1

Mediante su recurso de casación, WhatsApp Ireland Ltd (en lo sucesivo, «WhatsApp») solicita la anulación del auto del Tribunal General de 7 de diciembre de 2022, WhatsApp Ireland/Comité Europeo de Protección de Datos (T‑709/21, en lo sucesivo, auto recurrido, EU:T:2022:783), mediante el cual el citado Tribunal declaró la inadmisibilidad de su recurso de anulación de la Decisión vinculante 1/2021 del Comité Europeo de Protección de Datos (en lo sucesivo, «Comité»), de 28 de julio de 2021, relativa al conflicto entre las autoridades de control interesadas surgido a raíz del proyecto de decisión referente a WhatsApp elaborado por la Data Protection Commission (DPC, Autoridad de Protección de Datos, Irlanda; en lo sucesivo, «autoridad de control irlandesa») (en lo sucesivo, «Decisión controvertida»).

2

Los considerandos 10 y 143 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1, corrección de errores en DO 2018, L 127, p. 3, y en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»), tienen la siguiente redacción:

[…]

3

El artículo 5 del RGPD, titulado «Principios relativos al tratamiento», dispone, en su apartado 1, letra a), que los datos personales deben ser tratados de manera lícita, leal y transparente en relación con el interesado. El artículo 5, apartado 1, letra c), del citado Reglamento establece que estos datos deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.

4

El artículo 6 del RGPD, bajo el título «Licitud del tratamiento», enumera las condiciones de licitud del tratamiento de datos personales. El apartado 1 de dicho artículo 6 dispone lo siguiente:

«El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.»

5

Por su parte, el artículo 12 del RGPD contiene una serie de disposiciones relativas a la transparencia de la información y de la comunicación y a las modalidades de ejercicio de los derechos del interesado. El apartado 1 de este artículo 12 establece lo siguiente:

«El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.»

6

A tenor del artículo 13 del RGPD, titulado «Información que deberá facilitarse cuando los datos personales se obtengan del interesado»:

«1.   Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

2.   Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:

[…]»

7

El artículo 14 del RGPD se refiere a la información que debe facilitarse cuando los datos personales no se hayan obtenido del interesado.

8

Con arreglo al artículo 55, apartado 1, del citado Reglamento, cada autoridad de control es competente para desempeñar las funciones que se le asignen y ejercer los poderes que se le confieran de conformidad con ese mismo Reglamento en el territorio de su Estado miembro.

9

El artículo 56 de dicho Reglamento, titulado «Competencia de la autoridad de control principal», preceptúa lo siguiente:

«1.   Sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60.

2.   No obstante lo dispuesto en el apartado 1, cada autoridad de control será competente para tratar una reclamación que le sea presentada o una posible infracción del presente Reglamento, en caso de que se refiera únicamente a un establecimiento situado en su Estado miembro o únicamente afecte de manera sustancial a interesados en su Estado miembro.

3.   En los casos a que se refiere el apartado 2 del presente artículo, la autoridad de control informará sin dilación al respecto a la autoridad de control principal. En el plazo de tres semanas después de haber sido informada, la autoridad de control principal decidirá si tratará o no el caso de conformidad con el procedimiento establecido en el artículo 60, teniendo presente si existe un establecimiento del responsable o encargado del tratamiento en el Estado miembro de la autoridad de control que le haya informado.

4.   En caso de que la autoridad de control principal decida tratar el caso, se aplicará el procedimiento establecido en el artículo 60. La autoridad de control que haya informado a la autoridad de control principal podrá presentarle un proyecto de decisión. La autoridad de control principal tendrá en cuenta en la mayor medida posible dicho proyecto al preparar el proyecto de decisión a que se refiere el artículo 60, apartado 3.

5.   En caso de que la autoridad de control principal decida no tratar el caso, la autoridad de control que le haya informado lo tratará con arreglo a los artículos 61 y 62.

6.   La autoridad de control principal será el único interlocutor del responsable o del encargado en relación con el tratamiento transfronterizo realizado por dicho responsable o encargado.»

10

El artículo 57 del RGPD, titulado «Funciones», dispone, en su apartado 1, letra h), que incumbe a cada autoridad de control, en el territorio de su Estado miembro, llevar a cabo investigaciones sobre la aplicación de este Reglamento.

11

Los poderes de investigación de la citada autoridad se enumeran en el apartado 1 del artículo 58 del citado Reglamento, titulado «Poderes». El apartado 2 de este artículo enumera los poderes correctivos de que dispone dicha autoridad, entre ellos los contemplados en sus letras b), d) e i), que consisten, respectivamente, en dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el RGPD, en ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones de ese mismo Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado, y en imponer una multa administrativa con arreglo al artículo 83 del RGPD.

12

El artículo 60 del citado Reglamento, titulado «Cooperación entre la autoridad de control principal y las demás autoridades de control interesadas», dispone lo siguiente:

«1.   La autoridad de control principal cooperará con las demás autoridades de control interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso. La autoridad de control principal y las autoridades de control interesadas se intercambiarán toda información pertinente.

2.   La autoridad de control principal podrá solicitar en cualquier momento a otras autoridades de control interesadas que presten asistencia mutua con arreglo al artículo 61, y podrá llevar a cabo operaciones conjuntas con arreglo al artículo 62, en particular para realizar investigaciones o supervisar la aplicación de una medida relativa a un responsable o un encargado del tratamiento establecido en otro Estado miembro.

3.   La autoridad de control principal comunicará sin dilación a las demás autoridades de control interesadas la información pertinente a este respecto. Transmitirá sin dilación un proyecto de decisión a las demás autoridades de control interesadas para obtener su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista.

4.   En caso de que cualquiera de las autoridades de control interesadas formule una objeción pertinente y motivada acerca del proyecto de decisión en un plazo de cuatro semanas a partir de la consulta con arreglo al apartado 3 del presente artículo, la autoridad de control principal someterá el asunto, en caso de que no siga lo indicado en la objeción pertinente y motivada o estime que dicha objeción no es pertinente o no está motivada, al mecanismo de coherencia contemplado en el artículo 63.

5.   En caso de que la autoridad de control principal prevea seguir lo indicado en la objeción pertinente y motivada recibida, presentará a dictamen de las demás autoridades de control interesadas un proyecto de decisión revisado. Dicho proyecto de decisión revisado se someterá al procedimiento indicado en el apartado 4 en un plazo de dos semanas.

6.   En caso de que ninguna otra autoridad de control interesada haya presentado objeciones al proyecto de decisión transmitido por la autoridad de control principal en el plazo indicado en los apartados 4 y 5, se considerará que la autoridad de control principal y las autoridades de control interesadas están de acuerdo con dicho proyecto de decisión y estarán vinculadas por este.

7.   La autoridad de control principal adoptará y notificará la decisión al establecimiento principal o al establecimiento único del responsable o el encargado del tratamiento, según proceda, e informará de la decisión a las autoridades de control interesadas y al Comité, incluyendo un resumen de los hechos pertinentes y la motivación. La autoridad de control ante la que se haya presentado una reclamación informará de la decisión al reclamante.

8.   No obstante lo dispuesto en el apartado 7, cuando se desestime o rechace una reclamación, la autoridad de control ante la que se haya presentado adoptará la decisión, la notificará al reclamante e informará de ello al responsable del tratamiento.

9.   En caso de que la autoridad de control principal y las autoridades de control interesadas acuerden desestimar o rechazar determinadas partes de una reclamación y atender otras partes de ella, se adoptará una decisión separada para cada una de esas partes del asunto. La autoridad de control principal adoptará la decisión respecto de la parte referida a acciones en relación con el responsable del tratamiento, la notificará al establecimiento principal o al único establecimiento del responsable o del encargado en el territorio de su Estado miembro, e informará de ello al reclamante, mientras que la autoridad de control del reclamante adoptará la decisión respecto de la parte relativa a la desestimación o rechazo de dicha reclamación, la notificará a dicho reclamante e informará de ello al responsable o al encargado.

10.   Tras recibir la notificación de la decisión de la autoridad de control principal con arreglo a los apartados 7 y 9, el responsable o el encargado del tratamiento adoptará las medidas necesarias para garantizar el cumplimiento de la decisión en lo tocante a las actividades de tratamiento en el contexto de todos sus establecimientos en la Unión. El responsable o el encargado notificarán las medidas adoptadas para dar cumplimiento a dicha decisión a la autoridad de control principal, que a su vez informará a las autoridades de control interesadas.

11.   En circunstancias excepcionales, cuando una autoridad de control interesada tenga motivos para considerar que es urgente intervenir para proteger los intereses de los interesados, se aplicará el procedimiento de urgencia a que se refiere el artículo 66.

12.   La autoridad de control principal y las demás autoridades de control interesadas se facilitarán recíprocamente la información requerida en el marco del presente artículo por medios electrónicos, utilizando un formulario normalizado.»

13

A tenor del artículo 63 del RGPD, titulado «Mecanismo de coherencia»:

«A fin de contribuir a la aplicación coherente del presente Reglamento en toda la Unión, las autoridades de control cooperarán entre sí y, en su caso, con la Comisión, en el marco del mecanismo de coherencia […]».

14

El artículo 65 de dicho Reglamento, que lleva por título «Resolución de conflictos por el Comité», establece lo siguiente:

«1.   Con el fin de garantizar una aplicación correcta y coherente del presente Reglamento en casos concretos, el Comité adoptará una decisión vinculante en los siguientes casos:

2.   La decisión a que se refiere el apartado 1 se adoptará en el plazo de un mes a partir de la remisión del asunto, por mayoría de dos tercios de los miembros del Comité. Este plazo podrá prorrogarse un mes más, habida cuenta de la complejidad del asunto. La decisión que menciona el apartado 1 estará motivada y será dirigida a la autoridad de control principal y a todas las autoridades de control interesadas, y será vinculante para ellas.

3.   Cuando el Comité no haya podido adoptar una decisión en los plazos mencionados en el apartado 2, adoptará su decisión en un plazo de dos semanas tras la expiración del segundo mes a que se refiere el apartado 2, por mayoría simple de sus miembros. En caso de empate, decidirá el voto del presidente.

4.   Las autoridades de control interesadas no adoptarán decisión alguna sobre el asunto presentado al Comité en virtud del apartado 1 durante los plazos de tiempo a que se refieren los apartados 2 y 3.

5.   El presidente del Comité notificará sin dilación indebida la decisión contemplada en el apartado 1 a las autoridades de control interesadas. También informará de ello a la Comisión. La decisión se publicará en el sitio web del Comité sin demora, una vez que la autoridad de control haya notificado la decisión definitiva a que se refiere el apartado 6.

6.   La autoridad de control principal o, en su caso, la autoridad de control ante la que se presentó la reclamación adoptará su decisión definitiva sobre la base de la decisión contemplada en el apartado 1 del presente artículo, sin dilación indebida y a más tardar un mes tras la notificación de la decisión del Comité. La autoridad de control principal o, en su caso, la autoridad de control ante la que se presentó la reclamación informará al Comité de la fecha de notificación de su decisión definitiva al responsable o al encargado del tratamiento y al interesado, respectivamente. La decisión definitiva de las autoridades de control interesadas será adoptada en los términos establecidos en el artículo 60, apartados 7, 8 y 9. La decisión definitiva hará referencia a la decisión contemplada en el apartado 1 del presente artículo y especificará que esta última decisión se publicará en el sitio web del Comité con arreglo al apartado 5 del presente artículo. La decisión definitiva llevará adjunta la decisión contemplada en el apartado 1 del presente artículo.»

15

El artículo 68 del RGPD, titulado «Comité Europeo de Protección de Datos», establece, en su apartado 1, que el Comité se crea como organismo de la Unión y que goza de personalidad jurídica.

16

El artículo 70 del citado Reglamento, bajo el título «Funciones del Comité», estipula, en su apartado 1, letra a), que el Comité garantiza la aplicación coherente del RGPD. A tal efecto, el Comité, a iniciativa propia o, en su caso, a instancia de la Comisión, se encarga, en particular, de supervisar y garantizar la correcta aplicación de dicho Reglamento en los casos contemplados en los artículos 64 y 65 de este, sin perjuicio de las funciones de las autoridades de control nacionales.

17

El artículo 78 del RGPD lleva por título «Derecho a la tutela judicial efectiva contra una autoridad de control» y dispone lo siguiente:

«1.   Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna.

2.   Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, todo interesado tendrá derecho a la tutela judicial efectiva en caso de que la autoridad de control que sea competente en virtud de los artículos 55 y 56 no dé curso a una reclamación o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación presentada en virtud del artículo 77.

3.   Las acciones contra una autoridad de control deberán ejercitarse ante los tribunales del Estado miembro en que esté establecida la autoridad de control.

4.   Cuando se ejerciten acciones contra una decisión de una autoridad de control que haya sido precedida de un dictamen o una decisión del Comité en el marco del mecanismo de coherencia, la autoridad de control remitirá al tribunal dicho dictamen o decisión.»

18

El artículo 83 del RGPD establece las condiciones generales para la imposición de multas administrativas.

19

Los antecedentes del litigio se recogen en los apartados 2 a 12 del auto recurrido y pueden resumirse, a los efectos del presente procedimiento, del siguiente modo.

20

A raíz de la entrada en vigor del RGPD, la autoridad de control irlandesa recibió una serie de quejas de usuarios y de no usuarios de la mensajería «WhatsApp» en relación con el tratamiento de datos personales por parte de WhatsApp. Por otro lado, la Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI, Comisionada Federal para la Protección de Datos y la Libertad de Información, Alemania) solicitó la asistencia de la autoridad de control irlandesa en relación con el cumplimiento, por parte de WhatsApp, de las obligaciones de transparencia que recaen sobre los responsables del tratamiento de datos personales en lo que atañe a un posible intercambio de tales datos con otras entidades del grupo Facebook, rebautizado, a partir de septiembre de 2021, como «Meta».

21

En diciembre de 2018, la autoridad de control irlandesa inició de oficio una investigación de carácter general sobre el cumplimiento por parte de WhatsApp de las obligaciones de transparencia y de información frente a los particulares establecidas en los artículos 12 a 14 del RGPD, sin perjuicio del curso que pudiera dar a los asuntos individuales de los que conocía. La autoridad de control irlandesa actuó a este respecto como autoridad de control principal con arreglo al artículo 56, apartado 1, del RGPD, dado que WhatsApp, en cuanto responsable del tratamiento de las operaciones de la mensajería «WhatsApp» en Europa —tratamiento que tiene carácter transfronterizo—, tenía su establecimiento principal en Irlanda.

22

Una vez finalizada la fase de investigación en septiembre de 2019 mediante la presentación de un informe final del investigador, la autoridad de control irlandesa, al término de las fases procedimentales intermedias en las que WhatsApp formuló sus observaciones, presentó en diciembre de 2020 a todas las demás autoridades de control interesadas en el asunto un proyecto de decisión para obtener el dictamen de estas, de conformidad con el artículo 60, apartado 3, del RGPD.

23

En enero de 2021, ocho de esas autoridades de control formularon objeciones sobre determinados aspectos del referido proyecto de decisión. La autoridad de control irlandesa respondió de manera agrupada a estas objeciones, proponiendo soluciones de compromiso. Si bien, a raíz de esta respuesta, una de esas ocho autoridades de control retiró una de sus objeciones, la autoridad de control irlandesa comprobó que no se había llegado a un consenso acerca de los demás aspectos sobre los que se habían formulado objeciones. Decidió rechazar todas las objeciones recibidas y someter la cuestión al Comité, a fin de que este resolviera el conflicto existente entre las autoridades de control interesadas en lo referente a los aspectos sobre los que se habían formulado tales objeciones, de conformidad con lo dispuesto en los artículos 60, apartado 4, y 65, apartado 1, letra a), del RGPD.

24

En mayo de 2021, después de haber transmitido a WhatsApp todos los documentos intercambiados al respecto, la autoridad de control irlandesa recabó por escrito las observaciones de dicha empresa sobre los elementos debatidos entre las autoridades de control interesadas, y la propia autoridad de control transmitió tales observaciones al Comité para que este tuviera conocimiento de ellas en el marco del procedimiento de resolución de conflictos incoado por la citada autoridad de control en junio de 2021.

25

El 28 de julio de 2021, el Comité adoptó la Decisión controvertida, sobre la base del artículo 65, apartado 2, del RGPD.

26

Después de que la autoridad de control irlandesa hubiese recibido la Decisión controvertida y hubiese recabado las observaciones de WhatsApp sobre las sanciones pecuniarias que en definitiva se proponía imponerle a la luz de dicha Decisión, la citada autoridad adoptó, el 20 de agosto de 2021, con arreglo al artículo 65, apartado 6, del RGPD, una decisión definitiva que tenía como destinataria a WhatsApp (en lo sucesivo, «decisión definitiva»).

27

En la decisión definitiva, la autoridad de control irlandesa hizo constar que WhatsApp había violado el principio de transparencia y había incumplido las respectivas obligaciones que se establecen en los artículos 5, apartado 1, letra a), 12, apartado 1, 13, apartados 1, letras c) a f), y 2, letras a), c) y e), y 14 del RGPD. En cambio, la referida autoridad indicó que WhatsApp había cumplido las obligaciones establecidas en el artículo 13, apartados 1, letras a) y b), y 2, letras b) y d), del citado Reglamento. En el ejercicio de los poderes correctivos previstos en el artículo 58, apartado 2, letras b), d) e i), del RGPD, la autoridad de control irlandesa dirigió un apercibimiento a WhatsApp y se le impusieron la ejecución de un determinado número de acciones enumeradas en un anexo, destinadas a que se conformase en el plazo de tres meses a las disposiciones de dicho Reglamento que se habían infringido, y cuatro multas administrativas, por un importe total de 225 millones de euros, por las infracciones constatadas de los artículos 5, apartado 1, letra a), y 12 a 14 de ese mismo Reglamento.

28

Además, en la decisión definitiva, la referida autoridad de control identificó los aspectos por los que la Decisión controvertida la obligaba a revisar la apreciación expuesta en su proyecto de decisión. En relación con estos aspectos, optó por reproducir tal cual, dentro de encuadramientos en sombreado, los motivos expuestos por el Comité en la Decisión controvertida y por extraer simplemente de ellos las consecuencias en cada caso en un punto concluyente.

29

De conformidad con el artículo 65, apartado 6, del RGPD, la Decisión controvertida se adjuntó a la decisión definitiva.

30

En la Decisión controvertida, el Comité se pronunció sobre las cuestiones que habían sido objeto de objeciones pertinentes y motivadas, en el sentido del artículo 65, apartado 1, letra a), del citado Reglamento, a saber:

31

WhatsApp impugnó la decisión definitiva ante un órgano jurisdiccional irlandés.

32

Mediante demanda presentada en la Secretaría del Tribunal General el 1 de noviembre de 2021, WhatsApp interpuso, al amparo del artículo 263 TFUE, un recurso de anulación de la Decisión controvertida.

33

Mediante el auto recurrido, dictado con arreglo al artículo 129 de su Reglamento de Procedimiento, el Tribunal General declaró la inadmisibilidad de dicho recurso.

34

Pese a haber señalado, en los apartados 36, 37 y 40 del auto recurrido, que la Decisión controvertida era un acto de un órgano de la Unión destinado a producir efectos jurídicos frente a terceros y que dicha Decisión afectaba individualmente a WhatsApp, el Tribunal General estimó, no obstante, en el apartado 42 del auto recurrido, que la citada Decisión era un acto de trámite o intermedio en un procedimiento que debía finalizar mediante la adopción, por parte de la autoridad de control nacional, de una decisión definitiva. Pues bien, el Tribunal General consideró, en los apartados 43 y 44 del auto recurrido, que tal acto solo constituía un «acto impugnable» si producía efectos jurídicos autónomos contra los cuales no pudiera garantizarse una tutela judicial suficiente en el marco de un recurso contra la decisión que pusiera fin al procedimiento en cuestión.

35

A este respecto, el Tribunal General estimó, en el apartado 45 del auto recurrido, que, en el presente asunto, se garantizaba la tutela judicial efectiva frente a la Decisión controvertida a través de la vía de recurso de que disponía WhatsApp, ante el juez nacional, contra la decisión definitiva, ya que dicho juez nacional estaba facultado, en virtud del artículo 267 TFUE, para remitir al Tribunal de Justicia una petición de decisión prejudicial sobre la validez de la referida Decisión. El Tribunal General también puntualizó, en el apartado 46 del auto recurrido, que la Decisión controvertida no producía, frente a WhatsApp, ningún efecto jurídico autónomo con respecto a la decisión definitiva adoptada por la autoridad de control irlandesa.

36

Además, el Tribunal General consideró, en el apartado 49 del auto recurrido, que el hecho de que tal acto intermedio exprese la postura final de una autoridad que debe reproducirse en la decisión definitiva que ponga fin al procedimiento de que se trate no significaba necesariamente que dicho acto modificara por sí mismo sustancialmente la situación jurídica de la parte demandante.

37

Por lo demás, el Tribunal General señaló, en el apartado 50 del auto recurrido, que la Decisión controvertida no afectaba directamente a WhatsApp. El Tribunal General observó, en el apartado 52 de dicho auto, que la citada Decisión no tenía un carácter oponible que le permitiera, sin una etapa adicional en el procedimiento, ser fuente de obligaciones para WhatsApp o, en su caso, de derechos para otros particulares, de modo que no producía directamente efectos jurídicos en la situación de WhatsApp. El Tribunal General también señaló, en el apartado 53 del referido auto, que, aunque la Decisión controvertida vinculaba a la autoridad de control irlandesa en lo que atañe a los aspectos a los que se refería, le dejaba un margen de apreciación en cuanto al contenido de la decisión definitiva.

38

Así, en los apartados 61 y 62 del mismo auto, el Tribunal General declaró que no se cumplía ninguno de los requisitos exigidos para considerar que la medida objeto de recurso afectaba directamente a WhatsApp y que, por consiguiente, dicho recurso debía declararse inadmisible.

39

Por último, el Tribunal General señaló, en los apartados 66 a 70 del auto recurrido, que el resultado de su análisis se inscribía en la lógica del sistema de recursos jurisdiccionales establecido por los Tratados. El Tribunal General consideró, en particular, que reconocer la admisibilidad del recurso de WhatsApp contra la Decisión controvertida entrañaría un riesgo de procedimientos judiciales paralelos ante el juez de la Unión y el juez nacional, el cual, además, está facultado para plantear al Tribunal de Justicia una petición de decisión prejudicial sobre la validez de dicha Decisión.

40

Mediante su recurso de casación, WhatsApp solicita al Tribunal de Justicia que:

41

El Comité, apoyado en sus pretensiones por la República Federal de Alemania, solicita al Tribunal de Justicia que:

42

El Comité alega que el recurso en primera instancia se interpuso extemporáneamente. A este respecto, sostiene que WhatsApp tuvo conocimiento de las partes pertinentes de la Decisión controvertida en una fecha anterior a la publicación de esta en su sitio de Internet, más concretamente, el 13 de agosto de 2021. Por consiguiente, con independencia de la fecha de publicación de la Decisión controvertida en el sitio de Internet del Comité, que, por lo demás, no puede equipararse a una publicación en el Diario Oficial de la Unión Europea, el plazo de recurso comenzó a correr, a su parecer, el 13 de agosto de 2021 y expiró el 25 de octubre siguiente. Como WhatsApp interpuso su recurso de anulación el 1 de noviembre de 2021, este es, en opinión del Comité, extemporáneo.

43

WhatsApp sostiene que la alegación del Comité en relación con el carácter extemporáneo de su recurso es errónea. Afirma que, cuando la parte demandante no es la destinataria de un acto, es la fecha de publicación de dicho acto la que determina el inicio del plazo de interposición del recurso. La fecha en la que se tuvo conocimiento de este solo constituye, en su opinión, un criterio subsidiario a estos efectos. Por su parte, el modo de publicación de tal acto carece de pertinencia. En el presente asunto, la publicación de la Decisión controvertida se llevó a cabo, en cualquier caso, en el sitio de Internet del Comité el 2 de septiembre de 2021 y el recurso se interpuso el 1 de noviembre de 2021, de modo que se respetó el plazo previsto en el artículo 263 TFUE, párrafo sexto.

44

A tenor del artículo 263 TFUE, párrafo sexto, los recursos previstos en dicho artículo deben interponerse en el plazo de dos meses a partir, según los casos, de la publicación del acto, de su notificación al recurrente o, a falta de ello, del día en que este haya tenido conocimiento de ese acto.

45

Del tenor de esta disposición, en particular de las expresiones «según los casos» y «a falta de ello», se desprende con claridad que el inicio del plazo de interposición del recurso se determina en función de la situación de que se trate y que los dos primeros criterios que pueden dar lugar al inicio de ese plazo están jerarquizados respecto del tercero. Así, el plazo para interponer el recurso de anulación empieza, con carácter principal, a partir de la publicación del acto o de su notificación al recurrente. Estos dos criterios principales se sitúan, en el sistema de dicha disposición, en un mismo plano, en el sentido de que ninguno de estos dos criterios es subsidiario con respecto al otro. En cambio, el criterio de la fecha en que se haya tenido conocimiento del acto impugnado como inicio del plazo de interposición del recurso tiene carácter subsidiario respecto de los de publicación o de notificación de ese acto (véase, en este sentido, la sentencia de 26 de septiembre de 2024, WEPA Hygieneprodukte y otros/Comisión, C‑795/21 P y C‑796/21 P, EU:C:2024:807, apartados 61 a 63 y jurisprudencia citada).

46

En el presente asunto, consta que la Decisión controvertida no fue notificada a WhatsApp, ya que el Comité solo estaba obligado a notificar tal Decisión a las autoridades de control interesadas, en virtud del artículo 65, apartado 5, primera frase, del RGPD. Por tanto, es preciso examinar si la referida Decisión fue objeto de una «publicación» en el sentido del artículo 263 TFUE, párrafo sexto.

47

A este respecto, debe precisarse que el concepto de «publicación» no se refiere exclusivamente a una publicación en el Diario Oficial de la Unión Europea, sino que, por el contrario, debe interpretarse en sentido amplio. Está comprendida en este concepto, en particular, la publicación en el sitio de Internet de una institución, de un órgano o de un organismo de la Unión cuando esté prevista en el Derecho derivado (véase, en este sentido, la sentencia de 26 de septiembre de 2024, WEPA Hygieneprodukte y otros/Comisión, C‑795/21 P y C‑796/21 P, EU:C:2024:807, apartado 70 y jurisprudencia citada).

48

En el presente asunto, dado que la publicación de la Decisión controvertida está prevista en el artículo 65, apartado 5, tercera frase, del RGPD, debe, por tanto, tomarse en consideración la fecha en la que dicha Decisión se publicó en el sitio de Internet del Comité, esto es, el 2 de septiembre de 2021. Esta interpretación se ve corroborada por el considerando 143, tercera frase, del RGPD, del que se desprende que el plazo para interponer el recurso debe calcularse a partir de la publicación de la Decisión en cuestión del Comité en el sitio de Internet de este.

49

Dado que el recurso se interpuso el 1 de noviembre de 2021, no se incumplió el plazo previsto en el artículo 263 TFUE, párrafo sexto, de modo que procede examinar si los motivos invocados en el presente recurso de casación permiten cuestionar las apreciaciones efectuadas por el Tribunal General en el auto recurrido.

50

WhatsApp sostiene que el Tribunal General incurrió en error de Derecho al considerar que la Decisión controvertida no era un acto impugnable.

51

WhatsApp cuestiona, en particular, la pertinencia del criterio seguido por el Tribunal General, en el apartado 41 del auto recurrido, para determinar si un acto es o no impugnable. Así, señala que el Tribunal General consideró erróneamente que era necesario demostrar que la Decisión controvertida produce efectos jurídicos que modifican de forma sustancial la situación jurídica de WhatsApp y que dicha Decisión la afecta directamente. Pues bien, a su parecer, habría bastado con concluir que la citada Decisión estaba destinada a producir efectos jurídicos frente a uno o varios terceros para declarar que era un acto impugnable, debido a su carácter definitivo. En cualquier caso, la referida Decisión no constituye, según WhatsApp, una mera medida intermedia, sino que expresa la postura definitiva del Comité.

52

WhatsApp afirma que el Tribunal General aplicó erróneamente la jurisprudencia relativa a los efectos jurídicos de los actos intermedios al aplicar un criterio procesal en virtud del cual un acto de esa naturaleza solo sería impugnable si un recurso dirigido contra el acto definitivo no permitiera garantizar una tutela judicial suficiente y al concluir que la Decisión controvertida carecía de efectos jurídicos.

53

En este contexto, WhatsApp hace referencia a la sentencia de 11 de noviembre de 1981, IBM/Comisión (60/81, EU:C:1981:264), apartados 10 y 11, de la que se desprende, en particular, que un acto intermedio es impugnable cuando tiene carácter definitivo y es independiente de la decisión definitiva adoptada posteriormente. Por tanto, a juicio de WhatsApp, debe examinarse la esencia de este acto y examinar sus efectos a la luz de criterios objetivos, como el contenido de dicho acto, tomando en consideración, en su caso, el contexto en el que se adoptó y las facultades de la institución que fue su autora. WhatsApp cita, entre otras, a este respecto, la sentencia de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo (C‑348/20 P, EU:C:2022:548), apartado 63.

54

Concretamente, el único caso en el que un acto de tal naturaleza no podría ser objeto de recurso de anulación es si, por una parte, tuviera carácter provisional en cuanto al fondo, de modo que su autor pudiera modificar su postura en la fase de la decisión definitiva adoptada posteriormente, y si, por otra parte, esa decisión definitiva fuera adoptada por una misma institución o un mismo órgano de la Unión. Según WhatsApp, por tanto, no procede aplicar el concepto de medida intermedia a una decisión adoptada por una institución o un órgano de la Unión y dirigida a una autoridad nacional, encargada de ejecutar dicha decisión frente a terceros.

55

En el presente asunto, señala WhatsApp, el Tribunal General se limitó a examinar si, desde el punto de vista procesal, se le garantizaba la tutela judicial efectiva a través del recurso ante el juez nacional. De este modo, a juicio de la citada sociedad, el Tribunal General consideró erróneamente, en los apartados 48 y 49 del auto recurrido, que la alegación de WhatsApp de que la Decisión controvertida expresaba la postura definitiva de su autor carecía de pertinencia. Así pues, al actuar de este modo, el Tribunal General estimó erróneamente, según WhatsApp, que la Decisión controvertida no producía efectos jurídicos y que no era independiente de la decisión definitiva, sin haber examinado el contenido y el contexto de la Decisión controvertida ni el alcance de los efectos jurídicos autónomos de esta.

56

Por lo que respecta al contenido de la Decisión controvertida, no se discute, a juicio de la citada sociedad, que la referida Decisión estaba destinada, como decisión vinculante adoptada sobre la base del artículo 65 del RGPD, a producir efectos jurídicos frente a terceros y que expresaba la postura definitiva del Comité sobre los puntos que se le habían consultado. Esta postura podía modificar de manera sustancial la situación jurídica de WhatsApp, en particular como consecuencia de la apreciación de que los datos sometidos a una compresión con pérdida eran datos personales, apreciación que vincula a la autoridad de control irlandesa.

57

En cuanto al contexto de la Decisión controvertida, del tenor del artículo 65 del RGPD se desprende, según WhatsApp, que esta es una decisión vinculante. El considerando 143 del RGPD indica que las decisiones adoptadas por el Comité pueden afectar directa e individualmente, entre otros, a un responsable del tratamiento, lo que da a entender que estas decisiones pueden producir efectos jurídicos externos, más allá de las autoridades de control nacionales que son sus destinatarias. Esto queda corroborado, a juicio de WhatsApp, tanto por la razón de ser del efecto vinculante de las decisiones del Comité, que consiste en garantizar la aplicación correcta y coherente del RGPD, como por la economía del procedimiento al que se refiere el artículo 65, apartado 1, del RGPD.

58

Por lo que atañe a los efectos jurídicos autónomos de la Decisión controvertida, más allá de los que produce respecto de sus destinatarios, WhatsApp señala que esta Decisión produce tales efectos respecto de ella, ya que afecta, en particular, a la manera en la que piensa atenerse al RGPD en lo que se refiere a los datos sujetos a la compresión con pérdida, que han sido calificados de datos personales por el Comité. Según WhatsApp, la Decisión controvertida produce también efectos jurídicos respecto de los órganos jurisdiccionales nacionales, que no están facultados para modificarla o para anularla.

59

El Comité rebate estas alegaciones. Aduce que el recurso de anulación solo puede interponerse, en principio, contra una medida mediante la cual una institución, un órgano o un organismo de la Unión fija definitivamente su postura al término de un procedimiento administrativo. En cambio, no pueden calificarse de «actos impugnables» los actos intermedios, cuyo objetivo es preparar una decisión definitiva, en la medida en que tales actos no están destinados a producir efectos jurídicos obligatorios autónomos en relación con el acto de la Unión así preparado, confirmado o ejecutado. Además, según el Comité, un acto intermedio no puede ser objeto de recurso si la ilegalidad de que adolece dicho acto puede invocarse en apoyo de un recurso dirigido contra la decisión definitiva de la que tal acto constituye un acto de elaboración.

60

En el presente asunto, el Comité sostiene que la Decisión controvertida es un acto intermedio, que forma parte de un procedimiento decisorio indivisible tramitado por la autoridad de control irlandesa y que conduce a una decisión definitiva, adoptada por dicha autoridad. En este contexto, si bien las apreciaciones del Comité son vinculantes, no son directamente oponibles a WhatsApp y no tienen, por lo que a ella respecta, ningún efecto jurídico autónomo en comparación con la decisión definitiva. Así, el hecho de que la Decisión controvertida recoja la postura definitiva del Comité en relación con determinados aspectos que deben figurar en la decisión definitiva no significa que la Decisión controvertida dé lugar, por sí misma, a una modificación distinta de la situación jurídica de WhatsApp. Afirma el Comité que la Decisión controvertida y la decisión definitiva se adoptaron, efectivamente, en un procedimiento administrativo unificado, compuesto de etapas interdependientes a escala nacional y europea que tienen el mismo objeto, y no tras dos procedimientos independientes que se refieran a cuestiones distintas.

61

A este respecto, el Comité precisa que el procedimiento de resolución de conflictos tiene por objeto garantizar la coherencia en la aplicación del RGPD por parte de las autoridades nacionales. En el presente asunto, la Decisión controvertida no crea nuevas obligaciones legales para WhatsApp, según el Comité. Las obligaciones de la citada sociedad se definen en el propio RGPD, no en la Decisión controvertida, y son aplicadas por la autoridad de control irlandesa, no por el Comité. Por lo demás, tales obligaciones eran aplicables a WhatsApp antes de que se detectaran las infracciones de que se trata.

62

En cuanto a los supuestos efectos jurídicos externos de la Decisión controvertida, el Comité afirma que sus interpretaciones solo tienen efecto vinculante entre las partes, es decir, entre las autoridades de control interesadas. La Decisión controvertida, además de no tener efecto jurídico directo para WhatsApp, se refiere a aspectos de aplicación acotados del RGPD, llamados a ser incluidos y desarrollados en la decisión definitiva. Si bien las interpretaciones del RGPD seguidas por el Comité pueden revestir así cierto grado de autoridad en asuntos posteriores que versen sobre cuestiones jurídicas similares, no vinculan a los órganos jurisdiccionales nacionales, que, en caso de duda, deben plantear una cuestión prejudicial al Tribunal de Justicia.

63

La República Federal de Alemania, que interviene en apoyo de las pretensiones del Comité, alega que el mecanismo de coherencia previsto en el RGPD, incluido el procedimiento de resolución de conflictos, es puramente interno y su único objetivo es llegar a un arbitraje, en caso de que haya opiniones divergentes entre las autoridades de control. En particular, de la tercera frase del artículo 65, apartado 2, del RGPD se desprende que una medida adoptada por el Comité en este marco produce un efecto jurídicamente vinculante únicamente para las autoridades de control nacionales. Según la República Federal de Alemania, solo la decisión definitiva es vinculante para el responsable o el encargado del tratamiento de que se trate.

64

La primera parte del primer motivo de casación se refiere a la cuestión de si el Tribunal General incurrió en error de Derecho al declarar, en los apartados 41 a 49 del auto recurrido, que la Decisión controvertida no era un acto impugnable con arreglo al artículo 263 TFUE, párrafo primero.

65

En virtud de dicha disposición, el Tribunal de Justicia controla, entre otros aspectos, «la legalidad de los actos de los órganos u organismos de la Unión destinados a producir efectos jurídicos frente a terceros».

66

Según jurisprudencia reiterada, el recurso de anulación establecido en el artículo 263 TFUE puede interponerse contra todas las disposiciones que adopten las instituciones, los órganos o los organismos de la Unión, cualquiera que sea su forma, destinadas a producir efectos jurídicos obligatorios (véase, en este sentido, la sentencia de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo, C‑348/20 P, EU:C:2022:548, apartado 62 y jurisprudencia citada).

67

Para determinar si un acto produce tales efectos y, por ende, puede ser objeto de un recurso de anulación con arreglo al artículo 263 TFUE, hay que atenerse a la esencia de ese acto y examinar esos efectos a la luz de criterios objetivos, como el contenido de dicho acto, tomando en consideración, en su caso, el contexto en el que se adoptó y las facultades de la institución que fue su autora (véase, en este sentido, la sentencia de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo, C‑348/20 P, EU:C:2022:548, apartado 63 y jurisprudencia citada).

68

A este respecto, como ha señalado la Abogada General en los puntos 79 y 121 de sus conclusiones, a la luz del artículo 263 TFUE, párrafo primero, el tercero respecto del cual el acto en cuestión produce efectos jurídicos no ha de ser necesariamente la parte demandante. En efecto, tiene la condición de tercero cualquier persona física o jurídica distinta del autor de dicho acto. Por consiguiente, para determinar si el referido acto produce tales efectos, no es necesario comprobar si estos pueden afectar a la situación jurídica de la parte demandante, ya que tal comprobación solo es pertinente en el marco del examen del cumplimiento de los requisitos establecidos en el artículo 263 TFUE, párrafo cuarto, con arreglo a los cuales cualquier persona directa e individualmente afectada por un acto puede interponer recurso de anulación (cuando la citada disposición resulte aplicable) (véase, en este sentido, la sentencia de 13 de febrero de 2025, Swissgrid/Comisión,C‑121/23 P, EU:C:2025:83, apartado 46). Por tanto, el carácter impugnable de un acto debe apreciarse objetivamente, en función de la esencia de este, y no en función de la parte demandante.

69

Dicho esto, es preciso recordar que, en el caso de actos cuya elaboración se lleva a cabo en varias etapas procedimentales, únicamente constituye, en principio, un acto impugnable la medida que fije definitivamente la postura de la institución, del órgano o del organismo de la Unión competente, con exclusión de las medidas intermedias, cuyo objetivo es preparar esa medida definitiva y que no producen efectos jurídicos autónomos frente a terceros. Constituyen, en particular, medidas intermedias las que expresan una opinión provisional de esa institución, de ese órgano o de ese organismo de la Unión (véanse, en este sentido, las sentencias de 11 de noviembre de 1981, IBM/Comisión,60/81, EU:C:1981:264, apartado 10; de 22 de septiembre de 2022, IMG/Comisión,C‑619/20 P y C‑620/20 P, EU:C:2022:722, apartado 103, y de 18 de junio de 2024, Comisión/JUR,C‑551/22 P, EU:C:2024:520, apartado 92).

70

Según la jurisprudencia, una medida intermedia tampoco puede ser objeto, en particular, de un recurso de anulación cuando conste que la ilegalidad de que adolece dicha medida puede invocarse en apoyo de un recurso dirigido contra la decisión definitiva de la que la citada medida constituye un acto de elaboración. En tales circunstancias, el recurso interpuesto contra la decisión que ponga fin al procedimiento garantizará una tutela judicial suficiente (véanse, en este sentido, las sentencias de 11 de noviembre de 1981, IBM/Comisión,60/81, EU:C:1981:264, apartado 12, y de 15 de marzo de 2017, Stichting Woonlinie y otros/Comisión, C‑414/15 P, EU:C:2017:215, apartado 46 y jurisprudencia citada).

71

En el presente asunto, por lo que respecta al contenido del acto en cuestión y a las facultades del órgano de que se trata, del propio tenor de los artículos 65, apartados 1, letra a), y 2, y 68, apartado 1, del RGPD se desprende que la Decisión controvertida es un acto que emana de un órgano de la Unión y que tiene carácter vinculante para terceros. En efecto, este acto vincula a la autoridad de control principal y a todas las autoridades de control interesadas, que son sus destinatarias y que son terceros con respecto al Comité. De conformidad con el artículo 65, apartado 6, del RGPD, la autoridad de control principal debe adoptar su decisión definitiva sobre la base de la decisión del Comité. Esta decisión definitiva debe también hacer referencia a la decisión del Comité, que debe adjuntarse a ella.

72

Además, por lo que respecta al contexto de la adopción de la Decisión controvertida, no se discute que esta fue elaborada en el marco de un procedimiento que implicaba varias etapas, en el sentido de la jurisprudencia mencionada en el apartado 69 de la presente sentencia, en la medida en que precedía a la adopción de otro acto por parte de la autoridad de control irlandesa. No obstante, la citada Decisión fija definitivamente, en el sentido de esta jurisprudencia, la postura del órgano de la Unión competente, esto es, el Comité, y agota todas las cuestiones que dicho organismo debe resolver. Procede señalar, en efecto, que tal Decisión, adoptada sobre la base del artículo 65, apartado 1, letra a), del RGPD, afecta a todas las cuestiones que hayan sido objeto de una objeción pertinente y motivada presentada por las autoridades de control interesadas, en el sentido del artículo 60, apartado 4, del RGPD, en particular a la cuestión de si se ha infringido dicho Reglamento.

73

De lo anterior resulta que, aunque no constituye la última etapa del procedimiento de control de la coherencia previsto en los artículos 58, 60 y 65 del RGPD, la Decisión controvertida no puede calificarse de medida intermedia contra la que no quepa recurso, en el sentido de la jurisprudencia citada en el apartado 69 de la presente sentencia, contrariamente a lo que declaró el Tribunal General en el apartado 42 del auto recurrido. Por consiguiente, la jurisprudencia citada en el apartado 70 de la presente sentencia carece de pertinencia en el presente asunto.

74

En este contexto, dado que la decisión del Comité produce efectos jurídicos obligatorios frente a terceros, es irrelevante el hecho de que el alcance de la decisión definitiva de la autoridad de control nacional abarque cuestiones que no han sido consultadas al Comité o que no están comprendidas en el ámbito de competencia de este.

75

Por las mismas razones, el hecho, señalado por el Tribunal General en el apartado 42 del auto recurrido, de que, contrariamente a la decisión definitiva de la autoridad de control irlandesa, la Decisión controvertida no pueda oponerse a entidades distintas de sus destinatarios carece igualmente de pertinencia para calificar dicha Decisión como acto impugnable con arreglo al artículo 263 TFUE, párrafo primero. Tal circunstancia, que se refiere a la posición jurídica de la parte demandante con respecto a la Decisión controvertida, no guarda relación ni con la esencia de dicha Decisión ni con sus efectos jurídicos obligatorios a la luz de criterios objetivos.

76

De todas estas consideraciones se desprende que la Decisión controvertida constituye un acto de un órgano de la Unión destinado a producir efectos jurídicos frente a terceros y que expresa la postura definitiva de dicho órgano sobre los aspectos que debe resolver, como declaró el propio Tribunal General, por lo demás, en los apartados 36, 37 y 49 del auto recurrido. Así pues, esta Decisión constituye, a la luz del tenor del artículo 263 TFUE, párrafo primero, y de la jurisprudencia citada en los apartados 66 a 69 de la presente sentencia, un acto impugnable, sin que proceda examinar, en esta fase, si dicha Decisión tuvo como consecuencia modificar de forma sustancial la situación jurídica de WhatsApp.

77

A este respecto, es preciso señalar que el Tribunal General incurrió en error de Derecho, por una parte, en el apartado 38 del auto recurrido, al confundir los requisitos resultantes de los párrafos primero y cuarto del artículo 263 TFUE, respectivamente, y, por otra parte, en el apartado 42 del auto recurrido, al formular un criterio erróneo, relativo a la imposibilidad de oponer directamente el acto en cuestión a WhatsApp, y al calificar la Decisión controvertida de medida intermedia carente de efectos jurídicos autónomos.

78

Por consiguiente, procede estimar la primera parte del primer motivo de casación.

79

WhatsApp sostiene que el Tribunal General incurrió en error de Derecho al declarar que la Decisión controvertida no la afectaba directamente y que, por consiguiente, su recurso era inadmisible.

80

Por un lado, en cuanto al requisito de que el acto debe producir directamente efectos en la situación jurídica del demandante, el Tribunal General concluyó erróneamente, en el apartado 52 del auto recurrido, que la Decisión controvertida no afectaba directamente a WhatsApp, debido a que dicha Decisión no le era oponible y no constituía la última etapa del procedimiento previsto en los artículos 58, 60 y 65 del RGPD.

81

Por otro lado, por lo que respecta al requisito según el cual un acto no debe dejar ningún margen de apreciación a los destinatarios encargados de su aplicación, WhatsApp considera que el Tribunal General incurrió en error de Derecho al declarar, en los apartados 53 a 60 del auto recurrido, que la Decisión controvertida había dejado a la autoridad de control irlandesa un margen de apreciación en cuanto al contenido de su decisión definitiva, al tiempo que admitía que la Decisión controvertida vinculaba a dicha autoridad de control en lo que concierne a los aspectos a los que se refería.

82

En cuanto a los apartados 54 a 56 del auto recurrido, en los que el Tribunal General consideró que el contenido de la Decisión controvertida suponía solo una parte con respecto a la decisión definitiva, WhatsApp sostiene que debería haberse examinado la inexistencia de margen de apreciación atendiendo a la propia esencia de la Decisión controvertida, sin referirse al contenido adicional de la decisión definitiva. Afirma que el Comité solo analizó ciertos aspectos de un caso concreto, a saber, las cuestiones que habían sido objeto de objeciones pertinentes y motivadas por parte de las autoridades de control interesadas. Por tanto, a juicio de WhatsApp, la Decisión controvertida no puede referirse al conjunto del asunto y no puede englobar aspectos que no hayan sido consultados al Comité o que no estén comprendidos en el ámbito de competencia de este.

83

Además, según WhatsApp, el Tribunal General incurrió en error de Derecho al declarar, en los apartados 57 a 59 del auto recurrido, que la autoridad de control irlandesa había hecho uso de su margen de apreciación para extraer conclusiones de la Decisión controvertida. En primer lugar, en cuanto a la calificación como datos personales de los datos que habían sido objeto de una compresión con pérdida, WhatsApp sostiene que esta calificación efectuada por el Comité le genera obligaciones adicionales en virtud del RGPD, y ello con independencia del hecho de que la autoridad de control principal haya hecho uso de un margen de apreciación en cuanto al fondo que vaya más allá de tal calificación al comprobar si WhatsApp había actuado como responsable o como encargado del tratamiento. En segundo lugar, en cuanto al incremento de las multas que debían imponerse a WhatsApp, la citada Decisión no dejaba ningún margen de apreciación a la autoridad de control irlandesa, ya que esta estaba obligada a imponer una multa más elevada que la prevista inicialmente. El hecho de que dicha autoridad conserve un margen de apreciación en cuanto a la determinación del importe preciso de la multa carece de pertinencia, a juicio de WhatsApp, puesto que esta tarea es competencia de la referida autoridad.

84

El Comité rebate esta argumentación y alega que deben cumplirse dos criterios acumulativos para que un acto de la Unión afecte directamente a una persona física o jurídica que no es destinataria de un acto individual. Por una parte, dicho acto debe incidir directamente en la situación jurídica de esa persona y, por otra parte, no debe dejar ningún margen de apreciación al destinatario encargado de su aplicación, por tener esta carácter meramente automático, sin aplicación de otras normas intermedias.

85

Por lo que respecta al primer criterio, la referida parte observa que el efecto vinculante de un acto debe considerarse en función de su incidencia en la situación específica de la parte demandante. En el presente asunto, según el Comité, la Decisión controvertida no tenía un carácter oponible a WhatsApp que le permitiera, sin otras etapas procedimentales, ser fuente de obligaciones. Esta Decisión no constituye la última etapa del procedimiento previsto en los artículos 58, 60 y 65 del RGPD y, sobre todo, no determinó el importe final de la multa ni definió un nuevo conjunto de normas para las actividades de WhatsApp. Así, solo la decisión definitiva afecta directamente a WhatsApp, a juicio del Comité. La autoridad de control irlandesa es, en virtud del artículo 56, apartado 6, del RGPD, el único interlocutor de esta empresa en su condición de responsable del tratamiento.

86

En lo que atañe al segundo criterio, el Comité sostiene que la autoridad de control irlandesa conservó un verdadero margen de apreciación en lo que atañe a las conclusiones que debían formularse en su decisión definitiva, que tiene, a su parecer, un alcance más amplio que la Decisión controvertida y que incluye apreciaciones sobre las que el Comité no ha sido invitado a pronunciarse, al haberse limitado la consulta a este último a las cuestiones que habían sido objeto de objeciones pertinentes y motivadas. En cualquier caso, existe una interdependencia entre la Decisión controvertida y la decisión definitiva. A su juicio, no es posible disociar las partes de esta última decisión que corresponden a las instrucciones del Comité, lo que corrobora el hecho de que este dejó cierto margen de apreciación a la autoridad de control irlandesa en varios aspectos.

87

En tales circunstancias, un órgano jurisdiccional nacional está mejor situado, según el Comité, para volver a examinar esta decisión definitiva, planteando, en su caso, cuestiones prejudiciales al Tribunal de Justicia en relación con las disposiciones del RGPD aplicadas tanto de oficio como sobre la base de las instrucciones del Comité.

88

El Comité señala que la autoridad de control irlandesa conservó también cierto margen de apreciación sobre las cuestiones abordadas en la Decisión controvertida, en particular las relativas, por una parte, a las consecuencias jurídicas que debían extraerse de la calificación como datos personales de los datos sujetos a compresión con pérdida y, por otra parte, a la fijación del importe de las multas que debían imponerse a WhatsApp. En cuanto a ese primer aspecto, afirma que dicha autoridad conservó un margen de discrecionalidad y llevó a cabo un examen autónomo, sobre todo en lo que atañe al cumplimiento del artículo 14 del RGPD. A este respecto, es erróneo sostener, a su parecer, que el Comité efectuó una evaluación «completa», ya que la competencia de este se limita al contenido de las objeciones pertinentes y motivadas y no se extiende a todo el procedimiento de infracción. En cuanto al segundo aspecto, esto es, a la fijación de las multas, si bien la Decisión controvertida contiene instrucciones generales relativas a las multas, no aborda la aplicación de dichas instrucciones ni el cálculo de las multas.

89

La República Federal de Alemania estima que, dado que la autoridad principal era su única interlocutora, no puede considerarse que la Decisión controvertida afecte directamente a WhatsApp. Tal Decisión no estaba destinada a ser aplicada de manera autónoma, sino que debía ir seguida siempre de una decisión definitiva de aquella autoridad. Señala que el legislador de la Unión optó deliberadamente por un control descentralizado del RGPD, y no por la creación de una autoridad europea y central de protección de datos.

90

La segunda parte del primer motivo de casación versa sobre la cuestión de si el Tribunal General incurrió en error de Derecho al considerar, en los apartados 50 a 60 del auto recurrido, que la Decisión controvertida no afectaba directamente a WhatsApp, en el sentido del artículo 263 TFUE, párrafo cuarto, y que, por consiguiente, el recurso interpuesto por esta era inadmisible.

91

En virtud de dicha disposición, toda persona física o jurídica puede interponer recurso, en las condiciones previstas en los párrafos primero y segundo del artículo 263 TFUE, contra los actos de los que sea destinataria o que la afecten directa e individualmente y contra los actos reglamentarios que la afecten directamente y que no incluyan medidas de ejecución.

92

Así, la admisibilidad de un recurso interpuesto por una persona física o jurídica contra un acto del que no es destinataria, con arreglo al artículo 263 TFUE, párrafo cuarto, está supeditada, entre otros, al requisito de que dicho acto la afecte directa e individualmente (sentencia de 3 de diciembre de 2019, Iccrea Banca,C‑414/18, EU:C:2019:1036, apartado 64 y jurisprudencia citada).

93

En el presente asunto, como declaró el Tribunal General en el apartado 40 del auto recurrido, ha quedado acreditado que la Decisión controvertida afecta individualmente a WhatsApp, ya que esta se refiere a determinados aspectos del proyecto de decisión definitiva que tienen por objeto específicamente la situación de dicha empresa. Ahora bien, en los apartados 52 y 53 de dicho auto, el Tribunal General estimó que la Decisión controvertida no afectaba directamente a WhatsApp, debido, por una parte, a que no tenía un carácter oponible a WhatsApp que permitiera, sin una etapa adicional en el procedimiento, ser fuente de obligaciones para ella o, en su caso, de derechos para otros particulares, y, por otra parte, que, aunque la Decisión controvertida vinculaba a la autoridad de control irlandesa en lo que atañe a los aspectos a los que se refería, le dejaba un margen de apreciación en cuanto al contenido de la decisión definitiva.

94

A este respecto, debe recordarse que, según reiterada jurisprudencia, el requisito de que la decisión objeto de recurso afecte directamente a una persona física o jurídica exige que se reúnan dos condiciones acumulativas, a saber, que la medida recurrida, por un lado, surta efectos directamente en la situación jurídica de esa persona y, por otro, que no deje ningún margen de apreciación a los destinatarios encargados de su aplicación, por tener esta carácter meramente automático y derivarse únicamente de la normativa de la Unión, sin aplicación de otras normas intermedias (sentencia de 4 de octubre de 2024, Comisión y Consejo/Frente Polisario, C‑779/21 P y C‑799/21 P, EU:C:2024:835, apartado 87 y jurisprudencia citada).

95

Antes de examinar el cumplimiento de estas dos condiciones en el presente asunto, debe precisarse que el carácter no directamente oponible del acto impugnado a la parte demandante, al igual que el hecho de que dicho acto no constituya la última etapa de un procedimiento compuesto, no obstan a que ese acto pueda afectar directamente a la parte demandante cuando el destinatario del mismo acto no disponga de ningún margen de apreciación (véanse, en este sentido, las sentencias de 4 de junio de 1992, Infortec/Comisión,C‑157/90, EU:C:1992:243, apartados 13 y 17; de 3 de diciembre de 2019, Iccrea Banca,C‑414/18, EU:C:2019:1036, apartados 65 y 67, y de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo, C‑348/20 P, EU:C:2022:548, apartado 74).

96

Por consiguiente, como ha observado la Abogada General en los puntos 139 y 144 de sus conclusiones, el Tribunal General incurrió en error de Derecho al considerar, en el apartado 52 del auto recurrido, que la Decisión controvertida no podía afectar directamente a WhatsApp porque tal Decisión no le era oponible y no constituía la última etapa del procedimiento previsto en los artículos 58, 60 y 65 del RGPD.

97

Por lo que respecta al cumplimiento de la primera de las condiciones recordadas en el apartado 94 de la presente sentencia, debe examinarse si el acto impugnado es la causa de una modificación sustancial de la situación jurídica de la persona física o jurídica de que se trata, ateniéndose a la esencia de dicho acto y valorando sus efectos a la luz de criterios objetivos, como el contenido de tal acto, tomando en consideración, en su caso, el contexto en que se adoptó y las facultades de la institución, del órgano o del organismo que fue su autor (véanse, en este sentido, las sentencias de 11 de noviembre de 1981, IBM/Comisión,60/81, EU:C:1981:264, apartado 9, y de 18 de junio de 2024, Comisión/JUR,C‑551/22 P, EU:C:2024:520, apartado 65 y jurisprudencia citada).

98

En el presente asunto, como se ha indicado en el apartado 30 de la presente sentencia, el Comité, en la Decisión controvertida, decidió, en particular, que WhatsApp había incumplido las obligaciones de información establecidas en el artículo 13, apartado 1, letra d), del RGPD y había infringido el artículo 13, apartado 2, letra e), de este. Por consiguiente, esta Decisión modifica la situación jurídica de WhatsApp, que se ve obligada, concretamente, debido a la intervención del Comité, a modificar su relación contractual con los usuarios del servicio de mensajería que presta. De ello se deduce que existe un vínculo directo entre dicha Decisión y sus efectos en la situación de WhatsApp, en el sentido de la jurisprudencia citada en los apartados 94 y 95 de la presente sentencia.

99

Contrariamente a lo que sostiene el Comité, el hecho de que la autoridad de control irlandesa sea, en virtud del artículo 56, apartado 6, del RGPD, el único interlocutor de WhatsApp, como responsable del tratamiento, no afecta a esta apreciación. En efecto, esta disposición tiene por objeto únicamente organizar las relaciones entre un responsable o un encargado del tratamiento, una autoridad de control principal y las autoridades de control interesadas, de modo que no se refiere a las vías de recurso de que se dispone contra las decisiones del Comité.

100

Por lo que respecta al cumplimiento de la segunda de las condiciones recordadas en el apartado 94 de la presente sentencia, con el fin de valorar si un acto deja a sus destinatarios un margen de apreciación para su aplicación, procede examinar los efectos jurídicos producidos por las disposiciones de dicho acto que son objeto del recurso en la situación de la persona que invoca el derecho de recurso con arreglo al artículo 263 TFUE, párrafo cuarto, segunda parte de la frase (sentencia de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo, C‑348/20 P, EU:C:2022:548, apartado 98 y jurisprudencia citada).

101

La existencia de tal margen de apreciación debe excluirse, en particular, si se demuestra que las disposiciones del acto que son objeto del recurso han tenido como consecuencia directa someter a esa persona a obligaciones cuyo resultado no podía ser modificado por la entidad encargada de aplicar posteriormente dicho acto (véase, en este sentido, la sentencia de 12 de julio de 2022, Nord Stream 2/Parlamento y Consejo, C‑348/20 P, EU:C:2022:548, apartado 114).

102

En el presente asunto, como se desprende de los apartados 71 y 72 de la presente sentencia, debe recordarse que la Decisión controvertida vincula a la autoridad de control principal y a las autoridades de control interesadas. Estas no pueden apartarse de la postura fijada por el Comité en dicha Decisión, recordada en el apartado 30 de la presente sentencia. En efecto, la citada Decisión resuelve las cuestiones de Derecho por las que ha sido consultado y vincula incondicionalmente a las referidas autoridades en lo que respecta, sobre todo, a la apreciación de que se han infringido determinadas disposiciones del RGPD, a la calificación como datos personales de los datos sujetos a una compresión con pérdida y a la obligación de incrementar el importe de las multas previstas. Las referidas autoridades no tienen la posibilidad de modificar el resultado de las apreciaciones efectuadas por el Comité en lo que atañe a estas cuestiones, en el sentido de la jurisprudencia citada en el apartado precedente de la presente sentencia.

103

A este respecto, en virtud del artículo 70, apartado 1, letra a), del RGPD, el Comité se encarga de garantizar la aplicación coherente del RGPD, supervisando y garantizando, como se desprende del considerando 10 de este, una aplicación coherente y homogénea de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de sus datos personales en toda la Unión, en los casos contemplados, en particular, en el artículo 65 del RGPD, sin perjuicio de las funciones de las autoridades de control nacionales.

104

En este contexto, carece de relevancia que el alcance de la decisión definitiva abarque cuestiones que no han sido consultadas al Comité, esto es, aspectos que no han sido objeto de objeciones pertinentes y motivadas, en el sentido del artículo 65, apartado 1, letra a), del RGPD, o cuestiones que no son competencia de dicho órgano, como, entre otras, la fijación del importe exacto de la multa que debe imponerse al responsable o al encargado del tratamiento, que incumbe a la autoridad de control que conoce del asunto en virtud de los artículos 58, apartado 2, letra i), y 83 del RGPD.

105

Además, si bien es cierto que existe un vínculo de interdependencia entre la Decisión controvertida y la decisión definitiva, no es menos cierto que estas son actos distintos y que el alcance de la Decisión controvertida está perfectamente delimitado, como se desprende de la enumeración que se reproduce en el apartado 30 de la presente sentencia. En estas circunstancias, este vínculo de interdependencia no puede impedir que se declare que la Decisión controvertida afecta directamente a WhatsApp.

106

En particular, si bien la interposición simultánea de un recurso de anulación ante el juez de la Unión —sobre la base del artículo 263 TFUE— contra la decisión vinculante del Comité y ante el juez nacional —con arreglo al artículo 78 del RGPD— contra la decisión definitiva adoptada, sobre la base de tal decisión vinculante, por la autoridad de control nacional da lugar, ciertamente, a dos procedimientos paralelos, esta situación no tiene como consecuencia que los efectos de la Decisión del Comité deban considerarse indirectos, en el presente asunto, en lo que atañe a WhatsApp.

107

En efecto, por una parte, según la jurisprudencia del Tribunal de Justicia, cuando la solución del litigio pendiente ante el órgano jurisdiccional nacional depende de la validez de la decisión de un órgano de la Unión, de la obligación de cooperación leal se desprende que, para evitar dictar una resolución incompatible con la de dicho órgano, el órgano jurisdiccional nacional debe suspender el procedimiento hasta que los órganos jurisdiccionales de la Unión dicten una resolución definitiva sobre el recurso de anulación, a no ser que considere que, en las circunstancias del caso, está justificado plantear una cuestión prejudicial al Tribunal de Justicia sobre la validez de la decisión de aquel órgano (véanse, en este sentido, las sentencias de 14 de diciembre de 2000, Masterfoods y HB, C‑344/98, EU:C:2000:689, apartado 57, y de 25 de julio de 2018, Georgsmarienhütte y otros, C‑135/16, EU:C:2018:582, apartado 24).

108

Por otra parte, debe indicarse, asimismo, que el principio de buena administración de la justicia puede justificar, en caso de que se acuda simultáneamente al Tribunal General, en el marco de un recurso de anulación, y al Tribunal de Justicia, en el de una petición de decisión prejudicial, que el Tribunal de Justicia utilice, si lo considera adecuado, el artículo 54, párrafo tercero, del Estatuto del Tribunal de Justicia de la Unión Europea para suspender el procedimiento del que conoce en favor del incoado ante el Tribunal General (sentencia de 25 de julio de 2018, Georgsmarienhütte y otros, C‑135/16, EU:C:2018:582, apartado 25).

109

Por consiguiente, dado que se cumplen las dos condiciones mencionadas en el apartado 94 de la presente sentencia, la Decisión controvertida afecta directamente a WhatsApp.

110

Habida cuenta de las consideraciones anteriores, procede estimar la segunda parte del primer motivo de casación y, en consecuencia, anular el auto recurrido.

111

Mediante la tercera parte de su primer motivo de casación, WhatsApp alega que la apreciación del Tribunal General recogida en los apartados 66 a 70 del auto recurrido, según la cual la inadmisibilidad de su recurso se inscribe en la lógica del sistema de recursos jurisdiccionales establecido por el Tratado UE y el Tratado FUE, adolece de un error de Derecho.

112

En vista de la conclusión expuesta en el apartado 110 de la presente sentencia, no procede pronunciarse sobre la tercera parte del primer motivo de casación.

113

Remitiéndose a las alegaciones formuladas en el marco del primer motivo de casación, WhatsApp sostiene que el Tribunal General infringió el artículo 65, apartado 1, del RGPD y vulneró el principio de aplicación coherente del Derecho de la Unión al declarar, en los apartados 41 a 60 del auto recurrido, que la Decisión controvertida no producía más efectos jurídicos que sus efectos vinculantes para las autoridades de control interesadas.

114

Como WhatsApp se limita a remitirse a las alegaciones formuladas en apoyo de su primer motivo de casación y en vista de la conclusión expuesta en el apartado 110 de la presente sentencia, no procede pronunciarse sobre este segundo motivo de casación, puesto que no puede dar lugar a una anulación más amplia del auto recurrido.

115

Con arreglo al artículo 61, párrafo primero, del Estatuto del Tribunal de Justicia de la Unión Europea, en caso de que se anule la resolución del Tribunal General, el Tribunal de Justicia podrá resolver él mismo definitivamente el litigio, cuando su estado así lo permita.

116

Este requisito se cumple en el presente asunto, en la medida en que este se refiere únicamente a la admisibilidad del recurso interpuesto ante el Tribunal General.

117

A este respecto, en primer lugar, como se desprende del apartado 76 de la presente sentencia, la Decisión controvertida es un acto impugnable a los efectos del artículo 263 TFUE, párrafo primero. En segundo lugar, como se ha señalado en el apartado 109 de la presente sentencia, la Decisión controvertida afecta directamente a WhatsApp, en el sentido del artículo 263 TFUE, párrafo cuarto. En tercer lugar, la citada Decisión afecta individualmente a WhatsApp, como el propio Tribunal General declaró en el apartado 40 del auto recurrido.

118

Por consiguiente, dado que se cumplen los requisitos establecidos en los párrafos primero y cuarto del artículo 263 TFUE, y a falta de cualquier otro motivo de inadmisibilidad, se declara admisible el recurso de anulación.

119

No obstante, como el Tribunal General no examinó el fondo del recurso interpuesto ante él, para lo cual se requiere un examen jurídico y fáctico detallado, no es posible resolver el litigio en cuanto al fondo.

120

Así pues, procede devolver el asunto al Tribunal General.

121

Al haberse devuelto el asunto al Tribunal General, debe reservarse la decisión sobre las costas correspondientes al procedimiento de casación.

En virtud de todo lo expuesto, el Tribunal de Justicia (Gran Sala) decide: