–

unionin yleisen tuomioistuimen kirjaamoon 27.6.2024 jätetyn kannekirjelmän,

–

Euroopan tietosuojaneuvoston unionin yleisen tuomioistuimen kirjaamoon 18.9.2024 toimittamallaan erillisellä asiakirjalla esittämän oikeudenkäyntiväitteen,

–

kantajan unionin yleisen tuomioistuimen kirjaamoon 31.10.2024 toimittamat huomautukset oikeudenkäyntiväitteestä,

–

Euroopan unionin neuvoston, Euroopan parlamentin ja Chamber of Progressin unionin yleisen tuomioistuimen kirjaamoon 19.9.2024, 1.10.2024 ja 2.10.2024 toimittamat väliintulohakemukset,

1

Kantajana oleva Meta Platforms Ireland Ltd (jäljempänä Meta) vaatii kanteellaan yhtäältä SEUT 263 artiklan nojalla Euroopan tietosuojaneuvoston (jäljempänä tietosuojaneuvosto) 17.4.2024 antaman lausunnon 8/2024, joka koskee suurten verkkoalustojen käyttöön ottamien suostu tai maksa ‑mallien yhteydessä annettavan suostumuksen pätevyyttä (jäljempänä riidanalainen lausunto), kumoamista ja toisaalta SEUT 268 artiklan nojalla korvausta vahingosta, joka sille on väitetysti aiheutunut kyseisestä lausunnosta.

2

Tietosuojaneuvosto antoi riidanalainen lausunnon luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 64 artiklan 2 kohdan perusteella kolmen henkilötietojen suojaamisesta vastaavan valvontaviranomaisen eli Datatilsynetin (tietosuojaviranomainen, Norja), Autoriteit Persoonsgegevensin (tietosuojaviranomainen, Alankomaat) ja Hamburgische Beauftragte für Datenschutz und Informationsfreiheitin (Hampurin tietosuoja- ja tiedonvapausvaltuutettu, Saksa) pyynnöstä. Kyseiset viranomaiset halusivat saada lausunnon siitä, missä olosuhteissa ja millä edellytyksillä suurten verkkoalustojen noudattamien käytäntöjen, joissa käyttäjille tarjotaan mahdollisuus valita kahdesta vaihtoehdosta, eli joko suostua henkilötietojen käsittelyyn käyttötottumuksia seuraavaa mainontaa varten tai suorittaa maksu saadakseen oikeuden käyttää palvelua ilman, että heidän henkilötietojaan käsitellään tätä tarkoitusta varten (jäljempänä suostu tai maksa ‑mallit), voidaan katsoa täyttävän asetuksessa 2016/679 tarkoitetun pätevää suostumusta koskevan vaatimuksen.

3

Riidanalaisessa lausunnossa tietosuojaneuvosto luettelee seikkoja, jotka on arvioitava tapauskohtaisesti sen määrittämiseksi, onko asetuksen 2016/679 4 artiklan 7 alakohdassa tarkoitettua rekisterinpitäjää pidettävä suurena verkkoalustana sovellettaessa kyseistä lausuntoa, ja korostaa, ettei tämä luettelo ole tyhjentävä eikä siinä mainittuja seikkoja sovelleta kumulatiivisesti. Näitä seikkoja ovat se, onko kyseessä alusta, jonka käyttäjinä on paljon rekisteröityjä, asianomaisen yrityksen asema markkinoilla, asianomaisten rekisteröityjen määrä, käsiteltyjen tietojen määrä ja tietojenkäsittelytoiminnan maantieteellinen laajuus. Lausunnossa täsmennetään, että verkkoalustan käsite voi kattaa muun muassa digitaalisten palvelujen sisämarkkinoista ja direktiivin 2000/31/EY muuttamisesta 19.10.2022 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2065 (digipalvelusäädös) (EUVL 2022, L 277, s. 1) 3 artiklan i alakohdassa määritellyt verkkoalustat ja että suuret verkkoalustat voivat olla myös kyseisen asetuksen 33 artiklan 1 kohdassa määriteltyjen erittäin suurten verkkoalustojen rekisterinpitäjiä tai kilpailullisista ja oikeudenmukaisista markkinoista digitaalialalla ja direktiivien (EU) 2019/1937 ja (EU) 2020/1828 muuttamisesta 14.9.2022 Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/1925 (digimarkkinasäädös) (EUVL 2022, L 265, s. 1) 3 artiklan 1 kohdassa määriteltyjä portinvartijoita.

4

Asiakysymyksestä tietosuojaneuvosto toteaa riidanalaisessa lausunnossa, että silloin, kun käyttäjiltä pyydetään suostumusta heidän henkilötietojensa käsittelyyn käyttötottumuksia seuraavaa mainontaa varten, tätä suostumusta voidaan pitää pätevänä vain, jos se on hankittu asetuksessa 2016/679 vahvistettujen periaatteiden ja sääntöjen mukaisesti. Sen on oltava muun muassa vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen ja koskettava tietojenkäsittelyä, jossa noudatetaan tarpeellisuuden, oikeasuhteisuuden, käyttötarkoitussidonnaisuuden, tietojen minimoinnin ja kohtuullisuuden periaatteita. Tietosuojaneuvosto korostaa, että toimivaltaisten kansallisten viranomaisten on arvioitava tapauskohtaisesti, onko näitä edellytyksiä noudatettu.

5

Tietosuojaneuvosto katsoo, että useimmissa tapauksissa riidanalaisessa lausunnossa tarkoitetut suuret verkkoalustat eivät voi täyttää pätevää suostumusta koskevia vaatimuksia, jos ne antavat käyttäjille mahdollisuuden valita vain kahdesta vaihtoehdosta, eli joko suostua käyttötottumuksia seuraavaa mainontaa varten tapahtuvaan henkilötietojen käsittelyyn tai suorittaa maksu oikeudesta käyttää kyseistä palvelua vastaanottamatta käyttötottumuksia seuraavaa mainontaa. Tietosuojaneuvosto toteaa, että kehittäessään vaihtoehtoa käyttötottumuksia seuraavaa mainontaa sisältävälle palvelunsa versiolle suurten verkkoalustojen olisi harkittava maksuttoman ”vastaavan vaihtoehdon” tarjoamista käyttäjille. Jos rekisterinpitäjät kuitenkin päättävät periä maksun tämän vastaavan vaihtoehdon käytöstä, niiden olisi harkittava myös sellaisen maksuttoman lisävaihtoehdon tarjoamista, joka ei sisällä käyttötottumuksia seuraavaa mainontaa, vaan esimerkiksi sellaista mainontaa, johon liittyy vähemmän (tai ei lainkaan) henkilötietojen käsittelyä, kuten kontekstisidonnaista tai yleistä mainontaa tai mainontaa, joka perustuu rekisteröidyn valitsemiin aiheisiin. Tietosuojaneuvoston mukaan useimmissa tapauksissa se, tarjoaako rekisterinpitäjä maksutta toisen vaihtoehdon, johon ei sisälly käyttötottumuksia seuraavaa mainontaa, vaikuttaa merkittävästi suostumuksen pätevyyden arviointiin etenkin sen kysymyksen osalta, voiko rekisteröity kieltäytyä antamasta suostumustaan tai peruuttaa sen ilman, että siitä aiheutuu hänelle vahinkoa.

6

Viimeksi mainitusta seikasta tietosuojaneuvosto totesi erityisesti, että on tärkeää, ettei palvelun maksullisesta versiosta perittävä maksu ole sellainen, että se tosiasiallisesti estää rekisteröityjä tekemästä vapaata valintaa ja kieltäytymästä antamasta suostumustaan. Tietosuojaneuvosto korostaa, ettei henkilötietoja voida pitää kaupattavana hyödykkeenä ja että henkilötietojen suoja on oikeus, joka kuuluu kaikille maksun suorittamisesta tai taloudellisesta asemasta riippumatta. Vahinkoa voi aiheutua myös, jos rekisteröidyt, jotka eivät anna suostumustaan, jättävät maksun suorittamatta ja jäävät siksi palvelun ulkopuolelle, erityisesti silloin, kun palvelulla on olennainen merkitys heidän arkielämässään tai osallistumisessaan sosiaaliseen elämään tai kun se on ratkaisevassa asemassa ammatillisten verkostojen käyttämisen kannalta.

7

Lisäksi tietosuojaneuvosto toteaa, että on tarpeen ottaa huomioon myös rekisterinpitäjän asema ja sillä oleva valta suhteessa rekisteröityihin. Jos rekisterinpitäjän ja rekisteröidyn välillä on tietyssä tilanteessa selvä epäsuhta, rekisteröity voi kokea olevansa pakotettu tekemään päätöksen, jota hän ei muuten olisi tehnyt. Tietosuojaneuvosto täsmentää, että kun rekisteröidylle tarjotaan suostu tai maksa ‑mallia, hänen olisi voitava vapaasti valita, minkä yksittäisen käsittelytarkoituksen tai mitkä yksittäiset käsittelytarkoitukset hän hyväksyy, sen sijaan, että hänen olisi annettava suostumus useisiin käsittelytarkoituksiin kerrallaan.

8

Riidanalaisessa lausunnossa otetaan kantaa myös siihen, millä edellytyksillä suostumusta, jonka suuret verkkoalustat hankkivat käyttäjältä käyttötottumuksia seuraavaan mainontaan suostu tai maksa ‑mallien yhteydessä, voidaan pitää tietoisena, yksilöitynä ja yksiselitteisenä.

9

Meta vaatii, että unionin yleinen tuomioistuin

10

Unionin yleisen tuomioistuimen työjärjestyksen 130 artiklan 1 kohdan mukaisesti esittämässään oikeudenkäyntiväitteessä tietosuojaneuvosto vaatii, että unionin yleinen tuomioistuin

11

Oikeudenkäyntiväitteestä esittämissään huomautuksissa Meta vaatii, että unionin yleinen tuomioistuin

12

Unionin yleisen tuomioistuimen työjärjestyksen 130 artiklan 1 ja 7 kohdan nojalla unionin yleinen tuomioistuin voi pääasian käsittelyä aloittamatta ratkaista määräyksellä vastaajan pyynnöstä, onko kanne jätettävä tutkimatta. Työjärjestyksen 126 artiklassa myös määrätään, että jos kanne selvästi on oikeudellisesti täysin perusteeton, unionin yleinen tuomioistuin voi esittelevän tuomarin ehdotuksesta milloin tahansa päättää asian käsittelyä jatkamatta ratkaista asian perustellulla määräyksellä.

13

Koska käsiteltävässä asiassa unionin yleinen tuomioistuin katsoo, että sillä on asiakirja-aineiston perusteella riittävät tiedot, se päättää ratkaista asian jatkamatta sen käsittelyä.

14

Tietosuojaneuvosto väittää, että kumoamisvaatimukset on jätettävä tutkimatta yhtäältä, koska riidanalainen lausunto ei ole kannekelpoinen toimi, ja toisaalta, koska se ei koske Metaa suoraan eikä erikseen.

15

Ensimmäisestä tutkimatta jättämisen perusteesta tietosuojaneuvosto väittää, ettei riidanalaisella lausunnolla ole minkäänlaisia oikeusvaikutuksia Metan tilanteeseen. Se väittää, että asetuksen 2016/679 64 artiklan perusteella annetut lausunnot eroavat sen 65 artiklan 1 kohdassa tarkoitetuista sitovista päätöksistä siinä, että niillä ei ole omia oikeusvaikutuksia. Kyseisen asetuksen 64 artiklan 7 kohdassa säädetään tältä osin ainoastaan, että toimivaltaisten valvontaviranomaisten on otettava tietosuojaneuvoston lausunto ”huomioon mahdollisimman kattavasti”, ja tällaisen lausunnon sisältö voidaan saattaa valvontaviranomaista velvoittavaksi vain myöhemmin annettavalla sitovalla päätöksellä.

16

Meta väittää aluksi, että asetuksen 2016/679 64 artiklan 2 kohdan perusteella annetusta tietosuojaneuvoston lausunnosta nostetun kanteen tutkimatta jättäminen loukkaisi unionin oikeuden riippumattomuutta. Rekisteröidyt voivat Metan mukaan nimittäin nostaa tällaisen lausunnon perusteella kanteen Euroopan talousalueesta (ETA) tehdyn sopimuksen niiden sopimusvaltioiden tuomioistuimissa, jotka eivät ole unionin jäsenvaltioita mutta joissa sovelletaan asetusta 2016/679 kyseisen sopimuksen nojalla. Nämä tuomioistuimet eivät kuitenkaan voisi saattaa kyseisen lausunnon pätevyyden arvioimista koskevaa ennakkoratkaisupyyntöä SEUT 267 artiklan nojalla Euroopan unionin tuomioistuimen käsiteltäväksi, mikä voisi johtaa unionin oikeuden ristiriitaiseen tulkintaan ja soveltamiseen. Metan mukaan tällaisen lausunnon lainmukaisuutta olisi näin ollen voitava valvoa jo unionin tuomioistuimissa nostetun kumoamiskanteen tutkimisen yhteydessä sen varmistamiseksi, että unionin oikeutta sovelletaan yhtenäisesti koko ETA:ssa.

17

Oikeudenkäyntiväitteestä esittämissään huomautuksissa Meta väittää, että jos kumoamiskanne jätettäisiin tutkimatta, loukattaisiin Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 47 artiklassa Metalle taattua oikeutta tehokkaisiin oikeussuojakeinoihin. Tietosuojaneuvosto on käyttänyt muodollisesti ei-sitovaa välinettä asettaakseen sääntöjä, jotka koskevat nimenomaisesti Metaa, ja pyrkinyt tällä tavoin välttämään unionin tuomioistuinten suoran valvonnan. Kumoamiskanteen avulla voitaisiin siksi varmistaa, että kyseistä oikeutta kunnioitetaan.

18

Meta väittää vielä, että muodostaan huolimatta riidanalaisella lausunnolla on sitovia oikeusvaikutuksia. Tietosuojaneuvostolla on nimittäin de facto mahdollisuus pakottaa kansalliset valvontaviranomaiset noudattamaan asetuksen 2016/679 64 artiklan 2 kohdan perusteella annettua lausuntoa antamalla siitä sitova päätös, kuten kyseisen asetuksen 65 artiklan 1 kohdan c alakohdassa säädetään. Tosiseikoista ilmenee, että tietosuojaneuvosto aikoo pakottaa Data Protection Commissionin (tietosuojaviranomainen, Irlanti), joka on johtava viranomainen Metaa koskevien asioiden käsittelyssä, noudattamaan näkemyksiään. Riidanalaisessa lausunnossa käytetty ilmaisutapa osoittaa jo itsessään, että valvontaviranomaisten harkintavalta ja suurten verkkoalustojen itsearviointimahdollisuudet ovat erittäin vähäiset tai olemattomat. Käsiteltävässä asiassa tilanne on erilainen kuin 9.7.2019 annettuun määräykseen VodafoneZiggo Group v. komissio (T‑660/18, EU:T:2019:546) johtaneessa asiassa, johon tietosuojaneuvosto vetoaa ja jossa oli kyse huomautuksista, jotka Euroopan komissio oli esittänyt sähköisten viestintäverkkojen ja ‑palvelujen yhteisestä sääntelyjärjestelmästä 7.3.2002 annetussa Euroopan parlamentin ja neuvoston direktiivissä 2002/21/EY (puitedirektiivi) (EYVL 2002, L 108, s. 33), sellaisena kuin se on viimeksi muutettuna 25.11.2009 annetulla Euroopan parlamentin ja neuvoston direktiivillä 2009/140/EY (EUVL 2009, L 337, s. 37), säädetyn Euroopan laajuisen kuulemismenettelyn yhteydessä. Riidanalainen lausunto on nimittäin annettu asetuksella 2016/679 käyttöön otetun yhdenmukaisuusmekanismiin eikä kuulemismenettelyn yhteydessä. Meta täsmentää, että koska riidanalaisessa lausunnossa jätetään huomiotta arviointi, jonka unionin tuomioistuin esitti ennakkoratkaisuluonteisesti 4.7.2023 antamassaan tuomiossa Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2023:537), jonka 150 kohdan mukaan on mahdollista, että suostu tai maksa ‑mallit ovat lainmukaisia asetuksen 2016/679 kannalta, sillä on Metaa sitovia oikeusvaikutuksia.

19

Vakiintuneen oikeuskäytännön mukaan SEUT 263 artiklan mukaisen kumoamiskanteen kohteena voivat olla luonteestaan ja muodostaan riippumatta kaikki unionin toimielinten, elinten tai laitosten toimet, joilla pyritään saamaan aikaan sitovia oikeusvaikutuksia, jotka voivat vaikuttaa kantajan etuihin muuttaen tämän oikeusasemaa selvästi (ks. vastaavasti tuomio 11.11.1981, IBM v. komissio, 60/81, EU:C:1981:264, 9 kohta ja tuomio 18.11.2010, NDSHT v. komissio, C‑322/09 P, EU:C:2010:701, 45 kohta oikeuskäytäntöviittauksineen).

20

Sen määrittämiseksi, onko toimella sitovia oikeusvaikutuksia, on tarkasteltava toimen sisältöä ja arvioitava mainittuja vaikutuksia objektiivisten arviointiperusteiden, kuten toimen sisällön, perusteella ja siten, että huomioon otetaan tarvittaessa toimen antamisen asiayhteys ja toimen toteuttaneen toimielimen toimivalta (ks. tuomio 20.2.2018, Belgia v. komissio, C‑16/16 P, EU:C:2018:79, 32 kohta oikeuskäytäntöviittauksineen).

21

Riidanalaisen lausunnon sisällöstä on todettava, että – kuten edellä 4–8 kohdassa tehdystä yhteenvedosta ilmenee – että kyseisessä toimessa esitetään menetelmä suurten verkkoalustojen suostu- tai maksa ‑mallien arvioimiseksi asetuksessa 2016/679 vahvistettujen suostumuksen pätevyyttä koskevien sääntöjen kannalta ja muistutetaan valvontaviranomaisia seikoista, jotka niiden on tarkistettava. Tietosuojaneuvosto mainitsee siinä useaan otteeseen, että arviointi on tehtävä tapauskohtaisesti.

22

Tietosuojaneuvosto kyllä käsittelee riidanalaisessa lausunnossa tilannetta, jossa suuri verkkoalusta ei tarjoa käyttäjälle maksutonta vaihtoehtoa suostumuksen antamiseksi henkilötietojen käsittelyyn käyttötottumuksia seuraavaa mainontaa varten, vaan ainoastaan maksullisen vaihtoehdon, ja toteaa, että useimmissa tapauksissa tämä tilanne voi johtaa siihen, että vaikka suostumus annettaisiin, se on pätemätön. Riidanalaisessa lausunnossa tietosuojaneuvosto kuitenkin korostaa, että tämä arviointi riippuu useista tekijöistä, kuten kyseisen palvelun merkittävyydestä käyttäjien sosiaalisen elämän tai työelämän kannalta ja maksullisen vaihtoehdon kustannuksista. Se tuo esiin myös eri mahdollisuuksia maksuttomien vaihtoehtojen tarjoamiseen.

23

Vaikka, kuten Meta huomauttaa, riidanalaisessa lausunnossa käytetään sen kaltaisia ilmauksia, kuten ”pitäisi” tai ”ei pitäisi” tai ”useimmissa tapauksissa”, vaikuttaa siltä, että näitä ilmauksia sisältävissä kohdissa, kun niitä luetaan ajatellen kyseistä asiakirjaa kokonaisuutena, pikemminkin kehotetaan pohtimaan syvemmin, mitä ratkaisuja kukin suuri verkkoalusta voisi tarjota käyttäjille vaihtoehtona suostumuksen antamiselle käyttötottumuksia seuraavan mainonnan vastaanottamiseen, kuin tuomitaan yleisesti kyseisten alustojen suostu tai maksa ‑mallit. Esimerkiksi riidanalaisen lausunnon 180 ja 181 kohtaa, jotka sisältyvät sen päätelmiin ja jotka Meta tuo esiin, on luettava yhdessä niitä seuraavien kohtien kanssa, joissa kerrataan kaikki seikat, jotka on otettava huomioon määritettäessä sitä, onko suostu tai maksa ‑mallissa suurelle verkkoalustalle annettu suostumus pätevä.

24

Riidanalaisen lausunnon sisällön perusteella ei näin ollen voida katsoa, että sen on itsessään tarkoitus tuottaa sitovia oikeusvaikutuksia.

25

Siitä, että riidanalainen lausunto annettiin, kun eri valvontaviranomaiset tutkivat suurten verkkoalustojen suostu tai maksa ‑malleja ja erityisesti Metan käyttämää mallia, ei itsessään voida päätellä, että kyseinen lausunto on sitova. Asetuksen 2016/679 johdonmukaisen soveltamisen varmistamiseksi on nimittäin olemassa – kuten kyseisen asetuksen 63 artiklassa säädetään –, erilaisia välineitä, joista toiset ovat pakottavia ja toiset ainoastaan neuvoa-antavia.

26

Tästä on todettava, että riidanalainen lausunto annettiin, kuten sen johdannosta ja 7–12 kohdasta ilmenee, asetuksen 2016/679 64 artiklan 2 kohdan perusteella. Kyseisessä säännöksessä säädetään seuraavaa:

”Jokainen valvontaviranomainen, tietosuojaneuvoston puheenjohtaja tai komissio voi pyytää minkä tahansa yleisluonteisen tai useammassa kuin yhdessä jäsenvaltiossa vaikutuksia tuottavan asian käsittelyä tietosuojaneuvostossa lausunnon saamiseksi, etenkin jos toimivaltainen valvontaviranomainen ei noudata keskinäistä avunantoa koskevia velvollisuuksia 61 artiklan mukaisesti tai yhteisiä operaatioita koskevia velvollisuuksia 62 artiklan mukaisesti.”

27

Riidanalainen lausunto ei liity kyseisen säännöksen viimeisessä virkkeessä tarkoitettuihin tilanteisiin, vaan se koskee ”yleisluonteista asiaa” eli, kuten edellä 2 kohdassa mainittiin, sitä, missä olosuhteissa ja millä edellytyksillä suurten verkkoalustojen suostu tai maksa ‑mallien voidaan katsoa täyttävän asetuksessa 2016/679 asetetun pätevää suostumusta koskevan vaatimuksen (ks. riidanalaisen lausunnon 3 kohta).

28

Toisin kuin tietosuojaneuvosto väittää, asetukseen 2016/679 ei sisälly säännöstä, jossa velvoitettaisiin valvontaviranomaiset ottamaan kyseisen asetuksen 64 artiklan 2 kohdan perusteella annettu lausunto ”mahdollisimman kattavasti huomioon”. Kyseisen artiklan 7 kohdassa ilmaistua velvollisuutta ottaa tietosuojaneuvoston lausunto ”mahdollisimman kattavasti huomioon” sovelletaan kyseisen artiklan 1 kohdan perusteella annettuihin lausuntoihin, jotka eivät koske yleisluonteisia asioita vaan tietynlaisia valvontaviranomaisten erityisiä päätösehdotuksia, jotka näiden on toimitettava tietosuojaneuvostolle kyseisten päätösten hyväksymismenettelyn kuluessa. Jos kyseinen valvontaviranomainen ei aio kokonaan tai osittain noudattaa sille tällä perusteella osoitettua lausuntoa, sen on ilmoitettava tästä tietosuojaneuvoston puheenjohtajalle, mikä käynnistää menettelyn, jossa tietosuojaneuvosto antaa sitovan päätöksen, kuten kyseisen artiklan 8 kohdassa säädetään. Riidanalaiselle lausunnon kaltaisille, yleisluonteisia asioita koskeville tietosuojaneuvoston lausunnoille, jotka annetaan asetuksen 2016/679 64 artiklan 2 kohdan perusteella, ei ole säädetty vastaavaa menettelyä. Ne ovat siis lausuntoja, joilla ei ole erityistä sitovuutta.

29

Kyseisen asetuksen 65 artiklan 1 kohdassa tosin säädetään, että tietosuojaneuvosto antaa sitovan päätöksen, ”jos toimivaltainen valvontaviranomainen ei pyydä tietosuojaneuvostolta lausuntoa 64 artiklan 1 kohdassa tarkoitetuissa tapauksissa tai ei noudata tietosuojaneuvoston 64 artiklan nojalla antamaa lausuntoa” ja että ”tällöin asianomaiset valvontaviranomaiset tai komissio voivat välittää asian tietosuojaneuvostolle”. Käsiteltävässä asiassa kyseessä olevan kaltaisista yleisluonteisia asiakysymyksiä koskevista lausunnoista on myös todettava, että jos johtava valvontaviranomainen jättää menettelyssä, joka koskee yhtä tai useampaa erityistä rajatylittävää tietojenkäsittelyä, kokonaan tai osittain noudattamatta tämäntyyppistä tietosuojaneuvoston lausuntoa päätösehdotuksessa, joka sen on laadittava asetuksen 2016/679 60 artiklan 3 kohdan perusteella, tietosuojaneuvosto voi joutua tarkastelemaan asiaa uudelleen ja antamaan siinä sitovan päätöksen kyseisen asetuksen 65 artiklan 1 kohdan a alakohdan perusteella. Kummassakaan tapauksessa riidanalaisen lausunnon kaltainen asetuksen 2016/679 64 artiklan 2 kohdan perusteella annettu lausunto ei kuitenkaan ole itsessään sitova toimi, ja siihen sisältyvistä ohjeista voi, kun otetaan huomioon tietosuojaneuvoston valtuudet, tulla tapauksen mukaan valvontaviranomaista velvoittavia vain, jos asiassa annetaan myöhemmin sitova päätös. Se Metan esiin tuoma seikka, että tällainen lausunto on yksi asetuksessa 2016/679 säädetyn yhdenmukaisuusmekanismin välineistä, ei muuta tilannetta mitenkään. Kyseisen mekanismiin nimittäin sisältyy, samaan tapaan kuin valvontaviranomaisten yhteistyötä koskeviin sääntöihin, ei-sitova kuulemisvaihe, joka käydään ennen kuin tietosuojaneuvosto tapauksen mukaan tekee asiassa sitovan päätöksen.

30

Edellä esitetystä seuraa, että riidanalaisella lausunnolla ei ole sitovia oikeusvaikutuksia kolmansiin osapuoliin nähden.

31

Tämä pätee vielä suuremmalla syyllä Metaan. Vaikka nimittäin Meta on tilanteessa, josta riidanalainen lausunto on annettu, kyseisellä lausunnolla ei, koska siihen ei sisälly Metan tapauksesta tehtyä kattavaa arviointia – joka viranomaisten kannalta kuuluu ensisijaisesti toimivaltaisille valvontaviranomaisille –, voi missään tapauksessa olla sitovia oikeusvaikutuksia Metaan eikä sillä voida muuttaa sen oikeusasemaa selvästi.

32

Vastaavasti jos Meta päättää soveltaa riidanalaisessa lausunnossa esitettyä arviointimenetelmää oma-aloitteisesti ja tehdä päätelmiä sen perusteella tai jos Irlannin tietosuojaviranomainen itse soveltaa kyseistä arviointimenetelmää ja tapauksen mukaan toteuttaa Metaan nähden asetuksen 2016/679 58 artiklan 2 kohdassa tarkoitettuja korjaavia toimenpiteitä, molemmat tekevät näin ilman, että riidanalaisella lausunnolla olisi oikeudellisesti pakotettu ne siihen.

33

Tältä osin se Metan korostama seikka, että Irlannin tietosuojaviranomainen ilmoitti sille katsovansa olevan velvollinen ottamaan riidanalaisen lausunnon huomioon, ja perusteli tätä asetuksen 2016/679 57 artiklan 1 kohdan g alakohdalla, jonka mukaan jokaisen valvontaviranomaisen on tehtävä yhteistyötä muiden valvontaviranomaisten kanssa, jotta varmistetaan kyseisen asetuksen johdonmukainen soveltaminen, ei anna riidanalaiselle lausunnolle sitovaa vaikutusta, jota sillä ei itsessään ole, eikä myöskään kyseinen yhteistyövelvollisuus anna sille tätä vaikutusta. Yhteistyövelvollisuus, joka on asetettu yhdenmukaisen politiikan toteuttamiseksi unionissa, ei nimittäin voi muuttaa unionin ei-sitovia toimia sitoviksi, vaikkakin nämä toimet on otettava huomioon (ks. vastaavasti ja analogisesti tuomio 13.2.2014, Mediaset, C‑69/13, EU:C:2014:71, 27–32 kohta).

34

Lisäksi on niin, toisin kuin Meta väittää, että se mahdollisuus, että tietosuojaneuvosto myöhemmin antaa Metan suostu tai maksa ‑mallia tutkiville toimivaltaisille valvontaviranomaisille sitovan päätöksen, jossa noudatetaan kokonaan tai osittain riidanalaisessa lausunnossa esitettyä arviointimenetelmää, ei riitä siihen, että viimeksi mainittua voitaisiin pitää lähtökohtaisesti sitovana. Ei sitä paitsi ole poissuljettua, että kyseinen konkreettinen tutkinta johtaa kyseisessä asiassa riidanalaisessa lausunnossa esitettyjen yleisten ohjeiden uudelleenarviointiin.

35

Vaikka sitä paitsi riidanalaisessa lausunnossa olisikin, kuten Meta väittää, jätetty huomiotta arviointi, jonka unionin tuomioistuin esitti suostu tai maksa ‑malleista ennakkoratkaisuluonteisesti 4.7.2023 antamassaan tuomiossa Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot) (C‑252/21, EU:C:2023:537), myöskään tämä ei voi muuttaa Metan oikeusasemaa, kun otetaan huomioon, että kyseinen lausunto ei ole sitova.

36

Edellä esitetyn perusteella on todettava, että riidanalainen lausunto ei ole sellainen toimi, josta Meta voisi nostaa kanteen.

37

Toisin kuin Meta väittää, tällä päätelmällä ei loukata perusoikeuskirjan 47 artiklassa Metalle taattua oikeutta tehokkaisiin oikeussuojakeinoihin. Koska riidanalaisella lausunnolla ei ole sitovia oikeusvaikutuksia, se, ettei Meta voi riitauttaa kyseistä lausuntoa kumoamiskanteen yhteydessä, ei voi merkitä Metan tehokkaita oikeussuojakeinoja koskevan oikeuden loukkaamista. Riidanalaisen lausunnon sisältämät lausumat voisivat vaikuttaa suoraan Metaan vain, jos ne toistettaisiin valvontaviranomaisen päätöksessä tai jäsenvaltion tai ETA-sopimuksen sopimuspuolena olevan muun valtion tuomioistuimen ratkaisussa. Mikäli näin on, kyseiset päätökset tai ratkaisuvoivat olla tai ovat olleet tuomioistuimen mainitun artiklan vaatimukset täyttävän arvioinnin kohteena.

38

Päätelmää, jonka mukaan riidanalainen lausunto ei ole sellainen toimi, josta Meta voisi nostaa kanteen, ei voida kyseenalaistaa myöskään niillä Metan argumenteilla, joiden mukaan niiden ETA-sopimuksen sopimusvaltioiden, jotka eivät ole unionin jäsenvaltioita, tuomioistuimet voisivat arvioida kyseisen lausunnon sisältöä eri tavalla kuin unionin jäsenvaltioiden tuomioistuimet, jotka, toisin kuin ensin mainitut, voivat esittää siitä ennakkoratkaisukysymyksiä unionin tuomioistuimelle, mikä saattaisi loukata unionin oikeuden yhtenäisyyttä.

39

Tällainen mahdollisuus nimittäin kuuluu luonnostaan ETA-sopimuksessa määrättyyn järjestelmään, jonka tarkoituksena on varmistaa kyseisen sopimuksen nojalla sovellettavien sääntöjen asianmukainen täytäntöönpano. Tämä järjestelmä perustuu kahteen pilariin eli valvontaviranomaisen valvontaan ja tuomioistuimen valvontaan, joista ensin mainittu kohdistuu unionin jäsenvaltioihin ja jälkimmäinen kyseisen sopimuksen muihin sopimusvaltioihin. Viimeksi mainituista ETA-sopimuksen 108 artiklan 2 kohdassa ja valvontaviranomaisen ja tuomioistuimen perustamisesta tehdyn EFTA-valtioiden sopimuksen (EYVL 1994, L 344, s. 1) 34 artiklassa määrätään erityisesti, että kyseisten valtioiden tuomioistuimet voivat pyytää Euroopan vapaakauppaliiton (EFTA) tuomioistuimelta lausuntoa mainittujen sääntöjen ja näin myös erityisesti asetuksen 2016/679 tulkinnasta. Jos EFTA-tuomioistuimelle esitettäisiin tällainen pyyntö, se voisi siten määrittää, missä määrin riidanalaisessa lausunnossa esitetyt lausumat ovat kyseisen asetuksen mukaisia. Se voisi tapauksen mukaan myös todeta, etteivät nämä lausumat ole sitovia. Unionin jäsenvaltioiden tapauksessa jokin niiden tuomioistuimista voisi pyytää unionin tuomioistuinta arvioimaan riidanalaisen lausunnon pätevyyden. Vaikka nimittäin toimet, joilla ei ole sitovia oikeusvaikutuksia, suljetaan SEUT 263 artiklassa unionin tuomioistuimen valvonnan ulkopuolelle, unionin tuomioistuin voi SEUT 267 artiklan nojalla arvioida tällaisten toimien pätevyyden ennakkoratkaisumenettelyssä (ks. tuomio 15.7.2021, FBF, C‑911/19, EU:C:2021:599, 54 kohta oikeuskäytäntöviittauksineen).

40

On korostettava, että millä tahansa ETA-sopimuksessa säännellyistä lukuisista aloista voi käydä niin, että nämä kaksi tuomioistuinta päätyvät kyseisten menettelyjen päätteeksi arvioimaan jotakin unionin toimea eri tavalla. Sen Metan päättelyn hyväksyminen, jonka mukaan mahdollisten arviointierojen välttämiseksi olisi sallittava, että unionin ei-sitovasta toimesta voidaan nostaa kumoamiskanne, merkitsisi siis sitä, että kumoamiskanteiden tutkittavaksi ottamisen edellytyksiä, sellaisina kuin ne on määritelty SEUT 263 artiklassa, jätettäisiin hyvin pitkälti noudattamatta ja horjutettaisiin.

41

Unionin oikeuden yhtenäisyyden loukkaamisen mahdollisuus, sellaisena kuin Meta on sen yksilöinyt, on näin ollen mahdollinen haitta, joka liittyy siihen, että unionin oikeussääntöjä sovelletaan kansainvälisen sopimuksen nojalla unionin jäsenvaltioiden alueen ulkopuolella, toisessa oikeusjärjestelmässä. Tämä mahdollinen haitta – joka muuten on otettu huomioon ETA-sopimuksessa, jonka 111 artiklassa määrätään riidanratkaisumenettelystä, johon unionin tuomioistuin tarvittaessa osallistuu –, ei voi johtaa siihen, ettei unionissa tarvitse noudattaa unionin oikeussääntöjä.

42

Edellä esitetystä seuraa, että tietosuojaneuvoston oikeudenkäyntiväite on hyväksyttävä siltä osin kuin se koskee kumoamisvaatimuksia ja että kyseiset vaatimukset on näin ollen jätettävä tutkimatta, eikä muista tietosuojaneuvoston esittämistä tutkimatta jättämisen perusteista ole tarpeen lausua.

43

Tietosuojaneuvosto vetoaa myös vahingonkorvausvaatimusten tutkittavaksi ottamisen edellytysten puuttumiseen lähinnä sillä perusteella, että ne liittyvät läheisesti kumoamisvaatimuksiin, jotka on jätettävä tutkimatta.

44

On muistutettava, että unionin tuomioistuimella on oikeus arvioida kunkin asian olosuhteiden perusteella, voidaanko kanteen hylkäämistä lausumatta sitä ennen sen tutkittavaksi ottamisesta pitää hyvän oikeudenkäytön perusteella oikeutettuna. Käsiteltävässä asiassa on prosessiekonomian vuoksi tutkittava heti aluksi, ovatko Metan vahingonkorvausvaatimukset perusteluja, lausumatta sitä ennen niiden tutkittavaksi ottamisesta, koska vahingonkorvausvaatimukset ovat jäljempänä esitettävistä syistä ilmeisen perusteettomia (ks. vastaavasti ja analogisesti tuomio 26.2.2002, neuvosto v. Boehringer, C‑23/00 P, EU:C:2002:118, 51 ja 52 kohta).

45

Meta väittää, että antaessaan riidanalaisen lausunnon tietosuojaneuvosto rikkoi riittävän ilmeisesti oikeussääntöjä, joiden tarkoituksena on antaa Metalle oikeuksia. Metalle tästä aiheutuva vahinko on välittömästi uhkaava ja riittävällä varmuudella ennakoitavissa. Meta väittää, että sen sovellusten käyttäjät valitsisivat joukoittain maksuttoman vaihtoehdon, jonka Meta olisi velvollinen tarjoamaan kyseisille käyttäjille riidanalaisen lausunnon nojalla, sen lisäksi, että heillä on mahdollisuus valita, antavatko he suostumuksensa käyttötottumuksia seuraavan mainonnan vastaanottamiseen vai maksavatko he oikeudesta käyttää kyseistä palvelua vastaanottamatta tällaista mainontaa. Tämä johtaisi siihen, että yhtäältä Metan mainossopimusten tuottamat tulot mainostajilta, jotka ovat valmiita maksamaan hyvän hinnan käyttötottumuksia seuraavan mainonnan sijoittamisesta mutta huonomman hinnan muuntyyppisen mainonnan sijoittamisesta, ja toisaalta Metan mainoksettomien liittymäsopimusten tuottamat tulot käyttäjiltä pienenisivät merkittävästi. Vaikka riidanalainen lausunto olisi ainoastaan väliaikainen ja vaikka se myöhemmin peruutettaisiin, Meta saattaisi menettää lopullisesti tiettyjä mainostajia. Lisäksi riidanalainen lausunnon ja väitetyn vahingon välillä on suora syy-yhteys, sillä ensin mainittu on jälkimmäisen ratkaiseva syy. Metan mukaan tietosuojaneuvosto on nimittäin pyrkinyt varmistamaan, että kyseinen lausunto mielletään sitovaksi, ja on otettava huomioon vaara siitä, että sen sisältö toistetaan saman elimen antamissa sitovissa päätöksissä tai että tuomioistuimet – ja erityisesti ETA-sopimuksen sopimuspuolina olevien EFTA-valtioiden tuomioistuimet, jotka eivät voi esittää unionin tuomioistuimelle ennakkoratkaisukysymyksiä kyseisen lausunnon pätevyydestä –, toistavat sen. Tältä osin Meta vetoaa samoihin argumentteihin, jotka se esitti väittääkseen, että riidanalaisella lausunnolla on sitovia oikeusvaikutuksia (ks. edellä 18 kohta).

46

Unionin sopimussuhteen ulkopuolisen vastuun nojalla ja korvauksena sille väitetysti aiheutuneista vahingoista Meta vaatii edellä 9 kohdan toisessa luetelmakohdassa esitetyissä vaatimuksissa mainittujen toimenpiteiden toteuttamista.

47

Vakiintuneen oikeuskäytännön mukaan unioni on SEUT 340 artiklan toisessa kohdassa tarkoitetussa sopimussuhteen ulkopuolisessa vastuussa ainoastaan, jos seuraavat edellytykset täyttyvät: unionin toimielimen, elinten tai laitosten moitittu toiminta on lainvastaista, vahinko on tosiasiassa syntynyt ja toiminnan ja väitetyn vahingon välillä on syy-yhteys (ks. vastaavasti tuomio 4.7.2000, Bergaderm ja Goupil v. komissio, C‑352/98 P, EU:C:2000:361, 39–42 kohta ja tuomio 28.10.2021, Vialto Consulting v. komissio, C‑650/19 P, EU:C:2021:879, 138 kohta).

48

Näiden edellytysten kumulatiivisuus merkitsee sitä, että jos yksi niistä jää täyttymättä, vahingonkorvauskanne on hylättävä kokonaisuudessaan, eikä ole tarpeen tutkia muita edellytyksiä (ks. tuomio 25.2.2021, Dalli v. komissio, C‑615/19 P, EU:C:2021:133, 42 kohta oikeuskäytäntöviittauksineen). Unionin tuomioistuimet eivät myöskään ole velvollisia tutkimaan näiden edellytysten täyttymistä missään tietyssä järjestyksessä (tuomio 9.9.1999, Lucaccioni v. komissio, C‑257/98 P, EU:C:1999:402, 13 kohta).

49

Ensimmäisenä on syytä tutkia väitetyn vahingon tosiasiallisuutta koskeva edellytys.

50

Tästä edellytyksestä on muistutettava, että vahingon että on oltava todellinen ja varma. Täysin hypoteettinen ja määrittelemätön vahinko sen sijaan ei anna oikeutta vahingonkorvaukseen (ks. tuomio 26.10.2011, Dufour v. EKP, T‑436/09, EU:T:2011:634, 192 kohta oikeuskäytäntöviittauksineen). Varman vahingon aiheutumista koskeva edellytys kuitenkin täyttyy, kun vahinko on uhkaava ja riittävällä varmuudella ennakoitavissa, vaikka vahingon suuruutta ei vielä voidakaan täsmällisesti määrittää (ks. tuomio 3.12.2015, CN v. parlamentti, T‑343/13, EU:T:2015:926, 118 kohta oikeuskäytäntöviittauksineen).

51

Lisäksi kantajan on esitettävä näyttö, joka on tarpeen muun muassa väitetyn vahingon olemassaolon osoittamiseksi (ks. vastaavasti tuomio 16.7.2009, SELEX Sistemi Integrati v. komissio, C‑481/07 P, ei julkaistu, EU:C:2009:461, 36 kohta oikeuskäytäntöviittauksineen ja tuomio 8.11.2011, Idromacchine ym. v. komissio, T‑88/09, EU:T:2011:641, 25 kohta oikeuskäytäntöviittauksineen).

52

Käsiteltävässä asiassa Metan väittämä vahinko muodostuu mainos- ja liittymäsopimuksista saatujen tulojen vähenemisestä, joka Metan mukaan johtuu riidanalaisessa lausunnossa väitetysti asetetusta ”vaatimuksesta” tarjota käyttäjille maksutonta vaihtoehtoa sen lisäksi, että käyttäjillä on mahdollisuus valita, antavatko he suostumuksensa käyttötottumuksia seuraavan mainonnan vastaanottamiseen vai maksavatko he oikeudesta käyttää kyseistä palvelua vastaanottamatta tällaista mainontaa. Meta väittää, että Irlannin tietosuojaviranomainen ”kokee olevansa velvollinen” vaatimaan tällaisen vaihtoehdon tarjoamista ”muodossa tai toisessa” tai että se joutuu vaatimaan sitä sen jälkeen, kun tietosuojaneuvosto on antanut sitovan päätöksen asetuksen 2016/679 65 artiklan 1 kohdan c alakohdan perusteella.

53

On todettava, että tämä vahinko perustuu yhtäältä riidanalaisen lausunnon virheelliseen ymmärtämiseen, sillä siinä pyritään, kuten muun muassa edellä 21 ja 30 kohdassa todettiin, lähinnä vain määrittämään menetelmä suurten verkkoalustojen suostu tai maksa ‑mallien arvioimiseen asetuksessa 2016/679 vahvistettujen suostumuksen pätevyyttä koskevien sääntöjen kannalta, eikä sen ole tarkoitus tuottaa itsessään sitovia oikeusvaikutuksia. Toisaalta vahinko perustuu tuleviin ja epävarmoihin tapahtumiin, sillä se, että Irlannin tietosuojaviranomainen päättää soveltaa oma-aloitteisesti kyseistä arviointimenetelmää tai että tietosuojaneuvosto antaa sitovan päätöksen, ovat vain pelkkiä mahdollisuuksia.

54

Varman ja todellisen vahingon olemassaoloa koskeva edellytys ei näin ollen täyty.

55

Lisäksi syy-yhteyttä koskevasta edellytyksestä on todettava, että se koskee sitä, että unionin toimielimen, elimen tai laitoksen menettelyn ja vahingon välillä on riittävän suora syy-yhteys, joka kantajan on näytettävä toteen, siten, että moititun menettelyn on oltava vahingon ratkaiseva syy (ks. tuomio 13.12.2018, Euroopan unioni v. ASPLA ja Armando Álvarez, C‑174/17 P ja C‑222/17 P, EU:C:2018:1015, 23 kohta oikeuskäytäntöviittauksineen). Toisin sanoen on tutkittava, onko kyseinen lainvastainen toimi suoraan väitetyn vahingon taustalla, jotta voidaan todeta, onko sen toiminnan, josta unionia moititaan, ja väitetyn vahingon välillä syy-yhteys (tuomio 20.1.2010, Sungro v. neuvosto ja komissio, T‑252/07, T‑271/07 ja T‑272/07, EU:T:2010:17, 49 kohta).

56

Käsiteltävässä tapauksessa riidanalaisen lausunnon ja Metan väittämän vahingon välillä ei selvästikään ole tällaista yhteyttä. Edellä 20–36 kohdassa tehdystä tarkastelusta nimittäin ilmenee, ettei riidanalaisella lausunnolla ole pakottavia oikeusvaikutuksia, eli sillä ei ole sitovia vaikutuksia. Näin ollen se ei ole riittävän suora syy mahdolliseen tulojen vähenemiseen, jonka Meta väittää olevan edessään. Tällainen vahinko voi johtua suoraan Metan omasta vapaaehtoisesta käyttäytymisestä tai mahdollisista sitä sitovista päätöksistä, joiden vuoksi se joutuu tarjoamaan käyttäjille maksutonta vaihtoehtoa sen lisäksi, että käyttäjillä on mahdollisuus valita, antavatko he suostumuksensa käyttötottumuksia seuraavan mainonnan vastaanottamiseen vai maksavatko he oikeudesta käyttää kyseistä palvelua vastaanottamatta tällaista mainontaa.

57

Kaikki unionin sopimussuhteen ulkopuolisen vastuun nojalla esitetyt vaatimukset on siis hylättävä, koska ne ovat selvästi oikeudellisesti täysin perusteettomia, eikä tietosuojaneuvoston moititun menettelyn lainvastaisuutta koskevaa edellytystä tarvitse tutkia.

58

Näin ollen kanne on kokonaisuudessaan hylättävä.

59

Tässä tilanteessa Euroopan unionin neuvoston, Euroopan parlamentin ja Yhdysvaltojen oikeuden mukaan perustetun Chamber of Progress ‑yhtiön esittämistä väliintulohakemuksista ei ole tarpeen lausua.

60

Unionin yleisen tuomioistuimen työjärjestyksen 134 artiklan 1 kohdan mukaan asianosainen, joka häviää asian, velvoitetaan korvaamaan oikeudenkäyntikulut, jos vastapuoli on sitä vaatinut. Koska Meta on hävinnyt asian ja tietosuojaneuvosto on vaatinut oikeudenkäyntikulujensa korvaamista, Meta on velvoitettava korvaamaan tietosuojaneuvoston oikeudenkäyntikulut.

61

Työjärjestyksen 144 artiklan 10 kohdassa määrätään, että jos pääasian käsittely päätetään ennen väliintulohakemuksen ratkaisemista, kuten käsiteltävässä asiassa, väliintulohakemuksen tekijä ja varsinaiset asianosaiset vastaavat väliintulohakemukseen liittyvistä omista kuluistaan. Koska väliintulohakemuksia ei ole annettu tiedoksi Metalle eikä tietosuojaneuvostolle eikä niitä näin ollen ole saatettu tilanteeseen, jossa niille olisi voinut aiheutua tältä osin oikeudenkäyntikuluja, on katsottava, että neuvosto, parlamentti ja Chamber of Progress vastaavat väliintulohakemuksiin liittyvistä omista oikeudenkäyntikuluistaan.

Näillä perusteilla

UNIONIN YLEINEN TUOMIOISTUIN (kymmenes jaosto)

on määrännyt seuraavaa: