Beroep ingesteld op 17 mei 2024 – Commissie/EDPS

(Zaak T-262/24)

Procestaal: Engels

Partijen

Verzoekende partij: Europese Commissie (vertegenwoordigers: A. Bouchagiar en H. Kranenborg, gemachtigden)

Verwerende partij: Europese Toezichthouder voor gegevensbescherming

Conclusies

De verzoekende partij verzoekt het Gerecht:

het besluit van de Europese Toezichthouder voor gegevensbescherming van 8 maart 2024 betreffende zijn onderzoek naar het gebruik van Microsoft 365 door de Europese Commissie in zaak 2021-0518 nietig te verklaren, en

verweerder te verwijzen in de kosten van de procedure.

Middelen en voornaamste argumenten

Ter ondersteuning van het beroep voert verzoekster dertien middelen aan.

Onjuiste uitlegging en toepassing van artikel 4, lid 1, onder b), en de artikelen 6 en 9 van verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens (hierna: „EUDPR”), door daaruit een verplichting voor de Commissie af te leiden om de „soorten” te verwerken persoonsgegevens uitputtend te omschrijven.

Onjuiste uitlegging en toepassing van artikel 29, lid 3, onder a), EUDPR door vast te stellen dat de Commissie in de interinstitutionele licentieovereenkomst voor 2021 niet had bepaald welke soorten persoonsgegevens zouden worden verwerkt en met welk doel dit zou gebeuren.

Onjuiste uitlegging en toepassing van artikel 9 EUDPR door dit artikel toepasselijk te verklaren op het onderhavige geval en het hoe dan ook op onjuiste wijze toe te passen.

Onjuiste uitlegging en toepassing van artikel 29, lid 3, onder a), EUDPR door vast te stellen dat de Commissie had nagelaten om voldoende duidelijke gedocumenteerde instructies te geven.

Onjuiste uitlegging en toepassing van artikel 4, lid 2, en artikel 26, lid 1, juncto artikel 30 EUDPR door vast te stellen dat de Commissie had nagelaten te waarborgen dat Microsoft voor het verstrekken van haar diensten enkel persoonsgegevens verwerkt aan de hand van gedocumenteerde instructies van de Commissie.

Onjuiste uitlegging en toepassing van artikel 29, lid 3, EUDPR met betrekking tot de doorgifte van persoonsgegevens aan derde landen.

Onjuiste uitlegging en toepassing van artikel 4, lid 2, en de artikelen 46 en 48 EUDPR door vast te stellen dat sprake was van tekortkomingen bij het in kaart brengen van doorgiften.

Onjuiste rechtsopvattingen en feitelijke onjuistheden bij de uitlegging en toepassing van artikel 4, lid 2, en de artikelen 46 en 48 EUDPR.

Onjuiste toepassing van artikel 4, lid 2, artikel 46, en artikel 48, lid 1, en lid 3, onder a), EUDPR door aan te nemen dat er rechtstreekse overdrachten van persoonsgegevens hebben plaatsgevonden tussen de Commissie en Microsoft Corporation in de Verenigde Staten.

Onjuiste uitlegging en toepassing van artikel 47 EUDPR.

Onjuiste rechtsopvattingen en feitelijke onjuistheden bij de uitlegging en toepassing van artikel 4, lid 1, onder f), artikel 29, lid 3, onder a), artikel 33, leden 1 en 2, en artikel 36 EUDPR.

Niet-nakoming van de motiveringsplicht van artikel 296 VWEU, onbevoegdheid en verkeerde uitlegging en toepassing van artikel 52, lid 3, EUDPR door de Commissie aan te bevelen om de artikelen 1, 2 en 5 van Protocol (nr. 7) betreffende de voorrechten en immuniteiten van de Europese Unie in beschouwing te nemen.

Schending van het evenredigheidsbeginsel door de corrigerende maatregelen van het bestreden besluit op te leggen.

____________