–

ansökan, som inkom till tribunalens kansli den 27 juni 2024,

–

Europeiska dataskyddsstyrelsens invändning om rättegångshinder, framställd genom särskild handling som inkom till tribunalens kansli den 18 september 2024,

–

sökandens yttrande över invändningen om rättegångshinder, vilket inkom till tribunalens kansli den 31 oktober 2024,

–

interventionsansökningarna från Europeiska unionens råd, Europaparlamentet och Chamber of Progress, vilka inkom till tribunalens kansli den 19 september, den 1 oktober respektive den 2 oktober 2024,

1

Sökanden, Meta Platforms Ireland Ltd (nedan kallat Meta), har genom sin talan yrkat dels, med stöd av artikel 263 FEUF, att yttrande 8/2024 som Europeiska dataskyddsstyrelsen (nedan kallad dataskyddsstyrelsen) avgav den 17 april 2024 om giltigt samtycke inom ramen för modeller för samtycke eller betalning som används av stora onlineplattformar (nedan kallat det angripna yttrandet) ska ogiltigförklaras, dels, med stöd av artikel 268 FEUF, att sökanden ska ersättas för den skada som sökanden påstår sig ha lidit till följd av detta yttrande.

2

Dataskyddsstyrelsen antog det angripna yttrandet med stöd av artikel 64.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) på begäran av tre tillsynsmyndigheter för skydd av personuppgifter, nämligen Datatilsynet (dataskyddsmyndigheten, Norge), Autoriteit Persoonsgegevens (dataskyddsmyndigheten, Nederländerna) och Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (myndighet med ansvar för dataskydd och informationsfrihet i Hamburg, Tyskland). Nämnda myndigheter ville få klarhet i under vilka omständigheter och förutsättningar kravet på giltigt samtycke i förordning 2016/679 kunde anses uppfyllt med det förfaringssätt som tillämpas av ”stora onlineplattformar”, vilket består i att användarna får välja mellan att lämna sitt samtycke till att personuppgifter behandlas för ändamål rörande beteendestyrd annonsering eller att betala en avgift för att använda tjänsten utan att deras personuppgifter används för dessa ändamål (nedan kallade modeller för samtycke eller betalning).

3

I det angripna yttrandet har dataskyddsstyrelsen förtecknat en rad faktorer som ska bedömas, i varje enskilt fall, för att avgöra huruvida en personuppgiftsansvarig, i den mening som avses i artikel 4 led 7 i förordning 2016/679, ska betraktas som en stor onlineplattform i den mening som avses i yttrandet. Dataskyddsstyrelsen har samtidigt understrukit att förteckningen inte är uttömmande och att faktorerna inte ska tillämpas kumulativt. Bland faktorerna anges huruvida plattformen drar till sig en stor mängd registrerade som användare, företagets ställning på marknaden, antalet berörda personer, mängden uppgifter och behandlingens geografiska omfattning. I det angripna yttrandet klargörs att begreppet onlineplattform kan omfatta, men inte är begränsat till, onlineplattformar enligt definitionen i artikel 3 i) i Europaparlamentets och rådets förordning (EU) 2022/2065 av den 19 oktober 2022 om en inre marknad för digitala tjänster och om ändring av direktiv 2000/31/EG (förordning om digitala tjänster) (EUT L 277, 2022, s. 1), och att stora onlineplattformar också kan vara personuppgiftsansvariga vid ”mycket stora onlineplattformar” enligt definitionen i artikel 33.1 i samma förordning, eller ”grindvakter”, enligt definitionen i artikel 3.1 i Europaparlamentets och rådets förordning (EU) 2022/1925 av den14 september 2022 om öppna och rättvisa marknader inom den digitala sektorn och om ändring av direktiv (EU) 2019/1937 och (EU) 2020/1828 (förordningen om digitala marknader) (EUT L 265, 2022, s. 1).

4

Dataskyddsstyrelsen förklarar i det angripna yttrandet att när de registrerade uppmanas att samtycka till att deras personuppgifter behandlas för att beteendestyrd annonsering ska kunna riktas till dem måste samtycket, för att vara giltigt, inhämtas under iakttagande av de principer och regler som anges i förordning 2016/679. Samtycket ska i synnerhet vara frivilligt, specifikt, informerat och otvetydigt och avse behandling av personuppgifter under iakttagande av principerna om nödvändighet, proportionalitet, ändamålsbegränsning, uppgiftsminimering och korrekthet. Dataskyddsstyrelsen betonar att de behöriga nationella tillsynsmyndigheterna måste bedöma efterlevnaden av dessa villkor i varje enskilt fall.

5

Dataskyddsstyrelsen bedömer att det i de flesta fall inte kommer att vara möjligt för ”stora onlineplattformar”, i den mening som avses i det angripna yttrandet, att iaktta kraven om giltigt samtycke om de endast ställer användarna inför ett binärt val mellan att antingen samtycka till behandling av personuppgifter för ändamålet beteendestyrd annonsering eller betala en avgift för att kunna använda den berörda tjänsten utan att ta emot beteendestyrd annonsering. Dataskyddsstyrelsen anger att de stora onlineplattformarna, när de utarbetar en alternativ version av tjänsten med beteendestyrd annonsering, bör överväga att erbjuda de registrerade ett ”likvärdigt alternativ” som inte innebär någon avgift. Om de beslutar att ta ut en avgift för tillgång till det ”likvärdiga alternativet” bör de också överväga att erbjuda ytterligare ett alternativ, kostnadsfritt, utan beteendestyrd annonsering, till exempel med en form av annonsering som inbegriper behandling av färre (eller inga) personuppgifter, till exempel kontextuell annonsering eller annonsering inriktad på ämnen som användaren själv har valt eller allmän annonsering. Dataskyddsstyrelsen menar att frågan huruvida den personuppgiftsansvarige erbjuder ett ytterligare, kostnadsfritt, alternativ utan beteendestyrd annonsering eller inte i de flesta fall kommer att ha en väsentlig inverkan på bedömningen av samtyckets giltighet, särskilt när det gäller frågan huruvida registrerade kan vägra att lämna sitt samtycke eller ta tillbaka sitt samtycke utan problem.

6

Vad beträffar den sistnämnda aspekten förklarar dataskyddsstyrelsen särskilt att det är viktigt att den avgift som tas ut för betalversionen av en tjänst inte är av sådan storlek att den hindrar registrerade från att göra ett fritt val och vägra att lämna sitt samtycke. Dataskyddsstyrelsen understryker att personuppgifter inte kan betraktas som handelsvaror och att rätten till skydd för personuppgifter är en rättighet som gäller för alla, oavsett betalning eller finansiell status. Problem kan även uppstå om registrerade som inte betalar en avgift för att vägra samtycke och därmed utestängs från tjänsten om de inte samtycker, särskilt i fall där tjänsten har en framträdande roll, är avgörande för deltagande i det sociala livet eller för tillgång till yrkesnätverk.

7

Dataskyddsstyrelsen anger också att det även är nödvändigt att beakta den personuppgiftsansvariges ställning och den makt denne har i förhållande till den registrerade. Om det finns en tydlig obalans mellan den personuppgiftsansvarige och den registrerade i en viss situation kan den registrerade känna sig tvungen att fatta ett beslut som den annars inte skulle ha fattat. Dataskyddsstyrelsen påpekar också att när de registrerade erbjuds en modell för ”samtycke eller betalning”, bör de fritt kunna välja det eller de enskilda ändamål som de godtar, i stället för att behöva godkänna en grupp av behandlingsändamål.

8

Det angripna yttrandet innehåller även överväganden om vilka villkor som ska vara uppfyllda för att det samtycke som de stora onlineplattformarna inhämtar från de registrerade inom ramen för modeller för samtycke eller betalning med koppling till beteendestyrd annonsering ska kunna betraktas som informerat, specifikt och otvetydigt.

9

Meta har yrkat att tribunalen ska

10

Europeiska dataskyddstyrelsen har i sin invändning om rättegångshinder enligt artikel 130.1 i tribunalens rättegångsregler, yrkat att tribunalen ska

11

Meta har i sitt yttrande över invändningen om rättegångshinder yrkat att tribunalen ska

12

Enligt artikel 130.1 och 130.7 i tribunalens rättegångsregler får tribunalen, om svaranden ansöker om det, meddela särskilt uppsatt beslut i fråga om rättegångshinder utan att själva saken prövas. Enligt artikel 126 i tribunalens rättegångsregler får tribunalen, om det är uppenbart att talan helt saknar rättslig grund, när som helst avgöra målet genom särskilt uppsatt beslut som är motiverat, utan vidare handläggning.

13

I det nu aktuella fallet finner tribunalen att handlingarna i målet utgör tillräckligt underlag för avgörandet och beslutar att avgöra målet utan vidare handläggning.

14

Dataskyddsstyrelsen har gjort gällande att yrkandet om ogiltigförklaring inte kan tas upp till prövning dels i den del det angripna yttrandet inte är en rättsakt som kan angripas, dels i den del Meta inte berörs vare sig direkt eller personligen av det angripna yttrandet.

15

Vad beträffar den första grunden för avvisning har dataskyddsstyrelsen anfört att det angripna yttrandet inte har någon rättsverkan på Metas ställning. Dataskyddsstyrelsen har förklarat att yttranden som antas med stöd av artikel 64 i förordning 2016/679 skiljer sig från bindande beslut enligt artikel 65.1 i samma förordning, eftersom de inte har någon egen rättsverkan. I artikel 64.7 i nämnda förordning anges endast att den behöriga tillsynsmyndigheten ska ”ta största möjliga hänsyn” till dessa yttranden. Det är först om det eventuellt senare följs av ett bindande beslut som innehållet i ett sådant yttrande kan bli bindande för en tillsynsmyndighet.

16

Meta har först och främst gjort gällande att unionsrättens självständighet undergrävs om en talan om ogiltigförklaring av ett yttrande som dataskyddsstyrelsen avgett med stöd av artikel 64.2 i förordning 2016/679 inte kan tas upp till prövning. Berörda personer skulle nämligen kunna grunda sig på ett sådant yttrande för att väcka talan vid domstolar i stater som är parter i avtalet om Europeiska ekonomiska samarbetsområdet (EES) men inte medlemmar i unionen, i vilka stater förordning 2016/679 gäller enligt nämnda avtal. Nämnda domstolar kan inte begära ett förhandsavgörande av Europeiska unionens domstol enligt artikel 267 FEUF för att bedöma giltigheten av detta yttrande, vilket riskerar att leda till att unionsrätten tolkas och tillämpas på olika sätt. Lagenligheten av ett sådant yttrande måste alltså kunna prövas direkt inom ramen för en talan om ogiltigförklaring vid EU-domstolen så att rättstillämpningen kan bli enhetlig inom hela EES.

17

I yttrandet över invändningen om rättegångshinder har Meta vidare påstått att dess rätt till ett effektivt domstolsskydd enligt artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna åsidosätts om bolagets talan om ogiltigförklaring avvisas. Dataskyddsstyrelsen har använt sig av ett formellt icke-bindande instrument för att införa regler som särskilt riktar sig till Meta och har härigenom försökt undvika en direkt prövning av EU-domstolen. En talan om ogiltigförklaring gör det därför möjligt att se till att denna rättighet iakttas.

18

Meta har slutligen förklarat att det angripna yttrandet, trots sin form, har bindande rättsverkningar. I praktiken kan dataskyddsstyrelsen nämligen tvinga de nationella tillsynsmyndigheterna att respektera ett yttrande som avgetts med stöd av artikel 64.2 i förordning 2016/679 genom att anta ett bindande beslut för detta ändamål, såsom föreskrivs i artikel 65.1 c i samma förordning. De faktiska omständigheterna visar att dataskyddsstyrelsen avser att påtvinga Data Protection Commission (dataskyddsmyndigheten, Irland) sin ståndpunkt, vilken myndighet är ansvarig myndighet i ärenden som rör Meta. Den redaktionella stilen i det angripna yttrandet tyder i sig på att tillsynsmyndigheternas utrymme för skönsmässig bedömning och de stora onlineplattformarnas utrymme för egen bedömning är ytterst begränsade, för att inte säga obefintliga. I det nu aktuella fallet är situationen en annan än i det mål som avslutades med beslut av den 9 juli 2019, VodafoneZiggo Group/kommissionen (T‑660/18, EU:T:2019:546), vilket beslut har åberopats av Europeiska dataskyddsstyrelsen. Det målet avsåg Europeiska kommissionens yttrande i det europeiska samrådsförfarande som föreskrivs i Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv) (EGT L 108, 2002, s. 33), i dess senaste lydelse enligt Europaparlamentets och rådets direktiv 2009/140/EG av den 25 november 2009 (EUT L 337, 2009, s. 37). Det angripna yttrandet har nämligen avgetts inom ramen för den mekanism för enhetlighet som inrättats genom förordning 2016/679, inte i ett samrådsförfarande. Meta har också anfört att det angripna yttrandet har bindande rättsverkningar med avseende på Meta, eftersom det avviker från EU-domstolens bedömning i förhandsavgörandet i domen av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor) (C‑252/21, EU:C:2023:537), där det i punkt 150 inte utesluts att modeller för samtycke eller betalning kan vara lagenliga mot bakgrund av förordning 2016/679.

19

Enligt fast rättspraxis kan talan om ogiltigförklaring enligt artikel 263 FEUF väckas mot alla rättsakter – oavsett slag eller form – som har antagits av unionens institutioner, organ eller byråer och som är avsedda att ha sådana bindande rättsverkningar som kan påverka sökandens intressen, genom att klart förändra dennes rättsliga ställning (se, för ett liknande resonemang, dom av den 11 november 1981, IBM/kommissionen,60/81, EU:C:1981:264, punkt 9, och dom av den 18 november 2010, NDSHT/kommissionen, C‑322/09 P, EU:C:2010:701, punkt 45 och där angiven rättspraxis).

20

För att avgöra huruvida den angripna rättsakten har bindande rättsverkningar är det nödvändigt att se till rättsaktens innebörd och att bedöma dessa verkningar mot bakgrund av objektiva kriterier, såsom rättsaktens innehåll, i förekommande fall med beaktande av det sammanhang i vilket den antogs och den antagande institutionens befogenheter (se dom av den 20 februari 2018, Belgien/kommissionen, C‑16/16 P, EU:C:2018:79, punkt 32 och där angiven rättspraxis).

21

Vad beträffar innehållet i det angripna yttrandet ger det, såsom framgår av sammanfattningen ovan i punkterna 4–8, en modell för bedömning av de stora onlineplattformarnas modeller för samtycke eller betalning mot bakgrund av bestämmelserna i förordning 2016/679 om giltigt samtycket, varvid erinras om de aspekter som tillsynsmyndigheterna måste kontrollera. Dataskyddsstyrelsen anger flera gånger i yttrandet att bedömningen måste göras i varje enskilt fall.

22

I det angripna yttrandet riktar dataskyddsstyrelsen visserligen in sig på den situationen att en stor onlineplattform inte ger användaren något annat kostnadsfritt alternativ än att samtycka till att personuppgifterna behandlas för ändamål avseende beteendestyrd annonsering, utan endast ett betalalternativ. Dataskyddsstyrelsen förklarar att denna situation i de flesta fall kan leda till att ett sådant samtycke, om det lämnas, blir ogiltigt. Dataskyddsstyrelsen framhåller emellertid i det angripna yttrandet att bedömningen beror på flera faktorer, bland annat huruvida tjänsten i fråga är viktig för de registrerades sociala liv eller yrkesliv och kostnaden för betalningsalternativet. Dataskyddsstyrelsen redogör också för olika möjligheter till kostnadsfria alternativ.

23

Det angripna yttrandet innehåller visserligen, som Meta har påpekat, sådana formuleringar som ”bör” eller ”inte bör” eller ”i de flesta fall”. De avsnitt där dessa formuleringar förekommer tycks emellertid, sett till hela dokumentet, snarare mana till en fördjupad reflektion om vilka lösningar som varje stor onlineplattform skulle kunna erbjuda användarna som alternativ till ett samtycke till beteendestyrd annonsering, i stället för att generellt underkänna modellen för ”samtycke eller betalning” för dessa plattformar. Punkterna 180 och 181 i det angripna yttrandet, vilka hör till slutsatserna i yttrandet och vilka har lyfts fram av Meta, ska till exempel läsas tillsammans med den följande punkten där dataskyddsstyrelsen erinrar om alla faktorer som ska beaktas för att avgöra huruvida ett samtycke som lämnats till en stor onlineplattform i en modell för ”samtycke eller betalning” är giltigt.

24

Innehållet i det angripna yttrandet ger alltså inte stöd för att anse att det är avsett att i sig ha bindande rättsverkningar.

25

Den omständigheten att det angripna yttrandet antogs då flera olika tillsynsmyndigheter granskade stora onlineplattformars modeller för samtycke eller betalning, i synnerhet den modell som Meta valt, kan vidare inte i sig ge stöd för att yttrandet är bindande. Det finns nämligen olika verktyg för att nå fram till en enhetlig tillämpning av förordning 2016/679, som föreskrivs i artikel 63 i förordningen. Några verktyg är bindande, och andra är endast av rådgivande karaktär.

26

Det angripna yttrandet antogs, som framgår av ingressen och av punkterna 7–12, med stöd av artikel 64.2 i förordning 2016/679. I denna bestämmelse föreskrivs följande:

”Varje tillsynsmyndighet, [Europeiska dataskydds]styrelsens ordförande eller kommissionen får i syfte att erhålla ett yttrande begära att styrelsen granskar en fråga med allmän räckvidd eller som har följder i mer än en medlemsstat, i synnerhet om en behörig myndighet inte uppfyller sina skyldigheter i fråga om ömsesidigt bistånd i enlighet med artikel 61 eller i fråga om gemensamma insatser i enlighet med artikel 62.”

27

Det angripna yttrandet har inget samband med de omständigheter som avses i den sista delen av meningen utan rör en ”fråga med allmän räckvidd”, det vill säga, som anges ovan i punkt 2, under vilka omständigheter och förutsättningar de stora onlineplattformarnas modeller för samtycke eller betalning kan anses uppfylla kravet på giltigt samtycke i den mening som avses i förordning 2016/679 (se punkt 3 i det angripna yttrandet).

28

Förordning 2016/679 innehåller tvärtemot vad dataskyddsstyrelsen har anfört, ingen bestämmelse som förpliktar tillsynsmyndigheterna att ”ta största möjliga hänsyn” till ett yttrande enligt artikel 64.2. Skyldigheten att ”ta största möjliga hänsyn” till ett yttrande från dataskyddsstyrelsen, vilken anges i punkt 7 i samma artikel, gäller yttranden som avgetts med stöd av punkt 1 i nämnda artikel, vilken inte rör allmänna frågor utan vissa typer av utkast till specifika beslut av tillsynsmyndigheterna som dessa myndigheter måste översända till dataskyddsstyrelsen innan de antar dessa beslut. Om tillsynsmyndigheten helt eller delvis avser att inte följa det yttrande som på den grunden riktar sig till den, ska den underrätta dataskyddsstyrelsens ordförande om detta, vilket utlöser processen för antagande av ett bindande beslut av dataskyddsstyrelsen, såsom föreskrivs i punkt 8 i samma artikel. En sådan ordning föreskrivs inte i fråga om dataskyddsstyrelsens yttranden i frågor av allmän räckvidd, vilka avges med stöd av artikel 64.2 i förordning 2016/679, som det angripna beslutet. De sistnämnda är alltså yttranden som inte är bindande för någon myndighet.

29

I artikel 65.1 c i samma förordning anges visserligen att Europeiska dataskyddsstyrelsen ska anta ett bindande beslut ”[o]m en behörig tillsynsmyndighet inte begär ett yttrande från styrelsen i de fall som avses i artikel 64.1, eller inte följer ett yttrande som styrelsen avger enligt artikel 64” och att ”varje berörd tillsynsmyndighet eller kommissionen [i detta fall får] översända ärendet till styrelsen”. Vad beträffar yttranden med allmän räckvidd, som i det nu aktuella fallet, om en ansvarig tillsynsmyndighet i ett förfarande som den leder med avseende på ett eller flera specifika fall av gränsöverskridande behandling av personuppgifter, avviker helt eller delvis från ett yttrande från dataskyddsstyrelsen av denna typ genom ett utkast till beslut som den ska upprätta med stöd av artikel 60.3 i förordning 2016/679, är det också möjligt att dataskyddsstyrelsen behöver se över frågan och då fatta ett bindande beslut med stöd av artikel 65.1 a i samma förordning. Ett yttrande som antas med stöd av artikel 64.2 i förordning 2016/679, såsom det angripna yttrandet, är emellertid inte i något av dessa fall en akt som i sig är bindande, eftersom riktlinjerna i detta yttrande mot bakgrund av dataskyddsstyrelsens befogenheter endast kan omvandlas till bindande anvisningar för tillsynsmyndigheterna i ett senare bindande beslut som vid behov kan meddelas av dataskyddsstyrelsen. Den omständigheten, som understrukits av Meta, att ett sådant yttrande är ett av verktygen i mekanismen för enhetlighet enligt förordning 2016/679, föranleder ingen annan slutsats. Denna mekanism, precis som reglerna om samarbete mellan tillsynsmyndigheterna, föreskriver nämligen ett icke-bindande samrådsskede innan dataskyddsstyrelsen vid behov fattar bindande beslut.

30

Av det ovan anförda följer att det angripna yttrandet inte har några bindande rättsverkningar i förhållande till tredje part.

31

Detta gäller i än högre grad för Meta. Även om Meta befinner sig i den situation som berörs i det angripna yttrandet, kan yttrandet i vart fall inte få bindande rättsverkningar för Meta eller ändra bolagets rättsliga ställning på något avgörande sätt, i och med att yttrandet inte innehåller någon helhetsbedömning av Metas fall, en bedömning som det företrädesvis, vad beträffar de offentliga myndigheterna, ankommer på behöriga tillsynsmyndigheter att göra.

32

Om Meta beslutar att på eget initiativ tillämpa den bedömningsmodell som beskrivs i det angripna yttrandet och dra sina slutsatser av detta eller om den irländska tillsynsmyndigheten själv tillämpar denna bedömningsmodell, och med avseende på Meta vidtar korrigerande åtgärder enligt artikel 58.2 i förordning 2016/679, kommer detta på samma sätt att vara något de gör utan att vara rättsligt tvingade att göra det enligt det angripna yttrandet.

33

Den omständighet som understrukits av Meta, att den irländska tillsynsmyndigheten uppgett för Meta att den såg sig förpliktad att beakta det angripna yttrandet mot bakgrund av artikel 57.1 g i förordning 2016/679, enligt vilken alla tillsynsmyndigheter ska samarbeta med övriga tillsynsmyndigheter för att säkerställa en enhetlig tillämpning av nämnda förordning, kan inte ge det angripna yttrandet en tvingande räckvidd som det i sig inte har och som inte heller samarbetsskyldigheten i fråga ger det. En skyldighet att samarbeta för att genomföra en harmoniserad politik inom unionen kan inte ge unionens icke-bindande akter en bindande karaktär, även om nämnda akter måste beaktas (se, för ett liknande resonemang och analogt, dom av den 13 februari 2014, Mediaset, C‑69/13, EU:C:2014:71, punkterna 27–32).

34

Vidare är det i motsats till vad Meta har anfört inte tillräckligt, för att det angripna yttrandet ska kunna betraktas som direkt bindande att dataskyddsstyrelsen i ett senare skede kan komma att fatta ett bindande beslut som riktar sig till de behöriga tillsynsmyndigheter som ska granska Metas modell för ”samtycke eller betalning”, i vilket används hela eller en del av den bedömningsmodell som beskrivs i det angripna yttrandet. Det är för övrigt inte uteslutet att den konkreta granskningen i fråga leder till att de allmänna riktlinjerna i det angripna yttrandet omprövas i det ärendet.

35

För det fall det angripna yttrandet, som Meta har anfört, avviker från EU-domstolens bedömning av modellerna för ”samtycke eller betalning” i sitt förhandsavgörande i domen av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor) (C‑252/21, EU:C:2023:537), innebär det inte heller, mot bakgrund av dess icke-bindande karaktär, någon ändring av Metas rättsliga ställning.

36

Mot bakgrund av allt det ovan anförda måste slutsatsen bli, att det angripna yttrandet inte utgör en rättsakt som kan angripas av Meta.

37

Denna slutsats inkräktar inte på Metas rätt till ett effektivt domstolsskydd enligt artikel 47 i stadgan om de grundläggande rättigheterna, i motsats till vad Meta har anfört. I och med att det angripna yttrandet inte har några bindande rättsverkningar, kan det förhållandet att det inte kan angripas av Meta i en talan om ogiltigförklaring inte utgöra ett ingrepp i Metas rätt till ett effektivt domstolsskydd. Övervägandena i yttrandet skulle endast kunna påverka Meta direkt om de användes i ett beslut av en tillsynsmyndighet eller en domstol i en medlemsstat eller i en annan stat som är part i EES-avtalet. Om så blir fallet kommer dessa beslut att kunna bli eller ha blivit föremål för en domstolsprövning som uppfyller kraven i nämnda artikel.

38

Slutsatsen att det angripna yttrandet inte utgör en rättsakt som kan angripas av Meta påverkas inte heller av Metas resonemang om att innehållet i yttrandet kan bedömas olika av domstolar i stater som är parter i EES-avtalet men inte medlemmar i unionen och av domstolar i unionens medlemsstater, vilka, i motsats till de förstnämnda, kan hänskjuta frågor om yttrandet till EU-domstolen för förhandsavgörande, vilket kan undergräva unionsrättens enhetlighet.

39

Den möjligheten är nämligen en inneboende del i det system som fastställts i EES-avtalet i syfte att säkerställa ett korrekt genomförande av regler som är tillämpliga enligt detta avtal. Systemet vilar på två pelare, övervakning och rättslig prövning. Den första är tillämplig på EU:s medlemsstater och den andra på de övriga stater som är parter i avtalet. Vad beträffar de sistnämnda staterna anges det i artikel 108.2 i nämnda avtal och artikel 34 i avtalet mellan Eftastaterna om upprättande av en övervakningsmyndighet och en domstol (EGT L 344, 1994, s. 1), att en domstol i en medlemsstat i Europeiska frihandelssammanslutningen (Efta) kan begära att Eftadomstolen meddelar ett tolkningsutlåtande om dessa regler, alltså bland annat om tolkningen av förordning 2016/679. Om en sådan begäran framställs till Eftadomstolen i det sammanhanget kan Eftadomstolen således ange i vilken utsträckning den anser att de överväganden som gjorts i det angripna yttrandet är förenliga med nämnda förordning. Den kan också, i förekommande fall, ange att övervägandena inte är bindande. När det gäller unionens medlemsstater kan en domstol i dessa stater begära att EU-domstolen ska bedöma giltigheten av det angripna yttrandet. Även om artikel 263 FEUF utesluter domstolens prövning av rättsakter som saknar bindande rättsverkningar, kan domstolen nämligen, med tillämpning av artikel 267 FEUF, pröva giltigheten av sådana rättsakter när den prövar en begäran om förhandsavgörande (se dom av den 15 juli 2021, FBF, C‑911/19, EU:C:2021:599, punkt 54 och där angiven rättspraxis).

40

Tribunalen understryker att en eventuell skillnad mellan de båda domstolarnas bedömning av en unionsakt efter dessa förfaranden kan uppstå på alla de många områden som regleras av EES-avtalet. Att godta Metas resonemang, att en talan om ogiltigförklaring som väcks mot en icke-bindande EU-rättsakt måste tas upp till prövning för att eventuella bedömningsskillnader ska kunna undvikas, skulle alltså leda till ett omfattande och genomgripande åsidosättande av villkoren för upptagande till sakprövning av en talan om ogiltigförklaring, såsom de fastställts i artikel 263 FEUF.

41

Ett eventuellt ingrepp i unionsrättens enhetlighet, såsom det identifierats av Meta, är följaktligen en potentiell nackdel av det förhållandet att unionsrättens regler enligt ett internationellt avtal är tillämpliga utanför EU-medlemsstaternas territorium, i ett annat rättssystem. Denna potentiella nackdel, som för övrigt beaktas i EES-avtalet, där det i artikel 111 föreskrivs en mekanism för tvistlösning som kan inbegripa EU-domstolen, får inte leda till att unionsbestämmelserna åsidosätts inom unionen.

42

Det följer av allt det ovan anförda att dataskyddsstyrelsens invändning om rättegångshinder ska godtas i den del den riktar sig mot yrkandet om ogiltigförklaring och att yrkandet följaktligen ska avvisas, utan att tribunalen behöver ta ställning till den andra grund för rättegångshinder som anförts av dataskyddsstyrelsen.

43

Dataskyddsstyrelsen har framställt en invändning om rättegångshinder mot skadeståndsyrkandet, på den grunden att det är nära kopplat till yrkandet om ogiltigförklaring, vilket ska avvisas.

44

Tribunalen erinrar om att unionsdomstolarna får bedöma huruvida en god rättskipning, mot bakgrund av omständigheterna i målet, motiverar att talan ogillas i sak, utan att först pröva huruvida talan kan tas upp till sakprövning. I det nu aktuella fallet är det av processekonomiska skäl lämpligt att direkt pröva Metas skadeståndsanspråk i sak, utan att först ta ställning till om de kan tas upp till sakprövning, eftersom de av de skäl som anges nedan är uppenbart ogrundade (se, för ett liknande resonemang och analogt, dom av den 26 februari 2002, rådet/Boehringer, C‑23/00 P, EU:C:2002:118, punkterna 51 och 52.)

45

Meta har fört ett resonemang om att dataskyddsstyrelsen, genom att anta det angripna yttrandet, gjorde sig skyldig till en tillräckligt klar överträdelse av rättsregler som är avsedda att ge bolaget rättigheter. Meta kommer att lida en omedelbart förestående skada som kan förutses med tillräcklig säkerhet. Meta menar att de flesta användare av dess applikationer skulle välja det kostnadsfria alternativ som Meta skulle vara skyldig att erbjuda enligt det angripna yttrandet, utöver valet mellan att samtycka till beteendestyrd annonsering eller att betala för att använda den berörda tjänsten utan att få sådana annonser. Det skulle leda till betydligt mindre reklamintäkter dels från annonsörer som är beredda att betala ett högt pris för att få utrymme för beteendestyrd annonsering men ett lägre pris för andra typer av annonsering, dels från användare med reklamfria abonnemang. Även om det angripna yttrandet endast var tillfälligt och återkallades vid någon tidpunkt, skulle Meta ha kunnat förlora vissa annonsörer slutgiltigt. Det finns också ett direkt orsakssamband mellan det angripna yttrandet och den påstådda skadan, eftersom det angripna yttrandet är den avgörande orsaken till den påstådda skadan. Dataskyddsstyrelsen har nämligen arbetat för att yttrandet ska uppfattas som bindande, och hänsyn måste tas till hotet att innehållet i yttrandet används i bindande beslut av samma organ eller används av domstolar, inte minst domstolar i Eftastater som är parter i EES-avtalet och inte kan ställa frågor till EU-domstolen om dess giltighet. Meta har i detta avseende särskilt upprepat de argument som framförts för att visa att det angripna yttrandet har bindande rättsverkningar (se ovan punkt 18).

46

Meta har med hänvisning till unionens utomobligatoriska skadeståndsansvar yrkat att de åtgärder som anges i yrkandet ovan i punkt 9 andra strecksatsen ska vidtas som gottgörelse för den påstådda skadan.

47

Det följer av fast rättspraxis att unionens utomobligatoriska skadeståndsansvar enligt artikel 340 andra stycket FEUF förutsätter att tre kumulativa villkor är uppfyllda, nämligen att det handlande som läggs unionens institution, organ eller byrå till last är rättsstridigt, att det verkligen föreligger en skada och att det finns ett orsakssamband mellan handlandet och den åberopade skadan (se, för ett liknande resonemang, dom av den 4 juli 2000, Bergaderm och Goupil/kommissionen, C‑352/98 P, EU:C:2000:361, punkterna 39–42, och dom av den 28 oktober 2021, Vialto Consulting/kommissionen, C‑650/19 P, EU:C:2021:879, punkt 138).

48

Villkorens kumulativa karaktär innebär att talan ska ogillas i sin helhet om ett av villkoren inte är uppfyllt, utan att det är nödvändigt att pröva de övriga villkoren för unionens utomobligatoriska skadeståndsansvar (se dom av den 25 februari 2021, Dalli/kommissionen, C‑615/19 P, EU:C:2021:133, punkt 42 och där angiven rättspraxis). EU-domstolen är vidare inte skyldig att pröva om villkoren är uppfyllda i viss bestämd ordning (dom av den 9 september 1999, Lucaccioni/kommissionen, C‑257/98 P, EU:C:1999:402, punkt 13).

49

Tribunalen ska först pröva villkoret om att den påstådda skadan verkligen ska föreligga.

50

Vad beträffar detta villkor ska skadan vara ”faktisk och säker”. En skada som endast är hypotetisk och obestämd ger däremot ingen rätt till skadestånd (se dom av den 26 oktober 2011, Dufour/ECB, T‑436/09, EU:T:2011:634, punkt 192 och där angiven rättspraxis). Villkoret att skadan ska vara säker är emellertid uppfyllt redan när skadan är omedelbart förestående och kan förutses med tillräcklig säkerhet, även om skadans omfattning ännu inte kan fastställas exakt (se dom av den 3 december 2015, CN/parlamentet, T‑343/13, EU:T:2015:926, punkt 118 och där angiven rättspraxis).

51

Det ankommer vidare på sökanden att lägga fram bevis för den påstådda skadan (se, för ett liknande resonemang, dom av den 16 juli 2009, SELEX Sistemi Integrati/kommissionen, C‑481/07 P, ej publicerad, EU:C:2009:461, punkt 36 och där angiven rättspraxis, och dom av den 8 november 2011, Idromacchine m.fl./kommissionen, T‑88/09, EU:T:2011:641, punkt 25 och där angiven rättspraxis).

52

Den skada som Meta i det nu aktuella fallet har gjort gällande består i minskade annons- och abonnemangsintäkter vilket enligt Meta blir följden av det påstådda ”kravet” i det angripna yttrandet, att användarna ska erbjudas ett annat kostnadsfritt alternativ utöver valet mellan att antingen samtycka till beteendestyrd annonsering eller att betala för att få använda den berörda tjänsten utan att få den typen av annonser. Meta har anfört att den irländska dataskyddsmyndigheten ”känner sig förpliktad” att kräva ett sådant alternativ ”i någon form” eller kommer att behöva göra det efter det att dataskyddsstyrelsen har meddelat ett bindande beslut med stöd av artikel 65.1 c i förordning 2016/679.

53

Tribunalen konstaterar att denna skada vilar på oriktig tolkning av det angripna yttrandet vilket, såsom fastställs ovan i punkterna 21 och 30, endast är avsett att tillhandahålla en mall för bedömning av de stora onlineplattformarnas modeller för samtycke eller betalning mot bakgrund av de regler som anges i förordning 2016/679 om giltigt samtycke och inte är avsett att i sig få bindande rättsverkningar. Skadan vilar också på framtida och osäkra händelser. Det är inte mer än en eventuell möjlighet att den irländska dataskyddsmyndigheten på eget initiativ beslutar att tillämpa denna bedömningsmall eller att dataskyddsstyrelsen fattar ett bindande beslut i frågan.

54

Villkoret om att det ska föreligga en faktisk och säker skada är således inte uppfyllt.

55

Villkoret om ett orsakssamband avser dessutom förekomsten av ett tillräckligt direkt orsakssamband mellan det handlande som läggs unionens institutioner, organ eller byråer till last och skadan, på så sätt att det påtalade handlandet är den avgörande orsaken till skadan. Det ankommer på sökanden att visa förekomsten av ett sådant samband (se dom av den 13 december 2018, Europeiska unionen/ASPLA och Armando Álvarez, C‑174/17 P och C‑222/17 P, EU:C:2018:1015, punkt 23 och där angiven rättspraxis). Tribunalen ska med andra ord undersöka huruvida den rättsstridiga handlingen i fråga direkt har gett upphov till den åberopade skadan, för att fastställa huruvida ett direkt orsakssamband föreligger mellan det handlande som läggs unionen till last och den åberopade skadan (dom av den 20 januari 2010, Sungro/rådet och kommissionen, T‑252/07, T‑271/07 och T‑272/07, EU:T:2010:17, punkt 49).

56

I det nu aktuella fallet är det uppenbart att det inte finns något sådant samband mellan det angripna yttrandet och den skada som Meta har gjort gällande. Det följer nämligen av den bedömning som görs ovan i punkterna 20–36 att det angripna yttrandet inte har några bindande rättsverkningar, det vill säga att det inte är bindande. Följaktligen kan det inte vara en tillräckligt direkt orsak till den eventuella inkomstminskning som Meta har påstått kan förväntas. En sådan skada skulle kunna följa direkt av Metas frivilliga handlande eller av eventuella beslut som skulle kunna rikta sig till bolaget, vilka skulle få Meta att erbjuda användarna ett kostnadsfritt alternativ utöver valet mellan att samtycka till beteendestyrd annonsering eller att betala för att använda den berörda tjänsten utan att ta emot den typen av annonser.

57

Samtliga yrkanden avseende unionens utomobligatoriska skadeståndsansvar är alltså uppenbart grundlösa och ska ogillas, utan att det är nödvändigt att pröva villkoret avseende rättstridighet i det handlande som läggs dataskyddsstyrelsen till last.

58

Talan kan följaktligen inte bifallas i någon del.

59

Under dessa omständigheter saknas det anledning att pröva interventionsansökningarna från Europeiska unionens råd, Europaparlamentet och det amerikanska bolaget Chamber of Progress.

60

Enligt artikel 134.1 i rättegångsreglerna ska tappande part förpliktas att ersätta rättegångskostnaderna, om detta har yrkats. Dataskyddsstyrelsen har yrkat att Meta ska förpliktas att ersätta rättegångskostnaderna. Eftersom Meta har tappat målet, ska dataskyddsstyrelsens yrkande bifallas.

61

Om målet, som i det nu aktuella fallet, avgörs slutligt innan interventionsansökan har prövats, ska interventionssökanden och parterna i enlighet med artikel 144.10 i rättegångsreglerna var och en bära sina rättegångskostnader i den mån de hänför sig till interventionsansökan. Interventionsansökningarna har inte delgetts vare sig Meta eller Europeiska dataskyddsstyrelsen och därmed har de inte kunnat ådra sig några kostnader i detta hänseende. Därför ska rådet, parlamentet och Chamber of Progress bära sina egna kostnader för interventionsansökningarna.

Mot denna bakgrund beslutar

TRIBUNALEN (tionde avdelningen)

följande: