Voorlopige editie

NLARREST VAN HET HOF (Grote kamer)

10 februari 2026 (*)

„ Hogere voorziening – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 63 – Coherentiemechanisme – Artikel 65 – Geschillenbeslechting door het Europees Comité voor gegevensbescherming – Bindend besluit – Beroep tot nietigverklaring – Artikel 263, eerste alinea, VWEU – Voor beroep vatbare handeling – Artikel 263, vierde alinea, VWEU – Voorwaarde dat de verzoeker rechtstreeks moet zijn geraakt door de maatregel waartegen hij beroep heeft ingesteld ”

In zaak C‑97/23 P,

betreffende een hogere voorziening krachtens artikel 56 van het Statuut van het Hof van Justitie van de Europese Unie, ingesteld op 17 februari 2023,

WhatsApp Ireland Ltd, gevestigd te Dublin (Ierland), vertegenwoordigd door E. Egan McGrath, SC, C. Geoghegan, SC, D. McGrath, SC, P. Sreenan, SC, B. Johnston, C. Monaghan en P. Nolan, solicitors, H.‑G. Kamann, Rechtsanwalt, en F. Louis en A. Vallery, avocats,

rekwirante,

andere partij in de procedure:

Europees Comité voor gegevensbescherming, vertegenwoordigd door C. Foglia, M. Gufflet, G. Le Grand en I. Vereecken als gemachtigden, bijgestaan door G. Haumont, E. de Lophem en P. Vernet, avocats, en G. Ryelandt, advocaat,

verweerder in eerste aanleg,

ondersteund door:

Bondsrepubliek Duitsland, aanvankelijk vertegenwoordigd door J. Möller en P.‑L. Krüger als gemachtigden, vervolgens door J. Möller als gemachtigde,

interveniënte in hogere voorziening,

wijst

HET HOF (Grote kamer),

samengesteld als volgt: K. Lenaerts, president, T. von Danwitz (rapporteur), vicepresident, K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu-Matei en M. Condinanzi, kamerpresidenten, S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, en N. Fenger, rechters,

advocaat-generaal: T. Ćapeta,

griffier: A. Lamote, administrateur,

gezien de stukken en na de terechtzitting op 26 november 2024,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 27 maart 2025,

het navolgende

Arrest

1        Met haar hogere voorziening vordert WhatsApp Ireland Ltd (hierna: „WhatsApp”), vernietiging van de beschikking van het Gerecht van de Europese Unie van 7 december 2022, WhatsApp Ireland/Europees Comité voor gegevensbescherming (T‑709/21, EU:T:2022:783; hierna: „bestreden beschikking”), waarbij het Gerecht haar beroep tot nietigverklaring van bindend besluit 1/2021 van het Europees Comité voor gegevensbescherming (hierna: „Comité”) van 28 juli 2021 betreffende een geschil tussen de betrokken toezichthoudende autoriteiten dat voortvloeit uit het ontwerpbesluit van de Data Protection Commission (DPC) (Gegevensbeschermingsautoriteit, Ierland; hierna: „Ierse toezichthoudende autoriteit”) met betrekking tot WhatsApp (hierna: „litigieus besluit”).

 Toepasselijke bepalingen

2        De overwegingen 10 en 143 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”) luiden:

„(10)      Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de [Europese] Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...]

[...]

(143)      Iedere natuurlijke persoon of rechtspersoon heeft het recht om bij het Hof van Justitie een beroep tot nietigverklaring in te stellen tegen een besluit van het Comité, onder de in artikel 263 VWEU bedoelde voorwaarden. Als adressaten van dergelijke besluiten dienen de betrokken toezichthoudende autoriteiten die wensen op te komen tegen deze besluiten, binnen twee maanden na de kennisgeving ervan beroep in te stellen overeenkomstig artikel 263 VWEU. Wanneer de verwerkingsverantwoordelijke, de verwerker of de klager rechtstreeks en individueel wordt geraakt door besluiten van het Comité, kan hij binnen twee maanden na de bekendmaking ervan op de website van het Comité een beroep tot nietigverklaring van deze besluiten instellen overeenkomstig artikel 263 VWEU. Onverminderd dit recht uit hoofde van artikel 263 VWEU dient iedere natuurlijke of rechtspersoon het recht te hebben om tegen een besluit van een toezichthoudende autoriteit dat ten aanzien van die persoon rechtsgevolgen heeft, voor het bevoegde nationale gerecht een doeltreffende voorziening in rechte in te stellen. Een dergelijk besluit heeft meer bepaald betrekking op de uitoefening van met onderzoek, correctie en toestemming verband houdende bevoegdheden door de toezichthoudende autoriteit, of op de afwijzing van klachten. Het recht een doeltreffende voorziening in rechte in te stellen geldt echter niet voor door de toezichthoudende autoriteiten getroffen maatregelen die niet juridisch bindend zijn, zoals adviezen. Een vordering tegen een toezichthoudende autoriteit dient te worden ingesteld bij de gerechten van de lidstaat waar de toezichthoudende autoriteit is gevestigd, en dient in overeenstemming te zijn met het procesrecht van die lidstaat. Die gerechten dienen volledige rechtsmacht uit te oefenen, waaronder rechtsmacht om alle feitelijke en juridische vraagstukken in verband met het bij hen aanhangige geschil te onderzoeken.

Wordt een klacht door een toezichthoudende autoriteit afgewezen, dan kan de klager beroep instellen bij de gerechten in dezelfde lidstaat. In het kader van de rechtsbevoegdheid in verband met de toepassing van deze verordening, kunnen, of, in het geval van artikel 267 VWEU, moeten de nationale gerechten die van oordeel zijn dat een beslissing ter zake noodzakelijk is voor het wijzen van hun vonnis, het Hof van Justitie verzoeken om een prejudiciële beslissing over de uitlegging van het Unierecht, met inbegrip van deze verordening. Bovendien, wanneer een besluit van een toezichthoudende autoriteit tot uitvoering van een besluit van het Comité wordt betwist voor een nationaal gerecht en de geldigheid van het besluit van het Comité aan de orde is, heeft dat nationale gerecht niet de bevoegdheid om het besluit van het Comité ongeldig te verklaren, maar dient zij, wanneer zij het besluit ongeldig acht, de vraag inzake de geldigheid voor te leggen aan het Hof van Justitie overeenkomstig artikel 267 VWEU zoals uitgelegd door het Hof van Justitie. Een nationaal gerecht kan een vraag inzake de geldigheid van een besluit van het Comité echter niet aan het Hof voorleggen op verzoek van een natuurlijke of rechtspersoon die de mogelijkheid had om beroep tot nietigverklaring van dat besluit in te stellen, met name wanneer hij rechtstreeks en individueel door dat besluit was geraakt, maar dit niet heeft gedaan binnen de in artikel 263 VWEU gestelde termijn.”

3        Artikel 5 AVG, met als opschrift „Beginselen inzake verwerking van persoonsgegevens”, bepaalt in lid 1, onder a), dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Dit artikel bepaalt in, lid 1, onder c), dat deze gegevens toereikend en ter zake dienend moeten zijn, en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

4        Artikel 6 AVG, „Rechtmatigheid van de verwerking”, bevat de voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens. Lid 1 van dit artikel luidt:

„De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

a)      de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

b)      de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;

c)      de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

d)      de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;

e)      de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

f)      de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.”

5        Artikel 12 AVG omvat bepalingen met betrekking tot transparante informatie en communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene. Dit artikel bepaalt in lid 1:

„De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.”

6        Artikel 13 AVG, „Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”, luidt als volgt:

„1.      Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:

a)      de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke;

b)      in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming;

c)      de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;

d)      de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd;

e)      in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;

f)      in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de [Europese] Commissie bestaat; of, in het geval van in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.

2.      Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:

a)      de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn;

b)      dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;

c)      wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;

d)      dat de betrokkene het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit;

e)      of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt;

f)      het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

[...]”

7        Artikel 14 AVG betreft de te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen.

8        Volgens artikel 55, lid 1, AVG heeft elke toezichthoudende autoriteit de competentie om op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig de AVG zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig de AVG zijn toegekend.

9        Artikel 56 AVG, „Competentie van de leidende toezichthoudende autoriteit”, luidt:

„1.      Onverminderd artikel 55 is de toezichthoudende autoriteit van de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of verwerker competent op te treden als leidende toezichthoudende autoriteit voor de grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker overeenkomstig de procedure van artikel 60.

2.      In afwijking van lid 1 is elke toezichthoudende autoriteit competent een bij haar ingediende klacht of een eventuele inbreuk op deze verordening te behandelen indien het onderwerp van die zaak alleen verband houdt met een vestiging in haar lidstaat of alleen voor betrokkenen in haar lidstaat wezenlijke gevolgen heeft.

3.      In de in lid 2 van dit artikel bedoelde gevallen stelt de toezichthoudende autoriteit de leidende toezichthoudende autoriteit onverwijld in kennis van de zaak. Binnen drie weken nadat zij in kennis is gesteld, besluit de leidende toezichthoudende autoriteit of zij de zaak al dan niet zal behandelen, overeenkomstig de in artikel 60 vastgelegde procedure; zij houdt daarbij rekening met het al dan niet bestaan van een vestiging van de verwerkingsverantwoordelijke of de verwerker in de lidstaat van de toezichthoudende autoriteit die haar in kennis heeft gesteld.

4.      Wanneer de leidende toezichthoudende autoriteit besluit de zaak te behandelen, is de procedure van artikel 60 van toepassing. De toezichthoudende autoriteit die de leidende toezichthoudende autoriteit in kennis heeft gesteld, kan bij deze laatste een ontwerpbesluit indienen. De leidende toezichthoudende autoriteit houdt zo veel mogelijk rekening met dat ontwerp wanneer zij het in artikel 60, lid 3, bedoelde ontwerpbesluit opstelt.

5.      Indien de leidende toezichthoudende autoriteit besluit de zaak niet te behandelen, wordt deze overeenkomstig de artikelen 61 en 62 behandeld door de toezichthoudende autoriteit die de leidende toezichthoudende autoriteit in kennis heeft gesteld.

6.      De leidende toezichthoudende autoriteit is voor de verwerkingsverantwoordelijke of de verwerker de enige gesprekspartner bij grensoverschrijdende verwerking door die verwerkingsverantwoordelijke of verwerker.”

10      Artikel 57 AVG, „Taken”, bepaalt in lid 1, onder h), dat elke toezichthoudende autoriteit op haar grondgebied tot taak heeft om onderzoeken te verrichten naar de toepassing van de AVG.

11      De onderzoeksbevoegdheden van deze autoriteit worden opgesomd in lid 1 van artikel 58 AVG, met als opschrift „Bevoegdheden”. Lid 2 van dit artikel bevat een opsomming van de corrigerende maatregelen die deze autoriteit kan nemen, waaronder de onder b), d), en i), bedoelde maatregelen, namelijk, respectievelijk, het berispen van de verwerkingsverantwoordelijke of de verwerker wanneer met verwerkingen inbreuk is gemaakt op bepalingen van de AVG, waar passend het gelasten van de verwerkingsverantwoordelijke of de verwerker om op een nader bepaalde manier en binnen een nader bepaalde termijn, verwerkingen in overeenstemming te brengen met de bepalingen van de AVG, en het opleggen van een administratieve geldboete op grond van artikel 83 AVG.

12      Artikel 60 AVG, „Samenwerking tussen de leidende toezichthoudende autoriteit en de andere betrokken toezichthoudende autoriteiten”, bepaalt:

„1.      De leidende toezichthoudende autoriteit werkt overeenkomstig dit artikel samen met de andere betrokken toezichthoudende autoriteiten teneinde tot een consensus proberen te komen. De leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten wisselen alle relevante informatie met elkaar uit.

2.      De leidende toezichthoudende autoriteit kan te allen tijde andere betrokken toezichthoudende autoriteiten verzoeken wederzijdse bijstand overeenkomstig artikel 61 te verlenen, en kan gezamenlijke werkzaamheden ondernemen overeenkomstig artikel 62, in het bijzonder voor het uitvoeren van onderzoeken of voor het toezicht op de uitvoering van een maatregel betreffende een in een andere lidstaat gevestigde verwerkingsverantwoordelijke of verwerker.

3.      De leidende toezichthoudende autoriteit deelt onverwijld alle relevante informatie over de aangelegenheid mee aan de andere betrokken toezichthoudende autoriteiten. Zij legt de andere betrokken toezichthoudende autoriteiten onverwijld te hunner beoordeling een ontwerpbesluit voor en houdt naar behoren rekening met hun standpunten.

4.      Indien één van de andere betrokken toezichthoudende autoriteiten binnen een termijn van vier weken na te zijn geraadpleegd overeenkomstig lid 3 van dit artikel een relevant en gemotiveerd bezwaar tegen het ontwerpbesluit indient, onderwerpt de leidende toezichthoudende autoriteit, indien zij het relevante en gemotiveerde bezwaar afwijst of het niet relevant of niet gemotiveerd acht, de aangelegenheid aan het in artikel 63 bedoelde coherentiemechanisme.

5.      Indien de leidende toezichthoudende autoriteit voornemens is het ingediende relevante en gemotiveerde bezwaar te honoreren, legt zij de overige betrokken toezichthoudende autoriteiten te hunner beoordeling een herzien ontwerpbesluit voor. Dat herziene ontwerpbesluit wordt binnen een termijn van twee weken aan de in lid 4 bedoelde procedure onderworpen.

6.      Indien geen enkele andere betrokken toezichthoudende autoriteit binnen de in de leden 4 en 5 bedoelde termijn bezwaar heeft gemaakt tegen het door de leidende toezichthoudende autoriteit voorgelegde ontwerpbesluit, worden de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten geacht met dat ontwerpbesluit in te stemmen en zijn zij daaraan gebonden.

7.      De leidende toezichthoudende autoriteit stelt het besluit vast en deelt het mee aan de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of de verwerker, naargelang het geval, en stelt de andere betrokken toezichthoudende autoriteiten, alsmede het Comité in kennis van het besluit in kwestie, voorzien van een samenvatting van de relevante feiten en gronden. De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van het besluit.

8.      Ingeval een klacht is afgewezen of verworpen, stelt de toezichthoudende autoriteit waarbij de klacht is ingediend, in afwijking van lid 7, het besluit vast en deelt zij het mee aan de klager en stelt zij de verwerkingsverantwoordelijke ervan in kennis.

9.      Indien de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten het erover eens zijn delen van een klacht af te wijzen of te verwerpen en voor andere delen van die klacht op te treden, wordt voor elk van die laatstgenoemde delen een afzonderlijk besluit vastgesteld. De leidende toezichthoudende autoriteit stelt het besluit vast voor het deel betreffende de maatregelen inzake de verwerkingsverantwoordelijke, en deelt het mee aan de hoofdvestiging of de enige vestiging van de verwerkingsverantwoordelijke of de verwerker op het grondgebied van haar lidstaat, en stelt de klager daarvan in kennis. Voor het deel waarvoor de klacht in kwestie is afgewezen of verworpen, wordt het besluit vastgesteld door de toezichthoudende autoriteit van de klager, en door haar aan die klager medegedeeld, en wordt de verwerkingsverantwoordelijke of de verwerker daarvan in kennis gesteld.

10.      De verwerkingsverantwoordelijke of de verwerker treft, na in kennis te zijn gesteld van het besluit van de leidende toezichthoudende autoriteit overeenkomstig de leden 7 en 9, de nodige maatregelen teneinde het besluit wat betreft de verwerkingsactiviteiten binnen al zijn vestigingen binnen de Unie te doen naleven. De verwerkingsverantwoordelijke of de verwerker deelt de door hem met het oog op de naleving van het besluit getroffen maatregelen mee aan de leidende toezichthoudende autoriteit, die de andere betrokken toezichthoudende autoriteiten ervan in kennis stelt.

11.      Indien, in buitengewone omstandigheden, een betrokken toezichthoudende autoriteit het met reden dringend noodzakelijk acht dat in het belang van bescherming van de belangen van betrokkenen wordt opgetreden, is de in artikel 66 bedoelde spoedprocedure van toepassing.

12.      De leidende toezichthoudende autoriteit en de andere betrokken toezichthoudende autoriteiten verstrekken elkaar langs elektronische weg, door middel van een standaardformulier, de krachtens dit artikel vereiste informatie.”

13      Artikel 63 AVG, „Coherentiemechanisme”, luidt als volgt:

„Teneinde bij te dragen aan de consequente toepassing van deze verordening in de gehele Unie werken de toezichthoudende autoriteiten met elkaar en waar passend samen met de Commissie in het kader van het [...] coherentiemechanisme.”

14      Artikel 65 AVG, „Geschillenbeslechting door het Comité”, bepaalt:

„1.      Om te zorgen voor de correcte en consequente toepassing van deze verordening in individuele gevallen, stelt het Comité een bindend besluit vast in de volgende gevallen:

a)      wanneer in een geval als bedoeld in artikel 60, lid 4, een betrokken toezichthoudende autoriteit een relevant en gemotiveerd bezwaar heeft ingediend tegen een ontwerpbesluit van de leidende toezichthoudende autoriteit en de leidende toezichthoudende autoriteit heeft het bezwaar niet gevolgd of heeft het bezwaar afgewezen als zijnde irrelevant of ongemotiveerd. Het bindend besluit heeft betrekking op alle aangelegenheden die onderwerp van het relevante en gemotiveerde bezwaar zijn, en met name op de vraag of inbreuk op de onderhavige verordening wordt gemaakt;

b)      wanneer er verschillend wordt geoordeeld over de vraag welke betrokken toezichthoudende autoriteit bevoegd is voor de hoofdvestiging;

c)      wanneer een bevoegde toezichthoudende autoriteit in de in artikel 64, lid 1, genoemde gevallen het Comité niet om advies vraagt, of het krachtens artikel 64 uitgebrachte advies van het Comité niet volgt. In dat geval kan elke betrokken toezichthoudende autoriteit of de Commissie de aangelegenheid meedelen aan het Comité.

2.      Het in lid 1 bedoelde besluit wordt binnen één maand na de verwijzing van de aangelegenheid vastgesteld met een tweederdemeerderheid van de leden van het Comité. Deze termijn kan wegens de complexiteit van de aangelegenheid met één maand worden verlengd. Het in lid 1 bedoelde besluit wordt met redenen omkleed en gericht tot de leidende toezichthoudende autoriteit en alle betrokken toezichthoudende autoriteiten, en is bindend.

3.      Indien het Comité niet binnen de in lid 2 genoemde termijn een besluit heeft kunnen vaststellen, stelt het zijn besluit binnen twee weken na het verstrijken van de in lid 2 bedoelde tweede maand vast, met een gewone meerderheid van zijn leden. Bij staking van stemmen onder de leden van het Comité is de stem van de voorzitter beslissend.

4.      De betrokken toezichthoudende autoriteiten stellen tijdens de in de leden 2 en 3 bedoelde termijn geen besluit over de overeenkomstig lid 1 aan het Comité voorgelegde aangelegenheid vast.

5.      De voorzitter van het Comité brengt het in lid 1 bedoelde besluit onverwijld ter kennis van de betrokken toezichthoudende autoriteiten. Hij brengt de Commissie daarvan op de hoogte. Het besluit wordt onverwijld bekendgemaakt op de website van het Comité nadat de toezichthoudende autoriteit het in lid 6 bedoelde definitieve besluit ter kennis heeft gebracht.

6.      De leidende toezichthoudende autoriteit of, in voorkomend geval, de toezichthoudende autoriteit waarbij de klacht is ingediend, stelt onverwijld en uiterlijk binnen één maand na de kennisgeving door het Comité een definitief besluit vast op basis van het in lid 1 van dit artikel bedoelde besluit. De leidende toezichthoudende autoriteit of, in voorkomend geval, de toezichthoudende autoriteit waarbij de klacht is ingediend, deelt het Comité de datum mee waarop haar definitieve besluit ter kennis wordt gebracht van respectievelijk de verwerkingsverantwoordelijke of de verwerker en van de betrokkene. Het definitieve besluit van de betrokken toezichthoudende autoriteiten wordt vastgesteld overeenkomstig artikel 60, leden 7, 8 en 9. Het definitieve besluit verwijst naar het in lid 1 van dit artikel bedoelde besluit en geeft aan dat genoemd besluit overeenkomstig lid 5 van dit artikel zal worden bekendgemaakt op de website van het Comité. Het in lid 1 van dit artikel bedoelde besluit wordt aan het definitieve besluit gehecht.”

15      Artikel 68 AVG, „[Comité]”, bepaalt in lid 1 dat het Comité wordt ingesteld als orgaan van de Unie en rechtspersoonlijkheid heeft.

16      Artikel 70 AVG, „Taken van het Comité”, bepaalt in lid 1, onder a), dat het Comité ervoor zorgt dat de AVG consistent wordt toegepast. Daartoe heeft het Comité tot taak om op eigen initiatief of, waar passend, op verzoek van de Commissie onder meer toe te zien op en te zorgen voor de juiste toepassing van de AVG in de in de artikelen 64 en 65 daarvan bedoelde gevallen, onverminderd de taken van de nationale toezichthoudende autoriteiten.

17      Artikel 78 AVG, „Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”, luidt:

„1.      Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.

2.      Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep heeft iedere betrokkene het recht om een doeltreffende voorziening in rechte in te stellen indien de overeenkomstig de artikelen 55 en 56 bevoegde toezichthoudende autoriteit een klacht niet behandelt of de betrokkene niet binnen drie maanden in kennis stelt van de voortgang of het resultaat van de uit hoofde van artikel 77 ingediende klacht.

3.      Een procedure tegen een toezichthoudende autoriteit wordt ingesteld bij de gerechten van de lidstaat waar de toezichthoudende autoriteit is gevestigd.

4.      Wanneer een procedure wordt ingesteld tegen een besluit van een toezichthoudende autoriteit waaraan een advies of een besluit van het Comité in het kader van het coherentiemechanisme is voorafgegaan, doet de toezichthoudende autoriteit dat advies of besluit aan de gerechten toekomen.”

18      Artikel 83 AVG bevat de algemene voorwaarden voor het opleggen van administratieve geldboeten.

 Voorgeschiedenis van het geding en litigieus besluit

19      De voorgeschiedenis van het geding is uiteengezet in de punten 2 tot en met 12 van de bestreden beschikking en kan ten behoeve van de onderhavige procedure als volgt worden samengevat.

20      Na de inwerkingtreding van de AVG heeft de Ierse toezichthoudende autoriteit klachten ontvangen van gebruikers en niet-gebruikers van de berichtendienst „WhatsApp” over de verwerking van persoonsgegevens door WhatsApp. Voorts heeft de Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (federale commissaris voor gegevensbescherming en informatievrijheid, Duitsland) de Ierse toezichthoudende autoriteit om bijstand verzocht met betrekking tot de vraag of WhatsApp de op verantwoordelijken voor de verwerking van persoonsgegevens rustende transparantieverplichtingen naleefde bij het mogelijk delen van die gegevens met andere entiteiten van het Facebook-concern, dat in september 2021 is omgedoopt tot „Meta”.

21      In december 2018 heeft de Ierse toezichthoudende autoriteit ambtshalve een algemeen onderzoek ingeleid naar de naleving door WhatsApp van de in de artikelen 12 tot en met 14 AVG vervatte transparantie- en informatieverplichtingen ten aanzien van particulieren, onverminderd de stappen die zij zou kunnen ondernemen naar aanleiding van bij haar ingediende individuele verzoeken. De Ierse toezichthoudende autoriteit is in dit verband opgetreden als leidende toezichthoudende autoriteit uit hoofde van artikel 56, lid 1, AVG, omdat WhatsApp als verwerkingsverantwoordelijke voor de Europese activiteiten van de berichtendienst „WhatsApp” haar hoofdvestiging in Ierland had en die verwerking een grensoverschrijdend karakter had.

22      Nadat de onderzoeksfase in september 2019 was afgerond met de indiening van een eindverslag door de onderzoeker, heeft de Ierse toezichthoudende autoriteit, na tussentijdse procedurele fasen waarin WhatsApp haar opmerkingen had ingediend, in december 2020 overeenkomstig artikel 60, lid 3, AVG een ontwerpbesluit ter beoordeling voorgelegd aan alle andere bij de zaak betrokken toezichthoudende autoriteiten.

23      In januari 2021 hebben acht van die toezichthoudende autoriteiten bezwaar gemaakt tegen bepaalde aspecten van dat ontwerpbesluit. De Ierse toezichthoudende autoriteit heeft gegroepeerd geantwoord op deze bezwaren en daarbij compromisoplossingen voorgesteld. Hoewel een van die acht autoriteiten naar aanleiding van dat antwoord een van haar bezwaren introk, heeft de Ierse toezichthoudende autoriteit vastgesteld dat er geen consensus bestond over de andere aspecten waartegen bezwaar was gemaakt. Zij heeft besloten om alle ontvangen bezwaren af te wijzen en zich overeenkomstig artikel 60, lid 4, en artikel 65, lid 1, onder a), AVG, tot het Comité te wenden voor een beslechting van het geschil over die aspecten tussen de betrokken toezichthoudende autoriteiten.

24      In mei 2021 heeft de Ierse toezichthoudende autoriteit de schriftelijke opmerkingen van WhatsApp over de tussen de betrokken toezichthoudende autoriteiten besproken kwesties ontvangen na haar alle in dat verband uitgewisselde documenten te hebben toegezonden. Die opmerkingen heeft zij vervolgens doorgestuurd naar het Comité zodat het daarvan kennis kon nemen in het kader van de geschillenbeslechtingsprocedure die zij in juni 2021 was gestart.

25      Op 28 juli 2021 heeft het Comité op basis van artikel 65, lid 2, AVG het litigieuze besluit vastgesteld.

26      Nadat de Ierse toezichthoudende autoriteit het litigieuze besluit in ontvangst had genomen en van WhatsApp opmerkingen had ontvangen over de geldelijke sancties die haar uiteindelijk naar aanleiding van dit besluit zouden worden opgelegd, heeft die autoriteit op 20 augustus 2021 overeenkomstig artikel 65, lid 6, AVG een tot WhatsApp gericht definitief besluit vastgesteld (hierna: „definitief besluit”).

27      In het definitieve besluit heeft de Ierse toezichthoudende autoriteit vastgesteld dat WhatsApp het transparantiebeginsel en de transparantieverplichtingen zoals neergelegd in artikel 5, lid 1, onder a), artikel 12, lid 1, artikel 13, lid 1, onder c) tot en met f), artikel 13, lid 2, onder a), c) en e), en artikel 14 AVG niet had nageleefd. Aan de andere kant had WhatsApp volgens die autoriteit wel voldaan aan de verplichtingen van artikel 13, lid 1, onder a) en b), en van artikel 13, lid 2, onder b) en d), van verordening 2016/679. Bij wijze van corrigerende maatregelen uit hoofde van artikel 58, lid 2, onder b), d) en i), AVG heeft voornoemde autoriteit WhatsApp berispt, haar verplicht om een aantal in een bijlage opgesomde maatregelen uit te voeren teneinde binnen drie maanden te voldoen aan de geschonden bepalingen van de AVG, en haar vier administratieve geldboeten opgelegd met betrekking tot de in artikel 5, lid 1, onder a), en de artikelen 12 tot en met 14 AVG genoemde inbreuken, voor een totaalbedrag van 225 miljoen EUR.

28      Voorts heeft de Ierse toezichthoudende autoriteit in het definitieve besluit aangegeven voor welke aspecten hij op grond van het litigieuze besluit de beoordeling in het ontwerpbesluit heeft moeten herzien. Wat die aspecten betreft, heeft hij ervoor gekozen om de door het Comité in het litigieuze besluit gegeven motivering ongewijzigd, in gearceerde tekstvakken, over te nemen en om daaruit telkens in een afsluitend punt eenvoudigweg de consequenties te trekken.

29      Het litigieuze besluit is overeenkomstig artikel 65, lid 6, AVG bij het definitieve besluit gevoegd.

30      In het litigieuze besluit heeft het Comité een standpunt ingenomen over de aangelegenheden waarover relevante en gemotiveerde bezwaren waren ingediend in de zin van artikel 65, lid 1, onder a), AVG, namelijk:

–        de niet-naleving door WhatsApp van de informatieverplichtingen van artikel 13, lid 1, onder d), AVG betreffende bepaalde informatie die aan de betrokkenen moet worden verstrekt wanneer bij hen persoonsgegevens zijn verzameld. De Ierse toezichthoudende autoriteit had geen dergelijke niet‑naleving vastgesteld in het ontwerpbesluit. Het Comité was echter van mening dat WhatsApp die bepaling niet had nageleefd;

–        de kwalificatie als persoonsgegevens van gegevens die voortkomen uit een niet-verliesvrije compressieprocedure, gewoonlijk een „lossy hashing”-procedure genoemd, die wordt toegepast op gegevens betreffende de contacten van niet-gebruikers van WhatsApp uit de adresboeken van de eindapparatuur van WhatsApp-gebruikers. De Ierse toezichthoudende autoriteit heeft die gegevens niet als zodanig gekwalificeerd in het ontwerpbesluit. Het Comité was echter van mening dat deze gegevens altijd persoonsgegevens vormen. Volgens het Comité heeft dit aspect mogelijke gevolgen voor de eventuele vaststelling van een inbreuk door WhatsApp op artikel 5, lid 1, onder c), en artikel 6, lid 1, AVG en is het van invloed op de omvang van de inbreuk door WhatsApp op artikel 14 AVG, alsook op de hoogte van de wegens die inbreuken opgelegde geldelijke sanctie;

–        de niet-naleving door WhatsApp van het transparantiebeginsel van artikel 5, lid 1, onder a), AVG, die de Ierse toezichthoudende autoriteit niet heeft vastgesteld in haar ontwerpbesluit. Het Comité was echter van mening dat WhatsApp dit beginsel niet had nageleefd;

–        de vaststelling van een inbreuk door WhatsApp op artikel 13, lid 2, onder e), AVG betreffende bepaalde informatie die aan de betrokkenen moet worden verstrekt wanneer bij hen persoonsgegevens zijn verzameld. De Ierse toezichthoudende autoriteit meende geen dergelijke inbreuk te kunnen vaststellen omdat de onderzoeker daar tijdens het onderzoek geen standpunt over had ingenomen, zodat deze autoriteit daarover enkel een aanbeveling kon doen. Het Comité was daarentegen van mening dat het onderzoek betrekking had op alle bepalingen van artikel 13 AVG en dat er een inbreuk op voornoemde bepaling moest worden vastgesteld;

–        een inbreuk door WhatsApp op artikel 6, lid 1, AVG betreffende de voorwaarden voor een rechtmatige verwerking van persoonsgegevens, waarover de Ierse toezichthoudende autoriteit zich niet had uitgesproken. Het Comité was van mening dat het om procedurele redenen inderdaad niet mogelijk was om zich daarover uit te spreken en een dergelijke inbreuk vast te stellen;

–        de uitbreiding van de redenen voor de niet-naleving door WhatsApp van de informatieverplichtingen van artikel 14 AVG betreffende de te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen, vanwege de analyse met betrekking tot het tweede streepje van dit punt. Het Comité heeft de gevolgen bevestigd die deze uitbreiding moest hebben voor de gedragscorrigerende maatregelen en de sanctie die aan WhatsApp werden opgelegd;

–        de niet-naleving door WhatsApp van het in artikel 5, lid 1, onder c), AVG neergelegde beginsel om alleen gegevens te verzamelen die toereikend en ter zake dienend zijn en beperkt zijn tot wat noodzakelijk is voor de doeleinden van de verwerking, over welke niet-naleving de Ierse toezichthoudende autoriteit zich niet had uitgesproken. Het Comité was van mening dat een dergelijke niet-naleving niet kon worden opgemaakt uit het dossier, met name gezien de omvang van het onderzoek voor de procedure jegens WhatsApp;

–        de door de Ierse toezichthoudende autoriteit gestelde termijn van zes maanden waarbinnen WhatsApp in het kader van de corrigerende maatregelen moest voldoen aan de door haar geschonden vereisten van verordening 2016/679. Het Comité heeft die termijn teruggebracht tot drie maanden;

–        in het kader van de corrigerende maatregelen, de wijze waarop niet-gebruikers van WhatsApp moeten worden geïnformeerd over de verwerking van hun persoonsgegevens door WhatsApp, ten aanzien waarvan het Comité de door de Ierse toezichthoudende autoriteit in haar ontwerpbesluit opgenomen beoordeling heeft bevestigd;

–        in het kader van de corrigerende maatregelen, de opgave van aanvullende redenen waarom WhatsApp de verplichtingen van artikel 14 AVG niet heeft nageleefd, ten aanzien waarvan het Comité heeft uiteengezet dat deze opgave nodig was om ervoor te zorgen dat WhatsApp ter zake adequate corrigerende maatregelen zou nemen;

–        in het licht van artikel 83 AVG, dat de „algemene voorwaarden voor het opleggen van administratieve geldboeten” betreft, de criteria voor de hoogte van de aan WhatsApp op te leggen geldboeten. Het Comité was van mening dat de Ierse toezichthoudende autoriteit het criterium van de wereldwijde jaaromzet van de betrokken onderneming verkeerd had uitgelegd, dat zij het begrip „voorgaand boekjaar” correct had uitgelegd, dat zij de regel dat, indien meerdere bepalingen van de AVG zijn geschonden in het kader van dezelfde verwerkingsactiviteit of met elkaar verband houdende verwerkingsactiviteiten, de totale administratieve geldboete niet hoger mag zijn dan die voor de zwaarste inbreuk, verkeerd had uitgelegd, dat zij bepaalde in artikel 83, leden 1 en 2, van verordening 2016/679 genoemde criteria voor de vaststelling van de geldboete – namelijk de opzettelijke of nalatige aard en de ernst van de inbreuken – juist had uitgelegd, maar andere van die criteria – zoals de inaanmerkingneming van de omzet om de sanctie los van de berekening van het plafond te kwantificeren, en, meer in het algemeen, de noodzaak dat de sanctie doeltreffend, evenredig en afschrikkend is – verkeerd had uitgelegd, en

–        de bedragen van de geldboeten, ten aanzien waarvan het Comité van mening was dat – gezien de fouten die de Ierse toezichthoudende autoriteit had gemaakt bij de uitlegging van sommige criteria voor de hoogte van de geldboete en de aanvullende niet-nalevingen van WhatsApp die moesten worden vastgesteld – de door die autoriteit beoogde boetebedragen van in totaal 30 tot 50 miljoen EUR moesten worden verhoogd.

31      WhatsApp heeft het definitieve besluit aangevochten bij een Ierse rechter.

 Procedure bij het Gerecht en bestreden beschikking

32      Bij verzoekschrift, neergelegd ter griffie van het Gerecht op 1 november 2021, heeft WhatsApp op basis van artikel 263 VWEU een beroep tot nietigverklaring van het litigieuze besluit ingesteld.

33      Bij de bestreden beschikking, die krachtens artikel 129 van zijn Reglement voor de procesvoering is gegeven, heeft het Gerecht dit beroep niet-ontvankelijk verklaard.

34      Hoewel het Gerecht in de punten 36, 37 en 40 van de bestreden beschikking heeft opgemerkt dat het litigieuze besluit een handeling van een orgaan van de Unie is die ertoe strekt rechtsgevolgen ten aanzien van derden teweeg te brengen, en dat WhatsApp individueel werd geraakt door dat besluit, heeft het niettemin in punt 42 van de bestreden beschikking geoordeeld dat dit besluit een voorbereidende of tussenhandeling was in een procedure die moest worden afgesloten met de vaststelling van een definitief besluit door de nationale toezichthoudende autoriteit. Het Gerecht heeft vervolgens in de punten 43 en 44 van de bestreden beschikking vastgesteld dat een dergelijke handeling alleen een „voor beroep vatbare handeling” kan zijn indien deze autonome rechtsgevolgen heeft ten aanzien waarvan geen voldoende rechtsbescherming kan worden gewaarborgd in een beroep tegen het besluit waarmee de procedure wordt beëindigd.

35      In dit verband heeft het Gerecht in punt 45 van de bestreden beschikking geoordeeld dat er in casu daadwerkelijke rechtsbescherming ten aanzien van het litigieuze besluit werd verzekerd door het beroep dat WhatsApp bij de nationale rechter kon instellen tegen het definitieve besluit, aangezien die rechter krachtens artikel 267 VWEU bevoegd is om het Hof te verzoeken om een prejudiciële beslissing over de geldigheid van het litigieuze besluit. Het Gerecht heeft tevens in punt 46 van de bestreden beschikking gespecificeerd dat het litigieuze besluit ten aanzien van WhatsApp geen autonome rechtsgevolgen had ten opzichte van het definitieve besluit van de Ierse toezichthoudende autoriteit.

36      Voorts heeft het Gerecht in punt 49 van de bestreden beschikking geoordeeld dat het feit dat een dergelijke tussenhandeling het definitieve standpunt van een autoriteit tot uitdrukking brengt, dat zal moeten worden overgenomen in het definitieve besluit tot beëindiging van de betrokken procedure, niet noodzakelijkerwijs betekent dat die handeling zelf de rechtspositie van de verzoeker aanmerkelijk wijzigt.

37      Daarnaast heeft het Gerecht in punt 50 van de bestreden beschikking opgemerkt dat Whatsapp niet rechtstreeks werd geraakt door het litigieuze besluit. In punt 52 van die beschikking heeft het Gerecht opgemerkt dat dit besluit niet aan WhatsApp kon worden tegengeworpen en dus niet zonder verdere procedurele stappen verplichtingen voor WhatsApp of, in voorkomend geval, rechten voor andere particulieren in het leven kon roepen, wat betekent dat het geen rechtstreekse rechtsgevolgen had voor de situatie van WhatsApp. Het Gerecht heeft tevens opgemerkt, in punt 53 van de bestreden beschikking, dat het litigieuze besluit weliswaar bindend was voor de Ierse toezichthoudende autoriteit wat de daarin behandelde aspecten betreft, maar haar een beoordelingsmarge liet met betrekking tot de inhoud van het definitieve besluit.

38      In de punten 61 en 62 van die beschikking heeft het Gerecht dan ook geoordeeld dat aan geen van de voorwaarden was voldaan om WhatsApp te beschouwen als rechtstreeks geraakt door de maatregel waartegen zij beroep had ingesteld en dat dit beroep dus niet‑ontvankelijk was.

39      Ten slotte heeft het Gerecht in de punten 66 tot en met 70 van de bestreden beschikking geoordeeld dat de uitkomst van zijn analyse past in de logica van het bij de Verdragen ingevoerde stelsel van rechtsmiddelen. Het Gerecht heeft met name vastgesteld dat het ontvankelijk verklaren van het beroep van WhatsApp tegen het litigieuze besluit een risico zou inhouden van parallelle gerechtelijke procedures voor de Unierechter en de nationale rechter, die bovendien bevoegd is om het Hof te verzoeken om een prejudiciële beslissing over de geldigheid van dat besluit.

 Conclusies van partijen

40      Met haar hogere voorziening verzoekt WhatsApp het Hof:

–        de bestreden beschikking te vernietigen;

–        het beroep in eerste aanleg ontvankelijk te verklaren;

–        de zaak voor afdoening terug te verwijzen naar het Gerecht, en

–        het Comité te verwijzen in de kosten van de procedure in hogere voorziening.

41      het Comité, ondersteund door de Bondsrepubliek Duitsland, verzoekt het Hof:

–        de hogere voorziening af te wijzen;

–        WhatsApp te verwijzen in de kosten, en

–        subsidiair, de zaak voor afdoening terug te verwijzen naar het Gerecht.

 Hogere voorziening

 Te late instelling van het beroep in eerste aanleg

 Argumenten van partijen

42      Het Comité betoogt dat het beroep in eerste aanleg te laat is ingesteld. In dit verband voert het aan dat WhatsApp kennis heeft genomen van de relevante delen van het litigieuze besluit vóór de bekendmaking ervan op de website van het Comité, namelijk op 13 augustus 2021. Ongeacht de datum van bekendmaking van het litigieuze besluit op de website van het Comité, die overigens niet kan worden gelijkgesteld met een bekendmaking in het Publicatieblad van de Europese Unie, is de beroepstermijn dus ingegaan op 13 augustus 2021 en verstreken op 25 oktober 2021. Aangezien WhatsApp haar beroep tot nietigverklaring heeft ingesteld op 1 november 2021, is dit beroep te laat ingesteld.

43      WhatsApp betoogt dat de bewering van het Comité dat haar beroep te laat is ingesteld, onjuist is. Wanneer de verzoekende partij niet de adressaat van een handeling is, wordt het aanvangspunt van de beroepstermijn immers bepaald aan de hand van de datum van bekendmaking van die handeling. De datum waarop kennis is genomen van de handeling vormt in dit verband slechts een bijkomend criterium. De wijze van bekendmaking van de handeling is evenmin relevant. In casu is het litigieuze besluit hoe dan ook op 2 september 2021 bekendgemaakt op de website van het Comité en is het beroep ingesteld op 1 november 2021, dus binnen de termijn van artikel 263, zesde alinea, VWEU.

 Beoordeling door het Hof

44      Artikel 263, zesde alinea, VWEU bepaalt dat de in dit artikel bedoelde beroepen moeten worden ingesteld binnen twee maanden te rekenen, al naargelang van het geval, vanaf de dag van bekendmaking van de handeling, vanaf de dag van kennisgeving aan de verzoeker of, bij gebreke daarvan, vanaf de dag waarop de verzoeker van de handeling kennis heeft gekregen.

45      Uit de bewoordingen van deze bepaling, in het bijzonder de uitdrukkingen „al naargelang van het geval” en „bij gebreke daarvan”, blijkt duidelijk dat het aanvangstijdstip van de beroepstermijn wordt bepaald aan de hand van de betrokken situatie en dat de eerste twee criteria die deze termijn kunnen doen ingaan hiërarchisch boven het derde criterium staan. De termijn voor het beroep tot nietigverklaring begint dus primair te lopen vanaf de bekendmaking van de handeling of vanaf de kennisgeving ervan aan de verzoeker. Deze twee hoofdcriteria worden in de opzet van die bepaling op gelijke voet geplaatst, in die zin dat geen van beide criteria ondergeschikt is aan het andere. Het criterium van de datum waarop kennis is genomen van de bestreden handeling als aanvangstijdstip van de beroepstermijn is daarentegen ondergeschikt aan de criteria van bekendmaking of kennisgeving van die handeling (zie in die zin arrest van 26 september 2024, WEPA Hygieneprodukte e.a./Commissie, C‑795/21 P en C‑796/21 P, EU:C:2024:807, punten 61‑63 en aldaar aangehaalde rechtspraak).

46      In casu staat vast dat het litigieuze besluit niet ter kennis is gebracht van WhatsApp, aangezien het Comité krachtens artikel 65, lid 5, eerste volzin, AVG enkel verplicht is om de betrokken toezichthoudende autoriteiten daarvan in kennis te stellen. Derhalve moet worden nagegaan of dit besluit is „bekendgemaakt” in de zin van artikel 263, zesde alinea, VWEU.

47      Dienaangaande moet worden verduidelijkt dat het begrip „bekendmaking” niet uitsluitend ziet op een bekendmaking in het Publicatieblad van de Europese Unie, maar juist ruim moet worden uitgelegd. Dit begrip omvat onder meer een bekendmaking op de website van een instelling, orgaan of instantie van de Unie wanneer het afgeleide recht daarin voorziet (zie in die zin arrest van 26 september 2024, WEPA Hygieneprodukte e.a./Commissie, C‑795/21 P en C‑796/21 P, EU:C:2024:807, punt 70 en aldaar aangehaalde rechtspraak).

48      In casu voorziet artikel 65, lid 5, derde volzin, AVG in de bekendmaking van het litigieuze besluit, zodat de datum waarop dit besluit is bekendgemaakt op de website van het Comité, te weten 2 september 2021, in aanmerking moet worden genomen. Deze uitlegging vindt bevestiging in overweging 143, derde volzin, van de AVG, waaruit blijkt dat de beroepstermijn moet worden berekend vanaf de bekendmaking van het besluit van het Comité op de website van dit orgaan.

49      Aangezien het beroep op 1 november 2021 is ingesteld, is de in artikel 263, zesde alinea, VWEU gestelde termijn niet overschreden, zodat moet worden onderzocht of de in het kader van de onderhavige hogere voorziening aangevoerde middelen van dien aard zijn dat zij de beoordeling van het Gerecht in de bestreden beschikking in twijfel kunnen trekken.

 Eerste middel: onjuiste rechtsopvattingen bij de uitlegging en de toepassing van het begrip „voor beroep vatbare handeling” en van de voorwaarde dat de verzoeker rechtstreeks is geraakt door de maatregel waartegen beroep wordt ingesteld

 Eerste onderdeel van het eerste middel

–       Argumenten van partijen

50      WhatsApp betoogt dat het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting door te oordelen dat het litigieuze besluit geen voor beroep vatbare handeling was.

51      WhatsApp betwist in het bijzonder de relevantie van het criterium dat het Gerecht in punt 41 van de bestreden beschikking heeft gehanteerd om te bepalen of een handeling al dan niet vatbaar is voor beroep. Zo heeft het Gerecht ten onrechte overwogen dat moest worden aangetoond dat het litigieuze besluit rechtsgevolgen teweegbrengt die de rechtspositie van WhatsApp aanmerkelijk wijzigen en haar rechtstreeks raken. Het had echter volstaan om te concluderen dat met dit besluit werd beoogd rechtsgevolgen teweeg te brengen ten aanzien van een of meerdere derden, om vast te stellen dat het een voor beroep vatbare handeling vormde op grond dat het om een definitief besluit ging. Hoe dan ook is dat besluit geen loutere tussenmaatregel maar geeft het uitdrukking aan het definitieve standpunt van het Comité.

52      Volgens WhatsApp heeft het Gerecht de rechtspraak inzake de rechtsgevolgen van tussenhandelingen onjuist toegepast door een procedureel criterium toe te passen op grond waarvan een dergelijke handeling alleen voor beroep vatbaar is indien een beroep tegen de eindhandeling onvoldoende rechtsbescherming zou bieden, en door hieruit te concluderen dat het litigieuze besluit geen rechtsgevolgen heeft.

53      In dit verband verwijst WhatsApp naar het arrest van 11 november 1981, IBM/Commissie (60/81, EU:C:1981:264, punten 10 en 11), waaruit met name blijkt dat een tussenhandeling vatbaar is voor beroep wanneer deze definitief van aard is en losstaat van het latere eindbesluit. Dus moet worden gekeken naar de kern van deze handeling en moeten de gevolgen ervan worden beoordeeld aan de hand van objectieve criteria zoals de inhoud van de handeling, waarbij in voorkomend geval rekening wordt gehouden met de context waarin de handeling is vastgesteld en met de bevoegdheden van de instelling die deze heeft vastgesteld. In dit verband verwijst WhatsApp met name naar het arrest van 12 juli 2022, Nord Stream 2/Parlement en Raad (C‑348/20 P, EU:C:2022:548, punt 63).

54      In het bijzonder kan tegen een dergelijke handeling alleen een beroep tot nietigverklaring worden ingesteld wanneer, ten eerste, de handeling inhoudelijk een voorlopig karakter heeft, in die zin dat de auteur ervan zijn standpunt kan wijzigen in het stadium van het later vastgestelde eindbesluit, en, ten tweede, dat eindbesluit wordt vastgesteld door dezelfde instelling of hetzelfde orgaan van de Unie. Het begrip tussenmaatregel moet dus niet worden toegepast op een besluit dat is vastgesteld door een instelling of orgaan van de Unie en dat is gericht tot een nationale autoriteit die belast is met de uitvoering van dat besluit ten aanzien van derden.

55      In casu heeft het Gerecht zich volgens WhatsApp beperkt tot de vraag of, op procedureel vlak, het beroep bij de nationale rechter haar een doeltreffende rechterlijke bescherming bood. Aldus heeft het in de punten 48 en 49 van de bestreden beschikking ten onrechte geoordeeld dat het argument van WhatsApp dat het litigieuze besluit uitdrukking gaf aan het definitieve standpunt van de auteur ervan, irrelevant was. Door aldus te redeneren heeft het Gerecht derhalve ten onrechte geoordeeld dat het litigieuze besluit geen rechtsgevolgen had en niet losstond van het definitieve besluit, zonder de inhoud en de context van het litigieuze besluit of de omvang van de autonome rechtsgevolgen daarvan te hebben beoordeeld.

56      Wat de inhoud van het litigieuze besluit betreft, wordt niet betwist dat met dit besluit – als bindend besluit dat is vastgesteld op basis van artikel 65 AVG – werd beoogd ten aanzien van derden rechtsgevolgen teweeg te brengen en dat het het definitieve standpunt van het Comité over de aan hem voorgelegde punten weergaf. Dit standpunt kon de rechtspositie van WhatsApp aanmerkelijk wijzigen, met name door de vaststelling dat niet‑verliesvrij gecomprimeerde gegevens persoonsgegevens vormen, welke vaststelling bindend was voor de Ierse toezichthoudende autoriteit.

57      Wat de context van het litigieuze besluit betreft, volgt uit de bewoordingen van artikel 65 AVG dat het om een bindend besluit gaat. In overweging 143 van de AVG staat te lezen dat de besluiten van het Comité met name een verwerkingsverantwoordelijke rechtstreeks en individueel kunnen raken, wat erop duidt dat deze besluiten externe rechtsgevolgen kunnen hebben die verder reiken dan de nationale toezichthoudende autoriteiten tot wie zij zijn gericht. Dit wordt bevestigd door zowel de bestaansreden van de bindende werking van besluiten van het Comité, namelijk om te waarborgen dat de AVG correct en consistent wordt toegepast, als de opzet van de procedure van artikel 65, lid 1, AVG.

58      Wat betreft de autonome rechtsgevolgen van het litigieuze besluit, bovenop de rechtsgevolgen voor de adressaten ervan, merkt WhatsApp op dat dit besluit voor haar dergelijke gevolgen heeft, met name omdat het van invloed is op de wijze waarop zij van plan is te voldoen aan de AVG met betrekking tot niet‑verliesvrij gecomprimeerde gegevens, aangezien het Comité deze als persoonsgegevens heeft aangemerkt. Het litigieuze besluit heeft ook rechtsgevolgen voor de nationale rechterlijke instanties, die niet bevoegd zijn om het te wijzigen of ongeldig te verklaren.

59      Het Comité betwist dit betoog. Het stelt dat het beroep tot nietigverklaring in beginsel alleen openstaat tegen een maatregel waarbij een instelling, orgaan of instantie van de Unie na afloop van een administratieve procedure definitief een standpunt vastlegt. Tussenhandelingen die dienen ter voorbereiding van een eindbesluit kunnen daarentegen niet worden aangemerkt als „voor beroep vatbare handelingen”, aangezien met dergelijke handelingen niet wordt beoogd bindende rechtsgevolgen in het leven te roepen die autonoom zijn ten opzichte van de Uniehandeling die aldus wordt voorbereid, bevestigd of uitgevoerd. Voorts kan volgens het Comité geen beroep worden ingesteld tegen een tussenhandeling indien de eventuele onrechtmatigheid daarvan kan worden aangevoerd tot staving van een beroep tegen het eindbesluit ter voorbereiding waarvan deze handeling is vastgesteld.

60      In casu vormt het litigieuze besluit volgens deze partij een tussenhandeling die deel uitmaakt van een ondeelbaar besluitvormingsproces van de Ierse toezichthoudende autoriteit, dat uitmondt in een door deze autoriteit vastgesteld definitief besluit. In deze context zijn de beoordelingen van het Comité weliswaar bindend, maar kunnen zij niet rechtstreeks aan WhatsApp worden tegengeworpen en hebben zij jegens haar geen enkel autonoom rechtsgevolg ten opzichte van het definitieve besluit. Het feit dat het litigieuze besluit een definitief standpunt van het Comité bevat over bepaalde aspecten die in het definitieve besluit zullen worden opgenomen, betekent dus niet dat het litigieuze besluit op zichzelf aanleiding geeft tot een afzonderlijke wijziging van de rechtspositie van WhatsApp. Het litigieuze besluit en het definitieve besluit zijn immers vastgesteld in het kader van één enkele administratieve procedure, die bestaat uit onderling samenhangende stappen op nationaal en Europees niveau en betrekking heeft op hetzelfde onderwerp, en niet na afloop van twee afzonderlijke procedures die verschillende kwesties betreffen.

61      Dienaangaande wijst het Comité erop dat de geschillenbeslechtingsprocedure tot doel heeft om te waarborgen dat de nationale autoriteiten de AVG consistent toepassen. In casu schept het litigieuze besluit geen nieuwe wettelijke verplichtingen voor WhatsApp. Haar verplichtingen zijn vastgelegd in de AVG zelf en niet in het litigieuze besluit, en worden toegepast door de Ierse toezichthoudende autoriteit en niet door het Comité. Verder waren deze verplichtingen al van toepassing op WhatsApp voordat de betrokken inbreuken werden vastgesteld.

62      Wat de gestelde externe rechtsgevolgen van het litigieuze besluit betreft, stelt het Comité dat de daarin vervatte uitleggingen alleen bindend zijn tussen de partijen, dat wil zeggen tussen de betrokken toezichthoudende autoriteiten. Het litigieuze besluit heeft niet alleen geen rechtstreekse rechtsgevolgen voor WhatsApp, maar heeft daarnaast betrekking op afgebakende punten betreffende de toepassing van de AVG die in het definitieve besluit moeten worden opgenomen en uitgewerkt. Hoewel de uitleggingen van de AVG door het Comité een zekere mate van gezag kunnen hebben in latere zaken over soortgelijke juridische kwesties, zijn zij niet bindend voor de nationale rechterlijke instanties, die in geval van twijfel het Hof om een prejudiciële beslissing moeten verzoeken.

63      De Bondsrepubliek Duitsland, die intervenieert aan de zijde van het Comité, betoogt dat het in de AVG opgenomen coherentiemechanisme, met inbegrip van de geschillenbeslechtingsprocedure, zuiver intern is en enkel gericht is op arbitrage in geval van uiteenlopende opvattingen tussen toezichthoudende autoriteiten. In het bijzonder blijkt uit artikel 65, lid 2, derde volzin, AVG dat een in dit verband door het Comité genomen maatregel alleen juridisch bindende gevolgen heeft voor nationale toezichthoudende autoriteiten. Alleen het definitieve besluit is bindend voor de betrokken verwerkingsverantwoordelijke of verwerker.

–       Beoordeling door het Hof

64      Het eerste onderdeel van het eerste middel in hogere voorziening betreft de vraag of het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting door in de punten 41 tot en met 49 van de bestreden beschikking te oordelen dat het litigieuze besluit geen voor beroep vatbare handeling is in de zin van artikel 263, eerste alinea, VWEU.

65      Op grond van deze bepaling houdt het Hof onder meer toezicht „op de wettigheid [...] van de handelingen van de organen of instanties van de Unie waarmee rechtsgevolgen ten aanzien van derden worden beoogd”.

66      Volgens vaste rechtspraak staat het beroep tot nietigverklaring van artikel 263 VWEU open tegen alle door de instellingen, organen of instanties van de Unie vastgestelde bepalingen – ongeacht de vorm – die beogen bindende rechtsgevolgen teweeg te brengen (zie in die zin arrest van 12 juli 2022, Nord Stream 2/Parlement en Raad, C‑348/20 P, EU:C:2022:548, punt 62 en aldaar aangehaalde rechtspraak).

67      Om te bepalen of een handeling dergelijke rechtsgevolgen in het leven roept en daar dus een beroep tot nietigverklaring krachtens artikel 263 VWEU tegen kan worden ingesteld, moet worden gekeken naar de kern van deze handeling en moeten die gevolgen worden beoordeeld aan de hand van objectieve criteria zoals de inhoud van die handeling, waarbij in voorkomend geval rekening wordt gehouden met de context waarin deze is vastgesteld en de bevoegdheden van de instelling of de instantie die, dan wel het orgaan dat de handeling heeft vastgesteld (zie in die zin arrest van 12 juli 2022, Nord Stream 2/Parlement en Raad, C‑348/20 P, EU:C:2022:548, punt 63 en aldaar aangehaalde rechtspraak).

68      Zoals de advocaat-generaal dienaangaande heeft opgemerkt in de punten 79 en 121 van haar conclusie, hoeft – in het licht van artikel 263, eerste alinea, VWEU – de derde jegens wie de handeling bindende rechtsgevolgen heeft niet noodzakelijkerwijs de verzoekende partij te zijn. Immers wordt iedere natuurlijke of rechtspersoon, anders dan de auteur van de betrokken handeling, beschouwd als een derde. Dus, om vast te stellen of die handeling dergelijke rechtsgevolgen heeft, hoeft niet te worden nagegaan of deze gevolgen de rechtssituatie van de verzoekende partij kunnen beïnvloeden, aangezien dit alleen relevant is in het kader van het onderzoek naar de naleving van de voorwaarden van artikel 263, vierde alinea, VWEU, op grond waarvan – wanneer deze laatste bepaling van toepassing is – eenieder beroep tot nietigverklaring kan instellen tegen een handeling die hem rechtstreeks en individueel raakt (zie in die zin arrest van 13 februari 2025, Swissgrid/Commissie, C‑121/23 P, EU:C:2025:83, punt 46). Of een handeling vatbaar is voor beroep, moet dus objectief worden beoordeeld aan de hand van de kern ervan en niet op basis van wie de verzoekende partij is.

69      Niettemin dient in herinnering te worden gebracht dat in het geval van handelingen die tot stand zijn gekomen in verschillende fasen van een procedure, in beginsel alleen de maatregel die aan het einde van de procedure het standpunt van de bevoegde instelling, het bevoegde orgaan of de bevoegde instantie definitief vastlegt, vatbaar is voor beroep, met uitsluiting van tussenmaatregelen die ertoe strekken die eindmaatregel voor te bereiden en die geen autonome rechtsgevolgen ten aanzien van derden in het leven roepen. Dergelijke tussenmaatregelen zijn met name maatregelen die een voorlopig standpunt van deze instelling of instantie van de Unie, of dat orgaan van de Unie, uitdrukken (zie in die zin arresten van 11 november 1981, IBM/Commissie, 60/81, EU:C:1981:264, punt 10; 22 september 2022, IMG/Commissie, C‑619/20 P en C‑620/20 P, EU:C:2022:722, punt 103, en 18 juni 2024, Commissie/GAR, C‑551/22 P, EU:C:2024:520, punt 92).

70      Volgens de rechtspraak kan tegen een tussenhandeling in het bijzonder geen beroep tot nietigverklaring worden ingesteld indien vaststaat dat de eventuele onrechtmatigheid ervan kan worden aangevoerd tot staving van een beroep tegen het eindbesluit ter voorbereiding waarvan deze handeling is vastgesteld. In die omstandigheden waarborgt het beroep dat kan worden ingesteld tegen het besluit waarmee de procedure wordt beëindigd, voldoende rechtsbescherming (zie in die zin arresten van 11 november 1981, IBM/Commissie, 60/81, EU:C:1981:264, punt 12, en 15 maart 2017, Stichting Woonlinie e.a./Commissie, C‑414/15 P, EU:C:2017:215, punt 46 en aldaar aangehaalde rechtspraak).

71      Wat in casu de inhoud van de betrokken handeling en de bevoegdheden van het betrokken orgaan betreft, blijkt uit de bewoordingen zelf van artikel 65, lid 1, onder a), en lid 2, en artikel 68, lid 1, AVG dat het litigieuze besluit een handeling van een orgaan van de Unie is dat bindend is voor derden. Deze handeling is namelijk bindend voor de leidende toezichthoudende autoriteit en alle andere betrokken toezichthoudende autoriteiten, tot wie deze handeling is gericht en die derden zijn ten opzichte van het Comité. Op grond van artikel 65, lid 6, AVG moet de leidende toezichthoudende autoriteit zich bij de vaststelling van haar definitieve besluit baseren op het besluit van het Comité. In dat definitieve besluit moet ook worden verwezen naar het besluit van het Comité, dat bij eerstgenoemd besluit moet worden gevoegd.

72      Wat voorts de context van de vaststelling van het litigieuze besluit betreft, staat vast dat dit besluit is opgesteld in het kader van een proces dat meerdere procedurele fasen omvat in de zin van de in punt 69 van dit arrest vermelde rechtspraak, aangezien deze voorafgaat aan de vaststelling van een andere handeling door de Ierse toezichthoudende autoriteit. In dat besluit wordt echter, in de zin van diezelfde rechtspraak, definitief het standpunt van het bevoegde orgaan van de Unie, te weten het Comité, vastgesteld en worden alle aangelegenheden behandeld waarover dit orgaan zich moet uitspreken. Immers moet worden vastgesteld dat een dergelijk op basis van artikel 65, lid 1, onder a), AVG vastgesteld besluit betrekking heeft op alle aangelegenheden waarover de betrokken toezichthoudende autoriteiten een relevant en gemotiveerd bezwaar hebben ingediend in de zin van artikel 60, lid 4, AVG, met name waar het gaat om bezwaren inzake een eventuele schending van de AVG.

73      Uit het voorgaande volgt dat hoewel het litigieuze besluit niet de laatste stap van de in de artikelen 58, 60 en 65 bedoelde procedure voor coherentietoetsing vormt, dit besluit niet kan worden aangemerkt als een tussenmaatregel waartegen geen beroep openstaat in de zin van de in punt 69 van dit arrest vermelde rechtspraak, in tegenstelling tot wat het Gerecht heeft geoordeeld in punt 42 van de bestreden beschikking. Bijgevolg is de in punt 70 van dit arrest aangehaalde rechtspraak in casu niet relevant.

74      In deze context is, aangezien het besluit van het Comité bindende rechtsgevolgen voor derden heeft, evenmin relevant dat het definitieve besluit van de nationale toezichthoudende autoriteit kwesties omvat die niet zijn voorgelegd aan het Comité of niet onder diens bevoegdheid vallen.

75      Om diezelfde redenen is de door het Gerecht in punt 42 van de bestreden beschikking genoemde omstandigheid dat het litigieuze besluit, in tegenstelling tot het definitieve besluit van de Ierse toezichthoudende autoriteit, niet kan worden tegengeworpen aan andere entiteiten dan de adressaten ervan, evenmin relevant voor de kwalificatie van dat besluit als een voor beroep vatbare handeling in de zin van artikel 263, eerste alinea, VWEU. Een dergelijke omstandigheid, die betrekking heeft op rekwirantes rechtspositie ten aanzien van het litigieuze besluit, betreft niet de kern van het litigieuze besluit, noch de bindende rechtsgevolgen ervan op basis van objectieve criteria.

76      Uit alle voorgaande overwegingen volgt dat het litigieuze besluit een handeling van een orgaan van de Unie vormt die ertoe strekt rechtsgevolgen ten aanzien van derden teweeg te brengen en waarin het definitieve standpunt van dat orgaan over de punten waarop het moet beslissen tot uiting komt, zoals het Gerecht overigens zelf heeft vastgesteld in de punten 36, 37 en 49 van de bestreden beschikking. Dit besluit vormt aldus – in het licht van de bewoordingen van artikel 263, eerste alinea, VWEU en de in de punten 66 tot en met 69 aangehaalde rechtspraak – een voor beroep vatbare handeling, zonder dat in dit stadium hoeft te worden beoordeeld of dat besluit heeft geleid tot een aanmerkelijke wijziging van de rechtspositie van WhatsApp.

77      In dit verband moet worden vastgesteld dat het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting, ten eerste in punt 38 van de bestreden beschikking door de vereisten van de eerste en de vierde alinea van artikel 263 VWEU met elkaar te verwarren, en ten tweede in punt 42 van de bestreden beschikking door een onjuist criterium te formuleren met betrekking tot het feit dat de betrokken handeling niet rechtstreeks kan worden tegengeworpen aan WhatsApp, en door het litigieuze besluit aan te merken als een tussenmaatregel zonder autonome rechtsgevolgen.

78      Het eerste onderdeel van het eerste middel moet dus worden aanvaard.

 Tweede onderdeel van het eerste middel

–       Argumenten van partijen

79      WhatsApp betoogt dat het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting door te oordelen dat zij niet rechtstreeks werd geraakt door het litigieuze besluit en haar beroep dientengevolge niet‑ontvankelijk was.

80      Wat ten eerste de voorwaarde betreft dat de handeling rechtstreekse gevolgen moet hebben voor de rechtspositie van de verzoeker, is het Gerecht in punt 52 van de bestreden beschikking ten onrechte tot de slotsom gekomen dat WhatsApp niet rechtstreeks werd geraakt door het litigieuze besluit op grond dat dit besluit haar niet kon worden tegengeworpen en niet de laatste stap vormde van de procedure van de artikelen 58, 60 en 65 AVG.

81      Wat ten tweede de voorwaarde betreft dat een handeling geen enkele beoordelingsbevoegdheid mag laten aan de adressaten die met de uitvoering ervan zijn belast, is WhatsApp van mening dat het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting door in de punten 53 tot en met 60 van de bestreden beschikking te oordelen dat het litigieuze besluit de Ierse toezichthoudende autoriteit een beoordelingsmarge had gelaten met betrekking tot de inhoud van haar definitieve besluit, maar tegelijkertijd te erkennen dat het litigieuze besluit bindend was voor die autoriteit wat de daarin behandelde aspecten betreft.

82      Wat de punten 54 tot en met 56 van de bestreden beschikking betreft, waarin het Gerecht heeft geoordeeld dat de inhoud van het litigieuze besluit onvolledig was ten opzichte van het definitieve besluit, betoogt WhatsApp dat het ontbreken van beoordelingsbevoegdheid had moeten worden onderzocht aan de hand van de kern van het litigieuze besluit, zonder te verwijzen naar de aanvullende inhoud van het definitieve besluit. Het Comité heeft immers slechts bepaalde aspecten van een concreet geval onderzocht, namelijk de aangelegenheden waarover de bevoegde toezichthoudende autoriteiten relevante en gemotiveerde bezwaren hadden ingediend. Het litigieuze besluit kan dus niet de volledige zaak betreffen en kan geen aspecten omvatten die niet zijn voorgelegd aan het Comité of niet onder diens bevoegdheid vallen.

83      Bovendien heeft het Gerecht blijk gegeven van een onjuiste rechtsopvatting door in de punten 57 tot en met 59 van de bestreden beschikking te oordelen dat de Ierse toezichthoudende autoriteit haar beoordelingsbevoegdheid had uitgeoefend om conclusies te trekken uit het litigieuze besluit. Wat in de eerste plaats de kwalificatie van niet‑verliesvrij gecomprimeerde gegevens als persoonsgegevens betreft, betoogt WhatsApp dat deze kwalificatie door het Comité voor haar aanvullende verplichtingen uit hoofde van de AVG meebrengt, ongeacht of de leidende toezichthoudende autoriteit een beoordelingsbevoegdheid ter zake heeft uitgeoefend die verder gaat dan een dergelijke kwalificatie, door na te gaan of WhatsApp als verwerkingsverantwoordelijke dan wel als verwerker had opgetreden. Wat in de tweede plaats de verhoging van de aan WhatsApp op te leggen geldboeten betreft, liet dit besluit de Ierse toezichthoudende autoriteit geen beoordelingsmarge, aangezien die autoriteit ertoe gehouden was om een hogere boete op te leggen dan zij aanvankelijk van plan was. Het feit dat deze autoriteit een beoordelingsbevoegdheid behoudt met betrekking tot de vaststelling van het exacte bedrag van de geldboete, is irrelevant, aangezien deze taak tot de bevoegdheid van die autoriteit behoort.

84      Het Comité betwist dit betoog en stelt dat er aan twee cumulatieve criteria moet zijn voldaan om vast te stellen dat een natuurlijke of rechtspersoon die niet de adressaat van een individuele Uniehandeling is, daar wel rechtstreeks door geraakt wordt. Ten eerste moet de betrokken handeling rechtstreekse gevolgen hebben voor de rechtspositie van die persoon en ten tweede mag deze handeling de met de uitvoering ervan belaste adressaat geen enkele beoordelingsbevoegdheid laten, omdat die uitvoering zuiver automatisch geschiedt, zonder de toepassing van andere uitvoeringsbepalingen.

85      Wat het eerste criterium betreft, merkt deze partij op dat de bindende werking van een handeling moet worden beoordeeld aan de hand van de invloed ervan op de specifieke situatie van de verzoekende partij. In casu kan het litigieuze besluit niet op zodanige wijze aan WhatsApp worden tegengeworpen dat het, zonder verdere procedurele stappen, een bron van verplichtingen vormt. Dit besluit vormt niet de laatste stap van de procedure van de artikelen 58, 60 en 65 AVG en legt met name niet het definitieve bedrag van de geldboete vast, noch een nieuwe set regels voor de activiteiten van WhatsApp. Aldus wordt WhatsApp alleen rechtstreeks geraakt door het definitieve besluit, aangezien de Ierse toezichthoudende autoriteit krachtens artikel 56, lid 6, AVG de enige gesprekspartner van deze onderneming in haar hoedanigheid van verwerkingsverantwoordelijke is.

86      Wat het tweede criterium betreft, stelt het Comité dat de Ierse toezichthoudende autoriteit een aanzienlijke beoordelingsbevoegdheid heeft behouden met betrekking tot de in haar definitieve besluit te trekken conclusies, welk besluit een ruimere strekking heeft dan het litigieuze besluit en bevindingen bevat waarover het Comité niet is verzocht zich uit te spreken, aangezien alleen een beroep is gedaan op het Comité met betrekking tot aangelegenheden waarover relevante en gemotiveerde bezwaren waren ingediend. Hoe dan ook bestaat er een onderlinge samenhang tussen het litigieuze besluit en het definitieve besluit. Het is niet mogelijk om de delen van dit laatste besluit die overeenkomen met de instructies van het Comité los te koppelen, hetgeen wordt bevestigd door het feit dat het Comité de Ierse toezichthoudende autoriteit op verschillende punten een zekere beoordelingsmarge heeft gelaten.

87      In dergelijke omstandigheden is een nationale rechter beter in staat om dat definitieve besluit te herbeoordelen, in voorkomend geval door het Hof prejudiciële vragen voor te leggen over zowel de ambtshalve als de op basis van de instructies van het Comité toegepaste bepalingen van de AVG.

88      Volgens het Comité heeft de Ierse toezichthoudende autoriteit ook een zekere beoordelingsmarge behouden met betrekking tot, ten eerste, de in het litigieuze besluit behandelde aangelegenheden, met name die betreffende de juridische gevolgen die moeten worden verbonden aan de kwalificatie van niet‑verliesvrij gecomprimeerde gegevens als persoonsgegevens en, ten tweede, het bepalen van het bedrag van de aan WhatsApp op te leggen geldboeten. Wat dit eerste aspect betreft, heeft deze autoriteit een discretionaire bevoegdheid behouden en een autonoom onderzoek verricht, met name wat de naleving van artikel 14 AVG betreft. In dit verband zou het onjuist zijn te stellen dat het Comité een „volledige” beoordeling heeft verricht, aangezien de bevoegdheid van dit orgaan beperkt is tot de inhoud van de relevante en gemotiveerde bezwaren en zich niet uitstrekt tot de gehele inbreukprocedure. Wat het tweede aspect betreft, te weten de vaststelling van de geldboeten, bevat het litigieuze besluit weliswaar algemene instructies inzake geldboeten, maar gaat het niet in op de uitvoering van deze instructies noch op de berekening van de geldboeten.

89      De Bondsrepubliek Duitsland meent dat WhatsApp, aangezien de leidende autoriteit haar enige gesprekspartner was, niet kan worden geacht rechtstreeks te worden geraakt door het litigieuze besluit. Een dergelijk besluit is niet bestemd om autonoom ten uitvoer te worden gelegd, maar moet altijd worden opgevolgd door een definitief besluit van die leidende autoriteit. De Uniewetgever heeft namelijk bewust gekozen voor een gedecentraliseerd toezicht op de naleving van de AVG, zonder te kiezen voor de oprichting van een centrale Europese gegevensbeschermingsautoriteit.

–       Beoordeling door het Hof

90      Het tweede onderdeel van het eerste middel van de hogere voorziening betreft de vraag of het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting door in de punten 50 tot en met 60 van de bestreden beschikking te oordelen dat het litigieuze besluit WhatsApp niet rechtstreeks raakte in de zin van artikel 263, vierde alinea, VWEU, en dat haar beroep dientengevolge niet‑ontvankelijk was.

91      Krachtens deze bepaling kan iedere natuurlijke of rechtspersoon onder de in de eerste en tweede alinea van artikel 263 VWEU vastgestelde voorwaarden beroep instellen tegen handelingen die tot hem gericht zijn of die hem rechtstreeks en individueel raken, alsmede tegen regelgevingshandelingen die hem rechtstreeks raken en die geen uitvoeringsmaatregelen met zich meebrengen.

92      Voor de ontvankelijkheid van een beroep van een natuurlijke persoon of rechtspersoon tegen een handeling die niet tot hem is gericht, geldt dus uit hoofde van artikel 263, vierde alinea, VWEU, met name de voorwaarde dat die handeling hem rechtstreeks en individueel raakt (arrest van 3 december 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punt 64 en aldaar aangehaalde rechtspraak).

93      Zoals het Gerecht in punt 40 van de bestreden beschikking heeft vastgesteld, staat in casu vast dat WhatsApp individueel wordt geraakt door het litigieuze besluit, aangezien het betrekking heeft op bepaalde aspecten van het ontwerp van het definitieve besluit die specifiek betrekking hebben op de situatie van deze onderneming. In de punten 52 en 53 van die beschikking heeft het Gerecht echter geoordeeld dat WhatsApp niet rechtstreeks wordt geraakt door het litigieuze besluit omdat, ten eerste, dit besluit niet aan WhatsApp kan worden tegengeworpen in die zin dat het zonder verdere procedurele stappen verplichtingen voor haar of, in voorkomend geval, rechten voor andere particulieren doet ontstaan, en, ten tweede, dit besluit, ook al zou het de Ierse toezichthoudende autoriteit binden wat de erin behandelde aspecten betreft, die autoriteit een beoordelingsmarge heeft gelaten met betrekking tot de inhoud van het definitieve besluit.

94      In dit verband is het vaste rechtspraak dat, ter vervulling van de voorwaarde dat een natuurlijke of rechtspersoon rechtstreeks wordt geraakt door het besluit waartegen beroep wordt ingesteld, aan twee cumulatieve criteria moet zijn voldaan. Ten eerste moet de bestreden maatregel rechtstreeks gevolgen hebben voor de rechtspositie van die persoon. Ten tweede mag aan de adressaten van deze maatregel die met de uitvoering ervan zijn belast, geen enkele beoordelingsbevoegdheid worden gelaten, in die zin dat de uitvoering zuiver automatisch geschiedt en voortvloeit uit alleen de regelgeving van de Unie zonder de toepassing van andere uitvoeringsbepalingen (arrest van 4 oktober 2024, Commissie en Raad/Front Polisario, C‑779/21 P en C‑799/21 P, EU:C:2024:835, punt 87 en aldaar aangehaalde rechtspraak).

95      Alvorens te onderzoeken of in casu aan deze twee voorwaarden is voldaan, moet worden gepreciseerd dat zowel het feit dat de bestreden handeling niet rechtstreeks kan worden tegengeworpen aan de verzoekende partij als de omstandigheid dat deze handeling niet de laatste stap van een samengestelde procedure vormt, niet wegneemt dat die verzoekende partij rechtstreeks door die handeling kan worden geraakt wanneer de adressaat ervan geen enkele beoordelingsbevoegdheid heeft (zie in die zin arresten van 4 juni 1992, Infortec/Commissie, C‑157/90, EU:C:1992:243, punten 13 en 17; 3 december 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punten 65 en 67, en 12 juli 2022, Nord Stream 2/Parlement en Raad, C‑348/20 P, EU:C:2022:548, punt 74).

96      Zoals de advocaat‑generaal heeft opgemerkt in de punten 139 en 144 van haar conclusie, heeft het Gerecht dus blijk gegeven van een onjuiste rechtsopvatting door in punt 52 van de bestreden beschikking te oordelen dat WhatsApp niet rechtstreeks werd geraakt door het litigieuze besluit op grond dat het haar niet kon worden tegengeworpen en niet de laatste stap vormde van de procedure van de artikelen 58, 60 en 65 AVG.

97      Om te bepalen of aan de eerste van de in punt 94 van het onderhavige arrest bedoelde voorwaarden is voldaan, moet worden beoordeeld of de bestreden handeling leidt tot een aanmerkelijke wijziging van de rechtspositie van de betrokken natuurlijke of rechtspersoon, waarbij moet worden gelet op de kern van deze handeling en de gevolgen ervan moeten worden beoordeeld aan de hand van objectieve criteria zoals de inhoud van de handeling, waarbij in voorkomend geval rekening wordt gehouden met de context waarin deze is vastgesteld en de bevoegdheden van de instelling of de instantie die, dan wel het orgaan dat de betreffende handeling heeft vastgesteld (zie in die zin arresten van 11 november 1981, IBM/Commissie, 60/81, EU:C:1981:264, punt 9, en 18 juni 2024, Commissie/GAR, C‑551/22 P, EU:C:2024:520, punt 65 en aldaar aangehaalde rechtspraak).

98      In casu, zoals aangegeven in punt 30 van het onderhavige arrest, heeft het Comité in het litigieuze besluit met name geoordeeld dat WhatsApp niet heeft voldaan aan de informatieverplichtingen van artikel 13, lid 1, onder d), AVG en inbreuk heeft gemaakt op artikel 13, lid 2, onder e), AVG. Aldus heeft dat besluit de rechtspositie van WhatsApp gewijzigd, met name doordat de tussenkomst van het Comité haar ertoe heeft aangezet haar contractuele relaties met de gebruikers van de door haar verstrekte berichtendienst te wijzigen. Hieruit volgt dat er een rechtstreeks verband bestaat tussen dat besluit en de gevolgen ervan voor de situatie van WhatsApp in de zin van de in de punten 94 en 95 van dit arrest aangehaalde rechtspraak.

99      Anders dan het Comité betoogt, wordt aan deze vaststelling niet afgedaan door de omstandigheid dat de Ierse toezichthoudende autoriteit, als verwerkingsverantwoordelijke, krachtens artikel 56, lid 6, AVG de enige gesprekspartner van WhatsApp is. Deze bepaling beoogt immers enkel de betrekkingen tussen een verwerkingsverantwoordelijke of verwerker, een leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten te regelen, wat betekent dat die bepaling geen betrekking heeft op de tegen besluiten van het Comité openstaande rechtsmiddelen.

100    Wat de tweede van de in punt 94 van dit arrest bedoelde voorwaarden betreft, moet, om te beoordelen of een handeling degenen tot wie zij is gericht een beoordelingsmarge laat bij de uitvoering ervan, worden onderzocht welke rechtsgevolgen de bepalingen van die handeling waarop het beroep betrekking heeft, hebben voor de situatie van de persoon die aanspraak maakt op het recht om beroep in te stellen op grond van artikel 263, vierde alinea, tweede zinsdeel, VWEU (arrest van 12 juli 2022, Nord Stream 2/Parlement en Raad, C‑348/20 P, EU:C:2022:548, punt 98 en aldaar aangehaalde rechtspraak).

101    Er is met name geen sprake van een dergelijke beoordelingsmarge indien vaststaat dat de bepalingen van de handeling waarop het beroep betrekking heeft er rechtstreeks toe hebben geleid dat die persoon wordt onderworpen aan verplichtingen waarvan het resultaat niet kan worden gewijzigd door de entiteit die ermee is belast deze handeling vervolgens uit te voeren (zie in die zin arrest van 12 juli 2022, Nord Stream 2/Parlement en Raad, C‑348/20 P, EU:C:2022:548, punt 114).

102    In casu blijkt uit de punten 71 en 72 van het onderhavige arrest dat het litigieuze besluit bindend is voor de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten. Zij mogen niet afwijken van het standpunt dat het Comité in dat besluit heeft ingenomen, welk standpunt is weergegeven in punt 30 van dit arrest. Dat besluit beslecht namelijk de aan het Comité voorgelegde rechtsvragen en bindt voornoemde autoriteiten onvoorwaardelijk, met name wat betreft de vaststelling van een schending van specifieke bepalingen van de AVG, de kwalificatie van niet‑verliesvrij gecomprimeerde gegevens als persoonsgegevens en de verplichting om het bedrag van de voorgenomen geldboeten te verhogen. Overeenkomstig de in het vorige punt aangehaalde rechtspraak hebben die autoriteiten niet de mogelijkheid om het resultaat van de beoordelingen van het Comité met betrekking tot deze kwesties te wijzigen.

103    In dit verband heeft het Comité krachtens artikel 70, lid 1, onder a), AVG de taak om toe te zien op de consistente toepassing van de AVG, door toezicht te houden op en te zorgen voor, zoals blijkt uit overweging 10 van de AVG, een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens, in de met name in artikel 65 AVG bedoelde gevallen, onverminderd de taken van de nationale toezichthoudende autoriteiten.

104    In deze context is het van weinig belang dat de reikwijdte van het definitieve besluit zich uitstrekt tot kwesties die niet aan het Comité zijn voorgelegd, namelijk aspecten waartegen geen relevante en gemotiveerde bezwaren zijn ingediend in de zin van artikel 65, lid 1, onder a), AVG, of kwesties die niet onder de bevoegdheid van dat orgaan vallen, zoals met name de vaststelling van het exacte bedrag van de aan een verwerkingsverantwoordelijke of verwerker op te leggen geldboete, die krachtens artikel 58, lid 2, onder i), en artikel 83 AVG valt onder de bevoegdheid van de aangezochte toezichthoudende autoriteit.

105    Bovendien bestaat er weliswaar een onderlinge samenhang tussen het litigieuze besluit en het definitieve besluit maar dit neemt niet weg dat het om afzonderlijke handelingen gaat en de reikwijdte van het litigieuze besluit duidelijk afgebakend is, zoals blijkt uit de opsomming in punt 30 van dit arrest. Tegen deze achtergrond staat deze onderlinge samenhang niet in de weg aan de vaststelling dat WhatsApp rechtstreeks wordt geraakt door het litigieuze besluit.

106    In het bijzonder leidt het gelijktijdig instellen van een beroep tot nietigverklaring bij de Unierechter – op grond van artikel 263 VWEU – tegen het bindende besluit van het Comité, en bij de nationale rechter – uit hoofde van artikel 78 AVG – tegen het definitieve besluit dat de nationale toezichthoudende autoriteit op basis van dat bindende besluit heeft vastgesteld, weliswaar tot twee parallelle procedures, maar deze situatie brengt niet met zich mee dat de gevolgen van het besluit van het Comité ten aanzien van WhatsApp als indirect moeten worden beschouwd.

107    Ten eerste volgt namelijk uit de rechtspraak van het Hof dat, wanneer de beslechting van het geschil voor de nationale rechter afhangt van de geldigheid van het besluit van een orgaan van de Unie, de verplichting tot loyale samenwerking meebrengt dat de nationale rechter, om geen beslissing te nemen die tegen het besluit van dat orgaan indruist, de behandeling van de zaak schorst tot de rechterlijke instanties van de Unie een definitieve beslissing op het beroep tot nietigverklaring hebben genomen, tenzij hij van oordeel is dat het in de omstandigheden van het geval gerechtvaardigd is om het Hof een prejudiciële vraag over de geldigheid van het besluit van dat orgaan te stellen (zie in die zin arresten van 14 december 2000, Masterfoods en HB, C‑344/98, EU:C:2000:689, punt 57, en 25 juli 2018, Georgsmarienhütte e.a., C‑135/16, EU:C:2018:582, punt 24).

108    Ten tweede moet er ook op worden gewezen dat het beginsel van een goede rechtsbedeling – wanneer gelijktijdig zaken aanhangig worden gemaakt bij het Gerecht, in het kader van een beroep tot nietigverklaring, en bij het Hof, in het kader van een prejudiciële verwijzing – kan rechtvaardigen dat het Hof, indien het dit gepast acht, gebruikmaakt van artikel 54, derde alinea, van het Statuut van het Hof van Justitie van de Europese Unie teneinde de behandeling van de bij hem aanhangige procedure te schorsen ten behoeve van de bij het Gerecht ingestelde procedure (arrest van 25 juli 2018, Georgsmarienhütte e.a., C‑135/16, EU:C:2018:582, punt 25).

109    Aangezien is voldaan aan de in punt 94 van het onderhavige arrest bedoelde voorwaarden, wordt WhatsApp dus rechtstreeks geraakt door het litigieuze besluit.

110    Gelet op voorgaande overwegingen moet het tweede onderdeel van het eerste middel in hogere voorziening dus worden toegewezen en, dientengevolge, de bestreden beschikking worden vernietigd.

 Derde onderdeel van het eerste middel

111    Met het derde onderdeel van haar eerste middel betoogt WhatsApp dat het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting door in de punten 66 tot en met 70 van de bestreden beschikking vast te stellen dat de niet‑ontvankelijkheid van haar beroep in overeenstemming is met de logica van het bij het VEU en VWEU ingestelde stelsel van rechtsmiddelen.

112    Gelet op de conclusie in punt 110 van dit arrest hoeft geen uitspraak te worden gedaan over het derde onderdeel van het eerste middel.

 Tweede middel: onjuiste rechtsopvatting bij de uitlegging en toepassing van artikel 65 AVG en het beginsel van coherente toepassing van het Unierecht

113    Onder verwijzing naar haar argumentatie in het kader van het eerste middel, betoogt WhatsApp dat het Gerecht artikel 65, lid 1, AVG en het beginsel van coherente toepassing van het Unierecht heeft geschonden door in de punten 41 tot en met 60 van de bestreden beschikking te oordelen dat het litigieuze besluit geen andere rechtsgevolgen sorteerde dan de bindende gevolgen ervan voor de betrokken toezichthoudende autoriteiten.

114    Aangezien WhatsApp zich beperkt tot een verwijzing naar haar argumentatie ter ondersteuning van het eerste middel, en gelet op de conclusie in punt 110 van dit arrest, hoeft geen uitspraak te worden gedaan over dit tweede middel, aangezien het niet kan leiden tot een ruimere vernietiging van de bestreden beschikking.

 Terugverwijzing van de zaak naar het Gerecht

115    Overeenkomstig artikel 61, eerste alinea, van het Statuut van het Hof van Justitie van de Europese Unie kan het Hof in geval van vernietiging van de beslissing van het Gerecht de zaak zelf afdoen wanneer deze in staat van wijzen is.

116    In casu is aan deze voorwaarde voldaan, aangezien de zaak enkel betrekking heeft op de ontvankelijkheid van het bij het Gerecht ingestelde beroep.

117    In dit verband, ten eerste, vormt het litigieuze besluit, zoals blijkt uit punt 76 van dit arrest, een voor beroep vatbare handeling met het oog op artikel 263, eerste alinea, VWEU. Ten tweede, zoals vastgesteld in punt 109 van dit arrest, wordt WhatsApp rechtstreeks geraakt door het litigieuze besluit in de zin van artikel 263, vierde alinea, VWEU. Ten derde wordt WhatsApp individueel geraakt door dat besluit, zoals het Gerecht zelf heeft vastgesteld in punt 40 van de bestreden beschikking.

118    Dientengevolge, aangezien is voldaan aan de voorwaarden van de eerste en de vierde alinea van artikel 263 VWEU en er geen andere grond voor niet‑ontvankelijkheid is, wordt het beroep tot nietigverklaring ontvankelijk verklaard.

119    De zaak is echter niet in staat van wijzen wat de gegrondheid van het bij het Gerecht ingestelde beroep betreft, aangezien het Gerecht deze gegrondheid niet heeft onderzocht en de vaststelling daarvan een gedetailleerde feitelijke en juridische beoordeling vereist.

120    Derhalve moet de zaak worden terugverwezen naar het Gerecht.

 Kosten

121    Daar de zaak wordt terugverwezen naar het Gerecht, dient de beslissing omtrent de kosten van de hogere voorziening te worden aangehouden.

Het Hof (Grote kamer) verklaart:

1)      De beschikking van het Gerecht van de Europese Unie van 7 december 2022, Whatsapp Ireland/Europees Comité voor gegevensbescherming (T‑709/21, EU:T:2022:783), wordt vernietigd.

2)      De zaak wordt terugverwezen naar het Gerecht van de Europese Unie.

3)      De beslissing omtrent de kosten wordt aangehouden.

ondertekeningen

*      Procestaal: Engels.