General y reservar la decisión sobre las costas.

IV.    Conclusión

195. Propongo al Tribunal de Justicia:

–        Anular el auto de 7 de diciembre de 2022, WhatsApp Ireland/Comité Europeo de Protección de Datos (T‑709/21, EU:T:2022:783).

–        Declarar la admisibilidad del recurso de anulación del recurrente.

–        Devolver el asunto al Tribunal General a fin de que este se pronuncie sobre el fondo.

–        Reservar la decisión sobre las costas.

1      Lengua original: inglés.

2      Artículos 63 y 65 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1).

3      Decisión vinculante 1/2021 relativa al conflicto surgido a raíz del proyecto de decisión elaborado por la Autoridad de Control irlandesa en relación con WhatsApp Ireland con arreglo al artículo 65, apartado 1, letra a), del RGPD (en lo sucesivo, «Decisión controvertida»), publicado en https://www.edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-12021-dispute-arisen_en.

4      Auto de 7 de diciembre de 2022, WhatsApp Ireland/Comité Europeo de Protección de Datos (T‑709/21, en lo sucesivo, «auto recurrido», EU:T:2022:783).

5      Mientras escribo, existen otros siete asuntos pendientes ante el Tribunal General contra decisiones vinculantes del CEPD adoptadas mediante el mecanismo de coherencia, en que los recursos han sido interpuestos tanto por encargados y responsables del tratamiento como por autoridades nacionales de control. Véanse los asuntos T‑682/22, Meta Platforms Ireland/Comité Europeo de Protección de Datos; T‑70/23, Data Protection Commission/Comité Europeo de Protección de Datos; T‑84/23, Data Protection Commission/Comité Europeo de Protección de Datos; T‑128/23, Meta Platforms Ireland/Comité Europeo de Protección de Datos; T‑129/23, Meta Platforms Ireland/Comité Europeo de Protección de Datos; T‑111/23, Data Protection Commission/Comité Europeo de Protección de Datos, y T‑153/23, WhatsApp Ireland/ Comité Europeo de Protección de Datos. En otros tres asuntos pendientes se han impugnado decisiones del CEPD adoptadas al margen del mecanismo de coherencia: asuntos T‑325/23, Meta Platforms Ireland/Comité Europeo de Protección de Datos; T‑1030/23, Tiktok Technology/Comité Europeo de Protección de Datos, y T‑8/24 Meta Platforms Ireland/Comité Europeo de Protección de Datos.

6      Véanse distintos intentos de clasificación en Eliantonio, M., «Access to Justice in Composite Procedures for the Implementation of EU Law: the Story so Far», en Van Creynenbreugel, P. y Wildemeersch, J. (eds.), Questions choisies de droit européen des affaires / Selected Issues in European Business Law: 60 ans d’études juridiques européennes à Liège / 60 years of European legal studies at Liège, Bruylant, 2023, pp. 189‑221.

7      Hofmann explica que los «procedimientos compuestos» son procedimientos que constan de distintas fases con la aportación de actores administrativos de diversas jurisdicciones, que colaboran bien verticalmente entre instituciones y órganos de la Unión e instituciones y órganos de los Estados miembros, o bien horizontalmente entre distintas instituciones y órganos de los Estados miembros, así como procedimientos triangulares en que intervienen diferentes instituciones y órganos de los Estados miembros y de la Unión; véase Hofmann, H., «Composite decision making procedures in EU administrative law», en Hofmann, H.C.H., Türk, A.H., Legal Challenges in EU Administrative Law, Cheltenham: Edward Elgar (2009), p. 136.

8      Véase un compendio reciente de las cuestiones teóricas y prácticas que suscitan los procedimientos compuestos en Bastos, F.B., Judging Composite Decision-Making: The Transformation of European Administrative Law, Hart Publishing, Oxford, 2024.

9      Con arreglo al artículo 55, apartado 1, del RGPD, «cada autoridad de control será competente para desempeñar las funciones que se le asignen y ejercer los poderes que se le confieran de conformidad con el presente Reglamento en el territorio de su Estado miembro».

10      Véanse, en este sentido, los considerandos 9, 10 y 13 del RGPD.

11      Véase el artículo 60, apartado 4, del RGPD.

12      A este respecto, el papel del RGPD difiere de su predecesor, el «Grupo de Trabajo del artículo 29», que se creó en virtud del artículo 29, apartado 1, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y cuyas funciones eran meramente consultivas.

13      Véase también su considerando 136.

14      Artículo 65, apartado 5, del RGPD.

15      El artículo 65, apartado 6, del RGPD establece que tal decisión nacional debe adoptarse, a más tardar, un mes después de que el CEPD haya notificado su decisión vinculante a la autoridad de control.

16      Si una autoridad nacional de control no está de acuerdo con una decisión vinculante del CEPD, puede impugnar su validez ante el Tribunal General. Véanse, a modo de ejemplo, los recursos que dieron lugar a la sentencia de 29 de enero de 2025, Data Protection Commission/Comité Europeo de Protección de Datos (T‑70/23, T‑84/23 y T‑111/23, EU:T:2025:116).

17      La política de protección de datos pretende cumplir con las obligaciones de transparencia que incumben al recurrente en virtud de los artículos 12 y 14 del RGPD y, probablemente, también del artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea. Véase, con carácter general, Grupo de Trabajo del artículo 29, Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/679 (29 de noviembre de 2017, WP260).

18      Véase el artículo 99, apartado 2, del RGPD.

19      Véase la decisión de la Data Protection Commission adoptada en virtud del artículo 111 de la Data Protection Act, 2018 (Ley de Protección de Datos de 2018) y de los artículos 60 y 65 del Reglamento General de Protección de Datos, 2021 (IN-18‑12‑2), (en lo sucesivo, «decisión definitiva nacional»), disponible en: https://www.dataprotection.ie/sites/default/files/uploads/2022‑03/Full_decision_WhatsApp_Ireland-August_2021.pdf (en lo sucesivo, «decisión definitiva nacional»), apartado 3.

20      Véase la decisión definitiva nacional, apartado 4.

21      Véase el auto recurrido, apartado 4. Véase también la decisión definitiva nacional, apartado 23.

22      Véase el auto recurrido, apartado 5. Véase también la decisión definitiva nacional, apartado 23.

23      Véase el auto recurrido, apartado 5. Véase también la decisión definitiva nacional, apartado 24.

24      Véase el auto recurrido, apartado 5. Véase también la decisión definitiva nacional, apartado 25.

25      Decisión definitiva nacional, apartado 25.

26      Según lo entiendo, el procedimiento de «lossy hashing» del recurrente consiste, en esencia, en una técnica de encriptado para convertir los números de teléfono de los usuarios y no usuarios de su servicio de mensajería en códigos numéricos. Posteriormente, el recurrente compartía los códigos numéricos con terceros. En contra del proyecto de decisión de la autoridad de control irlandesa, el CEPD consideró que, al tener el recurrente capacidad para identificar y, por tanto, volver a averiguar los titulares de los datos, incluso a partir de esos códigos sometidos a tal proceso de «lossy hashing», estos datos constituían datos personales a efectos del RGPD. Véase, en este sentido, el auto recurrido, apartados 141 a 157.

27      Véanse, en este sentido, el auto recurrido, apartado 11, y la Decisión controvertida, apartados 427 y 428.

28      Véanse, en este sentido, el auto recurrido, apartado 11, y la Decisión controvertida, apartados 426 y 428.

29      Véanse, en este sentido, el auto recurrido, apartado 11, y la Decisión controvertida, apartados 429 y 430.

30      Véase, a este respecto, el auto recurrido, apartado 9.

31      Así, por ejemplo, en la sentencia de 18 de junio de 2024, Comisión/JUR (C‑551/22 P, en lo sucesivo, «sentencia Comisión/JUR», EU:C:2024:520), el Tribunal de Justicia expuso que la apreciación formulada en la sentencia de 6 de mayo de 2021, ABLV Bank y otros/BCE (C‑551/19 P y C‑552/19 P, EU:C:2021:369), no era automáticamente trasladable a los hechos de aquel asunto. En esta última sentencia, el Tribunal de Justicia consideró que una decisión del Banco Central Europeo en que se declaraba que cierto banco estaba en dificultades o probablemente fuera a estarlo no constituía un acto impugnable, ya que no vinculaba a la Junta Única de Resolución (JUR), de modo que cabía ejercitar la acción contra el acto que adoptase la JUR. Sin embargo, esto no significa que todo acto adoptado por la JUR en el procedimiento de resolución siempre sea susceptible de impugnación. Cuando se adopta en una fase diferente del procedimiento de resolución, el acto adoptado por dicho organismo no es impugnable si carece de efecto directo sobre la Comisión Europea, a la cual le incumbe la adopción de una decisión definitiva en el citado procedimiento compuesto.

32      Así, en ocasiones el Tribunal de Justicia debe explicar por qué sus apreciaciones formuladas en sentencias anteriores no son válidas en la nueva sentencia. A este respecto, véase la sentencia Comisión/JUR, apartado 92.

33      Sentencia de 11 de noviembre de 1981, IBM/Comisión (60/81, en lo sucesivo, «sentencia IBM», EU:C:1981:264), apartado 9.

34      Sentencia de 13 de octubre de 2011, Deutsche Post y Alemania/Comisión (C‑463/10 P y C‑475/10 P, en lo sucesivo, «sentencia Deutsche Post», EU:C:2011:656).

35      Es jurisprudencia reiterada que los temas referidos a la admisibilidad de los recursos de anulación son cuestiones de orden público que se pueden plantear en todo momento, incluso en ausencia de una adhesión a la casación en virtud del artículo 176, apartado 2, del Reglamento de Procedimiento del Tribunal de Justicia; véanse, entre otras muchas, las sentencias de 2 de septiembre de 2021, Ja zum Nürburgring/Comisión (C‑647/19 P, EU:C:2021:666), apartados 52 y 53 y jurisprudencia citada, y de 21 de septiembre de 2023, China Chamber de Commerce for Import and Export of Machinery and Electronic Products y otros/Comisión (C‑478/21 P, EU:C:2023:685), apartados 42 y 43 y jurisprudencia citada.

36      Véanse, entre otras muchas, las sentencias de 10 de marzo de 1998, Alemania/Consejo (C‑122/95, EU:C:1998:94), apartado 35, y de 26 de septiembre de 2024, WEPA Hygieneprodukte y otros/Comisión (C‑795/21 P y C‑796/21 P, EU:C:2024:807), apartados 63 y 73.

37      Véase el artículo 65, apartado 5, primera frase, del RGPD.

38      Véanse, en este sentido, las sentencias de 5 de abril de 1979, Orlandi/Comisión (117/78, EU:C:1979:109), apartado 11, y de 26 de septiembre de 2013, PPG y SNF/ECHA (C‑625/11 P, EU:C:2013:594), apartado 33.

39      Véase, entre otras muchas, la sentencia de 26 de septiembre de 2024, WEPA Hygieneprodukte y otros/Comisión  (C‑795/21 P, EU:C:2024:807), apartados 68 a 71.

40      Véase, por analogía, la sentencia de 26 de septiembre de 2013, PPG y SNF/ECHA (C‑625/11 P, EU:C:2013:594), apartados 29 a 33 (relativo a la publicación de una lista de sustancias únicamente en el sitio web de la Agencia Europea de Sustancias y Mezclas Químicas, pese a lo cual el Tribunal de Justicia la consideró como decisión publicada).

41      Véanse, en este sentido, entre otras muchas, las sentencias de 26 de septiembre de 2024, Covestro Deutschland y Alemania/Comisión (C‑790/21 P y C‑791/21 P, EU:C:2024:792), apartado 82, y de 26 de septiembre de 2024, WEPA Hygieneprodukte y otros/Comisión (C‑795/21 P y C‑796/21 P, EU:C:2024:807), apartado 73 (donde se afirma que, en aras de la seguridad jurídica, los plazos de recurso se deben poder determinar de manera objetiva y con certeza respecto a todas las partes interesadas a las que no se les haya notificado la decisión, con independencia de si estas han podido tener conocimiento de ella antes de su publicación).

42      Sobre la posible diferencia práctica entre atender a los efectos jurídicos obligatorios o simplemente a los efectos jurídicos para determinar si el acto puede ser impugnado, véanse las conclusiones presentadas por el Abogado General Bobek en el asunto Bélgica/Comisión (C‑16/16 P, EU:C:2017:959), punto 59 y siguientes.

43      Véase el artículo 173 del Tratado CEE (el subrayado es mío). Cabe añadir que el artículo 33 del Tratado de la Comunidad Europea del Carbón y del Acero (CECA) incluía una lista específica de actos impugnables, que enumeraba las «decisiones» y las «recomendaciones». Con arreglo a su artículo 14, dichos actos se definían como actos con efectos jurídicos obligatorios. Por consiguiente, la jurisprudencia temprana del Tribunal de Justicia, que influyó en su jurisprudencia posterior, indagaba en la naturaleza «obligatoria» de la medida a fin de determinar si podía ser objeto de un recurso de anulación. Véanse, por ejemplo, las sentencias de 16 de julio de 1956, Fédération charbonnière de Belgique/Alta Autoridad (8/55, EU:C:1956:7), p. 256; de 10 de diciembre de 1957, Société des usines à tubes de la Sarre/Alta Autoridad (1/57 y 14/57, EU:C:1957:13), p. 114, y de 15 de marzo de 1967, CBR y otros/Comisión (8/66 a 11/66, EU:C:1967:7), p. 91.

44      Así es como se definen hoy en día las recomendaciones y los dictámenes en el artículo 288 TFUE, si bien idéntica definición recogía ya el artículo 189 del Tratado CEE.

45      En la sentencia de 31 de marzo de 1971, Comisión/Consejo (22/70, EU:C:1971:32), apartado 39, el Tribunal de Justicia se refirió a los actos destinados a producir «efecto jurídico». No obstante, en su jurisprudencia reciente, dicha expresión se ha convertido en una que describe los actos destinados a producir «efectos jurídicos obligatorios». Véase, por ejemplo, la sentencia de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo (C‑348/20 P, EU:C:2022:548), apartado 62 y jurisprudencia citada.

46      Véanse, respecto a los demandantes privilegiados, por ejemplo, el auto de 17 de mayo de 1989, Italia/Comisión (151/88, EU:C:1989:201), apartados 22 y 23, y la sentencia de 25 de octubre de 2017, Eslovaquia/Comisión (C‑593/15 P y C‑594/15 P, EU:C:2017:800), apartados 63 a 65.

47      Si ejercita la acción un demandante privilegiado, la cuestión, en cualquier caso, resulta intrascendente. Sin embargo, como ya he expuesto, el Tribunal de Justicia debe determinar si el acto impugnado es legalmente vinculante, incluso para los demandantes privilegiados. Pese a todo, en dos resoluciones del Tribunal de Justicia —que, a mi entender, no se han vuelto a repetir—, el referido órgano jurisdiccional desestimó la acción de un demandante privilegiado (en ambos casos, el demandante fue el Gobierno neerlandés), al considerar que la decisión de la Comisión, cuya anulación se solicitaba, no producía efectos jurídicos obligatorios para el demandante. Véanse, a este respecto, la sentencia de 5 de octubre de 1999, Países Bajos/Comisión (C‑308/95, EU:C:1999:477), apartados 26 y 29, y el auto de 28 de enero de 2004, Países Bajos/Comisión (C‑164/02, EU:C:2004:54), apartados 18 y 22. Véase una reflexión crítica sobre estas dos sentencias en las conclusiones presentadas por el Abogado General Jacobs en el asunto Italia/Comisión (C‑301/03, EU:C:2005:550), puntos 52 y 53.

48      Véase a este respecto, en cuanto a la jurisprudencia relativa a las instrucciones y directrices internas, Lenaerts, K., Gutman, K. y Nowak, J. T., EU Procedural Law, 2.ª ed., Oxford European Union Law Library, Oxford, 2023, p. 286, puntos 7.21 a 7.22.

49      Así se deduce claramente de la jurisprudencia en materia de ayudas de Estado, según la cual una decisión de la Comisión por la que se declara una ayuda existente incompatible con el mercado interior y se ordena al Estado miembro su recuperación solo produce efectos jurídicos obligatorios para dicho Estado miembro, pero también puede ser impugnada por el destinatario de la ayuda. Véase, por ejemplo, la sentencia de 19 de octubre de 2000, Italia y Sardegna Lines/Comisión (C‑15/98 y C‑105/99, EU:C:2000:570), apartados 31 a 37.

50      Véanse, a este respecto, la sentencia IBM, apartado 10, y la sentencia de 26 de enero de 2010, Internationaler Hilfsfonds/Comisión (C‑362/08 P, EU:C:2010:40), apartado 58.

51      Véanse, a este respecto, las conclusiones presentadas por el Abogado General Roemer en los asuntos acumulados CBR y otros/Comisión (8/66 a 11/66, EU:C:1967:2), punto 103.

52      Véase más recientemente, a este respecto, la sentencia de 13 de febrero de 2025, Swissgrid/Comisión (C‑121/23 P, EU:C:2025:83), apartado 46 (que explica que, cuando la parte demandante en un recurso de anulación no es la destinataria del acto impugnado, «basta con acreditar que dicho acto está destinado a producir efectos jurídicos obligatorios», en particular, frente a sus destinatarios, dado que en esa fase, «no es necesario comprobar si esos efectos jurídicos pueden afectar a los intereses de la parte demandante, modificando sustancialmente su situación jurídica», toda vez que ese elemento se determina en la fase de apreciación del requisito establecido en el artículo 263 TFUE, párrafo cuarto).

53      El subrayado es mío.

54      Véanse los apartados 38 y 39 del auto recurrido. Aparte de la sentencia IBM, el Tribunal General se basa también en la sentencia de 18 de noviembre de 2010, NDSHT/Comisión (C‑322/09 P, EU:C:2010:701), apartado 45, que se remite a otros asuntos también citados en el apartado 9 de la sentencia IBM.

55      El subrayado es mío.

56      Véanse, por ejemplo, entre otras muchas, la sentencia de 31 de marzo de 1998, Francia y otros/Comisión (C‑68/94 y C‑30/95, EU:C:1998:148), apartado 62; de 17 de julio de 2008, Athinaïki Techniki/Comisión (C‑521/06 P, EU:C:2008:422), apartado 29; de 26 de enero de 2010, Internationaler Hilfsfonds/Comisión (C‑362/08 P, EU:C:2010:40), apartado 51, y la sentenciaComisión/JUR, apartado 65.

57      Véanse, entre otros muchos, el auto de 3 de julio de 2007, Commune de Champagne y otros/Consejo y Comisión (T‑212/02, EU:T:2007:194), apartados 86 y 88, y las sentencias de 26 de noviembre de 2018, Shindler y otros/Consejo (T‑458/17, EU:T:2018:838), apartado 30, y de 10 de marzo de 2021, ViaSat/Comisión (T‑245/17, EU:T:2021:128) apartado 68.

58      Véanse, por ejemplo, las conclusiones presentadas por la Abogada General Sharpston en el asunto Reynolds Tobacco y otros/Comisión (C‑131/03 P, EU:C:2006:228), puntos 102 y 103, donde destaca que parecería que el requisito de que un acto sea obligatorio para el demandante en cuestión fue añadido por el Tribunal al requisito de que el acto sea obligatorio en general.

59      Se omiten las referencias a la jurisprudencia citada.

60      Auto de 14 de julio de 2010, Deutsche Post/Comisión (T‑570/08, EU:T:2010:311).

61      Véase, por ejemplo, la sentencia de 21 de diciembre de 2021, Algebris (UK) y Anchorage Capital Group/JUR (C‑934/19 P, EU:C:2021:1042), apartados 87 y siguientes.

62      Véase, en este sentido, la sentencia Deutsche Post, apartados 40 a 47.

63      Sentencia Deutsche Post, apartado 54.

64      Sentencia Deutsche Post, apartado 63.

65      Sentencia Deutsche Post, apartados 66 a 75.

66      Auto recurrido, apartados 42 a 49.

67      Auto de 14 de julio de 2010, Deutsche Post/Comisión (T‑570/08, EU:T:2010:311).

68      Véase, en este sentido, el auto recurrido, apartados 43 y 44 (donde se declara, en primer lugar, que en los procedimientos compuestos los actos intermedios no constituyen, en principio, actos impugnables, para después afirmar que «las excepciones [a dicho] principio […] se refieren al caso en el que la medida intermedia produce efectos jurídicos autónomos»).

69      Auto recurrido, apartado 44.

70      Sentencia IBM, apartado 10 (el subrayado es mío).

71      Lo mismo cabe decir de la declaración formulada por el Tribunal de Justicia en el apartado 52 de la sentencia de 26 de enero de 2010, Internationaler Hilfsfonds/Comisión (C‑362/08 P, EU:C:2010:40), en la que se basó también el Tribunal General en el apartado 43 del auto recurrido.

72      Pese a que, al describir el contexto de un asunto concreto, el Tribunal de Justicia sí menciona el concepto de acto «preparatorio» en un procedimiento compuesto, no excluye, sin embargo, la posibilidad de impugnar ese acto si se considera que produce efectos jurídicos autónomos en dicho procedimiento. Véase, por ejemplo, la sentencia Comisión/JUR, apartado 93, que explica que «en un procedimiento complejo de ese tipo, los actos adoptados durante las etapas que sirven para preparar la adopción del acto definitivo no pueden ser objeto de un recurso de anulación cuando no producen efectos jurídicos autónomos» (el subrayado es mío).

73      Como ya he expuesto, la fuerza vinculante de las decisiones adoptadas por el CEPD en el curso del mecanismo de coherencia para las autoridades de control interesadas se establece en el artículo 65, apartado 1, del RGPD.

74      Auto recurrido, apartado 51.

75      Véase la sentencia de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo (C‑348/20 P, EU:C:2022:548), apartado 43 y jurisprudencia citada.

76      A mi parecer, el primer asunto en que se hace referencia a la naturaleza «acumulativa» es la sentencia de 10 de septiembre de 2009, Comisión/Ente per le Ville vesuviane y Ente per le Ville vesuviane/Comisión (C‑445/07 P y C‑455/07 P, EU:C:2009:529), apartado 45, relativa a la ayuda financiera concedida por el Fondo Europeo de Desarrollo Regional a través de las autoridades nacionales.

77      La situación en que un acto de la Unión requiere un acto de aplicación adicional para «llegar» al demandante es la más recurrente en la práctica. Sin embargo, tales situaciones no son las únicas en que un acto puede afectar directamente a una persona física o jurídica. Existen actos que afectan a la situación jurídica de un particular sin necesidad de acto de aplicación alguno. Es lo que sucede con los actos de aplicación general, como los reglamentos. Considérese, a este respecto, por ejemplo, la situación subyacente a la sentencia de 1 de abril de 2004, Comisión/Jégo-Quéré (C‑263/02 P, EU:C:2004:210). En las circunstancias de dicho asunto, el uso obligatorio de redes con unas dimensiones de malla mínimas a fin de reducir la captura de juveniles de merluza se había impuesto directamente a la compañía naviera de pesquera demandante, sin necesidad de medidas de aplicación. La última modificación del artículo 263 TFUE, párrafo cuarto, introducida por el Tratado de Lisboa, hizo que fueran susceptibles del recurso de anulación también los actos normativos que no requieran actos de aplicación y sin necesidad de demostrar la afectación individual. No obstante, el demandante sigue teniendo que probar que el acto impugnado le afecta directamente, prueba que no se refiere al segundo criterio «acumulativo» derivado de la jurisprudencia (el criterio de los actos de aplicación), pues en tal situación no existe acto de aplicación alguno que sirva de «puente» entre el acto impugnado y el demandante.

78      Véase una reciente confirmación en cuanto a las directivas, que siempre requieren actos de aplicación, en la sentencia de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo (C‑348/20 P, EU:C:2022:548), apartado 70.

79      Véase el auto recurrido, apartado 51.

80      Véase la sentencia de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo (C‑348/20 P, EU:C:2022:548), apartados 71 a 74.

81      Auto recurrido, apartado 64.

82      Véanse, por ejemplo, las sentencias de 19 de octubre de 2000, Italia y Sardegna Lines/Comisión (C‑15/98 y C‑105/99, EU:C:2000:570), apartados 31 y 34, y de 29 de abril de 2004, Italia/Comisión (C‑298/00 P, EU:C:2004:240), apartado 39.

83      Lo mismo cabe decir de la jurisprudencia invocada por el Tribunal General en el apartado 65 del auto recurrido, la cual versa sobre una decisión de la Comisión dirigida a un Estado miembro ordenándole que redujese cierta financiación de la Unión facilitada a una empresa. El Tribunal de Justicia consideró que una empresa en tal situación se halla directamente afectada por la decisión de la Comisión, no obstante la necesidad de medidas de aplicación por el Estado miembro.

84      Apartado 64 del auto recurrido.

85      Apartado 53 del auto recurrido.

86      Asimismo, el recurrente rebate que el CEPD esté facultado para interferir tanto en el método de cálculo como en la cuantía de las multas y alega que el RGPD deja esta competencia en manos de la autoridad de control nacional y con arreglo a la legislación nacional. Este último argumento habrá de ser examinado en cuanto al fondo y el Tribunal de Justicia no puede pronunciarse al respecto en el presente recurso de casación.

87      Véanse los apartados 57 a 59 del auto recurrido. El hecho de que el CEPD no expresara su postura en cuanto a si WhatsApp había actuado como responsable o como encargado del tratamiento de los datos personales resultantes del proceso de «lossy hashing» no cambia nada en cuanto a que la autoridad de control irlandesa se halla vinculada por la conclusión del CEPD según la cual dicho proceso constituye un tratamiento datos personales.

88      En los apartados 55 y 56 de la sentencia recurrida, el Tribunal General enumeraba los aspectos resueltos por el CEPD y aquellos en los que debía decidir, con carácter adicional, la autoridad de control irlandesa en su decisión definitiva nacional.

89      Véase el auto recurrido, apartado 60.

90      Véanse, entre otras muchas, la sentencia de 3 de junio de 2021, Hungría/Parlamento (C‑650/18, EU:C:2021:426), apartado 38 y jurisprudencia citada, y la sentencia Comisión/JUR, apartado 65 y jurisprudencia citada.

91      A este respecto, el Tribunal General se apoya en la sentencia de 25 de julio de 2002, Unión de Pequeños Agricultores/Consejo (C‑50/00 P, EU:C:2002:462), apartado 40; véase también el auto recurrido, apartado 68.

92      Sentencia de 22 de octubre de 1987, Foto-Frost (314/85, EU:C:1987:452), apartado 17.

93      Véase la sentencia de 9 de marzo de 1994, TWD Textilwerke Deggendorf (C‑188/92, EU:C:1994:90), apartado 26.

94      Sentencia de 25 de julio de 2018, Georgsmarienhütte y otros (C‑135/16, EU:C:2018:582), apartado 17 y jurisprudencia citada.

95      Sentencia de 25 de julio de 2018, Georgsmarienhütte y otros (C‑135/16, EU:C:2018:582), apartado 18.

96      Véase, en este sentido, por ejemplo, la sentencia de 10 de marzo de 2021, Von Aschenbach & Voss (C‑708/19, EU:C:2021:190), apartados 33 y 49.

97      Sentencia de 3 de diciembre de 2019, Iccrea Banca (C‑414/18, en lo sucesivo, «sentencia Iccrea Banca», EU:C:2019:1036).

98      Sentencia Iccrea Banca, apartados 72 y 74.

99      Por supuesto que esta propuesta es solamente válida en caso de que WhatsApp efectivamente gozase, «sin ningún tipo de dudas», de legitimación ante los tribunales de la Unión. Si, por el contrario, WhatsApp careciera de legitimación ante el Tribunal General para impugnar la validez de la Decisión controvertida, como entiende dicho órgano jurisdiccional, nada impediría a esta empresa formular una pretensión de invalidez ante el órgano jurisdiccional nacional.

100      Véase el auto recurrido, apartado 40.

101      La parte relevante del considerando 143 tiene el siguiente tenor: «En caso de que las decisiones del Comité afecten directa e individualmente a un responsable, un encargado o al reclamante, estos pueden interponer recurso de anulación de dichas decisiones en el plazo de dos meses a partir de su publicación en el sitio web del Comité, de conformidad con el artículo 263 del TFUE.»

102      Véanse, a este respecto, las conclusiones del Abogado General Campos Sánchez-Bordona presentadas en el asunto Georgsmarienhütte y otros (C‑135/16, EU:C:2018:120), punto 43. Véanse también los razonamientos formulados en las conclusiones del Abogado General Jacobs en el asunto Unión de Pequeños Agricultores/Consejo (C‑50/00 P, EU:C:2002:197), puntos 40 y siguientes, que aún son válidos.

103      Véase el auto recurrido, apartado 70.

104      Véase la sentencia de 14 de diciembre de 2000, Masterfoods y HB (C‑344/98, EU:C:2000:689), apartado 39 y jurisprudencia citada.

105      Véanse las sentencias de 14 de diciembre de 2000, Masterfoods y HB (C‑344/98, EU:C:2000:689), apartado 57, y de 25 de julio de 2018, Georgsmarienhütte y otros (C‑135/16, EU:C:2018:582), apartado 24 y jurisprudencia citada.

106      Véase la sentencia Meta Platforms Ireland Ltd/Data Protection Commission (aprobado) [2024] IEHC 264 de 10 de mayo de 2024, que en su apartado 49 señala que: «el recurso legal de apelación y el procedimiento de control judicial se suspenderán, con carácter general, hasta tanto se resuelva el procedimiento de WhatsApp pendiente ante el TJUE».

107      Véase la sentencia de 25 de julio de 2018, Georgsmarienhütte y otros (C‑135/16, EU:C:2018:582), apartado 25.

108      Auto recurrido, apartado 40.