1

Kantajana oleva WhatsApp Ireland Ltd (jäljempänä WhatsApp) vaatii SEUT 263 artiklaan perustuvalla kanteellaan kumottavaksi 28.7.2021 tehdyn Euroopan tietosuojaneuvoston (jäljempänä EDPB) sitovan päätöksen 1/2021 (jäljempänä riidanalainen päätös), joka liittyy asianomaisten valvontaviranomaisten väliseen kiistaan, joka on syntynyt Data Protection Commission ‑nimisen viranomaisen (luonnollisten henkilöiden henkilötietojen suojaan liittyvistä asioista vastaava Irlannin valvontaviranomainen, jäljempänä Irlannin valvontaviranomainen) WhatsAppia koskevasta päätösehdotuksesta.

2

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) voimaantulon jälkeen Irlannin valvontaviranomainen on saanut sekä viestintäpalvelu WhatsAppin käyttäjiltä että muilta kuin sen käyttäjiltä WhatsAppin suorittamaa henkilötietojen käsittelyä koskevia valituksia. Saksan liittovaltion valvontaviranomainen on lisäksi pyytänyt Irlannin valvontaviranomaiselta valvonta-apua liittyen siihen, onko WhatsApp noudattanut henkilötietojen rekisterinpitäjiä sitovia läpinäkyvyyttä koskevia velvoitteita mahdollisen henkilötietojen jakamisen osalta Facebook-konsernin (jonka nimi muutettiin Metaksi syyskuussa 2021) muiden yksiköiden kanssa.

3

Irlannin valvontaviranomainen käynnisti joulukuussa 2018 viran puolesta yleisen selvityksen koskien sitä, onko WhatsApp noudattanut asetuksen 2016/679 12, 13 ja 14 artiklassa säädettyjä läpinäkyvyys- ja tiedonantovelvoitteita, joita sovelletaan luonnollisiin henkilöihin (ei yrityksiin), sanotun kuitenkaan rajoittamatta toimia, joihin se voi ryhtyä sellaisten yksittäisten valitusten johdosta, joiden kohteena se on. Irlannin valvontaviranomainen toimi tältä osin asetuksen 2016/679 56 artiklan 1 kohdassa tarkoitettuna ”johtavana valvontaviranomaisena”, koska WhatsAppin päätoimipaikka sen viestintätoiminnoista Euroopan alueella vastaavana rekisterinpitäjänä on Irlannissa ja koska mainittu toiminta on luonteeltaan rajat ylittävää.

4

Selvitysvaiheen päätyttyä loppukertomuksen jättämiseen syyskuussa 2019 Irlannin valvontaviranomaisen päätöksentekijä esitti joulukuussa 2020 niiden prosessuaalisten välivaiheiden jälkeen, joiden kuluessa WhatsApp esitti huomautuksensa, kaikille muille asianomaisille valvontaviranomaisille, eli kaikille muille jäsenvaltioiden valvontaviranomaisille, päätösehdotuksen lausuntojen saamiseksi niiltä asetuksen 2016/679 60 artiklan 3 kohdan mukaisesti.

5

Tammikuussa 2021 kahdeksan näistä valvontaviranomaisista, eli Saksan liittovaltion, Baden-Württembergin, Unkarin, Alankomaiden, Puolan, Ranskan, Italian ja Portugalin valvontaviranomainen esittivät vastalauseita mainitun päätösehdotuksen tiettyjen kohtien osalta. Lisäksi eri valvontaviranomaiset esittivät yksittäisiä huomautuksia. Irlannin valvontaviranomainen antoi muille asianomaisille valvontaviranomaisille yhteisen vastauksen ehdottaen kompromissiratkaisuja. Vaikka yksi mainituista viranomaisista peruutti tämän vastauksen johdosta yhden vastalauseistaan, Irlannin valvontaviranomainen totesi, ettei asianomaisten valvontaviranomaisten kesken syntynyt yksimielisyyttä sen tekemistä ehdotuksista, jotka koskivat muita vastalauseiden kohteina olevia seikkoja, ja se päätti hylätä kaikki mainitut vastalauseet ja saattaa asianomaisten valvontaviranomaisten välisen kiistan näiltä osin EDPB:n ratkaistavaksi asetuksen 2016/679 60 artiklan 4 kohdan ja 65 artiklan 1 kohdan a alakohdan mukaisesti.

6

Irlannin valvontaviranomainen vastaanotti toukokuussa 2021 asianomaisten valvontaviranomaisten välisen keskustelun kohteena olevia seikkoja koskevat WhatsAppin kirjalliset huomautukset saatettuaan sen tietoon kaikki keskustelun yhteydessä vaihdetut asiakirjat sekä välitti itse mainitut huomautukset EDPB:lle, jotta tämä perehtyisi niihin osana riidanratkaisumenettelyä, jonka Irlannin valvontaviranomainen saattoi vireille kesäkuussa 2021.

7

EDPB, jonka asetuksen 2016/679 68 artiklan 3 kohdan mukaisesti muodostavat ”yksi valvontaviranomaisen johtaja kustakin jäsenvaltiosta ja Euroopan tietosuojavaltuutettu tai näiden edustajat”, hyväksyi 28.7.2021 riidanalaisen päätöksen kahden kolmasosan enemmistöllä asetuksen 2016/679 65 artiklan 2 kohdan mukaisesti. Riidanalainen päätös on sellainen päätös, joka on osoitettava johtavalle valvontaviranomaiselle sekä kaikille asianomaisille valvontaviranomaisille, joita se sitoo, kuten mainitussa lainkohdassa säädetään, ja se koskee kaikkia seikkoja, joista merkityksellinen ja perusteltu vastalause on esitetty, kuten asetuksen 2016/679 65 artiklan 1 kohdan a alakohdassa säädetään. Tältä osin EDPB tutki riidanalaisessa päätöksessä kunkin asianomaisen valvontaviranomaisen esittämän vastalauseen osalta ensin, oliko vastalause merkityksellinen ja perusteltu. Se otti kantaa vastalauseeseen vain siinä tapauksessa, että mainittuun ensimmäiseen kysymykseen voitiin vastata myöntävästi.

8

Sen jälkeen, kun Irlannin valvontaviranomainen oli vastaanottanut riidanalaisen päätöksen ja saanut WhatsAppilta sen esittämät huomautukset niistä rahamääräisistä seuraamuksista, jotka valvontaviranomainen oli aikonut sille riidanalaisen päätöksen perusteella lopullisesti määrätä, kyseisen viranomaisen päätöksentekijä hyväksyi 20.8.2021 asetuksen 2016/679 65 artiklan 6 kohdan mukaisesti WhatsAppille osoitetun lopullisen päätöksen (jäljempänä lopullinen päätös). Lopullisessa päätöksessä WhatsAppin katsotaan rikkoneen läpinäkyvyyttä koskevaa periaatetta ja velvoitteita, joista säädetään asetuksen 2016/679 5 artiklan 1 kohdan a alakohdassa, 12 artiklan 1 kohdassa, 13 artiklan 1 kohdan c, d, e ja f alakohdassa, 13 artiklan 2 kohdan a, c ja e alakohdassa sekä 14 artiklassa. Sitä vastoin päätöksessä todetaan WhatsAppin noudattaneen velvoitteita, joista säädetään asetuksen 2016/679 13 artiklan 1 kohdan a ja b alakohdassa sekä 13 artiklan 2 kohdan b ja d alakohdassa. Asetuksen 2016/679 58 artiklan 2 kohdan b, d ja i alakohdan nojalla hyväksyttyinä korjaavina toimenpiteinä lopullisessa päätöksessä annetaan WhatsAppille huomautus, määräys toteuttaa tietty määrä päätöksen liitteessä lueteltuja toimenpiteitä, joilla käsittelytoimet on saatettava kolmen kuukauden määräajan kuluessa niiden asetuksen 2016/679 säännösten mukaisiksi, joita on rikottu, sekä neljä yhteensä 225 miljoonan euron suuruista hallinnollista sakkoa, jotka liittyvät asetuksen 2016/679 5 artiklan 1 kohdan a alakohdassa sekä 12, 13 ja 14 artiklassa lueteltuihin rikkomuksiin.

9

Irlannin valvontaviranomaisen päätöksentekijä yksilöi lopullisessa päätöksessä ne kohdat, joiden osalta sitä vaadittiin riidanalaisessa päätöksessä tarkistamaan edellä 4 kohdassa mainitussa päätösehdotuksessa esittämänsä arviointi. Se päätti näiden kohtien osalta toistaa EDPB:n riidanalaisessa päätöksessä esittämät perustelut sellaisinaan tummennettuina kohtina ja esittää niitä koskevat johtopäätöksensä kohta kohdalta yhteenvedonomaisesti. Se täsmensi, ettei se lopullisessa päätöksessä viitannut sellaisiin vastalauseisiin, jotka EDPB oli katsonut merkityksettömiksi tai perusteettomiksi ja joiden oikeellisuutta se ei näin ollen ollut arvioinut, eikä sellaisiin vastalauseisiin, joiden EDPB ei ollut katsonut vaativan muutosta suhteessa päätösehdotuksessa esitettyyn arviointiin, ja ettei se ottanut kantaa mainittuihin vastalauseisiin.

10

Asetuksen 2016/679 65 artiklan 6 kohdan mukaisesti riidanalainen päätös liitettiin Irlannin valvontaviranomaisen lopulliseen päätökseen.

11

Tältä osin vaikuttaa siltä, että EDPB otti riidanalaisessa päätöksessä peräjälkeen kantaa pelkästään seuraaviin seikkoihin, joista sen mukaan oli esitetty merkityksellisiä ja perusteltuja vastalauseita:

12

WhatsApp on samanaikaisesti sekä valittanut lopullisesta päätöksestä irlantilaisessa tuomioistuimessa että vaatinut unionin yleistä tuomioistuinta kumoamaan riidanalaisen päätöksen.

13

Nyt meneillään olevassa oikeudenkäyntimenettelyssä Computer & Communication Industry Association on pyytänyt lupaa esiintyä väliintulijana tukeakseen kantajan vaatimuksia, kun taas Suomen tasavalta, Euroopan komissio ja Euroopan tietosuojavaltuutettu ovat pyytäneet lupaa esiintyä väliintulijoina tukeakseen EDPB:tä. Väliintulojen osalta varsinaiset asianosaiset vaativat, ettei tiettyjä tutkinta-aineiston osia annettaisi tiedoksi tietyille väliintulijoille niiden luottamuksellisuuden vuoksi. Mainituista pyynnöistä ei ole tässä vaiheessa annettu ratkaisua.

14

Vastineen jättämisen jälkeen toteutetussa prosessinjohtotoimessa, jossa varsinaisia asianosaisia kehotettiin ottamaan vastauskirjelmissään kantaa kaikkiin tärkeisiin kysymyksiin, jotka koskevat unionin yleisen tuomioistuimen toimivaltaa ja kanteen tutkittavaksi ottamisen edellytyksiä, mainittiin tässä kohdin riidanalaisen päätöksen luokittelu Euroopan unionin elimen päätökseksi, riidanalaisen päätöksen luokittelu kannekelpoiseksi toimeksi sekä kantajan asiavaltuus ja oikeussuojan tarve.

15

WhatsApp vaatii riidanalaisen päätöksen kumoamista kokonaisuudessaan tai toissijaisesti sen kumoamista merkityksellisiltä osin sekä EDPB:n velvoittamista korvaamaan oikeudenkäyntikulut.

16

EDPB vaatii, että kanne on jätettävä tutkimatta, ja toissijaisesti, että se on hylättävä perusteettomana, sekä edelleen toissijaisesti, että kumoaminen rajataan koskemaan riidanalaista päätöstä sen merkityksellisiltä osin. EDPB vaatii lisäksi kantajan velvoittamista korvaamaan oikeudenkäyntikulut.

17

Unionin yleisen tuomioistuimen työjärjestyksen 129 artiklan mukaan unionin yleinen tuomioistuin voi omasta aloitteestaan esittelevän tuomarin ehdotuksesta ja varsinaisia asianosaisia kuultuaan milloin tahansa ratkaista perustellulla määräyksellä ehdotonta prosessinedellytystä koskevan kysymyksen.

18

Nyt käsiteltävänä olevassa asiassa unionin yleinen tuomioistuin katsoo saaneensa asiakirja-aineiston perusteella riittävät tiedot ja päättää mainitun artiklan nojalla antaa kanteen tutkittavaksi ottamista koskevan ratkaisun aloittamatta pääasian käsittelyä.

19

Unionin yleisen tuomioistuimen toimivallan ja kantajana olevan osapuolen asiavaltuuden tarkistaminen kuuluvat ehdottomiin prosessinedellytyksiin, kuten muidenkin kanteen tutkittavaksi ottamisen edellytyksiin liittyvien seikkojen tarkistaminen, ja käsiteltävänä olevassa asiassa varsinaisia asianosaisia kehotettiin kehittelemään huomautuksiaan tältä osin edellä 14 kohdassa mainitun prosessinjohtotoimen seurauksena sen jälkeen, kun EDPB oli vastineessaan itse vedonnut kanteen tutkimatta jättämiseen.

20

Käsiteltävänä olevassa asiassa on aluksi syytä palauttaa mieleen ne institutionaaliset oikeudelliset puitteet, joihin riidanalainen päätös kuuluu.

21

Asetuksen 2016/679 VI luvun otsikkona on ”Riippumattomat valvontaviranomaiset”. Sen 51 artiklan mukaan kunkin jäsenvaltion ”on varmistettava, että yksi tai useampi riippumaton viranomainen on vastuussa tämän asetuksen soveltamisen valvonnasta”, että jokaisen tällaisen viranomaisen ”on myötävaikutettava tämän asetuksen yhdenmukaiseen soveltamiseen kaikkialla unionissa” ja että tätä varten ”valvontaviranomaisten on tehtävä yhteistyötä keskenään ja komission kanssa VII luvun mukaisesti”.

22

Asetuksen 55 artiklassa säädetään, että jokaisella valvontaviranomaisella on sille asetuksen 2016/679 mukaisesti annettujen tehtävien hoitoa ja valtuuksien käyttöä koskeva toimivalta oman jäsenvaltionsa alueella, ja saman asetuksen 56 artiklassa säädetään, että rekisterinpitäjän tai henkilötietojen käsittelijän päätoimipaikan tai ainoan toimipaikan valvontaviranomaisella on toimivalta toimia johtavana valvontaviranomaisena kyseisen rekisterinpitäjän tai henkilötietojen käsittelijän toteuttaman rajat ylittävän käsittelyn osalta 60 artiklassa säädetyn menettelyn mukaisesti, sanotun kuitenkaan rajoittamatta 55 artiklan soveltamista. Kuten edellä 3 kohdassa todetaan, nyt esillä olevassa asiassa Irlannin valvontaviranomainen toimi johtavana viranomaisena suhteessa WhatsAppiin.

23

Asetuksen 2016/679 58 artiklan 2 kohdassa säädetään, että jokaisella valvontaviranomaisella on korjaavia toimivaltuuksia suhteessa rekisterinpitäjään tai henkilötietojen käsittelijään, ja erityisesti sen b), d) ja i) kohdassa säädetään toimivaltuudesta antaa niille huomautus, jos käsittelytoimet ovat olleet asetuksen 2016/679 säännösten vastaisia, määrätä ne saattamaan käsittelytoimet asetuksen 2016/679 säännösten mukaisiksi, tarvittaessa tietyllä tavalla ja tietyn määräajan kuluessa, ja määrätä niille hallinnollinen sakko.

24

Asetuksen 2016/679 VII luvun, joka seuraa edellä 21–23 kohdassa mainittuja säännöksiä, otsikkona on ”Yhteistyö ja yhdenmukaisuus”.

25

Mainitun luvun ”Yhteistyö”-jaksossa, 60 artiklassa, jonka otsikkona on ”Johtavan valvontaviranomaisen ja muiden osallistuvien valvontaviranomaisten välinen yhteistyö”, säädetään seuraavaa:

”1.   Johtavan valvontaviranomaisen on tehtävä tämän artiklan mukaisesti yhteistyötä muiden osallistuvien valvontaviranomaisten kanssa ja pyrittävä näin konsensukseen. Johtavan valvontaviranomaisen ja osallistuvien valvontaviranomaisten on vaihdettava keskenään kaikki olennaiset tiedot.

– –

3.   Johtavan valvontaviranomaisen on viipymättä ilmoitettava asiaa koskevat olennaiset tiedot muille osallistuville valvontaviranomaisille. Sen on viipymättä myös toimitettava päätösehdotus muille osallistuville valvontaviranomaisille lausuntoa varten ja otettava niiden näkemykset asianmukaisesti huomioon.

4.   Jos yksikin muista asianomaisista valvontaviranomaisista esittää päätösehdotukseen merkityksellisen ja perustellun vastalauseen neljän viikon kuluessa siitä, kun sitä on tämän artiklan 3 kohdan mukaisesti kuultu, johtavan valvontaviranomaisen on, ellei se noudata vastalausetta tai katso, että vastalause ei ole merkityksellinen eikä perusteltu, toimitettava asia 63 artiklassa tarkoitetulle yhdenmukaisuusmekanismille.

5.   Jos johtava valvontaviranomainen aikoo noudattaa esitettyä merkityksellistä ja perusteltua vastalausetta, sen on toimitettava muille osallistuville valvontaviranomaisille tarkistettu päätösehdotus lausuntoa varten. Tähän tarkistettuun päätösehdotukseen sovelletaan 4 kohdassa tarkoitettua menettelyä kahden viikon kuluessa.

6.   Jos yksikään muista osallistuvista viranomaisista ei ole vastustanut johtavan viranomaisen toimittamaa päätösehdotusta 4 ja 5 kohdassa tarkoitetun määräajan kuluessa, johtavan valvontaviranomaisen ja asianomaisten valvontaviranomaisten katsotaan hyväksyneen kyseinen päätösehdotus, joka sitoo niitä.

7.   Johtavan valvontaviranomaisen on hyväksyttävä päätös ja annettava se tiedoksi tilanteen mukaan rekisterinpitäjän tai henkilötietojen käsittelijän päätoimipaikkaan tai ainoaan toimipaikkaan sekä ilmoitettava muille asianomaisille valvontaviranomaisille ja tietosuojaneuvostolle kyseessä olevasta päätöksestä, mukaan lukien yhteenveto tosiseikoista ja perustelut. Valvontaviranomaisen, jolle valitus on tehty, on ilmoitettava päätöksestä valituksen tekijälle.

– –

10.   Sen jälkeen kun johtavan valvontaviranomaisen päätös on annettu tiedoksi – – rekisterinpitäjän tai henkilötietojen käsittelijän on toteutettava tarvittavat toimenpiteet varmistaakseen, että päätöstä noudatetaan sen kaikissa unionin alueella sijaitsevissa toimipaikoissa toteutettavissa käsittelytoimissa. Rekisterinpitäjän tai henkilötietojen käsittelijän on annettava johtavalle valvontaviranomaiselle tiedoksi päätöksen noudattamiseksi toteutetut toimenpiteet, ja johtavan valvontaviranomaisen on ilmoitettava asiasta muille asianomaisille valvontaviranomaisille.”

26

Asetuksen 2016/679 saman VII luvun ”Yhdenmukaisuus”‑jaksossa, 63 artiklassa, jonka otsikkona on ”Yhdenmukaisuusmekanismi”, säädetään seuraavaa:

”Jotta voidaan edistää tämän asetuksen yhdenmukaista soveltamista kaikkialla unionissa, valvontaviranomaisten on tehtävä yhteistyötä toistensa ja tarvittaessa komission kanssa tämän jakson mukaisen yhdenmukaisuusmekanismin puitteissa.”

27

EDPB on myös osallisena mainitussa mekanismissa. EDPB:n asema vahvistetaan asetuksen 2016/679 VII luvun kolmannessa ja viimeisessä jaksossa, jonka otsikkona on ”Euroopan tietosuojaneuvosto”.

28

Tässä jaksossa 68 artiklassa säädetään seuraavaa:

”1.   Perustetaan Euroopan tietosuojaneuvosto, jäljempänä ’tietosuojaneuvosto’, unionin elimeksi, jolla on oikeushenkilöllisyys.

– –

3.   Tietosuojaneuvoston muodostavat yksi valvontaviranomaisen johtaja kustakin jäsenvaltiosta ja Euroopan tietosuojavaltuutettu tai näiden edustajat.

– –”

29

Samassa jaksossa 70 artiklassa, jonka otsikkona on ”Tietosuojaneuvoston tehtävät”, säädetään seuraavaa:

”1.   Tietosuojaneuvosto varmistaa, että tätä asetusta sovelletaan yhdenmukaisesti. Tätä varten tietosuojaneuvosto toteuttaa joko omasta aloitteestaan tai tarvittaessa komission pyynnöstä erityisesti seuraavia tehtäviä:

– –”

30

Samassa 70 artiklassa luetellaan lisäksi yksityiskohtaisesti EDPB:n muut tehtävät, jotka ovat pääasiassa neuvoa-antavia tehtäviä, jotka sen on suoritettava lausuntojen, suuntaviivojen, suositusten ja ”parhaita käytänteitä” koskevien suositusten avulla.

31

Edellä 26 kohdassa mainitussa ”Yhdenmukaisuus”‑jaksossa 64 artiklan, jossa luetellaan tilanteet, joissa EDPB:n on annettava lausunto, jälkeisessä 65 artiklassa, jonka otsikkona on ”Euroopan tietosuojaneuvoston kiistanratkaisumenettely”, säädetään seuraavaa:

”1.   Varmistaakseen, että tätä asetusta sovelletaan yksittäistapauksissa asianmukaisesti ja yhtenäisesti, tietosuojaneuvosto antaa seuraavissa tapauksissa sitovan päätöksen:

– –

2.   Edellä 1 kohdassa tarkoitettu päätös on annettava tietosuojaneuvoston jäsenten kahden kolmasosan enemmistöllä – – Edellä olevan 1 kohdan mukainen päätös on perusteltava ja osoitettava johtavalle valvontaviranomaiselle sekä kaikille asianomaisille valvontaviranomaisille, joita se sitoo.

– –

5.   Tietosuojaneuvoston puheenjohtaja antaa ilman aiheetonta viivytystä 1 kohdassa tarkoitetun päätöksen tiedoksi asianomaisille valvontaviranomaisille. Se ilmoittaa asiasta komissiolle. Päätös julkaistaan viipymättä tietosuojaneuvoston verkkosivustolla valvontaviranomaisen annettua tiedoksi 6 kohdassa tarkoitetun lopullisen päätöksen.

6.   Johtavan valvontaviranomaisen tai tapauksen mukaan sen valvontaviranomaisen, jolle valitus on jätetty, on annettava lopullinen päätöksensä tämän artiklan 1 kohdassa tarkoitetun päätöksen perusteella ilman aiheetonta viivästystä ja viimeistään kuukauden kuluessa siitä, kun tietosuojaneuvosto on antanut päätöksensä tiedoksi. – – Lopullisessa päätöksessä on viitattava tämän artiklan 1 kohdassa tarkoitettuun päätökseen ja ilmoitettava, että tämän artiklan 1 kohdassa tarkoitettu päätös julkaistaan tietosuojaneuvoston verkkosivustolla tämän artiklan 5 kohdan mukaisesti. Lopullinen päätös liitetään tämän artiklan 1 kohdassa tarkoitettuun päätökseen.”

32

Asetuksen 2016/679 VIII luvun, jonka otsikkona on ”Oikeussuojakeinot, vastuu ja seuraamukset”, 78 artiklassa säädetään ”oikeudesta tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan” ja 79 artiklassa ”oikeudesta tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan”. Siihen ei sisälly säännöstä mahdollisista oikeussuojakeinoista edellä mainitun 65 artiklan 1 kohdan nojalla tehtyjä EDPB:n sitovia päätöksiä vastaan. Mainitun 78 artiklan 4 kohdassa säädetään kuitenkin, että ”[j]os kanne on nostettu sellaista valvontaviranomaisen päätöstä vastaan, jota edelsi tietosuojaneuvoston yhdenmukaisuusmekanismin puitteissa antama – – päätös, valvontaviranomaisen on toimitettava kyseinen – – päätös tuomioistuimelle”.

33

Asetuksen 2016/679 perusteluissa johdanto-osan 143 perustelukappaleessa todetaan seuraavaa:

”Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on [SEUT 263 artiklassa] määrätyin edellytyksin oikeus nostaa kumoamiskanne Euroopan unionin tuomioistuimessa tietosuojaneuvoston päätöksiä vastaan. Asianomaisten valvontaviranomaisten, joille kyseiset päätökset on osoitettu ja jotka haluavat riitauttaa ne, on [SEUT 263 artiklan] mukaisesti nostettava kanne kahden kuukauden kuluessa siitä, kun päätökset on annettu niille tiedoksi. Jos tietosuojaneuvoston päätökset koskevat suoraan ja erikseen rekisterinpitäjää, henkilötietojen käsittelijää tai valituksen tekijää, viimeksi mainittu voi nostaa [SEUT 263 artiklan] mukaisesti kumoamiskanteen kyseisiä päätöksiä vastaan kahden kuukauden kuluessa kyseisten päätösten julkaisemisesta tietosuojaneuvoston verkkosivustolla. Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä olisi oltava oikeus tehokkaisiin oikeussuojakeinoihin toimivaltaisessa kansallisessa tuomioistuimessa sellaista valvontaviranomaisen päätöstä vastaan, joka tuottaa kyseistä henkilöä koskevia oikeusvaikutuksia, sanotun kuitenkaan rajoittamatta tätä oikeutta [SEUT 263 artiklan] nojalla. Tällaiset päätökset koskevat etenkin valvontaviranomaisen tutkintavaltuuksien, korjaavien valtuuksien ja hyväksymisvaltuuksien käyttöä tai valitusten käsittelemättä jättämistä tai hylkäämistä. Tämä oikeus tehokkaisiin oikeussuojakeinoihin ei kuitenkaan koske valvontaviranomaisten toimenpiteitä, jotka eivät ole oikeudellisesti sitovia, kuten valvontaviranomaisen antamia lausuntoja tai neuvoja. Kanne valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut, ja se olisi toteutettava kyseisen jäsenvaltion prosessioikeuden mukaisesti. Kyseisten tuomioistuinten olisi käytettävä täyttä oikeudellista toimivaltaa, mukaan lukien toimivalta tarkastella kaikkia tosiseikkoja koskevia ja oikeudellisia kysymyksiä, jotka ovat niiden käsiteltäväksi saatetun asian kannalta merkittäviä.

Jos valvontaviranomainen on hylännyt tai jättänyt käsittelemättä valituksen, valituksen tekijä voi nostaa kanteen kyseisen jäsenvaltion tuomioistuimissa. Tämän asetuksen soveltamiseen liittyvien oikeussuojakeinojen yhteydessä ne kansalliset tuomioistuimet, jotka katsovat, että asiaa koskeva päätös on tarpeen, jotta ne voivat antaa tuomion, voivat pyytää, tai [SEUT 267] määrätyssä tapauksessa niiden on pyydettävä, unionin tuomioistuimelta ennakkoratkaisua unionin oikeuden tulkinnasta, tämä asetus mukaan lukien. Lisäksi, jos tietosuojaneuvoston päätöksen täytäntöön paneva valvontaviranomaisen päätös on riitautettu kansallisessa tuomioistuimessa ja kyseessä on tietosuojaneuvoston päätöksen pätevyys, kyseisellä kansallisella tuomioistuimella ei ole toimivaltaa julistaa tietosuojaneuvoston päätöstä pätemättömäksi, vaan sen on esitettävä pätevyyttä koskeva ennakkoratkaisukysymys unionin tuomioistuimelle [SEUT 267 artiklan], sellaisena kuin se on unionin tuomioistuimen tulkitsemana, mukaisesti aina kun se katsoo, että päätös on pätemätön. Kansallinen tuomioistuin ei kuitenkaan saa esittää tietosuojaneuvoston päätöksen pätevyyttä koskevaa ennakkoratkaisukysymystä sellaisen luonnollisen henkilön tai oikeushenkilön pyynnöstä, jolla oli tilaisuus nostaa kumoamiskanne kyseistä päätöstä vastaan, erityisesti jos päätös koski tätä suoraan ja erikseen, mutta joka ei tehnyt niin [SEUT 263 artiklassa] vahvistetun määräajan kuluessa.”

34

SEUT 263 artiklassa, jonka ensimmäinen, toinen, neljäs ja viides kohta esitetään tämän jälkeen, määrätään seuraavaa:

”Euroopan unionin tuomioistuin tutkii lainsäätämisjärjestyksessä hyväksyttyjen säädösten sekä neuvoston, komission ja Euroopan keskuspankin säädösten laillisuuden, suosituksia ja lausuntoja lukuun ottamatta, samoin kuin Euroopan parlamentin ja Eurooppa-neuvoston sellaisten säädösten laillisuuden, joiden tarkoituksena on tuottaa oikeusvaikutuksia suhteessa kolmansiin osapuoliin. Tuomioistuin valvoo myös unionin elinten ja laitosten sellaisten säädösten laillisuutta, joiden tarkoituksena on tuottaa oikeusvaikutuksia suhteessa kolmansiin osapuoliin.

Tässä tarkoituksessa tuomioistuimella on toimivalta ratkaista jäsenvaltion, Euroopan parlamentin, neuvoston tai komission kanne, jonka perusteena on toimivallan puuttuminen, olennaisen menettelymääräyksen rikkominen, perussopimusten tai sen soveltamista koskevan oikeussäännön rikkominen taikka harkintavallan väärinkäyttö.

– –

Luonnollinen henkilö tai oikeushenkilö voi ensimmäisessä ja toisessa kohdassa määrätyin edellytyksin nostaa kanteen hänelle osoitetusta säädöksestä tai säädöksestä, joka koskee häntä suoraan ja erikseen, sekä sääntelytoimesta, joka koskee häntä suoraan ja joka ei edellytä täytäntöönpanotoimenpiteitä.

Unionin elinten ja laitosten perustamissäädöksissä voidaan säätää erityisistä edellytyksistä ja menettelysäännöistä, jotka koskevat luonnollisen henkilön tai oikeushenkilön kannetta kyseisten elinten tai laitosten sellaisten säädösten johdosta, joiden tarkoituksena on tuottaa näitä henkilöitä koskevia oikeusvaikutuksia.

– –”

35

SEUT 263 artiklan ensimmäisestä kohdasta ilmenee, että unionin tuomioistuimet ovat toimivaltaisia tutkimaan sellaisen unionin elimen säädöksen laillisuuden, jonka tarkoituksena on tuottaa oikeusvaikutuksia suhteessa kolmansiin osapuoliin. Kyseisen artiklan neljännestä kohdasta ilmenee lisäksi, että oikeushenkilö voi nostaa kanteen unionin elimen yksittäistapausta koskevasta toimesta, joka ei ole sille osoitettu, lähtökohtaisesti vain, jos se koskee kyseistä oikeushenkilöä suoraan ja erikseen. Kuten edellä 32 kohdassa todetaan, tältä osin asetuksessa 2016/679 ei ole SEUT 263 artiklan viidennen kohdan määräystä vastaavaa säännöstä, mistä seuraa, että WhatsAppiin on sovellettava mainitun artiklan neljännessä kohdassa säädettyjä edellytyksiä, joiden mukaan WhatsAppin riidanalaista päätöstä vastaan nostama kanne voidaan ottaa tutkittavaksi vain, jos kyseinen päätös koskee sitä suoraan ja erikseen.

36

Ensinnäkin on todettava, että EDPB:n hyväksymä riidanalainen päätös on unionin elimen toimi. Asetuksella 2016/679 säädetty edellä 21–31 kohdassa kuvattu institutionaalinen järjestelmä, eli kansallisten valvontaviranomaisten yksinomainen toimivalta määrätä korjaavia toimenpiteitä rekisterinpitäjälle tai henkilötietojen käsittelijälle, sekä mainittujen viranomaisten väliset, mukaan lukien pääosan kyseisistä viranomaisista kattavan EDPB:n yhteistyö- ja yhdenmukaisuusmekanismit, saattaisi antaa ymmärtää, että viimeksi mainittu on ainoastaan kansallisten viranomaisten välinen koordinoiva instanssi. EDPB perustettiin kuitenkin asetuksen 2016/679 68 artiklan 1 kohdassa tarkoitetuksi unionin elimeksi, jolla on oikeushenkilöllisyys. Se on tässä ominaisuudessaan lisäksi toimivaltainen antamaan asetuksen 2016/679 64 ja 65 artiklan nojalla lausuntoja sekä hyväksymään kansallisten valvontaviranomaisten välisten kiistojen ratkaisussa riidanalaisen päätöksen kaltaisia asianomaisia valvontaviranomaisia sitovia päätöksiä, jotka ovat siten unionin toimielimen toimia.

37

Seuraavaksi on todettava, että riidanalaisen päätöksen tarkoituksena on tuottaa oikeusvaikutuksia suhteessa kolmansiin osapuoliin, koska se on asetuksen 2016/679 65 artiklan nojalla hyväksytty asianomaisia valvontaviranomaisia ”sitova päätös”.

38

Sellaisessa tapauksessa, jossa kantajana oleva taho ei ole yksi SEUT 263 artiklan toisessa kohdassa nimenomaisesti mainituista niin sanotuista ”etuoikeutetuista” kantajista, vakiintuneessa oikeuskäytännössä on kuitenkin katsottu, että toimia tai päätöksiä, jotka voivat olla kumoamiskanteen kohteena, voivat olla sellaiset toimenpiteet, joilla on sitovia oikeusvaikutuksia, jotka voivat vaikuttaa kantajan etuihin muuttaen tämän oikeusasemaa selvästi (tuomio 11.11.1981, IBM v. komissio, 60/81, EU:C:1981:264, 9 kohta; ks. myös tuomio 18.11.2010, NDSHT v. komissio, C‑322/09 P, EU:C:2010:701, 45 kohta oikeuskäytäntöviittauksineen).

39

Unionin tuomioistuin on myös katsonut, että silloin kun kanteen kohteena olevaa toimea ei ole osoitettu mainitunlaiselle kantajalle, ehto jonka mukaan toimella on muutettava kantajan oikeudellista asemaa selvästi, on päällekkäinen SEUT 263 artiklan neljännessä kohdassa asetettujen ehtojen kanssa, eli –kun riidanalainen toimi ei ole sellainen sääntelytoimi, joka ei edellytä täytäntöönpanotoimenpiteitä– ehdon, jonka mukaan toimen täytyy koskea kantajaa suoraan ja erikseen (ks. vastaavasti tuomio 13.10.2011, Deutsche Post ja Saksa v. komissio, C‑463/10 P ja C‑475/10 P, EU:C:2011:656, 38 kohta).

40

Nyt esillä olevassa asiassa voidaan heti alkuun todeta ottaen huomioon riidanalaisen toimen luonne yksittäistapausta koskevana toimena, että riidanalainen päätös koskee WhatsAppia erikseen, koska siihen sisältyy tiettyjä kohtia Irlannin valvontaviranomaisen lopullisesta päätösehdotuksesta, joka koskee nimenomaan WhatsAppia. Toisin kuin EDPB vastauskirjelmässään esittää, riidanalaisessa päätöksessä ei rajoituta toteamaan asetuksen 2016/679 periaatteita tai tulkitsemaan sen tiettyjä säännöksiä, jotka saattaisivat koskea mitä hyvänsä rekisterinpitäjää. Kuten edellä 11 kohdassa todetaan, EDPB ottaa riidanalaisessa päätöksessä kantaa siihen, onko WhatsApp noudattanut tiettyjä asetuksesta 2016/679 johtuvia velvoitteitaan, luokittelee henkilötiedoiksi sellaiset tiedot, jotka ovat peräisin ”Lossy Hashing Procedure” ‑nimisestä menettelystä, joka on ainoastaan WhatsAppin suorittamaa tietojenkäsittelyä, sekä lausuu tietyistä WhatsAppille määrättävistä korjaavista toimenpiteistä, erityisesti tietyistä hallinnollisten sakkojen määräämiseen liittyvistä seikoista. Riidanalainen päätös koskee näin ollen nimenomaan WhatsAppia, vaikka siihen sisältyykin, kuten yksittäistapauksia koskeviin toimiin hyvin usein, lausunto tai huomautus yleisluonteisista periaatteista ja tulkinnoista.

41

Seuraavaksi on tarkasteltava sitä, onko riidanalaisella päätöksellä oikeusvaikutuksia, jotka muuttavat selvästi WhatsAppin oikeudellista asemaa, ja koskeeko se WhatsAppia SEUT 263 artiklan neljännessä kohdassa tarkoitetulla tavalla suoraan.

42

Tältä kannalta katsottuna on huomattava, kuten EDPB tässä kohdin oikeutetusti korostaa, ettei riidanalainen päätös itsessään muuta WhatsAppin oikeudellista asemaa. Toisin kuin Irlannin valvontaviranomaisen lopullinen päätös, riidanalainen päätös ei ole sellainen päätös, johon voitaisiin suoraan vedota WhatsAppia vastaan, vaan se on WhatsAppin osalta valmisteleva toimi tai sellaisen menettelyn kuluessa toteutettu toimi, joka on edellä 23–26 kohdassa sekä 31 kohdassa mainittujen asetuksen 2016/679 58 artiklan 2 kohdan sekä 60, 63 ja 65 artiklan säännösten mukaisesti saatettava päätökseen nimenomaan sellaisella kansallisen valvontaviranomaisen lopullisella päätöksellä, joka on osoitettu mainitulle yritykselle (ks. vastaavasti ja analogisesti tuomio 24.6.1986, AKZO Chemie ja AKZO Chemie UK v. komissio, 53/85, EU:C:1986:256, 19 kohta).

43

Tältä osin oikeuskäytännössä on useaan otteeseen katsottu, että silloin kun kyse on toimista tai päätöksistä, jotka tehdään monivaiheisessa menettelyssä, eivät sellaiset menettelyn kuluessa toteutetut toimenpiteet, joilla valmistellaan lopullista päätöstä, lähtökohtaisesti ole kannekelpoisia toimia (ks. vastaavasti tuomio 11.11.1981, IBM v. komissio, 60/81, EU:C:1981:264, 10 kohta ja tuomio 26.1.2010, Internationaler Hilfsfonds v. komissio, C‑362/08 P, EU:C:2010:40, 52 kohta oikeuskäytäntöviittauksineen).

44

Poikkeukset edellä 43 kohdassa mainittuun periaatteeseen koskevat tapauksia, joissa menettelyn kuluessa toteutetulla toimenpiteellä on itsenäisiä oikeusvaikutuksia, joita kohtaan ei voida turvata riittävää oikeussuojaa kanteella, joka voidaan nostaa menettelyn päätteeksi tehtävää lopullista päätöstä vastaan (ks. vastaavasti tuomio 11.11.1981, IBM v. komissio, 60/81, EU:C:1981:264, 11 ja 12 kohta ja tuomio 13.10.2011, Deutsche Post ja Saksa v. komissio, C‑463/10 P ja C‑475/10 P, EU:C:2011:656, 53 ja 54 kohta). Tällaisia poikkeuksia on yksilöity esimerkiksi yrityksiin sovellettavien kilpailusääntöjen noudattamista koskevan valvontamenettelyn yhteydessä (ks. vastaavasti tuomio 24.6.1986, AKZO Chemie ja AKZO Chemie UK v. komissio, 53/85, EU:C:1986:256, 20 kohta), valtiontukiin sovellettavien sääntöjen noudattamista koskevan valvontamenettelyn yhteydessä (ks. vastaavasti tuomio 9.10.2001, Italia v. komissio, C‑400/99, EU:C:2001:528, 55–63 kohta) sekä koskien kurinpitomenettelyn kohteena olevan virkamiehen virantoimituksesta pidättämistä koskevaa lopullista päätöstä edeltävää liitännäistoimenpidettä tai turvaamistoimea (ks. vastaavasti tuomio 5.5.1966, Gutmann v. komissio, 18/65 ja 35/65, EU:C:1966:24, s. 168).

45

Nyt esillä olevassa asiassa tehokas oikeussuoja riidanalaista päätöstä vastaan on sitä vastoin turvattu kansallisessa tuomioistuimessa käytettävissä olevalla muutoksenhakukeinolla, johon WhatsAppin on mahdollista turvautua Irlannin valvontaviranomaisen lopullista päätöstä vastaan ja joka mahdollistaa riidanalaisen päätöksen pätevyyden arvioinnin. Asetuksen 2016/679 78 artiklan 1 kohdassa säädetyn mukaisesti jokaiselle henkilölle jokaisessa jäsenvaltiossa on turvattava oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, minkä nojalla WhatsApp on riitauttanut Irlannin kansallisessa tuomioistuimessa Irlannin valvontaviranomaisen tekemän lopullisen päätöksen ja voi tämän kanteen yhteydessä vedota niiden riidanalaisessa päätöksessä tehtyjen sitovien arvioiden lainvastaisuuteen, jotka on esitetty uudelleen kyseisessä lopullisessa päätöksessä. Tässä kohdin on syytä huomauttaa, että SEUT 267 artiklassa mahdollistetaan se, että kansallisessa tuomioistuimessa voidaan vedota unionin toimielinten, elinten ja laitosten tekemien toimien pätemättömyyteen, koska siinä säädetään, että jos kansallinen tuomioistuin katsoo, että kysymys on ratkaistava, jotta se voi antaa päätöksen, se voi tai sillä on velvollisuus esittää Euroopan unionin tuomioistuimelle pätevyyden arviointia koskeva ennakkoratkaisukysymys. Jos unionin tuomioistuin ennakkoratkaisumenettelyn päätteeksi katsoo, että tällainen jäsenvaltion viranomaisen päätöstä edeltävä valmisteleva toimi on pätemätön, kansallisen tuomioistuimen on tehtävä tämän perusteella päätelmänsä mainitun asianomaiselle vastaisen päätöksen lainmukaisuuden osalta (ks. vastaavasti tuomio 30.10.1975, Rey Soda ym., 23/75, EU:C:1975:142, 51 kohta ja tuomio 20.3.2018, Šroubárna Ždánice v. neuvosto, T‑442/16, ei julkaistu, EU:T:2018:159, 34 kohta).

46

Riidanalaisella päätöksellä ei myöskään ole WhatsAppiin nähden mitään sellaista itsenäistä oikeusvaikutusta, jota Irlannin valvontaviranomaisen lopullisella päätöksellä ei olisi: kaikki riidanalaisessa päätöksessä tehdyt arvioinnit esitetään uudelleen lopullisessa päätöksessä, eikä ensin mainitulla ole mitään viimeksi mainitun päätöksen sisältöön nähden itsenäistä oikeusvaikutusta, toisin kuin tapauksissa, jotka johtivat edellä 44 kohdassa mainittuun 5.5.1966 annettuun tuomioon Gutmann v. komissio (18/65 ja 35/65, EU:C:1966:24); 24.6.1986 annettuun tuomioon AKZO Chemie ja AKZO Chemie UK v. komissio (53/85, EU:C:1986:256) ja 9.10.2001 annettuun tuomioon Italia v. komissio (C‑400/99, EU:C:2001:528).

47

Tässä kohdin on todettava, että vaikka edellä 43 ja 44 kohdassa mainitut periaatteet on yksilöity sellaisten menettelyjen yhteydessä, joissa toimivalta lopullisen päätöksen tekemiseen on unionin toimielimillä tai unionin muilla yksiköillä, ei ole mitään perustetta sille, että asia olisi toisin nyt esillä olevan kaltaisessa tilanteessa, jossa unionin yksittäisten sääntöjen soveltamista koskeva valvontavalta on unionin lainsäädännössä myönnetty erityisille kansallisille viranomaisille monivaiheisten menettelyjen yhteyteen ja jossa kyse on unionin elimen toimenpiteestä, joka on toteutettu mainitunlaisen menettelyn kuluessa, joka saatetaan päätökseen kansallisen viranomaisen päätöksellä.

48

WhatsApp väittää tosin, että riidanalainen päätös muodostuu EDPB:n lopullisesta kannasta, jota Irlannin valvontaviranomaisen oli lopullisessa päätöksessä noudatettava. Tämä väite voidaan ymmärtää siten, että riidanalainen päätös olisi näin ollen väistämättä kannekelpoinen toimi ja eroaisi sellaisista menettelyn kuluessa toteutetuista toimenpiteistä, joissa esitetään ainoastaan väliaikainen kanta ja jotka olisivat ainoita toimia, joita vastaan ei voi nostaa kannetta.

49

Kuten edellä 38 kohdassa on todettu: jotta toimeen voi hakea muutosta muukin kantaja kuin SEUT 263 artiklan toisessa kohdassa mainitut niin sanotut etuoikeutetut kantajat, mainitulla toimella on kuitenkin nimenomaisesti muutettava kantajan oikeusasemaa selvästi. Se, että menettelyn kuluessa toteutetulla toimella todetaan viranomaisen lopullinen kanta, joka on esitettävä uudelleen lopullisessa päätöksessä, jolla kyseinen menettely saatetaan päätökseen, kuten nyt esillä olevassa asiassa, koska riidanalaiseen päätökseen sisältyy lopullinen arvio lopullisen päätöksen tietyistä seikoista, ei kuitenkaan välttämättä merkitse sitä, että kyseisellä menettelyn kuluessa toteutetulla toimella sellaisenaan muutettaisiin kantajan oikeusasemaa selvästi, kuten nyt esillä olevassa asiassa edellä 42–47 kohdassa osoitetaan. Sikäli kuin mainittu edellytys on päällekkäinen SEUT 263 neljännessä kohdassa asetettujen edellytysten, eli sen kanssa, että mainitun toimen täytyy koskea kantajaa suoraan, kuten edellä 39 kohdassa on todettu, nyt esillä olevassa asiassa voidaan varmistaa, että näin on, selvittämällä koskeeko riidanalainen päätös WhatsAppia suoraan.

50

Kuten EDPB oikeutetusti väittää, riidanalainen päätös ei kuitenkaan koske WhatsAppia suoraan.

51

Vakiintuneesta oikeuskäytännöstä ilmenee, että jotta toimi koskisi suoraan sellaista kantajaa, jolle toimea ei ole osoitettu, edellytetään ensinnäkin, että sillä on välittömiä oikeusvaikutuksia kyseisen kantajan oikeusasemaan, ja toiseksi, ettei se jätä niille, joiden tehtävänä on sen täytäntöönpano, ollenkaan harkintavaltaa, koska täytäntöönpano on luonteeltaan automaattista ja perustuu yksinomaan unionin lainsäädäntöön eikä muita välittäviä sääntöjä sovelleta (tuomio 13.5.1971, International Fruit Company ym. v. komissio, 41/70–44/70, EU:C:1971:53, 23–28 kohta; tuomio 5.5.1998, Dreyfus v. komissio, C‑386/96 P, EU:C:1998:193, 43 kohta ja tuomio 17.9.2009, komissio v. Koninklijke FrieslandCampina, C‑519/07 P, EU:C:2009:556, 48 kohta).

52

Kuten edellä 42 kohdassa on jo todettu, riidanalainen päätös ei ensin mainitun edellytyksen osalta ole sillä tavoin WhatsAppille vastainen, että sille johtuisi siitä velvoitteita jo ennen menettelyn myöhempiä vaiheita tai että muille yksityisille tahoille mahdollisesti johtuisi siitä oikeuksia. Se eroaa näin ollen esimerkiksi toimista, jotka johtivat 23.4.1986 annettuun tuomioon Les Verts v. parlamentti (294/83, EU:C:1986:166) ja joista todettiin kyseisen tuomion 31 kohdassa, että jotta voidaan päätellä, että kanteen kohteena olevat toimet koskevat kantajana olevaa yhdistystä suoraan, on todettava, että ”ne muodostavat yksinään tyhjentävän sääntelyn, jonka soveltamiseksi ei ole annettava mitään muita säännöksiä”. Nyt esillä olevassa tapauksessa riidanalainen päätös ei ole asetuksen 2016/679 58, 60 ja 65 artiklassa säädetyn täydellisen menettelyn viimeinen vaihe.

53

Toisen edellytyksen osalta, joka liittyy kyseisen toimen täytäntöönpanosta vastaavan viranomaisen harkintavaltaan, on todettava, että vaikka riidanalainen päätös sitoi Irlannin valvontaviranomaista niiden asioiden osalta, joita se koski, siinä jätettiin sille harkintavaltaa lopullisen päätöksen sisällön suhteen.

54

Kuten edellä 11 kohdassa esitetyn riidanalaisen päätöksen, jossa annetaan ohjeita asianomaisille valvontaviranomaisille, sisällön vertailusta edellä 8 kohdassa esitetyn WhatsAppille osoitetun lopullisen päätöksen sisältöön ilmenee, riidanalainen päätös muodostaa osan lopullisen päätöksen sisällöstä.

55

Näille kahdelle päätökselle on näin ollen yhteistä se, että niissä todetaan WhatsAppin rikkoneen asetuksen 2016/679 5 artiklan 1 kohdan a alakohdassa säädettyä läpinäkyvyysperiaatetta sekä 13 artiklan 1 kohdan d alakohdassa ja 13 artiklan 2 kohdan e alakohdassa säädettyjä velvoitteita ja että niissä luokitellaan henkilötiedoiksi sellainen materiaali, joka on peräisin ”Lossy Hashing Procedure” ‑nimisestä menettelystä, jota sovelletaan sellaisia henkilöitä koskeviin tietoihin, jotka eivät käytä WhatsAppia mutta ovat WhatsAppin käyttäjien päätteillä olevissa osoitekirjoissa ”yhteystietoina”, ja että niissä todetaan WhatsAppin rikkoneen tämän luokittelun johdosta asetuksen 2016/679 14 artiklassa säädettyjä velvoitteita ja että niissä asetetaan WhatsAppille kolmen kuukauden määräaika sen käsittelytoimien saattamiseksi asetuksessa 2016/679 säädettyjen vaatimusten mukaisiksi ja että niissä mainitaan tietyt korjaaviin toimenpiteisiin liittyvät seikat, jotka liittyvät muiden kuin WhatsAppin käyttäjien henkilötietoihin sekä velvollisuuteen toimittaa WhatsAppin käyttäjille asetuksen 2016/679 13 artiklan 2 kohdan e alakohdassa mainitut tiedot, sekä WhatsAppille määrättyjen hallinnollisten sakkojen määrää koskevien kriteerien tulkinta ja kyseisten sakkojen määrän korottaminen suhteessa Irlannin valvontaviranomaisen päätösehdotuksessa kaavailtuun 30–50 miljoonan euron kokonaistasoon.

56

Seuraavien seikkojen osalta lopullinen päätös seuraa sitä vastoin Irlannin valvontaviranomaisen arvioinnista ilman, että EDPB olisi esittänyt riidanalaisessa päätöksessä kantaansa tältä osin: sen toteaminen, että WhatsApp on rikkonut asetuksen 2016/679 12 artiklan 1 kohdassa, 13 artiklan 1 kohdan c, e ja f alakohdassa sekä 13 artiklan 2 kohdan a ja c alakohdassa asetettuja velvoitteita; sen toteaminen, että WhatsApp on noudattanut asetuksen 2016/679 13 artiklan 1 kohdan a ja b alakohdassa sekä 13 artiklan 2 kohdan b ja d alakohdassa asetettuja velvoitteita; se missä ominaisuudessa WhatsApp käsittelee muiden kuin viestintäpalvelunsa käyttäjien henkilötietoja; WhatsAppille määrättyjen korjaavien toimenpiteiden, eli niiden toimenpiteiden pääasiallinen sisältö, joilla pyritään varmistamaan asetuksen 2016/679 12 artiklan 1 kohdassa, 13 artiklan 1 kohdan c, d, e ja f alakohdassa sekä 13 artiklan 2 kohdan a ja c alakohdassa säädettyjen velvoitteiden noudattaminen; se, että WhatsAppille määrättyjen hallinnollisten sakkojen konkreettiseksi määräksi vahvistettiin yhteensä 225 miljoonaa euroa.

57

Erityisesti on syytä huomata, että Irlannin valvontaviranomainen käytti harkintavaltaansa päätelmien tekemiseen niistä ohjeista, jotka riidanalaisessa päätöksessä annettiin koskien ”Lossy Hashing Procedure” ‑nimisestä menettelystä peräisin olevien tietojen luokittelua henkilötiedoiksi sekä hallinnollisia sakkoja.

58

Ensimmäisen kohdan osalta, eli muiden kuin WhatsAppin käyttäjien henkilötietojen käsittelystä ja erityisesti ”Lossy Hashing Procedure” ‑menettelystä peräisin olevien tietojen käsittelystä on todettava, kuten lopullisen päätöksen 111 kohdasta ilmenee, että tarkastelun seuraavan vaiheen, jonka tarkoituksena oli ratkaista, oliko WhatsApp rikkonut asetuksen 2016/679 14 artiklassa säädettyjä velvoitteita suhteessa mainittuihin henkilöihin, päämääränä oli selvittää, toimiko WhatsApp kyseisiä henkilötietoja käsitellessään rekisterinpitäjänä vai ainoastaan henkilötietojen käsittelijänä viestintäpalvelunsa sellaisen käyttäjän lukuun, joka oli aktivoinut ”Yhteystiedot”‑toiminnon. Tarkastelun tämä vaihe, jossa hyväksyttiin ensimmäinen oletus, seuraa kuitenkin Irlannin valvontaviranomaisen arvioinnista ilman, että EDPB olisi riidanalaisessa päätöksessä ottanut asiaan kantaa tältä osin.

59

Hallinnollisten sakkojen vahvistamisen osalta on todettava, että vaikka riidanalaiseen päätökseen sisältyy ohjeet asetuksen 2016/679 perusteella määrättävien hallinnollisten sakkojen määrää koskevien kriteerien tulkinnasta ja WhatsAppille nyt esillä olevassa asiassa määrättävien sakkojen kokonaismäärän korottamisesta suhteessa Irlannin valvontaviranomaisen päätösehdotuksessa kaavailtuun, Irlannin valvontaviranomaisella säilyi harkintavalta WhatsAppille määrättävien sakkojen konkreettisen määrän vahvistamisen osalta. Kuten edellä 8 kohdassa on todettu, Irlannin valvontaviranomainen pyysi lisäksi ennen lopullisen päätöksen tekemistä WhatsAppia esittämään huomautuksensa koskien uusia hallinnollisia sakkoja, joiden määräämistä WhatsAppille se harkitsi, mikä on sopusoinnussa sen kanssa, että mainitulla viranomaisella oli tältä osin harkintavaltaa. Tässä tapauksessa voidaan todeta, että lopullisessa päätöksessä vahvistettu Irlannin valvontaviranomaisen kaavailemien uusien sakkojen määrä oli asteikon alarajalla.

60

Lopullinen päätös muodostaa kuitenkin kokonaisuuden, josta ei voida erottaa riidanalaisessa päätöksessä annettuja ohjeita vastaavia osia lopulliseksi ”alapäätökseksi”, jonka osalta valvontaviranomaisella ei olisi ollut lainkaan harkintavaltaa. Irlannin valvontaviranomaisen tekemä selvitys ja lopullinen päätös koskivat sitä, onko WhatsApp noudattanut asetuksessa 2016/679 säädettyä läpinäkyvyysperiaatetta ja kaikkia siihen liittyviä konkreettisia velvoitteita. Lopullisessa päätöksessä tarkasteltiin näin ollen WhatsAppin yleistä käytäntöä näiltä osin ja samaa kohtaa kyseisestä käytännöstä arvioitiin suhteessa lukuisiin asiaa koskeviin asetuksen 2016/679 säännöksiin, kuten 5 artiklan 1 kohdan a alakohtaan, 12 artiklan 1 kohtaan ja useisiin 13 artiklan säännöksiin, kun taas riidanalaisessa päätöksessä tarkastelu keskittyi ainoastaan joihinkin näistä säännöksistä. Tiettyjen yksittäisten kohtien erottaminen lopullisessa päätöksessä tehdystä kokonaisanalyysistä ei olisi lainkaan mielekästä, kun WhatsAppia vastaan Irlannin valvontaviranomaisen aloitteesta ja vastuulla johtavana valvontaviranomaisena aloitetussa menettelyssä keskityttiin arvioimaan yleisesti, noudattiko WhatsApp läpinäkyvyysperiaatetta. Erityisesti rahamääräisten seuraamusten määrittämisen osalta Irlannin valvontaviranomainen vahvisti kunkin neljän hallinnollisen sakon rahamäärän kaikki todetut laiminlyönnit, eli asetuksen 2016/679 5 artiklan 1 kohdan a alakohdan sekä 12, 13 ja 14 artiklan rikkomisen huomioon ottaen.

61

Näin ollen kumpikaan edellä 51 kohdassa mainituista kahdesta edellytyksestä, joiden täyttyessä voitaisiin katsoa, että riidanalainen päätös koskee WhatsAppia suoraan, ei täyty.

62

Edellä esitetystä seuraa, että WhatsAppin kanne on jätettävä tutkimatta.

63

Mainitun analyysin tulos on sopusoinnussa sen kanssa, mitä on voitu katsoa muissa menettelyissä, joissa yrityksiä koskeva unionin sitova toimi on osoitettu jäsenvaltiolle.

64

Valtiontukien valvonnan alalla on näin ollen katsottu, että kun komissio hyväksyy päätöksen, jolla jo myönnetty tuki todetaan lainvastaiseksi ja sisämarkkinoiden kanssa yhteensopimattomaksi, ja määrää sen myöntäneen jäsenvaltion perimään maksetut tuet takaisin, mainittu päätös koskee maksettujen tukien edunsaajia suoraan ja erikseen (ks. vastaavasti tuomio 19.10.2000, Italia ja Sardegna Lines v. komissio, C‑15/98 ja C‑105/99, EU:C:2000:570, 33–36 kohta). Tässä kohdin on todettu, että edunsaajat ovat tällaisen päätöksen tekoajankohdasta lähtien alttiina sille riskille, että niiden saamat edut peritään takaisin, ja tämä vaikuttaa näin niiden oikeudelliseen asemaan (tuomio 9.6.2011, Comitato Venezia vuole vivere ym. v. komissio, C‑71/09 P, C‑73/09 P ja C‑76/09 P, EU:C:2011:368, 56 kohta). Tämä on selitettävissä, koska valvontamenettely on tässä vaiheessa saatettu päätökseen eikä mitään aineellisoikeudellista lisäarviointia enää tehdä, koska takaisinperittävät rahamäärät määräytyvät automaattisesti komission päätöksen ja asianomaisille yrityksille aiemmin myönnettyjen tukien perusteella, koska jäsenvaltion on itse aloitettava mainittujen tukien takaisinperintä ja saatettava se päätökseen paitsi erittäin poikkeuksellisissa olosuhteissa (ks. vastaavasti tuomio 7.6.1988, komissio v. Kreikka, 63/87, EU:C:1988:285; tuomio 20.9.1990, komissio v. Saksa, C‑5/89, EU:C:1990:320, 15 ja 16 kohta ja tuomio 20.3.1997, Alcan Deutschland, C‑24/95, EU:C:1997:163) ja koska kolmannet osapuolet voivat ryhtyä toimiin komission päätöksen pohjalta asianomaisessa hallinnollisessa toimielimessä tai kansallisessa tuomioistuimessa kyseisten tukien palauttamiseksi ilman, että heillä itsellään on todistustaakkaa siitä, että ne on myönnetty lainvastaisesti (ks. analogisesti tuomio 12.2.2008, CELF ja ministre de la Culture et de la Communication, C‑199/06, EU:C:2008:79, 23 ja 39–41 kohta). Nyt esillä olevassa asiassa riidanalaista päätöstä ei tehty vastaavassa vaiheessa, koska valvontamenettely ei päättynyt sen hyväksymiseen ja koska johtavan valvontaviranomaisen oli vielä vahvistettava tai esitettävä lisäarvioita siitä, oliko WhatsApp noudattanut asetuksen 2016/679 säännöksiä, sekä sen saamasta rangaistuksesta ja koska riidanalaisella päätöksellä ei sellaisenaan ollut sitovaa oikeusvaikutusta velvoitteiden asettamiseksi WhatsAppille.

65

Oikeuskäytännössä on myös katsottu, että jäsenvaltiolle osoitettu komission päätös, jossa jäsenvaltiolle todetaan, että yritykselle jo myönnettyä EU-rahoitusta vähennettiin, koska tietyt kyseisen yrityksen esittämät kulut eivät olleet kelvollisia tähän rahoitukseen, koski yritystä suoraan ja erikseen, koska kyseisellä päätöksellä evättiin osa sille alun perin myönnetystä taloudellisesta avusta, ilman että jäsenvaltiolla oli tältä osin harkintavaltaa (tuomio 4.6.1992, Infortec v. komissio, C‑157/90, EU:C:1992:243, 17 kohta). Toisin kuin komission päätös, jonka perusteella mainittuun arviointiin päädyttiin, nyt esillä olevassa asiassa riidanalainen päätös ei kuitenkaan ole, kuten edellä 52 kohdassa on todettu, täydellisen menettelyn viimeinen vaihe, ja kuten edellä 56 ja 57 kohdassa on todettu, siinä on jätetty harkintavaltaa Irlannin valvontaviranomaiselle.

66

Yleisemmin katsottuna WhatsAppin riidanalaista päätöstä vastaan nostaman kanteen tutkimatta jättäminen unionin yleisessä tuomioistuimessa on johdonmukainen seuraus EU-sopimuksella ja EUT-sopimuksella vahvistetusta oikeussuojakeinojen järjestelmästä.

67

Kuten EU-sopimuksen 2 artiklassa todetaan, unioni perustuu nimenomaan oikeusvaltioperiaatteen kunnioittamiseen. EU-sopimuksen 6 artiklan 1 kohdassa määrätään, että unioni tunnustaa oikeudet, vapaudet ja periaatteet, jotka esitetään Euroopan unionin perusoikeuskirjassa, jonka 47 artiklassa turvataan oikeus tehokkaisiin oikeussuojakeinoihin ja puolueettomaan tuomioistuimeen. EU-sopimuksen 19 artiklassa täsmennetään, että Euroopan unionin tuomioistuin huolehtii siitä, että perussopimusten tulkinnassa ja soveltamisessa noudatetaan lakia ja että se tekee perussopimusten määräysten mukaisesti ratkaisun jäsenvaltion, toimielimen taikka luonnollisen henkilön tai oikeushenkilön nostamien kanteiden johdosta, antaa kansallisten tuomioistuinten pyynnöstä ennakkoratkaisun unionin oikeuden tulkinnasta tai toimielinten antamien säädösten pätevyydestä sekä tekee ratkaisun perussopimuksissa määrätyissä muissa tapauksissa. Samassa artiklassa määrätään, että jäsenvaltiot säätävät tarvittavista muutoksenhakukeinoista tehokkaan oikeussuojan takaamiseksi unionin oikeuteen kuuluvilla aloilla.

68

Tarkemmin sanoen EUT-sopimuksella, erityisesti sen 263 artiklalla, joka koskee suoria kanteita Euroopan unionin tuomioistuimessa, sekä sen 267 artiklalla, joka liittyy tilanteisiin, joissa unionin tuomioistuimella on toimivalta antaa ennakkoratkaisu unionin toimielinten, elinten tai laitosten säädösten pätevyydestä ja tulkinnasta, on luotu täysin kattava oikeussuojakeinojen järjestelmä, jonka tarkoituksena on turvata unionin säädösten laillisuusvalvonta (ks. vastaavasti tuomio 25.7.2002, Unión de Pequeños Agricultores v. neuvosto, C‑50/00 P, EU:C:2002:462, 40 kohta). Tähän järjestelmään kuuluvat sekä Euroopan unionin tuomioistuin, johon kuuluu osana unionin yleinen tuomioistuin, että kansalliset tuomioistuimet. Tässä järjestelmässä henkilöt, jotka eivät SEUT 263 artiklassa mainittujen tutkittavaksi ottamisen edellytysten vuoksi voi suoraan riitauttaa unionin toimia Euroopan unionin tuomioistuimessa, voivat esittämällä lainvastaisuusväitteen vedota tällaisten toimien pätemättömyyteen kansallisissa tuomioistuimissa nostamalla niissä kanteen mainittujen toimien kansallisia soveltamistoimia vastaan. Tässä tilanteessa kansallisen tuomioistuimen tehtävänä on, jos se katsoo, että kysymys on ratkaistava, jotta se voi antaa päätöksen, ja epäilee mainitun toimen pätevyyttä, esittää Euroopan unionin tuomioistuimelle ennakkoratkaisukysymys (ks. edelleen vastaavasti ja analogisesti, tuomio 25.7.2002, Unión de Pequeños Agricultores v. neuvosto, C‑50/00 P, EU:C:2002:462, 40 kohta).

69

Tämän järjestelmän logiikka, joka selittää SEUT 263 artiklassa esitettyjen suorien kanteiden tutkittavaksi ottamisen edellytysten tulkinnan, joka on palautettu mieliin edellä 35–62 kohdassa esitetyssä erittelyssä, perustuu siihen, että Euroopan unionin tuomioistuimessa nostettava kanne ja kansallisessa tuomioistuimessa nostettava kanne täydentävät toisiaan tehokkaalla tavalla ja etteivät unionin tuomioistuin ja kansallinen tuomioistuin joudu ratkaisemaan samanaikaisesti rinnakkaisissa menettelyissä saman unionin toimen pätevyyttä suoraan eivätkä ennakkoratkaisumenettelyn johdosta silloin, kun kansallinen tuomioistuin epäilee kyseisen toimen pätevyyttä. Tämä logiikka on oikeuttanut päätöksen, jonka mukaan kantaja, joka olisi epäilyksettä voinut riitauttaa unionin päätöksen suoraan Euroopan unionin tuomioistuimessa, ei voi enää myöhemmin riitauttaa mainitun päätöksen pätevyyttä myöhemmässä oikeudenkäynnissä kansallisessa tuomioistuimessa (ks. vastaavasti tuomio 9.3.1994, TWD Textilwerke Deggendorf, C‑188/92, EU:C:1994:90, 17 kohta; ks. vastaavasti myös tuomio 9.6.2011, Comitato Venezia vuole vivere ym. v. komissio, C‑71/09 P, C‑73/09 P ja C‑76/09 P, EU:C:2011:368, 58 kohta oikeuskäytäntöviittauksineen). Sitä vastoin oikeuskäytännössä on vakiintuneesti katsottu, että unionin toimiin, jotka eivät itsessään voi olla kumoamiskanteen kohteena, liittyviin lainvastaisuuksiin voidaan vedota sellaisen kanteen tueksi, joka on nostettu tällaisen valmistelevan toimen perusteella toteutettua lopullista tointa vastaan (tuomio 11.11.1981, IBM v. komissio, 60/81, EU:C:1981:264, 12 kohta ja a contrario aikaisemmat oikeuskäytäntöviittaukset).

70

Jos nyt esillä olevassa asiassa WhatsAppin riidanalaista päätöstä vastaan nostama kanne otettaisiin tutkittavaksi, se johtaisi siihen, että vireillä olisi kaksi rinnakkaista oikeudenkäyntimenettelyä, joilla olisi merkittäviä osittaisia päällekkäisyyksiä, koska toisessa riitautettaisiin unionin yleisessä tuomioistuimessa riidanalainen päätös ja toisessa riitautettaisiin irlantilaisessa tuomioistuimessa lopullinen päätös, jonka perusteluista osa nojautuu riidanalaiseen päätökseen. Saadakseen määräajan vastauskirjelmän jättämiselle unionin yleiseen tuomioistuimeen WhatsApp on lisäksi viitannut rinnakkaiseen työtaakkaansa irlantilaisessa tuomioistuimessa vireillä olevassa oikeudenkäyntimenettelyssä. Ellei jompikumpi tuomioistuimista, joissa asia on vireillä, lykkäisi asian käsittelyä, mikä saattaisi pidentää lopullisen päätöksen laillisuutta koskevan lopullisen ratkaisun saamiseen tarvittavaa aikaa, nämä rinnakkaiset oikeudenkäyntimenettelyt saattaisivat johtaa jopa tilanteeseen, jossa sekä unionin tuomioistuinta ennakkoratkaisupyynnön kautta että unionin yleistä tuomioistuinta WhatsAppin nostaman suoran kanteen johdosta pyydettäisiin samanaikaisesti antamaan ratkaisu riidanalaisen päätöksen pätevyydestä. Kun otetaan huomioon edellä 68 ja 69 kohdassa mainittu muutoksenhakujärjestelmä sekä asetuksen 2016/679 78 artiklan säännökset, jotka koskevat oikeutta tehokkaaseen oikeussuojaan valvontaviranomaista vastaan, on Irlannin tuomioistuimen, jossa asia on saatettu vireille ja joka on tältä osin yksinomaan toimivaltainen, tehtävänä tarvittaessa tarkistaa WhatsAppille vastaisen lopullisen päätöksen lainmukaisuus esittämällä Euroopan unionin tuomioistuimelle riidanalaisen päätöksen pätevyyden arviointia koskeva ennakkoratkaisukysymys, jos se katsoo sen tarpeelliseksi WhatsAppin ja Irlannin valvontaviranomaisen välisen riita-asian ratkaisemiseksi. Irlantilainen tuomioistuin, jossa asia on saatettu vireille, voisi tältä osin ratkaista riita-asian joko hylkäämällä lainvastaisuusväitteen, joka voitaisiin esittää riidanalaista päätöstä vastaan saattamatta asiaa unionin tuomioistuimen käsiteltäväksi, jos sillä ei ole epäilystä kyseisen päätöksen pätevyydestä, tai päinvastoin saattaa asian unionin tuomioistuimen ratkaistavaksi, jos sillä on mainittuja epäilyksiä, tai vaihtoehtoisesti ratkaista riita-asian erillään riidanalaisen päätöksen pätevyyttä koskevasta kysymyksestä ottaen huomioon sille esitetyt kanneperusteet. Mainittu ratkaisu on sopusoinnussa hyvän oikeudenhoidon periaatteen kanssa, kun otetaan huomioon tämän kohdan alussa mainitut rinnakkaisista oikeudenkäyntimenettelyistä aiheutuvat riskit.

71

Lopuksi on syytä huomauttaa koskien edellä 33 kohdassa mainittua asetuksen 2016/679 143 perustelukappaletta, josta voi saada käsityksen, että WhatsAppin unionin yleisessä tuomioistuimessa nostaman kaltainen kanne olisi otettava tutkittavaksi, ettei asetuksen perustelukappale, vaikka se voikin selventää oikeussäännöksen tulkintaa, itsessään ole oikeussäännös, eikä unionin säädöksen johdanto-osa ole oikeudellisesti sitova (ks. tuomio 26.10.2017, Marine Harvest v. komissio, T‑704/14, EU:T:2017:753, 150 kohta oikeuskäytäntöviittauksineen; ks. vastaavasti myös tuomio 24.11.2005, Deutsches Milch-Kontor, C‑136/04, EU:C:2005:716, 32 kohta oikeuskäytäntöviittauksineen). Käsiteltävänä olevassa asiassa on kuitenkin todettava, ettei asetuksessa 2016/679 ole mitään säännöstä, joka saisi tukea kyseisestä perustelukappaleesta, kuten edellä 32 ja 35 kohdassa on todettu. Asetuksen perusteluissa oleva selitys ei myöskään voi syrjäyttää perussopimuksissa olevia sovellettavia primaarioikeuden määräyksiä, nyt esillä olevassa asiassa SEUT 263 artiklan ensimmäistä ja neljättä alakohtaa, joiden sisältö sitä paitsi mainitaan osittain kyseisessä perustelukappaleessa, jonka ensimmäisessä virkkeessä todetaan, että ”[j]okaisella luonnollisella henkilöllä tai oikeushenkilöllä on [SEUT 263 artiklassa] määrätyin edellytyksin oikeus nostaa kumoamiskanne Euroopan unionin tuomioistuimessa tietosuojaneuvoston päätöksiä vastaan”.

72

Kaikesta edellä esitetystä seuraa, että kanne on jätettävä tutkimatta.

73

Työjärjestyksen 142 artiklan 2 kohdan mukaan väliintulo liittyy pääasian oikeudenkäyntiin ja se menettää tarkoituksensa, jos kanne jätetään tutkimatta.

74

Väliintulohakemuksista ei näin ollen ole enää tarpeen lausua, eikä myöskään niistä aiheutuneista tutkinta-aineiston asiakirjojen luottamuksellisuutta koskevista pyynnöistä.

75

Työjärjestyksen 134 artiklan 1 kohdan mukaan asianosainen, joka häviää asian, velvoitetaan korvaamaan oikeudenkäyntikulut, jos vastapuoli on sitä vaatinut. Koska WhatsApp on hävinnyt asian, se on velvoitettava korvaamaan oikeudenkäyntikulut, koska EDPB on sitä vaatinut, ellei jäljempänä 76 kohdassa esitetystä muuta johdu.

76

Lisäksi työjärjestyksen 144 artiklan 10 kohdan mukaan väliintulon hakija ja pääasian asianosaiset vastaavat kukin väliintulohakemukseen liittyvistä omista oikeudenkäyntikuluistaan, jos pääasia on ratkaistu ennen kuin väliintulohakemuksesta on lausuttu. Käsiteltävänä olevassa asiassa WhatsApp, EDPB, Suomen tasavalta, komissio, Euroopan tietosuojavaltuutettu ja Computer & Communication Industry Association vastaavat kukin väliintulohakemukseen liittyvistä omista kuluistaan.

Näillä perusteilla,

UNIONIN YLEINEN TUOMIOISTUIN (laajennettu neljäs jaosto)

on määrännyt seuraavaa: