Ordonanța Tribunalului (Camera a patra extinsă) din 7 decembrie 2022.#WhatsApp Ireland Ltd împotriva Comitetului european pentru protecția datelor.#Acțiune în anulare – Protecția datelor cu caracter personal – Proiect de decizie al autorității de supraveghere principale – Soluționarea litigiilor între autoritățile de supraveghere de către Comitetul European pentru Protecția Datelor – Decizie obligatorie – Articolul 60 alineatul (4) și articolul 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 – Act care nu este supus căilor de atac – Act pregătitor – Lipsa afectării directe.#Cauza T-709/21.

Cauza T‑709/21

WhatsApp Ireland Ltd

împotriva

Comitetului European pentru Protecția Datelor

Ordonanța Tribunalului (Camera a patra extinsă) din 7 decembrie 2022

„Acțiune în anulare – Protecția datelor cu caracter personal – Proiect de decizie al autorității de supraveghere principale – Soluționarea litigiilor între autoritățile de supraveghere de către Comitetul European pentru Protecția Datelor – Decizie obligatorie – Articolul 60 alineatul (4) și articolul 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 – Act care nu este supus căilor de atac – Act pregătitor – Lipsa afectării directe”

Acțiune în anulare – Acte supuse căilor de atac – Acte care produc efecte juridice obligatorii – Decizie obligatorie a Comitetului European pentru Protecția Datelor (CEPD) referitoare la un litigiu între autoritățile de supraveghere – Act care nu modifică situația juridică a reclamantului – Inadmisibilitate – Respectarea sistemului căilor de atac jurisdicționale instituit de dreptul primar

[art. 2, art. 6 alin. (1) și art. 19 TUE; art. 263 și 267 TFUE; Carta drepturilor fundamentale a Uniunii Europene, art. 47; Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 58 alin. (2), art. 60, 63, 64 și 65, art. 68 alin. (1) și art. 78]

(a se vedea punctele 35-39, 41, 42, 63, 64 și 66-70)

Acțiune în anulare – Acte supuse căilor de atac – Acte pregătitoare – Excludere – Decizie obligatorie a Comitetului European pentru Protecția Datelor (CEPD) referitoare la un litigiu între autoritățile de supraveghere – Act care nu produce efecte juridice autonome

(art. 263 TFUE; Regulamentul 2016/679 al Parlamentului European și al Consiliului)

(a se vedea punctele 43-47)

Acțiune în anulare – Persoane fizice sau juridice – Acte care le privesc direct și individual – Decizie obligatorie a Comitetului European pentru Protecția Datelor (CEPD) referitoare la un litigiu între autoritățile de supraveghere – Lipsa afectării directe a reclamantului

(art. 263 TFUE; Regulamentul 2016/679 al Parlamentului European și al Consiliului)

(a se vedea punctele 49 și 51-53)

Acte ale instituțiilor – Preambul – Valoare juridică obligatorie – Inexistență – Considerent care nu este susținut de o altă dispoziție a actului în cauză

[Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentul (143)]

(a se vedea punctul 71)

Rezumat

Tribunalul respinge ca inadmisibilă acțiunea formulată de WhatsApp împotriva unei decizii a Comitetului European pentru Protecția Datelor.

Cu toate acestea, validitatea deciziei CEPD poate fi contestată în fața instanței naționale, care este în măsură să se adreseze Curții de Justiție cu titlu preliminar

În urma intrării în vigoare a RGPD ( 1 ), Data Protection Commission (autoritatea de supraveghere în domeniul protecției datelor cu caracter personal ale persoanelor fizice, Irlanda) a primit din partea unor utilizatori și a unor neutilizatori ai mesageriei „WhatsApp” plângeri privind prelucrarea datelor cu caracter personal de către WhatsApp Ireland Ltd (denumită în continuare „WhatsApp”). În acest context, autoritatea irlandeză de supraveghere, în calitatea sa de autoritate de supraveghere principală ( 2 ), a inițiat din oficiu o investigație cu caracter general privind respectarea de către WhatsApp a obligațiilor de transparență și de informare față de particulari.

La finalul acestei investigații, în cadrul mecanismului de cooperare instituit prin RGPD, autoritatea irlandeză de supraveghere a prezentat tuturor celorlalte autorități de supraveghere ale statelor membre, vizate de prelucrarea datelor cu caracter personal în cauză, un proiect de decizie în vederea obținerii avizului lor. Întrucât nu a rezultat niciun consens asupra acestui proiect, autoritatea irlandeză de supraveghere a sesizat Comitetul European pentru Protecția Datelor (CEPD) ( 3 ), astfel cum prevede RGPD. Acesta din urmă a adoptat la 28 iulie 2021 o decizie obligatorie în privința tuturor autorităților de supraveghere vizate (denumită în continuare „decizia atacată”) ( 4 ), în care s‑a pronunțat în privința chestiunilor care, potrivit acestuia, au făcut obiectul unor obiecții relevante și motivate ale anumitor autorități. După ce a primit această decizie, autoritatea irlandeză de supraveghere a adoptat la 20 august 2021 o decizie finală prin care a constatat printre altele că WhatsApp încălcase anumite dispoziții ale RGDP și prin care i‑a impus măsuri corective, în special amenzi administrative în cuantum cumulat de 225 de milioane de euro.

În paralel, WhatsApp a atacat decizia finală în fața unei instanțe irlandeze și a solicitat Tribunalului anularea deciziei atacate.

În această cauză, Tribunalul se pronunță pentru prima dată cu privire la o cerere de anulare a unei decizii obligatorii a CEPD, adoptată în temeiul RGPD. Statuând în cameră extinsă, acesta respinge ca inadmisibilă acțiunea formulată de WhatsApp pentru motivul că nu este îndreptată împotriva unui act atacabil în sensul articolului 263 TFUE și că WhatsApp nu este vizată în mod direct de decizia atacată, în sensul criteriilor privind calitatea procesuală activă definite la același articol. Tribunalul precizează că validitatea deciziei atacate poate fi examinată de instanța națională sesizată cu o acțiune împotriva deciziei finale ulterioare prin care se închide procedura și care este adoptată la nivel național.

Aprecierea Tribunalului

Cu titlu introductiv, Tribunalul amintește că, pentru ca un act să fie atacabil de un alt reclamant decât reclamanții „privilegiați” ( 5 ), acest act trebuie să producă efecte juridice obligatorii de natură a afecta interesele reclamantului, modificând în mod distinct situația sa juridică. Această condiție se suprapune, atunci când reclamantul nu este destinatarul unui act individual pe care îl atacă, precum în speță, cu necesitatea ca el să fie vizat în mod direct și individual de actul respectiv pentru a avea calitate procesuală activă.

În această privință, Tribunalul consideră mai întâi că decizia atacată nu modifică în sine situația juridică a WhatsApp întrucât, contrar deciziei finale a autorității irlandeze de supraveghere, aceasta nu îi este direct opozabilă și constituie un act pregătitor într‑o procedură care trebuie închisă prin adoptarea unei decizii finale a unei autorități naționale de supraveghere a cărei destinatară este această întreprindere.

În plus, decizia atacată nu are în privința WhatsApp niciun efect juridic autonom în raport cu decizia finală emisă de autoritatea irlandeză de supraveghere. Într‑adevăr, toate aprecierile care figurează în prima decizie sunt reluate în a doua, iar prima nu are niciun efect care ar fi independent de conținutul celei de a doua. Astfel, faptul că un act intermediar exprimă poziția definitivă a unei autorități care va trebui să fie reluată în decizia finală de închidere a procedurii în discuție, precum în speță, întrucât decizia atacată conține o analiză definitivă cu privire la anumite aspecte ale deciziei finale, nu înseamnă neapărat că acest act intermediar modifică el însuși în mod distinct situația juridică a reclamantului.

În continuare, Tribunalul arată că WhatsApp nu este vizată direct de decizia atacată. Astfel, pentru a privi în mod direct un reclamant care nu este destinatar al unui act, acest act trebuie, în primul rând, să producă în mod direct efecte juridice asupra situației acestui reclamant și, în al doilea rând, să nu lase nicio putere de apreciere destinatarilor însărcinați cu punerea sa în aplicare, aceasta având un caracter automat și decurgând doar din reglementarea Uniunii, fără aplicarea altor norme intermediare.

În ceea ce privește prima dintre aceste condiții, Tribunalul amintește că decizia atacată nu are caracter opozabil față de WhatsApp care ar permite, fără o etapă suplimentară în procedură, să fie sursă de obligații pentru ea sau, după caz, de drepturi pentru alți particulari. În speță, decizia atacată nu reprezintă etapa finală a procedurii complete prevăzute de RGPD.

În ceea ce privește a doua dintre aceste condiții, Tribunalul constată că decizia atacată, chiar dacă era obligatorie pentru autoritatea irlandeză de supraveghere în ceea ce privește aspectele la care se referea, i‑a lăsat o marjă de apreciere cu privire la conținutul deciziei finale care vizează și alte aspecte, în special în ceea ce privește cuantumul amenzilor administrative.

În sfârșit, Tribunalul subliniază că inadmisibilitatea acțiunii formulate de WhatsApp împotriva deciziei atacate în fața acestuia se înscrie în logica sistemului căilor de atac jurisdicționale instituit de Tratatele UE și FUE. Mai precis, Tratatul FUE, în special prin faptul că prevede posibilitatea de introducere a unei acțiuni directe în anulare în fața Curții de Justiție a Uniunii Europene sau de sesizare a acesteia cu titlu preliminar, a instituit un sistem complet al căilor de atac, de natură să asigure controlul legalității actelor Uniunii, la care participă și instanțele naționale. În acest sistem, persoanele care nu pot, din cauza condițiilor de admisibilitate, să atace direct acte ale Uniunii în fața instanței Uniunii au posibilitatea de a invoca, prin excepția de nelegalitate, lipsa validității unui asemenea act în fața instanței naționale care, la rândul său, este în măsură să se adreseze Curții de Justiție cu titlu preliminar.

Tribunalul precizează că logica acestui sistem, care explică în special interpretarea condițiilor de admisibilitate a acțiunilor directe ( 6 ), este că acțiunea jurisdicțională a Curții de Justiție a Uniunii Europene și cea a instanțelor naționale se completează în mod eficient, iar instanța Uniunii și instanța națională nu sunt determinate să se pronunțe în același timp, cu ocazia unor proceduri paralele, cu privire la validitatea aceluiași act al Uniunii, fie în mod direct sau, în ceea ce privește instanța națională în cazul în care ridică problema validității actului în discuție, în urma unei întrebări preliminare.

( 1 ) Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

( 2 ) În temeiul articolului 56 alineatul (1) din RGPD, care acordă printre altele competența de a acționa autorității de supraveghere a sediului principal al operatorului în cazul prelucrării transfrontaliere efectuate de acesta din urmă.

( 3 ) Potrivit articolului 68 alineatul (3) din RGPD, CEPD este alcătuit din șeful unei autorități de supraveghere din fiecare stat membru și din Autoritatea Europeană pentru Protecția Datelor sau reprezentanții respectivi ai acestora.

( 4 ) Decizia obligatorie 1/2021 a CEPD.

( 5 ) În temeiul articolului 263 al doilea paragraf TFUE, reclamanții numiți „privilegiați” sunt statele membre, Parlamentul European, Consiliul și Comisia Europeană.

( 6 ) Enunțate la articolul 263 TFUE.