Hotărârea Tribunalului (Camera a zecea extinsă) din 29 ianuarie 2025 (Extras).#Data Protection Commission împotriva Comitetului european pentru protecția datelor.#Protecția datelor cu caracter personal – Articolul 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 – Decizie obligatorie prin care se dau instrucțiuni unei autorități de supraveghere principale să extindă domeniul investigației și să elaboreze un proiect de decizie complementară – Competența Comitetului European pentru Protecția Datelor.#Cauzele conexate T-70/23, T-84/23 și T-111/23.

Cauzele conexate T‑70/23, T‑84/23 și T‑111/23

(publicare în extras)

Data Protection Commission

împotriva

Comitetului European pentru Protecția Datelor

Hotărârea Tribunalului din 29 ianuarie 2025

„Protecția datelor cu caracter personal – Articolul 65 alineatul (1) litera (a) din Regulamentul (UE) 2016/679 – Decizie obligatorie prin care se dau instrucțiuni unei autorități de supraveghere principale să extindă domeniul investigației și să elaboreze un proiect de decizie complementară – Competența Comitetului European pentru Protecția Datelor”

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Competența Comitetului European pentru Protecția Datelor (CEPD) – Conținut – Decizie obligatorie prin care se dau instrucțiuni unei autorități de supraveghere principale să extindă domeniul unei investigații și să elaboreze un proiect de decizie complementară – Includere

[art. 39 TUE; art. 16 alin. (1) și (2), art. 101 și 102 TFUE; Carta drepturilor fundamentale a Uniunii Europene, art. 8 alin. (1) și (3); Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentele (126), (136) și (141) și art. 4 pct. 24, art. 57 alin. (1) lit. (a) și (f), art. 58 alin. (2), art. 60, art. 65 alin. (1) lit. (a), alin. (2), (3) și (6) și art. 66]

(a se vedea punctele 35, 36, 38-40, 43-45, 49-54, 56-59, 62, 63, 68-75 și 77-82)

Rezumat

Statuând în cameră extinsă, Tribunalul respinge acțiunile formulate de Data Protection Commission, autoritatea irlandeză de supraveghere în materie de protecție a datelor cu caracter personal, având ca obiect anularea în parte a deciziilor obligatorii ale Comitetului European pentru Protecția Datelor (CEPD). În hotărârea sa, acesta se pronunță pentru prima dată cu privire la competența CEPD de a impune unei autorități naționale de supraveghere să își extindă analiza unui caz și, dacă este cazul, investigația.

În urma comunicării cu celelalte autorități de supraveghere vizate, Data Protection Commission, în calitate de autoritate de supraveghere principală, a constatat că nu exista un consens cu privire la obiecțiile formulate în privința proiectelor sale de decizie privind prelucrările transfrontaliere de date legate de utilizarea rețelei sociale Facebook, a rețelei sociale Instagram și a mesageriei WhatsApp. În consecință, Comisia a sesizat CEPD în cadrul mecanismului pentru asigurarea coerenței ( 1 ).

În urma examinării celor trei dosare, CEPD, considerând că majoritatea obiecțiilor formulate împotriva proiectelor de decizii erau relevante și motivate, a decis să adopte o poziție cu privire la aspectele pe care le ridicau.

Astfel, la 5 decembrie 2022, acesta a adoptat decizii obligatorii prin care a obligat Data Protection Commission să efectueze noi investigații cu privire la prelucrările de date legate de utilizarea celor trei aplicații sus‑menționate și, pe această bază, să elaboreze proiecte de decizii suplimentare.

Drept urmare, Data Protection Commission a contestat competența CEPD de a‑i impune, prin decizii obligatorii, astfel de măsuri.

Aprecierea Tribunalului

În primul rând, Tribunalul precizează întinderea competenței CEPD ( 2 ) întemeindu‑se pe analiza literală, contextuală și teleologică a RGPD.

În acest cadru, mai întâi, el arată că, potrivit unei interpretări literale a dispozițiilor relevante ale RGPD ( 3 ), CEPD este competent să adopte dispoziții care, precum dispozițiile atacate, dau instrucțiuni autorității de supraveghere principale să efectueze o nouă investigație cu privire la anumite aspecte ale dosarelor în cauză și să adopte ulterior noi proiecte de decizie. Din moment ce decizia obligatorie a CEPD trebuie să privească toate chestiunile care fac obiectul unor obiecții relevante și motivate, prevederile relevante din RGPD nu interzic ca, atunci când CEPD aprobă o obiecție relevantă și motivată referitoare la o lipsă sau la o insuficiență a analizei, în proiectul de decizie, a unui aspect, care împiedică să se stabilească dacă există sau nu există o încălcare a acestui regulament, această decizie să cuprindă un ordin adresat autorității de supraveghere principale de a remedia această lipsă de analiză și, dacă acest lucru este necesar având în vedere dosarul aflat în posesia CEPD, de a aprofunda sau de a extinde în acest scop investigația efectuată până la acel moment. Dacă rezultă că dosarul este insuficient pentru a efectua pe deplin analiza necesară, acest lucru trebuie să conducă la posibilitatea CEPD de a impune autorității de supraveghere principale efectuarea unei investigații complementare.

În continuare, Tribunalul consideră, în temeiul interpretării contextuale a dispozițiilor relevante ale RGPD, că contextul general al obligației de cooperare între autoritățile de supraveghere vizate de un caz, consacrat în RGPD, confirmă competența CEPD de a adopta măsurile contestate.

În această privință, acesta arată că procedura de cooperare între autoritățile de supraveghere vizate de un caz ( 4 ), care poate implica declanșarea mecanismului pentru asigurarea coerenței aplicat de CEPD, nu este o procedură „cu sens unic” în care etapele s‑ar desfășura întotdeauna în ordinea dispozițiilor care le prevăd, fără posibilitatea revenirii la o etapă precedentă sau a rămânerii temporare în aceeași etapă.

În plus, acesta observă că analiza condițiilor în care este efectuată o prelucrare de date cu caracter personal și a conformității sale cu RGPD nu trebuie să se limiteze la ceea ce evidențiază plângerea unui reclamant. În special, garantarea deplină a sarcinilor autorităților de supraveghere prevăzute în RGPD de a asigura aplicarea acestuia și de a trata plângerile într‑o măsură adecvată ( 5 ) implică reținerea unui domeniu adecvat al analizei dosarului în raport cu plângerea care se află la originea acestuia, dar și în raport cu celelalte elemente care o pot completa. Or, obiecția relevantă și motivată, potrivit definiției sale, privește aspecte a căror analiză ține într‑adevăr de cele două sarcini sus‑menționate. Prin urmare, faptul că o obiecție relevantă și motivată se referă la domeniul analizei și, dacă este cazul, la domeniul investigației și că CEPD îi dă curs nu compromite nicidecum aceste sarcini.

În sfârșit, Tribunalul subliniază că examinarea finalităților RGPD confirmă de asemenea interpretarea literală a dispozițiilor relevante ale RGPD.

În această privință, el amintește în special că mecanismul de cooperare între autoritățile de supraveghere vizate de un caz își găsește limitele atunci când aceste autorități nu ajung la un consens. În această situație, autoritatea de supraveghere principală sesizează mecanismul pentru asigurarea coerenței cu chestiunea neconsensuală, ceea ce conduce la o decizie obligatorie a CEPD. În cazul redeschiderii unei investigații, autoritatea competentă trebuie să adopte o decizie finală cu privire la aspectele de fond analizate și soluționate în urma unei decizii obligatorii a CEPD în termenul prevăzut în RGPD. Acest lucru nu o împiedică să efectueze o investigație complementară și să analizeze aspectele cazului care nu au fost încă examinate.

În al doilea rând, Tribunalul apreciază că condițiile de atribuire a unei competențe unui organ al Uniunii nu se opun interpretării reținute, potrivit căreia CEPD are competența de a impune unei autorități de supraveghere principale să își extindă analiza și, dacă este cazul, investigația. Astfel, exercitarea unei asemenea competențe este încadrată de diverse criterii și condiții care delimitează domeniul său de acțiune. Așadar, această competență, pe de o parte, nu este pusă în aplicare decât în cazul unei insuficiențe bine identificate a analizei autorității de supraveghere principale în prelucrarea cazului, care poate avea consecințe importante, așa cum rezultă din definiția obiecției relevante și motivate, și, pe de altă parte, rezultă din aprecierea colectivă a autorităților de supraveghere care compun CEPD.

Pe de altă parte, Tribunalul precizează că exercitarea competenței menționate este supusă unui control jurisdicțional. Mai concret, în limita motivelor care ar fi invocate în fața sa, instanța Uniunii ar fi în măsură să verifice legalitatea pe fond a dispozițiilor contestate în funcție de împrejurările speței. Printre altele, aceasta ar putea, într‑o primă etapă, să verifice dacă CEPD, prin adoptarea unor dispoziții de această natură, a dat curs unei obiecții relevante și motivate a unei autorități de supraveghere. Ea ar putea, într‑o a doua etapă, să verifice legalitatea substanței înseși a unor astfel de dispoziții care dau instrucțiuni autorităților de supraveghere.

În acest context, Tribunalul adaugă că o decizie obligatorie a CEPD prin care se impune autorității de supraveghere principale să își extindă analiza și investigația nu pune în discuție capacitatea sa de a ierarhiza îndeplinirea diferitelor sale misiuni în calitate de autoritate independentă, sarcină al cărei control ar fi doar de competența instanței naționale. Aceasta nu pune în discuție, într‑un mod mai general, nici independența sa ( 6 ).

( 1 ) Conform articolului 60 alineatul (4) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

( 2 ) În temeiul articolului 65 alineatul (1) litera (a) din RGPD.

( 3 ) Articolul 65 alineatul (1) litera (a) din RGPD coroborat cu articolul 4 punctul 24, cu articolul 65 alineatul (6) și cu considerentele (126) și (136) ale acestui regulament.

( 4 ) Prevăzută la articolul 60 din RGPD.

( 5 ) Articolul 57 alineatul (1) literele (a) și (f) din RGPD.

( 6 ) Consacrată la articolul 39 TUE, la articolul 16 alineatul (2) TFUE și la articolul 8 alineatul (3) din Carta drepturilor fundamentale a Uniunii Europene.