Hotărârea Curții (Marea Cameră) din 10 februarie 2026.#WhatsApp Ireland Ltd împotriva Comitetului European pentru Protecția Datelor.#Recurs – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 63 – Mecanismul pentru asigurarea coerenței – Articolul 65 – Soluționarea litigiilor de către Comitetul European pentru Protecția Datelor – Decizie obligatorie – Acțiune în anulare – Articolul 263 primul paragraf TFUE – Act atacabil – Articolul 263 al patrulea paragraf TFUE – Condiția potrivit căreia reclamantul trebuie să fie vizat în mod direct de măsura care face obiectul acțiunii sale.#Cauza C-97/23 P.

Prin recursul formulat, WhatsApp Ireland Ltd (denumită în continuare „WhatsApp”) solicită anularea Ordonanței Tribunalului Uniunii Europene din 7 decembrie 2022, WhatsApp Ireland/Comitetul European pentru Protecția Datelor (T‑709/21, denumită în continuare ordonanța atacată, EU:T:2022:783), prin care acesta a respins ca inadmisibilă acțiunea sa având ca obiect anularea Deciziei obligatorii 1/2021 a Comitetului European pentru Protecția Datelor (denumit în continuare „Comitetul”) din 28 iulie 2021 privind litigiul dintre autoritățile de supraveghere vizate ce rezultă din proiectul de decizie privind WhatsApp elaborat de Data Protection Commission (DPC) (Autoritatea pentru Protecția Datelor, Irlanda) (denumită în continuare „autoritatea irlandeză de supraveghere”) (denumită în continuare „decizia în litigiu”).

Considerentele (10) și (143) ale Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2) (denumit în continuare „RGPD”) enunță: „(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii [Europene], nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. […] […] (143) Orice persoană fizică sau juridică are dreptul de a introduce o acțiune în anulare împotriva deciziilor [Comitetului] în fața Curții de Justiție, în conformitate cu condițiile prevăzute la articolul 263 [TFUE]. În calitate de destinatare ale acestor decizii, autoritățile de supraveghere vizate care doresc să le conteste trebuie să introducă o acțiune împotriva deciziilor respective în termen de două luni de la data la care le‑au fost notificate, în conformitate cu articolul 263 [TFUE]. În cazul în care deciziile [Comitetului] vizează în mod direct și individual un operator, o persoană împuternicită de operator sau reclamantul, aceștia din urmă pot introduce o acțiune în anularea respectivelor decizii în termen de două luni de la publicarea acestora pe site‑ul [Comitetului], în conformitate cu articolul 263 [TFUE]. Fără a aduce atingere acestui drept în temeiul articolului 263 [TFUE], orice persoană fizică sau juridică ar trebui să aibă dreptul la o cale de atac judiciară eficientă în fața instanței naționale competente împotriva unei decizii a unei autorități de supraveghere care produce efecte juridice privind respectiva persoană. O astfel de decizie se referă în special la exercitarea competențelor de investigare, corective și de autorizare de către autoritatea de supraveghere sau la refuzul sau respingerea plângerilor. Cu toate acestea, dreptul la o cale de atac judiciară eficientă nu include măsuri ale autorităților de supraveghere care nu sunt obligatorii din punct de vedere juridic, cum ar fi avizele emise de autoritatea de supraveghere sau consiliere furnizată de aceasta. Acțiunile împotriva unei autorități de supraveghere ar trebui să fie aduse în fața instanțelor statului membru în care este stabilită autoritatea de supraveghere și ar trebui să se desfășoare în conformitate cu dreptul procesual al statului membru respectiv. Respectivele instanțe ar trebui să își exercite competența judiciară deplină, care ar trebui să includă competența de a examina toate aspectele de fapt sau de drept care au relevanță pentru litigiul cu care acestea sunt sesizate. În cazul în care o plângere a fost respinsă sau refuzată de o autoritate de supraveghere, reclamantul poate introduce o acțiune la instanțele din același stat membru. În contextul căilor de atac judiciare privind aplicarea prezentului regulament, instanțele naționale care consideră necesară o decizie privind chestiunea respectivă pentru a le permite să ia o hotărâre pot sau, în cazul prevăzut la articolul 267 [TFUE], trebuie să solicite Curții de Justiție să pronunțe o decizie preliminară privind interpretarea dreptului Uniunii, inclusiv a prezentului regulament. În plus, în cazul în care o decizie a unei autorități de supraveghere care pune în aplicare o decizie a [Comitetului] este contestată în fața unei instanțe naționale și este în discuție validitatea deciziei [Comitetului], respectiva instanță națională nu are competența de a declara nulă decizia [Comitetului], ci trebuie să aducă chestiunea validității în fața Curții de Justiție, în conformitate cu articolul 267 [TFUE], astfel cum a fost interpretat de Curtea de Justiție, ori de câte ori instanța națională consideră decizia nulă. Cu toate acestea, o instanță națională nu poate să transmită o chestiune cu privire la validitatea deciziei [Comitetului] la cererea unei persoane fizice sau juridice care a avut posibilitatea de a introduce o acțiune în anulare împotriva respectivei decizii, în special dacă aceasta era vizată în mod direct și individual de decizia în cauză, dar nu a făcut acest lucru în termenul prevăzut la articolul 263 [TFUE].”

Articolul 5 din RGPD, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede la alineatul (1) litera (a) că datele cu caracter personal sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată. Articolul 5 alineatul (1) litera (c) din acesta prevede că datele respective sunt adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate.

Articolul 6 din RGPD, intitulat „Legalitatea prelucrării”, stabilește condițiile privind legalitatea prelucrării datelor cu caracter personal. Alineatul (1) al articolului 6 menționat prevede: „Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții: (a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice; (b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract; (c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului; (d) prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice; (e) prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul; (f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil. Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.”

Articolul 12 din RGPD cuprinde, la rândul său, dispoziții referitoare la transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate. Alineatul (1) al articolului 12 menționat prevede: „Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare, într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, în special pentru orice informații adresate în mod specific unui copil. Informațiile se furnizează în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic. La solicitarea persoanei vizate, informațiile pot fi furnizate verbal, cu condiția ca identitatea persoanei vizate să fie dovedită prin alte mijloace.”

Articolul 13 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, prevede: „(1) În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare: (a) identitatea și datele de contact ale operatorului și, după caz, ale reprezentantului acestuia; (b) dacă este cazul, datele de contact ale responsabilului cu protecția datelor; (c) scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării; (d) în cazul în care prelucrarea se face în temeiul articolului 6 alineatul (1) litera (f), interesele legitime urmărite de operator sau de o parte terță; (e) destinatarii sau categoriile de destinatari ai datelor cu caracter personal; (f) dacă este cazul, intenția operatorului de a transfera date cu caracter personal către o țară terță sau o organizație internațională și existența sau absența unei decizii a Comisiei [Europene] privind caracterul adecvat sau, în cazul transferurilor menționate la articolul 46 sau 47 sau la articolul 49 alineatul (1) al doilea paragraf, o trimitere la garanțiile adecvate sau corespunzătoare și la mijloacele de a obține o copie a acestora, în cazul în care acestea au fost puse la dispoziție. (2) În plus față de informațiile menționate la alineatul (1), în momentul în care datele cu caracter personal sunt obținute, operatorul furnizează persoanei vizate următoarele informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă: (a) perioada pentru care vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă; (b) existența dreptului de a solicita operatorului, în ceea ce privește datele cu caracter personal referitoare la persoana vizată, accesul la acestea, rectificarea sau ștergerea acestora sau restricționarea prelucrării sau a dreptului de a se opune prelucrării, precum și a dreptului la portabilitatea datelor; (c) atunci când prelucrarea se bazează pe articolul 6 alineatul (1) litera (a) sau pe articolul 9 alineatul (2) litera (a), existența dreptului de a retrage consimțământul în orice moment, fără a afecta legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia; (d) dreptul de a depune o plângere în fața unei autorități de supraveghere; (e) dacă furnizarea de date cu caracter personal reprezintă o obligație legală sau contractuală sau o obligație necesară pentru încheierea unui contract, precum și dacă persoana vizată este obligată să furnizeze aceste date cu caracter personal și care sunt eventualele consecințe ale nerespectării acestei obligații; (f) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată. […]”

Articolul 14 din RGPD se referă la informațiile care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată.

Potrivit articolului 55 alineatul (1) din RGPD, fiecare autoritate de supraveghere are competența să îndeplinească sarcinile și să exercite competențele care îi sunt conferite în conformitate cu RGPD pe teritoriul statului membru de care aparține.

Articolul 56 din RGPD, intitulat „Competența autorității de supraveghere principale”, prevede: „(1) Fără a aduce atingere articolului 55, autoritatea de supraveghere a sediului principal sau a sediului unic al operatorului sau al persoanei împuternicite de operator este competentă să acționeze în calitate de autoritate de supraveghere principală pentru prelucrarea transfrontalieră efectuată de respectivul operator sau respectiva persoană împuternicită în cauză în conformitate cu procedura prevăzută la articolul 60. (2) Prin derogare de la alineatul (1), fiecare autoritate de supraveghere este competentă să trateze o plângere depusă în atenția sa sau o eventuală încălcare a prezentului regulament, în cazul în care obiectul acesteia se referă numai la un sediu aflat în statul său membru sau afectează în mod semnificativ persoane vizate numai în statul său membru. (3) În cazurile menționate la alineatul (2) din prezentul articol, autoritatea de supraveghere informează fără întârziere autoritatea de supraveghere principală cu privire la această chestiune. În termen de trei săptămâni de la momentul informării, autoritatea de supraveghere principală decide dacă tratează sau nu cazul respectiv în conformitate cu procedura prevăzută la articolul 60, luând în considerare dacă există sau nu un sediu al operatorului sau al persoanei împuternicite de operator pe teritoriul statului membru a cărui autoritate de supraveghere a informat‑o. (4) În cazul în care autoritatea de supraveghere principală decide să trateze cazul, se aplică procedura prevăzută la articolul 60. Autoritatea de supraveghere care a informat autoritatea de supraveghere principală poate înainta un proiect de decizie acesteia din urmă. Autoritatea de supraveghere principală ține seama în cea mai mare măsură posibilă de proiectul respectiv atunci când pregătește proiectul de decizie prevăzut la articolul 60 alineatul (3). (5) În cazul în care autoritatea de supraveghere principală decide să nu trateze cazul, autoritatea de supraveghere care a informat autoritatea de supraveghere principală tratează cazul în conformitate cu articolele 61 și 62. (6) Autoritatea de supraveghere principală este singurul interlocutor al operatorului sau al persoanei împuternicite de operator în ceea ce privește prelucrarea transfrontalieră efectuată de respectivul operator sau de respectiva persoană împuternicită de operator.”

Articolul 57 din RGPD, intitulat „Sarcini”, prevede la alineatul (1) litera (h) că fiecare autoritate de supraveghere are sarcina, pe teritoriul statului membru de care aparține, de a desfășura investigații privind aplicarea RGPD.

Competențele de investigare ale acestei autorități sunt enumerate la alineatul (1) al articolului 58 din RGPD, intitulat „Competențe”. Alineatul (2) al acestui articol enumeră măsurile corective pe care le poate lua autoritatea menționată, printre care cele menționate la literele (b), (d) și (i) ale acestuia, care constau în a emite avertismente adresate unui operator sau unei persoane împuternicite de operator în cazul în care operațiunile de prelucrare au încălcat dispozițiile RGPD, în a da dispoziții operatorului sau persoanei împuternicite de operator să asigure conformitatea operațiunilor de prelucrare cu prevederile RGPD, specificând, după caz, modalitatea și termenul‑limită pentru aceasta și, respectiv, în a impune amenzi administrative în conformitate cu articolul 83 din RGPD.

Articolul 60 din RGPD, intitulat „Cooperarea dintre autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate”, prevede: „(1) Autoritatea de supraveghere principală cooperează cu celelalte autorități de supraveghere vizate, în conformitate cu prezentul articol, în încercarea de a ajunge la un consens. Autoritatea de supraveghere principală și autoritățile de supraveghere vizate își comunică reciproc toate informațiile relevante. (2) Autoritatea de supraveghere principală poate solicita în orice moment altor autorități de supraveghere vizate să ofere asistență reciprocă în temeiul articolului 61 și poate desfășura operațiuni comune în temeiul articolului 62, în special în vederea efectuării de investigații sau a monitorizării punerii în aplicare a unei măsuri referitoare la un operator sau o persoană împuternicită de operator, stabilit(ă) în alt stat membru. (3) Autoritatea de supraveghere principală comunică fără întârziere informațiile relevante referitoare la această chestiune celorlalte autorități de supraveghere vizate. Autoritatea de supraveghere principală transmite fără întârziere un proiect de decizie celorlalte autorități de supraveghere vizate, pentru a obține avizul lor, și ține seama în mod corespunzător de opiniile acestora. (4) În cazul în care oricare dintre celelalte autorități de supraveghere vizate exprimă, în termen de patru săptămâni după ce a fost consultată în conformitate cu alineatul (3) din prezentul articol, o obiecție relevantă și motivată la proiectul de decizie, autoritatea de supraveghere principală, în cazul în care nu dă curs obiecției relevante și motivate sau consideră că obiecția nu este relevantă sau motivată, sesizează mecanismul pentru asigurarea coerenței menționat la articolul 63. (5) În cazul în care intenționează să dea curs obiecției relevante și motivate formulate, autoritatea de supraveghere principală transmite celorlalte autorități de supraveghere vizate un proiect revizuit de decizie pentru a obține avizul acestora. Acest proiect revizuit de decizie face obiectul procedurii menționate la alineatul (4) pe parcursul unei perioade de două săptămâni. (6) În cazul în care niciuna dintre celelalte autorități de supraveghere vizate nu a formulat obiecții la proiectul de decizie transmis de autoritatea de supraveghere principală în termenul menționat la alineatele (4) și (5), se consideră că autoritatea de supraveghere principală și autoritățile de supraveghere vizate sunt de acord cu proiectul de decizie respectiv, care devine obligatoriu pentru acestea. (7) Autoritatea de supraveghere principală adoptă decizia și o notifică sediului principal sau sediului unic al operatorului sau al persoanei împuternicite de operator, după caz, și informează celelalte autorități de supraveghere vizate și [Comitetul] cu privire la decizia în cauză, incluzând un rezumat al elementelor și motivelor relevante. Autoritatea de supraveghere la care a fost depusă plângerea informează reclamantul cu privire la decizie. (8) Prin derogare de la alineatul (7), în cazul în care o plângere este refuzată sau respinsă, autoritatea de supraveghere la care s‑a depus plângerea adoptă decizia, o notifică reclamantului și informează operatorul cu privire la acest lucru. (9) În cazul în care autoritatea de supraveghere principală și autoritățile de supraveghere vizate sunt de acord să refuze sau să respingă anumite părți ale unei plângeri și să dea curs altor părți ale plângerii respective, se adoptă o decizie separată pentru fiecare dintre aceste părți. Autoritatea de supraveghere principală adoptă decizia pentru partea care vizează acțiunile referitoare la operator, o notifică sediului principal sau sediului unic al operatorului sau al persoanei împuternicite de operator de pe teritoriul statului membru în cauză și informează reclamantul cu privire la acest lucru, în timp ce autoritatea de supraveghere a reclamantului adoptă decizia pentru partea care vizează refuzarea sau respingerea plângerii respective, o notifică reclamantului și informează operatorul sau persoana împuternicită de operator cu privire la acest lucru. (10) În urma notificării deciziei autorității de supraveghere principale în temeiul alineatelor (7) și (9), operatorul sau persoana împuternicită de operator ia măsurile necesare pentru a se asigura că activitățile de prelucrare sunt în conformitate cu decizia în toate sediile sale din Uniune. Operatorul sau persoana împuternicită de operator notifică măsurile luate în vederea respectării deciziei autorității de supraveghere principale, care informează celelalte autorități de supraveghere vizate. (11) În cazul în care, în circumstanțe excepționale, o autoritate de supraveghere vizată are motive să considere că există o nevoie urgentă de a acționa în vederea protejării intereselor persoanelor vizate, se aplică procedura de urgență prevăzută la articolul 66. (12) Autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate își furnizează reciproc informațiile solicitate în temeiul prezentului articol, pe cale electronică, utilizând un formular standard.”

Potrivit articolului 63 din RGPD, intitulat „Mecanismul pentru asigurarea coerenței”: „Pentru a contribui la aplicarea coerentă a prezentului regulament în întreaga Uniune, autoritățile de supraveghere cooperează între ele și, după caz, cu Comisia prin mecanismul pentru asigurarea coerenței […]”

Articolul 65 din RGPD, intitulat „Soluționarea litigiilor de către [Comitet]”, prevede: „(1) Pentru a asigura aplicarea corectă și coerentă a prezentului regulament în cazuri individuale, [Comitetul] adoptă o decizie obligatorie în următoarele cazuri: (a) atunci când, în unul dintre cazurile menționate la articolul 60 alineatul (4), o autoritate de supraveghere vizată a formulat o obiecție relevantă și motivată la un proiect de decizie a autorității de supraveghere principale și autoritatea de supraveghere principală nu a dat curs obiecției sau a respins o astfel de obiecție ca nefiind relevantă sau motivată. Decizia obligatorie se referă la toate chestiunile vizate de obiecția relevantă și motivată, în special la chestiunea dacă prezentul regulament a fost încălcat; (b) în cazul în care există opinii divergente cu privire la care dintre autoritățile de supraveghere vizate deține competența pentru sediul principal; (c) în cazul în care o autoritate de supraveghere competentă nu solicită avizul [Comitetului] în cazurile menționate la articolul 64 alineatul (1) sau nu ține seama de avizul [Comitetului] emis în temeiul articolului 64. În acest caz, orice autoritate de supraveghere vizată sau Comisia poate comunica chestiunea [Comitetului]. (2) Decizia menționată la alineatul (1) se adoptă în termen de o lună de la prezentarea chestiunii, cu o majoritate de două treimi a membrilor [Comitetului]. Acest termen poate fi prelungit cu o lună, ținându‑se seama de complexitatea chestiunii. Decizia menționată la alineatul (1) se motivează și se adresează autorității de supraveghere principale și tuturor autorităților de supraveghere vizate, fiind obligatorie pentru acestea. (3) În cazul în care [Comitetul] nu a fost în măsură să adopte o decizie în termenele menționate la alineatul (2), acesta își adoptă decizia în termen de două săptămâni de la data expirării celei de a doua luni menționate la alineatul (2), cu o majoritate simplă a membrilor săi. În cazul în care membrii [Comitetului] au opinii divergente în proporții egale, decizia se adoptă prin votul președintelui. (4) Autoritățile de supraveghere vizate nu adoptă o decizie asupra chestiunii prezentate [Comitetului] în conformitate cu alineatul (1) în termenele menționate la alineatele (2) și (3). (5) Președintele [Comitetului] notifică, fără întârzieri nejustificate, decizia menționată la alineatul (1) autorităților de supraveghere vizate. Comitetul informează Comisia cu privire la acest lucru. Decizia se publică pe site‑ul [Comitetului], fără întârziere, după notificarea de către autoritatea de supraveghere a deciziei finale menționate la alineatul (6). (6) Autoritatea de supraveghere principală sau, dacă este cazul, autoritatea de supraveghere la care s‑a depus plângerea își adoptă decizia finală pe baza deciziei menționate la alineatul (1) din prezentul articol, fără întârziere nejustificată și în termen de cel mult o lună de la notificarea de către [Comitet] a deciziei sale. Autoritatea de supraveghere principală sau, dacă este cazul, autoritatea de supraveghere la care s‑a depus plângerea informează [Comitetul] cu privire la data la care decizia sa finală este notificată operatorului sau persoanei împuternicite de operator și, respectiv, persoanei vizate. Decizia finală a autorităților de supraveghere vizate se adoptă în conformitate cu condițiile prevăzute la articolul 60 alineatele (7), (8) și (9). Decizia finală se referă la decizia menționată la alineatul (1) din prezentul articol și precizează faptul că decizia menționată la respectivul alineat va fi publicată pe site‑ul [Comitetului], în conformitate cu alineatul (5). La decizia finală se anexează decizia menționată la alineatul (1) din prezentul articol.”

Articolul 68 din RGPD, intitulat „[Comitetul]”, prevede la alineatul (1) că Comitetul este instituit ca organ al Uniunii și are personalitate juridică.

Articolul 70 din RGPD, intitulat „Sarcinile [Comitetului]”, prevede la alineatul (1) litera (a) că Comitetul asigură aplicarea coerentă a RGPD. În acest scop, Comitetul, din proprie inițiativă sau, după caz, la solicitarea Comisiei, are printre altele sarcina să monitorizeze și să asigure aplicarea corectă a RGPD în cazurile prevăzute la articolele 64 și 65 din acesta, fără a aduce atingere sarcinilor autorităților naționale de supraveghere.

Articolul 78 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere”, prevede: „(1) Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează. (2) Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care autoritatea de supraveghere care este competentă în temeiul articolelor 55 și 56 nu tratează o plângere sau nu informează persoana vizată în termen de trei luni cu privire la progresele sau la soluționarea plângerii depuse în temeiul articolului 77. (3) Acțiunile introduse împotriva unei autorități de supraveghere sunt aduse în fața instanțelor din statul membru în care este stabilită autoritatea de supraveghere. (4) În cazul în care acțiunile sunt introduse împotriva unei decizii a unei autorități de supraveghere care a fost precedată de un aviz sau o decizie a [Comitetului] în cadrul mecanismului pentru asigurarea coerenței, autoritatea de supraveghere transmite curții avizul respectiv sau decizia respectivă.”

Articolul 83 din RGPD stabilește condițiile generale pentru impunerea amenzilor administrative.

Istoricul litigiului figurează la punctele 2-12 din ordonanța atacată și, în scopul prezentei proceduri, poate fi rezumat după cum urmează.

Ca urmare a intrării în vigoare a RGPD, autoritatea irlandeză de supraveghere a primit din partea unor utilizatori și a unor neutilizatori ai serviciului de mesagerie „WhatsApp” plângeri privind prelucrarea datelor cu caracter personal de către WhatsApp. Pe de altă parte, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Comisarul Federal pentru Protecția Datelor și Libertatea Informației, Germania) a solicitat asistența autorității irlandeze de supraveghere cu privire la respectarea de către WhatsApp a obligațiilor de transparență care revin operatorilor de date cu caracter personal în ceea ce privește o eventuală partajare a unor astfel de date cu alte entități ale grupului Facebook, redenumit „Meta” din luna septembrie 2021.

Autoritatea irlandeză de supraveghere a deschis din oficiu în luna decembrie 2018 o investigație cu caracter general privind respectarea de către WhatsApp a obligațiilor de transparență și de informare față de particulari prevăzute la articolele 12-14 din RGPD, fără a aduce atingere măsurilor pe care le‑ar putea lua cu privire la sesizările individuale care o vizau. Autoritatea irlandeză de supraveghere a acționat în această privință ca autoritate de supraveghere principală, în temeiul articolului 56 alineatul (1) din RGPD, întrucât WhatsApp avea în Irlanda sediul principal în calitate de operator pentru operațiunile serviciului de mesagerie „WhatsApp” în Europa, această prelucrare având caracter transfrontalier.

După ce faza de investigație a fost finalizată în luna septembrie 2019 prin prezentarea unui raport final de către investigator, autoritatea irlandeză de supraveghere, în urma unor faze procedurale intermediare în cursul cărora WhatsApp a transmis observații, a prezentat în luna decembrie 2020 tuturor celorlalte autorități de supraveghere vizate de cauză un proiect de decizie în vederea obținerii avizului lor, în conformitate cu cele prevăzute la articolul 60 alineatul (3) din RGPD.

În luna ianuarie 2021, opt dintre aceste alte autorități de supraveghere au formulat obiecții cu privire la anumite aspecte ale acestui proiect de decizie. Autoritatea irlandeză de supraveghere a răspuns în mod grupat la aceste obiecții, propunând soluții de compromis. După ce, în urma răspunsului respectiv, una dintre aceste opt autorități de supraveghere și‑a retras una dintre obiecțiile sale, autoritatea irlandeză de supraveghere a constatat că nu exista un consens referitor la celelalte aspecte în privința cărora s‑au formulat obiecții. Ea a decis să respingă toate obiecțiile primite și să sesizeze Comitetul pentru ca acesta să soluționeze litigiul dintre autoritățile de supraveghere în cauză cu privire la aspectele vizate de obiecțiile amintite, în conformitate cu dispozițiile articolului 60 alineatul (4) și ale articolului 65 alineatul (1) litera (a) din RGPD.

În luna mai 2021, autoritatea irlandeză de supraveghere a primit în scris observațiile WhatsApp cu privire la elementele dezbătute între autoritățile de supraveghere vizate, după ce i‑a transmis toate înscrisurile schimbate în această privință, și a transmis ea însăși Comitetului observațiile menționate pentru a lua cunoștință de ele în cadrul procedurii de soluționare a litigiilor, care a fost inițiată de aceasta în luna iunie 2021.

La 28 iulie 2021, Comitetul a adoptat decizia în litigiu, în temeiul articolului 65 alineatul (2) din RGPD.

După ce autoritatea de supraveghere irlandeză a primit decizia în litigiu și observațiile WhatsApp cu privire la sancțiunile pecuniare pe care intenționa în final să i le aplice în lumina deciziei respective, această autoritate a adoptat, la 20 august 2021, în conformitate cu articolul 65 alineatul (6) din RGPD, o decizie finală adresată WhatsApp (denumită în continuare „decizia finală”).

În decizia finală, autoritatea irlandeză de supraveghere a constatat că WhatsApp a încălcat principiul și obligațiile privind transparența prevăzute la articolul 5 alineatul (1) litera (a), la articolul 12 alineatul (1), la articolul 13 alineatul (1) literele (c)-(f), la articolul 13 alineatul (2) literele (a), (c) și (e), precum și la articolul 14 din RGPD. În schimb, această autoritate a arătat că WhatsApp s‑a conformat obligațiilor prevăzute la articolul 13 alineatul (1) literele (a) și (b), precum și la articolul 13 alineatul (2) literele (b) și (d) din RGPD. Cu titlu de măsuri corective adoptate în temeiul articolului 58 alineatul (2) literele (b), (d) și (i) din RGPD, autoritatea menționată a emis în privința WhatsApp un avertisment, i‑a impus să adopte o serie de acțiuni, enumerate într‑o anexă, pentru a se pune în termen de trei luni în conformitate cu dispozițiile RGPD care au fost încălcate și i‑a aplicat patru amenzi administrative referitoare la încălcările constatate ale articolului 5 alineatul (1) litera (a) și ale articolelor 12-14 din RGPD, în cuantum cumulat de 225 de milioane de euro.

În plus, în decizia finală, autoritatea irlandeză de supraveghere a identificat aspectele pentru care decizia în litigiu îi impunea să revadă aprecierea expusă în proiectul său de decizie. Ea a ales, cu privire la aspectele respective, să reproducă ca atare, în casete evidențiate pe fond gri, motivele reținute de Comitet în decizia în litigiu și să deducă pur și simplu din acestea consecințele referitoare la fiecare aspect într‑un punct concluziv.

În conformitate cu articolul 65 alineatul (6) din RGPD, decizia în litigiu a fost anexată la decizia finală.

În decizia în litigiu, Comitetul a luat poziție cu privire la aspectele care au făcut obiectul unor obiecții relevante și motivate, în sensul articolului 65 alineatul (1) litera (a) din RGPD, și anume: – existența unei încălcări de către WhatsApp a obligațiilor de informare prevăzute la articolul 13 alineatul (1) litera (d) din RGPD referitor la anumite informații care trebuie furnizate persoanelor vizate atunci când de la acestea au fost colectate date personale. O asemenea încălcare nu fusese identificată de autoritatea irlandeză de supraveghere în proiectul său de decizie. Comitetul a apreciat, dimpotrivă, că această dispoziție fusese încălcată de WhatsApp; – calificarea drept date cu caracter personal a elementelor rezultate dintr‑o procedură de compresie cu pierdere, denumită în mod obișnuit „lossy hashing”, și aplicată datelor privind contactele neutilizatorilor de WhatsApp ce figurează în agendele telefoanelor utilizatorilor de WhatsApp. Autoritatea irlandeză de supraveghere nu calificase elementele respective ca atare în proiectul său de decizie. În schimb, Comitetul a apreciat că ele constituiau tot date cu caracter personal. Potrivit Comitetului, acest aspect avea un posibil impact asupra eventualei constatări a unei încălcări de către WhatsApp a articolului 5 alineatul (1) litera (c) și a articolului 6 alineatul (1) din RGPD, precum și un impact asupra amplorii încălcării de către WhatsApp a articolului 14 din RGPD și asupra nivelului sancțiunii pecuniare aplicate în acest scop; – existența unei încălcări de către WhatsApp a principiului transparenței prevăzut la articolul 5 alineatul (1) litera (a) din RGPD, pe care autoritatea irlandeză de supraveghere nu o identificase în proiectul său de decizie. Comitetul a apreciat, dimpotrivă, că acest principiu fusese încălcat de WhatsApp; – constatarea unei încălcări de către WhatsApp a articolului 13 alineatul (2) litera (e) din RGPD privind anumite informații care trebuie furnizate persoanelor vizate atunci când au fost colectate de la acestea date cu caracter personal, constatare pe care autoritatea irlandeză de supraveghere nu a considerat că este în măsură să o efectueze, întrucât organul de investigare nu luase poziție cu privire la această chestiune în cursul investigației, în privința căreia a apreciat doar că poate emite o recomandare. În schimb, Comitetul a apreciat că investigația acoperea toate dispozițiile articolului 13 din RGPD și că trebuia constatată o încălcare a dispoziției citate anterior; – existența unei încălcări de către WhatsApp a articolului 6 alineatul (1) din RGPD referitor la condițiile de legalitate a unei prelucrări de date cu caracter personal, cu privire la care autoritatea irlandeză de supraveghere nu se pronunțase. Comitetul a apreciat că, pentru motive procedurale, nu era astfel posibil să se pronunțe și să constate o asemenea încălcare; – extinderea motivelor încălcării de către WhatsApp a obligațiilor de informare prevăzute la articolul 14 din RGPD, referitor la informațiile care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, ca urmare a analizei referitoare la a doua liniuță a prezentului punct. Comitetul a confirmat impactul pe care trebuia să îl aibă această extindere asupra măsurilor corective comportamentale și a sancțiunii impuse WhatsApp; – existența unei încălcări de către WhatsApp a principiului prevăzut la articolul 5 alineatul (1) litera (c) din RGPD de a colecta doar datele adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate, în privința căreia autoritatea irlandeză de supraveghere nu se pronunțase. Comitetul a apreciat că o asemenea încălcare nu era demonstrată pe baza dosarului, ținând seama în special de sfera de investigare reținută pentru procedura în privința WhatsApp; – termenul, stabilit la șase luni de autoritatea irlandeză de supraveghere, în care, prin intermediul unor măsuri corective, WhatsApp trebuia să se conformeze cerințelor RGPD pe care le încălcase. Comitetul a redus acest termen la trei luni; – în cadrul măsurilor corective, modalitățile de informare a neutilizatorilor de WhatsApp referitor la prelucrarea datelor personale ale acestora de către WhatsApp, Comitetul confirmând aprecierea formulată de autoritatea irlandeză de supraveghere în această privință în proiectul său de decizie; – în cadrul măsurilor corective, menționarea motivelor suplimentare ale încălcării de către WhatsApp a obligațiilor prevăzute la articolul 14 din RGPD, Comitetul reținând că această mențiune era necesară pentru a garanta că WhatsApp adoptă măsurile corective adecvate în această privință; – având în vedere articolul 83 din RGPD, referitor la „condiții generale pentru impunerea amenzilor administrative”, criteriile legate de cuantumul amenzilor care trebuie aplicate WhatsApp. Comitetul a apreciat că autoritatea irlandeză de supraveghere interpretase în mod greșit criteriul legat de cifra de afaceri anuală mondială a întreprinderii în cauză, că interpretase în mod corect noțiunea de „exercițiu financiar anterior”, că interpretase în mod greșit norma potrivit căreia, dacă mai multe dispoziții din RGPD sunt încălcate în cadrul aceleiași operațiuni de prelucrare sau al unor operațiuni de prelucrare conexe, cuantumul total al amenzii administrative nu poate depăși cuantumul stabilit pentru cea mai gravă încălcare, că interpretase în mod corect anumite criterii de stabilire a amenzii menționate la articolul 83 alineatele (1) și (2) din RGPD, și anume dacă încălcările au fost comise intenționat sau din neglijență și gravitatea respectivelor încălcări, dar interpretase în mod greșit alte criterii dintre acestea, precum luarea în considerare a cifrei de afaceri pentru cuantificarea sancțiunii, independent de calculul plafonului acesteia și, mai global, necesitatea ca sancțiunea să fie efectivă, proporțională și disuasivă, precum și – cuantumurile amenzilor, Comitetul apreciind că, având în vedere erorile făcute de autoritatea irlandeză de supraveghere în interpretarea anumitor criterii privind cuantumul amenzii și încălcările suplimentare de către WhatsApp care trebuie constatate, cuantumul amenzilor avute în vedere de această autoritate la un nivel total cuprins între 30 și 50 de milioane de euro trebuia majorat.

WhatsApp a atacat decizia finală în fața unei instanțe irlandeze.

Prin cererea introductivă depusă la grefa Tribunalului la 1 noiembrie 2021, WhatsApp a formulat o acțiune în temeiul articolului 263 TFUE, având ca obiect anularea deciziei în litigiu.

Prin ordonanța atacată, dată în temeiul articolului 129 din regulamentul său de procedură, Tribunalul a respins această acțiune ca inadmisibilă.

După ce a arătat, la punctele 36, 37 și 40 din ordonanța atacată, că decizia în litigiu constituia un act al unui organ al Uniunii destinat să producă efecte juridice față de terți și că WhatsApp era vizată individual de această decizie, Tribunalul a apreciat totuși, la punctul 42 din ordonanța atacată, că decizia menționată era un act pregătitor sau intermediar într‑o procedură care trebuia să se încheie prin adoptarea de către autoritatea națională de supraveghere a unei decizii finale. Or, Tribunalul a considerat, la punctele 43 și 44 din ordonanța atacată, că un astfel de act nu constituia un „act atacabil” decât dacă avea efecte juridice autonome în privința cărora nu putea fi asigurată o protecție jurisdicțională suficientă în cadrul unei acțiuni introduse împotriva deciziei prin care se finalizează procedura în cauză.

În această privință, Tribunalul a apreciat, la punctul 45 din ordonanța atacată, că, în speță, o protecție jurisdicțională efectivă în ceea ce privește decizia în litigiu era asigurată prin intermediul unei căi de atac de care dispune WhatsApp în fața instanței naționale împotriva deciziei finale, această instanță națională fiind abilitată, în temeiul articolului 267 TFUE, să sesizeze Curtea cu o trimitere preliminară în aprecierea validității deciziei în litigiu. Tribunalul a precizat de asemenea, la punctul 46 din ordonanța atacată, că decizia în litigiu nu avea în privința WhatsApp efecte juridice autonome în raport cu decizia finală adoptată de autoritatea irlandeză de supraveghere.

În plus, Tribunalul a considerat, la punctul 49 din ordonanța atacată, că faptul că un astfel de act intermediar exprimă o poziție definitivă a unei autorități, care va trebui să fie reluată în decizia finală de închidere a procedurii în discuție, nu însemna neapărat că acest act modifica el însuși în mod distinct situația juridică a reclamantului.

Pe de altă parte, Tribunalul a arătat, la punctul 50 din ordonanța atacată, că WhatsApp nu era vizată în mod direct de decizia în litigiu. Tribunalul a observat, la punctul 52 din această ordonanță, că decizia menționată nu avea un caracter opozabil care i‑ar permite, fără o etapă suplimentară în procedură, să fie sursă de obligații pentru WhatsApp sau, după caz, de drepturi pentru alți particulari, astfel încât nu producea în mod direct efecte juridice asupra situației WhatsApp. Tribunalul a reținut de asemenea, la punctul 53 din ordonanța menționată, că, deși decizia în litigiu era obligatorie pentru autoritatea irlandeză de supraveghere în ceea ce privește aspectele la care se referea, ea îi lăsa totuși o marjă de apreciere în legătură cu conținutul deciziei finale.

Astfel, la punctele 61 și 62 din aceeași ordonanță, Tribunalul a statuat că nu era îndeplinită niciuna dintre condițiile necesare pentru a se considera că WhatsApp era vizată în mod direct de măsura care făcea obiectul acțiunii sale și că această acțiune era, în consecință, inadmisibilă.

În sfârșit, Tribunalul a statuat, la punctele 66-70 din ordonanța atacată, că rezultatul analizei sale se înscria în logica sistemului căilor de atac jurisdicționale instituit prin tratate. Tribunalul a reținut printre altele că recunoașterea admisibilității acțiunii formulate de WhatsApp împotriva deciziei în litigiu ar prezenta un risc de proceduri jurisdicționale paralele în fața instanței Uniunii și a instanței naționale, aceasta din urmă fiind, în plus, abilitată să sesizeze Curtea cu o trimitere preliminară în aprecierea validității respectivei decizii.

Prin recursul formulat, WhatsApp solicită Curții: – anularea ordonanței atacate; – declararea acțiunii formulate în primă instanță ca admisibilă; – trimiterea cauzei spre rejudecare Tribunalului și – obligarea Comitetului la plata cheltuielilor de judecată aferente procedurii de recurs.

Comitetul, susținut în concluziile sale de Republica Federală Germania, solicită Curții: – respingerea recursului; – obligarea WhatsApp la plata cheltuielilor de judecată și, – în subsidiar, trimiterea cauzei spre rejudecare Tribunalului.

Comitetul susține că acțiunea în primă instanță a fost introdusă tardiv. În această privință, el arată că WhatsApp a luat cunoștință de părțile relevante din decizia în litigiu la o dată anterioară publicării acesteia pe site‑ul său internet și, mai precis, la 13 august 2021. În consecință, independent de data publicării deciziei în litigiu pe site‑ul internet al Comitetului, care, de altfel, nu poate fi asimilată unei publicări în Jurnalul Oficial al Uniunii Europene, termenul de introducere a acțiunii ar fi început să curgă la 13 august 2021 și ar fi expirat la 25 octombrie 2021. Întrucât WhatsApp a introdus acțiunea sa în anulare la 1 noiembrie 2021, aceasta ar fi tardivă.

WhatsApp susține că afirmația Comitetului cu privire la caracterul tardiv al acțiunii sale este eronată. Astfel, atunci când reclamantul nu este destinatarul unui act, data publicării acestui act ar fi cea care ar determina momentul de la care începe să curgă termenul de introducere a acțiunii. Data luării sale la cunoștință nu ar constitui decât un criteriu subsidiar în această privință. Referitor la modul de publicare a actului menționat, acesta ar fi lipsit de pertinență. În speță, publicarea deciziei în litigiu ar fi fost în orice caz efectuată pe site‑ul internet al Comitetului la 2 septembrie 2021, iar acțiunea ar fi fost introdusă la 1 noiembrie 2021, cu respectarea termenului prevăzut la articolul 263 al șaselea paragraf TFUE.

Articolul 263 al șaselea paragraf TFUE prevede că acțiunile prevăzute de acest articol trebuie formulate în termen de două luni, după caz, de la publicarea actului, de la notificarea acestuia reclamantului sau, în lipsă, de la data la care reclamantul a luat cunoștință de actul respectiv.

Reiese cu claritate din modul de redactare a acestei dispoziții, în special din expresiile „după caz” și „în lipsă”, că momentul de la care începe să curgă termenul de introducere a acțiunii este determinat în funcție de situația în cauză și că primele două criterii susceptibile să declanșeze acest termen sunt ierarhizate în raport cu cel de al treilea criteriu. Astfel, termenul de introducere a acțiunii în anulare începe să curgă în principal de la publicarea actului sau de la notificarea acestuia reclamantului. Aceste două criterii principale sunt plasate, în economia dispoziției menționate, pe picior de egalitate, în sensul că niciunul dintre criteriile menționate nu este subsidiar în raport cu celălalt. În schimb, criteriul datei luării la cunoștință a actului atacat ca moment de la care începe să curgă termenul de introducere a acțiunii prezintă un caracter subsidiar în raport cu cel al publicării sau cu cel al notificării acestui act (a se vedea în acest sens Hotărârea din 26 septembrie 2024, WEPA Hygieneprodukte ș.a./Comisia,C‑795/21 P și C‑796/21 P, EU:C:2024:807, punctele 61-63, precum și jurisprudența citată).

În speță, este cert că decizia în litigiu nu a fost notificată WhatsApp, Comitetul nefiind obligat să notifice o astfel de decizie decât autorităților de supraveghere vizate, în temeiul articolului 65 alineatul (5) prima teză din RGPD. Prin urmare, trebuie să se examineze dacă această decizie a făcut obiectul unei „publicări”, în sensul articolului 263 al șaselea paragraf TFUE.

În această privință, este necesar să se precizeze că noțiunea de „publicare” nu vizează exclusiv o publicare în Jurnalul Oficial al Uniunii Europene, ci, dimpotrivă, trebuie interpretată în sens larg. Intră sub incidența acestei noțiuni, printre altele, o publicare pe site‑ul internet al unei instituții, al unui organ, al unui oficiu sau al unei agenții a Uniunii atunci când aceasta este prevăzută de dreptul derivat (a se vedea în acest sens Hotărârea din 26 septembrie 2024, WEPA Hygieneprodukte ș.a./Comisia,C‑795/21 P și C‑796/21 P, EU:C:2024:807, punctul 70, precum și jurisprudența citată).

În speță, întrucât publicarea deciziei în litigiu este prevăzută la articolul 65 alineatul (5) a treia teză din RGPD, trebuie, așadar, să se ia în considerare data la care această decizie a fost publicată pe site‑ul internet al Comitetului, și anume 2 septembrie 2021. Această interpretare este confirmată de considerentul (143) a treia teză al RGPD, din care reiese că termenul de introducere a acțiunii trebuie calculat de la publicarea deciziei în cauză a Comitetului pe site‑ul acestuia din urmă.

Întrucât acțiunea a fost introdusă la 1 noiembrie 2021, termenul prevăzut la articolul 263 al șaselea paragraf TFUE nu a fost încălcat, astfel încât este necesar să se examineze dacă motivele invocate în cadrul prezentului recurs sunt de natură să repună în discuție aprecierea reținută de Tribunal în ordonanța atacată.

WhatsApp susține că Tribunalul a săvârșit o eroare de drept atunci când a considerat că decizia în litigiu nu era un act atacabil.

WhatsApp contestă în special relevanța criteriului reținut de Tribunal la punctul 41 din ordonanța atacată pentru a stabili dacă un act este sau nu atacabil. Tribunalul ar fi considerat astfel în mod eronat că era necesar să se demonstreze că decizia în litigiu produce efecte juridice care modifică în mod distinct situația juridică a WhatsApp și că o privește în mod direct. Or, ar fi fost suficient să se concluzioneze că această decizie era destinată să producă efecte juridice față de unul sau mai mulți terți pentru a constata că ea constituia un act atacabil, ca urmare a caracterului său definitiv. În orice caz, decizia menționată nu ar constitui o simplă măsură intermediară, ci ar exprima poziția definitivă a Comitetului.

Potrivit WhatsApp, Tribunalul a aplicat în mod eronat jurisprudența referitoare la efectele juridice ale actelor intermediare prin aplicarea unui criteriu procedural în temeiul căruia un atare act ar fi atacabil numai dacă o acțiune îndreptată împotriva actului final nu ar permite asigurarea unei protecții jurisdicționale suficiente și prin constatarea lipsei efectelor juridice ale deciziei în litigiu.

În acest context, WhatsApp se referă la Hotărârea din 11 noiembrie 1981, IBM/Comisia (60/81, EU:C:1981:264, punctele 10 și 11), din care ar reieși în special că un act intermediar ar fi atacabil atunci când are un caracter definitiv și este independent de decizia finală adoptată ulterior. Așadar, ar trebui să se examineze substanța acestui act și să se aprecieze efectele sale în raport cu criterii obiective precum conținutul actului menționat, ținându‑se seama, dacă este cazul, de contextul adoptării acestuia din urmă, precum și de competențele instituției care este autoarea acestuia. WhatsApp citează printre altele în această privință Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul (C‑348/20 P, EU:C:2022:548, punctul 63).

În special, un atare act nu ar putea face obiectul unei acțiuni în anulare numai atunci când, pe de o parte, ar avea un caracter provizoriu în ceea ce privește fondul, astfel încât autorul său și‑ar putea modifica poziția în stadiul deciziei finale adoptate ulterior și, pe de altă parte, această decizie finală ar fi adoptată de aceeași instituție sau de același organ al Uniunii. Prin urmare, nu ar fi necesar să se aplice noțiunea de măsură intermediară unei decizii adoptate de o instituție sau de un organ al Uniunii și adresate unei autorități naționale însărcinate cu punerea în aplicare a acestei decizii față de terți.

În speță, potrivit WhatsApp, Tribunalul s‑a limitat să examineze dacă, pe plan procedural, acesteia îi era asigurată o protecție jurisdicțională efectivă prin intermediul acțiunii în fața instanței naționale. Așadar, Tribunalul ar fi considerat în mod eronat, la punctele 48 și 49 din ordonanța atacată, că argumentul WhatsApp potrivit căruia decizia în litigiu exprima poziția definitivă a autorului său era lipsit de relevanță. Procedând astfel, Tribunalul ar fi apreciat deci în mod greșit că decizia în litigiu nu producea efecte juridice și că nu era independentă de decizia finală, și aceasta fără să fi apreciat nici conținutul și contextul deciziei în litigiu, nici întinderea efectelor juridice autonome ale acesteia.

În ceea ce privește conținutul deciziei în litigiu, nu s‑ar contesta că ea era destinată, ca decizie obligatorie adoptată în temeiul articolului 65 din RGPD, să producă efecte juridice față de terți și că reprezenta poziția finală a Comitetului cu privire la aspectele cu care a fost sesizat. Această poziție ar fi fost de natură să modifice în mod distinct situația juridică a WhatsApp, în special ca urmare a constatării potrivit căreia datele supuse unei comprimări cu pierdere erau date cu caracter personal, constatare care ar fi obligatorie pentru autoritatea irlandeză de supraveghere.

În ceea ce privește contextul deciziei în litigiu, din modul de redactare a articolului 65 din RGPD ar rezulta că aceasta constituie o decizie obligatorie. Considerentul (143) al RGPD ar indica faptul că deciziile adoptate de Comitet pot privi în mod direct și individual, printre altele, un operator, ceea ce ar presupune că aceste decizii sunt de natură să producă efecte juridice externe, ce se extind dincolo de autoritățile naționale de supraveghere care sunt destinatarii lor. Acest lucru ar fi confirmat atât de rațiunea de a fi a efectului obligatoriu al deciziilor Comitetului, care ar consta în asigurarea aplicării corecte și coerente a RGPD, cât și de economia procedurii prevăzute la articolul 65 alineatul (1) din RGPD.

În ceea ce privește efectele juridice autonome ale deciziei în litigiu, ce se extind dincolo de cele produse față de destinatarii săi, WhatsApp arată că această decizie produce astfel de efecte în privința sa, afectând în special modul în care ea ar intenționa să se conformeze RGPD în legătură cu datele supuse comprimării cu pierdere, acestea fiind calificate de Comitet drept date cu caracter personal. Decizia în litigiu ar produce de asemenea efecte juridice în privința instanțelor naționale, care nu ar fi abilitate să o modifice sau să o invalideze.

Comitetul contestă această argumentație. El arată că acțiunea în anulare nu este în principiu deschisă decât împotriva unei măsuri prin care o instituție, un organ, un oficiu sau o agenție a Uniunii își stabilește definitiv poziția la finalul unei proceduri administrative. În schimb, nu pot fi calificate drept „acte atacabile” actele intermediare al căror obiectiv este de a pregăti o decizie finală, întrucât asemenea acte nu urmăresc să producă efecte juridice obligatorii autonome în raport cu actul Uniunii care este astfel pregătit, confirmat sau executat. În plus, potrivit Comitetului, un act intermediar nu poate face obiectul unei acțiuni în cazul în care nelegalitatea unui atare act poate fi invocată în susținerea unei acțiuni îndreptate împotriva deciziei finale în elaborarea căreia ar constitui un act de elaborare.

În speță, potrivit acestei părți, decizia în litigiu constituie un act intermediar, care face parte dintr‑o procedură decizională indivizibilă desfășurată de autoritatea irlandeză de supraveghere și care conduce la o decizie finală adoptată de această autoritate. În acest context, deși aprecierile Comitetului sunt obligatorii, ele nu ar fi totuși opozabile în mod direct WhatsApp și nu ar avea, în privința sa, niciun efect juridic autonom în raport cu decizia finală. Așadar, împrejurarea că decizia în litigiu ar cuprinde o poziție definitivă a Comitetului cu privire la anumite aspecte care trebuie să figureze în decizia finală nu ar însemna că decizia în litigiu ar conduce, prin ea însăși, la o modificare distinctă a situației juridice a WhatsApp. Decizia în litigiu și decizia finală ar fi fost astfel adoptate în cadrul unei proceduri administrative unificate, compusă din etape interdependente la nivel național și european, având același obiect, iar nu în urma a două proceduri independente care ar privi chestiuni distincte.

În acest sens, Comitetul precizează că procedura de soluționare a litigiilor urmărește să asigure coerența punerii în aplicare a RGPD de către autoritățile naționale. În speță, decizia în litigiu nu ar crea noi obligații legale pentru WhatsApp. Obligațiile acesteia din urmă ar fi definite chiar prin RGPD, iar nu prin decizia în litigiu, și ar fi aplicate de autoritatea de supraveghere irlandeză, iar nu de Comitet. În plus, obligațiile menționate ar fi fost aplicabile WhatsApp înainte ca încălcările în cauză să fie constatate.

În ceea ce privește presupusele efecte juridice externe ale deciziei în litigiu, Comitetul afirmă că interpretările sale nu au efect obligatoriu decât între părți, și anume între autoritățile de supraveghere în cauză. Decizia în litigiu, pe lângă faptul că nu ar avea efect juridic direct asupra WhatsApp, ar privi puncte de aplicare circumscrise ale RGPD, care ar avea vocația de a fi incluse și dezvoltate în decizia finală. Deși interpretările RGPD reținute de Comitet pot avea astfel un anumit grad de autoritate în cauze ulterioare, care ar privi chestiuni juridice similare, ele nu ar fi totuși obligatorii pentru instanțele naționale, care ar trebui, în caz de îndoială, să sesizeze Curtea cu titlu preliminar.

Republica Federală Germania, care intervine în susținerea concluziilor Comitetului, arată că mecanismul pentru asigurarea coerenței prevăzut de RGPD, inclusiv procedura de soluționare a litigiilor, este pur intern și are drept unic scop ajungerea la un arbitraj în cazul unor opinii divergente între autoritățile de supraveghere. În special, din a treia teză a articolului 65 alineatul (2) din RGPD ar reieși că o măsură adoptată de Comitet în acest cadru ar produce un efect obligatoriu din punct de vedere juridic numai față de autoritățile naționale de supraveghere. Doar decizia finală ar fi obligatorie pentru operatorul sau persoana împuternicită de operator în cauză.

Primul aspect al primului motiv de recurs privește problema dacă Tribunalul a săvârșit o eroare de drept atunci când a statuat, la punctele 41-49 din ordonanța atacată, că decizia în litigiu nu constituia un act atacabil în temeiul articolului 263 primul paragraf TFUE.

În temeiul acestei dispoziții, Curtea controlează printre altele „legalitatea actelor organelor, oficiilor sau agențiilor Uniunii destinate să producă efecte juridice față de terți”.

Potrivit unei jurisprudențe constante, acțiunea în anulare instituită la articolul 263 TFUE este deschisă în privința tuturor dispozițiilor adoptate de instituțiile, organele, oficiile sau agențiile Uniunii, indiferent de forma acestora, care urmăresc să producă efecte juridice obligatorii (a se vedea în acest sens Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 62, precum și jurisprudența citată).

Pentru a stabili dacă un act produce asemenea efecte și dacă, prin urmare, este susceptibil să facă obiectul unei acțiuni în anulare în temeiul articolului 263 TFUE, este necesar să se aibă în vedere esența acestui act și să se evalueze aceste efecte din perspectiva unor criterii obiective, cum este conținutul actului menționat, ținându‑se seama, dacă este cazul, de contextul adoptării acestuia din urmă, precum și de competențele instituției, organului, oficiului sau agenției care este autoarea sa (a se vedea în acest sens Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 63, precum și jurisprudența citată).

În această privință, după cum a arătat doamna avocată generală la punctele 79 și 121 din concluzii, în lumina articolului 263 primul paragraf TFUE, terțul în privința căruia actul vizat produce efecte juridice nu trebuie să fie în mod necesar reclamantul. Astfel, are calitatea de terț orice persoană fizică sau juridică distinctă de autorul acestui act. Prin urmare, pentru a stabili dacă actul menționat produce asemenea efecte, nu este necesar să se verifice dacă acestea din urmă sunt de natură să afecteze situația juridică a reclamantului, respectiva verificare fiind relevantă numai în cadrul examinării respectării condițiilor prevăzute la articolul 263 al patrulea paragraf TFUE, potrivit cărora o acțiune în anularea unui act este deschisă oricărei persoane vizate în mod direct și individual de acesta, atunci când se aplică această din urmă dispoziție (a se vedea în acest sens Hotărârea din 13 februarie 2025, Swissgrid/Comisia, C‑121/23 P, EU:C:2025:83, punctul 46). Caracterul atacabil al unui act trebuie apreciat deci în mod obiectiv, în funcție de conținutul acestuia, iar nu în funcție de reclamant.

Astfel fiind, trebuie amintit că, în prezența unor acte a căror elaborare se efectuează în mai multe etape procedurale, nu constituie în principiu un act atacabil decât măsura care stabilește definitiv poziția instituției, a organului, a oficiului sau a agenției competente a Uniunii, cu excluderea măsurilor intermediare al căror obiectiv este pregătirea acestei măsuri definitive și care nu produc efecte juridice autonome față de terți. Constituie în special asemenea măsuri intermediare cele care exprimă o opinie provizorie a acestei instituții, a acestui organ, a acestui oficiu sau a acestei agenții a Uniunii (a se vedea în acest sens Hotărârea din 11 noiembrie 1981, IBM/Comisia, 60/81, EU:C:1981:264, punctul 10; Hotărârea din 22 septembrie 2022, IMG/Comisia, C‑619/20 P și C‑620/20 P, EU:C:2022:722, punctul 103, precum și Hotărârea din 18 iunie 2024, Comisia/SRB, C‑551/22 P, EU:C:2024:520, punctul 92).

Potrivit jurisprudenței, o măsură intermediară nu poate face obiectul unei acțiuni în anulare în special dacă se stabilește că nelegalitatea acesteia va putea fi invocată în susținerea unei acțiuni îndreptate împotriva deciziei finale în elaborarea căreia constituie o etapă pregătitoare. În aceste condiții, acțiunea introdusă împotriva deciziei prin care se finalizează procedura va asigura o protecție jurisdicțională suficientă (a se vedea în acest sens Hotărârea din 11 noiembrie 1981, IBM/Comisia, 60/81, EU:C:1981:264, punctul 12, precum și Hotărârea din 15 martie 2017, Stichting Woonlinie ș.a./Comisia, C‑414/15 P, EU:C:2017:215, punctul 46, precum și jurisprudența citată).

În speță, în ceea ce privește conținutul actului vizat și competențele organului în cauză, reiese din însuși modul de redactare a articolului 65 alineatul (1) litera (a) și alineatul (2) din RGPD și a articolului 68 alineatul (1) din RGPD că decizia în litigiu este un act care emană de la un organ al Uniunii și care prezintă un caracter obligatoriu față de terți. Astfel, actul respectiv este obligatoriu pentru autoritatea de supraveghere principală și pentru toate autoritățile de supraveghere vizate, care sunt destinatarii acestuia și care sunt terți în raport cu Comitetul. În conformitate cu articolul 65 alineatul (6) din RGPD, autoritatea de supraveghere principală trebuie să adopte decizia finală pe baza deciziei Comitetului. Este necesar de asemenea ca respectiva decizie finală să facă trimitere la decizia Comitetului, care trebuie anexată la aceasta.

În plus, în ceea ce privește contextul adoptării deciziei în litigiu, este cert că ea a fost elaborată în cadrul unui proces care implică mai multe etape procedurale, în sensul jurisprudenței menționate la punctul 69 din prezenta hotărâre, în măsura în care ea precedă adoptarea unui alt act de către autoritatea irlandeză de supraveghere. Totuși, această decizie stabilește în mod definitiv, în sensul jurisprudenței amintite, poziția organului Uniunii competent, și anume Comitetul, și epuizează toate aspectele pe care acest organ este chemat să le soluționeze. Astfel, trebuie să se constate că o asemenea decizie, adoptată în temeiul articolului 65 alineatul (1) litera (a) din RGPD, privește toate aspectele care fac obiectul unei obiecții relevante și motivate din partea autorităților de supraveghere vizate, în sensul articolului 60 alineatul (4) din RGPD, în special cea privind problema dacă a existat o încălcare a RGPD.

Rezultă din ceea ce precedă că, deși nu constituie ultima etapă a procedurii de control al coerenței prevăzute la articolele 58, 60 și 65 din RGPD, decizia în litigiu nu poate fi calificată drept măsură intermediară care nu poate face obiectul unei acțiuni, în sensul jurisprudenței citate la punctul 69 din prezenta hotărâre, contrar celor statuate de Tribunal la punctul 42 din ordonanța atacată. În consecință, jurisprudența amintită la punctul 70 din prezenta hotărâre este lipsită de relevanță în speță.

În acest context, din moment ce decizia Comitetului produce efecte juridice obligatorii față de terți, nu are importanță împrejurarea că domeniul de aplicare al deciziei finale a autorității naționale de supraveghere include aspecte care nu ar ține de sesizarea sau de competența Comitetului.

Pentru aceleași motive, împrejurarea, reținută de Tribunal la punctul 42 din ordonanța atacată, că, spre deosebire de decizia finală a autorității irlandeze de supraveghere, decizia în litigiu nu este opozabilă altor entități în afara destinatarilor săi este de asemenea lipsită de relevanță pentru calificarea acestei decizii drept act atacabil, în temeiul articolului 263 primul paragraf TFUE. O asemenea împrejurare, care se referă la poziția juridică a recurentei în privința deciziei în litigiu, nu se raportează nici la substanța deciziei în litigiu, nici la efectele sale juridice obligatorii din perspectiva unor criterii obiective.

Din ansamblul acestor considerații rezultă că decizia în litigiu constituie un act al unui organ al Uniunii destinat să producă efecte juridice față de terți și care exprimă poziția definitivă a respectivului organ cu privire la aspectele care trebuie soluționate de acesta, după cum Tribunalul însuși a constatat de altfel la punctele 36, 37 și 49 din ordonanța atacată. Așadar, această decizie constituie, în lumina modului de redactare a articolului 263 primul paragraf TFUE și a jurisprudenței citate la punctele 66-69 din prezenta hotărâre, un act atacabil, fără a fi necesar să se aprecieze, în acest stadiu, dacă decizia menționată a avut drept consecință modificarea în mod distinct a situației juridice a WhatsApp.

În acest sens, este necesar să se constate că Tribunalul a săvârșit o eroare de drept, pe de o parte, la punctul 38 din ordonanța atacată, prin efectuarea unei confuzii între cerințele care rezultă din primul și, respectiv, din al patrulea paragraf al articolului 263 TFUE și, pe de altă parte, la punctul 42 din ordonanța atacată, prin formularea unui criteriu eronat, referitor la lipsa opozabilității directe a actului în cauză față de WhatsApp, și prin calificarea deciziei în litigiu drept măsură intermediară lipsită de efecte juridice autonome.

Prin urmare, primul aspect al primului motiv de recurs trebuie admis.

WhatsApp susține că Tribunalul a săvârșit o eroare de drept atunci când a statuat că decizia în litigiu nu o viza în mod direct și că acțiunea sa era, în consecință, inadmisibilă.

Pe de o parte, în ceea ce privește condiția potrivit căreia actul ar trebui să producă în mod direct efecte asupra situației juridice a reclamantului, Tribunalul ar fi concluzionat în mod eronat, la punctul 52 din ordonanța atacată, că WhatsApp nu a fost vizată în mod direct de decizia în litigiu, pentru motivul că această decizie nu îi era opozabilă și nu constituia ultima etapă a procedurii prevăzute la articolele 58, 60 și 65 din RGPD.

Pe de altă parte, în ceea ce privește condiția potrivit căreia un act nu trebuie să lase nicio putere de apreciere destinatarilor care sunt însărcinați cu punerea sa în aplicare, WhatsApp consideră că Tribunalul a săvârșit o eroare de drept atunci când a statuat, la punctele 53-60 din ordonanța atacată, că decizia în litigiu a lăsat autorității irlandeze de supraveghere o marjă de apreciere în privința conținutului deciziei sale finale, admițând totodată că decizia în litigiu era obligatorie pentru această autoritate de supraveghere în privința aspectelor la care se referea.

În ceea ce privește punctele 54-56 din ordonanța atacată, în cuprinsul cărora Tribunalul ar fi considerat că conținutul deciziei în litigiu era parțial în raport cu decizia finală, WhatsApp susține că ar fi trebuit să se examineze lipsa puterii de apreciere prin raportare la însăși substanța deciziei în litigiu, fără a se face referire la conținutul suplimentar al deciziei finale. Astfel, Comitetul ar fi analizat numai anumite aspecte ale unei spețe, respectiv chestiunile care au făcut obiectul unor obiecții pertinente și motivate din partea autorităților de supraveghere interesate. Prin urmare, decizia în litigiu nu poate privi întreaga cauză și nu poate îngloba aspecte care nu ar ține de sesizarea sau de competența Comitetului.

În plus, Tribunalul ar fi săvârșit o eroare de drept atunci când a statuat, la punctele 57-59 din ordonanța atacată, că autoritatea irlandeză de supraveghere și‑a exercitat puterea de apreciere pentru a trage concluzii din decizia în litigiu. În primul rând, în ceea ce privește calificarea datelor care au făcut obiectul unei comprimări cu pierdere ca date cu caracter personal, WhatsApp susține că respectiva calificare efectuată de Comitet generează obligații suplimentare pentru ea în temeiul RGPD, iar aceasta independent de faptul că autoritatea de supraveghere principală a exercitat o putere de apreciere pe fond, care depășește o astfel de calificare, verificând dacă WhatsApp acționase în calitate de operator sau de persoană împuternicită de operator. În al doilea rând, în ceea ce privește majorarea amenzilor care trebuiau aplicate WhatsApp, această decizie nu ar fi lăsat o marjă de apreciere autorității irlandeze de supraveghere, aceasta din urmă fiind obligată să impună o amendă mai ridicată decât cea avută în vedere inițial. Faptul că autoritatea respectivă păstrează o putere de apreciere în ceea ce privește stabilirea cuantumului precis al amenzii ar fi lipsit de pertinență, din moment ce această sarcină ar fi de competența autorității menționate.

Comitetul contestă această argumentație și susține că ar trebui îndeplinite două criterii cumulative pentru ca o persoană fizică sau juridică, care nu este destinatara unui act individual, să fie direct vizată de un act al Uniunii. Pe de o parte, acest act ar trebui să aibă o incidență directă asupra situației juridice a respectivei persoane și, pe de altă parte, nu ar trebui să lase nicio putere de apreciere destinatarului însărcinat cu punerea sa în aplicare, aceasta din urmă fiind pur automată, fără aplicarea altor norme intermediare.

În ceea ce privește primul criteriu, această parte observă că efectul obligatoriu al unui act trebuie avut în vedere în funcție de impactul său asupra situației proprii a reclamantului. În speță, decizia în litigiu nu ar fi opozabilă WhatsApp într‑un mod care i‑ar permite, fără alte etape procedurale, să constituie o sursă de obligații. Această decizie nu ar constitui ultima etapă a procedurii vizate la articolele 58, 60 și 65 din RGPD și, în special, nu ar fi stabilit cuantumul final al amenzii și nici nu ar fi definit un nou set de norme pentru activitățile WhatsApp. Așadar, numai decizia finală ar viza în mod direct WhatsApp, autoritatea de supraveghere irlandeză fiind, în temeiul articolului 56 alineatul (6) din RGPD, singurul interlocutor al acestei întreprinderi în calitatea sa de operator.

În ceea ce privește al doilea criteriu, Comitetul susține că autoritatea irlandeză de supraveghere ar fi păstrat o veritabilă putere de apreciere în ceea ce privește concluziile care trebuie stabilite în decizia sa finală, care ar avea un domeniu de aplicare mai larg decât decizia în litigiu și care ar cuprinde constatări asupra cărora Comitetul nu a fost invitat să se pronunțe, sesizarea acestuia din urmă fiind limitată la chestiunile care au făcut obiectul unor obiecții pertinente și motivate. În orice caz, ar exista o interdependență între decizia în litigiu și decizia finală. Nu ar fi posibil să se disocieze părțile acestei din urmă decizii care ar corespunde instrucțiunilor Comitetului, împrejurare care ar fi confirmată de faptul că acesta a lăsat o anumită marjă de apreciere autorității irlandeze de supraveghere cu privire la mai multe aspecte.

În astfel de circumstanțe, o instanță națională ar fi mai bine plasată pentru a reexamina această decizie finală, adresând Curții, dacă este cazul, întrebări preliminare cu privire la dispozițiile RGPD aplicate atât din oficiu, cât și pe baza instrucțiunilor Comitetului.

Potrivit Comitetului, autoritatea irlandeză de supraveghere ar fi păstrat de asemenea o anumită marjă de apreciere cu privire la chestiunilor abordate în decizia în litigiu, în special cele referitoare, pe de o parte, la consecințele juridice care trebuie deduse din calificarea datelor supuse comprimării cu pierdere ca date cu caracter personal și, pe de altă parte, la stabilirea cuantumului amenzilor care trebuie aplicate WhatsApp. Referitor la acest prim aspect, autoritatea menționată ar fi păstrat o putere discreționară și ar fi efectuat o examinare autonomă, în special în ceea ce privește respectarea articolului 14 din RGPD. În această privință, ar fi eronat să se susțină că Comitetul ar fi efectuat o evaluare „completă”, competența acestuia din urmă fiind limitată la conținutul obiecțiilor pertinente și motivate și neacoperind întreaga procedură de constatare a unor încălcări. În legătură cu cel de al doilea aspect, și anume stabilirea amenzilor, deși decizia în litigiu cuprinde instrucțiuni generale referitoare la amenzi, aceasta nu ar privi punerea în aplicare a acestor instrucțiuni și nici calculul acestor amenzi.

Republica Federală Germania apreciază că, din moment ce autoritatea de supraveghere principală era singura sa interlocutoare, WhatsApp nu poate fi considerată ca fiind vizată în mod direct de decizia în litigiu. O atare decizie nu ar avea vocația de a fi pusă în aplicare în mod autonom, ci ar trebui să fie întotdeauna urmată de o decizie finală a acestei autorități. Legiuitorul Uniunii ar fi ales astfel în mod deliberat un control descentralizat al RGPD, fără a opta pentru crearea unei autorități europene și centrale de protecție a datelor.

Cel de al doilea aspect al primului motiv de recurs vizează problema dacă Tribunalul a săvârșit o eroare de drept atunci când a considerat, la punctele 50-60 din ordonanța atacată, că decizia în litigiu nu privea în mod direct WhatsApp, în sensul articolului 263 al patrulea paragraf TFUE, și că acțiunea introdusă de aceasta din urmă era, în consecință, inadmisibilă.

În temeiul acestei dispoziții, orice persoană fizică sau juridică poate formula, în condițiile prevăzute la primul și al doilea paragraf al articolului 263 TFUE, o acțiune împotriva actelor al căror destinatar este sau care o privesc direct și individual, precum și împotriva actelor normative care o privesc direct și care nu presupun măsuri de executare.

Așadar, admisibilitatea unei acțiuni introduse de o persoană fizică sau juridică împotriva unui act al cărui destinatar nu este această persoană, în temeiul articolului 263 al patrulea paragraf TFUE, este supusă în special condiției ca acest act să o privească direct și individual (Hotărârea din 3 decembrie 2019, Iccrea Banca,C‑414/18, EU:C:2019:1036, punctul 64 și jurisprudența citată).

În speță, după cum a constatat Tribunalul la punctul 40 din ordonanța atacată, s‑a stabilit că WhatsApp este vizată individual de decizia în litigiu, din moment ce aceasta privește anumite aspecte ale proiectului de decizie finală care vizează în mod specific situația respectivei întreprinderi. Totuși, la punctele 52 și 53 din această ordonanță, Tribunalul a apreciat că WhatsApp nu era vizată în mod direct de decizia în litigiu, pentru motivul, pe de o parte, că aceasta nu avea un caracter opozabil față de WhatsApp care ar permite, fără o etapă suplimentară a procedurii, să fie sursa unor obligații pentru ea sau, dacă este cazul, a unor drepturi pentru alți particulari și, pe de altă parte, că, chiar dacă decizia în litigiu era obligatorie pentru autoritatea irlandeză de supraveghere în ceea ce privește aspectele la care se referea, ea i‑ar fi lăsat o marjă de apreciere în legătură cu conținutul deciziei finale.

În această privință, trebuie amintit că, potrivit unei jurisprudențe constante, condiția potrivit căreia o persoană fizică sau juridică trebuie să fie vizată direct de decizia care face obiectul acțiunii sale impune îndeplinirea a două condiții cumulative, și anume ca măsura contestată, pe de o parte, să aibă un efect direct asupra situației juridice a acestei persoane și, pe de altă parte, să nu lase nicio putere de apreciere destinatarilor care sunt însărcinați cu punerea sa în aplicare, aceasta având un caracter pur automat și decurgând doar din reglementarea Uniunii, fără aplicarea altor norme intermediare (Hotărârea din 4 octombrie 2024, Comisia și Consiliul/Frontul Polisario, C‑779/21 P și C‑799/21 P, EU:C:2024:835, punctul 87, precum și jurisprudența citată).

Înainte de a examina respectarea acestor două condiții în speță, este necesar să se precizeze că lipsa opozabilității directe a actului atacat față de reclamant, precum și împrejurarea că acest act nu constituie ultima etapă a unei proceduri compozite nu se opun ca acest reclamant să poată fi vizat în mod direct de actul menționat atunci când destinatarul aceluiași act nu dispune de nicio putere de apreciere (a se vedea în acest sens Hotărârea din 4 iunie 1992, Infortec/Comisia, C‑157/90, EU:C:1992:243, punctele 13 și 17; Hotărârea din 3 decembrie 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punctele 65 și 67, precum și Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 74).

În consecință, după cum a observat doamna avocată generală la punctele 139 și 144 din concluzii, Tribunalul a săvârșit o eroare de drept atunci când a considerat, la punctul 52 din ordonanța atacată, că WhatsApp nu poate fi vizată în mod direct de decizia în litigiu pentru motivul că aceasta din urmă nu ar avea un caracter opozabil față de WhatsApp și nu ar constitui ultima etapă a procedurii prevăzute la articolele 58, 60 și 65 din RGPD.

În ceea ce privește respectarea primei dintre condițiile amintite la punctul 94 din prezenta hotărâre, trebuie să se aprecieze dacă actul atacat este sursa unei modificări distincte a situației juridice a persoanei fizice sau juridice în cauză, prin luarea în considerare a substanței acestui act și prin aprecierea efectelor acestuia în raport cu criterii obiective, precum conținutul actului menționat, ținând seama, dacă este cazul, de contextul adoptării acestuia din urmă, precum și de competențele instituției, organului, oficiului sau agenției care este autoarea sa (a se vedea în acest sens Hotărârea din 11 noiembrie 1981, IBM/Comisia, 60/81, EU:C:1981:264, punctul 9, și Hotărârea din 18 iunie 2024, Comisia/SRB, C‑551/22 P, EU:C:2024:520, punctul 65, precum și jurisprudența citată).

În speță, după cum s‑a arătat la punctul 30 din prezenta hotărâre, în decizia în litigiu, Comitetul a decis printre altele că WhatsApp nu a respectat obligațiile de informare enunțate la articolul 13 alineatul (1) litera (d) din RGPD și a încălcat articolul 13 alineatul (2) litera (e) din acesta. În consecință, decizia menționată modifică situația juridică a WhatsApp, acesteia impunându‑i‑se în special, ca urmare a intervenției Comitetului, să își modifice raportul contractual cu utilizatorii serviciului de mesagerie furnizat de WhatsApp. Rezultă că există o legătură directă între decizia amintită și efectele sale asupra situației WhatsApp, în sensul jurisprudenței citate la punctele 94 și 95 din prezenta hotărâre.

Contrar celor susținute de Comitet, împrejurarea că autoritatea de supraveghere irlandeză este, în temeiul articolului 56 alineatul (6) din RGPD, singurul interlocutor al WhatsApp, în calitate de operator, nu are incidență asupra acestei constatări. Într‑adevăr, respectiva dispoziție urmărește numai să organizeze relațiile dintre un operator sau o persoană împuternicită de operator, o autoritate de supraveghere principală și autoritățile de supraveghere vizate, astfel încât nu privește căile de atac disponibile în privința deciziilor Comitetului.

În ceea ce privește respectarea celei de a doua dintre condițiile amintite la punctul 94 din prezenta hotărâre, pentru a aprecia dacă un act lasă destinatarilor săi o marjă de apreciere în scopul punerii sale în aplicare, trebuie să se examineze efectele juridice produse de dispozițiile acestui act, care sunt vizate de acțiune, asupra situației persoanei care invocă dreptul la acțiune în temeiul articolului 263 al patrulea paragraf al doilea segment de teză TFUE (Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 98 și jurisprudența citată).

Existența unei asemenea marje de apreciere va trebui înlăturată în special dacă se stabilește că dispozițiile actului care sunt vizate de acțiune au avut drept consecință directă supunerea acestei persoane unor obligații al căror rezultat nu putea fi modificat de entitatea însărcinată cu punerea în aplicare ulterioară a acestui act (a se vedea în acest sens Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 114).

În speță, după cum reiese din cuprinsul punctelor 71 și 72 din prezenta hotărâre, trebuie amintit că decizia în litigiu este obligatorie pentru autoritatea de supraveghere principală și pentru autoritățile de supraveghere vizate. Acestea nu se pot îndepărta de poziția reținută de Comitet în această decizie și amintită la punctul 30 din prezenta hotărâre. Astfel, decizia menționată soluționează problemele de drept care fac obiectul sesizării sale și leagă în mod necondiționat aceste autorități, în ceea ce privește în special constatarea încălcării anumitor dispoziții ale RGPD, calificarea datelor supuse unei comprimări cu pierdere drept date cu caracter personal, precum și obligația de a majora cuantumul amenzilor preconizate. Autoritățile menționate nu au posibilitatea de a modifica rezultatul aprecierilor efectuate de Comitet referitor la aceste chestiuni, în sensul jurisprudenței citate la punctul anterior din prezenta hotărâre.

În această privință, în temeiul articolului 70 alineatul (1) litera (a) din RGPD, Comitetul are sarcina de a asigura aplicarea coerentă a RGPD, prin monitorizarea și asigurarea, astfel cum reiese din considerentul (10) al acestuia, a aplicării coerente și omogene a normelor în materie de protecție a drepturilor și a libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal în întreaga Uniune, în cazurile prevăzute printre altele la articolul 65 din RGPD, fără a aduce atingere sarcinilor autorităților naționale de supraveghere.

În acest context, este irelevant că domeniul de aplicare al deciziei finale se extinde la chestiuni care nu țin de sesizarea Comitetului, și anume la aspecte care nu au făcut obiectul unor obiecții pertinente și motivate, în sensul articolului 65 alineatul (1) litera (a) din RGPD, sau la chestiuni care nu țin de competența acestui organ, cum ar fi printre altele stabilirea cuantumului precis al amenzii care trebuie aplicată operatorului sau unei persoane împuternicite de operator, care revine în sarcina autorității de supraveghere sesizate în temeiul articolului 58 alineatul (2) litera (i) și al articolului 83 din RGPD.

În plus, deși există, desigur, un raport de interdependență între decizia în litigiu și decizia finală, nu este mai puțin adevărat că acestea constituie acte distincte și că domeniul de aplicare al deciziei în litigiu este bine delimitat, după cum reiese din enumerarea reluată la punctul 30 din prezenta hotărâre. În aceste condiții, acest raport de interdependență nu este de natură să se opună constatării că WhatsApp este vizată în mod direct de decizia în litigiu.

În special, deși introducerea simultană a unei acțiuni în anulare în fața instanței Uniunii, în temeiul articolului 263 TFUE, în privința deciziei obligatorii a Comitetului, și în fața instanței naționale, în temeiul articolului 78 din RGPD, în privința deciziei finale adoptate pe baza acestei decizii obligatorii de autoritatea națională de supraveghere, conduce, desigur, la două proceduri paralele, această situație nu are drept consecință că ar trebui să se considere că efectele deciziei Comitetului sunt indirecte, în speță, în raport cu WhatsApp.

Astfel, pe de o parte, potrivit jurisprudenței Curții, atunci când soluționarea litigiului pendinte în fața instanței naționale depinde de validitatea deciziei unui organ al Uniunii, din obligația de cooperare loială rezultă că, pentru a evita luarea unei decizii incompatibile cu cea a acestui organ, instanța națională ar trebui să suspende procedura până la pronunțarea de către instanțele Uniunii a unei decizii definitive cu privire la acțiunea în anulare, cu excepția cazului în care consideră că, în împrejurările cauzei, este justificat să fie adresată Curții o întrebare preliminară vizând validitatea deciziei organului menționat (a se vedea în acest sens Hotărârea din 14 decembrie 2000, Masterfoods și HB, C‑344/98, EU:C:2000:689, punctul 57, precum și Hotărârea din 25 iulie 2018, Georgsmarienhütte ș.a., C‑135/16, EU:C:2018:582, punctul 24).

Pe de altă parte, este de asemenea necesar să se arate că principiul bunei administrări a justiției poate justifica, în cazul sesizării concomitente a Tribunalului, în cadrul unei acțiuni în anulare, și a Curții, în cadrul unei trimiteri preliminare, utilizarea de către Curte, dacă aceasta consideră adecvat, a articolului 54 al treilea paragraf din Statutul Curții de Justiție a Uniunii Europene pentru suspendarea procedurii aflate pe rolul său în beneficiul celei introduse în fața Tribunalului (Hotărârea din 25 iulie 2018, Georgsmarienhütte ș.a., C‑135/16, EU:C:2018:582, punctul 25).

În consecință, întrucât cele două condiții menționate la punctul 94 din prezenta hotărâre sunt îndeplinite, WhatsApp este vizată în mod direct de decizia în litigiu.

Având în vedere considerațiile care precedă, se impune, așadar, admiterea celui de al doilea aspect al primului motiv de recurs și, în consecință, anularea ordonanței atacate.

Prin intermediul celui de al treilea aspect al primului motiv, WhatsApp arată că este afectată de o eroare de drept constatarea Tribunalului, la punctele 66-70 din ordonanța atacată, potrivit căreia inadmisibilitatea acțiunii sale se înscrie în logica sistemului căilor de atac jurisdicționale instituit de tratatele UE și FUE.

Având în vedere concluzia reținută la punctul 110 din prezenta hotărâre, nu este necesară pronunțarea cu privire la al treilea aspect al primului motiv.

Referindu‑se la argumentația dezvoltată în cadrul primului motiv, WhatsApp susține că Tribunalul a încălcat articolul 65 alineatul (1) din RGPD și principiul aplicării coerente a dreptului Uniunii atunci când a statuat, la punctele 41-60 din ordonanța atacată, că decizia în litigiu nu producea alte efecte juridice decât efectele sale obligatorii față de autoritățile de supraveghere vizate.

Întrucât WhatsApp se limitează să facă trimitere la argumentația dezvoltată în susținerea primului său motiv și având în vedere concluzia reținută la punctul 110 din prezenta hotărâre, nu este necesară pronunțarea cu privire la acest al doilea motiv, din moment ce el nu poate determina o anulare mai extinsă a ordonanței atacate.

Conform articolului 61 primul paragraf din Statutul Curții de Justiție a Uniunii Europene, în cazul în care anulează hotărârea Tribunalului, Curtea poate să soluționeze ea însăși în mod definitiv litigiul, atunci când acesta este în stare de judecată.

Această condiție este îndeplinită în speță în măsura în care cauza privește numai admisibilitatea acțiunii introduse la Tribunal.

În această privință, în primul rând, după cum reiese din cuprinsul punctului 76 din prezenta hotărâre, decizia în litigiu constituie un act atacabil în sensul articolului 263 primul paragraf TFUE. În al doilea rând, astfel cum s‑a constatat la punctul 109 din prezenta hotărâre, decizia în litigiu vizează în mod direct WhatsApp, în sensul articolului 263 al patrulea paragraf TFUE. În al treilea rând, această decizie vizează în mod individual WhatsApp, așa cum Tribunalul însuși a constatat la punctul 40 din ordonanța atacată.

În consecință, întrucât condițiile consacrate la primul și la al patrulea paragraf ale articolului 263 TFUE sunt astfel îndeplinite și în lipsa oricărui alt motiv de inadmisibilitate, acțiunea în anulare este declarată admisibilă.

Cu toate acestea, având în vedere că Tribunalul nu a examinat fondul acțiunii cu care a fost sesizat, a cărei soluționare necesită o analiză detaliată a situației de fapt și de drept, litigiul nu este în stare de a fi judecat pe fond.

Prin urmare, cauza trebuie trimisă spre rejudecare Tribunalului.

Întrucât cauza este trimisă spre rejudecare Tribunalului, cererea privind cheltuielile de judecată aferente procedurii de recurs se soluționează odată cu fondul.

HOTĂRÂREA CURȚII (Marea Cameră)

10 februarie 2026 ( *1 )

Hotărâre

Cadrul juridic

Istoricul litigiului și decizia în litigiu

Procedura desfășurată în fața Tribunalului și ordonanța atacată

Concluziile părților

Cu privire la recurs

Cu privire la caracterul pretins tardiv al acțiunii în fața primei instanțe

Argumentația părților

Aprecierea Curții

Cu privire la primul motiv, întemeiat pe erori de drept în interpretarea și în aplicarea noțiunii de act atacabil și a condiției potrivit căreia reclamantul trebuie să fie vizat în mod direct de măsura care face obiectul acțiunii sale

Cu privire la primul aspect al primului motiv

Cu privire la al doilea aspect al primului motiv

Cu privire la al treilea aspect al primului motiv

Cu privire la al doilea motiv, întemeiat pe o eroare de drept în interpretarea și aplicarea articolului 65 din RGPD și a principiului aplicării coerente a dreptului Uniunii

Cu privire la trimiterea cauzei spre rejudecare Tribunalului

Cu privire la cheltuielile de judecată