1

Por meio do seu recurso, a WhatsApp Ireland Ltd (a seguir «WhatsApp») pede a anulação do Despacho do Tribunal Geral da União Europeia de 7 de dezembro de 2022, WhatsApp Ireland/Comité Europeu para a Proteção de Dados (T‑709/21, a seguir «despacho recorrido», EU:T:2022:783), através do qual julgou inadmissível o seu recurso de anulação da Decisão vinculativa 1/2021 do Comité Europeu para a Proteção de Dados (a seguir «Comité»), de 28 de julho de 2021, sobre o litígio decorrente do projeto de decisão relativo à WhatsApp elaborado pela Data Protection Commission (DPC) (Autoridade de Proteção de Dados, Irlanda) (a seguir «Autoridade de Controlo irlandesa») (a seguir «decisão impugnada»).

2

Os considerandos 10 e 143 do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; retificação no JO 2018, L 127, p. 2) (a seguir «RGPD»), enunciam:

[...]

3

O artigo 5.o do RGPD, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», dispõe, no n.o 1, alínea a), que os dados pessoais são objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados. O artigo 5.o, n.o 1, alínea c), deste regulamento prevê que esses dados são adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados.

4

O artigo 6.o do RGPD, sob a epígrafe «Licitude do tratamento», enuncia os requisitos de licitude do tratamento de dados pessoais. O n.o 1 deste artigo 6.o prevê:

«O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

O primeiro parágrafo, alínea f), não se aplica ao tratamento de dados efetuado por autoridades públicas na prossecução das suas atribuições por via eletrónica.»

5

O artigo 12.o do RGPD contém, por sua vez, disposições relativas à transparência das informações e das comunicações, bem como às regras para o exercício dos direitos dos titulares dos dados. O n.o 1 deste artigo 12.o dispõe:

«O responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações a que se referem os artigos 13.o e 14.o e qualquer comunicação prevista nos artigos 15.o a 22.o e 34.o a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples, em especial quando as informações são dirigidas especificamente a crianças. As informações são prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos. Se o titular dos dados o solicitar, a informação pode ser prestada oralmente, desde que a identidade do titular seja comprovada por outros meios.»

6

O artigo 13.o do RGPD, sob a epígrafe «Informações a facultar quando os dados pessoais são recolhidos junto do titular», prevê:

«1.   Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta‑lhe, aquando da recolha desses dados pessoais, as seguintes informações:

2.   Para além das informações referidas no n.o 1, aquando da recolha dos dados pessoais, o responsável pelo tratamento fornece ao titular as seguintes informações adicionais, necessárias para garantir um tratamento equitativo e transparente:

[...]»

7

O artigo 14.o do RGPD diz respeito às informações a facultar quando os dados pessoais não são recolhidos junto do titular.

8

Nos termos do artigo 55.o, n.o 1, do RGPD, as autoridades de controlo são competentes para prosseguir as atribuições e exercer os poderes que lhes são conferidos pelo RGPD no território do seu próprio Estado‑Membro.

9

O artigo 56.o do RGPD, sob a epígrafe «Competência da autoridade de controlo principal», prevê:

«1.   Sem prejuízo do disposto no artigo 55.o, a autoridade de controlo do estabelecimento principal ou do estabelecimento único do responsável pelo tratamento ou do subcontratante é competente para agir como autoridade de controlo principal para o tratamento transfronteiriço efetuado pelo referido responsável pelo tratamento ou subcontratante nos termos do artigo 60.o

2.   Em derrogação do n.o 1, cada autoridade de controlo é competente para tratar reclamações que lhe sejam apresentadas ou a eventuais violações do presente regulamento se a matéria em apreço estiver relacionada apenas com um estabelecimento no seu Estado‑Membro ou se afetar substancialmente titulares de dados apenas no seu Estado‑Membro.

3.   Nos casos previstos no n.o 2 do presente artigo, a autoridade de controlo informa sem demora do assunto a autoridade de controlo principal. No prazo de três semanas a contar do momento em que tiver sido informada, a autoridade de controlo principal decide se trata o caso, nos termos do artigo 60.o, tendo em conta se há ou não algum estabelecimento do responsável pelo tratamento ou subcontratante no Estado‑Membro sobre o qual a autoridade de controlo a tenha informado.

4.   Quando a autoridade de controlo principal decide tratar o caso, aplica‑se o procedimento previsto no artigo 60.o A autoridade de controlo que tiver informado a autoridade de controlo principal pode apresentar a esta última um projeto de decisão. A autoridade de controlo principal tem esse projeto na melhor conta quando prepara o projeto de decisão referido no artigo 60.o, n.o 3.

5.   Caso a autoridade de controlo principal decida não tratar o caso, é a autoridade de controlo que a informou que o trata, nos termos dos artigos 61.o e 62.o

6.   A autoridade de controlo principal é o único interlocutor do responsável pelo tratamento ou do subcontratante no tratamento transfronteiriço efetuado pelo referido responsável pelo tratamento ou subcontratante.»

10

O artigo 57.o do RGPD, sob a epígrafe «Atribuições», dispõe, no n.o 1, alínea h), que cada autoridade de controlo, no território do seu Estado‑Membro, tem como atribuição conduzir investigações sobre a aplicação do RGPD.

11

Os poderes de investigação desta autoridade estão enumerados no n.o 1 do artigo 58.o do RGPD, sob a epígrafe «Poderes». O n.o 2 deste artigo enumera os poderes de correção de que a referida autoridade dispõe, incluindo os referidos nas alíneas b), d) e i) do mesmo, que consistem, respetivamente, em fazer repreensões ao responsável pelo tratamento ou ao subcontratante sempre que as operações de tratamento tiverem violado as disposições do RGPD, em ordenar ao responsável pelo tratamento ou ao subcontratante que tome medidas para que as operações de tratamento cumpram as disposições do RGPD e, se necessário, de uma forma específica e dentro de um prazo determinado, e em impor uma coima nos termos do artigo 83.o do RGPD.

12

O artigo 60.o do RGPD, sob a epígrafe «Cooperação entre a autoridade de controlo principal e as outras autoridades de controlo interessadas», dispõe:

«1.   A autoridade de controlo principal coopera com as outras autoridades de controlo interessadas nos termos do presente artigo para procurar alcançar um consenso. A autoridade de controlo principal e as autoridades de controlo interessadas trocam entre si todas as informações pertinentes.

2.   A autoridade de controlo principal pode a qualquer momento solicitar que as outras autoridades de controlo interessadas prestem assistência mútua nos termos do artigo 61.o e pode realizar operações conjuntas nos termos do artigo 62.o, nomeadamente para proceder a investigações ou monitorizar a execução de medidas relativas a responsáveis pelo tratamento ou subcontratantes estabelecidos noutros Estados‑Membros.

3.   A autoridade de controlo principal comunica sem demora as informações pertinentes sobre o assunto às outras autoridades de controlo interessadas. Envia sem demora um projeto de decisão às outras autoridades de controlo interessadas para que emitam parecer e toma as suas posições em devida consideração.

4.   Quando uma das outras autoridades de controlo interessadas expressa uma objeção pertinente e fundamentada ao projeto de decisão no prazo de quatro semanas após ter sido consultada nos termos do n.o 3 do presente artigo, a autoridade de controlo principal, caso não dê seguimento à objeção ou caso entenda que esta não é pertinente ou fundamentada, remete o assunto para o procedimento de controlo da coerência referido no artigo 63.o

5.   Se a autoridade de controlo principal pretender dar seguimento à objeção pertinente e fundamentada apresentada, envia às outras autoridades de controlo interessadas um projeto de decisão revisto para que emitam parecer. Esse projeto de decisão revisto é sujeito ao procedimento mencionado no n.o 4 no prazo de duas semanas.

6.   Se nenhuma das outras autoridades de controlo interessadas se tiver oposto ao projeto de decisão apresentado pela autoridade de controlo principal no prazo referido nos n.os 4 e 5, considera‑se que a autoridade de controlo principal e as autoridades de controlo interessadas estão de acordo com esse projeto de decisão e ficam por ela vinculadas.

7.   A autoridade de controlo principal adota a decisão e dela notifica o estabelecimento principal ou o estabelecimento único do responsável pelo tratamento ou do subcontratante, consoante o caso, e informa as outras autoridades de controlo interessadas e o Comité da decisão em causa, incluindo um sumário dos factos e motivos pertinentes. A autoridade de controlo à qual tenha sido apresentada uma reclamação, informa da decisão o autor da reclamação.

8.   Em derrogação do n.o 7, se for recusada ou rejeitada uma reclamação, a autoridade de controlo à qual a reclamação tiver sido apresentada adota a decisão, notifica o autor da reclamação e informa desse facto o responsável pelo tratamento.

9.   Se a autoridade de controlo principal e as autoridades de controlo interessadas estiverem de acordo em recusar ou rejeitar determinadas partes de uma reclamação e tomar medidas relativamente a outras partes da mesma reclamação, é adotada uma decisão separada para cada uma dessas partes da matéria. A autoridade de controlo principal adota a decisão na parte respeitante às medidas relativas ao responsável pelo tratamento e informa desse facto o estabelecimento principal ou o estabelecimento único do responsável pelo tratamento ou do subcontratante no território do seu Estado‑Membro, informando desse facto o autor da reclamação, enquanto a autoridade de controlo do autor da reclamação adota a decisão na parte relativa à recusa ou à rejeição da referida reclamação e notifica o autor da reclamação, informando desse facto o responsável pelo tratamento ou o subcontratante.

10.   Após ter sido notificado da decisão da autoridade de controlo principal nos termos dos n.os 7 e 9, o responsável pelo tratamento ou o subcontratante tomam as medidas necessárias para garantir o cumprimento da decisão no que se refere às atividades de tratamento no contexto de todos os seus estabelecimentos na União. O responsável pelo tratamento ou o subcontratante comunica as medidas tomadas para fazer cumprir a decisão à autoridade de controlo principal, que informa as outras autoridades de controlo interessadas.

11.   Se, em circunstâncias excecionais, alguma autoridade de controlo interessada tiver razões para considerar que existe uma necessidade urgente de agir para defender os interesses dos titulares dos dados, aplica‑se o procedimento de urgência referido no artigo 66.o

12.   A autoridade de controlo principal e as outras autoridades de controlo interessadas trocam entre si as informações necessárias nos termos do presente artigo por meios eletrónicos, utilizando um formato normalizado.»

13

Nos termos do artigo 63.o do RGPD, sob a epígrafe «Procedimento de controlo da coerência»:

«A fim de contribuir para a aplicação coerente do presente regulamento em toda a União, as autoridades de controlo cooperam entre si e, quando for relevante, com a Comissão, através do procedimento de controlo da coerência [...]»

14

O artigo 65.o do RGPD, sob a epígrafe «Resolução de litígios pelo Comité», dispõe:

«1.   A fim de assegurar a aplicação correta e coerente do presente regulamento em cada caso, o Comité adota uma decisão vinculativa nos seguintes casos:

2.   A decisão a que se refere o n.o 1 é adotada por maioria de dois terços dos membros do Comité, no prazo de um mês a contar da data em que o assunto lhe é remetido. Este prazo pode ser prorrogado por mais um mês em virtude da complexidade do assunto em apreço. A decisão referida no n.o 1 é fundamentada e dirigida à autoridade de controlo principal, bem como a todas as autoridades de controlo interessadas, e é vinculativa para as partes.

3.   Se não o puder fazer nos prazos referidos no n.o 2, o Comité adota a decisão no prazo de duas semanas a contar do termo do segundo mês a que se refere o n.o 2, por maioria simples dos membros que o compõem. Se houver empate na votação, a decisão é adotada pelo voto qualificado do presidente.

4.   As autoridades de controlo interessadas não adotam decisão sobre a matéria submetida à apreciação do Comité nos termos do n.o 1 enquanto estiver a decorrer o prazo referido nos n.os 2 e 3.

5.   O presidente do Comité informa, sem demora injustificada, as autoridades de controlo interessadas da decisão a que se refere o n.o 1. Do facto informa a Comissão. A decisão é imediatamente publicada no sítio web do Comité, depois de a autoridade de controlo ter notificado a decisão final a que se refere o n.o 6.

6.   Sem demora injustificada e o mais tardar um mês depois de o Comité ter notificado a sua decisão, a autoridade de controlo principal ou, consoante o caso, a autoridade de controlo à qual tiver sido apresentada a reclamação adota a decisão final com base na decisão a que se refere o n.o 1 do presente artigo. A autoridade de controlo principal ou, consoante o caso, a autoridade de controlo à qual tiver sido apresentada a reclamação, informa o Comité da data em que a decisão final é notificada, respetivamente, ao responsável pelo tratamento ou ao subcontratante e ao titular. A decisão final das autoridades de controlo interessadas é adotada nos termos do artigo 60.o, n.os 7, 8 e 9. A decisão final remete para a decisão a que se refere o n.o 1 do presente artigo e especifica que a decisão referida no n.o 1 é publicada no sítio web do Comité nos termos do n.o 5 do presente artigo. A decisão final é acompanhada da decisão a que se refere o n.o 1 do presente artigo.»

15

O artigo 68.o do RGPD, sob a epígrafe «[Comité]», prevê, no n.o 1, que o Comité é criado enquanto organismo da União e está dotado de personalidade jurídica.

16

O artigo 70.o do RGPD, sob a epígrafe «Atribuições do Comité», prevê, no n.o 1, alínea a), que o Comité assegura a aplicação coerente do RGPD. Para o efeito, o Comité, por iniciativa própria ou, nos casos pertinentes, a pedido da Comissão, exerce nomeadamente a atividade de controlar e assegurar a correta aplicação do RGPD nos casos previstos nos seus artigos 64.o e 65.o, sem prejuízo das funções das autoridades nacionais de controlo.

17

O artigo 78.o do RGPD, sob a epígrafe «Direito à ação judicial contra uma autoridade de controlo», dispõe:

«1.   Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, todas as pessoas singulares ou coletivas têm direito à ação judicial contra as decisões juridicamente vinculativas das autoridades de controlo que lhes digam respeito.

2.   Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, os titulares dos dados têm direito à ação judicial se a autoridade de controlo competente nos termos dos artigos 55.o e 56.o não tratar a reclamação ou não informar o titular dos dados, no prazo de três meses, sobre o andamento ou o resultado da reclamação que tenha apresentado nos termos do artigo 77.o

3.   Os recursos contra as autoridades de controlo são interpostos nos tribunais do Estado‑Membro em cujo território se encontrem estabelecidas.

4.   Quando for interposto recurso de uma decisão de uma autoridade de controlo que tenha sido precedida de um parecer ou uma decisão do Comité no âmbito do procedimento de controlo da coerência, a autoridade de controlo transmite esse parecer ou decisão ao tribunal.»

18

O artigo 83.o do RGPD enuncia as condições gerais para a aplicação de coimas.

19

Os antecedentes do litígio que figuram nos n.os 2 a 12 do despacho recorrido podem, para efeitos do presente processo, ser resumidos do seguinte modo.

20

Na sequência da entrada em vigor do RGPD, a Autoridade de Controlo irlandesa recebeu queixas de utilizadores e não utilizadores da aplicação de mensagens «WhatsApp» sobre o tratamento de dados pessoais efetuado pela WhatsApp. Além disso, o Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Comissário Federal para a Proteção de Dados e Liberdade de Informação, Alemanha) pediu assistência à Autoridade de Controlo irlandesa relativamente ao cumprimento pela WhatsApp das obrigações de transparência que impendem sobre os responsáveis pelo tratamento de dados pessoais no que respeita a uma eventual partilha desses dados com outras entidades do grupo Facebook, renomeado «Meta» desde setembro de 2021.

21

Em dezembro de 2018, a Autoridade de Controlo irlandesa deu oficiosamente início a um inquérito de caráter geral sobre o cumprimento pela WhatsApp das obrigações de transparência e de informação para com os particulares enunciadas nos artigos 12.o a 14.o do RGPD, sem prejuízo dos trâmites a adotar em relação aos pedidos individuais que lhe foram submetidos. A Autoridade de Controlo irlandesa agiu, a este respeito, como autoridade de controlo principal, ao abrigo do artigo 56.o, n.o 1, do RGPD, uma vez que a WhatsApp tinha, na Irlanda, o seu estabelecimento principal enquanto responsável pelo tratamento para as operações da aplicação de mensagens «WhatsApp» na Europa, sendo que esse tratamento tinha caráter transfronteiriço.

22

Concluída em setembro de 2019 a fase de inquérito com a apresentação de um relatório final do investigador, a Autoridade de Controlo irlandesa, após as fases processuais intermédias durante as quais a WhatsApp formulou as suas observações, apresentou, em dezembro de 2020, a todas as outras autoridades de controlo interessadas no processo um projeto de decisão com vista a obter o seu parecer, em conformidade com o artigo 60.o, n.o 3, do RGPD.

23

Em janeiro de 2021, oito dessas outras autoridades de controlo apresentaram objeções sobre determinados aspetos desse projeto de decisão. A Autoridade de Controlo irlandesa respondeu de forma agrupada a essas objeções propondo soluções de compromisso. Embora, na sequência dessa resposta, uma dessas oito autoridades de controlo tenha retirado uma das suas objeções, a Autoridade de Controlo irlandesa declarou que não tinha sido alcançado um consenso quanto a outros aspetos relativamente aos quais foram apresentadas objeções. Decidiu rejeitar todas as objeções recebidas e submeter a questão ao Comité para que este resolvesse o litígio entre as autoridades de controlo interessadas sobre os aspetos abrangidos por essas objeções, em conformidade com as disposições do artigo 60.o, n.o 4, e do artigo 65.o, n.o 1, alínea a), do RGPD.

24

Em maio de 2021, a Autoridade de Controlo irlandesa recolheu por escrito as observações da WhatsApp sobre os elementos debatidos entre as autoridades de controlo interessadas, após lhe ter enviado todos os documentos trocados a esse respeito, e transmitiu ao Comité essas observações para que tivesse conhecimento das mesmas no âmbito do processo de resolução de litígios que iniciou em junho de 2021.

25

Em 28 de julho de 2021, o Comité adotou a decisão impugnada, com fundamento no artigo 65.o, n.o 2, do RGPD.

26

Depois de a Autoridade de Controlo irlandesa ter recebido a decisão impugnada e ter recolhido as observações da WhatsApp sobre as sanções pecuniárias que, em última análise, estava previsto aplicar‑lhe na sequência dessa decisão, esta autoridade adotou, em 20 de agosto de 2021, em conformidade com o artigo 65.o, n.o 6, do RGPD, a decisão final, dirigida à WhatsApp (a seguir «decisão final»).

27

Na decisão final, a Autoridade de Controlo irlandesa considerou que a WhatsApp violou o princípio e as obrigações de transparência enunciados no artigo 5.o, n.o 1, alínea a), no artigo 12.o, n.o 1, no artigo 13.o, n.o 1, alíneas c) a f), no artigo 13.o, n.o 2, alíneas a), c) e e), e no artigo 14.o do RGPD. Em contrapartida, esta autoridade indicou que a WhatsApp cumpriu as obrigações enunciadas no artigo 13.o, n.o 1, alíneas a) e b), e no artigo 13.o, n.o 2, alíneas b) e d), do RGPD. A título de medidas corretivas adotadas com fundamento no artigo 58.o, n.o 2, alíneas b), d) e i), do RGPD, a referida autoridade impôs à WhatsApp uma repreensão, a execução de várias ações, enumeradas num anexo, destinadas ao cumprimento, no prazo de três meses, das disposições do RGPD que tinham sido violadas, bem como quatro coimas relativas às infrações declaradas ao artigo 5.o, n.o 1, alínea a), e aos artigos 12.o a 14.o do RGPD, de um montante total de 225 milhões de euros.

28

Além disso, na decisão final, a Autoridade de Controlo irlandesa identificou os aspetos relativamente aos quais a decisão impugnada a obrigava a rever a apreciação exposta no seu projeto de decisão. Relativamente a estes aspetos, decidiu reproduzir, sublinhando, os fundamentos invocados pelo Comité na decisão impugnada tal como estavam e simplesmente retirar as consequências relevantes em cada caso num parágrafo conclusivo.

29

Em conformidade com o artigo 65.o, n.o 6, do RGPD, a decisão impugnada foi anexada à decisão final.

30

Na decisão impugnada, o Comité pronunciou‑se sobre as questões relativamente às quais foram apresentadas objeções pertinentes e fundamentadas, na aceção do artigo 65.o, n.o 1, alínea a), do RGPD, a saber:

31

A WhatsApp impugnou a decisão final num órgão jurisdicional irlandês.

32

Por petição apresentada na Secretaria do Tribunal Geral em 1 de novembro de 2021, a WhatsApp interpôs um recurso com fundamento no artigo 263.o TFUE, destinado a obter a anulação da decisão impugnada.

33

Por despacho recorrido, proferido em aplicação do artigo 129.o do seu Regulamento de Processo, o Tribunal Geral julgou esse recurso inadmissível.

34

Embora salientando, nos n.os 36, 37 e 40 do despacho recorrido, que a decisão impugnada constituía um ato de um órgão da União, destinado a produzir efeitos jurídicos em relação a terceiros, e que esta decisão dizia individualmente respeito à WhatsApp, o Tribunal Geral considerou, todavia, no n.o 42 do despacho recorrido, que a referida decisão era um ato preparatório ou intermédio num procedimento que devia ser concluído com a adoção, pela autoridade de controlo nacional, de uma decisão final. Ora, o Tribunal Geral considerou, nos n.os 43 e 44 do despacho recorrido, que esse ato só constitui um «ato impugnável» se tiver efeitos jurídicos autónomos em relação aos quais não possa ser assegurada uma proteção jurisdicional suficiente no âmbito de um recurso da decisão que põe termo ao procedimento em causa.

35

A este respeito, o Tribunal Geral considerou, no n.o 45 do despacho recorrido, que, no caso em apreço, era assegurada uma proteção jurisdicional efetiva quanto à decisão impugnada pela via de recurso de que a WhatsApp dispõe, perante o juiz nacional, contra a decisão final, estando este juiz nacional habilitado, por força do artigo 267.o TFUE, a submeter ao Tribunal de Justiça um reenvio prejudicial para apreciação da validade da decisão impugnada. O Tribunal Geral também declarou, no n.o 46 do despacho recorrido, que a decisão impugnada, relativamente à WhatsApp, não tinha efeitos jurídicos autónomos em relação à decisão final tomada pela Autoridade de Controlo irlandesa.

36

Além disso, o Tribunal Geral considerou, no n.o 49 do despacho recorrido, que o facto de esse ato intermédio exprimir uma posição definitiva de uma autoridade, que deverá ser retomada na decisão final que põe termo ao procedimento em causa, não significa necessariamente que esse ato altera de forma significativa a situação jurídica da recorrente.

37

Além disso, o Tribunal Geral salientou, no n.o 50 do despacho recorrido, que a decisão impugnada não dizia diretamente respeito à WhatsApp. O Tribunal Geral observou, no n.o 52 desse despacho, que esta decisão não tinha caráter oponível para permitir, sem fase suplementar no processo, dar origem a obrigações para a WhatsApp ou, sendo caso disso, a direitos para outros particulares, pelo que não produzia diretamente efeitos jurídicos na situação da WhatsApp. O Tribunal Geral também referiu, no n.o 53 do referido despacho, que, embora a decisão impugnada fosse vinculativa para a Autoridade de Controlo irlandesa relativamente aos aspetos sobre os quais incidia, lhe deixava, no entanto, uma margem de apreciação quanto ao conteúdo da decisão final.

38

Assim, nos n.os 61 e 62 do mesmo despacho, o Tribunal Geral declarou que não estava preenchido nenhum dos requisitos exigidos para que se considerasse que a medida objeto do seu recurso dizia diretamente respeito à WhatsApp e que, por conseguinte, esse recurso era inadmissível.

39

Por último, o Tribunal Geral declarou, nos n.os 66 a 70 do despacho recorrido, que o resultado da sua análise se inscrevia na lógica do sistema das vias de recurso jurisdicionais estabelecido pelos Tratados. O Tribunal Geral considerou, nomeadamente, que a admissibilidade do recurso da WhatsApp contra a decisão impugnada apresentaria um risco de processos judiciais paralelos perante o juiz da União e o juiz nacional, estando este último, além disso, habilitado a submeter ao Tribunal de Justiça um reenvio prejudicial para apreciação da validade desta decisão.

40

Com o presente recurso, a WhatsApp conclui pedindo ao Tribunal de Justiça que se digne:

41

O Comité, apoiado nos seus pedidos pela República Federal da Alemanha, conclui pedindo ao Tribunal de Justiça que se digne:

42

O Comité alega que o recurso em primeira instância foi interposto tardiamente. A este respeito, alega que a WhatsApp teve conhecimento das partes relevantes da decisão impugnada numa data anterior à sua publicação no seu sítio Internet e, mais precisamente, em 13 de agosto de 2021. Por conseguinte, independentemente da data de publicação da decisão impugnada no sítio Internet do Comité, a qual não pode, aliás, ser equiparada a uma publicação no Jornal Oficial da União Europeia, o prazo de recurso começou a correr a partir de 13 de agosto de 2021 e terminou em 25 de outubro seguinte. A WhatsApp interpôs o seu recurso de anulação em 1 de novembro de 2021, pelo que este é extemporâneo.

43

A WhatsApp afirma que a alegação do Comité quanto ao caráter extemporâneo do seu recurso é errada. Com efeito, quando o recorrente não é o destinatário de um ato, é a data de publicação desse ato que determina o início do prazo de recurso. A data em que teve conhecimento do mesmo constitui apenas um critério subsidiário a este respeito. O modo de publicação do referido ato é, por sua vez, irrelevante. No caso em apreço, a publicação da decisão impugnada foi, em todo o caso, efetuada no sítio Internet do Comité em 2 de setembro de 2021 e o recurso foi interposto em 1 de novembro de 2021, dentro do prazo previsto no artigo 263.o, sexto parágrafo, TFUE.

44

Nos termos do artigo 263.o, sexto parágrafo, TFUE, os recursos previstos neste artigo devem ser interpostos no prazo de dois meses a contar, conforme o caso, da publicação do ato, da sua notificação ao recorrente ou, na falta desta, do dia em que o recorrente tenha tomado conhecimento do ato.

45

Resulta claramente da redação desta disposição, em especial das expressões «conforme o caso» e «na falta desta», que o início do prazo de recurso é determinado em função da situação em causa e que os dois primeiros critérios suscetíveis de iniciar esse prazo são hierarquizados em relação ao terceiro. Assim, o prazo do recurso de anulação começa a correr, a título principal, a partir da publicação do ato ou da sua notificação ao recorrente. Estes dois critérios principais são colocados, na sistemática da referida disposição, em pé de igualdade, no sentido de que nenhum destes dois critérios é subsidiário em relação ao outro. Em contrapartida, o critério da data de tomada de conhecimento do ato impugnado como início da contagem do prazo de recurso tem carácter subsidiário relativamente às datas de publicação ou de notificação deste ato (v., neste sentido, Acórdão de 26 de setembro de 2024, WEPA Hygieneprodukte e o./Comissão, C‑795/21 P e C‑796/21 P, EU:C:2024:807, n.os 61 a 63 e jurisprudência aí referida).

46

No caso em apreço, é facto assente que a decisão impugnada não foi notificada à WhatsApp, uma vez que o Comité só está obrigado a notificar essa decisão às autoridades de controlo interessadas, por força do artigo 65.o, n.o 5, primeiro período, do RGPD. Por conseguinte, há que determinar se esta decisão foi objeto de «publicação», na aceção do artigo 263.o, sexto parágrafo, TFUE.

47

A este respeito, há que esclarecer que o conceito de «publicação» não visa exclusivamente uma publicação no Jornal Oficial da União Europeia e deve, pelo contrário, ser interpretado de forma ampla. Está abrangida por este conceito, nomeadamente, uma publicação no sítio Internet de uma instituição, de um órgão ou de um organismo da União quando esta esteja prevista no direito derivado (v., neste sentido, Acórdão de 26 de setembro de 2024, WEPA Hygieneprodukte e o./Comissão, C‑795/21 P e C‑796/21 P, EU:C:2024:807, n.o 70 e jurisprudência aí referida).

48

No caso em apreço, uma vez que a publicação da decisão impugnada está prevista no artigo 65.o, n.o 5, terceiro período, do RGPD, importa, portanto, ter em consideração a data em que esta decisão foi publicada no sítio Internet do Comité, a saber, 2 de setembro de 2021. Esta interpretação é corroborada pelo considerando 143, terceiro período, do RGPD, do qual resulta que o prazo de recurso deve ser calculado a partir da publicação da decisão em causa do Comité no sítio Internet deste último.

49

Tendo o recurso sido interposto em 1 de novembro de 2021, o prazo previsto no artigo 263.o, sexto parágrafo, TFUE não foi violado, pelo que há que examinar se os fundamentos invocados no âmbito do presente recurso são suscetíveis de pôr em causa a apreciação feita pelo Tribunal Geral no despacho recorrido.

50

A WhatsApp alega que o Tribunal Geral cometeu um erro de direito ao considerar que a decisão impugnada não era um ato impugnável.

51

A WhatsApp contesta, em especial, a pertinência do critério adotado pelo Tribunal Geral, no n.o 41 do despacho recorrido, para determinar se um ato é ou não impugnável. Assim, o Tribunal Geral considerou erradamente que era necessário demonstrar que a decisão impugnada produz efeitos jurídicos que alteram de forma significativa a situação jurídica da WhatsApp e que lhe diz diretamente respeito. Ora, bastaria concluir que essa decisão se destinava a produzir efeitos jurídicos em relação a um ou a vários terceiros para constatar que constituía um ato impugnável, devido ao seu caráter definitivo. Em todo o caso, a referida decisão não constitui uma simples medida intermédia, mas exprime a posição definitiva do Comité.

52

Segundo a WhatsApp, o Tribunal Geral aplicou erradamente a jurisprudência relativa aos efeitos jurídicos dos atos intermédios ao aplicar um critério processual, por força do qual tal ato só seria impugnável se um recurso dirigido contra o ato final não permitisse assegurar uma proteção jurisdicional suficiente, e ao concluir pela inexistência de efeitos jurídicos da decisão impugnada.

53

Neste contexto, a WhatsApp refere‑se ao Acórdão de 11 de novembro de 1981, IBM/Comissão (60/81, EU:C:1981:264, n.os 10 e 11), do qual resulta, em especial, que um ato intermédio é impugnável quando reveste caráter definitivo e é independente da decisão final adotada posteriormente. Por conseguinte, há que examinar a substância desse ato e apreciar os seus efeitos à luz de critérios objetivos, como o conteúdo do referido ato, tendo em conta, sendo caso disso, o contexto da adoção deste último e os poderes da instituição que é autora do mesmo. A WhatsApp cita, nomeadamente, a este respeito, o Acórdão de 12 de julho de 2022, Nord Stream 2/Parlement e Conselho (C‑348/20 P, EU:C:2022:548, n.o 63).

54

Em especial, esse ato só não é suscetível de recurso de anulação quando, por um lado, reveste caráter provisório quanto ao mérito, de modo que o seu autor pode alterar a sua posição na fase da decisão final adotada posteriormente, e, por outro, essa decisão final é adotada pela mesma instituição ou pelo mesmo órgão da União. Por conseguinte, não há que aplicar o conceito de medida intermédia a uma decisão adotada por uma instituição ou um órgão da União, e dirigida a uma autoridade nacional, responsável por executar essa decisão em relação a terceiros.

55

No caso em apreço, segundo a WhatsApp, o Tribunal Geral limitou‑se a examinar se, no plano processual, lhe era assegurada uma proteção jurisdicional efetiva através do recurso perante o juiz nacional. Assim, considerou erradamente, nos n.os 48 e 49 do despacho recorrido, que o argumento da WhatsApp segundo o qual a decisão impugnada exprimia a posição definitiva do seu autor era desprovido de pertinência. Ao proceder deste modo, o Tribunal Geral considerou erradamente que a decisão impugnada não produzia efeitos jurídicos e que esta não era independente da decisão final, e isto sem ter apreciado o conteúdo e o contexto da decisão impugnada nem o alcance dos seus efeitos jurídicos autónomos.

56

No que respeita ao conteúdo da decisão impugnada, é facto assente que esta se destinava, enquanto decisão vinculativa adotada com base no artigo 65.o do RGPD, a produzir efeitos jurídicos em relação a terceiros e que representava a posição final do Comité sobre os pontos que lhe foram submetidos. Esta posição era suscetível de alterar de forma significativa a situação jurídica da WhatsApp, nomeadamente devido à constatação de que os dados sujeitos a hashing com perda eram dados pessoais, constatação que vinculava a Autoridade de Controlo irlandesa.

57

Quanto ao contexto da decisão impugnada, decorre da redação do artigo 65.o do RGPD que esta constitui uma decisão vinculativa. O considerando 143 do RGPD indica que as decisões tomadas pelo Comité podem dizer direta e individualmente respeito, nomeadamente, a um responsável pelo tratamento, o que implica que essas decisões são suscetíveis de produzir efeitos jurídicos externos, que vão além das autoridades nacionais de controlo que são destinatárias das mesmas. Isto é corroborado tanto pela razão de ser do efeito vinculativo das decisões do Comité, que consiste em assegurar a aplicação correta e coerente do RGPD, como pela economia processual prevista no artigo 65.o, n.o 1, do RGPD.

58

No que respeita aos efeitos jurídicos autónomos da decisão impugnada, além dos produzidos em relação aos seus destinatários, a WhatsApp salienta que esta decisão produz tais efeitos a seu respeito, afetando, nomeadamente, a forma como pretende dar cumprimento ao RGPD quanto aos dados sujeitos a hashing com perda, uma vez que estes são qualificados de dados pessoais pelo Comité. A decisão impugnada produz também efeitos jurídicos em relação aos órgãos jurisdicionais nacionais, que não estão habilitados a alterá‑la ou a invalidá‑la.

59

O Comité contesta esta argumentação. Alega que, em princípio, só é possível interpor recurso de anulação de uma medida através da qual uma instituição, um órgão ou um organismo da União fixa definitivamente a sua posição no termo de um procedimento administrativo. Em contrapartida, não podem ser qualificados de «atos impugnáveis» os atos intermédios, cujo objetivo é preparar uma decisão final, uma vez que tais atos não visam produzir efeitos jurídicos vinculativos autónomos em relação ao ato da União que é assim preparado, confirmado ou executado. Além disso, segundo o Comité, um ato intermédio não é suscetível de recurso se a ilegalidade associada a esse ato puder ser invocada como fundamento de um recurso dirigido contra a decisão final de que constitui um ato de elaboração.

60

No caso em apreço, segundo esta parte, a decisão impugnada constitui um ato intermédio, que faz parte de um processo decisório indivisível, conduzido pela Autoridade de Controlo irlandesa e que conduz a uma decisão final, adotada por esta autoridade. Neste contexto, embora as apreciações do Comité sejam vinculativas, não são, todavia, diretamente oponíveis à WhatsApp e não têm, a seu respeito, nenhum efeito jurídico autónomo em relação à decisão final. Assim, a circunstância de a decisão impugnada incluir uma posição definitiva do Comité quanto a certos aspetos que devem constar da decisão final não significa que a decisão impugnada dê origem, por si só, a uma alteração distinta da situação jurídica da WhatsApp. A decisão impugnada e a decisão final foram, com efeito, tomadas no âmbito de um procedimento administrativo unificado, composto por etapas interdependentes a nível nacional e europeu, com o mesmo objeto, e não na sequência de dois procedimentos independentes que dizem respeito a questões distintas.

61

A este respeito, o Comité afirma que o procedimento de resolução de litígios tem por objetivo assegurar a coerência da aplicação do RGPD pelas autoridades nacionais. No caso em apreço, a decisão impugnada não cria novas obrigações legais para a WhatsApp. As obrigações desta última são definidas pelo próprio RGPD, e não pela decisão impugnada, e aplicadas pela Autoridade de Controlo irlandesa, e não pelo Comité. Além disso, estas obrigações eram aplicáveis à WhatsApp antes de as infrações em causa terem sido constatadas.

62

Quanto aos alegados efeitos jurídicos externos da decisão impugnada, o Comité afirma que as suas interpretações só têm efeito vinculativo entre as partes, ou seja, entre as autoridades de controlo interessadas. A decisão impugnada, além de não ter efeito jurídico direto quanto à WhatsApp, incide sobre pontos de aplicação circunscritos do RGPD, que se destinam a ser incluídos e desenvolvidos na decisão final. Embora as interpretações do RGPD adotadas pelo Comité possam, assim, revestir um certo grau de autoridade em processos posteriores, que incidam sobre questões jurídicas semelhantes, não vinculam, no entanto, os órgãos jurisdicionais nacionais, que devem, em caso de dúvida, submeter um pedido de decisão prejudicial ao Tribunal de Justiça.

63

A República Federal da Alemanha, que intervém em apoio dos pedidos do Comité, alega que o procedimento de controlo da coerência previsto no RGPD, incluindo o procedimento de resolução de litígios, é puramente interno e tem por único objetivo alcançar um consenso, em caso de opiniões divergentes entre autoridades de controlo. Em especial, resulta do terceiro período do artigo 65.o, n.o 2, do RGPD que uma medida adotada pelo Comité neste âmbito produz um efeito juridicamente vinculativo apenas em relação às autoridades de controlo nacionais. Apenas a decisão final é vinculativa para o responsável pelo tratamento ou para o subcontratante em causa.

64

A primeira parte do primeiro fundamento de recurso tem por objeto a questão de saber se o Tribunal Geral cometeu um erro de direito ao declarar, nos n.os 41 a 49 do despacho recorrido, que a decisão impugnada não é um ato impugnável, na aceção do artigo 263.o, primeiro parágrafo, TFUE.

65

Nos termos desta disposição, o Tribunal de Justiça fiscaliza, nomeadamente, «a legalidade dos atos dos órgãos ou organismos da União destinados a produzir efeitos jurídicos em relação a terceiros».

66

Segundo jurisprudência constante, o recurso de anulação previsto no artigo 263.o TFUE pode ser interposto contra todas as disposições adotadas pelas instituições, seja qual for a sua forma, que visem produzir efeitos jurídicos vinculativos (v., neste sentido, Acórdão de 12 de julho de 2022, Nord Stream 2/Parlamento e Conselho, C‑348/20 P, EU:C:2022:548, n.o 62 e jurisprudência aí referida).

67

Para determinar se um ato produz esses efeitos e é, por conseguinte, suscetível de ser objeto de recurso de anulação ao abrigo do artigo 263.o TFUE, há que atender à substância desse ato e apreciar esses efeitos à luz de critérios objetivos, como o conteúdo do referido ato, tendo em conta, sendo caso disso, o contexto da sua adoção e os poderes da instituição que dele é autora (v., neste sentido, Acórdão de 12 de julho de 2022, Nord Stream 2/Parlamento e Conselho, C‑348/20 P, EU:C:2022:548, n.o 63 e jurisprudência aí referida).

68

A este respeito, como a advogada‑geral salientou nos n.os 79 e 121 das suas conclusões, à luz do artigo 263.o, primeiro parágrafo, TFUE, o terceiro em relação ao qual o ato visado produz efeitos jurídicos não tem necessariamente de ser o recorrente. Com efeito, reveste a qualidade de terceiro qualquer pessoa singular ou coletiva distinta do autor desse ato. Por conseguinte, para determinar se o referido ato produz tais efeitos, não é necessário verificar se estes últimos são suscetíveis de afetar a situação jurídica do recorrente, uma vez que esta verificação só é pertinente no âmbito da análise do cumprimento dos requisitos enunciados no artigo 263.o, quarto parágrafo, TFUE, de acordo com os quais um recurso de anulação pode ser interposto por qualquer pessoa contra os atos que lhe digam direta e individualmente respeito, quando esta última disposição for aplicável (v., neste sentido, Acórdão de 13 de fevereiro de 2025, Swissgrid/Comissão, C‑121/23 P, EU:C:2025:83, n.o 46). O caráter impugnável de um ato deve, portanto, ser apreciado objetivamente, em função da sua substância, e não em função do recorrente.

69

No entanto, importa recordar que, perante atos cuja elaboração se efetua em várias etapas processuais, só constitui, em princípio, um ato impugnável a medida que fixa definitivamente a posição da instituição, do órgão ou do organismo da União competente, com exclusão das medidas intermédias cujo objetivo é preparar essa medida definitiva e que não produzem efeitos jurídicos autónomos em relação a terceiros. Constituem, em especial, tais medidas intermédias as que exprimem uma opinião provisória dessa instituição, desse órgão ou desse organismo da União (v., neste sentido, Acórdãos de 11 de novembro de 1981, IBM/Comissão, 60/81, EU:C:1981:264, n.o 10; de 22 de setembro de 2022, IMG/Comissão,C‑619/20 P e C‑620/20 P, EU:C:2022:722, n.o 103, e de 18 de junho de 2024, Comissão/CUR, C‑551/22 P, EU:C:2024:520, n.o 92).

70

Segundo a jurisprudência, uma medida intermédia não é, em especial, suscetível de recurso de anulação se se demonstrar que a ilegalidade associada a essa medida poderá ser invocada como fundamento de um recurso da decisão final de que constitui um ato de elaboração. Em tais condições, o recurso interposto da decisão que põe termo ao procedimento assegurará uma proteção jurisdicional suficiente (v., neste sentido, Acórdãos de 11 de novembro de 1981, IBM/Comissão, 60/81, EU:C:1981:264, n.o 12, e de 15 de março de 2017, Stichting Woonlinie e o./Comissão, C‑414/15 P, EU:C:2017:215, n.o 46 e jurisprudência aí referida).

71

No caso em apreço, no que respeita ao conteúdo do ato em causa e aos poderes do órgão em causa, resulta da própria redação do artigo 65.o, n.o 1, alínea a), e n.o 2, do RGPD e do artigo 68.o, n.o 1, do RGPD que a decisão impugnada é um ato que emana de um órgão da União e que tem caráter vinculativo em relação a terceiros. Com efeito, este ato vincula a autoridade de controlo principal e todas as autoridades de controlo interessadas, que são os seus destinatários e que são terceiros em relação ao Comité. Em conformidade com o artigo 65.o, n.o 6, do RGPD, a autoridade de controlo principal deve adotar a sua decisão final com base na decisão do Comité. Esta decisão final deve também fazer referência à decisão do Comité, que lhe deve ser anexada.

72

Além disso, no que respeita ao contexto da adoção da decisão impugnada, é facto assente que esta foi elaborada no âmbito de um processo que implica várias etapas processuais, na aceção da jurisprudência mencionada no n.o 69 do presente acórdão, uma vez que precede a adoção de outro ato pela Autoridade de Controlo irlandesa. No entanto, esta decisão fixa definitivamente, na aceção dessa jurisprudência, a posição do órgão da União competente, a saber, o Comité, e aprecia todas as questões que este órgão é chamado a decidir. Com efeito, há que constatar que tal decisão, tomada com base no artigo 65.o, n.o 1, alínea a), do RGPD, incide sobre todas as questões relativamente às quais é apresentada uma objeção pertinente e fundamentada por parte das autoridades de controlo interessadas, na aceção do artigo 60.o, n.o 4, do RGPD, nomeadamente a de saber se existiu uma violação do RGPD.

73

Resulta do que precede que, embora não constitua a última etapa do procedimento de controlo da coerência previsto nos artigos 58.o, 60.o e 65.o do RGPD, a decisão impugnada não pode ser qualificada de medida intermédia insuscetível de recurso, na aceção da jurisprudência referida no n.o 69 do presente acórdão, contrariamente ao que o Tribunal Geral declarou no n.o 42 do despacho recorrido. Por conseguinte, a jurisprudência recordada no n.o 70 do presente acórdão não é pertinente no caso em apreço.

74

Neste contexto, uma vez que a decisão do Comité produz efeitos jurídicos vinculativos em relação a terceiros, é irrelevante a circunstância de o alcance da decisão final da autoridade de controlo nacional englobar questões que não são da responsabilidade ou da competência do Comité.

75

Pelas mesmas razões, a circunstância, salientada pelo Tribunal Geral no n.o 42 do despacho recorrido, de que, contrariamente à decisão final da Autoridade de Controlo irlandesa, a decisão impugnada não é oponível a entidades que não os seus destinatários também é desprovida de pertinência para a qualificação desta decisão como ato impugnável, nos termos do artigo 263.o, primeiro parágrafo, TFUE. Tal circunstância, que diz respeito à posição jurídica da recorrente em relação à decisão impugnada, não se refere nem à substância da decisão impugnada nem aos seus efeitos jurídicos vinculativos à luz de critérios objetivos.

76

Decorre de todas estas considerações que a decisão impugnada constitui um ato de um órgão da União destinado a produzir efeitos jurídicos em relação a terceiros e que exprime a posição definitiva desse órgão sobre os pontos que devem ser decididos por este, como, de resto, o próprio Tribunal Geral declarou nos n.os 36, 37 e 49 do despacho recorrido. Assim, esta decisão constitui, à luz da redação do artigo 263.o, primeiro parágrafo, TFUE e da jurisprudência referida nos n.os 66 a 69 do presente acórdão, um ato impugnável, sem que seja necessário apreciar, nesta fase, se a referida decisão teve como consequência alterar de forma significativa a situação jurídica da WhatsApp.

77

A este título, há que constatar que o Tribunal Geral cometeu um erro de direito, por um lado, no n.o 38 do despacho recorrido, ao confundir as exigências resultantes, respetivamente, dos primeiro e quarto parágrafos do artigo 263.o TFUE e, por outro, no n.o 42 do despacho recorrido, ao formular um critério errado, relativo à inexistência de oponibilidade direta do ato em causa em relação à WhatsApp, e ao qualificar a decisão impugnada de medida intermédia desprovida de efeitos jurídicos autónomos.

78

Por conseguinte, a primeira parte do primeiro fundamento do presente recurso deve ser julgada procedente.

79

A WhatsApp alega que o Tribunal Geral cometeu um erro de direito ao declarar que a decisão impugnada não lhe dizia diretamente respeito e que, por conseguinte, o seu recurso era inadmissível.

80

Por um lado, quanto ao requisito segundo o qual o ato deve produzir diretamente efeitos na situação jurídica do recorrente, o Tribunal Geral concluiu erradamente, no n.o 52 do despacho recorrido, que a decisão impugnada não dizia diretamente respeito à WhatsApp, uma vez que esta decisão não lhe era oponível e não constituía a última etapa do procedimento previsto nos artigos 58.o, 60.o e 65.o do RGPD.

81

Por outro lado, no que respeita ao requisito segundo o qual um ato não deve deixar nenhum poder de apreciação aos destinatários responsáveis pela sua execução, a WhatsApp considera que o Tribunal Geral cometeu um erro de direito ao declarar, nos n.os 53 a 60 do despacho recorrido, que a decisão impugnada tinha deixado à Autoridade de Controlo irlandesa uma margem de apreciação quanto ao conteúdo da sua decisão final, embora admitindo que a decisão impugnada vinculava essa autoridade de controlo quanto aos aspetos sobre os quais incidia.

82

No que respeita aos n.os 54 a 56 do despacho recorrido, nos quais o Tribunal Geral considerou que o conteúdo da decisão impugnada era parcial em relação à decisão final, a WhatsApp alega que era necessário examinar a inexistência de poder de apreciação tendo em conta o próprio conteúdo da decisão impugnada, sem fazer referência ao conteúdo adicional da decisão final. Com efeito, o Comité analisou apenas determinados aspetos de um caso concreto, a saber, as questões relativamente às quais foram apresentadas objeções pertinentes e fundamentadas por parte das autoridades de controlo interessadas. Por conseguinte, a decisão impugnada não pode incidir sobre todo o processo e não pode englobar aspetos que não são da responsabilidade ou da competência do Comité.

83

Além disso, o Tribunal Geral cometeu um erro de direito ao declarar, nos n.os 57 a 59 do despacho recorrido, que a Autoridade de Controlo irlandesa tinha exercido o seu poder de apreciação para extrair conclusões da decisão impugnada. Em primeiro lugar, quanto à qualificação dos dados que foram objeto de hashing com perda de dados pessoais, a WhatsApp alega que esta qualificação efetuada pelo Comité lhe impõe obrigações adicionais ao abrigo do RGPD, independentemente do facto de a autoridade de controlo principal ter exercido um poder de apreciação quanto ao mérito, que vai além dessa qualificação, ao verificar se a WhatsApp tinha agido na qualidade de responsável pelo tratamento ou subcontratante. Em segundo lugar, quanto ao aumento das coimas a aplicar à WhatsApp, esta decisão não deixou margem de apreciação à Autoridade de Controlo irlandesa, uma vez que esta última está obrigada a aplicar uma coima mais elevada do que a inicialmente prevista. O facto de essa autoridade manter um poder de apreciação quanto à determinação do montante exato da coima é irrelevante, uma vez que essa tarefa é da competência da referida autoridade.

84

O Comité contesta esta argumentação e alega que devem estar preenchidos dois critérios cumulativos para que um ato da União diga diretamente respeito a uma pessoa singular ou coletiva, que não é destinatária de um ato individual. Por um lado, esse ato deve ter um impacto direto na situação jurídica dessa pessoa e, por outro, não deve deixar nenhum poder de apreciação ao destinatário responsável pela sua execução, uma vez que esta última é puramente automática, sem aplicação de outras regras intermédias.

85

No que respeita ao primeiro critério, esta parte observa que o efeito vinculativo de um ato deve ser considerado em função do seu impacto na situação específica do recorrente. No caso em apreço, a decisão impugnada não é oponível à WhatsApp de uma forma que lhe permita, sem outras etapas processuais, constituir uma fonte de obrigações. Esta decisão não constitui a última etapa do procedimento previsto nos artigos 58.o, 60.o e 65.o do RGPD e não determinou, nomeadamente, o montante final da coima nem definiu um novo conjunto de regras para as atividades da WhatsApp. Assim, só a decisão final diz diretamente respeito à WhatsApp, sendo a Autoridade de Controlo irlandesa, por força do artigo 56.o, n.o 6, do RGPD, o único interlocutor desta empresa na sua qualidade de responsável pelo tratamento.

86

No que respeita ao segundo critério, o Comité alega que a Autoridade de Controlo irlandesa manteve um verdadeiro poder de apreciação quanto às conclusões a estabelecer na sua decisão final, que tem um alcance mais amplo do que a decisão impugnada e que inclui constatações sobre as quais o Comité não foi convidado a pronunciar‑se, uma vez que a sua intervenção se limitava às questões relativamente às quais foram apresentadas objeções pertinentes e fundamentadas. Em todo o caso, existe uma interdependência entre a decisão impugnada e a decisão final. Não é possível dissociar as partes desta última decisão que correspondem às instruções do Comité, o que é corroborado pelo facto de este ter deixado uma certa margem de apreciação à Autoridade de Controlo irlandesa sobre vários aspetos.

87

Nestas circunstâncias, um órgão jurisdicional nacional estaria em melhor posição para reexaminar essa decisão final, submetendo, se for caso disso, questões prejudiciais ao Tribunal de Justiça relativas às disposições do RGPD aplicadas tanto oficiosamente como com base nas instruções do Comité.

88

Segundo o Comité, a Autoridade de Controlo irlandesa também manteve uma certa margem de apreciação sobre as questões abordadas na decisão impugnada, em especial as relativas, por um lado, às consequências jurídicas a retirar da qualificação dos dados sujeitos a hashing com perda de dados pessoais, e, por outro, à fixação do montante das coimas a aplicar à WhatsApp. No que respeita a este primeiro aspeto, esta autoridade manteve um poder discricionário e procedeu a uma análise autónoma, nomeadamente quanto ao cumprimento do artigo 14.o do RGPD. A este respeito, é errado alegar que o Comité procedeu a uma avaliação «completa», estando a competência deste último limitada ao conteúdo das objeções pertinentes e fundamentadas, e não abrangendo todo o processo de infração. Quanto ao segundo aspeto, a saber, a fixação das coimas, embora a decisão impugnada inclua instruções gerais relativas às coimas, esta não trata da execução destas instruções nem do cálculo destas coimas.

89

A República Federal da Alemanha considera que, uma vez que a autoridade principal era a sua única interlocutora, não se pode considerar que a decisão impugnada diz diretamente respeito à WhatsApp. Tal decisão não se destina a ser executada de forma autónoma, mas deve ser sempre seguida de uma decisão final dessa autoridade. Com efeito, o legislador da União optou deliberadamente por um controlo descentralizado do RGPD, sem optar pela criação de uma autoridade europeia e central de proteção de dados.

90

A segunda parte do primeiro fundamento do presente recurso tem por objeto a questão de saber se o Tribunal Geral cometeu um erro de direito ao considerar, nos n.os 50 a 60 do despacho recorrido, que a decisão impugnada não dizia diretamente respeito à WhatsApp, na aceção do artigo 263.o, quarto parágrafo, TFUE, e que o recurso interposto por esta última era, por conseguinte, inadmissível.

91

Nos termos desta disposição, qualquer pessoa singular ou coletiva pode interpor, nas condições previstas nos primeiro e segundo parágrafos do artigo 263.o TFUE, recursos contra os atos de que seja destinatária ou que lhe digam direta e individualmente respeito, bem como contra os atos regulamentares que lhe digam diretamente respeito e não necessitem de medidas de execução.

92

Assim, a admissibilidade de um recurso interposto por uma pessoa singular ou coletiva contra um ato de que não seja destinatária, nos termos do artigo 263.o, quarto parágrafo, TFUE, está subordinada à condição, entre outras, de que o ato lhe diga direta e individualmente respeito (Acórdão de 3 de dezembro de 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, n.o 64 e jurisprudência aí referida).

93

No caso em apreço, como o Tribunal Geral declarou no n.o 40 do despacho recorrido, está demonstrado que a decisão impugnada diz individualmente respeito à WhatsApp, uma vez que esta se refere a determinados aspetos do projeto de decisão final que visam especificamente a situação desta empresa. No entanto, nos n.os 52 e 53 desse despacho, o Tribunal Geral considerou que a decisão impugnada não dizia diretamente respeito à WhatsApp, uma vez que, por um lado, esta não tinha um caráter oponível à WhatsApp que permitiria, sem fase suplementar no processo, dar origem a obrigações para a mesma ou, sendo caso disso, a direitos para outros particulares, e, por outro, que, mesmo que a decisão impugnada vinculasse a Autoridade de Controlo irlandesa quanto aos aspetos sobre os quais incidia, lhe deixou uma margem de apreciação quanto ao conteúdo da decisão final.

94

A este respeito, há que recordar que, de acordo com jurisprudência constante, o requisito segundo o qual a decisão que é objeto do seu recurso deve dizer diretamente respeito a uma pessoa singular ou coletiva exige que dois requisitos estejam cumulativamente preenchidos, a saber, que a medida impugnada, por um lado, produza diretamente efeitos na situação jurídica dessa pessoa e, por outro, não deixe nenhum poder de apreciação aos destinatários responsáveis pela sua execução, uma vez que tem caráter puramente automático e decorre exclusivamente da regulamentação da União, sem aplicação de outras normas intermédias (Acórdão de 4 de outubro de 2024, Comissão e Conselho/Frente Polisário, C‑779/21 P e C‑799/21 P, EU:C:2024:835, n.o 87 e jurisprudência aí referida).

95

Antes de examinar o cumprimento destes dois requisitos no caso em apreço, há que esclarecer que a inexistência de oponibilidade direta do ato impugnado ao recorrente e a circunstância de esse ato não constituir a última etapa de um procedimento composto não obstam a que o referido ato possa dizer diretamente respeito a esse recorrente quando o destinatário do mesmo ato não dispõe de nenhum poder de apreciação (v., neste sentido, Acórdãos de 4 de junho de 1992, Infortec/Comissão, C‑157/90, EU:C:1992:243, n.os 13 e 17; de 3 de dezembro de 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, n.os 65 e 67, e de 12 de julho de 2022, Nord Stream 2/Parlamento e Conselho, C‑348/20 P, EU:C:2022:548, n.o 74).

96

Por conseguinte, como a advogada‑geral observou nos n.os 139 e 144 das suas conclusões, o Tribunal Geral cometeu um erro de direito ao considerar, no n.o 52 do despacho recorrido, que a decisão impugnada não diz diretamente respeito à WhatsApp pelo facto de não ser oponível à WhatsApp e não constituir a última etapa do procedimento previsto nos artigos 58.o, 60.o e 65.o do RGPD.

97

Quanto ao cumprimento do primeiro dos requisitos recordados no n.o 94 do presente acórdão, há que apreciar se o ato impugnado é a fonte de uma alteração significativa da situação jurídica da pessoa singular ou coletiva em causa, atendendo à substância desse ato e apreciando os seus efeitos à luz de critérios objetivos, como o conteúdo do referido ato, tendo em conta, sendo caso disso, o contexto da sua adoção e os poderes da instituição, do órgão ou do organismo que é autora do mesmo (v., neste sentido, Acórdãos de 11 de novembro de 1981, IBM/Comissão, 60/81, EU:C:1981:264, n.o 9, e de 18 de junho de 2024, Comissão/CUR, C‑551/22 P, EU:C:2024:520, n.o 65 e jurisprudência aí referida).

98

No caso em apreço, como indicado no n.o 30 do presente acórdão, o Comité, na decisão impugnada, decidiu, nomeadamente, que a WhatsApp tinha violado as obrigações de informação enunciadas no artigo 13.o, n.o 1, alínea d), do RGPD e cometido uma infração ao artigo 13.o, n.o 2, alínea e), do mesmo. Por conseguinte, esta decisão altera a situação jurídica da WhatsApp, que, em especial, devido à intervenção do Comité, é obrigada a alterar a sua relação contratual com os utilizadores do serviço de mensagens prestado pela WhatsApp. Daqui resulta que existe um nexo direto entre a referida decisão e os seus efeitos na situação da WhatsApp, na aceção da jurisprudência referida nos n.os 94 e 95 do presente acórdão.

99

Contrariamente ao que o Comité alega, a circunstância de a Autoridade de Controlo irlandesa ser, por força do artigo 56.o, n.o 6, do RGPD, o único interlocutor da WhatsApp, enquanto responsável pelo tratamento, é irrelevante para esta conclusão. Com efeito, esta disposição visa unicamente organizar as relações entre um responsável pelo tratamento ou subcontratante, uma autoridade de controlo principal e as autoridades de controlo interessadas, pelo que não diz respeito às vias de recurso disponíveis em relação às decisões do Comité.

100

Quanto ao cumprimento do segundo requisito recordado no n.o 94 do presente acórdão, para apreciar se um ato deixa aos seus destinatários uma margem de apreciação com vista à sua execução, há que examinar os efeitos jurídicos produzidos pelas disposições desse ato, que são objeto de recurso, sobre a situação da pessoa que invoca o direito de recurso ao abrigo do artigo 263.o, quarto parágrafo, segunda parte do período, TFUE (Acórdão de 12 de julho de 2022, Nord Stream 2/Parlamento e Conselho, C‑348/20 P, EU:C:2022:548, n.o 98 e jurisprudência aí referida).

101

A existência dessa margem de apreciação deverá nomeadamente ser afastada se se demonstrar que as disposições do ato visadas pelo recurso tiveram como consequência direta submeter essa pessoa a obrigações cujo resultado não podia ser alterado pela entidade responsável por executar subsequentemente esse ato (v., neste sentido, Acórdão de 12 de julho de 2022, Nord Stream 2/Parlamento e Conselho, C‑348/20 P, EU:C:2022:548, n.o 114).

102

No caso em apreço, como resulta dos n.os 71 e 72 do presente acórdão, há que recordar que a decisão impugnada vincula a autoridade de controlo principal e as autoridades de controlo interessadas. Estas não se podem afastar da posição adotada pelo Comité nessa decisão e recordada no n.o 30 do presente acórdão. Com efeito, a referida decisão decide as questões de direito que lhe foram submetidas e vincula incondicionalmente essas autoridades, nomeadamente no que diz respeito à constatação da violação de determinadas disposições do RGPD, à qualificação dos dados sujeitos a hashing com perda de dados pessoais e à obrigação de aumentar o montante das coimas previstas. As referidas autoridades não têm a possibilidade de alterar o resultado das apreciações feitas, no que respeita a essas questões, pelo Comité, na aceção da jurisprudência referida no número anterior do presente acórdão.

103

A este respeito, por força do artigo 70.o, n.o 1, alínea a), do RGPD, o Comité tem por missão assegurar a aplicação coerente do RGPD, controlando e assegurando, como resulta do seu considerando 10, a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais em toda a União, nos casos previstos, nomeadamente, no artigo 65.o do RGPD, sem prejuízo das funções das autoridades nacionais de controlo.

104

Neste contexto, é irrelevante que o âmbito da decisão final inclua questões que não são da responsabilidade do Comité, a saber, aspetos relativamente aos quais não foram apresentadas objeções pertinentes e fundamentadas, na aceção do artigo 65.o, n.o 1, alínea a), do RGPD, ou questões que não são da competência deste órgão, como, nomeadamente, a fixação do montante exato da coima a aplicar ao responsável pelo tratamento ou a um subcontratante, que incumbe à autoridade de controlo chamada a pronunciar‑se por força do artigo 58.o, n.o 2, alínea i), e do artigo 83.o do RGPD.

105

Além disso, embora exista, é certo, uma relação de interdependência entre a decisão impugnada e a decisão final, não é menos verdade que estas constituem atos distintos e que o âmbito da decisão impugnada está delimitado, como resulta da enumeração constante no n.o 30 do presente acórdão. Nestas condições, esta relação de interdependência não é suscetível de obstar à conclusão de que a decisão impugnada diz diretamente respeito à WhatsApp.

106

Em especial, embora a interposição simultânea de um recurso de anulação perante o juiz da União, com fundamento no artigo 263.o TFUE, relativamente à decisão vinculativa do Comité, e perante o juiz nacional, ao abrigo do artigo 78.o do RGPD, relativamente à decisão final adotada, com base nessa decisão vinculativa, pela autoridade de controlo nacional, dê certamente origem a dois processos paralelos, tal situação não implica que os efeitos da decisão do Comité devam ser considerados indiretos, no caso em apreço, em relação à WhatsApp.

107

Com efeito, por um lado, segundo a jurisprudência do Tribunal de Justiça, quando a solução do litígio pendente no órgão jurisdicional nacional depende da validade da decisão de um órgão da União, resulta da obrigação de cooperação leal que, para evitar tomar uma decisão contrária à desse órgão, o órgão jurisdicional nacional deve suspender a instância até ser proferida pelas jurisdições da União uma decisão definitiva sobre o recurso de anulação, salvo se considerar que, nas circunstâncias do caso concreto, se justifica apresentar ao Tribunal de Justiça uma questão prejudicial relativa à validade da decisão do referido órgão (v., neste sentido, Acórdãos de 14 de dezembro de 2000, Masterfoods e HB, C‑344/98, EU:C:2000:689, n.o 57, e de 25 de julho de 2018, Georgsmarienhütte e o., C‑135/16, EU:C:2018:582, n.o 24).

108

Por outro lado, há também que indicar que o princípio da boa administração da justiça pode justificar, caso se recorra simultaneamente ao Tribunal Geral, no âmbito de um recurso de anulação, e ao Tribunal de Justiça, no âmbito de um reenvio prejudicial, que o Tribunal de Justiça faça uso, se considerar adequado, do artigo 54.o, terceiro parágrafo, do Estatuto do Tribunal de Justiça da União Europeia, para suspender o processo pendente perante si, em benefício do interposto no Tribunal Geral (Acórdão de 25 de julho de 2018, Georgsmarienhütte e o., C‑135/16, EU:C:2018:582, n.o 25).

109

Por conseguinte, estando preenchidos os dois requisitos referidos no n.o 94 do presente acórdão, a decisão impugnada diz diretamente respeito à WhatsApp.

110

Tendo em conta as considerações precedentes, há que julgar procedente a segunda parte do primeiro fundamento do presente recurso e, por conseguinte, anular o despacho recorrido.

111

Com a terceira parte do seu primeiro fundamento, a WhatsApp alega que a conclusão do Tribunal Geral, nos n.os 66 a 70 do despacho recorrido, de que a inadmissibilidade do seu recurso se insere na lógica do sistema das vias de recurso jurisdicionais estabelecido pelos Tratados UE e FUE, contém um erro de direito.

112

Tendo em conta a conclusão proferida no n.o 110 do presente acórdão, não há que decidir sobre a terceira parte do primeiro fundamento.

113

Referindo‑se à argumentação desenvolvida no âmbito do primeiro fundamento, a WhatsApp alega que o Tribunal Geral violou o artigo 65.o, n.o 1, do RGPD e o princípio da aplicação coerente do direito da União ao declarar, nos n.os 41 a 60 do despacho recorrido, que a decisão impugnada não produzia efeitos jurídicos além dos seus efeitos vinculativos em relação às autoridades de controlo em causa.

114

Uma vez que a WhatsApp se limita a remeter para a argumentação desenvolvida em apoio do seu primeiro fundamento, e tendo em conta a conclusão a que se chegou no n.o 110 do presente acórdão, não há que decidir sobre este segundo fundamento, dado que este não é suscetível de conduzir a uma anulação mais ampla do despacho recorrido.

115

Em conformidade com o artigo 61.o, primeiro parágrafo, do Estatuto do Tribunal de Justiça da União Europeia, em caso de anulação da decisão do Tribunal Geral, o Tribunal de Justiça pode decidir definitivamente o litígio se este estiver em condições de ser julgado.

116

Este requisito está preenchido no caso em apreço, uma vez que o processo diz apenas respeito à admissibilidade do recurso interposto no Tribunal Geral.

117

A este respeito, primeiro, como resulta do n.o 76 do presente acórdão, a decisão impugnada constitui um ato impugnável para efeitos do artigo 263.o, primeiro parágrafo, TFUE. Segundo, como referido no n.o 109 do presente acórdão, a decisão impugnada diz diretamente respeito à WhatsApp, na aceção do artigo 263.o, quarto parágrafo, TFUE. Terceiro, esta decisão diz individualmente respeito à WhatsApp, como o próprio Tribunal Geral concluiu no n.o 40 do despacho recorrido.

118

Por conseguinte, estando preenchidos os requisitos previstos nos primeiro e quarto parágrafos do artigo 263.o TFUE, e não existindo outro fundamento de inadmissibilidade, o recurso de anulação é julgado admissível.

119

No entanto, uma vez que o Tribunal Geral não examinou o mérito do recurso que lhe foi interposto, que exige uma apreciação pormenorizada de facto e de direito, o litígio não está em condições de ser julgado quanto ao mérito.

120

Por conseguinte, há que remeter o processo ao Tribunal Geral.

121

Sendo o processo remetido ao Tribunal Geral, há que reservar para final a decisão quanto às despesas do presente recurso.

Pelos fundamentos expostos, o Tribunal de Justiça (Grande Secção) decide: