USNESENÍ TRIBUNÁLU (čtvrtého rozšířeného senátu)
7. prosince 2022(*)
„Žaloba na neplatnost – Ochrana osobních údajů – Návrh rozhodnutí vedoucího dozorového úřadu – Řešení sporů mezi dozorovými úřady Evropským sborem pro ochranu osobních údajů – Závazné rozhodnutí – Článek 60 odst. 4 a čl. 65 odst. 1 písm. a) nařízení (EU) 2016/679 – Akt, který nelze napadnout žalobou – Přípravný akt – Neexistence bezprostředního dotčení“
Ve věci T‑709/21,
WhatsApp Ireland Ltd, se sídlem v Dublinu (Irsko), zastoupená H.‑G. Kamannem, F. Louisem, A. Vallery, advokáty, P. Nolanem, B. Johnstonem, C. Monaghanem, solicitors, P. Sreenanem, D. McGrathem, SC, C. Geoghegan a E. Egan McGrath, barristers,
žalobkyně,
proti
Evropskému sboru pro ochranu osobních údajů, zastoupenému I. Vereecken a G. Le Grandem, jako zmocněnci, ve spolupráci s G. Ryelandtem, E. de Lophemem a P. Vernetem, advokáty,
žalovanému,
TRIBUNÁL (čtvrtý rozšířený senát)
při poradách ve složení S. Gervasoni, předseda, L. Madise (zpravodaj), P. Nihoul, R. Frendo a J. Martín y Pérez de Nanclares, soudci,
vedoucí soudní kanceláře: E. Coulon,
– s přihlédnutím k písemné části řízení, a sice:
– žalobě došlé kanceláři Tribunálu dne 1. listopadu 2021,
– žalobní odpovědi došlé kanceláři Tribunálu dne 1. února 2022,
– replice došlé kanceláři Tribunálu dne 9. května 2022,
– duplice došlé kanceláři Tribunálu dne 18. července 2022,
– organizačnímu procesnímu opatření, kterým Tribunál účastníky řízení vyzval, aby se v replice a duplice neopomněli vyjádřit ke všem důležitým otázkám týkajícím se pravomoci Tribunálu a přípustnosti žaloby,
vydává toto
Usnesení
1 Žalobou podanou na základě článku 263 SFEU se žalobkyně, společnost WhatsApp Ireland Ltd (dále jen „společnost WhatsApp“), domáhá zrušení závazného rozhodnutí Evropského sboru pro ochranu osobních údajů (dále jen „EDPB“) 1/2021 ze dne 28. července 2021 týkajícího se sporu mezi dotčenými dozorovými úřady, který vyvstal v důsledku návrhu rozhodnutí týkajícího se společnosti WhatsApp, jejž vypracoval Data Protection Commission (orgán dohledu v oblasti ochrany osobních údajů fyzických osob, Irsko, dále jen „irský dozorový úřad“) (dále jen „napadené rozhodnutí“).
Skutečnosti, které nastaly před přijetím napadeného rozhodnutí a po něm, a řízení
2 Poté, co vstoupilo v platnost nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1), obdržel irský dozorový úřad stížnosti z řad uživatelů aplikace pro zasílání textových zpráv „WhatsApp“ i osob, které tuto aplikaci nepoužívají, jež se týkaly zpracování osobních údajů společností WhatsApp. Německý spolkový dozorový úřad pak požádal irský dozorový úřad o pomoc v souvislosti s tím, zda společnost WhatsApp dodržuje povinnost transparentnosti, kterou mají správci osobních údajů, pokud jde o případné sdílení takových údajů s dalšími subjekty skupiny Facebook (která se v září 2021 přejmenovala na Meta).
3 Irský dozorový úřad zahájil v prosinci 2018 z moci úřední všeobecné šetření týkající se toho, zda společnost WhatsApp dodržuje povinnost transparentnosti a povinnost informovat jednotlivce (a nikoliv podniky), které jsou uvedeny v článcích 12, 13 a 14 nařízení 2016/679, s tím, že tím nebylo dotčeno jeho rozhodnutí o jednotlivých stížnostech a žádostech, které k němu byly předloženy. Irský dozorový úřad v tomto ohledu vystupoval jako „vedoucí dozorový úřad“, jak je stanoveno v čl. 56 odst. 1 nařízení 2016/679, jelikož společnost WhatsApp měla coby správce pro operace v rámci aplikace pro zasílání textových zpráv „WhatsApp“ v Evropě hlavní provozovnu v Irsku a zpracování osobních údajů mělo přeshraniční povahu.
4 Poté, co byla fáze vyšetřování ukončena v září 2019 předložením závěrečné zprávy vyšetřovatele, předložila osoba s rozhodovací pravomocí v rámci irského dozorového úřadu po ukončení průběžných procesních fází, během nichž společnost WhatsApp sdělila své připomínky, v prosinci 2020 všem ostatním dozorovým úřadům dotčeným ve věci, a sice všem ostatním dozorovým úřadům členských států, návrh rozhodnutí, aby se k němu vyjádřily v souladu s čl. 60 odst. 3 nařízení 2016/679.
5 V lednu 2021 osm z těchto dozorových úřadů – a sice německý spolkový dozorový úřad, dozorový úřad pro Bádensko-Württembersko, maďarský, nizozemský, polský, francouzský, italský a portugalský dozorový úřad – vyjádřilo námitky k některým aspektům tohoto návrhu rozhodnutí. Různé jiné dozorové úřady mimoto zaslaly své komentáře. Irský dozorový úřad odpověděl ostatním dotčeným dozorovým úřadům skupinově a navrhl kompromisní řešení. V návaznosti na tuto odpověď sice vzal jeden z těchto úřadů zpět jednu ze svých námitek, avšak irský dozorový úřad konstatoval, že mezi dotčenými dozorovými úřady nepanuje shoda o návrzích v ostatních aspektech, které byly předmětem námitek, a rozhodl se všechny tyto námitky zamítnout s tím, že se obrátí na EDPB, který by spor mezi dotčenými dozorovými úřady ohledně těchto aspektů vyřešil v souladu s ustanoveními čl. 60 odst. 4 a čl. 65 odst. 1 písm. a) nařízení 2016/679.
6 V květnu 2021 obdržel irský dozorový úřad písemné vyjádření společnosti WhatsApp ke skutečnostem projednávaným mezi dotčenými dozorovými úřady poté, co jí předal všechny podklady, jež si s nimi v tomto ohledu vyměnil, a sám předal uvedené připomínky EDPB, aby se s nimi seznámil v rámci postupu pro řešení sporů, který EDPB zahájil v červnu 2021.
7 EDPB, který podle čl. 68 odst. 3 nařízení 2016/679 tvoří „vedoucí jednoho dozorového úřadu z každého členského státu a evropský inspektor ochrany údajů nebo jejich zástupci“, přijal dne 28. července 2021 napadené rozhodnutí dvou třetinovou většinou v souladu s ustanovením čl. 65 odst. 2 nařízení 2016/679. Napadené rozhodnutí je rozhodnutím určeným vedoucímu dozorovému úřadu a všem dotčeným dozorovým úřadům, pro něž je podle téhož ustanovení závazné, a týká se všech záležitostí, které byly předmětem relevantních a odůvodněných námitek, jak stanoví čl. 65 odst. 1 písm. a) nařízení 2016/679. EDPB v tomto ohledu v napadeném rozhodnutí u každé námitky dotčeného dozorového úřadu nejprve zkoumal, zda je relevantní a odůvodněná. K námitce zaujal stanovisko pouze v případě, že ji nejprve považoval za relevantní a odůvodněnou.
8 Poté, co irský dozorový úřad obdržel napadené rozhodnutí a od společnosti WhatsApp obdržel vyjádření k peněžitým sankcím, které jí hodlal v konečném důsledku uložit na základě napadeného rozhodnutí, přijala osoba tohoto dozorového úřadu s rozhodovací pravomocí dne 20. srpna 2021 v souladu s čl. 65 odst. 6 nařízení 2016/679 konečné rozhodnutí určené společnosti WhatsApp (dále jen „konečné rozhodnutí“). V konečném rozhodnutí bylo konstatováno, že společnost WhatsApp porušila zásadu a povinnost transparentnosti stanovené v čl. 5 odst. 1 písm. a), čl. 12 odst. 1, čl. 13 odst. 1 písm. c), d), e) a f), v čl. 13 odst. 2 písm. a), c) a e) a v článku 14 nařízení 2016/679. V tomto rozhodnutí se naproti tomu uvádí, že společnost WhatsApp splnila povinnosti stanovené v čl. 13 odst. 1 písm. a) a b) a v čl. 13 odst. 2 písm. b) a d) nařízení 2016/679. V rámci nápravných opatření přijatých na základě čl. 58 odst. 2 písm. b), d) a i) nařízení 2016/679 se v konečném rozhodnutí společnosti WhatsApp uděluje napomenutí, ukládá povinnost přijmout řadu opatření uvedených v příloze, jejichž prostřednictvím má být do tří měsíců dosaženo souladu s ustanoveními nařízení 2016/679, která byla porušena, a čtyři správní pokuty v celkové výši 225 milionů eur za zjištěná porušení čl. 5 odst. 1 písm. a) a článků 12, 13 a 14 nařízení 2016/679.
9 V konečném rozhodnutí osoba s rozhodovací pravomocí v rámci irského dozorového úřadu identifikovala aspekty, ve vztahu k nimž jí napadené rozhodnutí ukládalo povinnost přezkoumat posouzení uvedené v návrhu rozhodnutí zmíněném v bodě 4 výše. Stran těchto aspektů se rozhodla převzít důvody uvedené EDPB v napadeném rozhodnutí jako takové a uvést je v podbarvených pasážích a pouze z nich vyvodit důsledky vždy zvlášť v závěrečném odstavci. Upřesnila, že v konečném rozhodnutí neodkazuje na námitky, které EDPB považoval za irelevantní nebo neodůvodněné a jejichž opodstatněnost tudíž neposoudil, ani na námitky, u nichž EDPB nepovažoval za nutné změnit posouzení uvedené v návrhu rozhodnutí, a ani k těmto námitkám nezaujímá stanovisko.
10 V souladu s čl. 65 odst. 6 nařízení 2016/679 bylo napadené rozhodnutí přiloženo ke konečnému rozhodnutí irského dozorového úřadu.
11 V tomto ohledu se jeví, že EDPB v napadeném rozhodnutí postupně zaujal stanovisko pouze k následujícím aspektům, k nimž byly podle něj vyjádřeny relevantní a odůvodněné námitky:
– k tomu, zda společnost WhatsApp porušila informační povinnosti stanovené v čl. 13 odst. 1 písm. d) nařízení 2016/679 týkající se některých informací, které mají být poskytnuty subjektům údajů, pokud od nich byly získány osobní údaje. Takové porušení irský dozorový úřad v návrhu rozhodnutí nezjistil. Podle EDPB naopak společnost WhatsApp toto ustanovení porušila;
– k tomu, zda lze za osobní údaje označit informace z procesu zvaného „Lossy Hashing Procedure“ použitého na údaje o „kontaktech“ osob, které nejsou uživateli aplikace WhatsApp, obsažené v adresářích na zařízeních uživatelů aplikace WhatsApp. Irský dozorový úřad tyto informace v návrhu rozhodnutí za osobní údaje neoznačil. EDPB naopak konstatoval, že se stále jedná o osobní údaje. Tento aspekt měl podle napadeného rozhodnutí možný dopad na případné konstatování, že společnost WhatsApp porušila čl. 5 odst. 1 písm. c) a čl. 6 odst. 1 nařízení 2016/679, a vliv na to, v jakém rozsahu společnost WhatsApp porušila článek 14 nařízení 2016/679, jakož i na výši peněžité sankce uložené z tohoto důvodu;
– k tomu, zda společnost WhatsApp porušila zásadu transparentnosti stanovenou v čl. 5 odst. 1 písm. a) nařízení 2016/679, což irský dozorový úřad v návrhu rozhodnutí nekonstatoval. EDPB naopak konstatoval, že společnost WhatsApp tuto zásadu porušila;
– ke konstatování, že společnost WhatsApp porušila čl. 13 odst. 2 písm. e) nařízení 2016/679 týkající se některých informací, které mají být poskytnuty subjektům údajů v případě, že od nich byly získány osobní údaje, s tím, že irský dozorový úřad neměl za to, že může toto konstatování učinit, neboť vyšetřovatel během vyšetřování nezaujal k této otázce stanovisko, a konstatoval, že může vydat pouze doporučení. EDPB naopak dospěl k závěru, že vyšetřování zahrnovalo všechna ustanovení článku 13 nařízení 2016/679 a musí být konstatováno, že k porušení výše uvedeného ustanovení došlo;
– k tomu, zda společnost WhatsApp porušila čl. 6 odst. 1 nařízení 2016/679 týkající se podmínek pro zákonné zpracování osobních údajů, k čemuž se irský dozorový úřad nevyjádřil. EDPB konstatoval, že z procesních důvodů nelze o této otázce rozhodnout a takové porušení konstatovat;
– k rozšíření důvodů, na jejichž základě společnost WhatsApp porušila informační povinnosti stanovené v článku 14 nařízení 2016/679 týkajícím se informací, které mají být poskytnuty, pokud nebyly osobní údaje získány od subjektu údajů, vzhledem k analýze týkající se druhé odrážky výše. EDPB potvrdil dopad, který toto rozšíření mělo na nápravná opatření vztahující se ke způsobu jednání a na sankci uloženou společnosti WhatsApp;
– k tomu, zda společnost WhatsApp porušila zásadu stanovenou v čl. 5 odst. 1 písm. c) nařízení 2016/679, podle níž se shromažďují pouze údaje, které jsou přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, k čemuž se irský dozorový úřad nevyjádřil. EDPB konstatoval, že takové porušení nebylo prokázáno na základě spisu zejména s ohledem na rozsah vyšetřování vedeného vůči společnosti WhatsApp;
– ke lhůtě šesti měsíců stanovené irským dozorovým úřadem, v níž měla společnost WhatsApp v rámci nápravných opatření splnit požadavky nařízení 2016/679, které porušila. EDPB tuto lhůtu zkrátil na tři měsíce;
– v rámci nápravných opatření k tomu, jakým způsobem jsou informovány osoby, které nejsou uživateli aplikace WhatsApp, o zpracování jejich osobních údajů ze strany společnosti WhatsApp, EDPB potvrdil posouzení učiněné v tomto ohledu irským dozorovým úřadem v návrhu rozhodnutí;
– v rámci nápravných opatření k uvedení dalších důvodů, na jejichž základě společnost WhatsApp porušila informační povinnosti stanovené v článku 14 nařízení 2016/679 (viz druhá odrážka výše), s tím, že podle EDPB je uvedení těchto důvodů nezbytné k tomu, aby bylo zaručeno, že společnost WhatsApp přijme v tomto ohledu odpovídající nápravná opatření;
– s ohledem na článek 83 nařízení 2016/679, který se týká „obecných podmínek pro ukládání správních pokut“, ke kritériím pro výši pokut, které mají být uloženy společnosti WhatsApp. EDPB konstatoval, že irský dozorový úřad nesprávně vyložil kritérium vztahující se k celosvětovému ročnímu obratu dotyčného podniku, že správně vyložil pojem „předchozí finanční rok“, že nesprávně vyložil pravidlo, podle něhož v případě porušení více ustanovení nařízení 2016/679 v rámci stejných operací zpracování nebo souvisejících operací zpracování nesmí celková výše správní pokuty překročit výši stanovenou pro nejzávažnější porušení, že správně vyložil některá kritéria pro určení výše pokuty uvedená v čl. 83 odst. 1 a 2 nařízení 2016/679 (úmysl a nedbalost porušení a jejich závažnost), avšak nesprávně vyložil jiná z těchto kritérií (zohlednění obratu pro účely vyčíslení sankce nezávisle na výpočtu její horní hranice a obecněji potřebu, aby sankce byla účinná, přiměřená a odrazující);
– k výši pokut s tím, že podle EDPB měly být částky pokut zamýšlené irským dozorovým úřadem v celkové výši mezi 30 a 50 miliony eur navýšeny vzhledem k tomu, že irský dozorový úřad nesprávně vyložil některá kritéria pro vyčíslení pokuty (viz jedenáctá odrážka výše), a vzhledem k dalším porušením povinností konstatovaným na straně společnosti WhatsApp (viz první, třetí, čtvrtá a šestá odrážka výše).
12 Společnost WhatsApp napadla konečné rozhodnutí u irského soudu a zároveň se domáhala, aby napadené rozhodnutí zrušil Tribunál.
13 V rámci tohoto řízení podala Computer & Communication Industry Association návrh na vstup do řízení jako vedlejší účastnice na podporu žalobkyně, zatímco Finská republika, Evropská komise a Evropský inspektor ochrany údajů požádali o vstup do řízení jako vedlejší účastníci na podporu EDPB. V souvislosti s vedlejším účastenstvím hlavní účastníci řízení požádali, aby informace ze spisu nebyly vzhledem k jejich důvěrnosti poskytnuty některým vedlejším účastníkům řízení. V této fázi nebylo o těchto žádostech rozhodnuto.
14 Organizační procesní opatření přijaté po předložení žalobní odpovědi, kterým byli hlavní účastníci řízení vyzváni, aby se v replice a duplice neopomněli vyjádřit ke všem důležitým otázkám týkajícím se pravomoci Tribunálu a přípustnosti žaloby, v tomto ohledu zmiňovalo otázku kvalifikace napadeného rozhodnutí jako aktu orgánu Evropské unie, otázku kvalifikace napadeného rozhodnutí jako napadnutelného aktu, otázku aktivní legitimace žalobkyně a jejího právního zájmu na podání žaloby.
Návrhová žádání účastníků řízení
15 Společnost WhatsApp navrhuje, aby bylo napadené rozhodnutí zrušeno v plném rozsahu, a podpůrně navrhuje, aby byly zrušeny jeho relevantní části a EDPB uložena náhrada nákladů řízení.
16 EDPB navrhuje, aby byla žaloba odmítnuta jako nepřípustná, podpůrně navrhuje, aby byla zamítnuta jako neopodstatněná, a ještě podpůrněji navrhuje, aby napadené rozhodnutí bylo zrušeno pouze v jeho relevantních částech. EDPB rovněž navrhuje, aby byla žalobkyni uložena náhrada nákladů řízení.
Právní otázky
17 Článek 129 jednacího řádu Tribunálu stanoví, že na návrh soudce zpravodaje může Tribunál kdykoli bez návrhu po vyslechnutí hlavních účastníků řízení rozhodnout usnesením s odůvodněním o tom, zda jsou splněny nepominutelné podmínky řízení.
18 V projednávaném případě pokládá Tribunál věc na základě písemností ve spise za dostatečně objasněnou a na základě tohoto článku dospěl k závěru, že rozhodne o přípustnosti žaloby bez pokračování v řízení.
19 Ověření pravomoci Tribunálu a aktivní legitimace žalobce je totiž nepominutelnou otázkou stejně jako ověření dalších skutečností souvisejících s přípustností žaloby a hlavní účastníci řízení měli v tomto ohledu možnost předložit svá vyjádření v návaznosti na organizační procesní opatření zmíněné v bodě 14 výše poté, co EDPB ostatně sám v žalobní odpovědi namítl nepřípustnost žaloby.
20 V projednávané věci je třeba úvodem připomenout institucionální právní rámec, do něhož napadené rozhodnutí spadá.
Institucionální právní rámec
21 Kapitola VI nařízení 2016/679 je nadepsána „Nezávislé dozorové úřady“. Článek 51 stanoví, že každý členský stát „stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení“, že každý z těchto orgánů „[přispívá] k jednotnému uplatňování tohoto nařízení v celé Unii “ a že „dozorové úřady za tímto účelem spolupracují mezi sebou a s Komisí v souladu s kapitolou VII“.
22 Článek 55 stanoví, že každý dozorový úřad je na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s nařízením 2016/679, a článek 56 uvádí, že aniž je dotčen článek 55, je dozorový úřad pro hlavní nebo jedinou provozovnu správce či zpracovatele příslušný k tomu, aby jednal jako vedoucí dozorový úřad v případě přeshraničního zpracování prováděného tímto správcem či zpracovatelem v souladu s postupem stanoveným v článku 60. Jak bylo uvedeno v bodě 3 výše, v projednávané věci irský dozorový úřad jednal vůči společnosti WhatsApp jako vedoucí dozorový úřad.
23 Článek 58 odst. 2 nařízení 2016/679 stanoví, že každý dozorový úřad má pravomoc přijmout nápravná opatření vůči správci nebo zpracovateli, a ve svých písmenech b), d) a i) konkrétně stanoví, že má pravomoc udělit napomenutí správci či zpracovateli, jehož operace zpracování porušily nařízení 2016/679, nařídit jim, aby uvedli operace zpracování do souladu s nařízením 2016/679, a to případně předepsaným způsobem a ve stanovené lhůtě, a uložit jim správní pokutu.
24 Kapitola VII nařízení 2016/679, která následuje po ustanoveních uvedených výše v bodech 21 až 23, je nadepsána „Spolupráce a jednotnost“.
25 V oddílu „Spolupráce“ této kapitoly článek 60, nadepsaný „Spolupráce mezi vedoucím dozorovým úřadem a dalšími dotčenými dozorovými úřady“, zejména stanoví:
„1. Vedoucí dozorový úřad spolupracuje s ostatními dotčenými dozorovými úřady v souladu s tímto článkem ve snaze dosáhnout konsensu. Vedoucí dozorový úřad a dotčené dozorové úřady si vzájemně vyměňují veškeré relevantní informace.
[…]
3. Vedoucí dozorový úřad neprodleně sdělí relevantní informace o dané záležitosti ostatním dotčeným dozorovým úřadům. Neprodleně předloží ostatním dotčeným dozorovým úřadům návrh rozhodnutí, aby se k němu vyjádřily, a řádně zohlední jejich stanoviska.
4. Pokud ve lhůtě čtyř týdnů kterýkoliv z ostatních dotčených dozorových úřadů poté, co byl v souladu s odstavcem 3 tohoto článku konzultován, vznese k návrhu rozhodnutí relevantní a odůvodněnou námitku, postoupí vedoucí dozorový úřad v případě, že relevantní a odůvodněnou námitku nesdílí nebo ji považuje za irelevantní či nedůvodnou, záležitost k řešení v rámci mechanismu jednotnosti uvedeného v článku 63.
5. Pokud má vedoucí dozorový úřad v úmyslu vznesenou relevantní a odůvodněnou námitku zohlednit, předloží ostatním dotčeným dozorovým úřadům revidovaný návrh rozhodnutí k vyjádření. Tento revidovaný návrh rozhodnutí podléhá postupu uvedenému v odstavci 4 v rámci dvoutýdenní lhůty.
6. Pokud ve lhůtě uvedené v odstavcích 4 a 5 nevznesl žádný z ostatních dotčených dozorových úřadů námitku proti návrhu rozhodnutí předloženému vedoucím dozorovým úřadem, má se za to, že vedoucí dozorový úřad a dotčené dozorové úřady s tímto návrhem rozhodnutí souhlasí a toto rozhodnutí je pro ně závazné.
7. Vedoucí dozorový úřad dané rozhodnutí přijme, ohlásí je hlavní nebo jediné provozovně správce či zpracovatele a o daném rozhodnutí včetně shrnutí relevantních skutečností a důvodů informuje ostatní dotčené dozorové úřady a sbor. Dozorový úřad, u něhož byla podána stížnost, informuje o daném rozhodnutí stěžovatele.
[…]
10. Poté, co mu bylo oznámeno rozhodnutí vedoucího dozorového úřadu podle odstavců 7 a 9, přijme správce nebo zpracovatel opatření nezbytná k zajištění souladu s daným rozhodnutím, pokud jde o činnosti zpracování prováděné v souvislosti se všemi jeho provozovnami v Unii. Správce nebo zpracovatel oznámí opatření přijatá k zajištění souladu s daným rozhodnutím vedoucímu dozorovému úřadu, který o tom informuje ostatní dotčené dozorové úřady.“
26 V oddíle „Jednotnost“ téže kapitoly VII nařízení 2016/679 článek 63, nadepsaný „Mechanismus jednotnosti“, stanoví:
„S cílem přispět k jednotnému uplatňování tohoto nařízení v celé Unii spolupracují dozorové úřady mezi sebou navzájem a ve vhodných případech s Komisí prostřednictvím mechanismu jednotnosti stanoveného v tomto oddíle.“
27 EDPB zasahuje v rámci uvedeného mechanismu. Statut EDPB je stanoven v třetím a posledním oddíle kapitoly VII nařízení 2016/679, nadepsané „Evropský sbor pro ochranu osobních údajů“.
28 V tomto oddíle článek 68 stanoví:
„1. Zřizuje se Evropský sbor pro ochranu osobních údajů (dále jen ‚sbor‘) jako subjekt Unie s právní subjektivitou.
[…]
3. Sbor tvoří vedoucí jednoho dozorového úřadu z každého členského státu a evropský inspektor ochrany údajů nebo jejich zástupci.
[…]“
29 V témže oddíle článek 70, nadepsaný „Úkoly sboru“, stanoví:
„1. Sbor zajišťuje jednotné uplatňování tohoto nařízení. Za tímto účelem sbor z vlastního podnětu nebo případně na žádost Komise zejména:
a) monitoruje a zajišťuje řádné uplatňování tohoto nařízení v případech uvedených v článcích 64 a 65, aniž jsou dotčeny úkoly vnitrostátních dozorových úřadů;
[…]“
30 Tentýž článek 70 mimoto podrobně vyjmenovává další úkoly EDPB, které jsou v podstatě poradenstvím, které musí poskytovat prostřednictvím stanovisek, pokynů, doporučení a „osvědčených postupů“.
31 V oddíle „Jednotnost“, zmíněném v bodě 26 výše, následuje po článku 64, který vyjmenovává případy, kdy EPSD vydává stanovisko, článek 65, nadepsaný „Řešení sporů sborem“, který stanoví:
„1. S cílem zajistit, aby toto nařízení bylo v jednotlivých případech správně a důsledně uplatňováno, přijme sbor závazné rozhodnutí v těchto případech:
a) pokud v případě uvedeném v čl. 60 odst. 4 vznesl dotčený dozorový úřad relevantní a odůvodněnou námitku vůči návrhu rozhodnutí vedoucího dozorového úřadu nebo pokud vedoucí dozorový úřad tuto námitku nezohlednil nebo ji zamítl jako irelevantní či nedůvodnou. Závazné rozhodnutí se týká všech záležitostí, které jsou předmětem relevantní a odůvodněné námitky, zejména dojde-li k porušení tohoto nařízení;
[…]
2. Rozhodnutí uvedené v odstavci 1 přijmou […] členové sboru dvoutřetinovou většinou. […] Rozhodnutí uvedené v odstavci 1 musí být odůvodněno a určeno vedoucímu dozorovému úřadu a všem dotčeným dozorovým úřadům a je pro ně závazné.
[…]
5. Předseda sboru bez zbytečného odkladu oznámí rozhodnutí uvedené v odstavci 1 dotčeným dozorovým úřadům. Uvědomí o tom Komisi. Rozhodnutí se neprodleně zveřejní na internetových stránkách sboru poté, co dozorový úřad oznámil konečné rozhodnutí podle odstavce 6.
6. Vedoucí dozorový úřad nebo dozorový úřad, u něhož byla stížnost podána, přijme své konečné rozhodnutí na základě rozhodnutí uvedeného v odstavci 1 tohoto článku bez zbytečného odkladu a nejpozději do jednoho měsíce poté, co sbor oznámil své rozhodnutí. […] Konečné rozhodnutí musí odkazovat na rozhodnutí uvedené v odstavci 1 tohoto článku a uvádět, že rozhodnutí zmíněné v uvedeném odstavci bude zveřejněno na internetových stránkách sboru v souladu s odstavcem 5 tohoto článku. Ke konečnému rozhodnutí se přiloží rozhodnutí uvedené v odstavci 1 tohoto článku.“
32 Kapitola VIII nařízení 2016/679, nadepsaná „Právní ochrana, odpovědnost a sankce“, upravuje v článku 78 „právo na účinnou soudní ochranu vůči dozorovému úřadu“ a v článku 79 „Právo na účinnou soudní ochranu vůči správci nebo zpracovateli“. Neobsahuje žádné ustanovení týkající se případných opravných prostředků proti závazným rozhodnutím EPSD přijatým na základě výše uvedeného čl. 65 odst. 1. Článek 78 odst. 4 nicméně uvádí, že „[j]e-li zahájeno řízení proti rozhodnutí dozorového úřadu, kterému předcházelo […] rozhodnutí sboru v rámci mechanismu jednotnosti, dozorový úřad […] rozhodnutí předloží soudu.“
33 V odůvodnění nařízení 2016/679 bod 143 odůvodnění uvádí:
„Každá fyzická nebo právnická osoba má právo podat žalobu na neplatnost rozhodnutí sboru u Soudního dvora za podmínek stanovených v článku 263 [SFEU]. Jakožto orgány, jimž jsou taková rozhodnutí určena, musí dotčené dozorové úřady, které chtějí tato rozhodnutí napadnout, v souladu s článkem 263 [SFEU] žalobu podat ve lhůtě dvou měsíců ode dne, kdy jim byla rozhodnutí oznámena. Pokud se rozhodnutí sboru bezprostředně a osobně dotýkají správce, zpracovatele nebo stěžovatele, mohou tyto osoby podat žalobu na neplatnost těchto rozhodnutí a v souladu s článkem 263 [SFEU] ve lhůtě dvou měsíců od jejich zveřejnění na internetových stránkách sboru. Aniž je dotčeno toto právo podle článku 263 [SFEU], měla by mít každá fyzická nebo právnická osoba právo na účinnou soudní ochranu u příslušného vnitrostátního soudu proti rozhodnutím dozorového úřadu, která vůči ní zakládají právní účinky. Taková rozhodnutí se týkají zejména výkonu vyšetřovacích, nápravných a povolovacích pravomocí dozorovým úřadem nebo odmítnutí či zamítnutí stížností. Právo na účinnou soudní ochranu se však nevztahuje na další opatření dozorových úřadů, která nejsou právně závazná, jako jsou stanoviska vydávaná dozorovým úřadem nebo poradenství jím poskytované. Řízení proti dozorovému úřadu by mělo být zahájeno u soudů toho členského státu, v němž je daný dozorový úřad zřízen, a mělo by probíhat podle procesního práva tohoto členského státu. Tyto soudy by měly vykonávat soudní pravomoc v plném rozsahu, která by měla zahrnovat pravomoc řešit všechny skutkové a právní otázky, které jsou pro jimi projednávaný spor relevantní.
Pokud dozorový úřad odmítl nebo zamítl stížnost, může se stěžovatel obrátit na soudy v tomtéž členském státě. Pokud jde o soudní ochranu související s uplatňováním tohoto nařízení, vnitrostátní soudy, které zvažují rozhodnutí o otázce nezbytné pro vydání jejich rozsudku, mohou, nebo v případě uvedeném v článku 267 [SFEU] musí, požádat Soudní dvůr o rozhodnutí o předběžné otázce týkající se výkladu práva Unie včetně tohoto nařízení. Kromě toho pokud je rozhodnutí dozorového úřadu, kterým se provádí rozhodnutí sboru, napadeno u vnitrostátního soudu a předmětem sporu je platnost daného rozhodnutí sboru, nemá tento vnitrostátní soud pravomoc prohlásit rozhodnutí sboru za neplatné, nýbrž se musí v případě, že je považuje za neplatné, obrátit v otázce platnosti na Soudní dvůr v souladu s článkem 267 [SFEU]. Vnitrostátní soud se však nemůže s otázkou platnosti rozhodnutí sboru obrátit na Soudní dvůr na žádost fyzické či právnické osoby, která měla možnost podat žalobu na neplatnost tohoto rozhodnutí, zejména pokud se jí rozhodnutí bezprostředně a osobně dotýkalo, avšak ve lhůtě stanovené v článku 263 [SFEU] tak neučinila.“
K přípustnosti žaloby
34 Článek 263 SFEU, jehož první, druhý, čtvrtý a pátý pododstavec jsou reprodukovány níže, stanoví:
„Soudní dvůr Evropské unie přezkoumává legalitu legislativních aktů, aktů Rady, Komise a Evropské centrální banky, s výjimkou doporučení a stanovisek, a rovněž aktů Evropského parlamentu a Evropské rady, které mají právní účinky vůči třetím osobám. Rovněž přezkoumává legalitu aktů institucí a jiných subjektů Unie, které mají právní účinky vůči třetím osobám.
Za tím účelem má pravomoc rozhodovat o žalobách podaných členskými státy, Evropským parlamentem, Radou nebo Komisí pro nedostatek příslušnosti, pro porušení podstatných formálních náležitostí, pro porušení Smluv nebo jakéhokoli právního předpisu týkajícího se jejich provádění anebo pro zneužití pravomoci.
[…]
Každá fyzická nebo právnická osoba může za podmínek uvedených v prvním a druhém pododstavci podat žalobu proti aktům, které jsou jí určeny nebo které se jí bezprostředně a osobně dotýkají, jakož i proti právním aktům s obecnou působností [proti nařizovacím aktům], které se jí bezprostředně dotýkají a nevyžadují přijetí prováděcích opatření.
Akty zřizující instituce a jiné subjekty Unie mohou stanovit zvláštní podmínky a úpravy týkající se žalob podávaných fyzickými nebo právnickými osobami proti aktům těchto institucí a jiných subjektů, které vůči nim mají právní účinky.
[…]“
35 Z článku 263 prvního pododstavce SFEU vyplývá, že unijní soud má pravomoc přezkoumávat legalitu aktu unijního orgánu, který má právní účinky vůči třetím osobám. Z téhož článku čtvrtého pododstavce navíc vyplývá, že k tomu, aby byla právnická osoba aktivně legitimována k podání žaloby proti individuálnímu aktu unijního orgánu, který jí není určen, musí být tímto aktem v zásadě bezprostředně a osobně dotčena. Jak je v tomto případě uvedeno v bodě 32 výše, v nařízení 2016/679 není obsaženo žádné ustanovení odpovídající ustanovení čl. 263 SFEU pátého pododstavce, takže pro společnost WhatsApp v projednávané věci skutečně platí podmínka být bezprostředně a osobně dotčena napadeným rozhodnutím stanovená ve čtvrtém pododstavci tohoto článku, aby její žaloba proti tomuto rozhodnutí mohla být přípustná.
36 Nejprve je třeba konstatovat, že napadené rozhodnutí přijaté EDPB je skutečně aktem unijního orgánu. Institucionální mechanismus stanovený nařízením 2016/679, který byl popsán výše v bodech 21 až 31, a zejména výlučná pravomoc vnitrostátních dozorových úřadů přijímat nápravná opatření vůči správcům a zpracovatelům, jakož i mechanismy spolupráce a jednotnosti mezi těmito úřady včetně v rámci EDPB, který takové úřady v zásadě seskupuje, by zajisté mohly vést k domněnce, že je EDPB pouze koordinačním orgánem mezi vnitrostátními úřady. Nicméně podle čl. 68 odst. 1 nařízení 2016/679 byl EDPB zřízen jako subjekt Unie s právní subjektivitou. V tomto postavení je navíc oprávněn přijímat na základě článků 64 a 65 nařízení 2016/679 stanoviska a v rámci řešení sporů mezi vnitrostátními dozorovými úřady taková rozhodnutí, jako je napadené rozhodnutí, která jsou pro dotyčné dozorové úřady závazná, a tedy tato stanoviska a tato rozhodnutí jsou akty unijního orgánu.
37 Dále je třeba konstatovat, že napadené rozhodnutí má mít právní účinky vůči třetím osobám, neboť je „závazným rozhodnutím“ vůči dotčeným dozorovým úřadům přijatým na základě článku 65 nařízení 2016/679.
38 Pokud však žalobce není jedním z tzv. „privilegovaných“ žalobců jednotlivě jmenovaných v čl. 263 druhém pododstavci SFEU, podle ustálené judikatury k tomu, aby akt byl aktem, který tento žalobce může napadnout, musí vyvolávat závazné právní účinky, jimiž mohou být dotčeny zájmy žalobce tím, že podstatným způsobem mění jeho právní postavení (rozsudek ze dne 11. listopadu 1981, IBM v. Komise, 60/81, EU:C:1981:264, bod 9; viz rovněž rozsudek ze dne 18. listopadu 2010, NDSHT v. Komise, C‑322/09 P, EU:C:2010:701, bod 45 a citovaná judikatura).
39 Soudní dvůr rovněž rozhodl, že pokud takový žalobce není adresátem aktu, který napadá, podmínka, podle níž musí akt podstatným způsobem měnit právní postavení žalobce, se překrývá s podmínkami stanovenými v čl. 263 čtvrtém pododstavci SFEU, tj. situací, kdy napadený akt není nařizovacím aktem, který nevyžaduje přijetí prováděcích opatření, přičemž je nutné, aby byl žalobce tímto aktem bezprostředně a osobně dotčen (v tomto smyslu viz rozsudek ze dne 13. října 2011, Deutsche Post a Německo v. Komise, C‑463/10 P a C‑475/10 P, EU:C:2011:656, bod 38).
40 V projednávaném případě lze s ohledem na povahu napadeného aktu, který je individuálním aktem, bez dalšího poznamenat, že společnost WhatsApp je napadeným rozhodnutím osobně dotčena, neboť se toto rozhodnutí týká některých aspektů návrhu konečného rozhodnutí irského dozorového úřadu, které se týká jí konkrétně. Na rozdíl od toho, co tvrdí EDPB v duplice, neuvádí napadené rozhodnutí pouze zásady nebo výklad některých ustanovení nařízení 2016/679, které by se mohly týkat jakéhokoli správce údajů. V napadeném rozhodnutí, jak je uvedeno v bodě 11 výše, se EDPB vyslovuje k tomu, zda společnost WhatsApp dodržela některé ze svých povinností podle nařízení 2016/679, kvalifikuje jako osobní údaje informace z procesu zvaného „Lossy Hashing Procedure“, v jehož rámci informace zpracovává pouze společnost WhatsApp, a vyslovuje se k určitým nápravným opatřením, která mají být uložena společnosti WhatsApp, a zejména k některým aspektům stanovení správních pokut, jež jí mají být uloženy. Napadené rozhodnutí je tak specifické pro společnost WhatsApp, i když v obecné rovině zmiňuje či připomíná zásady a výklad, jak tomu velmi často bývá u individuálních aktů.
41 Následně je třeba zkoumat otázku, zda napadené rozhodnutí vyvolává právní účinky, které podstatným způsobem mění právní postavení společnosti WhatsApp, a zda se jí bezprostředně dotýká ve smyslu čl. 263 čtvrtého pododstavce SFEU.
42 Z tohoto hlediska je třeba poznamenat, jak správně zdůrazňuje EDPB, že napadené rozhodnutí samo o sobě nemění právní postavení společnosti WhatsApp. Na rozdíl od konečného rozhodnutí irského dozorového úřadu jej totiž nelze vůči ní přímo uplatnit a ve vztahu k této společnosti jde přípravný nebo mezitímní akt v řízení, které musí být v souladu s ustanoveními čl. 58 odst. 2 a článků 60, 63 a 65 nařízení 2016/679 citovanými v bodech 23 až 26, jakož i v bodě 31 výše, ukončeno právě přijetím konečného rozhodnutí vnitrostátního dozorového úřadu určeného tomuto podniku (v tomto smyslu a obdobně viz rozsudek ze dne 24. června 1986, AKZO Chemie a AKZO Chemie UK v. Komise, 53/85, EU:C:1986:256, bod 19).
43 V tomto ohledu bylo opakovaně judikováno, že v řízeních vedoucích k vypracování aktů v několika fázích v zásadě nelze považovat za napadnutelné akty mezitímní opatření, jejichž cílem je příprava konečného rozhodnutí (v tomto smyslu viz rozsudky ze dne 11. listopadu 1981, IBM v. Komise, 60/81, EU:C:1981:264, bod 10, a ze dne 26. ledna 2010, Internationaler Hilfsfonds v. Komise, C‑362/08 P, EU:C:2010:40, bod 52 a citovaná judikatura).
44 Výjimky ze zásady připomenuté v bodě 43 výše se týkají případů, kdy má mezitímní opatření samostatné právní účinky, ve vztahu k nimž nemůže být poskytnuta záruka dostatečné soudní ochrany v rámci žaloby proti rozhodnutí, kterým se končí řízení (v tomto smyslu viz rozsudky ze dne 11. listopadu 1981, IBM v. Komise, 60/81, EU:C:1981:264, body 11 a 12, a ze dne 13. října 2011, Deutsche Post a Německo v. Komise, C‑463/10 P a C‑475/10 P, EU:C:2011:656, body 53 a 54). Takové výjimky byly například identifikovány u řízení, v jehož rámci je kontrolováno dodržování pravidel hospodářské soutěže použitelných na podniky (v tomto smyslu viz rozsudek ze dne 24. června 1986, AKZO Chemie a AKZO Chemie UK v. Komise, 53/85, EU:C:1986:256, bod 20), u řízení, v jehož rámci je kontrolováno dodržování pravidel v oblasti státních podpor (v tomto smyslu viz rozsudek ze dne 9. října 2001, Itálie v. Komise, C‑400/99, EU:C:2001:528, body 55 až 63) a u pomocných či zajišťovacích opatření předcházejících přijetí konečného rozhodnutí za účelem pozastavení výkonu funkce úředníka, vůči němuž je vedeno disciplinární řízení (v tomto smyslu viz rozsudek ze dne 5. května 1966, Gutmann v. Komise, 18/65 a 35/65, EU:C:1966:24, s. 168).
45 V projednávané věci je účinná soudní ochrana společnosti WhatsApp proti napadenému rozhodnutí naopak zaručena prostřednictvím opravného prostředku, který může k vnitrostátnímu soudu podat proti konečnému rozhodnutí irského dozorového úřadu a který umožňuje posoudit platnost napadeného rozhodnutí. Jak stanoví ustanovení čl. 78 odst. 1 nařízení 2016/679, podle něhož musí být právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu zaručeno v každém členském státě každé osobě, které se toto rozhodnutí týká, společnost WhatsApp napadla u irského soudu konečné rozhodnutí vydané irským dozorovým úřadem a může v rámci tohoto opravného prostředku uplatňovat protiprávnost závazných posouzení obsažených v napadeném rozhodnutí a převzatých v tomto konečném rozhodnutí. V tomto ohledu je třeba připomenout, že článek 267 SFEU umožňuje před vnitrostátním soudem namítat neplatnost aktů přijatých orgány, institucemi a jinými subjekty Unie a stanoví, že považuje-li vnitrostátní soud rozhodnutí o této otázce za nezbytné k vynesení svého rozsudku, může nebo musí požádat Soudní dvůr Evropské unie o rozhodnutí o předběžné otázce týkající se posouzení platnosti. Pokud tento soud na konci řízení o předběžné otázce konstatuje, že je – v případě, že se jedná o přípravný akt pro rozhodnutí vydané orgánem členského státu – takový akt neplatný, musí z toho vnitrostátní soud vyvodit důsledky stran legality tohoto rozhodnutí, které nepříznivě zasahuje do právního postavení dotčené osoby (v tomto smyslu viz rozsudky ze dne 30. října 1975, Rey Soda a další, 23/75, EU:C:1975:142, bod 51, a ze dne 20. března 2018, Šroubárna Ždánice v. Rada, T‑442/16, nezveřejněný, EU:T:2018:159, bod 34).
46 Napadené rozhodnutí navíc nevyvolává vůči společnosti WhatsApp samostatné právní účinky ve srovnání s konečným rozhodnutí irského dozorového úřadu: všechna posouzení obsažená v prvním aktu jsou převzata ve druhém a první nemá žádný účinek, který by byl nezávislý na obsahu druhého, na rozdíl od situace, v níž byly vydány rozsudky ze dne 5. května 1966, Gutmann v. Komise (18/65 a 35/65, EU:C:1966:24); ze dne 24. června 1986, AKZO Chemie a AKZO Chemie UK v. Komise (53/85, EU:C:1986:256), a ze dne 9. října 2001, Itálie v. Komise (C‑400/99, EU:C:2001:528), uvedené v bodě 44 výše.
47 I když zásady připomenuté v bodech 43 a 44 výše byly v tomto ohledu vyvozeny v souvislosti s řízeními, v nichž vydání konečného rozhodnutí spadá do pravomoci orgánů nebo jiných subjektů Unie, není dán žádný důvod k tomu, aby tomu bylo jinak v situaci, kdy jako v tomto případě unijní právní předpisy svěřují dohled nad uplatňováním zvláštních unijních pravidel zvláštním vnitrostátním orgánům v rámci řízení zahrnujících několik fází a kdy je předmětem sporu mezitímní opatření přijaté subjektem Unie v průběhu takového řízení, které končí rozhodnutím vnitrostátního orgánu.
48 Je pravda, že společnost WhatsApp tvrdí, že napadené rozhodnutí je konečným stanoviskem EDPB, které měl v konečném rozhodnutí následovat irský dozorový úřad. Tento argument lze chápat v tom smyslu, že napadené rozhodnutí je z tohoto důvodu nezbytně napadnutelným aktem a že se liší od mezitímních opatření vyjadřujících pouze prozatímní stanovisko, která jako taková nejsou napadnutelnými akty.
49 Jak však bylo připomenuto v bodě 38 výše, aby mohl být akt napadnutelný jiným žalobcem, než jsou tzv. privilegovaní žalobci uvedení v čl. 263 druhém pododstavci SFEU, musí tento akt podstatným způsobem změnit jeho právní postavení. Skutečnost, že mezitímní akt vyjadřuje konečné stanovisko orgánu, které bude muset být převzato do konečného rozhodnutí, jímž dotčené řízení končí, jako je tomu v projednávané věci, neboť napadené rozhodnutí obsahuje konečnou analýzu některých aspektů konečného rozhodnutí, přitom nutně neznamená, že tento mezitímní akt sám o sobě podstatným způsobem mění právní postavení žalobce, jak je ukázáno v projednávané věci v bodech 42 až 47 výše. Vzhledem k tomu, že se tato podmínka, jak bylo připomenuto v bodě 39 výše, překrývá s podmínkami stanovenými v čl. 263 čtvrtém pododstavci SFEU, tedy zejména s požadavkem, aby byl žalobce tímto aktem bezprostředně dotčen, lze v projednávané věci ověřit splnění této podmínky tím, že bude zkoumáno, zda je společnost WhatsApp napadeným rozhodnutím bezprostředně dotčena.
50 Jak přitom správně tvrdí EDPB, společnost WhatsApp napadeným rozhodnutím bezprostředně dotčena není.
51 Podle ustálené judikatury totiž musí tento akt k tomu, aby se bezprostředně dotýkal žalobce, jenž není adresátem aktu, zaprvé mít bezprostřední právní účinky na postavení tohoto žalobce a zadruhé nesmí ponechat svým adresátům pověřeným jeho provedením žádnou volnost uvážení a toto provedení musí být čistě automatické a vyplývat výlučně z unijní právní úpravy bez potřeby použít další zprostředkující předpisy (rozsudky ze dne 13. května 1971, International Fruit Company a další v. Komise, 41/70 až 44/70, EU:C:1971:53, body 23 až 28; ze dne 5. května 1998, Dreyfus v. Komise, C‑386/96, EU:C:1998:193, bod 43, a ze dne 17. září 2009, Komise v. Koninklijke FrieslandCampina,C‑519/07 P, EU:C:2009:556, bod 48).
52 Pokud jde o první z těchto podmínek, jak již bylo uvedeno v bodě 42 výše, napadené rozhodnutí nelze uplatňovat vůči společnosti WhatsApp tak, aby bez z něj bez další fáze řízení mohly pro tuto společnost vyplývat povinnosti nebo případně práva pro jiné jednotlivce. Liší se tak například od aktů, které byly předmětem rozsudku ze dne 23. dubna 1986, Les Verts v. Parlament (294/83, EU:C:1986:166) a o nichž bylo v bodě 31 tohoto rozsudku uvedeno pro účely závěru, že se bezprostředně dotýkají žalujícího sdružení, že „představují úplnou právní úpravu, která je sama o sobě dostatečná a nevyžaduje žádný prováděcí předpis“. V projednávaném případě není napadené rozhodnutí posledním krokem celého řízení upraveného v článcích 58, 60 a 65 nařízení 2016/679.
53 Pokud jde o druhou z těchto podmínek týkající se posuzovací pravomoci orgánu pověřeného provedením dotčeného aktu, je třeba konstatovat, že i když napadené rozhodnutí zavazovalo irský dozorový úřad, pokud jde o aspekty, kterých se týkalo, ponechalo mu prostor pro uvážení stran obsahu konečného rozhodnutí.
54 Jak totiž vyplývá ze srovnání obsahu napadeného rozhodnutí uvedeného v bodě 11 výše, kterým byly dotčeným dozorovým úřadům dány pokyny, a obsahu konečného rozhodnutí určeného společnosti WhatsApp uvedeného v bodě 8 výše, obsah napadeného rozhodnutí je v porovnání s konečným rozhodnutím částečný.
55 V obou rozhodnutích se shoduje konstatování, že společnost WhatsApp porušila zásadu transparentnosti stanovenou v čl. 5 odst. 1 písm. a) a povinnosti stanovené v čl. 13 odst. 1 písm. d) a v čl. 13 odst. 2 písm. e) nařízení 2016/679, kvalifikace informací z procesu zvaného „Lossy Hashing Procedure“ jako osobních údajů použitá na údaje o „kontaktech“ osob, které nejsou uživateli aplikace WhatsApp, obsažené v adresářích uživatelů aplikace WhatsApp, konstatování, že společnost WhatsApp porušila povinnosti stanovené v článku 14 nařízení 2016/679 vzhledem k této kvalifikaci, tříměsíční lhůta daná společnosti WhatsApp ke splnění požadavků stanovených v nařízení 2016/679, některé aspekty nápravných opatření, a sice aspekty týkající se osobních údajů osob, které nejsou uživateli aplikace WhatsApp, a povinnosti poskytnout uživatelům aplikace WhatsApp informace stanovené v čl. 13 odst. 2 písm. e) nařízení 2016/679, výklad kritérií pro vyčíslení správních pokut uložených společnosti WhatsApp a zvýšení částky těchto pokut oproti celkové částce ve výši 30 až 50 milionů eur navrhované irským dozorovým úřadem v návrhu rozhodnutí.
56 V následujících aspektech naopak konečné rozhodnutí vychází z posouzení irského dozorového úřadu, zatímco EDPB v tomto ohledu nezaujal v napadeném rozhodnutí stanovisko: konstatování, že společnost WhatsApp porušila povinnosti stanovené v čl. 12 odst. 1, čl. 13 odst. 1 písm. c), e) a f), jakož i v čl. 13 odst. 2 písm. a) a c) nařízení 2016/679; konstatování, že společnost WhatsApp splnila povinnosti stanovené v čl. 13 odst. 1 písm. a) a b) a v čl. 13 odst. 2 písm. b) a d) nařízení 2016/679; postavení společnosti WhatsApp při zpracování osobních údajů osob, které její službu zasílání textových zpráv nepoužívají; podstata obsahu nápravných opatření uložených společnosti WhatsApp, a sice opatření k zajištění dodržování povinností stanovených v čl. 12 odst. 1, čl. 13 odst. 1 písm. c), d), e) a f) a v čl. 13 odst. 2 písm. a) a c) nařízení 2016/679; konkrétní určení výše správních pokut uložených společnosti WhatsApp, které činí celkem 225 milionů eur.
57 Zejména je třeba poznamenat, že irský dozorový úřad využil svého prostoru pro uvážení, aby vyvodil důsledky z pokynů daných v napadeném rozhodnutí, v otázce kvalifikace informací z procesu zvaného „Lossy Hashing Procedure“ jako osobních údajů a v otázce správních pokut.
58 Pokud jde o první aspekt, tj. otázku zpracování osobních údajů osob, které nejsou uživateli aplikace WhatsApp, a zejména informací z procesu zvaného „Lossy Hashing Procedure“, jak vyplývá z bodu 111 konečného rozhodnutí, v následující fázi analýzy směřující k určení, zda společnost WhatsApp ve vztahu k těmto osobám porušila povinnosti stanovené v článku 14 nařízení 2016/679, je otázkou, zda – pokud jde o zpracování sporných osobních údajů – společnost WhatsApp působila jako správce nebo pouhý zpracovatel jednající na účet uživatele své služby zasílání textových zpráv, který si aktivoval funkci „Kontakty“. Tato fáze analýzy, která byla uzavřena potvrzením první hypotézy, přitom vyplývá z posouzení irského dozorového úřadu, zatímco EDPB se v napadeném rozhodnutí v tomto ohledu nevyjádřil.
59 Pokud jde o stanovení správních pokut, i když napadené rozhodnutí obsahuje pokyny pro výklad kritérií pro vyčíslení správních pokut uložených na základě nařízení 2016/679 a pro zvýšení celkové výše pokut, které mají být v projednávaném případě uloženy společnosti WhatsApp oproti tomu, co bylo navrhováno v návrhu rozhodnutí irským dozorovým úřadem, tento úřad si při stanovování konkrétní výše pokut, které mají být uloženy společnosti WhatsApp, zachoval prostor pro uvážení. Jak bylo ostatně uvedeno v bodě 8 výše, irský dozorový úřad před přijetím konečného rozhodnutí požádal společnost WhatsApp o vyjádření k novým správním pokutám, které jí hodlal uložit, což je v souladu s konstatováním, že si tento orgán v tomto ohledu zachoval prostor pro uvážení. V projednávaném případě lze poznamenat, že v konečném rozhodnutí byla nakonec použita dolní hranice rozpětí nových pokut navrhovaných irským dozorovým úřadem.
60 Konečné rozhodnutí přitom představuje celek, od něhož nelze oddělit části s pokyny uvedenými v napadeném rozhodnutí tak, aby tvořily konečné „dílčí rozhodnutí“, v jehož případě nemá dozorový úřad žádný prostor pro uvážení. Šetření a konečné rozhodnutí irského dozorového úřadu se totiž týkaly toho, zda společnost WhatsApp dodržela zásadu transparentnosti a všechny související konkrétní povinnosti stanovené v nařízení 2016/679. V konečném rozhodnutí byla tedy analyzována celková praxe společnosti WhatsApp v tomto ohledu a tentýž aspekt této praxe byl zkoumán z hlediska několika relevantních ustanovení nařízení 2016/679, například z hlediska čl. 5 odst. 1 písm. a), čl. 12 odst. 1 a četných ustanovení čl. 13 nařízení 2016/679, přičemž napadené rozhodnutí obsahuje analýzu pouze z hlediska některých z těchto ustanovení. Nemělo by žádný smysl oddělovat od celkové analýzy provedené v konečném rozhodnutí některé zvláštní aspekty, když se řízení zahájené vůči společnosti WhatsApp z podnětu a na odpovědnost irského dozorového úřadu jakožto vedoucího dozorového úřadu týkalo obecného posouzení, zda společnost WhatsApp dodržela zásadu transparentnosti. Pokud jde konkrétně o stanovení peněžitých sankcí, irský dozorový úřad stanovil výši každé ze čtyř správních pokut s ohledem na všechna konstatovaná porušení čl. 5 odst. 1 písm. a) a článků 12, 13 a 14 nařízení 2016/679.
61 V důsledku toho není splněna žádná z obou podmínek připomenutých v bodě 51 výše, na jejichž základě by v případě jejich splnění bylo možné mít za to, že je společnost WhatsApp napadeným rozhodnutím bezprostředně dotčena.
62 Z výše uvedeného vyplývá, že žaloba společnosti WhatsApp není přípustná.
63 Výsledek této analýzy je konsistentní s tím, co bylo rozhodnuto u jiných řízení, v nichž je závazný unijní akt týkající se podniků určen členskému státu.
64 V oblasti kontroly státních podpor tak bylo judikováno, že pokud Komise přijme rozhodnutí prohlašující již poskytnutou podporu za protiprávní a neslučitelnou s vnitřním trhem a nařídí dotčenému členskému státu, aby vyplacené podpory vymohl zpět, jsou příjemci těchto vyplacených podpor tímto rozhodnutím bezprostředně a osobně dotčeni (v tomto smyslu viz rozsudek ze dne 19. října 2000, Itálie a Sardegna Lines v. Komise, C‑15/98 a C‑105/99, EU:C:2000:570, body 33 až 36). V tomto ohledu bylo uvedeno, že od okamžiku přijetí takového rozhodnutí jsou tito příjemci vystaveni tomu, že budou výhody, které získali, vymáhány zpět, a je tak dotčeno jejich právní postavení (rozsudek ze dne 9. června 2011, Comitato „Venezia vuole vivere“ a další v. Komise, C‑71/09 P, C‑73/09 P a C‑76/09 P, EU:C:2011:368, bod 56). To je vysvětleno tím, že kontrolní řízení je v této fázi ukončeno a není nutné žádné další věcné posouzení, neboť částky, které se mají vymáhat zpět, jsou určeny mechanicky na základě rozhodnutí Komise a podpor poskytnutých předtím dotčeným podnikům, tím, že členský stát má povinnost se sám zapojit do zpětného vymáhání těchto podpor a dovést jej do úspěšného konce kromě zcela výjimečných okolností (v tomto smyslu viz rozsudky ze dne 7. června 1988, Komise v. Řecko, 63/87, EU:C:1988:285; ze dne 20. září 1990, Komise v. Německo, C‑5/89, EU:C:1990:320, body 15 a 16, a ze dne 20. března 1997, Alcan Deutschland, C‑24/95, EU:C:1997:163), a tím, že třetí osoby mohou jednat na základě rozhodnutí Komise před dotčeným správním orgánem nebo vnitrostátním soudem za účelem zpětného vymáhání sporných podpor, a nemusí samy prokazovat, že byly ony podpory přiznány protiprávně (obdobně viz rozsudek ze dne 12. února 2008, CELF a ministre de la Culture et de la Communication, C‑199/06, EU:C:2008:79, body 23 a 39 až 41). V projednávané věci se napadené rozhodnutí nenachází v obdobné fázi, neboť kontrolní řízení nebylo jeho přijetím ukončeno a vedoucí dozorový úřad musel ještě provést či potvrdit dodatečná posouzení stran toho, zda společnost WhatsApp dodržela ustanovení nařízení 2016/679, a stran uložené sankce a napadené rozhodnutí nemohlo samo o sobě sloužit jako právní titul pro uložení povinností společnosti WhatsApp.
65 Bylo rovněž judikováno, že rozhodnutí Komise určené členskému státu, v němž se uvádí, že evropské dotace ve prospěch určitého podniku se snižují oproti tomu, co bylo stanoveno, z důvodu nezpůsobilosti některých výdajů předložených tímto podnikem k financování z těchto dotací, se tohoto podniku bezprostředně a osobně dotýká, neboť dotčené rozhodnutí mu upírá část finanční pomoci, která mu byla původně poskytnuta, aniž členský stát v tomto ohledu disponuje posuzovací pravomocí (rozsudek ze dne 4. června 1992, Infortec v. Komise, C‑157/90, EU:C:1992:243, bod 17). Nicméně v projednávané věci na rozdíl od rozhodnutí Komise, které vedlo k tomuto posouzení, napadené rozhodnutí není posledním krokem celého dotčeného řízení, jak bylo konstatováno v bodě 52 výše, a irský dozorový úřad si zachoval prostor pro uvážení, jak bylo konstatováno v bodech 56 a 57 výše.
66 Nepřípustnost žaloby společnosti WhatsApp podané k Tribunálu proti napadenému rozhodnutí obecně zapadá do logiky systému procesních prostředků zavedeného Smlouvou o EU a Smlouvou o FEU.
67 Jak stanoví článek 2 Smlouvy o EU, Unie je založena zejména na dodržování zásad právního státu. Článek 6 odst. 1 smlouvy o EU stanoví, že Unie uznává práva, svobody a zásady obsažené v Listině základních práv Evropské unie a článek 47 Listiny zaručuje právo na účinnou právní ochranu a spravedlivý proces. Článek 19 smlouvy o EU upřesňuje, že Soudní dvůr Evropské unie zajišťuje dodržování práva při výkladu a provádění Smluv, a zejména, že rozhoduje v souladu se Smlouvami o žalobách podaných členským státem, orgánem nebo fyzickými či právnickými osobami a na žádost vnitrostátních soudů o předběžných otázkách týkajících se výkladu práva Unie nebo platnosti aktů přijatých orgány, jakož i v ostatních případech stanovených ve Smlouvách. Tentýž článek stanoví, že členské státy stanoví prostředky nezbytné k zajištění účinné právní ochrany v oblastech pokrytých právem Unie.
68 Smlouva o FEU, a zejména její článek 263 týkající se přímých žalob k Soudnímu dvoru Evropské unie a její článek 267 týkající se případů, kdy Soudní dvůr rozhoduje o předběžné otázce, a konkrétně o platnosti a výkladu aktů přijatých orgány, institucemi nebo jinými subjekty Unie, totiž zavedla ucelený systém procesních prostředků určený k zajištění přezkumu legality unijních aktů (v tomto smyslu viz rozsudek ze dne 25. července 2002, Unión de Pequeños Agricultores v. Rada, C‑50/00 P, EU:C:2002:462, bod 40). Na tomto systému se podílí jak Soudní dvůr Evropské unie, jehož je Tribunál součástí, tak vnitrostátní soudy. V tomto systému mají osoby, které z důvodu podmínek přípustnosti uvedených v článku 263 SFEU nemohou přímo napadnout unijní akty u Soudního dvora Evropské unie, možnost uplatnit formou námitky protiprávnosti neplatnost takového aktu u vnitrostátního soudu tak, že k němu podají žalobu proti vnitrostátním opatřením provádějícím tento akt. V této situaci přísluší vnitrostátnímu soudu, pokud má za to, že rozhodnutí o této otázce je nezbytné k vynesení jeho rozsudku a má pochybnosti o platnosti tohoto aktu, aby předložil Soudnímu dvoru Evropské unie předběžnou otázku (v tomto smyslu viz opět rozsudek ze dne 25. července 2002, Unión de Pequeños Agricultores v. Rada, C‑50/00 P, EU:C:2002:462, bod 40).
69 Logika tohoto systému, která vysvětluje zejména výklad podmínek pro přípustnost přímých žalob stanovených v článku 263 SFEU, připomenutý v rámci analýzy uvedené v bodech 35 až 62 výše, spočívá v tom, že se soudní činnost Soudního dvora Evropské unie a vnitrostátních soudů navzájem účinně doplňují a unijní soud a vnitrostátní soud nebudou v paralelně probíhajících řízeních současně rozhodovat o platnosti téhož aktu Unie ať již přímo nebo v případě vnitrostátního soudu, který se zabývá platností dotčeného aktu, v návaznosti na předběžnou otázku. Tato logika byla zejména důvodem pro rozhodnutí, že žalobce, který mohl bez jakékoliv pochybnosti napadnout unijní rozhodnutí přímo u Soudního dvora Evropské unie, již později nemůže zpochybňovat platnost tohoto rozhodnutí zejména v rámci následného řízení před vnitrostátním soudem (v tomto smyslu viz rozsudek ze dne 9. března 1994, TWD Textilwerke Deggendorf, C‑188/92, EU:C:1994:90, bod 17; v tomto smyslu viz rovněž rozsudek ze dne 9. června 2011, Comitato „Venezia vuole vivere“ a další v. Komise, C‑71/09 P, C‑73/09 P a C‑76/09 P, EU:C:2011:368, bod 58 a citovaná judikatura). Podle ustálené judikatury se naopak protiprávnosti unijního aktu, který nelze napadnout a který slouží jako základ pro jiný akt, lze dovolávat v rámci žaloby proti tomuto druhému aktu (rozsudek ze dne 11. listopadu 1981, IBM v. Komise, 60/81, EU:C:1981:264, bod 12, a contrario předchozí odkazy na judikaturu).
70 V projednávané věci by akceptace přípustnosti žaloby společnosti WhatsApp proti napadenému rozhodnutí měla za následek, že by probíhala souběžně dvě soudní řízení, která by se značně překrývala, tj. jedno před Tribunálem proti napadenému rozhodnutí a druhé u irského soudu proti konečnému rozhodnutí, u něhož část odůvodnění vychází z napadeného rozhodnutí. Společnost WhatsApp ostatně za účelem získání lhůty pro předložení repliky Tribunálu uplatňovala paralelní pracovní zátěž, kterou na ni klade řízení před irským soudem, na který se obrátila. S výjimkou případu, kdy by některý ze soudů, kterým byla věc předložena, přerušil řízení, které u něj bylo zahájeno, což by mohlo vést k prodloužení doby nezbytné k dosažení konečného řešení stran legality konečného rozhodnutí, by tato souběžná řízení mohla vést dokonce k situaci, kdy by Soudní dvůr v řízení o předběžné otázce a současně Tribunál prostřednictvím přímé žaloby společnosti WhatsApp byly vyzvány, aby se vyslovily k platnosti napadeného rozhodnutí. S ohledem na systém procesních prostředků uvedený v bodech 68 a 69 výše a s ohledem na ustanovení článku 78 nařízení 2016/679 týkající se práva na účinnou soudní ochranu proti dozorovému úřadu bude případně příslušet irskému soudu, kterému byla věc předložena a který má jako jediný v tomto ohledu pravomoc, aby zkoumal legalitu konečného rozhodnutí, jež lze uplatňovat vůči společnosti WhatsApp, a předložil Soudnímu dvoru Evropské unie předběžnou otázku týkající se platnosti napadeného rozhodnutí, bude-li to považovat za nezbytné k rozhodnutí o sporu mezi společností WhatsApp a irským dozorovým úřadem. Irský soud, kterému byla věc předložena, by v tomto ohledu mohl vyřešit spor, který mu byl předložen, buď tak, že zamítne námitku protiprávnosti, která by mohla být vznesena proti napadenému rozhodnutí, aniž se obrátí na Soudní dvůr, pokud nemá pochybnosti o platnosti tohoto rozhodnutí, nebo se naopak na Soudní dvůr obrátí, pokud takové pochybnosti má, anebo vyřeší spor nezávisle na otázce platnosti napadeného rozhodnutí s ohledem na žalobní důvody, které před ním byly uplatněny. Toto řešení je v souladu se zájmem na řádném výkonu spravedlnosti vzhledem k rizikům vyplývajícím z vedení souběžných soudních řízení, jak bylo zmíněno na začátku tohoto bodu.
71 Konečně je třeba uvést, pokud jde o bod 143 odůvodnění nařízení 2016/679 citovaný v bodě 33 výše, z něhož by bylo možné dovozovat, že taková žaloba, jako je žaloba společnosti WhatsApp podaná k Tribunálu, je přípustná, že bod odůvodnění nařízení sice může pomoci objasnit to, jak má být určitá právní norma vykládána, avšak sám takovou normou být nemůže, a že odůvodnění unijního aktu není právně závazné (viz rozsudek ze dne 26. října 2017, Marine Harvest v. Komise, T‑704/14, EU:T:2017:753, bod 150 a citovaná judikatura; v tomto smyslu viz i rozsudek ze dne 24. listopadu 2005, Deutsches Milch-Kontor, C‑136/04, EU:C:2005:716, bod 32 a citovaná judikatura). V projednávaném případě přitom tento bod odůvodnění nepodporuje žádné ustanovení nařízení 2016/679, jak bylo uvedeno v bodech 32 a 35 výše. Vysvětlení uvedené v odůvodnění nařízení kromě toho nemůže převážit nad pravidly primárního práva obsaženými ve Smlouvách, v projednávaném případě nad úpravou v prvním a čtvrtém pododstavci článku 263 SFEU, jejichž podstata je ostatně zčásti připomenuta v dotčeném bodě odůvodnění s tím, že v první větě se uvádí, že „[k]aždá fyzická nebo právnická osoba má právo podat žalobu na neplatnost rozhodnutí sboru u Soudního dvora za podmínek stanovených v [článku 263 SFEU]“.
72 Z výše uvedeného vyplývá, že žaloba musí být odmítnuta jako nepřípustná.
K návrhům na vstup vedlejšího účastníka do řízení
73 Podle čl. 142 odst. 2 jednacího řádu je vedlejší účastenství závislé na sporu mezi hlavními účastníky řízení a stává se bezpředmětným zejména tehdy, je-li žaloba prohlášena za nepřípustnou.
74 V důsledku toho již není důvodné rozhodnout o návrzích na vstup vedlejšího účastníka do řízení ani o žádostech o ochranu důvěrnosti dokumentů ze spisu, k jejichž podání tyto návrhy vedly.
K nákladům řízení
75 Podle čl. 134 odst. 1 jednacího řádu se účastníku řízení, který neměl úspěch ve věci, uloží náhrada nákladů řízení, pokud to účastník řízení, který měl ve věci úspěch, požadoval. Vzhledem k tomu, že EDPB požadoval náhradu nákladů řízení a společnost WhatsApp neměla ve věci úspěch, je důvodné posledně uvedené uložit náhradu nákladů řízení s výhradou toho, co je uvedeno v bodě 76 níže.
76 Kromě toho podle čl. 144 odst. 10 jednacího řádu platí, že skončí-li hlavní řízení před rozhodnutím o návrhu na vstup vedlejšího účastníka do řízení, ponesou navrhovatel a hlavní účastníci řízení vlastní náklady řízení související s návrhem na vstup vedlejšího účastníka do řízení. V projednávaném případě ponesou společnost WhatsApp, EDPB, Finská republika, Komise, Evropský inspektor ochrany údajů a Computer & Communication Industry Association vlastní náklady řízení související s návrhy na vstup vedlejšího účastníka do řízení.
Z těchto důvodů
TRIBUNÁL (čtvrtý rozšířený senát)
rozhodl takto:
1) Žaloba se odmítá jako nepřípustná.
2) Není důvodné rozhodnout o návrzích Finské republiky, Evropské komise, Evropského inspektora ochrany údajů a Computer & Communication Industry Association na vstup vedlejšího účastníka do řízení ani o žádostech o ochranu důvěrnosti, k jejichž podání vedly.
3) Společnost WhatsApp Ireland Ltd ponese vlastní náklady řízení a nahradí náklady řízení vynaložené Evropským sborem pro ochranu osobních údajů s výjimkou nákladů, které posledně uvedený vynaložil na návrhy na vstup vedlejšího účastníka do řízení.
4) Evropský sbor pro ochranu osobních údajů, Finská republika, Komise, Evropský inspektor ochrany údajů a Computer & Communication Industry Association ponesou vlastní náklady řízení související s návrhy na vstup vedlejšího účastníka do řízení.
V Lucemburku dne 7. prosince 2022.
Vedoucí soudní kanceláře | | Předseda |