1

Svojom tužbom na temelju članka 263. UFEU‑a tužitelj, WhatsApp Ireland Ltd (u daljnjem tekstu: WhatsApp), traži poništenje obvezujuće odluke Europskog odbora za zaštitu podataka (u daljnjem tekstu: EDPB) 1/2021 od 28. srpnja 2021. o sporu između predmetnih nadzornih tijela nastalom zbog nacrta odluke u vezi s društvom WhatsApp koji je izradio Data Protection Commission (nadzorno tijelo za zaštitu osobnih podataka fizičkih osoba, Irska; u daljnjem tekstu: irsko nadzorno tijelo) (u daljnjem tekstu: pobijana odluka).

2

Nakon što je na snagu stupila Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.), irsko nadzorno tijelo primilo je od korisnika i nekorisnika aplikacije za slanje poruka „WhatsApp” pritužbe u pogledu obrade osobnih podataka koju izvršava WhatsApp. Osim toga, njemačko savezno nadzorno tijelo zatražilo je od irskog nadzornog tijela pomoć u pogledu pitanja poštuje li WhatsApp obveze transparentnosti, koje moraju ispunjavati voditelji obrade osobnih podataka, kad je riječ o eventualnom dijeljenju takvih podataka s drugim subjektima grupe Facebook (koja je u rujnu 2021. promijenila naziv u Meta).

3

U prosincu 2018. irsko je nadzorno tijelo po službenoj dužnosti pokrenulo opću istragu o pitanju poštuje li WhatsApp obveze transparentnosti i pružanja informacija u pogledu pojedinaca (za razliku od poduzetnika) koje su navedene u člancima 12., 13. i 14. Uredbe 2016/679, čime nisu dovedene u pitanje mjere koje je moglo poduzeti slijedom pojedinačnih pritužbi koje su mu upućene. Irsko nadzorno tijelo djelovalo je u tom pogledu kao „vodeće nadzorno tijelo”, kao što se to predviđa člankom 56. stavkom 1. Uredbe 2016/679, s obzirom na to da je WhatsApp kao voditelj obrade za operacije aplikacije za slanje poruka „WhatsApp” u Irskoj imao glavni poslovni nastan, a ta je obrada prekogranične prirode.

4

Nakon što je u rujnu 2019. podnošenjem konačnog izvješća istražitelja dovršena faza istrage, osoba nadležna za donošenje odluka u irskom nadzornom tijelu, nakon postupovnih međufaza tijekom kojih je WhatsApp iznio svoja očitovanja, podnijela je u prosincu 2020. nacrt odluke svim drugim nadzornim tijelima na koja se predmet odnosio, odnosno svim drugim nadzornim tijelima država članica, kako bi ta tijela dala svoje mišljenje o njemu, u skladu s onim što se predviđa člankom 60. stavkom 3. Uredbe 2016/679.

5

U siječnju 2021. od tih je nadzornih tijela njih osam, odnosno njemačko savezno nadzorno tijelo, nadzorno tijelo Baden‑Württemberga, mađarsko, nizozemsko, poljsko, francusko, talijansko i portugalsko nadzorno tijelo, podnijelo prigovore na određene aspekte tog nacrta odluke. Usto su razna nadzorna tijela iznijela svoje komentare. Irsko nadzorno tijelo dalo je drugim predmetnim nadzornim tijelima objedinjeni odgovor u kojem je predložilo kompromisna rješenja. Iako je, nakon tog odgovora, jedno od tih tijela povuklo jedan od svojih prigovora, irsko nadzorno tijelo utvrdilo je da predmetna nadzorna tijela nisu postigla konsenzus o njegovim prijedlozima o drugim aspektima u pogledu kojih su podneseni prigovori te je odlučilo odbiti sve te prigovore i uputiti predmet EDPB‑u kako bi on riješio spor između predmetnih nadzornih tijela u vezi s tim aspektima, u skladu s odredbama članka 60. stavka 4. i članka 65. stavka 1. točke (a) Uredbe 2016/679.

6

Irsko nadzorno tijelo primilo je u svibnju 2021. pisana očitovanja društva WhatsApp o elementima o kojima su raspravljala predmetna nadzorna tijela, nakon što mu je proslijedilo sve dokumente koji su u tom pogledu razmijenjeni, te je sâmo EDPB‑u proslijedilo navedena očitovanja kako bi ih uzeo u obzir u okviru postupka rješavanja sporova, koji je to tijelo pokrenulo u lipnju 2021.

7

EDPB, koji u skladu s člankom 68. stavkom 3. Uredbe 2016/679 čine „voditelji jednoga nadzornog tijela iz svake države članice i Europski nadzornik za zaštitu podataka, ili njihovi predstavnici”, 28. srpnja 2021. donio je dvotrećinskom većinom pobijanu odluku, u skladu s onim što se predviđa člankom 65. stavkom 2. Uredbe 2016/679. Pobijana odluka jest odluka koja se upućuje vodećem nadzornom tijelu i svim predmetnim nadzornim tijelima, i koja je za njih obvezujuća, kao što se to predviđa istom odredbom, te se odnosi na sva pitanja koja su predmet relevantnog i obrazloženog prigovora, kao što se to određuje člankom 65. stavkom 1. točkom (a) Uredbe 2016/679. U tom pogledu, EDPB je u pobijanoj odluci za svaki prigovor koji je podnijelo predmetno nadzorno tijelo najprije ispitao je li on relevantan i obrazložen. O prigovoru se izjašnjavao samo ako je odgovor na prethodno pitanje bio potvrdan.

8

Nakon što je irsko nadzorno tijelo primilo pobijanu odluku i nakon što mu je WhatsApp dostavio svoja očitovanja o novčanim kaznama koje su mu konačno trebale biti izrečene s obzirom na pobijanu odluku, osoba nadležna za donošenje odluka u tom tijelu donijela je 20. kolovoza 2021., u skladu s člankom 65. stavkom 6. Uredbe 2016/679, konačnu odluku, koja je upućena društvu WhatsApp (u daljnjem tekstu: konačna odluka). U konačnoj je odluci ocijenjeno da je WhatsApp povrijedio načelo i obveze transparentnosti koji su navedeni u članku 5. stavku 1. točki (a), članku 12. stavku 1., članku 13. stavku 1. točkama (c), (d), (e) i (f), članku 13. stavku 2. točkama (a), (c) i (e) te članku 14. Uredbe 2016/679. S druge strane, u njoj je navedeno da je WhatsApp poštovao obveze navedene u članku 13. stavku 1. točkama (a) i (b) te članku 13. stavku 2. točkama (b) i (d) Uredbe 2016/679. Kao korektivne mjere donesene na temelju članka 58. stavka 2. točaka (b), (d) i (i) Uredbe 2016/679, u konačnoj je odluci društvu WhatsApp izdana službena opomena i naloženo je poduzimanje određenog broja mjera, navedenih u prilogu, kako bi se u roku od tri mjeseca uskladilo s odredbama Uredbe 2016/679 koje je povrijedilo, kao i četiri upravne novčane kazne zbog utvrđenih povreda članka 5. stavka 1. točke (a) te članaka 12., 13. i 14. Uredbe 2016/679, u ukupnom iznosu od 225 milijuna eura.

9

Osoba nadležna za donošenje odluka u irskom nadzornom tijelu u konačnoj je odluci utvrdila aspekte zbog kojih je pobijana odluka zahtijevala da preispita ocjenu iznesenu u nacrtu odluke koji se navodi u točki 4. ovog rješenja. Kad je riječ o tim aspektima, odlučila je, u osjenčanim okvirima, u neizmijenjenom obliku ponoviti razloge koje je EDPB iznio u pobijanoj odluci, i za svaki od tih slučajeva jednostavno iz njih izvesti zaključke u zaključnoj točki. Pojasnila je da u konačnoj odluci, s jedne strane, nije navodila prigovore za koje je EDPB smatrao da nisu relevantni ili obrazloženi i čiju osnovanost zbog toga nije ocjenjivao, niti prigovore za koje je EDPB smatrao da ne zahtijevaju izmjenu ocjene iz nacrta odluke, te da se, s druge strane, nije izjašnjavala o tim prigovorima.

10

U skladu s člankom 65. stavkom 6. Uredbe 2016/679 pobijana odluka priložena je konačnoj odluci irskog nadzornog tijela.

11

U tom je pogledu očito da se EDPB u pobijanoj odluci redom izjašnjavao samo o aspektima navedenima u nastavku, u pogledu kojih su, prema njegovu mišljenju, podneseni relevantni i obrazloženi prigovori:

12

WhatsApp je usporedno podnio tužbu protiv konačne odluke pred irskim sudom i tražio od Općeg suda da poništi pobijanu odluku.

13

U okviru ovog postupka Computer & Communication Industry Association zatražio je intervenciju u potporu tužitelju, dok su Republika Finska, Europska komisija i Europski nadzornik za zaštitu podataka zatražili intervenciju u potporu EDPB‑u. S obzirom na njihove intervencije, glavne stranke tražile su da se određenim intervenijentima ne otkriju neki elementi spisa zbog njihove povjerljivosti. U ovoj fazi još nije odlučeno o tim zahtjevima.

14

U mjeri upravljanja postupkom donesenoj nakon podnošenja odgovora na tužbu, kojom su glavne stranke pozvane da u replici i odgovoru na repliku vode računa o tome da se izjasne o svim važnim pitanjima u pogledu nadležnosti Općeg suda i dopuštenosti tužbe, u tom se pogledu upućivalo na kvalifikaciju pobijane odluke kao akta tijela Europske unije, na kvalifikaciju pobijane odluke kao akta koji se može pobijati, na tužiteljevu aktivnu procesnu legitimaciju i njegov pravni interes.

15

WhatsApp zahtijeva da se pobijana odluka u cijelosti poništi ili, podredno, da se ponište njezini relevantni dijelovi te da se EDPB‑u naloži snošenje troškova.

16

EDPB zahtijeva da se tužba odbaci kao nedopuštena ili, podredno, da se odbije kao neosnovana te, još podrednije, da se ponište samo relevantni dijelovi pobijane odluke. EDPB zahtijeva i da se tužitelju naloži snošenje troškova.

17

Na temelju članka 129. Poslovnika, Opći sud može na prijedlog suca izvjestitelja u svakom trenutku po službenoj dužnosti, nakon što sasluša glavne stranke, odlučiti da obrazloženim rješenjem donese odluku o postojanju apsolutne zapreke vođenju postupka.

18

U ovom predmetu Opći sud smatra da je na temelju sadržaja spisa predmet dovoljno razjašnjen te odlučuje da će, u skladu s tim člankom, odluku o dopuštenosti tužbe donijeti bez provođenja postupka.

19

Naime, ispitivanje nadležnosti Općeg suda i provjera tužiteljeve aktivne procesne legitimacije pitanja su javnog poretka, kao što je to provjera drugih elemenata povezanih s dopuštenosti tužbe, te su, u ovom slučaju, glavne stranke imale priliku podnijeti svoja očitovanja u tom pogledu nakon mjere upravljanja postupkom navedene u točki 14. ovog rješenja, nakon što je uostalom sam EDPB u odgovoru na tužbu istaknuo nedopuštenost tužbe.

20

U ovom slučaju valja najprije podsjetiti na institucionalni pravni okvir pobijane odluke.

21

Poglavlje VI. Uredbe 2016/679 naslovljeno je „Neovisna nadzorna tijela”. U tom poglavlju, u članku 51. određuje se da svaka država članica „osigurava da je jedno ili više neovisnih tijela javne vlasti odgovorno za praćenje primjene ove Uredbe”, da svako od tih tijela „doprinosi dosljednoj primjeni ove Uredbe u cijeloj Uniji” i da u tu svrhu „nadzorna tijela surađuju međusobno i s Komisijom u skladu s poglavljem VII.”.

22

Člankom 55. predviđa se da je svako nadzorno tijelo nadležno za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene u skladu s Uredbom 2016/679 na državnom području vlastite države članice, a u članku 56. navodi se da je, ne dovodeći u pitanje članak 55., nadzorno tijelo glavnog poslovnog nastana ili jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade nadležno djelovati kao vodeće nadzorno tijelo za prekograničnu obradu koju provodi taj voditelj obrade ili izvršitelj obrade u skladu s postupkom utvrđenim u članku 60. Kao što se to navodi u točki 3. ovog rješenja, u ovom je predmetu irsko nadzorno tijelo u pogledu društva WhatsApp djelovalo kao vodeće nadzorno tijelo.

23

U članku 58. stavku 2. Uredbe 2016/679 određuje se da svako nadzorno tijelo ima korektivne ovlasti u pogledu voditelja obrade ili izvršitelja obrade i, konkretno, u njegovim točkama (b), (d) i (i), da ima ovlasti izdavati im službene opomene ako se postupcima obrade krše odredbe Uredbe 2016/679, narediti im da postupke obrade usklade s odredbama Uredbe 2016/679, prema potrebi na točno određen način i u točno zadanom roku te im izreći upravnu novčanu kaznu.

24

Poglavlje VII. Uredbe 2016/679, koje slijedi nakon odredbi navedenih u točkama 21. do 23. ovog rješenja, naslovljeno je „Suradnja i konzistentnost”.

25

U odjeljku tog poglavlja pod nazivom „Suradnja” člankom 60., koji je naslovljen „Suradnja vodećeg nadzornog tijela i drugih predmetnih nadzornih tijela”, predviđa se, među ostalim:

„1.   Vodeće nadzorno tijelo surađuje s drugim predmetnim nadzornim tijelima u skladu s ovim člankom kako bi se nastojao postići konsenzus. Vodeće nadzorno tijelo i predmetna nadzorna tijela međusobno razmjenjuju sve bitne informacije.

[…]

3.   Vodeće nadzorno tijelo bez odgađanja obavješćuje o bitnim informacijama u vezi s predmetom druga predmetna nadzorna tijela. Bez odgađanja podnosi nacrt odluke drugim predmetnim nadzornim tijelima kako bi ona dala svoje mišljenje te pridaje dužnu pozornost njihovim stajalištima.

4.   Ako neko od drugih predmetnih nadzornih tijela u roku od četiri tjedna nakon što je u skladu sa stavkom 3. ovog članka bilo obaviješteno izrazi relevantan i obrazložen prigovor na nacrt odluke, ako relevantan i obrazložen prigovor ne uzme u obzir ili smatra da prigovor nije relevantan ili obrazložen, vodeće nadzorno tijelo predmet predaje na rješavanje u sklopu mehanizma konzistentnosti iz članka 63.

5.   Ako vodeće nadzorno tijelo namjerava uzeti u obzir relevantan i obrazložen prigovor‚ revidirani nacrt odluke podnosi drugim predmetnim nadzornim tijelima kako bi ona dala svoje mišljenje. Na taj revidirani nacrt odluke primjenjuje se postupak iz stavka 4. u roku od dva tjedna.

6.   Ako ni jedno od drugih predmetnih nadzornih tijela ne uloži prigovor na nacrt odluke koji je podnijelo vodeće nadzorno tijelo u roku navedenom u stavcima 4. i 5. smatra se da se vodeće nadzorno tijelo i predmetna nadzorna tijela slažu s tim nacrtom odluke i on je za njih obvezujući.

7.   Vodeće nadzorno tijelo donosi odluku i dostavlja je u glavni ili jedini poslovni nastan voditelja obrade ili izvršitelja obrade, prema potrebi, te obavješćuje druga predmetna nadzorna tijela i Odbor o dotičnoj odluci prilažući i bitne činjenice i obrazloženja. Nadzorno tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o odluci.

[…]

10.   Nakon što ga vodeće nadzorno tijelo […] obavijesti o odluci, voditelj obrade ili izvršitelj obrade poduzima potrebne mjere kako bi osigurao da se odluka poštuje u odnosu na aktivnosti obrade, s obzirom na sve njegove poslovne nastane u Uniji. Voditelj obrade ili izvršitelj obrade o poduzetim mjerama za poštivanje odluke obavješćuju vodeće nadzorno tijelo koje izvješćuje druga predmetna nadzorna tijela.”

26

U odjeljku tog poglavlja VII. Uredbe 2016/679 pod nazivom „Konzistentnost” člankom 63., koji je naslovljen „Mehanizam konzistentnosti”, predviđa se:

„Kako bi se doprinijelo dosljednoj primjeni ove Uredbe u cijeloj Uniji, nadzorna tijela surađuju međusobno i prema potrebi s Komisijom u okviru mehanizma konzistentnosti, kako je utvrđeno u ovom odjeljku.”

27

EDPB sudjeluje u navedenom mehanizmu. Status EDPB‑a utvrđen je u trećem i posljednjem odjeljku poglavlja VII. Uredbe 2016/679, koji je naslovljen „Europski odbor za zaštitu podataka”.

28

U tom poglavlju, u članku 68. navodi se:

„1.   Europski odbor za zaštitu podataka (,Odbor’) osniva se kao tijelo Unije koje ima pravnu osobnost.

[…]

3.   Odbor čine voditelji jednoga nadzornog tijela iz svake države članice i Europski nadzornik za zaštitu podataka, ili njihovi predstavnici.

[…]”

29

U istom odjeljku člankom 70., koji je naslovljen „Zadaće Odbora”, predviđa se:

„1.   Odbor osigurava dosljednu primjenu ove Uredbe. U tu svrhu Odbor na vlastitu inicijativu ili prema potrebi na zahtjev Komisije, osobito:

[…]”

30

U tom članku 70. osim toga se detaljno navode druge zadaće EDPB‑a, a to su uglavnom savjetodavne zadaće koje mora izvršavati izdavanjem mišljenja, smjernica, preporuka i primjera „najbolje prakse”.

31

U odjeljku „Konzistentnost”, navedenom u točki 26. ovog rješenja, nakon članka 64., u kojem se navode slučajevi u kojima EDPB daje mišljenje, u članku 65., koji je naslovljen „Rješavanje sporova pri Odboru”, među ostalim se određuje:

„1.   Kako bi se osigurala ispravna i dosljedna primjena ove Uredbe u pojedinačnim slučajevima, Odbor donosi obvezujuću odluku u sljedećim slučajevima:

[…]

2.   Odluka iz stavka 1. donosi se […] dvotrećinsk[om] većin[om] članova Odbora […] Odluka iz stavka 1. obrazlaže se i upućuje vodećem nadzornom tijelu i svim predmetnim nadzornim tijelima te je za njih obvezujuća.

[…]

5.   Predsjednik Odbora obavješćuje bez odlaganja zainteresirana nadzorna tijela o odluci iz stavka 1. O njoj obavješćuje Komisiju. Odluka se bez odlaganja objavljuje na internetskim stranicama Odbora nakon što je nadzorno tijelo priopćilo konačnu odluku iz stavka 6.

6.   Vodeće nadzorno tijelo ili, ovisno o slučaju, nadzorno tijelo koje je zaprimilo pritužbu svoju konačnu odluku donosi na temelju odluke iz stavka 1. ovog članka bez nepotrebnog odlaganja i najkasnije mjesec dana nakon što je Odbor priopćio svoju odluku […] U konačnoj odluci poziva se na odluku iz stavka 1. ovog članka i u njoj se navodi da se odluka iz tog stavka objavljuje na internetskim stranicama Odbora u skladu sa stavkom 5. ovog članka. Konačnoj odluci prilaže se odluka iz stavka 1. ovog članka.”

32

U poglavlju VIII. Uredbe 2016/679, koje je naslovljeno „Pravna sredstva, odgovornost i sankcije”, u članku 78. uređuje se „pravo na učinkoviti pravni lijek protiv nadzornog tijela”, a u članku 79. „pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade”. Ono ne sadržava nijednu odredbu o pravnim sredstvima koja bi se mogla podnijeti protiv obvezujućih odluka EDPB‑a donesenih na temelju prethodno navedenog članka 65. stavka 1. Međutim, u članku 78. stavku 4. navodi se da, „ako je pokrenut postupak protiv odluke nadzornog tijela kojoj je prethodil[a] […] odluka Odbora u okviru mehanizma konzistentnosti, nadzorno tijelo prosljeđuje t[u] […] odluku sudu”.

33

U obrazloženju Uredbe 2016/679, u uvodnoj izjavi 143. navodi se:

„Svaka fizička ili pravna osoba ima pravo pokrenuti postupak za poništenje odluka Odbora pred Sudom u skladu s uvjetima iz članka 263. UFEU‑a. Kao primatelji takvih odluka, predmetna nadzorna tijela koja ih žele osporiti moraju pokrenuti postupak u roku od dva mjeseca od zaprimanja obavijesti o njima, u skladu s člankom 263. UFEU‑a. Kada se odluke Odbora izravno odnose na pojedinog voditelja obrade, izvršitelja obrade ili podnositelja pritužbe, ta osoba može pokrenuti postupak za poništenje tih odluka u roku od dva mjeseca od njihove objave na internetskim stranicama Odbora, u skladu s člankom 263. UFEU‑a. Ne dovodeći u pitanje to pravo u skladu s člankom 263. UFEU‑a, svaka fizička ili pravna osoba trebala bi imati učinkovit sudski pravni lijek pred nadležnim nacionalnim sudom protiv odluke nadzornog tijela koja proizvodi pravne učinke prema toj osobi. Takva odluka posebno se odnosi na provedbu istražnih, korektivnih i autorizacijskih ovlasti nadzornog tijela ili odbacivanje ili odbijanje pritužbi. Pravo na učinkovit sudski pravni lijek međutim ne obuhvaća mjere nadzornih tijela koje nisu pravno obvezujuće poput mišljenja ili savjeta koja je dalo nadzorno tijelo. Postupci protiv nadzornog tijela trebali bi se pokrenuti pred sudovima države članice u kojoj je nadzorno tijelo osnovano te bi se trebali voditi u skladu s postupovnim pravom te države članice. Ti bi sudovi trebali imati punu nadležnost koja bi trebala obuhvaćati nadležnost za ispitivanje svih činjeničnih i pravnih pitanja bitnih za konkretni spor.

Ako je nadzorno tijelo pritužbu odbilo ili odbacilo, podnositelj pritužbe može postupak pokrenuti pred sudovima iste države članice. U kontekstu pravnih lijekova povezanih s primjenom ove Uredbe, nacionalni sudovi koji smatraju odluku o određenom pitanju nužnom za donošenje presude, mogu, ili ako je riječ o slučaju iz članka 267. UFEU‑a, moraju, zatražiti od Suda da donese odluku o prethodnim pitanjima u vezi s tumačenjem prava Unije, među ostalim i ove Uredbe. Nadalje, ako se odluka nadležnog tijela o primjeni odluke Odbora osporava pred nacionalnim sudom te je u pitanju valjanost odluke Odbora, taj nacionalni sud nije ovlašten proglasiti odluku Odbora nevaljanom, već, kad god odluku smatra nevaljanom, pitanje o valjanosti mora uputiti Sudu u skladu s člankom 267. UFEU‑a kako ga tumači Sud. Međutim, nacionalni sud ne može uputiti pitanje o valjanosti odluke Odbora na zahtjev fizičke ili pravne osobe koja je imala priliku pokrenuti postupak za poništenje te odluke, ali to nije učinila u razdoblju utvrđenom u članku 263. UFEU‑a, osobito ako se odluka izravno i pojedinačno odnosila na nju.”

34

Člankom 263. UFEU‑a, čiji se prvi, drugi, četvrti i peti stavak navode u nastavku, propisuje se:

„Sud Europske unije ispituje zakonitost zakonodavnih akata, akata Vijeća, Komisije i Europske središnje banke, osim preporuka i mišljenja, te akata Europskog parlamenta i Europskog vijeća s pravnim učinkom prema trećima. On ispituje i zakonitost akata tijelâ, uredâ ili agencija Unije s pravnim učinkom prema trećima.

U tu svrhu Sud Europske unije nadležan je u postupcima koje pokreću država članica, Europski parlament, Vijeće ili Komisija zbog nenadležnosti, bitne povrede postupka, povrede Ugovorâ ili bilo kojeg pravnog pravila vezanog za njihovu primjenu ili zbog zloporabe ovlasti.

[…]

Svaka fizička ili pravna osoba može pod uvjetima utvrđenima u stavku prvom i drugom pokrenuti postupke protiv akta koji je upućen toj osobi ili koji se izravno i osobno odnosi na nju te protiv regulatornog akta koji se izravno odnosi na nju, a ne podrazumijeva provedbene mjere.

Aktima o osnivanju tijelâ, uredâ i agencija Unije mogu se utvrditi posebni uvjeti i aranžmani u vezi s postupcima koje su fizičke ili pravne osobe pokrenule protiv [akata] tih tijela, ureda ili agencija i koji prema njima imaju pravni učinak.

[…]”

35

Iz članka 263. prvog stavka UFEU‑a proizlazi da je sud Unije nadležan za ispitivanje zakonitosti akta tijela Unije koji ima pravni učinak prema trećima. Usto, iz istog članka, njegova četvrtog stavka, proizlazi da se, kako bi pravna osoba mogla pokrenuti postupak protiv pojedinačnog akta tijela Unije koji joj nije upućen, taj akt u načelu mora izravno i osobno odnositi na nju. U ovom slučaju, kao što je to navedeno u točki 32. ovog rješenja, Uredba 2016/679 ne sadržava nijednu odredbu koja bi odgovarala propisu iz članka 263. petog stavka UFEU‑a tako da se, u ovom slučaju, na društvo WhatsApp zapravo primjenjuju uvjeti predviđeni u četvrtom stavku tog članka prema kojima se, da bi njegova tužba protiv te odluke mogla biti dopuštena, pobijana odluka mora izravno i osobno odnositi na njega.

36

Najprije treba utvrditi da je pobijana odluka, koju je donio EDPB, doista akt tijela Unije. Točno je da bi se zbog institucionalnog sustava predviđenog Uredbom 2016/679, iznesenog u točkama 21. do 31. ovog rješenja, osobito isključive nadležnosti nacionalnih nadzornih tijela za izvršavanje korektivnih ovlasti u odnosu na voditelje obrade i izvršitelje obrade te mehanizama suradnje i konzistentnosti između tih tijela, među ostalim unutar EDPB‑a, koji u biti okuplja takva tijela, moglo smatrati da je taj odbor samo tijelo za koordinaciju nacionalnih odbora. Međutim, u skladu s člankom 68. stavkom 1. Uredbe 2016/679, EDPB je osnovan kao tijelo Unije koje ima pravnu osobnost. U tom je svojstvu također ovlašten donositi, na temelju članaka 64. i 65. Uredbe 2016/679, mišljenja i, u okviru rješavanja sporova između nacionalnih nadzornih tijela, odluke kao što je pobijana odluka koje su obvezujuće za predmetna nadzorna tijela, te su ta mišljenja i odluke stoga akti tijela Unije.

37

Nadalje, treba utvrditi da pobijana odluka proizvodi pravne učinke prema trećima jer je to „obvezujuća odluka” za predmetna nadzorna tijela, donesena na temelju članka 65. Uredbe 2016/679.

38

Međutim, kada tužitelj nije jedan od takozvanih „povlaštenih” tužitelja, izričito i pojedinačno navedenih u članku 263. drugom stavku UFEU‑a, ustaljena je sudska praksa da taj akt, da bi činio akt koji taj tužitelj može pobijati, treba proizvoditi obvezujuće pravne učinke koji utječu na interese tužitelja, bitno mijenjajući njegovu pravnu situaciju (presuda od 11. studenoga 1981., IBM/Komisija, 60/81, EU:C:1981:264, t. 9.; vidjeti također presudu od 18. studenoga 2010., NDSHT/Komisija, C‑322/09 P, EU:C:2010:701, t. 45. i navedenu sudsku praksu).

39

Sud je presudio i da se, ako akt koji takav tužitelj pobija nije njemu upućen, uvjet prema kojem akt treba bitno mijenjati tužiteljevu pravnu situaciju preklapa s uvjetima određenima u članku 263. četvrtom stavku UFEU‑a, odnosno, kada pobijani akt nije regulatorni akt koji ne podrazumijeva provedbene mjere, s nužnošću da se taj akt izravno i osobno odnosi na tužitelja (vidjeti u tom smislu presudu od 13. listopada 2011., Deutsche Post i Njemačka/Komisija, C‑463/10 P i C‑475/10 P, EU:C:2011:656, t. 38.).

40

U ovom slučaju, s obzirom na prirodu pobijanog akta, koji je pojedinačni akt, odmah se može napomenuti da se pobijana odluka odnosi osobno na društvo WhatsApp jer su njezin predmet određeni aspekti nacrta konačne odluke irskog nadzornog tijela koji se konkretno odnosi na njega. Suprotno onomu što EDPB tvrdi u odgovoru na repliku, nije točno da se u pobijanoj odluci samo navode načela ili tumačenje određenih odredbi Uredbe 2016/679 koji bi se mogli odnositi na bilo kojeg voditelja obrade. U pobijanoj se odluci, kao što je to navedeno u točki 11. ovog rješenja, EDPB izjašnjava o pitanju poštuje li WhatsApp neke od svojih obveza s obzirom na Uredbu 2016/679, elemente koji se dobivaju postupkom „Lossy Hashing Procedure”, a riječ je o obradi koju provodi samo WhatsApp, kvalificira kao osobne podatke te se izjašnjava o određenim korektivnim mjerama koje treba odrediti društvu WhatsApp, među ostalim o određenim aspektima određivanja upravnih novčanih kazni koje mu treba izreći. Stoga se pobijana odluka odnosi konkretno na WhatsApp, iako, kao što je to često u pojedinačnim aktima, uključuje navođenje općih načela i tumačenja ili podsjetnik na takva načela i tumačenja.

41

Zatim treba ispitati proizvodi li pobijana odluka pravne učinke koji bitno mijenjaju pravnu situaciju društva WhatsApp i odnosi li se ona na to društvo izravno u smislu članka 263. četvrtog stavka UFEU‑a.

42

U tom pogledu treba napomenuti, kao što to ovaj put pravilno naglašava EDPB, da pobijana odluka sama po sebi ne mijenja pravnu situaciju društva WhatsApp. Naime, za razliku od konačne odluke irskog nadzornog tijela, ona se na njega izravno ne primjenjuje te u pogledu njega čini pripremni akt, ili međuakt, u postupku koji se, u skladu s odredbama članka 58. stavka 2. i članaka 60., 63. i 65. Uredbe 2016/679, navedenima u točkama 23. do 26. te u točki 31. ovog rješenja, mora zaključiti upravo na način da nacionalno nadzorno tijelo donese konačnu odluku koja je upućena tom poduzetniku (vidjeti u tom smislu i po analogiji presudu od 24. lipnja 1986., AKZO Chemie i AKZO Chemie UK/Komisija, 53/85, EU:C:1986:256, t. 19.).

43

U tom pogledu, mnogo je puta presuđeno da – u postupcima u kojima se akt izrađuje u više faza – međumjere čija je svrha priprema konačne odluke načelno nisu akti koji se mogu pobijati (vidjeti u tom smislu presude od 11. studenoga 1981., IBM/Komisija, 60/81, EU:C:1981:264, t. 10. i od 26. siječnja 2010., Internationaler Hilfsfonds/Komisija, C‑362/08 P, EU:C:2010:40, t. 52. i navedenu sudsku praksu).

44

Iznimke od načela navedenog u točki 43. ovog rješenja odnose se na slučajeve u kojima međumjera ima samostalne pravne učinke u odnosu na koje se u okviru sudskog postupka protiv odluke kojom se okončava postupak ne može osigurati dovoljna sudska zaštita (vidjeti u tom smislu presude od 11. studenoga 1981., IBM/Komisija, 60/81, EU:C:1981:264, t. 11. i 12. i od 13. listopada 2011., Deutsche Post i Njemačka/Komisija, C‑463/10 P i C‑475/10 P, EU:C:2011:656, t. 53. i 54.). Primjerice, takve su iznimke uočene u okviru postupka kojim se nadzire poštovanje pravila tržišnog natjecanja koja se primjenjuju na poduzetnike (vidjeti u tom smislu presudu od 24. lipnja 1986., AKZO Chemie i AKZO Chemie UK/Komisija, 53/85, EU:C:1986:256, t. 20.), u okviru postupka kojim se nadzire poštovanje pravila u području državnih potpora (vidjeti u tom smislu presudu od 9. listopada 2001., Italija/Komisija, C‑400/99, EU:C:2001:528, t. 55. do 63.) i, kad je riječ o akcesornoj ili zaštitnoj mjeri koja prethodi konačnoj odluci, u pogledu privremenog udaljenja iz službe službenika pod stegovnim postupkom (vidjeti u tom smislu presudu od 5. svibnja 1966., Gutmann/Komisija, 18/65 i 35/65, EU:C:1966:24, t. 168.).

45

Nasuprot tomu, u ovom je slučaju društvu WhatsApp osigurana djelotvorna sudska zaštita u pogledu pobijane odluke mogućnošću podnošenja pravnog sredstva pred nacionalnim sudom protiv konačne odluke irskog nadzornog tijela, što omogućuje ocjenu valjanosti pobijane odluke. Kao što se to predviđa odredbama članka 78. stavka 1. Uredbe 2016/679, u kojem se navodi da svakoj osobi u svakoj državi članici treba biti osigurano pravo na učinkoviti pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi, WhatsApp je pred irskim sudom podnio tužbu protiv konačne odluke koju je donijelo irsko nadzorno tijelo te u okviru tog sudskog postupka može istaknuti nezakonitost obvezujućih ocjena iz pobijane odluke, koje su preuzete u toj konačnoj odluci. U tom pogledu valja podsjetiti na to da se u skladu s člankom 267. UFEU‑a pred nacionalnim sudom može istaknuti nevaljanost akata koje su donijele institucije, tijela, uredi ili agencije Unije, pri čemu se predviđa da, ako nacionalni sud smatra da je odluka o tom pitanju potrebna da bi mogao donijeti presudu, može ili je dužan Sudu Europske unije uputiti prethodno pitanje o ocjeni valjanosti. Ako Sud, nakon provođenja prethodnog postupka, utvrdi da je takav akt, ako je riječ o pripremnom aktu odluke koju je donijelo tijelo države članice, nevaljan, nacionalni sud mora iz toga izvesti zaključke u pogledu zakonitosti te odluke koja negativno utječe na dotičnu osobu (vidjeti u tom smislu presude od 30. listopada 1975., Rey Soda i dr., 23/75, EU:C:1975:142, t. 51. i od 20. ožujka 2018., Šroubárna Ždánice/Vijeće, T‑442/16, neobjavljenu, EU:T:2018:159, t. 34.).

46

Usto, pobijana odluka ne proizvodi za društvo WhatsApp samostalne pravne učinke u odnosu na konačnu odluku koju je donijelo irsko nadzorno tijelo: sve ocjene iz prve odluke preuzete su u drugoj te prva odluka ne proizvodi učinke koji bi bili neovisni o sadržaju druge, za razliku od slučaja u situacijama na temelju kojih su donesene presude od 5. svibnja 1966., Gutmann/Komisija (18/65 i 35/65, EU:C:1966:24); od 24. lipnja 1986., AKZO Chemie i AKZO Chemie UK/Komisija (53/85, EU:C:1986:256) i od 9. listopada 2001., Italija/Komisija (C‑400/99, EU:C:2001:528), navedene u točki 44. ovog rješenja.

47

U tom pogledu, iako su načela navedena u točkama 43. i 44. ovog rješenja bila utvrđena kad je riječ o postupcima za koje su, za donošenje konačne odluke, nadležne institucije ili druga tijela Unije, ne postoji razlog zbog kojeg bi vrijedilo drukčije kada je, kao u ovom slučaju, nadzor primjene konkretnih pravila Unije njezinim zakonodavstvom povjeren određenim nacionalnim tijelima u okviru postupaka koji se sastoje od više faza i kada je riječ o međumjeri koju je u takvom postupku, okončanom odlukom nacionalnog tijela, donijelo tijelo Unije.

48

Točno je da WhatsApp tvrdi da pobijana odluka predstavlja konačno stajalište EDPB‑a koje je irsko nadzorno tijelo trebalo slijediti u konačnoj odluci. Taj argument treba shvatiti na način da je pobijana odluka zbog toga nužno akt koji se može pobijati i da se razlikuje od međumjera kojima se samo izražava privremeno mišljenje, koje su same akti koji se ne mogu pobijati.

49

Međutim, kao što se na to podsjeća u točki 38. ovog rješenja, da bi akt mogao pobijati tužitelj koji nije jedan od takozvanih „povlaštenih” tužitelja navedenih u članku 263. drugom stavku UFEU‑a, taj akt treba, među ostalim, bitno mijenjati njegovu pravnu situaciju. Činjenica da se u međuaktu izražava konačno stajalište tijela koje treba biti preuzeto u konačnoj odluci kojom se završava postupak o kojem je riječ, kao u ovom slučaju, s obzirom na to da pobijana odluka sadržava konačnu analizu određenih aspekata konačne odluke, ne znači pak nužno da taj međuakt sam na bitan način mijenja tužiteljevu pravnu situaciju, kao što je, u ovom slučaju, prikazano u točkama 42. do 47. ovog rješenja. Budući da se taj uvjet, kao što se to navodi u točki 39. ovog rješenja, preklapa s uvjetima određenima u članku 263. četvrtom stavku UFEU‑a, odnosno, među ostalim, s nužnošću da se taj akt izravno odnosi na tužitelja, u ovom se slučaju može provjeriti je li taj uvjet ispunjen na način da se ispita odnosi li se pobijana odluka izravno na WhatsApp.

50

Međutim, kao što to pravilno tvrdi EDPB, pobijana odluka ne odnosi se izravno na WhatsApp.

51

Naime, ustaljena je sudska praksa da akt, da bi se izravno odnosio na tužitelja kojem nije upućen, treba, kao prvo, izravno proizvoditi pravne učinke na situaciju tog tužitelja te, kao drugo, ne ostavljati diskrecijsku ovlast onima kojima je upućen i koji su zaduženi za njegovu provedbu, pri čemu je ista automatska i proizlazi isključivo iz propisa Unije, bez primjene drugih posrednih pravila (presude od 13. svibnja 1971., International Fruit Company i dr./Komisija, 41/70 do 44/70, EU:C:1971:53, t. 23. do 28.; od 5. svibnja 1998., Dreyfus/Komisija, C‑386/96 P, EU:C:1998:193, t. 43. i od 17. rujna 2009., Komisija/Koninklijke FrieslandCampina, C‑519/07 P, EU:C:2009:556, t. 48.).

52

Kad je riječ o prvom od tih uvjeta, kao što je već navedeno u točki 42. ovog rješenja, pobijana odluka nije primjenjiva na WhatsApp na način da bi ta odluka, bez dodatnih faza postupka, mogla biti izvor obveza za njega ili, ovisno o slučaju, izvor pravâ za druge pojedince. Stoga se ona razlikuje, na primjer, od akata koji su bili predmet presude od 23. travnja 1986., Les Verts/Parlament (294/83, EU:C:1986:166), u pogledu kojih se u točki 31. te presude navodi, i stoga zaključuje da se akti izravno odnose na organizaciju tužiteljicu, da je „njima […] uspostavljeno cjelovito uređenje koje je samodostatno i koje ne zahtijeva nikakve provedbene propise”. U ovom slučaju pobijana odluka nije posljednja faza cjelovitog postupka predviđenog člancima 58., 60. i 65. Uredbe 2016/679.

53

Kad je riječ o drugom od tih uvjeta, koji se odnosi na diskrecijsku ovlast tijela zaduženog za provedbu predmetnog akta, treba utvrditi da, iako je irsko nadzorno tijelo obvezano pobijanom odlukom u pogledu aspekata na koje se ona odnosi, njome mu je ostavljena margina prosudbe u pogledu sadržaja konačne odluke.

54

Naime, kao što to proizlazi iz usporedbe sadržaja pobijane odluke, iznesenog u točki 11. ovog rješenja, kojom se daju upute predmetnim nadzornim tijelima, i sadržaja konačne odluke upućene društvu WhatsApp, iznesenog u točki 8. ovog rješenja, sadržaj je pobijane odluke djelomičan u odnosu na konačnu odluku.

55

Tako se u objema odlukama javlja utvrđenje da je WhatsApp povrijedio načelo transparentnosti navedeno u članku 5. stavku 1. točki (a) Uredbe 2016/679 i obveze navedene u njezinu članku 13. stavku 1. točki (d) i članku 13. stavku 2. točki (e), kvalificiranje kao osobnih podataka elemenata koji se dobivaju postupkom „Lossy Hashing Procedure”, koji se primjenjuje na podatke o „kontaktima” koji nisu korisnici aplikacije WhatsApp, a nalaze se u imenicima uređaja korisnika aplikacije WhatsApp, utvrđenje da je zbog tog kvalificiranja WhatsApp povrijedio obveze navedene u članku 14. Uredbe 2016/679, rok od tri mjeseca u kojem WhatsApp mora postupiti u skladu sa zahtjevima navedenima u Uredbi 2016/679, određeni aspekti korektivnih mjera, i to onih koje se odnose na osobne podatke nekorisnika aplikacije WhatsApp i na obvezu pružanja korisnicima aplikacije WhatsApp informacija navedenih u članku 13. stavku 2. točki (e) Uredbe 2016/679, tumačenje kriterijâ za određivanje visine iznosa upravnih novčanih kazni izrečenih društvu WhatsApp i povećanje iznosa tih novčanih kazni u odnosu na ukupan iznos za 30 do 50 milijuna eura koji je irsko nadzorno tijelo predvidjelo u nacrtu odluke.

56

S druge strane, konačna se odluka temelji na ocjeni irskog nadzornog tijela, a da se EDPB u pobijanoj odluci nije izjasnio u tom pogledu, kad je riječ o sljedećim aspektima: utvrđenju da je WhatsApp povrijedio obveze navedene u članku 12. stavku 1., članku 13. stavku 1. točkama (c), (e) i (f) te članku 13. stavku 2. točkama (a) i (c) Uredbe 2016/679; utvrđenju da je WhatsApp ispunjavao obveze navedene u članku 13. stavku 1. točkama (a) i (b) te članku 13. stavku 2. točkama (b) i (d) Uredbe 2016/679; svojstvu u kojem WhatsApp djeluje kada obrađuje osobne podatke nekorisnika svoje aplikacije za slanje poruka; ključnom sadržaju korektivnih mjera koje se određuju društvu WhatsApp, i to onih kojima se želi osigurati poštovanje obveza iz članka 12. stavka 1., članka 13. stavka 1. točaka (c), (d), (e) i (f) i članka 13. stavka 2. točaka (a) i (c) Uredbe 2016/679; točnom određenju iznosa upravnih novčanih kazni izrečenih društvu WhatsApp, koji doseže ukupno 225 milijuna eura.

57

Valja osobito napomenuti da se irsko nadzorno tijelo koristilo marginom prosudbe kada je iz uputa danih u pobijanoj odluci izvelo zaključke u pogledu kvalifikacije elemenata koji se dobivaju postupkom „Lossy Hashing Procedure” kao osobnih podataka te u pogledu upravnih novčanih kazni.

58

Kad je riječ o prvom aspektu, odnosno pitanju obrade osobnih podataka nekorisnika aplikacije WhatsApp, konkretno elemenata koji se dobivaju postupkom „Lossy Hashing Procedure”, kao što to proizlazi iz točke 111. konačne odluke, sljedeći je korak analize kojom treba odrediti je li WhatsApp, u pogledu tih osoba, povrijedio obveze navedene u članku 14. Uredbe 2016/679, utvrditi je li WhatsApp, kad je riječ o predmetnoj obradi osobnih podataka, djelovao kao voditelj obrade ili samo kao izvršitelj obrade koji djeluje za račun korisnika njegove aplikacije za slanje poruka koji je aktivirao opciju „Kontakti”. Naime, taj je korak analize, koji je zaključen utvrđenjem da je riječ o prvom slučaju, rezultat ocjene irskog nadzornog tijela, pri čemu EDPB u pobijanoj odluci nije izrazio svoje stajalište u tom pogledu.

59

Kad je riječ o određivanju upravnih novčanih kazni, iako se u pobijanoj odluci iznose upute u pogledu tumačenja kriterijâ za određivanje visine upravnih novčanih kazni koje se izriču na temelju Uredbe 2016/679 i u pogledu povećanja ukupnog iznosa novčanih kazni koje, u ovom slučaju, trebaju biti izrečene društvu WhatsApp u odnosu na ono što je u nacrtu odluke predvidjelo irsko nadzorno tijelo, isto je zadržalo marginu prosudbe za određenje točnog iznosa novčanih kazni koje trebaju biti izrečene društvu WhatsApp. Uostalom, kao što je to navedeno u točki 8. ovog rješenja, irsko je nadzorno tijelo, prije nego što je donijelo konačnu odluku, od društva WhatsApp zatražilo očitovanja o novim novčanim kaznama koje mu je namjeravalo izreći, što odgovara utvrđenju da je to tijelo zadržalo marginu prosudbe u tom pogledu. U ovom se slučaju može uočiti da je u konačnoj odluci naposljetku primijenjena donja vrijednost raspona novih kazni koje je predvidjelo irsko nadzorno tijelo.

60

Konačna odluka čini pak cjelinu te se od nje ne mogu odvojiti dijelovi koji odgovaraju uputama iz pobijane odluke, na način da čine konačnu „pododluku” u pogledu koje nadzorno tijelo ne bi imalo nikakvu marginu prosudbe. Naime, istraga i konačna odluka irskog nadzornog tijela odnosile su se na pitanje poštuje li WhatsApp načelo transparentnosti i sve konkretne obveze povezane s time koje su navedene u Uredbi 2016/679. Dakle, u konačnoj je odluci analizirana opća praksa društva WhatsApp u tom pogledu te je isti aspekt te prakse ispitan s obzirom na više relevantnih odredbi Uredbe 2016/679, na primjer s obzirom na članak 5. stavak 1. točku (a), članak 12. stavak 1. i brojne odredbe članka 13. Uredbe 2016/679, a pobijana odluka sadržava samo analizu s obzirom na neke od tih odredbi. Ne bi imalo smisla od opće analize provedene u konačnoj odluci odvojiti određene pojedinačne elemente, dok se postupak pokrenut u pogledu društva WhatsApp, na inicijativu i pod odgovornošću irskog nadzornog tijela kao vodećeg nadzornog tijela, odnosio na donošenje opće ocjene u pogledu pitanja poštuje li WhatsApp načelo transparentnosti. Konkretno, kad je riječ o određivanju novčanih kazni, iznos svake od četiriju upravnih novčanih kazni irsko nadzorno tijelo odredilo je s obzirom na sve utvrđene povrede članka 5. stavka 1. točke (a) odnosno članaka 12., 13. i 14. Uredbe 2016/679.

61

Stoga nije ispunjen nijedan od dvaju uvjeta navedenih u točki 51. ovog rješenja, na temelju kojih bi se, da su oni ispunjeni, moglo smatrati da se pobijana odluka izravno odnosi na društvo WhatsApp.

62

Iz prethodno navedenog proizlazi da je tužba društva WhatsApp nedopuštena.

63

Rezultat te analize odgovara onomu što se smatralo u pogledu drugih postupaka u kojima je obvezujući akt Unije koji se odnosi na poduzetnike bio upućen državi članici.

64

Tako je u području nadzora državnih potpora odlučeno da se, kada Komisija donese odluku kojom se već dodijeljena potpora proglašava nezakonitom i nespojivom s unutarnjim tržištem i naloži državi članici koja je dodijelila potporu da vrati isplaćene potpore, ta odluka izravno i osobno odnosi na primatelje tih potpora (vidjeti u tom smislu presudu od 19. listopada 2000., Italija i Sardegna Lines/Komisija, C‑15/98 i C‑105/99, EU:C:2000:570, t. 33. do 36.). U tom je pogledu navedeno da ti primatelji, od trenutka donošenja takve odluke, imaju obvezu vratiti pogodnosti koje su primili te to stoga utječe na njihovu pravnu situaciju (presuda od 9. lipnja 2011., Comitato Venezia vuole vivere i dr./Komisija, C‑71/09 P, C‑73/09 P i C‑76/09 P, EU:C:2011:368, t. 56.). To objašnjava činjenica da je nadzorni postupak u toj fazi završen, da nisu potrebne dodatne meritorne ocjene, s obzirom na to da su iznosi koje treba vratiti automatski određeni na temelju Komisijine odluke i potpora koje su prethodno dodijeljene predmetnim poduzetnicima, da je država članica dužna sama pokrenuti povrat tih potpora i izvršiti ga u cijelosti osim u sasvim iznimnim okolnostima (vidjeti u tom smislu presude od 7. lipnja 1988., Komisija/Grčka,63/87, EU:C:1988:285; od 20. rujna 1990., Komisija/Njemačka, C‑5/89, EU:C:1990:320, t. 15. i 16. i od 20. ožujka 1997., Alcan Deutschland, C‑24/95, EU:C:1997:163) te da treće osobe mogu na temelju Komisijine odluke pred upravom o kojoj je riječ ili nacionalnim sudom podnijeti zahtjev da se izvrši povrat predmetnih potpora a da sami ne moraju snositi teret dokazivanja da su dodijeljene nezakonito (vidjeti po analogiji presudu od 12. veljače 2008., CELF i ministre de la Culture et de la Communication, C‑199/06, EU:C:2008:79, t. 23. i 39. do 41.). U ovom slučaju pobijana odluka ne spada u istu fazu postupka, s obzirom na to da nadzorni postupak nije završio njezinim donošenjem, da je vodeće nadzorno tijelo još trebalo potvrditi ili provesti dodatne ocjene u pogledu pitanja poštuje li WhatsApp odredbe Uredbe 2016/679 i kazne koja se izriče te da pobijana odluka sama nije mogla služiti kao pravno obvezujuća osnova za određivanje obveza društvu WhatsApp.

65

Također je odlučeno da se Komisijina odluka upućena državi članici kojom se ona obavještava da je financiranje iz sredstava EU‑a u korist određenog poduzetnika smanjeno u odnosu na predviđeno financiranje, na osnovi toga što su određeni troškovi koje je prijavio taj poduzetnik neprihvatljivi za to financiranje, izravno i osobno odnosi na njega jer zbog predmetne odluke ostaje bez dijela financijske potpore koja mu je prvotno dodijeljena a da država članica ne raspolaže diskrecijskom ovlašću u tom pogledu (presuda od 4. lipnja 1992., Infortec/Komisija, C‑157/90, EU:C:1992:243, t. 17.). Međutim, u ovom slučaju, za razliku od Komisijine odluke na temelju koje je donesena ta ocjena, pobijana odluka nije, kao što je to utvrđeno u točki 52. ovog rješenja, posljednja faza cjelovitog postupka o kojem je riječ te, kao što je to utvrđeno u točkama 56. i 57. ovog rješenja, njome je irskom nadzornom tijelu ostavljena margina prosudbe.

66

Općenitije gledajući, nedopuštenost tužbe koju je WhatsApp podnio Općem sudu protiv pobijane odluke u skladu je s logikom sustava pravnih lijekova koji je uspostavljen UEU‑om i UFEU‑om.

67

Kao što se to navodi u članku 2. UEU‑a, Unija se, među ostalim, temelji na poštovanju vladavine prava. Člankom 6. stavkom 1. UEU‑a određuje se da Unija priznaje prava, slobode i načela određena Poveljom Europske unije o temeljnim pravima, a njezinim se člankom 47. jamči pravo na djelotvoran pravni lijek i na pošteno suđenje. U članku 19. UEU‑a pojašnjava se da Sud Europske unije osigurava poštovanje prava pri tumačenju i primjeni Ugovorâ, a osobito da u skladu s Ugovorima donosi odluke u postupcima koje pokreću države članice, institucije ili fizičke ili pravne osobe i odlučuje o prethodnim pitanjima, na zahtjev sudova država članica, o tumačenju prava Unije ili valjanosti akata koje su usvojile institucije te donosi odluke u ostalim slučajevima predviđenima Ugovorima. Istim se člankom predviđa da države članice osiguravaju pravne lijekove dostatne za osiguranje učinkovite pravne zaštite u područjima obuhvaćenima pravom Unije.

68

Konkretnije, UFEU‑om, osobito njegovim člankom 263., koji se odnosi na postupke koji se pokreću izravno pred Sudom Europske unije, i njegovim člankom 267., koji se odnosi na slučajeve u kojima taj sud odlučuje o prethodnim pitanjima koja se osobito tiču valjanosti i tumačenja akata institucija, tijelâ, uredâ ili agencija Unije, uspostavljen je cjelovit sustav pravnih lijekova kojima je cilj osigurati nadzor zakonitosti akata Unije (vidjeti u tom smislu presudu od 25. srpnja 2002., Unión de Pequeños Agricultores/Vijeće, C‑50/00 P, EU:C:2002:462, t. 40.). U tom sustavu sudjeluju Sud Europske unije, čiji je Opći sud dio, kao i nacionalni sudovi. U okviru tog sustava osobe koje, zbog pretpostavki dopuštenosti navedenih u članku 263. UFEU‑a, ne mogu pobijati akt Unije izravno pred Sudom Europske unije nevaljanost takvog akta mogu istaknuti, koristeći se prigovorom nezakonitosti, pred nacionalnim sudom na način da podnesu pravno sredstvo protiv nacionalnih mjera kojima se provodi taj akt. U toj je situaciji na nacionalnom sudu, ako smatra da je odluka o tom pitanju potrebna da bi mogao donijeti odluku i ako dvoji o valjanosti tog akta, da u pogledu toga Sudu Europske unije uputi prethodno pitanje (vidjeti u tom smislu i po analogiji također presudu od 25. srpnja 2002., Unión de Pequeños Agricultores/Vijeće, C‑50/00 P, EU:C:2002:462, t. 40.).

69

Logika je tog sustava, koja osobito objašnjava tumačenje pretpostavki dopuštenosti izravnih tužbi iz članka 263. UFEU‑a, na koje se podsjetilo u analizi iznesenoj u točkama 35. do 62. ovog rješenja, da se sudski postupak pred Sudom Europske unije i onaj pred nacionalnim sudovima učinkovito dopunjuju te da sud Unije i nacionalni sud ne moraju istodobno, u usporednim postupcima, odlučivati o valjanosti istog akta Unije, neovisno o tome odlučuje li se izravno ili, kad je riječ o nacionalnom sudu koji dvoji o valjanosti predmetnog akta, nakon upućivanja prethodnog pitanja. Ta je logika osobito mogla opravdati činjenicu da se smatra da tužitelj koji je odluku Unije mogao nedvojbeno pobijati pred Sudom Europske unije više ne može naknadno osporavati valjanost te odluke, konkretno u okviru kasnijeg postupka pred nacionalnim sudom (vidjeti u tom smislu presudu od 9. ožujka 1994., TWD Textilwerke Deggendorf, C‑188/92, EU:C:1994:90, t. 17.; vidjeti u tom smislu i presudu od 9. lipnja 2011., Comitato Venezia vuole vivere i dr./Komisija, C‑71/09 P, C‑73/09 P i C‑76/09 P, EU:C:2011:368, t. 58. i navedenu sudsku praksu). Suprotno tomu, dosljedno se presuđuje da se nezakonitost akta Unije koji se ne može pobijati, a koji služi kao osnova drugom aktu, može istaknuti prilikom tužbe protiv tog drugog akta (presuda od 11. studenoga 1981., IBM/Komisija, 60/81, EU:C:1981:264, t. 12. i, a contrario, prethodno navedena sudska praksa).

70

U ovom bi slučaju priznavanje dopuštenosti tužbe društva WhatsApp protiv pobijane odluke dovelo do vođenja dvaju usporednih sudskih postupaka koji se uvelike preklapaju, jednoga pred Općim sudom, kojim se osporava pobijana odluka, i drugoga pred irskim sudom, kojim se osporava konačna odluka, čije se obrazloženje djelomično temelji na pobijanoj odluci. WhatsApp je uostalom, radi produljenja roka za podnošenje replike Općem sudu, istaknuo radno opterećenje koje od njega usporedno zahtijeva postupak pred irskim sudom kojem je podnio tužbu. Osim ako jedan od sudova kojima je podnesena tužba ne prekine postupak koji se vodi pred njim, što bi moglo dovesti do produljenja vremena potrebnog da se dobije konačno rješenje u pogledu zakonitosti konačne odluke, ti bi usporedni postupci čak mogli dovesti do situacije u kojoj bi Sud, u prethodnom postupku, i Opći sud, povodom izravne tužbe društva WhatsApp, trebali istodobno odlučiti o valjanosti pobijane odluke. S obzirom na sustav pravnih lijekova naveden u točkama 68. i 69. ovog rješenja i s obzirom na odredbe članka 78. Uredbe 2016/679 o pravu na učinkoviti pravni lijek protiv nadzornog tijela, irski će sud pred kojim je pokrenut postupak, koji je jedini nadležan u tom pogledu, po potrebi trebati provesti nadzor zakonitosti konačne odluke primjenjive na društvo WhatsApp na način da Sudu Europske unije uputi prethodno pitanje o ocjeni valjanosti pobijane odluke ako smatra da je to potrebno da bi mogao odlučiti o sporu između društva WhatsApp i irskog nadzornog tijela. Irski sud pred kojim je pokrenut postupak mogao bi, u tom pogledu, odlučiti o sporu koji se pred njim vodi na način da, ako nema dvojbi o valjanosti pobijane odluke, odbije prigovor nezakonitosti koji bi mogao biti istaknut protiv te odluke a da pritom ne uputi pitanje Sudu ili bi mogao, naprotiv, ako ima takve dvojbe, pokrenuti postupak pred Sudom ili pak odlučiti o sporu neovisno o pitanju valjanosti pobijane odluke s obzirom na tužbene razloge koji su istaknuti pred njim. To je rješenje u interesu dobrog sudovanja, uzimajući u obzir rizike koje nose usporedni sudski postupci navedene na početku ove točke.

71

Naposljetku, kad je riječ o uvodnoj izjavi 143. Uredbe 2016/679, navedenoj u točki 33. ovog rješenja, koja bi mogla navesti na zaključak da je tužba poput one koju je WhatsApp podnio pred Općim sudom dopuštena, valja istaknuti da uvodna izjava uredbe, iako može razjasniti tumačenje pravnog pravila, ne može sama po sebi predstavljati takvo pravilo te da preambula akta Unije nema pravno obvezujuću snagu (vidjeti presudu od 26. listopada 2017., Marine Harvest/Komisija, T‑704/14, EU:T:2017:753, t. 150. i navedenu sudsku praksu; vidjeti u tom smislu i presudu od 24. studenoga 2005., Deutsches Milch‑Kontor, C‑136/04, EU:C:2005:716, t. 32. i navedenu sudsku praksu). U ovom pak slučaju ta uvodna izjava nije temelj ni jedne odredbe Uredbe 2016/679, kao što je to istaknuto u točkama 32. i 35. ovog rješenja. Usto, objašnjenje koje se navodi u obrazloženju uredbe ne može imati prednost nad primjenjivim pravilima primarnog prava iz Ugovorâ, u ovom slučaju onima iz prvog i četvrtog stavka članka 263. UFEU‑a, čija se bit, uostalom, djelomično iznosi u predmetnoj uvodnoj izjavi kada se, u prvoj rečenici, navodi da „[s]vaka fizička ili pravna osoba ima pravo pokrenuti postupak za poništenje odluka Odbora pred Sudom u skladu s uvjetima iz članka 263. UFEU‑a”.

72

Iz svega navedenog proizlazi da tužbu treba odbaciti kao nedopuštenu.

73

U skladu s člankom 142. stavkom 2. Poslovnika, intervencija je akcesorna glavnom postupku i gubi svoju svrhu, među ostalim, kad je tužba proglašena nedopuštenom.

74

Stoga se obustavlja postupak o zahtjevima za intervenciju i posljedičnim zahtjevima za povjerljivo postupanje s elementima spisa.

75

U skladu s člankom 134. stavkom 1. Poslovnika, stranka koja ne uspije u postupku dužna je, na zahtjev protivne stranke, snositi troškove. Budući da WhatsApp nije uspio u postupku, valja mu naložiti snošenje troškova u skladu sa zahtjevom EDPB‑a, podložno onomu što se navodi u točki 76. ovog rješenja.

76

Osim toga, u skladu s člankom 144. stavkom 10. Poslovnika, ako je glavni postupak završio prije odlučivanja o zahtjevu za intervenciju, podnositelj zahtjeva za intervenciju i glavne stranke snose svatko vlastite troškove povezane sa zahtjevom za intervenciju. U ovom će slučaju WhatsApp, EDPB, Republika Finska, Komisija, Europski nadzornik za zaštitu podataka i Computer & Communication Industry Association snositi vlastite troškove povezane sa zahtjevima za intervenciju.

Slijedom navedenog,

OPĆI SUD (četvrto prošireno vijeće)

rješava: