1

Svojou žalobou založenou na článku 263 ZFEÚ žalobkyňa, spoločnosť WhatsApp Ireland Ltd (ďalej len „WhatsApp“), navrhuje zrušenie záväzného rozhodnutia Európskeho výboru pre ochranu údajov 1/2021 (ďalej len „EVOÚ“) z 28. júla 2021 týkajúceho sa sporu medzi dotknutými dozornými orgánmi, ktorý vznikol na základe návrhu rozhodnutia týkajúceho sa spoločnosti WhatsApp vypracovaného zo strany Data Protection Commission (Dozorný orgán pre ochranu osobných údajov fyzických osôb, Írsko, ďalej len „írsky dozorný orgán“) (ďalej len „napadnuté rozhodnutie“).

2

Po nadobudnutí účinnosti nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1), boli írskemu dozornému orgánu doručené sťažnosti užívateľov a osôb, ktoré nie sú užívateľmi služby zasielania správ „WhatsApp“ týkajúce sa spracúvania osobných údajov spoločnosťou WhatsApp. Nemecký spolkový dozorný orgán okrem toho požiadal o pomoc írsky dozorný orgán v súvislosti s dodržaním povinnosti transparentnosti zo strany spoločnosti WhatsApp, ktorú majú prevádzkovatelia spracúvania osobných údajov, pokiaľ ide o prípadné vymieňanie si takýchto údajov s inými subjektmi skupiny Facebook (premenovanej v septembri 2021 na Meta).

3

Írsky dozorný orgán začal v decembri 2018 ex offo všeobecné vyšetrovanie týkajúce sa dodržiavania povinností transparentnosti a informovania zo strany spoločnosti WhatsApp vo vzťahu k jednotlivcom (na rozdiel od podnikov) uvedených v článkoch 12, 13 a 14 nariadenia 2016/679 bez toho, aby tým boli dotknuté jeho kroky týkajúce sa jednotlivých podaní a sťažností, ktoré mu boli predložené. Írsky dozorný orgán konal v tejto súvislosti ako „vedúci dozorný orgán“, ako to stanovuje článok 56 ods. 1 nariadenia 2016/679, keďže WhatsApp mala v Írsku svoju hlavnú prevádzkareň ako prevádzkovateľ pri spracúvaní operácií zasielania správ „WhatsApp“ v Európe, pričom toto spracúvanie malo cezhraničnú povahu.

4

Po ukončení fázy vyšetrovania v septembri 2019, keď vyšetrovateľ predložil konečnú správu vyšetrovateľa, osoba s rozhodovacou právomocou írskeho dozorného orgánu po skončení priebežných procesných krokov, počas ktorých WhatsApp oznámila svoje pripomienky, predložila v decembri 2020 všetkým ostatným dozorným orgánom dotknutým vo veci samej, teda všetkým ostatným dozorným orgánom členských štátov, návrh rozhodnutia, aby sa k nemu vyjadrili, v súlade s článkom 60 ods. 3 nariadenia 2016/679.

5

V januári 2021 osem z týchto dozorných orgánov, nemecký spolkový dozorný orgán, bádensko‑württemberský, maďarský, holandský, poľský, francúzsky, taliansky a portugalský, vznieslo námietky proti niektorým aspektom návrhu rozhodnutia. Okrem toho rôzne dozorné orgány predložili jednoduché pripomienky. Írsky dozorný orgán odpovedal ostatným dotknutým dozorným orgánom skupinovým spôsobom a navrhol kompromisné riešenia. Hoci po tejto odpovedi jeden z týchto orgánov stiahol jednu zo svojich námietok, írsky dozorný orgán konštatoval, že medzi dotknutými dozornými orgánmi nedošlo k dohode o jeho návrhoch týkajúcich sa ostatných aspektov, voči ktorým boli vznesené námietky, a rozhodol sa všetky tieto námietky zamietnuť s cieľom postúpiť vec EVOÚ na účely vyriešenia sporu medzi dotknutými dozornými orgánmi v súvislosti s týmito aspektmi, v súlade s ustanoveniami článku 60 ods. 4 a článku 65 ods. 1 písm. a) nariadenia 2016/679.

6

V máji 2021 dostal írsky dozorný orgán písomné námietky spoločnosti WhatsApp k skutočnostiam prerokovaným medzi dotknutými dozornými orgánmi po tom, ako mu boli zaslané všetky podklady, ktoré si v tejto súvislosti vymenili, a následne tieto námietky postúpil EVOÚ, aby sa s nimi oboznámil v rámci postupu na riešenie sporov, ktorý EVOÚ začal v júni 2021.

7

EVOÚ, ktorý sa podľa článku 68 ods. 3 nariadenia 2016/679 skladá z „vedúceho predstaviteľa jedného dozorného orgánu každého členského štátu a európskeho dozorného úradníka pre ochranu údajov, alebo ich zástupcov“, prijal napadnuté rozhodnutie 28. júla 2021 dvojtretinovou väčšinou, ako to stanovuje článok 65 ods. 2 nariadenia 2016/679. Napadnuté rozhodnutie je rozhodnutie určené vedúcemu dozornému orgánu a všetkým dotknutým dozorným orgánom, pre ktoré je záväzné, ako to stanovuje to isté ustanovenie, a týka sa všetkých otázok, ktoré boli predmetom relevantných a odôvodnených námietok, ako to stanovuje článok 65 ods. 1 písm. a) nariadenia 2016/679. V tejto súvislosti EVOÚ v napadnutom rozhodnutí najprv preskúmal, či je každá námietka vznesená dotknutým dozorným orgánom relevantná a odôvodnená. K námietke zaujal stanovisko len v prípade kladnej odpovede na túto predbežnú otázku.

8

Po tom, ako bolo írskemu dozornému orgánu doručené napadnuté rozhodnutie a námietky spoločnosti WhatsApp k peňažným sankciám, ktoré jej v konečnom dôsledku bolo zamýšľané uložiť vzhľadom na napadnuté rozhodnutie, osoba s rozhodovacou právomocou v rámci tohto orgánu prijala 20. augusta 2021 v súlade s článkom 65 ods. 6 nariadenia 2016/679 konečné rozhodnutie určené spoločnosti WhatsApp (ďalej len „konečné rozhodnutie“). V konečnom rozhodnutí sa konštatuje, že WhatsApp porušila zásadu a povinnosti transparentnosti stanovené v článku 5 ods. 1 písm. a), článku 12 ods. 1, článku 13 ods. 1 písm. c), d), e) a f), článku 13 ods. 2 písm. a), c) a e) a článku 14 nariadenia 2016/679. Na druhej strane sa v ňom uvádza, že WhatsApp splnila povinnosti stanovené v článku 13 ods. 1 písm. a) a b) a článku 13 ods. 2 písm. b) a d) nariadenia 2016/679. V rámci nápravných opatrení podľa článku 58 ods. 2 písm. b), d) a i) nariadenia 2016/679 sa v konečnom rozhodnutí udeľuje spoločnosti WhatsApp napomenutie, ukladá povinnosť prijať určitý počet opatrení vymenovaných v prílohe, ktorých cieľom je v lehote troch mesiacov dosiahnutie súladu s ustanoveniami nariadenia 2016/679, ktoré boli porušené, ako aj štyri správne pokuty týkajúce sa zistených porušení článku 5 ods. 1 písm. a), článkov 12, 13 a 14 nariadenia 2016/679 v celkovej výške 225 miliónov eur.

9

V konečnom rozhodnutí osoba s rozhodovacou právomocou írskeho dozorného orgánu identifikovala aspekty, vo vzťahu ku ktorým napadnuté rozhodnutie ukladalo povinnosť preskúmať posúdenie uvedené v návrhu rozhodnutia uvedenom v bode 4 vyššie. V súvislosti s týmito aspektmi sa rozhodla prevziať dôvody, ktoré EVOÚ uviedol v napadnutom rozhodnutí ako také a uviesť ich v podfarbených pasážach a vždy len v záverečnom bode z nich vyvodiť dôsledky. Spresnila, že v konečnom rozhodnutí sa na jednej strane nezmieňuje o námietkach, ktoré EVOÚ považoval za irelevantné alebo neodôvodnené a ktorých dôvodnosť teda neposúdil, ani o námietkach, vo vzťahu ku ktorým EVOÚ nepovažoval za potrebné vykonať zmenu posúdenia uvedeného v návrhu rozhodnutia, a na druhej strane k týmto námietkam ani nezaujala stanovisko.

10

V súlade s článkom 65 ods. 6 nariadenia 2016/679 bolo napadnuté rozhodnutie priložené ku konečnému rozhodnutiu írskeho dozorného orgánu.

11

V tejto súvislosti sa zdá, že EVOÚ v napadnutom rozhodnutí postupne zaujal stanovisko, len pokiaľ ide o nasledujúce aspekty, ktoré boli podľa neho predmetom relevantných a odôvodnených námietok:

12

WhatsApp zároveň napadla konečné rozhodnutie na írskom súde a navrhla, aby Všeobecný súd zrušil napadnuté rozhodnutie.

13

V tomto konaní požiadala spoločnosť Computer & Communication Industry Association o vstup do konania ako vedľajší účastník na podporu žalobkyne, zatiaľ čo Fínska republika, Európska komisia a Európsky dozorný úradník pre ochranu údajov požiadali o vstup do konania ako vedľajší účastníci na podporu EVOÚ. V súvislosti s vedľajším účastníctvom hlavní účastníci konania požiadali, aby niektoré skutočnosti v spise neboli poskytnuté niektorým vedľajším účastníkom konania z dôvodu ich dôvernej povahy. V tejto fáze nebolo o týchto žiadostiach rozhodnuté.

14

Opatrenie na zabezpečenie priebehu konania prijaté po podaní vyjadrenia k žalobe, ktorým boli hlavní účastníci konania vyzvaní, aby v replike a duplike neopomenuli zaujať stanovisko ku všetkým dôležitým otázkam týkajúcim sa právomoci Všeobecného súdu a prípustnosti žaloby, v tejto súvislosti uvádzalo otázku kvalifikácie napadnutého rozhodnutia ako aktu orgánu Európskej únie, otázku kvalifikácie napadnutého rozhodnutia ako napadnuteľného aktu, otázku aktívnej legitimácie žalobkyne a jej záujmu na konaní.

15

WhatsApp navrhuje, aby bolo napadnuté rozhodnutie zrušené v celom rozsahu, alebo subsidiárne, aby boli zrušené jeho relevantné časti a aby bola EVOÚ uložená povinnosť nahradiť trovy konania.

16

EVOÚ navrhuje, aby sa žaloba zamietla ako neprípustná, a subsidiárne, aby sa zamietla ako nedôvodná, a ešte viac subsidiárne, aby zrušenie napadnutého rozhodnutia bolo obmedzené na jeho relevantné časti. EVOÚ tiež žiada, aby bola žalobkyni uložená povinnosť nahradiť trovy konania.

17

Podľa článku 129 Rokovacieho poriadku Všeobecného súdu môže na návrh sudcu spravodajcu Všeobecný súd po vypočutí hlavných účastníkov konania bez návrhu kedykoľvek rozhodnúť o prekážke konania z dôvodu verejného záujmu odôvodneným uznesením.

18

V prejednávanej veci sa Všeobecný súd považuje za dostatočne oboznámený so spisovým materiálom a prijme na základe tohto článku rozhodnutie o prípustnosti žaloby bez toho, aby bolo potrebné pokračovať v konaní.

19

Overenie právomoci Všeobecného súdu a aktívnej legitimácie žalobkyne sú totiž otázky verejného poriadku, rovnako ako overenie iných skutočností súvisiacich s prípustnosťou žaloby, a hlavní účastníci konania mali v tomto prípade možnosť predložiť svoje pripomienky v nadväznosti na opatrenie na zabezpečenie konania uvedené v bode 14 vyššie, po tom, ako EVOÚ sám v rámci vyjadrenia k žalobe vzniesol námietku neprípustnosti žaloby.

20

V prejednávanej veci je potrebné na úvod pripomenúť inštitucionálny právny rámec, v ktorom bolo napadnuté rozhodnutie vydané.

21

Kapitola VI nariadenia 2016/679 má názov „Nezávislé dozorné orgány“. V tejto súvislosti článok 51 uvádza, že každý členský štát „stanoví, že za monitorovanie uplatňovania tohto nariadenia je zodpovedný jeden alebo viacero nezávislých orgánov verejnej moci“, že každý z týchto orgánov „prispieva ku konzistentnému uplatňovaniu tohto nariadenia v celej Únii“ a že na tento účel „dozorné orgány spolupracujú navzájom, ako aj s Komisiou v súlade s kapitolou VII“.

22

Článok 55 stanovuje, že každý dozorný orgán je príslušný plniť úlohy, ktoré mu boli uložené, a vykonávať právomoci, ktoré mu boli zverené, v súlade s nariadením 2016/679 na území vlastného členského štátu, a článok 56 uvádza, že bez toho, aby bol dotknutý článok 55, dozorný orgán hlavnej prevádzkarne alebo jedinej prevádzkarne prevádzkovateľa alebo sprostredkovateľa je príslušný konať ako vedúci dozorný orgán pre cezhraničné spracúvanie vykonávané zo strany tohto prevádzkovateľa alebo sprostredkovateľa v súlade s postupom stanoveným v článku 60. Ako je uvedené v bode 3 vyššie, írsky dozorný orgán v prejednávanej veci konal vo vzťahu k spoločnosti WhatsApp ako vedúci orgán.

23

Článok 58 ods. 2 nariadenia 2016/679 stanovuje, že každý dozorný orgán má právomoc prijímať nápravné opatrenia voči prevádzkovateľovi alebo sprostredkovateľovi, a najmä podľa jeho písmen b), d) a i) ich napomenúť, ak spracovateľské operácie porušili ustanovenia nariadenia 2016/679, nariadiť im, aby svoje spracovateľské operácie zosúladili s ustanoveniami nariadenia 2016/679, a prípadne, špecificky a v stanovenej lehote uložiť im správnu pokutu.

24

Kapitola VII nariadenia 2016/679, ktorá nadväzuje na ustanovenia uvedené v bodoch 21 až 23 vyššie, má názov „Spolupráca a konzistentnosť“.

25

V oddiele „Spolupráca“ tejto kapitoly sa v článku 60, ktorý je sám nazvaný „Spolupráca medzi vedúcim dozorným orgánom a inými dotknutými dozornými orgánmi“, okrem iného stanovuje:

„1.   Vedúci dozorný orgán spolupracuje s inými dotknutými dozornými orgánmi v súlade s týmto článkom a s cieľom dosiahnuť konsenzus. Vedúci dozorný orgán a dotknuté dozorné orgány si navzájom vymieňajú všetky relevantné informácie.

…

3.   Vedúci dozorný orgán bezodkladne oznámi relevantné informácie týkajúce sa veci iným dotknutým dozorným orgánom. Bezodkladne predloží iným dotknutým dozorným orgánom návrh rozhodnutia, aby sa k nemu vyjadrili a aby sa náležite zohľadnili ich stanoviská.

4.   Ak ktorýkoľvek z iných dotknutých dozorných orgánov podá v lehote štyroch týždňov odo dňa, kedy bol v súlade s odsekom 3 tohto článku konzultovaný, relevantnú a odôvodnenú námietku k návrhu rozhodnutia, vedúci dozorný orgán, ak s relevantnou a odôvodnenou námietkou nesúhlasí alebo sa domnieva, že námietka je nerelevantná alebo neodôvodnená, predloží záležitosť mechanizmu konzistentnosti uvedenému v článku 63.

5.   Ak má vedúci dozorný orgán v úmysle podanej relevantnej a odôvodnenej námietke vyhovieť, predloží iným dotknutým dozorným orgánom revidovaný návrh rozhodnutia na účely vyjadrenia stanoviska. Tento revidovaný návrh rozhodnutia podlieha postupu uvedenému v odseku 4 v lehote dvoch týždňov.

6.   Ak voči návrhu rozhodnutia, ktorý predložil vedúci dozorný orgán, nenamietal v lehote uvedenej v odsekoch 4 a 5 žiadny z iných dotknutých dozorných orgánov, platí, že vedúci dozorný orgán a dotknuté dozorné orgány s týmto návrhom rozhodnutia súhlasia a tento návrh rozhodnutia sa pre ne stáva záväzným.

7.   Vedúci dozorný orgán rozhodnutie prijme a oznámi ho hlavnej prevádzkarni alebo jedinej prevádzkarni prevádzkovateľa, prípadne sprostredkovateľa, a o danom rozhodnutí vrátane zhrnutia relevantných faktov a dôvodov informuje iné dotknuté dozorné orgány a výbor. Dozorný orgán, na ktorom sa sťažnosť podala, informuje sťažovateľa o rozhodnutí.

…

10.   Po tom, ako im je oznámené rozhodnutie vedúceho dozorného orgánu…, prevádzkovateľ alebo sprostredkovateľ prijmú potrebné opatrenia na zabezpečenie súladu s rozhodnutím, pokiaľ ide o spracovateľské činnosti v súvislosti so všetkými svojimi prevádzkarňami v Únii. Prevádzkovateľ alebo sprostredkovateľ oznámia opatrenia prijaté na dodržanie rozhodnutia vedúceho dozornému orgánu, ktorý o tom informuje iné dotknuté dozorné orgány.“

26

V oddiele „Konzistentnosť“ tej istej kapitoly VII nariadenia 2016/679 sa v článku 63 s názvom „Mechanizmus konzistentnosti“ stanovuje:

„S cieľom prispievať ku konzistentnému uplatňovaniu tohto nariadenia v celej Únii dozorné orgány spolupracujú navzájom a v relevantných prípadoch s Komisiou prostredníctvom mechanizmu konzistentnosti, ako sa stanovuje v tomto oddiele.“

27

EVOÚ zasahuje do tohto mechanizmu. Postavenie EVOÚ je stanovené v treťom a poslednom oddiele kapitoly VII nariadenia 2016/679 s názvom „Európsky výbor pre ochranu údajov“.

28

V tomto oddiele článok 68 stanovuje:

„1.   Týmto sa zriaďuje Európsky výbor pre ochranu údajov (ďalej len ‚výbor‘) ako orgán Únie s právnou subjektivitou.

…

3.   Výbor pozostáva z vedúceho predstaviteľa jedného dozorného orgánu každého členského štátu a európskeho dozorného úradníka pre ochranu údajov, alebo ich zástupcov.

…“

29

V tom istom oddiele sa v článku 70 s názvom „Úlohy výboru“ uvádza:

„1.   Výbor zaisťuje konzistentné uplatňovanie tohto nariadenia. Na tento účel výbor z vlastnej iniciatívy, alebo prípadne na žiadosť Komisie, najmä:

…“

30

V tom istom článku 70 sa ďalej podrobne uvádzajú ďalšie úlohy EVOÚ, ktoré majú najmä poradnú povahu a ktoré sa majú vykonávať prostredníctvom stanovísk, usmernení, odporúčaní a odporúčaní týkajúcich sa „najlepších postupov“.

31

V oddiele „Konzistentnosť“ uvedenom v bode 26 sa za článkom 64, v ktorom sa uvádzajú prípady, v ktorých EVOÚ vydáva stanovisko, v článku 65 s názvom „Riešenie sporov výborom“ uvádza najmä:

„1.   S cieľom zabezpečiť správne a jednotné uplatňovanie tohto nariadenia v jednotlivých prípadoch prijme výbor záväzné rozhodnutie v týchto prípadoch:

…

2.   Rozhodnutie uvedené v odseku 1 sa prijme… dvojtretinovou väčšinou členov výboru. Uvedená lehota sa môže predĺžiť o ďalší mesiac z dôvodu zložitosti danej záležitosti. Rozhodnutie uvedené v odseku 1 musí byť odôvodnené a adresované vedúcemu dozornému orgánu a všetkým dotknutým dozorným orgánom, pričom je pre ne záväzné.

…

5.   Predseda výboru oznámi bez zbytočného odkladu rozhodnutie uvedené v odseku 1 dotknutým dozorným orgánom. Informuje o tom Komisiu. Rozhodnutie sa bez odkladu uverejní na webovom sídle výboru po tom, ako dozorný orgán oznámil konečné rozhodnutie uvedené v odseku 6.

6.   Vedúci dozorný orgán alebo prípadne dozorný orgán, ktorému sa podala sťažnosť, prijme svoje konečné rozhodnutie na základe rozhodnutia uvedeného v odseku 1 tohto článku bez zbytočného odkladu a najneskôr do jedného mesiaca po tom, ako výbor oznámil svoje rozhodnutie. … Konečné rozhodnutie odkazuje na rozhodnutie uvedené v odseku 1 tohto článku a uvedie sa v ňom, že rozhodnutie uvedené v uvedenom odseku sa uverejní na webovom sídle výboru v súlade s odsekom 5 tohto článku. Ku konečnému rozhodnutiu sa pripojí rozhodnutie uvedené v odseku 1 tohto článku.“

32

Kapitola VIII nariadenia 2016/679 s názvom „Prostriedky nápravy, zodpovednosť a sankcie“ sa v článku 78 zaoberá „právom na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu“ a článku 79 „právom na účinný súdny prostriedok nápravy voči prevádzkovateľovi alebo sprostredkovateľovi“. Neobsahuje nijaké ustanovenia o možných prostriedkoch nápravy proti záväzným rozhodnutiam EVOÚ prijatým na základe citovaného článku 65 ods. 1 článok 78 ods. 4 však uvádza, že „ak sa návrh na začatie konania podáva proti rozhodnutiu dozorného orgánu, ktorému predchádzalo… rozhodnutie výboru v rámci mechanizmu konzistentnosti, dozorný orgán takéto… rozhodnutie postúpi súdu“.

33

V odôvodnení nariadenia 2016/679 sa v bode 143 uvádza:

„Každá fyzická alebo právnická osoba má právo podať na Súdnom dvore žalobu o vyhlásenie rozhodnutí výboru za neplatné, a to za podmienok stanovených v [článku 263 ZFEÚ]. Ak majú dotknuté dozorné orgány, ktoré sú adresátmi takýchto rozhodnutí, v úmysle ich napadnúť, môžu podať žalobu v lehote dvoch mesiacov od ich oznámenia v súlade s [článkom 263 ZFEÚ]. Ak sa rozhodnutia výboru priamo a osobne týkajú prevádzkovateľa, sprostredkovateľa alebo sťažovateľa, môžu proti týmto rozhodnutiam podať žalobu o ich neplatnosť v súlade s [článkom 263 ZFEÚ] v lehote dvoch mesiacov od uverejnenia týchto rozhodnutí na webovom sídle výboru. Bez toho, aby bolo dotknuté toto právo podľa [článku 263 ZFEÚ], každá fyzická alebo právnická osoba by mala mať na príslušnom vnútroštátnom súde účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu, ktoré má voči nej právne účinky. Takéto rozhodnutie sa týka najmä výkonu vyšetrovacích, nápravných a povoľovacích právomocí dozorným orgánom alebo nevyhovenia či odmietnutia sťažností. Právo na účinný prostriedok nápravy však nezahŕňa opatrenia dozorných orgánov, ktoré nie sú právne záväzné, ako napríklad stanoviská alebo poradenstvo, ktoré poskytol dozorný orgán. Návrh na začatie konania proti dozornému orgánu by sa mal podávať na súdoch členského štátu, v ktorom má dozorný orgán sídlo, pričom toto konanie by malo prebiehať v súlade s procesným právom tohto členského štátu. Tieto súdy by mali vykonávať plnú právomoc, ktorá by mala zahŕňať právomoc preskúmať všetky skutkové a právne otázky, ktoré sú relevantné pre daný spor.

Ak dozorný orgán sťažnosti nevyhovie alebo ju odmietne, môže sťažovateľ podať žalobu na súdoch v tom istom členskom štáte. V kontexte súdnych prostriedkov nápravy týkajúcich sa uplatňovania tohto nariadenia by mali vnútroštátne súdy, ktoré zvažujú rozhodnutie o otázke, ktorá im umožní vydať rozsudok, môžu alebo v prípade stanovenom v [článku 267 ZFEÚ] musia podať na Súdny dvor návrh na vydanie prejudiciálneho rozhodnutia v súvislosti s výkladom práva Únie vrátane tohto nariadenia. Okrem toho, ak sa rozhodnutie dozorného orgánu, ktorým sa vykonáva rozhodnutie výboru, napadne na vnútroštátnom súde vrátane jeho platnosti, tento vnútroštátny súd nemá právomoc vyhlásiť rozhodnutie výboru za neplatné, ale vždy keď sa domnieva, že rozhodnutie je neplatné, musí otázku jeho platnosti predložiť Súdnemu dvoru podľa [článku 267 ZFEÚ], ako ho vykladá Súdny dvor. Vnútroštátny súd však otázku platnosti rozhodnutia výboru nemôže predložiť Súdnemu dvoru na základe podnetu fyzickej alebo právnickej osoby, ktoré mali možnosť podať žalobu o neplatnosť tohto rozhodnutia, najmä v prípade, ak sa ich rozhodnutie bezprostredne a osobne dotýkalo, ale tak v lehote stanovenej v [článku 263 ZFEÚ] neurobili.“

34

Článok 263 ZFEÚ, ktorého prvý, druhý, štvrtý a piaty odsek sú uvedené nižšie, stanovuje:

„Súdny dvor Európskej únie preskúmava zákonnosť legislatívnych aktov, aktov Rady, Komisie a Európskej centrálnej banky okrem odporúčaní a stanovísk a preskúmava aj zákonnosť aktov Európskeho parlamentu a Európskej rady, ktoré majú právne účinky vo vzťahu k tretím stranám. Tiež preskúmava zákonnosť aktov orgánov alebo úradov alebo agentúr Únie, ktoré zakladajú právne účinky voči tretím stranám.

Na tento účel má právomoc rozhodovať o žalobách podávaných členskými štátmi, Európskym parlamentom, Radou alebo Komisiou z dôvodu nedostatku právomoci, porušenia podstatných procesných predpisov, porušenia zmlúv alebo akéhokoľvek právneho pravidla týkajúceho sa uplatňovania alebo zneužitia právomocí.

…

Akákoľvek fyzická alebo právnická osoba môže za podmienok ustanovených v prvom a druhom odseku podať žalobu proti aktom, ktoré sú jej určené alebo ktoré sa jej priamo a osobne týkajú, ako aj voči regulačným aktom, ktoré sa jej priamo týkajú a nevyžadujú vykonávacie opatrenia.

Právne akty, ktorými sa zriaďujú orgány, úrady a agentúry Únie, môžu ustanoviť osobitné podmienky a úpravy týkajúce sa žalôb podaných fyzickými alebo právnickými osobami proti aktom týchto orgánov alebo úradov alebo agentúr Únie, ktoré zakladajú právne účinky voči nim.

…“

35

Z článku 263 prvého odseku ZFEÚ vyplýva, že súd Únie má právomoc preskúmať zákonnosť aktu orgánu Únie, ktorý má právne účinky vo vzťahu k tretím stranám. Okrem toho zo štvrtého odseku toho istého článku vyplýva, že na to, aby bola právnická osoba oprávnená podať žalobu proti individuálnemu aktu orgánu Únie, ktorý jej nie je určený, musí sa jej v zásade tento akt priamo a osobne dotýkať. V prejednávanej veci, ako je uvedené v bode 32 vyššie, v nariadení 2016/679 neexistuje nijaké ustanovenie zodpovedajúce ustanoveniu článku 263 piateho odseku ZFEÚ, a tak v prejednávanej veci sa na WhatsApp skutočne uplatňujú podmienky stanovené vo štvrtom odseku tohto článku, a to byť priamo a osobne dotknutá napadnutým rozhodnutím, aby bola jej žaloba proti tomuto rozhodnutiu prípustná.

36

Najprv je potrebné uviesť, že napadnuté rozhodnutie, ktoré prijal EVOÚ, je skutočne aktom orgánu Únie. Inštitucionálne opatrenie stanovené v nariadení 2016/679, uvedené v bodoch 21 až 31, najmä výlučná právomoc vnútroštátnych dozorných orgánov prijímať nápravné opatrenia vo vzťahu k prevádzkovateľom a sprostredkovateľom, ako aj mechanizmy spolupráce a konzistentnosti medzi týmito orgánmi, a to aj v rámci EVOÚ, ktorý v podstate združuje tieto orgány, by mohli viesť k domnienke, že EVOÚ je len orgánom na koordináciu medzi vnútroštátnymi orgánmi. Podľa článku 68 ods. 1 nariadenia 2016/679 bol však EVOÚ zriadený ako orgán Únie a má právnu subjektivitu. Okrem toho je v tejto funkcii oprávnený prijímať na základe článkov 64 a 65 nariadenia 2016/679 stanoviská a v rámci urovnávania sporov medzi vnútroštátnymi dozornými orgánmi aj rozhodnutia, ako je napadnuté rozhodnutie, ktoré sú pre dotknuté dozorné orgány záväzné, pričom tieto stanoviská a rozhodnutia sú teda aktmi orgánu Únie.

37

Treba ďalej uviesť, že napadnuté rozhodnutie má právne účinky voči tretím stranám, keďže ide o „záväzné rozhodnutie“ voči príslušným dozorným orgánom prijaté na základe článku 65 nariadenia 2016/679.

38

Ak však žalobca nepatrí medzi „privilegovaných“ žalobcov uvedených menovite v článku 263 druhom odseku ZFEÚ, podľa ustálenej judikatúry musí tento akt na to, aby mohol byť napadnutý žalobcom, mať záväzné právne účinky, ktoré môžu ovplyvniť záujmy žalobcu tým, že podstatným spôsobom zmenia jeho právne postavenie (rozsudok z 11. novembra 1981, IBM/Komisia, 60/81, EU:C:1981:264, bod 9; pozri tiež rozsudok z 18. novembra 2010, NDSHT/Komisia, C‑322/09 P, EU:C:2010:701, bod 45 a citovanú judikatúru).

39

Súdny dvor tiež rozhodol, že ak takýto žalobca nie je adresátom aktu, ktorý napáda, podmienka, podľa ktorej tento akt musí podstatným spôsobom meniť právne postavenie žalobcu, sa prekrýva s podmienkami stanovenými v článku 263 štvrtom odseku ZFEÚ, t. j. so situáciou, keď napadnutý akt nie je regulačným aktom, ktorý nevyžaduje prijatie vykonávacích opatrení, pričom je nutné, aby bol žalobca týmto aktom priamo a osobne dotknutý (pozri v tomto zmysle rozsudok z 13. októbra 2011, Deutsche Post a Nemecko/Komisia, C‑463/10 P a C‑475/10 P, EU:C:2011:656, bod 38).

40

V prejednávanej veci možno hneď na úvod vzhľadom na povahu napadnutého aktu, ktorý je individuálnym aktom, poznamenať, že WhatsApp je napadnutým rozhodnutím osobne dotknutá, keďže toto rozhodnutie sa týka určitých aspektov návrhu konečného rozhodnutia írskeho dozorného orgánu, ktoré sa jej osobitne týka. Na rozdiel od toho, čo tvrdí EVOÚ v duplike, napadnuté rozhodnutie sa neobmedzuje na uvedenie zásad alebo výkladu určitých ustanovení nariadenia 2016/679, ktoré by sa mohli týkať ktoréhokoľvek prevádzkovateľa. V napadnutom rozhodnutí, ako je uvedené v bode 11 vyššie, sa EVOÚ vyslovuje k tomu, či WhatsApp dodržiava určité zo svojich povinností vyplývajúcich z nariadenia 2016/679, kvalifikuje ako osobné údaje informácie procesu nazvané „Lossy Hashing Procedure“, ktorý je spracovateľskou operáciou vykonávanou výlučne spoločnosťou WhatsApp, a rozhoduje o určitých nápravných opatreniach, ktoré sa majú spoločnosti WhatsApp uložiť, najmä o určitých aspektoch určenia správnych pokút, ktoré sa jej majú uložiť. Napadnuté rozhodnutie je teda špecifické pre WhatsApp, aj keď obsahuje, ako je to veľmi často v prípade individuálnych aktov, vyhlásenie alebo pripomenutie zásad a výkladov všeobecnej povahy.

41

Následne je potrebné preskúmať ďalšiu otázku, či má napadnuté rozhodnutie právne účinky, ktoré podstatným spôsobom menia právne postavenie spoločnosti WhatsApp, a či sa jej priamo dotýka v zmysle článku 263 štvrtého odseku ZFEÚ.

42

Z tohto hľadiska je potrebné konštatovať, ako tentoraz EVOÚ správne zdôrazňuje, že napadnuté rozhodnutie samo osebe nemení právne postavenie spoločnosti WhatsApp. Na rozdiel od konečného rozhodnutia írskeho dozorného orgánu nie je voči nej priamo uplatniteľné a predstavuje voči nej prípravný alebo dočasný akt v konaní, ktoré sa v súlade s ustanoveniami článku 58 ods. 2, článkov 60, 63 a 65 nariadenia 2016/679, citovanými v bodoch 23 až 26, ako aj v bode 31 vyššie, musí ukončiť prijatím konečného rozhodnutia vnútroštátneho dozorného orgánu určeného tomuto podniku (pozri v tomto zmysle a analogicky rozsudok z 24. júna 1986, AKZO Chemie a AKZO Chemie UK/Komisia, 53/85, EU:C:1986:256, bod 19).

43

V tejto súvislosti bolo viackrát konštatované, že v konaniach vedúcich k vypracovaniu aktov v niekoľkých fázach nepredstavujú dočasné opatrenia, ktorých účelom je príprava konečného rozhodnutia, v zásade napadnuteľné akty (pozri v tomto zmysle rozsudky z 11. novembra 1981, IBM/Komisia, 60/81, EU:C:1981:264, bod 10, a z 26. januára 2010, Internationaler Hilfsfonds/Komisia,C‑362/08 P, EU:C:2010:40, bod 52 a citovanú judikatúru).

44

Výnimky zo zásady pripomenutej v bode 43 vyššie sa týkajú prípadov, keď má dočasné opatrenie autonómne právne účinky, v súvislosti s ktorými nemožno zabezpečiť dostatočnú súdnu ochranu v rámci žaloby proti rozhodnutiu o ukončení konania (pozri v tomto zmysle rozsudky z 11. novembra 1981, IBM/Komisia, 60/81, EU:C:1981:264, body 11 a 12, a z 13. októbra 2011, Deutsche Post a Nemecko/Komisia, C‑463/10 P a C‑475/10 P, EU:C:2011:656, body 53 a 54). Takéto výnimky boli napríklad identifikované v rámci konania týkajúceho sa kontroly dodržiavania pravidiel hospodárskej súťaže, ktoré sa uplatňujú na podniky (pozri v tomto zmysle rozsudok z 24. júna 1986, AKZO Chemie a AKZO Chemie UK/Komisia, 53/85, EU:C:1986:256, bod 20), v rámci konania týkajúceho sa kontroly dodržiavania pravidiel štátnej pomoci (pozri v tomto zmysle rozsudok z 9. októbra 2001, Taliansko/Komisia, C‑400/99, EU:C:2001:528, body 55 až 63), a v prípade pomocného alebo predbežného opatrenia, ktoré predchádza konečnému rozhodnutiu, na účely pozastavenia výkonu funkcie úradníka, voči ktorému je vedené disciplinárne konanie (pozri v tomto zmysle rozsudok z 5. mája 1966, Gutmann/Komisia, 18/65 a 35/65, EU:C:1966:24, s. 168).

45

V prejednávanom prípade však má WhatsApp zabezpečenú účinnú súdnu ochranu v súvislosti s napadnutým rozhodnutím prostredníctvom opravného prostriedku, ktorý má k dispozícii pred vnútroštátnym súdom proti konečnému rozhodnutiu írskeho dozorného orgánu a ktorý umožňuje posúdiť platnosť napadnutého rozhodnutia. Ako stanovuje článok 78 ods. 1 nariadenia 2016/679, podľa ktorého musí byť každej osobe v každom členskom štáte zabezpečené právo na účinný prostriedok nápravy proti právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka, WhatsApp napadla na írskom súde konečné rozhodnutie vydané írskym dozorným orgánom a môže v rámci tohto opravného prostriedku uplatňovať protiprávnosť záväzných posúdení obsiahnutých v napadnutom rozhodnutí, ktoré sú reprodukované v tomto konečnom rozhodnutí. V tejto súvislosti treba pripomenúť, že článok 267 ZFEÚ umožňuje, aby sa neplatnosť aktov inštitúcií, orgánov, úradov a agentúr Únie namietala pred vnútroštátnym súdom, pričom stanovuje, že ak sa vnútroštátny súd domnieva, že rozhodnutie v tejto veci je nevyhnutné na to, aby mohol vydať rozsudok, môže alebo musí sa obrátiť na Súdny dvor Európskej únie s prejudiciálnou otázkou týkajúcou sa posúdenia platnosti. Ak Súdny dvor na konci konania o prejudiciálnej otázke zistí, že takýto akt, ak je prípravným aktom pre rozhodnutie vydané orgánom členského štátu, je neplatný, vnútroštátny súd musí vyvodiť dôsledky, pokiaľ ide o zákonnosť tohto rozhodnutia, ktoré je v neprospech dotknutej osoby (pozri v tomto zmysle rozsudky z 30. októbra 1975, Rey Soda a i., 23/75, EU:C:1975:142, bod 51, a z 20. marca 2018, Šroubárna Ždánice/Rada, T‑442/16, neuverejnený, EU:T:2018:159, bod 34).

46

Okrem toho napadnuté rozhodnutie nevyvoláva vo vzťahu k spoločnosti WhatsApp žiadny samostatný právny účinok v porovnaní s konečným rozhodnutím írskeho dozorného orgánu: všetky posúdenia uvedené v prvom rozhodnutí sú prebraté v druhom a prvé rozhodnutie nemá žiadny účinok, ktorý by bol nezávislý od obsahu druhého, na rozdiel od situácie, ktorá viedla k rozsudkom z 5. mája 1966, Gutmann/Komisia (18/65 a 35/65, EU:C:1966:24); z 24. júna 1986, AKZO Chemie a AKZO Chemie UK/Komisia (53/85, EU:C:1986:256), a z 9. októbra 2001, Taliansko/Komisia (C‑400/99, EU:C:2001:528), spomenutých v bode 44 vyššie.

47

Hoci zásady pripomenuté v bodoch 43 a 44 vyššie boli v tejto súvislosti vyvodené v súvislosti s konaniami, v prípade ktorých vydanie konečného rozhodnutia patrí do právomoci inštitúcií alebo iných subjektov Únie, nijaký dôvod neodôvodňuje, aby to bolo inak v prípade, keď ako v prejednávanej veci právna úprava Únie zveruje dohľad nad uplatňovaním osobitných pravidiel Únie osobitným vnútroštátnym orgánom v rámci konaní pozostávajúcich z viacerých fáz a ide o dočasné opatrenie prijaté orgánom Únie v priebehu takéhoto konania, ktoré sa končí rozhodnutím vnútroštátneho orgánu.

48

WhatsApp síce tvrdí, že napadnuté rozhodnutie je konečným stanoviskom EVOÚ, ktorým sa írsky dozorný orgán musel riadiť v konečnom rozhodnutí. Tento argument možno chápať v tom zmysle, že napadnuté rozhodnutie je preto nevyhnutne napadnuteľným aktom a že sa líši od dočasných opatrení vyjadrujúcich len predbežné stanovisko, ktoré samy osebe nie sú napadnuteľnými aktmi.

49

Ako však bolo pripomenuté v bode 38 vyššie, na to, aby bol akt napadnuteľný iným žalobcom než tzv. privilegovanými žalobcami uvedenými v článku 263 druhom odseku ZFEÚ, musí tento akt okrem iného podstatným spôsobom meniť jeho právne postavenie. Skutočnosť, že dočasné opatrenie vyjadruje konečné stanovisko orgánu, ktoré bude musieť byť zohľadnené v konečnom rozhodnutí, ktorým sa predmetné konanie ukončí, ako je to v prejednávanej veci, keďže napadnuté rozhodnutie obsahuje konečnú analýzu určitých aspektov konečného rozhodnutia, však nemusí nevyhnutne znamenať, že toto dočasné opatrenie samo osebe podstatným spôsobom mení právne postavenie žalobcu, ako to bolo preukázané v prejednávanej veci v bodoch 42 až 47 vyššie. Pokiaľ sa táto podmienka, ako bolo pripomenuté v bode 39 vyššie, prekrýva s podmienkami stanovenými v článku 263 štvrtom odseku ZFEÚ, t. j. najmä s požiadavkou, aby bol žalobca týmto aktom priamo dotknutý, možno v prejednávanej veci overiť splnenie tejto podmienky preskúmaním, či je WhatsApp napadnutým rozhodnutím priamo dotknutá.

50

Ako však EVOÚ správne uvádza, napadnuté rozhodnutie sa spoločnosti WhatsApp priamo netýka.

51

Podľa ustálenej judikatúry na to, aby sa akt priamo týkal žalobcu, ktorý nie je jeho adresátom, musí mať tento akt jednak priame účinky na právnu situáciu tohto žalobcu a jednak neponechávať príjemcom povereným jeho uplatnením mieru voľnej úvahy v dôsledku toho, že má výlučne automatickú povahu a vyplýva zo samotnej právnej úpravy Únie bez uplatnenia iných vykonávajúcich ustanovení (rozsudky z 13. mája 1971, International Fruit Company a i./Komisia, 41/70 až 44/70, EU:C:1971:53, body 23 až 28; z 5. mája 1998, Dreyfus/Komisia, C‑386/96 P, EU:C:1998:193, bod 43, a zo 17. septembra 2009, Komisia/Koninklijke FrieslandCampina, C‑519/07 P, EU:C:2009:556, bod 48).

52

Pokiaľ ide o prvú z týchto podmienok, ako už bolo uvedené v bode 42 vyššie, napadnuté rozhodnutie nie je možné uplatniť voči spoločnosti WhatsApp tak, aby jej bez ďalších procesných krokov vyplývali povinnosti, prípadne práva pre iných jednotlivcov. Tým sa líši napríklad od aktov, ktoré boli predmetom rozsudku z 23. apríla 1986, Les Verts/Parlament (294/83, EU:C:1986:166), o ktorých bolo v bode 31 tohto rozsudku uvedené na účely záveru, že sa priamo týkajú združenia žalobcov, že „[predstavujú] komplexnú právnu úpravu, ktorá je sama osebe [dostatočná] a [nevyžaduje] nijaké vykonávacie predpisy“. V prejednávanej veci napadnuté rozhodnutie nepredstavuje záverečnú fázu celého konania stanoveného v článkoch 58, 60 a 65 nariadenia 2016/679.

53

Pokiaľ ide o druhú z týchto podmienok, ktorá sa týka voľnej úvahy orgánu zodpovedného za vykonanie dotknutého aktu, treba uviesť, že hoci napadnuté rozhodnutie bolo pre írsky dozorný orgán záväzné, pokiaľ ide o aspekty, ktorých sa týkalo, ponechávalo mu mieru voľnej úvahy, pokiaľ ide o obsah konečného rozhodnutia.

54

Ako vyplýva z porovnania obsahu napadnutého rozhodnutia uvedeného v bode 11 vyššie, ktoré adresuje pokyny dotknutým dozorným orgánom, a obsahu konečného rozhodnutia adresovaného spoločnosti WhatsApp uvedeného v bode 8 vyššie, obsah napadnutého rozhodnutia je v porovnaní s konečným rozhodnutím čiastočný.

55

Obidve rozhodnutia majú teda zhodné konštatovanie, že WhatsApp nedodržala zásadu transparentnosti stanovenú v článku 5 ods. 1 písm. a) a povinnosti stanovené v článku 13 ods. 1 písm. d) a článku 13 ods. 2 písm. e) nariadenia 2016/679, kvalifikácia informácií z postupu nazvaného „Lossy Hashing Procedure“ uplatneného na údaje týkajúce sa „kontaktov“ osôb, ktoré nie sú používateľmi aplikácie WhatsApp, obsiahnuté v adresároch koncových používateľov aplikácie WhatsApp, ako osobných údajov, konštatovanie, že WhatsApp v dôsledku tejto kvalifikácie porušila povinnosti stanovené v článku 14 nariadenia 2016/679, trojmesačnú lehotu poskytnutú spoločnosti WhatsApp na splnenie požiadaviek stanovených v nariadení 2016/679, niektoré aspekty nápravných opatrení, konkrétne tie, ktoré sa týkajú osobných údajov osôb, ktoré nie sú používateľmi aplikácie WhatsApp, a povinnosti poskytnúť používateľom aplikácie WhatsApp informácie stanovené v článku 13, ods. 2 písm. e) nariadenia 2016/679, výklad kritérií, pokiaľ ide o výšku správnych pokút uložených spoločnosti WhatsApp a zvýšenie sumy týchto pokút z celkovej úrovne 30 až 50 miliónov eur, s ktorou sa počítalo v návrhu rozhodnutia írskeho dozorného orgánu.

56

Pokiaľ ide naopak o nasledujúce aspekty, konečné rozhodnutie je výsledkom posúdenia írskeho dozorného orgánu bez toho, aby EVOÚ v tomto ohľade zaujal stanovisko v napadnutom rozhodnutí: konštatovanie, že WhatsApp porušila povinnosti stanovené v článku 12 ods. 1, článku 13 ods. 1 písm. c), e) a f), ako aj článku 13 ods. 2 písm. a) a c) nariadenia 2016/679, konštatovanie toho, že WhatsApp splnila povinnosti stanovené v článku 13 ods. 1 písm. a) a b), ako aj v článku 13 ods. 2 písm. b) a d) nariadenia 2016/679, postavenia spoločnosti WhatsApp pri spracúvaní osobných údajov osôb, ktoré nie sú používateľmi jej služby zasielania správ, podstata obsahu nápravných opatrení uložených spoločnosti WhatsApp, konkrétne tých, ktorých cieľom je zabezpečiť dodržiavanie povinností stanovených v článku 12 ods. 1, článku 13 ods. 1 písm. c), d), e) a f) a článku 13 ods. 2 písm. a) a c) nariadenia 2016/679, konkrétne určenie výšky správnych pokút uložených spoločnosti WhatsApp, ktorých celková výška predstavuje 225 miliónov eur.

57

Predovšetkým treba konštatovať, že írsky dozorný orgán využil svoju mieru voľnej úvahy, aby vyvodil dôsledky z pokynov uvedených v napadnutom rozhodnutí, pokiaľ ide o klasifikáciu informácií vyplývajúcich z postupu „Lossy Hashing Procedure“ ako osobných údajov a pokiaľ ide o správne pokuty.

58

Pokiaľ ide o prvý aspekt, t. j. otázku spracúvania osobných údajov osôb, ktoré nie sú používateľmi aplikácie WhatsApp, najmä informácií z postupu nazvaného „Lossy Hashing Procedure“, ako to vyplýva z bodu 111 konečného rozhodnutia, ďalším krokom pri analýze, či WhatsApp porušila povinnosti stanovené v článku 14 nariadenia 2016/679 vo vzťahu k týmto osobám, je určenie, či v súvislosti so spracovaním predmetných osobných údajov konala WhatsApp ako prevádzkovateľ alebo len ako sprostredkovateľ konajúci v mene používateľa svojho systému zasielania správ, ktorý si aktivoval funkciu „Kontakty“. Tento krok analýzy, ktorý bol ukončený prijatím prvej hypotézy, je však výsledkom posúdenia írskeho dozorného orgánu bez toho, aby EVOÚ v tejto súvislosti vyjadril stanovisko v napadnutom rozhodnutí.

59

Pokiaľ ide o určenie správnych pokút, hoci napadnuté rozhodnutie obsahuje pokyny, pokiaľ ide o výklad kritérií pre výšku správnych pokút uložených na základe nariadenia 2016/679 a pokiaľ ide o zvýšenie celkovej sumy pokút, ktoré sa majú uložiť spoločnosti WhatsApp, v tomto prípade v porovnaní s tým, čo sa uviedlo v návrhu rozhodnutia írskeho dozorného orgánu, írsky dozorný orgán si ponechal mieru voľnej úvahy pri stanovení konkrétnej výšky pokút, ktoré sa majú uložiť spoločnosti WhatsApp. Okrem toho, ako sa uvádza v bode 8, írsky dozorný orgán pred prijatím konečného rozhodnutia požiadal WhatsApp o pripomienky k novým správnym pokutám, ktoré jej zvažoval uložiť, čo je v súlade so zistením, že tento orgán si v tejto súvislosti ponechal mieru voľnej úvahy. V tomto prípade možno konštatovať, že v konečnom rozhodnutí bola nakoniec prijatá spodná hranica rozsahu nových pokút, ktoré zvažoval írsky dozorný orgán.

60

Konečné rozhodnutie však predstavuje celok, z ktorého nemožno oddeliť časti zodpovedajúce pokynom obsiahnutým v napadnutom rozhodnutí tým, že sa z neho stane konečné „čiastkové rozhodnutie“, pri ktorom dozorný orgán nemal žiadnu mieru voľnej úvahy. Vyšetrovanie a konečné rozhodnutie írskeho dozorného orgánu sa zameralo na dodržiavanie zásady transparentnosti spoločnosťou WhatsApp a všetkých súvisiacich konkrétnych povinností stanovených v nariadení 2016/679. V konečnom rozhodnutí sa teda analyzoval celkový postup spoločnosti WhatsApp v tejto oblasti a ten istý aspekt tohto postupu sa skúmal z hľadiska viacerých relevantných ustanovení nariadenia 2016/679, napríklad z hľadiska článku 5 ods. 1 písm. a), článku 12 ods. 1 a viacerých ustanovení článku 13 nariadenia 2016/679, zatiaľ čo v napadnutom rozhodnutí sa analyzoval len z hľadiska niektorých z týchto ustanovení. Nemalo by zmysel oddeľovať od celkovej analýzy v konečnom rozhodnutí určité konkrétne prvky, keď sa konanie začaté proti spoločnosti WhatsApp z podnetu a na zodpovednosť írskeho dozorného orgánu ako vedúceho dozorného orgánu týkalo všeobecného posúdenia dodržiavania zásady transparentnosti spoločnosťou WhatsApp. Konkrétne, pokiaľ ide o určenie peňažných sankcií, írsky dozorný orgán stanovil výšku každej zo štyroch správnych pokút vzhľadom na všetky zistené porušenia, resp. porušenia článku 5 ods. 1 písm. a), článkov 12, 13 a 14 nariadenia 2016/679.

61

V dôsledku toho nie je splnená ani jedna z dvoch podmienok uvedených v bode 51 vyššie, ktoré by v prípade ich splnenia umožnili konštatovať, že WhatsApp je priamo dotknutá napadnutým rozhodnutím.

62

Z uvedeného vyplýva, že žaloba spoločnosti WhatsApp je neprípustná.

63

Výsledok tejto analýzy je v súlade s tým, čo sa zistilo v iných konaniach, v ktorých je záväzný akt Únie týkajúci sa podnikov určený členskému štátu.

64

V oblasti preskúmania štátnej pomoci sa tak rozhodlo, že ak Komisia prijme rozhodnutie, ktorým vyhlási už poskytnutú pomoc za protiprávnu a nezlučiteľnú s vnútorným trhom a nariadi členskému štátu, ktorý ju poskytol, aby vymáhal vyplatenú pomoc, príjemcovia tejto poskytnutej pomoci sú týmto rozhodnutím priamo a osobne dotknutí (pozri v tomto zmysle rozsudok z 19. októbra 2000, Taliansko a Sardegna Lines/Komisia, C‑15/98 a C‑105/99, EU:C:2000:570, body 33 až 36). V tejto súvislosti bolo konštatované, že od okamihu prijatia rozhodnutia takejto povahy sú títo príjemcovia vystavení vymáhaniu výhod, ktoré získali, a tým je dotknuté ich právne postavenie (rozsudok z 9. júna 2011, ComitatoVenezia vuole vivere a i./Komisia, C‑71/09 P, C‑73/09 P a C‑76/09 P, EU:C:2011:368, bod 56). Je to vysvetlené tým, že v tejto fáze je ukončený kontrolný postup, nevyžaduje sa nijaké ďalšie vecné posúdenie, lebo sumy, ktoré sa majú vrátiť, sú mechanicky určené na základe rozhodnutia Komisie a pomoci, ktorá bola predtým poskytnutá dotknutým podnikom, takže členský štát je povinný sám iniciovať vymáhanie tejto pomoci a vykonať ho, okrem veľmi výnimočných okolností (pozri v tomto zmysle rozsudky zo 7. júna 1988, Komisia/Grécko, 63/87, EU:C:1988:285; z 20. septembra 1990, Komisia/Nemecko, C‑5/89, EU:C:1990:320, body 15 a 16, a z 20. marca 1997, Alcan Deutschland, C‑24/95, EU:C:1997:163), a že tretie osoby môžu na základe rozhodnutia Komisie začať konanie na príslušnom správnom orgáne alebo na vnútroštátnom súde s cieľom dosiahnuť vrátenie predmetnej pomoci bez toho, aby samy museli znášať dôkazné bremeno, že pomoc bola poskytnutá protiprávne (pozri analogicky rozsudok z 12. februára 2008, CELF a Ministre de la Culture et de la Communication, C‑199/06, EU:C:2008:79, body 23 a 39 až 41). V prejednávanej veci sa napadnuté rozhodnutie nenachádza v podobnom štádiu, keďže jeho prijatím nebolo ukončené kontrolné konanie a vedúci dozorný orgán musel ešte potvrdiť alebo vykonať ďalšie posúdenia týkajúce sa dodržiavania ustanovení nariadenia 2016/679 spoločnosťou WhatsApp a uloženej sankcie, a samotné napadnuté rozhodnutie nemohlo slúžiť ako právne záväzný titul na uloženie povinností spoločnosti WhatsApp.

65

Bolo tiež rozhodnuté, že rozhodnutie Komisie určené členskému štátu, v ktorom sa mu oznamuje, že európske financovanie v prospech podniku bolo znížené oproti plánovanému, lebo niektoré výdavky predložené týmto podnikom neboli oprávnené na toto financovanie, sa priamo a osobne dotýka tohto podniku, lebo predmetné rozhodnutie ho zbavilo časti finančnej pomoci, ktorá mu bola pôvodne poskytnutá bez toho, aby členský štát mal v tomto ohľade akúkoľvek právomoc voľnej úvahy (rozsudok zo 4. júna 1992, Infortec/Komisia, C‑157/90, EÚ:C:1992:243, bod 17). V prejednávanej veci však na rozdiel od rozhodnutia Komisie, ktoré viedlo k tomuto posúdeniu, napadnuté rozhodnutie nie je, ako sa uvádza v bode 52 vyššie, konečnou fázou celého dotknutého konania a, ako sa uvádza v bodoch 56 a 57 vyššie, ponecháva írskemu dozornému orgánu mieru voľnej úvahy.

66

Všeobecnejšie, neprípustnosť žaloby spoločnosti WhatsApp podanej na Všeobecnom súde proti napadnutému rozhodnutiu je v súlade so systémom opravných prostriedkov ustanoveným Zmluvou o EÚ a Zmluvou o FEÚ.

67

Ako sa uvádza v článku 2 Zmluvy o EÚ, Únia je okrem iného založená na dodržiavaní zásad právneho štátu. V článku 6 ods. 1 Zmluvy o EÚ sa uvádza, že Únia uznáva práva, slobody a zásady stanovené v Charte základných práv Európskej únie a článok 47 Charty zaručuje právo na účinný prostriedok nápravy a spravodlivý proces. V článku 19 Zmluvy o EÚ sa uvádza, že Súdny dvor Európskej únie zabezpečuje dodržiavanie práva pri výklade a uplatňovaní Zmlúv, a najmä rozhoduje v súlade so Zmluvami o žalobách podaných členským štátom, inštitúciou alebo fyzickou či právnickou osobou a na základe žiadosti vnútroštátnych súdov o prejudiciálnych otázkach o výklade práva Únie alebo platnosti aktov prijatých inštitúciami, ako aj v iných prípadoch stanovených Zmluvami. V tom istom článku sa stanovuje, že členské štáty ustanovia v oblastiach, na ktoré sa vzťahuje právo Únie, prostriedky nápravy potrebné na zabezpečenie účinnej právnej ochrany.

68

Konkrétne Zmluva o fungovaní Európskej únie, najmä jej článok 263 týkajúci sa priamych žalôb na Súdny dvor Európskej únie a článok 267 týkajúci sa prípadov, v ktorých Súdny dvor Európskej únie rozhoduje o prejudiciálnych otázkach, najmä o platnosti a výklade aktov inštitúcií, orgánov, úradov alebo agentúr Únie, vytvorila komplexný systém opravných prostriedkov na účely zabezpečenia preskúmania zákonnosti aktov Únie (pozri v tomto zmysle rozsudok z 25. júla 2002, Unión de Pequeños Agricultores/Rada, C‑50/00 P, EU:C:2002:462, bod 40). Na tomto systéme sa podieľa Súdny dvor Európskej únie, ktorého súčasťou je Všeobecný súd, ako aj vnútroštátne súdy. V rámci tohto systému majú osoby, ktoré z dôvodu podmienok prípustnosti uvedených v článku 263 ZFEÚ nemôžu napadnúť akty Únie priamo na Súdnom dvore Európskej únie, možnosť domáhať sa prostredníctvom námietky nezákonnosti neplatnosti takéhoto aktu na vnútroštátnom súde podaním žaloby proti vnútroštátnym opatreniam vykonávajúcim tento akt. V tejto situácii prislúcha vnútroštátnemu súdu, ak sa domnieva, že rozhodnutie v tejto veci je potrebné na vydanie rozsudku a má pochybnosti o platnosti tohto aktu, aby sa obrátil na Súdny dvor Európskej únie s návrhom na začatie prejudiciálneho konania (pozri v tomto zmysle a analogicky aj rozsudok z 25. júla 2002, Unión de Pequeños Agricultores/Rada, C‑50/00 P, EU:C:2002:462, bod 40).

69

Logika tohto systému, ktorá vysvetľuje najmä výklad podmienok prípustnosti priamych žalôb stanovených v článku 263 ZFEÚ, ktorý bol pripomenutý v priebehu analýzy obsiahnutej v bodoch 35 až 62 vyššie, spočíva v tom, že súdna činnosť Súdneho dvora Európskej únie a činnosť vnútroštátnych súdov by sa mali účinne dopĺňať a že súd Únie a vnútroštátny súd by nemali byť vedené k tomu, aby rozhodovali súčasne v súbežných konaniach o platnosti toho istého aktu Únie, a to buď priamo, alebo v prípade vnútroštátneho súdu, ak spochybňuje platnosť predmetného aktu, v nadväznosti na konanie o prejudiciálnej otázke. Najmä táto logika mohla odôvodniť rozhodnutie, podľa ktorého žalobca, ktorý by nepochybne mohol napadnúť rozhodnutie Únie priamo na Súdnom dvore Európskej únie, nemôže neskôr spochybniť platnosť tohto rozhodnutia, najmä v následnom konaní pred vnútroštátnym súdom (pozri v tomto zmysle rozsudok z 9. marca 1994, TWD Textilwerke Deggendorf, C‑188/92, EU:C:1994:90, bod 17; pozri tiež v tomto zmysle rozsudok z 9. júna 2011, Comitato Venezia vuole vivere a i./Komisia,C‑71/09 P, C‑73/09 P a C‑76/09 P, EU:C:2011:368, bod 58 a citovanú judikatúru). Naopak, podľa ustálenej judikatúry sa protiprávnosti aktu Únie, ktorý nie je možné napadnúť a ktorý slúži ako základ pre iný akt, možno dovolávať v žalobe proti tomuto druhému aktu (rozsudok z 11. novembra 1981, IBM/Komisia, 60/81, EU:C:1981:264, bod 12 a a contrario predchádzajúce odkazy na judikatúru).

70

V tomto prípade by akceptácia prípustnosti žaloby spoločnosti WhatsApp proti napadnutému rozhodnutiu viedla k dvom paralelným a značne sa prekrývajúcim súdnym konaniam, jedným pred Všeobecným súdom proti napadnutému rozhodnutiu a druhým pred írskym súdom proti konečnému rozhodnutiu, ktorého časť dôvodov je založená na napadnutom rozhodnutí. WhatsApp okrem toho na to, aby jej bola poskytnutá lehota na podanie repliky na Všeobecný súd, uviedla paralelnú pracovnú záťaž, ktorá jej vznikla z dôvodu konania pred írskym súdom, na ktorý bola podaná žaloba. Okrem prípadu, že by niektorý zo súdov, na ktoré bola podaná žaloba, prerušil konanie začaté pred ním, čo by mohlo viesť k predĺženiu času potrebného na dosiahnutie konečného riešenia týkajúceho sa zákonnosti konečného rozhodnutia, tieto súbežné konania by mohli viesť aj k situácii, v ktorej by súčasne Súdny dvor v prejudiciálnom konaní a Všeobecný súd prostredníctvom priamej žaloby spoločnosti WhatsApp boli vyzvané, aby sa vyjadrili k platnosti napadnutého rozhodnutia. Vzhľadom na systém opravných prostriedkov uvedený v bodoch 68 a 69 vyššie a so zreteľom na ustanovenia článku 78 nariadenia 2016/679 týkajúce sa práva na účinný súdny prostriedok nápravy proti dozornému orgánu bude prípadne úlohou írskeho súdu, ktorý má v tejto súvislosti výlučnú právomoc, aby preskúmal zákonnosť konečného rozhodnutia proti spoločnosti WhatsApp predložením prejudiciálnej otázky Súdnemu dvoru Európskej únie o platnosti napadnutého rozhodnutia, ak to považuje za potrebné na rozhodnutie sporu medzi spoločnosťou WhatsApp a írskym dozorným orgánom. Írsky súd, na ktorý bola podaná žaloba, by mohol v tomto ohľade rozhodnúť spor, ktorý mu bol predložený, buď tak, že zamietne námietku nezákonnosti, ktorá by mohla byť vznesená proti napadnutému rozhodnutiu, bez toho, aby ju predložil Súdnemu dvoru, ak nemá pochybnosti o platnosti tohto rozhodnutia, alebo naopak, tak, že ju predloží Súdnemu dvoru, ak takéto pochybnosti má, alebo tak, že spor rozhodne nezávisle od otázky platnosti napadnutého rozhodnutia vzhľadom na dôvody, ktoré mu boli predložené. Toto riešenie je v súlade so záujmami riadneho výkonu spravodlivosti, pričom sa zohľadňujú riziká paralelných súdnych konaní uvedené na začiatku tohto bodu.

71

Napokon je potrebné v súvislosti s odôvodnením 143 nariadenia 2016/679 citovaným v bode 33 vyššie, ktoré môže naznačovať, že žaloba, ktorú podala WhatsApp na Všeobecný súd, by bola prípustná, uviesť, že hoci odôvodnenie nariadenia môže pomôcť objasniť výklad, ktorý má mať právna norma, nemôže byť samo osebe takou normou a že preambula aktu Únie nemá záväznú právnu hodnotu (pozri rozsudok z 26. októbra 2017, Marine Harvest/Komisia, T‑704/14, EU:T:2017:753, bod 150 a citovanú judikatúru; pozri v tomto zmysle aj rozsudok z 24. novembra 2005, Deutsches Milch‑Kontor, C‑136/04, EU:C:2005:716, bod 32 a citovanú judikatúru). V tomto prípade však toto odôvodnenie nepredstavuje základ žiadneho ustanovenia nariadenia 2016/679, ako sa uvádza v bodoch 32 a 35 vyššie. Okrem toho vysvetlenie v odôvodnení nariadenia nemôže mať prednosť pred uplatniteľnými pravidlami primárneho práva obsiahnutými v Zmluvách, v tomto prípade pred pravidlami článku 263 ods. 1 a 4 ZFEÚ, ktorých podstata je navyše čiastočne pripomenutá v predmetnom odôvodnení, keď sa v prvej vete uvádza, že „každá fyzická alebo právnická osoba má právo podať na Súdnom dvore žalobu o vyhlásenie rozhodnutí výboru za neplatné, a to za podmienok stanovených v [článku 263 ZFEÚ]“.

72

Zo všetkého uvedeného vyššie vyplýva, že žaloba musí byť zamietnutá ako neprípustná.

73

Podľa článku 142 ods. 2 rokovacieho poriadku má vedľajšie účastníctvo vo vzťahu k hlavnému konaniu vedľajšiu povahu a stane sa bezpredmetným, najmä ak je žaloba vyhlásená za neprípustnú.

74

V dôsledku toho už nie je potrebné rozhodovať o návrhoch na vstup vedľajšieho účastníka do konania ani o návrhoch na ochranu dôvernosti dokumentov v spise, ktoré tieto návrhy vyvolali.

75

Podľa článku 134 ods. 1 rokovacieho poriadku účastník konania, ktorý vo veci nemal úspech, je povinný nahradiť trovy konania, ak to bolo v tomto zmysle navrhnuté. Keďže WhatsApp nemala vo veci úspech, je opodstatnené uložiť jej povinnosť nahradiť trovy konania v súlade s návrhom EVOÚ, s výhradou toho, čo je uvedené v bode 76 nižšie.

76

Okrem toho podľa článku 144 ods. 10 rokovacieho poriadku, ak sa hlavné konanie skončí predtým, ako sa rozhodne o návrhu na vstup vedľajšieho účastníka do konania, tento navrhovateľ a hlavní účastníci konania znášajú svoje vlastné trovy konania spojené s návrhom. V prejednávanom prípade znášajú WhatsApp, EVOÚ, Fínska republika, Komisia, Európsky dozorný úradník pre ochranu údajov a Computer & Communication Industry Association svoje vlastné trovy konania súvisiace s návrhmi na vstup vedľajšieho účastníka do konania.

Z týchto dôvodov

VŠEOBECNÝ SÚD (štvrtá rozšírená komora)

nariadil: