1

Met haar beroep krachtens artikel 263 VWEU verzoekt verzoekster, WhatsApp Ireland Ltd (hierna: „WhatsApp”), om nietigverklaring van bindend besluit 1/2021 van het Europees Comité voor gegevensbescherming (EDPB) van 28 juli 2021 betreffende het geschil dat tussen de betrokken toezichthoudende autoriteiten is ontstaan over het door de Data Protection Commission (toezichthoudende autoriteit op het gebied van bescherming van persoonsgegevens van natuurlijke personen, Ierland; hierna: „Ierse toezichthoudende autoriteit”) opgestelde ontwerpbesluit betreffende WhatsApp (hierna: „bestreden besluit”).

2

Na de inwerkingtreding van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2) heeft de Ierse toezichthoudende autoriteit klachten ontvangen van gebruikers en niet-gebruikers van de berichtendienst „WhatsApp” over de verwerking van persoonsgegevens door WhatsApp. Daarenboven heeft de Duitse federale toezichthoudende autoriteit de Ierse toezichthoudende autoriteit om bijstand verzocht met betrekking tot de vraag of WhatsApp de op verantwoordelijken voor de verwerking van persoonsgegevens rustende transparantieverplichtingen naleefde bij het mogelijk delen van die gegevens met andere entiteiten van het Facebook-concern (in september 2021 omgedoopt tot Meta).

3

In december 2018 is de Ierse toezichthoudende autoriteit ambtshalve een algemeen onderzoek gestart naar de naleving door WhatsApp van de in de artikelen 12, 13 en 14 van verordening 2016/679 vervatte transparantie- en informatieverplichtingen ten aanzien van particulieren (als tegenhanger van ondernemingen), onverminderd de stappen die zij zou kunnen ondernemen naar aanleiding van bij haar ingediende individuele verzoeken. De Ierse toezichthoudende autoriteit is in dit verband opgetreden als „leidende toezichthoudende autoriteit”, als bedoeld in artikel 56, lid 1, van verordening 2016/679, aangezien WhatsApp als verwerkingsverantwoordelijke voor de Europese activiteiten van de berichtendienst „WhatsApp” haar hoofdvestiging in Ierland had en die verwerking een grensoverschrijdend karakter had.

4

Nadat de onderzoeksfase in september 2019 was afgerond met de indiening van een eindverslag door de onderzoeker, heeft de besluitvormer van de Ierse toezichthoudende autoriteit in december 2020, na tussentijdse procedurele fasen waarin WhatsApp haar opmerkingen had ingediend, overeenkomstig artikel 60, lid 3, van verordening 2016/679 ter beoordeling een ontwerpbesluit voorgelegd aan alle andere bij de zaak betrokken toezichthoudende autoriteiten, namelijk alle andere toezichthoudende autoriteiten van de lidstaten.

5

In januari 2021 hebben acht van die toezichthoudende autoriteiten, namelijk de Duitse federale, de Baden-Württembergse, de Hongaarse, de Nederlandse, de Poolse, de Franse, de Italiaanse en de Portugese toezichthoudende autoriteit, bezwaar gemaakt tegen bepaalde aspecten van dat ontwerpbesluit. Daarnaast zijn door verschillende toezichthoudende autoriteiten gewone opmerkingen geformuleerd. De Ierse toezichthoudende autoriteit heeft de andere betrokken toezichthoudende autoriteiten gegroepeerd geantwoord en compromisoplossingen voorgesteld. Ofschoon een van die autoriteiten naar aanleiding van dat antwoord een van haar bezwaren heeft ingetrokken, heeft de Ierse toezichthoudende autoriteit vastgesteld dat er tussen de betrokken toezichthoudende autoriteiten geen consensus kon worden bereikt over haar voorstellen met betrekking tot de andere aspecten waartegen bezwaar was gemaakt, en zij heeft besloten al die bezwaren af te wijzen om ze met het oog op de beslechting van het over die aspecten tussen de betrokken toezichthoudende autoriteiten bestaande geschil voor te leggen aan het EDPB overeenkomstig artikel 60, lid 4, en artikel 65, lid 1, onder a), van verordening 2016/679.

6

In mei 2021 heeft de Ierse toezichthoudende autoriteit de schriftelijke opmerkingen van WhatsApp over de tussen de betrokken toezichthoudende autoriteiten besproken kwesties ontvangen na haar alle in dat verband uitgewisselde documenten te hebben toegezonden. Die opmerkingen heeft zij op haar beurt doorgestuurd naar het EDPB ter kennisname in het kader van de geschillenbeslechtingsprocedure die zij in juni 2021 was gestart.

7

Het EDPB, dat volgens artikel 68, lid 3, van verordening 2016/679 is samengesteld uit „de voorzitter van één toezichthoudende autoriteit per lidstaat en de Europese Toezichthouder voor gegevensbescherming, of hun respectieve vertegenwoordigers”, heeft het bestreden besluit op 28 juli 2021 met een tweederdemeerderheid vastgesteld, zoals is bepaald in artikel 65, lid 2, van verordening 2016/679. Zoals in dezelfde bepaling is vastgesteld, is het bestreden besluit een tot de leidende toezichthoudende autoriteit en tot alle betrokken toezichthoudende autoriteiten gericht en voor hen bindend besluit en, zoals bepaald in artikel 65, lid 1, onder a), van verordening 2016/679, heeft het betrekking op alle aangelegenheden die onderwerp zijn geweest van relevante en gemotiveerde bezwaren. Dienaangaande heeft het EDPB in het bestreden besluit voor elk bezwaar van een betrokken toezichthoudende autoriteit eerst onderzocht of het relevant en gemotiveerd was. Het heeft over de bezwaren slechts een standpunt ingenomen voor zover deze voorafgaande vraag bevestigend kon worden beantwoord.

8

Nadat de Ierse toezichthoudende autoriteit het bestreden besluit in ontvangst had genomen en van WhatsApp opmerkingen had ontvangen over de geldelijke sancties die uiteindelijk in het licht van het bestreden besluit jegens haar werden overwogen, heeft de besluitvormer van die autoriteit op 20 augustus 2021 overeenkomstig artikel 65, lid 6, van verordening 2016/679 een tot WhatsApp gericht definitief besluit vastgesteld (hierna: „definitief besluit”). Volgens het definitieve besluit heeft WhatsApp het transparantiebeginsel en de transparantieverplichtingen van artikel 5, lid 1, onder a), artikel 12, lid 1, artikel 13, lid 1, onder c), d), e) en f), artikel 13, lid 2, onder a), c) en e), en artikel 14 van verordening 2016/679 niet nageleefd. Aan de andere kant wordt daarin aangegeven dat WhatsApp heeft voldaan aan de verplichtingen van artikel 13, lid 1, onder a) en b), en van artikel 13, lid 2, onder b) en d), van verordening 2016/679. Als corrigerende maatregelen uit hoofde van artikel 58, lid 2, onder b), d) en i), van verordening 2016/679 wordt WhatsApp in het definitieve besluit berispt, wordt zij verplicht om een aantal in een bijlage opgesomde maatregelen uit te voeren teneinde binnen drie maanden aan de geschonden bepalingen van verordening 2016/679 te voldoen, en worden haar vier administratieve geldboeten opgelegd met betrekking tot de in artikel 5, lid 1, onder a), en de artikelen 12, 13 en 14 van verordening 2016/679 genoemde inbreuken, voor een totaalbedrag van 225 miljoen EUR.

9

De besluitvormer van de Ierse toezichthoudende autoriteit geeft in het definitieve besluit aan voor welke aspecten hij op grond van het bestreden besluit de beoordeling in het in punt 4 hierboven genoemde ontwerpbesluit heeft moeten herzien. Wat die aspecten betreft, heeft hij ervoor gekozen om de door het EDPB in het bestreden besluit gegeven motivering ongewijzigd, in gearceerde tekstvakken, over te nemen en om daaruit in een afsluitend punt eenvoudigweg voor elk aspect de consequenties te trekken. Hij preciseert dat hij in het definitieve besluit niet heeft verwezen naar de bezwaren die het EDPB niet relevant of gemotiveerd heeft bevonden en deze derhalve niet op hun merites heeft beoordeeld, noch naar de bezwaren die volgens het EDPB geen wijziging van de beoordeling in het ontwerpbesluit noodzakelijk maakten, en dat hij in dat besluit geen standpunt over die bezwaren inneemt.

10

Overeenkomstig artikel 65, lid 6, van verordening 2016/679 is het bestreden besluit aan het definitieve besluit van de Ierse toezichthoudende autoriteit gehecht.

11

Dienaangaande blijkt dat het EDPB in het bestreden besluit enkel een standpunt heeft ingenomen over achtereenvolgens de volgende aspecten, die volgens dat comité onderwerp zijn geweest van een relevant en gemotiveerd bezwaar:

12

WhatsApp heeft tegelijkertijd bij een Ierse rechter het definitieve besluit aangevochten en het Gerecht verzocht om nietigverklaring van het bestreden besluit.

13

In de onderhavige procedure heeft de Computer & Communication Industry Association verzocht om te mogen interveniëren aan de zijde van verzoekster, terwijl de Republiek Finland, de Europese Commissie en de Europese Toezichthouder voor gegevensbescherming hebben verzocht om te mogen interveniëren aan de zijde van het EDPB. Met het oog op hun interventies hebben hoofdpartijen verzocht om een aantal elementen van het dossier wegens de vertrouwelijkheid ervan niet mee te delen aan bepaalde interveniënten. In dit stadium is over die verzoeken nog geen uitspraak gedaan.

14

De maatregel tot organisatie van de procesgang die na de neerlegging van het verweerschrift is vastgesteld en waarbij hoofdpartijen worden opgeroepen om niet te vergeten om in de repliek en de dupliek een standpunt in te nemen over alle belangrijke vragen inzake de bevoegdheid van het Gerecht en de ontvankelijkheid van het beroep, verwijst in dat verband naar de kwalificatie van het bestreden besluit als handeling van een orgaan van de Europese Unie, naar de kwalificatie van het bestreden besluit als een voor beroep vatbare handeling, en naar verzoeksters procesbevoegdheid en procesbelang.

15

WhatsApp vordert volledige nietigverklaring van het bestreden besluit of, subsidiair, nietigverklaring van de relevante onderdelen ervan, en verwijzing van het EDPB in de kosten.

16

Het EDPB vordert niet-ontvankelijkverklaring van het beroep en, subsidiair, ongegrondverklaring ervan en, nog meer subsidiair, beperking van de nietigverklaring van het bestreden besluit tot de relevante onderdelen ervan. Voorts vordert het EDPB verzoeksters verwijzing in de kosten.

17

Krachtens artikel 129 van het Reglement voor de procesvoering van het Gerecht kan het Gerecht op voorstel van de rechter-rapporteur in elke stand van het geding ambtshalve, de hoofdpartijen gehoord, beslissen om bij met redenen omklede beschikking uitspraak te doen over de middelen van niet-ontvankelijkheid die van openbare orde zijn.

18

Het Gerecht acht zich in de onderhavige zaak voldoende ingelicht door de stukken uit het dossier en beslist op grond van dit artikel uitspraak te doen over de ontvankelijkheid van het beroep zonder de procedure voort te zetten.

19

De toetsing van de bevoegdheid van het Gerecht en die van de procesbevoegdheid van een verzoekende partij zijn, zoals de toetsing van andere elementen in verband met de ontvankelijkheid van een beroep, namelijk kwesties van openbare orde en hoofdpartijen hebben in casu hun opmerkingen dienaangaande kunnen uiteenzetten naar aanleiding van de in punt 14 hierboven vermelde maatregel tot organisatie van de procesgang en nadat het EDPB overigens de niet-ontvankelijkheid van het beroep in het verweerschrift zelf aan de orde had gesteld.

20

In casu moet vooraf worden herinnerd aan het institutionele rechtskader waarin het bestreden besluit is vastgesteld.

21

Hoofdstuk VI van verordening 2016/679 heeft als opschrift „Onafhankelijke toezichthoudende autoriteiten”. Binnen dat hoofdstuk staat in artikel 51 dat elke lidstaat „bepaalt dat een of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening”, dat elk van die overheidsinstanties „[bijdraagt] tot de consequente toepassing van deze verordening in de hele Unie” en dat „de toezichthoudende autoriteiten [daartoe] onderling en met de Commissie [samenwerken] overeenkomstig hoofdstuk VII”.

22

In artikel 55 is bepaald dat elke toezichthoudende autoriteit de competentie heeft op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig verordening 2016/679 zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend, en in artikel 56 staat dat, onverminderd artikel 55, de toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of verwerker competent is om op te treden als leidende toezichthoudende autoriteit voor de grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker overeenkomstig de procedure van artikel 60. Zoals in punt 3 hierboven is aangegeven, is in de onderhavige zaak de Ierse toezichthoudende autoriteit opgetreden als leidende toezichthoudende autoriteit ten aanzien van WhatsApp.

23

Artikel 58, lid 2, van verordening 2016/679 bepaalt dat elke toezichthoudende autoriteit bevoegd is om ten aanzien van de verwerkingsverantwoordelijke of de verwerker corrigerende maatregelen te nemen, en onder meer om hen, overeenkomstig het bepaalde onder b), d) en i), te berispen wanneer met verwerkingen inbreuk op bepalingen van verordening 2016/679 is gemaakt, hun te gelasten, waar passend, op een nader bepaalde manier en binnen een nader bepaalde termijn, verwerkingen in overeenstemming te brengen met de bepalingen van verordening 2016/679 en hun een administratieve geldboete op te leggen.

24

Hoofdstuk VII van verordening 2016/679, dat volgt op de in de punten 21 tot en met 23 hierboven aangehaalde bepalingen, heeft als opschrift „Samenwerking en coherentie”.

25

Binnen de afdeling „Samenwerking” van dat hoofdstuk bepaalt artikel 60, dat zelf als opschrift „Samenwerking tussen de leidende toezichthoudende autoriteit en de andere betrokken toezichthoudende autoriteiten” heeft, met name:

„1.   De leidende toezichthoudende autoriteit werkt overeenkomstig dit artikel samen met de andere betrokken toezichthoudende autoriteiten [en tracht daarbij] tot een consensus […] te komen. De leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten wisselen alle relevante informatie met elkaar uit.

[…]

3.   De leidende toezichthoudende autoriteit deelt onverwijld alle relevante informatie over de aangelegenheid mee aan de andere betrokken toezichthoudende autoriteiten. Zij legt de andere betrokken toezichthoudende autoriteiten onverwijld te hunner beoordeling een ontwerpbesluit voor en houdt naar behoren rekening met hun standpunten.

4.   Indien een van de andere betrokken toezichthoudende autoriteiten binnen een termijn van vier weken na te zijn geraadpleegd overeenkomstig lid 3 van dit artikel een relevant en gemotiveerd bezwaar tegen het ontwerpbesluit indient, onderwerpt de leidende toezichthoudende autoriteit, indien zij het relevante en gemotiveerde bezwaar afwijst of het niet relevant of niet gemotiveerd acht, de aangelegenheid aan het in artikel 63 bedoelde coherentiemechanisme.

5.   Indien de leidende toezichthoudende autoriteit voornemens is het ingediende relevante en gemotiveerde bezwaar te honoreren, legt zij de overige betrokken toezichthoudende autoriteiten te hunner beoordeling een herzien ontwerpbesluit voor. Dat herziene ontwerpbesluit wordt binnen een termijn van twee weken aan de in lid 4 bedoelde procedure onderworpen.

6.   Indien geen enkele andere betrokken toezichthoudende autoriteit binnen de in de leden 4 en 5 bedoelde termijn bezwaar heeft gemaakt tegen het door de leidende toezichthoudende autoriteit voorgelegde ontwerpbesluit, worden de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten geacht met dat ontwerpbesluit in te stemmen en zijn zij daaraan gebonden.

7.   De leidende toezichthoudende autoriteit stelt het besluit vast en deelt het mee aan de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of de verwerker, naargelang het geval, en stelt de andere betrokken toezichthoudende autoriteiten, alsmede het Comité in kennis van het besluit in kwestie, voorzien van een samenvatting van de relevante feiten en gronden. De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van het besluit.

[…]

10.   De verwerkingsverantwoordelijke of de verwerker treft, na in kennis te zijn gesteld van het besluit van de leidende toezichthoudende autoriteit […], de nodige maatregelen teneinde het besluit wat betreft de verwerkingsactiviteiten binnen al zijn vestigingen binnen de Unie te doen naleven. De verwerkingsverantwoordelijke of de verwerker deelt de door hem met het oog op de naleving van het besluit getroffen maatregelen mee aan de leidende toezichthoudende autoriteit, die de andere betrokken toezichthoudende autoriteiten ervan in kennis stelt.”

26

Binnen de afdeling „Coherentie” van dat hoofdstuk VII van verordening 2016/679 bepaalt artikel 63, met als opschrift „Coherentiemechanisme”:

„Teneinde bij te dragen aan de consequente toepassing van deze verordening in de gehele Unie werken de toezichthoudende autoriteiten met elkaar en waar passend samen met de Commissie in het kader van het in deze afdeling uiteengezette coherentiemechanisme.”

27

Het EDPB is bij dit mechanisme betrokken. De status van het EDPB is vastgelegd in de derde en laatste afdeling van hoofdstuk VII van verordening 2016/679, met als opschrift „Europees Comité voor gegevensbescherming”.

28

Binnen die afdeling bepaalt artikel 68:

„1.   Het Europees Comité voor gegevensbescherming (het ‚Comité’) wordt ingesteld als orgaan van de Unie en heeft rechtspersoonlijkheid.

[…]

3.   Het Comité bestaat uit de voorzitter van één toezichthoudende autoriteit per lidstaat en de Europese Toezichthouder voor gegevensbescherming, of hun respectieve vertegenwoordigers.

[…]”

29

Binnen diezelfde afdeling bepaalt artikel 70, met als opschrift „Taken van het Comité”:

„1.   Het Comité zorgt ervoor dat deze verordening consequent wordt toegepast. Daartoe doet het Comité op eigen initiatief of, waar passend, op verzoek van de Commissie met name het volgende:

[…]”

30

In dat artikel 70 worden voorts de andere taken van het EDPB gespecificeerd. Dit zijn hoofdzakelijk raadgevende taken die moeten worden uitgevoerd door middel van adviezen, richtsnoeren, aanbevelingen en aanbevelingen van „beste praktijken”.

31

Binnen de in punt 26 hierboven vermelde afdeling „Coherentie” wordt na artikel 64, dat de gevallen opsomt waarin het EDPB een advies uitbrengt, in artikel 65, met als opschrift „Geschillenbeslechting door het Comité”, met name bepaald:

„1.   Om te zorgen voor de correcte en consequente toepassing van deze verordening in individuele gevallen, stelt het Comité een bindend besluit vast in de volgende gevallen:

[…]

2.   Het in lid 1 bedoelde besluit wordt […] vastgesteld met een tweederdemeerderheid van de leden van het Comité. […] Het in lid 1 bedoelde besluit wordt met redenen omkleed en gericht tot de leidende toezichthoudende autoriteit en alle betrokken toezichthoudende autoriteiten, en is bindend.

[…]

5.   De voorzitter van het Comité brengt het in lid 1 bedoelde besluit onverwijld ter kennis van de betrokken toezichthoudende autoriteiten. Hij brengt de Commissie daarvan op de hoogte. Het besluit wordt onverwijld bekendgemaakt op de website van het Comité nadat de toezichthoudende autoriteit het in lid 6 bedoelde definitieve besluit ter kennis heeft gebracht.

6.   De leidende toezichthoudende autoriteit of, in voorkomend geval, de toezichthoudende autoriteit waarbij de klacht is ingediend, stelt onverwijld en uiterlijk binnen één maand na de kennisgeving door het Comité een definitief besluit vast op basis van het in lid 1 van dit artikel bedoelde besluit. […] Het definitieve besluit verwijst naar het in lid 1 van dit artikel bedoelde besluit en geeft aan dat genoemd besluit overeenkomstig lid 5 van dit artikel zal worden bekendgemaakt op de website van het Comité. Het in lid 1 van dit artikel bedoelde besluit wordt aan het definitieve besluit gehecht.”

32

Hoofdstuk VIII van verordening 2016/679, met als opschrift „Beroep, aansprakelijkheid en sancties”, behandelt in artikel 78 het „recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit” en in artikel 79 het „recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker”. Het bevat geen enkele bepaling over eventuele beroepen tegen de op grond van het hierboven aangehaalde artikel 65, lid 1, vastgestelde bindende besluiten van het EDPB. In artikel 78, lid 4, staat evenwel dat „[w]anneer een procedure wordt ingesteld tegen een besluit van een toezichthoudende autoriteit waaraan […] een besluit van het Comité in het kader van het coherentiemechanisme is voorafgegaan, […] de toezichthoudende autoriteit dat […] besluit aan de gerechten [doet] toekomen”.

33

Binnen de preambule van verordening 2016/679 luidt overweging 143:

„Iedere natuurlijke persoon of rechtspersoon heeft het recht om bij het Hof van Justitie een beroep tot nietigverklaring in te stellen tegen een besluit van het Comité, onder de in artikel 263 VWEU bedoelde voorwaarden. Als adressaten van dergelijke besluiten dienen de betrokken toezichthoudende autoriteiten die wensen op te komen tegen deze besluiten, binnen twee maanden na de kennisgeving ervan beroep in te stellen overeenkomstig artikel 263 VWEU. Wanneer de verwerkingsverantwoordelijke, de verwerker of de klager rechtstreeks en individueel wordt geraakt door besluiten van het Comité, kan hij binnen twee maanden na de bekendmaking ervan op de website van het Comité een beroep tot nietigverklaring van deze besluiten instellen overeenkomstig artikel 263 VWEU. Onverminderd dit recht uit hoofde van artikel 263 VWEU dient iedere natuurlijke of rechtspersoon het recht te hebben om tegen een besluit van een toezichthoudende autoriteit dat ten aanzien van die persoon rechtsgevolgen heeft, voor het bevoegde nationale gerecht een doeltreffende voorziening in rechte in te stellen. Een dergelijk besluit heeft meer bepaald betrekking op de uitoefening van met onderzoek, correctie en toestemming verband houdende bevoegdheden door de toezichthoudende autoriteit, of op de afwijzing van klachten. Het recht een doeltreffende voorziening in rechte in te stellen geldt echter niet voor door de toezichthoudende autoriteiten getroffen maatregelen die niet juridisch bindend zijn, zoals adviezen. Een vordering tegen een toezichthoudende autoriteit dient te worden ingesteld bij de gerechten van de lidstaat waar de toezichthoudende autoriteit is gevestigd, en dient in overeenstemming te zijn met het procesrecht van die lidstaat. Die gerechten dienen volledige rechtsmacht uit te oefenen, waaronder rechtsmacht om alle feitelijke en juridische vraagstukken in verband met het bij hen aanhangige geschil te onderzoeken.

Wordt een klacht door een toezichthoudende autoriteit afgewezen, dan kan de klager beroep instellen bij de gerechten in dezelfde lidstaat. In het kader van de rechtsbevoegdheid in verband met de toepassing van deze verordening, kunnen, of, in het geval van artikel 267 VWEU, moeten de nationale gerechten die van oordeel zijn dat een beslissing ter zake noodzakelijk is voor het wijzen van hun vonnis, het Hof van Justitie verzoeken om een prejudiciële beslissing over de uitlegging van het Unierecht, met inbegrip van deze verordening. Bovendien, wanneer een besluit van een toezichthoudende autoriteit tot uitvoering van een besluit van het Comité wordt betwist voor een nationaal gerecht en de geldigheid van het besluit van het Comité aan de orde is, heeft dat nationale gerecht niet de bevoegdheid om het besluit van het Comité ongeldig te verklaren, maar dient [het], wanneer [het] het besluit ongeldig acht, de vraag inzake de geldigheid voor te leggen aan het Hof van Justitie overeenkomstig artikel 267 VWEU zoals uitgelegd door het Hof van Justitie. Een nationaal gerecht kan een vraag inzake de geldigheid van een besluit van het Comité echter niet aan het Hof voorleggen op verzoek van een natuurlijke of rechtspersoon die de mogelijkheid had om beroep tot nietigverklaring van dat besluit in te stellen, met name wanneer hij rechtstreeks en individueel door dat besluit was geraakt, maar dit niet heeft gedaan binnen de in artikel 263 VWEU gestelde termijn.”

34

Artikel 263 VWEU, waarvan de eerste, de tweede, de vierde en de vijfde alinea hieronder worden weergegeven, luidt:

„Het Hof van Justitie van de Europese Unie gaat de wettigheid na van de wetgevingshandelingen, van de handelingen van de Raad, van de Commissie en van de Europese Centrale Bank, voor zover het geen aanbevelingen of adviezen betreft, en van de handelingen van het Europees Parlement en de Europese Raad die beogen rechtsgevolgen ten aanzien van derden te hebben. Het gaat ook de wettigheid na van de handelingen van de organen of instanties van de Unie waarmee rechtsgevolgen ten aanzien van derden worden beoogd.

Te dien einde is het Hof bevoegd uitspraak te doen inzake elk door een lidstaat, het Europees Parlement, de Raad of de Commissie ingesteld beroep wegens onbevoegdheid, schending van wezenlijke vormvoorschriften, schending van de Verdragen of van enige uitvoeringsregeling daarvan, dan wel wegens misbruik van bevoegdheid.

[…]

Iedere natuurlijke of rechtspersoon kan onder de in de eerste en tweede alinea vastgestelde voorwaarden beroep instellen tegen handelingen die tot hem gericht zijn of die hem rechtstreeks en individueel raken, alsmede tegen regelgevingshandelingen die hem rechtstreeks raken en die geen uitvoeringsmaatregelen met zich brengen.

De handelingen tot oprichting van organen en instanties van de Unie kunnen voorzien in bijzondere voorwaarden en bepalingen inzake de beroepen welke door natuurlijke of rechtspersonen worden ingesteld tegen handelingen van deze organen of instanties waarmee rechtsgevolgen ten aanzien van hen worden beoogd.

[…]”

35

Uit artikel 263 VWEU, eerste alinea, volgt dat de Unierechter bevoegd is om de wettigheid te toetsen van een door een orgaan van de Unie vastgestelde handeling waarmee rechtsgevolgen ten aanzien van derden worden beoogd. Daarenboven volgt uit de vierde alinea van dat artikel dat een door een rechtspersoon ingesteld beroep tegen een individuele handeling van een orgaan van de Unie die niet tot hem is gericht, in beginsel slechts ontvankelijk is indien die rechtspersoon rechtstreeks en individueel door die handeling wordt geraakt. In het onderhavige geval bevat verordening 2016/679, zoals uiteengezet in punt 32 hierboven, geen enkele bepaling die overeenkomt met de bepaling van artikel 263, vijfde alinea, VWEU, zodat WhatsApp in casu daadwerkelijk dient te voldoen aan de in artikel 263, vierde alinea, gestelde voorwaarde dat zij rechtstreeks en individueel door het bestreden besluit wordt geraakt, wil haar beroep tegen dat besluit ontvankelijk zijn.

36

Allereerst moet worden opgemerkt dat het bestreden besluit van het EDPB wel degelijk een handeling van een orgaan van de Unie is. Het klopt dat de in de punten 21 tot en met 31 hierboven uiteengezette institutionele regeling van verordening 2016/679 – met name de exclusieve bevoegdheid van de nationale toezichthoudende autoriteiten om corrigerende maatregelen ten aanzien van verwerkingsverantwoordelijken en verwerkers te nemen en de mechanismen voor samenwerking en coherentie tussen die autoriteiten, ook binnen het EDPB dat in wezen dergelijke autoriteiten samenbrengt – zou kunnen doen denken dat dit Comité slechts een coördinerend orgaan tussen nationale autoriteiten is. Overeenkomstig artikel 68, lid 1, van verordening 2016/679 is het EDPB evenwel ingesteld als orgaan van de Unie en bezit het rechtspersoonlijkheid. Bovendien is het EDPB in die hoedanigheid bevoegd om op basis van de artikelen 64 en 65 van verordening 2016/679 adviezen uit te brengen en, in het kader van de beslechting van geschillen tussen nationale toezichthoudende autoriteiten, besluiten als het bestreden besluit vast te stellen, die bindend zijn voor de betrokken toezichthoudende autoriteiten, zodat die adviezen en die besluiten handelingen van een orgaan van de Unie zijn.

37

Vervolgens moet worden opgemerkt dat het bestreden besluit rechtsgevolgen ten aanzien van derden beoogt te hebben, aangezien het een op grond van artikel 65 van verordening 2016/679 vastgesteld „bindend besluit” is ten aanzien van de betrokken toezichthoudende autoriteiten.

38

Wanneer de verzoeker niet behoort tot de in artikel 263, tweede alinea, VWEU afzonderlijk bij naam genoemde „bevoorrechte” verzoekers, is het evenwel vaste rechtspraak dat een handeling enkel door deze verzoeker kan worden aangevochten wanneer zij bindende rechtsgevolgen in het leven roept die de belangen van die verzoeker kunnen aantasten doordat zij diens rechtspositie aanmerkelijk wijzigen (arrest van 11 november 1981, IBM/Commissie, 60/81, EU:C:1981:264, punt 9; zie ook arrest van 18 november 2010, NDSHT/Commissie, C‑322/09 P, EU:C:2010:701, punt 45 en aldaar aangehaalde rechtspraak).

39

Het Hof heeft tevens geoordeeld dat wanneer de handeling die een dergelijke verzoeker aanvecht niet tot hem is gericht, het vereiste dat de handeling diens rechtspositie aanmerkelijk wijzigt, samenvalt met de voorwaarden van artikel 263, vierde alinea, VWEU, dat wil zeggen – wanneer de bestreden handeling geen regelgevingshandeling is die geen uitvoeringsmaatregelen met zich meebrengt – met het vereiste dat de verzoeker rechtstreeks en individueel door die handeling wordt geraakt (zie in die zin arrest van 13 oktober 2011, Deutsche Post en Duitsland/Commissie, C‑463/10 P en C‑475/10 P, EU:C:2011:656, punt 38).

40

In casu kan, gelet op de aard van de bestreden handeling, die een individuele handeling is, meteen worden vastgesteld dat WhatsApp individueel door het bestreden besluit wordt geraakt, aangezien dit besluit ziet op bepaalde aspecten van een specifiek op haar betrekking hebbend definitief ontwerpbesluit van de Ierse toezichthoudende autoriteit. Anders dan het EDPB in de dupliek betoogt, is het bestreden besluit niet beperkt tot de verklaring van een aantal beginselen of tot de uitlegging van een aantal bepalingen van verordening 2016/679 die elke verwerkingsverantwoordelijke zouden kunnen raken. Zoals uiteengezet in punt 11 hierboven, neemt het EDPB in het bestreden besluit een standpunt in over de naleving door WhatsApp van bepaalde verplichtingen die op haar rusten uit hoofde van verordening 2016/679, kwalificeert het elementen die voortvloeien uit de zogenaamde „lossy hashing”-procedure – een verwerking die uitsluitend door WhatsApp wordt uitgevoerd – als persoonsgegevens, en spreekt het zich uit over een aantal aan WhatsApp op te leggen corrigerende maatregelen, waaronder bepaalde aspecten van de vaststelling van aan WhatsApp op te leggen administratieve geldboeten. Het bestreden besluit is dus specifiek voor WhatsApp, ook al bevat het, zoals zeer vaak het geval is in individuele handelingen, een verklaring of overzicht van beginselen en uitleggingen van algemene aard.

41

Vervolgens moet worden onderzocht of het bestreden besluit rechtsgevolgen heeft die de rechtspositie van WhatsApp aanmerkelijk wijzigen, en of het haar rechtstreeks raakt in de zin van artikel 263, vierde alinea, VWEU.

42

Vanuit dit oogpunt moet worden opgemerkt dat, zoals het EDPB ditmaal terecht benadrukt, het bestreden besluit op zich de rechtspositie van WhatsApp niet wijzigt. Anders dan het definitieve besluit van de Ierse toezichthoudende autoriteit kan het namelijk niet rechtstreeks aan haar worden tegengeworpen en vormt het jegens haar een voorbereidende of tussenhandeling in een procedure die overeenkomstig artikel 58, lid 2, en de artikelen 60, 63 en 65 van verordening 2016/679, die hierboven in de punten 23 tot en met 26 en punt 31 zijn aangehaald, juist moet worden afgesloten met de vaststelling van een tot die onderneming gericht definitief besluit van een nationale toezichthoudende autoriteit (zie in die zin en naar analogie arrest van 24 juni 1986, AKZO Chemie en AKZO Chemie UK/Commissie, 53/85, EU:C:1986:256, punt 19).

43

Dienaangaande is bij herhaling geoordeeld dat in procedures die leiden tot de totstandkoming van handelingen in verscheidene fasen, tussentijdse maatregelen ter voorbereiding van het definitieve besluit in beginsel geen voor beroep vatbare handelingen zijn (zie in die zin arresten van 11 november 1981, IBM/Commissie, 60/81, EU:C:1981:264, punt 10, en 26 januari 2010, Internationaler Hilfsfonds/Commissie, C‑362/08 P, EU:C:2010:40, punt 52 en aldaar aangehaalde rechtspraak).

44

De uitzonderingen op het in punt 43 hierboven genoemde beginsel betreffen gevallen waarin de tussentijdse maatregel autonome rechtsgevolgen heeft ten aanzien waarvan geen voldoende rechtsbescherming kan worden gewaarborgd in een beroep tegen het besluit waarmee de procedure wordt beëindigd (zie in die zin arresten van 11 november 1981, IBM/Commissie, 60/81, EU:C:1981:264, punten 11 en 12, en 13 oktober 2011, Deutsche Post en Duitsland/Commissie, C‑463/10 P en C‑475/10 P, EU:C:2011:656, punten 53 en 54). Dergelijke uitzonderingen zijn bijvoorbeeld vastgesteld in het kader van een procedure voor toezicht op de naleving van de mededingingsregels die gelden voor ondernemingen (zie in die zin arrest van 24 juni 1986, AKZO Chemie en AKZO Chemie UK/Commissie, 53/85, EU:C:1986:256, punt 20), in het kader van een procedure voor toezicht op de naleving van de regels inzake staatssteun (zie in die zin arrest van 9 oktober 2001, Italië/Commissie, C‑400/99, EU:C:2001:528, punten 55‑63) en, in het geval van een begeleidende of conservatoire maatregel voorafgaand aan een definitief besluit, voor de schorsing van een ambtenaar tegen wie een tuchtprocedure is ingeleid (zie in die zin arrest van 5 mei 1966, Gutmann/Commissie, 18/65 en 35/65, EU:C:1966:24, blz. 169).

45

In casu wordt daadwerkelijke rechtsbescherming ten aanzien van het bestreden besluit voor WhatsApp evenwel verzekerd door het beroep dat zij tegen het definitieve besluit van de Ierse toezichthoudende autoriteit kan instellen bij de nationale rechter, waarin de geldigheid van het bestreden besluit kan worden beoordeeld. Zoals is opgenomen in artikel 78, lid 1, van verordening 2016/679, waarin staat dat aan iedere persoon in elke lidstaat het recht moet worden gewaarborgd om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen, heeft WhatsApp het door de Ierse toezichthoudende autoriteit vastgestelde definitieve besluit bij een Ierse rechter aangevochten en kan zij in dat beroep de onrechtmatigheid inroepen van de in het bestreden besluit vervatte bindende beoordelingen, die in dat definitieve besluit zijn overgenomen. In dat verband zij eraan herinnerd dat artikel 267 VWEU het mogelijk maakt om de ongeldigheid van handelingen van de instellingen, organen en instanties van de Unie op te werpen bij de nationale rechter, daar in dat artikel is bepaald dat wanneer die rechter een beslissing op dit punt noodzakelijk acht voor het wijzen van zijn vonnis, hij het Hof van Justitie van de Europese Unie via een prejudiciële verwijzing kan of moet verzoeken om de geldigheid te toetsen. Indien het Hof aan het einde van de prejudiciële procedure vaststelt dat een dergelijke handeling, indien deze dient ter voorbereiding van een besluit van een autoriteit van een lidstaat, ongeldig is, moet de nationale rechter daaruit de gevolgen trekken voor de rechtmatigheid van dat voor de betrokkene bezwarend besluit (zie in die zin arresten van 30 oktober 1975, Rey Soda e.a., 23/75, EU:C:1975:142, punt 51, en 20 maart 2018, Šroubárna Ždánice/Raad, T‑442/16, niet gepubliceerd, EU:T:2018:159, punt 34).

46

Daarenboven heeft het bestreden besluit ten opzichte van het definitieve besluit van de Ierse toezichthoudende autoriteit geen enkel autonoom rechtsgevolg voor WhatsApp: alle in eerstgenoemd besluit vervatte beoordelingen zijn overgenomen in laatstgenoemd besluit en eerstgenoemd besluit heeft geen gevolgen die losstaan van de inhoud van laatstgenoemd besluit. Dit is anders dan het geval was in de situaties die hebben geleid tot de in punt 44 hierboven genoemde arresten van 5 mei 1966, Gutmann/Commissie (18/65 en 35/65, EU:C:1966:24), 24 juni 1986, AKZO Chemie en AKZO Chemie UK/Commissie (53/85, EU:C:1986:256), en 9 oktober 2001, Italië/Commissie (C‑400/99, EU:C:2001:528).

47

Ofschoon de in de punten 43 en 44 hierboven in herinnering gebrachte beginselen zijn vastgesteld met betrekking tot procedures die, wat het definitieve besluit betreft, onder de bevoegdheid van instellingen of andere organen van de Unie vallen, is er geen reden waarom de situatie anders zou zijn wanneer, zoals in casu, de Uniewetgever het toezicht op de toepassing van specifieke Unievoorschriften toevertrouwt aan specifieke nationale autoriteiten in het kader van procedures die verschillende fasen kennen, en wanneer het gaat om een tussentijdse maatregel die door een orgaan van de Unie wordt genomen in het kader van een dergelijke procedure die met een besluit van een nationale autoriteit wordt afgesloten.

48

WhatsApp voert inderdaad aan dat het bestreden besluit een definitief standpunt van het EDPB inhoudt dat de Ierse toezichthoudende autoriteit in het definitieve besluit moest volgen. Dit argument kan aldus worden opgevat dat het bestreden besluit daardoor noodzakelijkerwijs een voor beroep vatbare handeling is en zich onderscheidt van de tussentijdse maatregelen die slechts een voorlopig standpunt tot uitdrukking brengen en die als enige geen voor beroep vatbare handelingen zijn.

49

Niettemin kunnen, zoals in punt 38 hierboven is opgemerkt, handelingen enkel door andere verzoekers dan de – zogenoemde bevoorrechte – verzoekers van artikel 263, tweede alinea, VWEU worden aangevochten wanneer zij met name de rechtspositie van de betrokken verzoeker aanmerkelijk wijzigen. Het feit dat een tussenhandeling het definitieve standpunt van een autoriteit tot uitdrukking brengt dat, zoals in casu, in het definitieve besluit tot beëindiging van de betrokken procedure zal moeten worden overgenomen omdat het bestreden besluit een definitieve analyse van bepaalde aspecten van het definitieve besluit bevat, betekent echter niet noodzakelijkerwijs, zoals in casu in de punten 42 tot en met 47 hierboven is aangetoond, dat die tussenhandeling zelf de rechtspositie van de verzoeker aanmerkelijk wijzigt. Aangezien dit vereiste, zoals in punt 39 hierboven in herinnering is gebracht, samenvalt met de voorwaarden van artikel 263, vierde alinea, VWEU, dat wil zeggen, onder meer met het vereiste dat de verzoeker rechtstreeks door die handeling wordt geraakt, kan dit in casu worden nagegaan door te onderzoeken of WhatsApp rechtstreeks door het bestreden besluit wordt geraakt.

50

Zoals het EDPB terecht aanvoert, wordt WhatsApp niet rechtstreeks door het bestreden besluit geraakt.

51

Het is namelijk vaste rechtspraak dat een verzoeker enkel rechtstreeks wordt geraakt door een handeling die niet tot hem is gericht wanneer die handeling ten eerste rechtstreeks rechtsgevolgen heeft voor zijn positie en, ten tweede, aan degenen tot wie zij is gericht en die met de uitvoering ervan zijn belast, geen beoordelingsbevoegdheid laat, omdat de uitvoering automatisch en alleen op grond van de Unieregeling gebeurt, zonder dat daarvoor nadere regels moeten worden gesteld (arresten van 13 mei 1971, International Fruit Company e.a./Commissie, 41/70–44/70, EU:C:1971:53, punten 23‑28; 5 mei 1998, Dreyfus/Commissie, C‑386/96 P, EU:C:1998:193, punt 43, en 17 september 2009, Commissie/Koninklijke FrieslandCampina, C‑519/07 P, EU:C:2009:556, punt 48).

52

Wat de eerste van die voorwaarden betreft, kan het bestreden besluit, zoals reeds in punt 42 hierboven is aangegeven, niet aan WhatsApp worden tegengeworpen en dus niet zonder verdere procedurele stappen verplichtingen voor haar of, in voorkomend geval, rechten voor andere particulieren in het leven roepen. Het verschilt dus bijvoorbeeld van de handelingen die aan de orde waren in het arrest van 23 april 1986, Les Verts/Parlement (294/83, EU:C:1986:166), waarover in punt 31 van dat arrest, voor de conclusie dat zij de verzoekende vereniging rechtstreeks raakten, is opgemerkt dat „[z]ij […] een volledige regeling [vormden], die op zich [volstond] en geen enkele uitvoeringsbepaling [behoefde]”. In casu is het bestreden besluit niet de laatste stap in de volledige procedure van de artikelen 58, 60 en 65 van verordening 2016/679.

53

Inzake de tweede van die voorwaarden, aangaande de beoordelingsbevoegdheid van de met de uitvoering van de betrokken handeling belaste autoriteit, moet worden opgemerkt dat het bestreden besluit voor de Ierse toezichthoudende autoriteit weliswaar bindend was wat betreft de aspecten waarop het betrekking had, maar haar een beoordelingsmarge heeft gelaten wat betreft de inhoud van het definitieve besluit.

54

Wanneer de in punt 11 hierboven uiteengezette inhoud van het bestreden besluit, waarbij aan de betrokken toezichthoudende autoriteiten instructies worden gegeven, en de in punt 8 hierboven uiteengezette inhoud van het tot WhatsApp gerichte definitieve besluit met elkaar worden vergeleken, wordt namelijk duidelijk dat de inhoud van het bestreden besluit maar deels overeenkomt met die van het definitieve besluit.

55

Zo hebben beide besluiten het volgende gemeen: de vaststelling dat WhatsApp het transparantiebeginsel van artikel 5, lid 1, onder a), van verordening 2016/679 en de verplichtingen van artikel 13, lid 1, onder d), en artikel 13, lid 2, onder e), van die verordening niet heeft nageleefd; de kwalificatie als persoonsgegevens van de elementen die het resultaat zijn van de zogenaamde „lossy hashing”-procedure, die is toegepast op gegevens betreffende „contacten” van niet-gebruikers van WhatsApp uit de adresboeken van de eindapparatuur van WhatsApp-gebruikers; de vaststelling dat WhatsApp vanwege die kwalificatie de verplichtingen van artikel 14 van verordening 2016/679 niet heeft nageleefd; de aan WhatsApp toegekende termijn van drie maanden om aan de vereisten van verordening 2016/679 te voldoen; bepaalde aspecten van de corrigerende maatregelen, namelijk die betreffende de persoonsgegevens van niet-gebruikers van WhatsApp en de verplichting om de WhatsApp-gebruikers de in artikel 13, lid 2, onder e), van verordening 2016/679 opgenomen informatie te verstrekken; de uitlegging van de criteria voor de hoogte van de aan WhatsApp opgelegde administratieve geldboeten en de verhoging van het bedrag van die geldboeten in vergelijking met het in het ontwerpbesluit van de Ierse toezichthoudende autoriteit beoogde totaalbedrag van 30 tot 50 miljoen EUR.

56

Het definitieve besluit vloeit daarentegen wat de volgende aspecten betreft voort uit de beoordeling van de Ierse toezichthoudende autoriteit zonder dat het EDPB in het bestreden besluit ter zake een standpunt heeft ingenomen: de vaststelling dat WhatsApp verplichtingen van artikel 12, lid 1, artikel 13, lid 1, onder c), e) en f), en artikel 13, lid 2, onder a) en c), van verordening 2016/679 niet heeft nageleefd; de vaststelling dat WhatsApp de verplichtingen van artikel 13, lid 1, onder a) en b), en artikel 13, lid 2, onder b) en d), van verordening 2016/679 heeft nageleefd; de hoedanigheid van WhatsApp waarin zij persoonsgegevens van niet-gebruikers van haar berichtendienst verwerkt; het grootste gedeelte van de inhoud van de aan WhatsApp opgelegde corrigerende maatregelen, namelijk die welke de naleving van de verplichtingen van artikel 12, lid 1, artikel 13, lid 1, onder c), d), e) en f), en artikel 13, lid 2, onder a) en c), van verordening 2016/679 beogen te waarborgen; de concrete vaststelling van de hoogte van de aan WhatsApp opgelegde administratieve geldboeten, die uitkomen op een totaalbedrag van 225 miljoen EUR.

57

In het bijzonder moet worden vastgesteld dat de Ierse toezichthoudende autoriteit heeft gebruikgemaakt van haar beoordelingsmarge om gevolgen te verbinden aan de instructies die in het bestreden besluit zijn gegeven voor de kwalificatie als persoonsgegevens van de elementen die het resultaat zijn van de zogenoemde „lossy hashing”-procedure en voor de administratieve geldboeten.

58

Wat het eerste aspect betreft – dus de kwestie van de verwerking van persoonsgegevens van niet-gebruikers van WhatsApp en met name van de elementen die het resultaat zijn van de zogenoemde „lossy hashing”-procedure, zoals die naar voren komt uit punt 111 van het definitieve besluit – was de volgende stap in de analyse om te achterhalen of WhatsApp ten aanzien van die personen de verplichtingen van artikel 14 van verordening 2016/679 had geschonden, de beantwoording van de vraag of WhatsApp met betrekking tot de verwerking van de betrokken persoonsgegevens handelde als verwerkingsverantwoordelijke dan wel louter als verwerker die optrad namens een gebruiker van haar berichtendienst die de functie „Contacten” had geactiveerd. Deze stap in de analyse, waarin uiteindelijk is gekozen voor de eerste hypothese, vloeit voort uit een beoordeling van de Ierse toezichthoudende autoriteit zonder dat het EDPB in het bestreden besluit daarover een standpunt heeft ingenomen.

59

Wat de vaststelling van de administratieve geldboeten betreft, bevat het bestreden besluit weliswaar instructies voor de uitlegging van de criteria voor de hoogte van de op basis van verordening 2016/679 opgelegde administratieve geldboeten en voor de verhoging van het totaalbedrag van de in casu aan WhatsApp op te leggen geldboeten ten opzichte van hetgeen in het ontwerpbesluit van de Ierse toezichthoudende autoriteit was beoogd, maar behield laatstgenoemde haar beoordelingsmarge om het concrete bedrag van de aan WhatsApp op te leggen geldboeten vast te stellen. Zoals aangegeven in punt 8 hierboven, heeft de Ierse toezichthoudende autoriteit, alvorens het definitieve besluit vast te stellen, WhatsApp trouwens gevraagd naar haar opmerkingen over de nieuwe administratieve geldboeten die zij haar wilde opleggen, hetgeen in overeenstemming is met de constatering dat die autoriteit in dat verband een beoordelingsmarge behield. In casu kan worden vastgesteld dat in het definitieve besluit uiteindelijk is gekozen voor het laagste bedrag binnen de bandbreedte van de door de Ierse toezichthoudende autoriteit beoogde nieuwe geldboeten.

60

Het definitieve besluit vormt een geheel waarvan de delen die overeenkomen met de in het bestreden besluit opgenomen instructies, niet kunnen worden losgekoppeld door er een definitief „subbesluit” van te maken waarvoor de toezichthoudende autoriteit geen enkele beoordelingsmarge had. Het onderzoek en het definitieve besluit van de Ierse toezichthoudende autoriteit hadden namelijk betrekking op de naleving door WhatsApp van het transparantiebeginsel en alle daarmee samenhangende concrete verplichtingen die in verordening 2016/679 zijn neergelegd. In het definitieve besluit is dus de gehele praktijk van WhatsApp op dit gebied geanalyseerd en een en hetzelfde aspect van die praktijk onderzocht in het licht van verschillende relevante bepalingen van verordening 2016/679, zoals artikel 5, lid 1, onder a), artikel 12, lid 1, en de vele bepalingen van artikel 13 van verordening 2016/679, terwijl het bestreden besluit daarentegen slechts betrekking heeft op de analyse in het licht van een aantal van die bepalingen. Het zou zinloos zijn om bepaalde specifieke elementen los te koppelen van de globale analyse in het definitieve besluit, terwijl de procedure die, op initiatief en onder verantwoordelijkheid van de Ierse toezichthoudende autoriteit in haar hoedanigheid van leidende toezichthoudende autoriteit jegens WhatsApp is ingeleid, was gericht op de algemene beoordeling van de naleving van het transparantiebeginsel door WhatsApp. Met name wat de vaststelling van de geldelijke sancties betreft, heeft de Ierse toezichthoudende autoriteit het bedrag van elk van de vier administratieve geldboeten vastgesteld in het licht van alle geconstateerde inbreuken op respectievelijk artikel 5, lid 1, onder a), en de artikelen 12, 13 en 14 van verordening 2016/679.

61

Derhalve is aan geen enkele van de twee in punt 51 hierboven in herinnering gebrachte voorwaarden, op basis waarvan WhatsApp – indien zij waren vervuld – zou kunnen worden geacht rechtstreeks door het bestreden besluit te zijn geraakt, voldaan.

62

Uit het voorgaande vloeit voort dat het beroep van WhatsApp niet ontvankelijk is.

63

Het resultaat van deze analyse strookt met de uitspraken ten aanzien van andere procedures waarin een voor ondernemingen bindende Uniehandeling is gericht tot een lidstaat.

64

Zo wordt op het gebied van het toezicht op staatssteun geoordeeld dat wanneer de Commissie een besluit vaststelt waarbij reeds verleende steun onrechtmatig en onverenigbaar met de interne markt wordt verklaard en de lidstaat die de steun heeft verleend gelast de uitgekeerde steun terug te vorderen, de begunstigden van deze uitgekeerde steun rechtstreeks en individueel door dat besluit worden geraakt (zie in die zin arrest van 19 oktober 2000, Italië en Sardegna Lines/Commissie, C‑15/98 en C‑105/99, EU:C:2000:570, punten 33‑36). Dienaangaande is opgemerkt dat die begunstigden vanaf de vaststelling van een dergelijk besluit zijn blootgesteld aan de terugvordering van de voordelen die zij hebben ontvangen en aldus in hun rechtspositie worden geraakt (arrest van 9 juni 2011, Comitato Venezia vuole vivere e.a./Commissie, C‑71/09 P, C‑73/09 P en C‑76/09 P, EU:C:2011:368, punt 56). Dat is logisch omdat de toezichtprocedure in dat stadium is afgerond, omdat er geen verdere inhoudelijke beoordeling nodig is, aangezien de terug te vorderen bedragen automatisch worden vastgesteld op basis van het besluit van de Commissie en de eerder aan de betrokken ondernemingen verleende steun, omdat de lidstaat zelf de terugvordering van die steun moet initiëren en voltooien, behalve in zeer uitzonderlijke omstandigheden (zie in die zin arresten van 7 juni 1988, Commissie/Griekenland, 63/87, EU:C:1988:285; 20 september 1990, Commissie/Duitsland, C‑5/89, EU:C:1990:320, punten 15 en 16, en 20 maart 1997, Alcan Deutschland, C‑24/95, EU:C:1997:163), en omdat derden zich op basis van het besluit van de Commissie tot de betrokken overheidsinstantie of de nationale rechter kunnen wenden om ervoor te zorgen dat de betrokken steun wordt terugbetaald, zonder zelf te hoeven te bewijzen dat die steun onrechtmatig is verleend (zie naar analogie arrest van 12 februari 2008, CELF en ministre de la Culture et de la Communication, C‑199/06, EU:C:2008:79, punten 23 en 39‑41). In casu bevindt het bestreden besluit zich niet in een gelijksoortig stadium, aangezien de toezichtprocedure met de vaststelling van dat besluit niet was afgerond, verdere beoordelingen met betrekking tot de naleving door WhatsApp van de bepalingen van verordening 2016/679 en de opgelegde sanctie nog door de leidende toezichthoudende autoriteit moesten worden bevestigd of uitgevoerd en het bestreden besluit zelf niet kon dienen als een juridisch bindende titel om WhatsApp verplichtingen op te leggen.

65

Voorts is geoordeeld dat een tot een lidstaat gerichte beschikking van de Commissie, waarin die lidstaat werd meegedeeld dat de Europese steun voor een onderneming werd verminderd in vergelijking met hetgeen was voorzien omdat bepaalde door die onderneming ingediende uitgaven niet voor die steun in aanmerking kwamen, die onderneming rechtstreeks en individueel raakte, aangezien haar bij de betrokken beschikking een gedeelte van de haar aanvankelijk toegekende financiële bijstand werd ontnomen zonder dat de lidstaat dienaangaande over een beoordelingsbevoegdheid beschikte (arrest van 4 juni 1992, Infortec/Commissie, C‑157/90, EU:C:1992:243, punt 17). Anders dan de beschikking van de Commissie die tot die beoordeling heeft geleid, is het bestreden besluit in de onderhavige zaak, zoals in punt 52 hierboven is opgemerkt, evenwel niet de laatste stap in de volledige procedure in kwestie en laat het, zoals in de punten 56 en 57 hierboven is opgemerkt, de Ierse toezichthoudende autoriteit een beoordelingsmarge.

66

Meer algemeen past de niet-ontvankelijkheid van het beroep dat WhatsApp bij het Gerecht tegen het bestreden besluit heeft ingesteld, in de logica van het bij het VEU en het VWEU in het leven geroepen stelsel van rechtsmiddelen.

67

Zoals bepaald in artikel 2 VEU, berust de Unie onder meer op eerbied voor de rechtsstaat. Artikel 6, lid 1, VEU bepaalt dat de Unie de rechten, vrijheden en beginselen erkent die zijn vastgesteld in het Handvest van de grondrechten van de Europese Unie en artikel 47 van dat Handvest waarborgt het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht. In artikel 19 VEU staat dat het Hof van Justitie van de Europese Unie de eerbiediging van het recht bij de uitlegging en toepassing van de Verdragen verzekert en dat het met name overeenkomstig de Verdragen uitspraak doet inzake door een lidstaat, een instelling of een natuurlijke of rechtspersoon ingesteld beroep, op verzoek van de nationale rechterlijke instanties bij wijze van prejudiciële beslissing over de uitlegging van het recht van de Unie en over de geldigheid van de door de instellingen vastgestelde handelingen, en in de overige bij de Verdragen bepaalde gevallen. In dat artikel staat voorts dat de lidstaten moeten voorzien in de nodige rechtsmiddelen om daadwerkelijke rechtsbescherming op de onder het recht van de Unie vallende gebieden te verzekeren.

68

Meer in het bijzonder heeft het VWEU, met name bij artikel 263 betreffende het rechtstreekse beroep bij het Hof van Justitie van de Europese Unie, en bij artikel 267 betreffende de gevallen waarin het Hof bij wijze van prejudiciële beslissing uitspraak doet over met name de geldigheid en de uitlegging van handelingen van de instellingen, organen en instanties van de Unie, een volledig stelsel van rechtsmiddelen in het leven geroepen om het toezicht op de wettigheid van de Uniehandelingen te verzekeren (zie in die zin arrest van 25 juli 2002, Unión de Pequeños Agricultores/Raad, C‑50/00 P, EU:C:2002:462, punt 40). Zowel het Hof van Justitie van de Europese Unie, waarvan het Gerecht een onderdeel is, als de nationale rechters maken deel uit van dit stelsel. Volgens dit stelsel hebben personen die wegens de ontvankelijkheidsvoorwaarden van artikel 263 VWEU bij het Hof van Justitie van de Europese Unie geen rechtstreeks beroep tegen Uniehandelingen kunnen instellen, de mogelijkheid om met een exceptie van onwettigheid de ongeldigheid van een dergelijke handeling voor de nationale rechter op te werpen door bij die rechter beroep in te stellen tegen de nationale maatregelen ter uitvoering van die handeling. In die situatie staat het aan de nationale rechter om, indien hij een beslissing op dit punt noodzakelijk acht voor het wijzen van zijn vonnis en twijfelt aan de geldigheid van die handeling, het Hof van Justitie van de Europese Unie te verzoeken om een prejudiciële beslissing (zie ook in die zin en naar analogie arrest van 25 juli 2002, Unión de Pequeños Agricultores/Raad, C‑50/00 P, EU:C:2002:462, punt 40).

69

De logica van dit stelsel, die met name de uitlegging van de ontvankelijkheidsvoorwaarden voor rechtstreekse beroepen van artikel 263 VWEU verklaart en die bij de in de punten 35 tot en met 62 hierboven opgenomen analyse in herinnering is gebracht, is dat het rechtsprekend optreden van het Hof van Justitie van de Europese Unie en dat van de nationale rechters elkaar doeltreffend moeten aanvullen en dat de Unierechter en de nationale rechter er niet toe mogen worden gebracht om over de geldigheid van dezelfde Uniehandeling gelijktijdig uitspraak te doen in parallelle procedures, hetzij rechtstreeks, hetzij, wanneer de nationale rechter twijfelt aan de geldigheid van de betrokken handeling, naar aanleiding van een prejudiciële vraag. Deze logica heeft met name de uitspraak kunnen rechtvaardigen dat een verzoeker die een besluit van de Unie zonder twijfel rechtstreeks voor het Hof van Justitie van de Europese Unie had kunnen aanvechten, de geldigheid van dat besluit achteraf, meer bepaald in een latere procedure voor de nationale rechter, niet meer in het geding kon brengen (zie in die zin arrest van 9 maart 1994, TWD Textilwerke Deggendorf, C‑188/92, EU:C:1994:90, punt 17; zie ook in die zin arrest van 9 juni 2011, Comitato Venezia vuole vivere e.a./Commissie, C‑71/09 P, C‑73/09 P en C‑76/09 P, EU:C:2011:368, punt 58 en aldaar aangehaalde rechtspraak). Omgekeerd is het vaste rechtspraak dat de onwettigheid van een niet voor beroep vatbare Uniehandeling die de grondslag vormt voor een andere handeling, kan worden ingeroepen in het kader van het beroep tegen deze tweede handeling (arrest van 11 november 1981, IBM/Commissie, 60/81, EU:C:1981:264, punt 12 en a contrario de voorgaande verwijzingen naar de rechtspraak).

70

In het onderhavige geval zou de ontvankelijkverklaring van het beroep van WhatsApp tegen het bestreden besluit ertoe leiden dat twee parallelle gerechtelijke procedures worden gevoerd die elkaar aanzienlijk overlappen, namelijk een procedure bij het Gerecht waarin het bestreden besluit ter discussie wordt gesteld, en een andere procedure bij een Ierse rechter waarin het definitieve besluit, waarvan een deel van de motivering is gebaseerd op het bestreden besluit, ter discussie wordt gesteld. Ter verkrijging van uitstel voor de indiening van de repliek bij het Gerecht heeft WhatsApp overigens de parallelle werklast aangevoerd die de procedure bij de aangezochte Ierse rechter haar bezorgde. Tenzij de ene of de andere aangezochte rechter de bij hem aanhangige procedure schorst, hetgeen ertoe zou kunnen leiden dat meer tijd nodig is om te komen tot een uiteindelijke beslechting met betrekking tot de rechtmatigheid van het definitieve besluit, zouden deze parallelle procedures zelfs tot gevolg kunnen hebben dat tegelijkertijd het Hof, bij wijze van prejudiciële beslissing, en het Gerecht, via het rechtstreekse beroep van WhatsApp, worden verzocht uitspraak te doen over de geldigheid van het bestreden besluit. Gelet op het in de punten 68 en 69 hierboven bedoelde stelsel van rechtsmiddelen en het bepaalde in artikel 78 van verordening 2016/679 betreffende het recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit, zal het in voorkomend geval de taak zijn van de aangezochte Ierse rechter, die ter zake als enige bevoegd is, om de rechtmatigheid van het aan WhatsApp tegenwerpbare definitieve besluit te toetsen en om daarbij, wanneer hij dat noodzakelijk acht om in het geding tussen WhatsApp en de Ierse toezichthoudende autoriteit uitspraak te doen, het Hof van Justitie van de Europese Unie te verzoeken om bij wijze van prejudiciële beslissing de geldigheid van het bestreden besluit te beoordelen. In dat verband kan de aangezochte Ierse rechter het hem voorgelegde geding beslechten door ofwel, indien hij geen twijfels over de geldigheid van het bestreden besluit heeft, de eventueel opgeworpen exceptie van onwettigheid van het bestreden besluit af te wijzen zonder zich tot het Hof te wenden, ofwel, indien hij daarover wel twijfels heeft, de zaak juist aan het Hof voor te leggen, dan wel door in het licht van de bij hem aangevoerde middelen het geding onafhankelijk van de vraag van de geldigheid van het bestreden besluit te beslechten. Gelet op de bij aanvang van dit punt genoemde risico’s van parallelle gerechtelijke procedures, strookt deze oplossing met het belang van een goede rechtsbedeling.

71

Ten slotte zij met betrekking tot de in punt 33 hierboven aangehaalde overweging 143 van verordening 2016/679, waaruit de ontvankelijkheid van een beroep als het door WhatsApp bij het Gerecht ingestelde beroep zou kunnen worden afgeleid, opgemerkt dat een overweging van een verordening weliswaar duidelijkheid kan geven over de uitlegging van een rechtsvoorschrift, maar zelf niet zo een voorschrift kan zijn en dat de considerans van een Uniehandeling geen bindende kracht heeft (zie arrest van 26 oktober 2017, Marine Harvest/Commissie, T‑704/14, EU:T:2017:753, punt 150 en aldaar aangehaalde rechtspraak; zie ook in die zin arrest van 24 november 2005, Deutsches Milch-Kontor, C‑136/04, EU:C:2005:716, punt 32 en aldaar aangehaalde rechtspraak). Zoals opgemerkt in de punten 32 en 35 hierboven, ondersteunt deze overweging in casu geen enkele bepaling van verordening 2016/679. Bovendien kan een toelichting in de motivering van een verordening niet prevaleren boven de toepasselijke primairrechtelijke bepalingen van de Verdragen, in casu die van artikel 263, eerste en vierde alinea, VWEU, waarvan de inhoud overigens gedeeltelijk in de betrokken overweging in herinnering wordt gebracht met de vermelding in de eerste zin dat „[i]edere natuurlijke persoon of rechtspersoon […] het recht [heeft] om bij het Hof van Justitie een beroep tot nietigverklaring in te stellen tegen een besluit van het Comité, onder de in artikel 263 VWEU bedoelde voorwaarden”.

72

Uit een en ander volgt dat het beroep niet-ontvankelijk moet worden verklaard.

73

Overeenkomstig artikel 142, lid 2, van het Reglement voor de procesvoering is de interventie ondergeschikt aan het hoofdgeding en raakt zij met name bij niet-ontvankelijkverklaring van het verzoekschrift zonder voorwerp.

74

Derhalve behoeft niet meer te worden beslist op de verzoeken tot interventie, noch op de daaruit voortgevloeide verzoeken om bescherming van de vertrouwelijkheid van elementen van het dossier.

75

Volgens artikel 134, lid 1, van het Reglement voor de procesvoering wordt de in het ongelijk gestelde partij verwezen in de kosten, voor zover dit is gevorderd. Aangezien WhatsApp in het ongelijk is gesteld, dient zij overeenkomstig de vordering van het EDPB te worden verwezen in de kosten, onder voorbehoud van hetgeen hieronder in punt 76 wordt verklaard.

76

Bovendien dragen, indien in de hoofdzaak een einde komt aan het geding voordat op een verzoek tot interventie is beslist, de indiener van het verzoek tot interventie en de hoofdpartijen overeenkomstig artikel 144, lid 10, van het Reglement voor de procesvoering ieder hun eigen kosten in verband met het verzoek tot interventie. In casu zullen WhatsApp, het EDPB, de Republiek Finland, de Commissie, de Europese Toezichthouder voor gegevensbescherming en de Computer & Communication Industry Association elk hun eigen kosten in verband met de verzoeken tot interventie dragen.

HET GERECHT (Vierde kamer – uitgebreid)

beschikt: