C-97/23 WhatsApp Ireland Ltd

EUROOPA KOHTU OTSUS (suurkoda)

10. veebruar 2026 ( *1 )

Apellatsioonkaebus – Üksikisikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikkel 63 – Järjepidevuse mehhanism – Artikkel 65 – Vaidluste lahendamine Euroopa Andmekaitsenõukogus – Siduv otsus – Tühistamishagi – ELTL artikli 263 esimene lõik – Vaidlustatav akt – ELTL artikli 263 neljas lõik – Tingimus, mille kohaselt peab meede, mille peale hagi on esitatud, hagejat isiklikult puudutama

Kohtuasjas C‑97/23 P,

mille ese on Euroopa Liidu Kohtu põhikirja artikli 56 alusel 17. veebruaril 2023 esitatud apellatsioonkaebus,

WhatsApp Ireland Ltd, asukoht Dublin (Iirimaa), esindajad: E. Egan McGrath, SC, C. Geoghegan, SC, D. McGrath, SC, P. Sreenan, SC, solicitors B. Johnston, C. Monaghan ja P. Nolan, Rechtsanwalt H.‑G. Kamann ning avocats F. Louis ja A. Vallery,

apellant,

teine menetlusosaline:

Euroopa Andmekaitsenõukogu, esindajad: C. Foglia, M. Gufflet, G. Le Grand ja I. Vereecken, keda abistasid avocats G. Haumont, E. de Lophem ja P. Vernet ning advocaat G. Ryelandt,

kostja esimeses kohtuastmes,

keda toetab:

Saksamaa Liitvabariik, esindajad: J. Möller ja P.‑L. Krüger ning hiljem J. Möller,

menetlusse astuja apellatsioonimenetluses,

EUROOPA KOHUS (suurkoda),

koosseisus: president K. Lenaerts, asepresident T. von Danwitz (ettekandja), kodade presidendid K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu-Matei ja M. Condinanzi, kohtunikud S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, ja N. Fenger,

kohtujurist: T. Ćapeta,

kohtusekretär: ametnik A. Lamote,

arvestades kirjalikku menetlust ja 26. novembri 2024. aasta kohtuistungil esitatut,

olles 27. märtsi 2025. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,

on teinud järgmise

kohtuotsuse

WhatsApp Ireland Ltd (edaspidi „WhatsApp“) palub oma apellatsioonkaebuses tühistada Euroopa Liidu Üldkohtu 7. detsembri 2022. aasta kohtumääruse WhatsApp Ireland vs. Euroopa Andmekaitsenõukogu (T‑709/21, edaspidi vaidlustatud kohtumäärus, EU:T:2022:783), millega Üldkohus jättis vastuvõetamatuse tõttu läbi vaatamata WhatsAppi hagi, milles ta palus tühistada Euroopa Andmekaitsenõukogu 28. juuli 2021. aasta siduva otsuse 1/2021, mis käsitleb asjaomaste järelevalveasutuste vahelist vaidlust, mis tekkis Data Protection Commissioni (DPC) (andmekaitseasutus, Iirimaa) (edaspidi „Iiri järelevalveasutus“) poolt WhatsAppi kohta koostatud otsuse (edaspidi „vaidlusalune otsus“) eelnõust.

Õiguslik raamistik

Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1, ning parandused ELT 2016, L 314, lk 72, ja ELT 2018, L 127, lk 3; edaspidi „IKÜM“) põhjendustes 10 ja 143 on märgitud:

„(10)

Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel [Euroopa L]iidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus. […]

[…]

(143)

Igal füüsilisel või juriidilisel isikul on õigus esitada Euroopa Kohtule andmekaitsenõukogu otsuste tühistamiseks hagi [ELTL] artiklis 263 sätestatud tingimustel. Kui selliste otsuste adressaadiks olevad asjaomased järelevalveasutused soovivad esitada hagi otsuste tühistamiseks, peavad nad tegema seda kooskõlas [ELTL] artikliga 263 kahe kuu jooksul alates sellest, kui otsused neile teatavaks tehti. Kui andmekaitsenõukogu otsused puudutavad otseselt ja isiklikult vastutavat töötlejat, volitatud töötlejat või kaebuse esitajat, võivad nad esitada hagi selliste otsuste tühistamiseks kooskõlas [ELTL] artikliga 263 kahe kuu jooksul alates asjaomaste otsuste avaldamisest andmekaitsenõukogu veebisaidil. Ilma et see piiraks seda [ELTL] artiklist 263 tulenevat õigust, peaks igal füüsilisel või juriidilisel isikul olema õigus pöörduda liikmesriigi pädeva kohtu poole tõhusa õiguskaitsevahendi saamiseks järelevalveasutuse otsuse vastu, millel on selle isiku suhtes õiguslikud tagajärjed. Selline otsus on eelkõige seotud järelevalveasutuse uurimis-, parandus- ja loaandmisvolitustega või kaebuste rahuldamata jätmise või tagasilükkamisega. Õigus tõhusale õiguskaitsevahendile ei hõlma siiski järelevalveasutuste õiguslikult mittesiduvaid meetmeid, näiteks järelevalveasutuse esitatud arvamusi või nõuandeid. Järelevalveasutuse vastu tuleks algatada menetlus selle liikmesriigi kohtus, kus järelevalveasutus asub, ning see tuleks viia läbi kooskõlas asjaomase liikmesriigi menetlusõigusega. Nendel kohtutel peaks olema täielik pädevus, mis peaks hõlmama pädevust vaadata läbi kõik arutatava kohtuasja seisukohast asjakohased faktilised ja õiguslikud asjaolud.

Kui järelevalveasutus jätab kaebuse rahuldamata või lükkab selle tagasi, võib kaebuse esitaja esitada hagi samas liikmesriigis asuvatele kohtutele. Käesoleva määruse kohaldamisega seotud õiguskaitsevahendite osas võivad liikmesriigi kohtud taotleda, või [ELTL] artiklis 267 ette nähtud juhtumil, peavad liikmesriigi kohtud taotlema Euroopa Kohtult eelotsust liidu õiguse, sealhulgas käesoleva määruse tõlgendamise küsimuses, kui nad on seisukohal, et kohtuotsuse tegemiseks on vaja sellekohast otsust. Kui järelevalveasutuse otsus, millega rakendatakse andmekaitsenõukogu otsust, vaidlustatakse riiklikus kohtus ja küsimuseks on andmekaitsenõukogu otsuse kehtivus, ei ole kõnealusel riiklikul kohtul õigust kuulutada andmekaitsenõukogu otsust õigustühiseks, vaid ta peab esitama kehtivuse küsimuse Euroopa Kohtule kooskõlas [ELTL] artikliga 267, nii nagu seda on tõlgendanud Euroopa Kohus, juhul kui ta peab otsust õigustühiseks. Riiklik kohus ei saa siiski esitada andmekaitsenõukogu otsuse kehtivust puudutavat küsimust füüsilise või juriidilise isiku taotlusel, kellel oli võimalus esitada hagi kõnealuse otsuse tühistamiseks, eelkõige juhul, kui see otsus teda otseselt ja isiklikult puudutas, kuid [ELTL] artiklis 263 sätestatud ajavahemiku jooksul ta seda ei teinud.“

IKÜM artikli 5 „Isikuandmete töötlemise põhimõtted“ lõike 1 punktis a on sätestatud, et isikuandmete töötlemine peab olema seaduslik, õiglane ja andmesubjektile läbipaistev. Selle määruse artikli 5 lõike 1 punktis c on ette nähtud, et töödeldud andmed peavad olema asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt.

IKÜM artiklis 6 „Isikuandmete töötlemise seaduslikkus“ on sätestatud isikuandmete töötlemise seaduslikkuse tingimused. Viidatud artikli 6 lõikes 1 on ette nähtud:

„Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud:

a)	andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil;

b)	isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele;

c)	isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks;

d)	isikuandmete töötlemine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks;

e)	isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks;

f)	isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps.

Esimese lõigu punkti f ei kohaldata, kui isikuandmeid töötleb avaliku sektori asutus oma ülesannete täitmisel.“

IKÜM artikkel 12 omakorda sisaldab sätteid selge teabe ja teavitamise ning andmesubjekti õiguste teostamise korra kohta. Artikli 12 lõikes 1 on sätestatud:

„Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“

IKÜM artiklis 13 „Teave, mis tuleb anda juhul, kui isikuandmed on kogutud andmesubjektilt“ on ette nähtud:

„1. Kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teeb vastutav töötleja isikuandmete saamise ajal andmesubjektile teatavaks kogu järgmise teabe:

a)	vastutava töötleja ning kui kohaldatav, siis vastutava töötleja esindaja nimi ja kontaktandmed;

b)	asjakohasel juhul andmekaitseametniku kontaktandmed;

c)	isikuandmete töötlemise eesmärk ja õiguslik alus;

d)	kui isikuandmete töötlemine põhineb artikli 6 lõike 1 punktil f, siis teave vastutava töötleja või kolmanda isiku õigustatud huvide kohta;

e)	asjakohasel juhul teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta,

asjakohasel juhul teave selle kohta, et vastutav töötleja kavatseb edastada isikuandmed kolmandale riigile või rahvusvahelisele organisatsioonile, ning teave kaitse piisavust käsitleva [Euroopa K]omisjoni otsuse olemasolu või puudumise kohta või artiklis 46 või 47 või artikli 49 lõike 1 teises lõigus osutatud edastamise korral viide asjakohastele või sobivatele kaitsemeetmetele ja nende koopia saamise viisile või kohale, kus need on tehtud kättesaadavaks.

2. Peale lõikes 1 osutatud teabe esitab vastutav töötleja isikuandmete saamise ajal andmesubjektile järgmise täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks:

a)	isikuandmete säilitamise ajavahemik või, kui see ei ole võimalik, sellise ajavahemiku määramise kriteeriumid;

b)	teave õiguse kohta taotleda vastutavalt töötlejalt juurdepääsu andmesubjekti puudutavatele isikuandmetele ning nende parandamist või kustutamist või isikuandmete töötlemise piiramist või esitada vastuväide selliste isikuandmete töötlemisele, samuti teave isikuandmete ülekandmise õiguse kohta;

c)	kui isikuandmete töötlemine põhineb artikli 6 lõike 1 punktil a või artikli 9 lõike 2 punktil a, siis teave õiguse kohta nõusolek igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust;

d)	teave õiguse kohta esitada kaebus järelevalveasutusele;

e)	teave selle kohta, kas isikuandmete esitamine on õigusaktist või lepingust tulenev kohustus või lepingu sõlmimiseks vajalik nõue, samuti selle kohta, kas andmesubjekt on kohustatud kõnealuseid isikuandmeid esitama, ning selliste andmete esitamata jätmise võimalike tagajärgede kohta, ning

f)	teave artikli 22 lõigetes 1 ja 4 osutatud automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning vähemalt nendel juhtudel sisuline teave kasutatava loogika ja selle kohta, millised on sellise isikuandmete töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks.

[…]“.

7	IKÜM artikkel 14 käsitleb teavet, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt.

8	IKÜM artikli 55 lõike 1 kohaselt on iga järelevalveasutus liikmesriigi territooriumil pädev täitma ülesandeid ja kasutama volitusi, mis on talle kooskõlas selle määrusega antud.

IKÜM artiklis 56 „Juhtiva järelevalveasutuse pädevus“ on sätestatud:

„1. Ilma et see piiraks artikli 55 kohaldamist, on vastutava töötleja või volitatud töötleja peamise või ainsa tegevuskoha järelevalveasutus pädev tegutsema juhtiva järelevalveasutusena kõnealuse vastutava töötleja või volitatud töötleja tehtud piirülese isikuandmete töötlemise toimingu suhtes kooskõlas artiklis 60 sätestatud menetlusega.

2. Erandina lõikest 1 on järelevalveasutus pädev menetlema talle esitatud kaebust või käesoleva määruse võimalikku rikkumist, kui küsimus on seotud ainult tema liikmesriigis asuva tegevuskohaga või mõjutab oluliselt ainult tema liikmesriigis asuvaid andmesubjekte.

3. Käesoleva artikli lõikes 2 osutatud juhtudel teavitab järelevalveasutus sellest küsimusest viivitamatult juhtivat järelevalveasutust. Kolme nädala jooksul pärast teavitamist otsustab juhtiv järelevalveasutus, kas ta asub juhtumit kooskõlas artiklis 60 sätestatuga menetlema, võttes arvesse seda, kas vastutava töötleja või volitatud töötleja tegevuskoht on teda teavitanud järelevalveasutuse liikmesriigis.

4. Kui juhtiv järelevalveasutus otsustab juhtumit käsitleda, kohaldatakse artiklis 60 sätestatud menetlust. Juhtivat järelevalveasutust teavitanud järelevalveasutus võib juhtivale järelevalveasutusele esitada otsuse eelnõu. Juhtiv järelevalveasutus võtab seda eelnõu täiel määral arvesse artikli 60 lõikes 3 osutatud otsuse eelnõu ettevalmistamisel.

5. Kui juhtiv järelevalveasutus otsustab juhtumit mitte käsitleda, käsitleb seda juhtumit kooskõlas artiklitega 61 ja 62 see järelevalveasutus, kes juhtivat järelevalveasutust teavitas.

6. Piiriülese isikuandmete töötlemise toimingu puhul on vastutava töötleja või volitatud töötleja ainus partner juhtiv järelevalveasutus.“

10	IKÜM artikli 57 „Ülesanded“ lõike 1 punktis h on sätestatud, et järelevalveasutuse ülesanne on toimetada oma liikmesriigi territooriumil uurimisi IKÜMi kohaldamise kohta.

Nimetatud asutuse uurimisvolitused on loetletud IKÜM artikli 58 „Volitused“ lõikes 1. Selle artikli lõikes 2 on loetletud parandusmeetmed, mida see asutus võib võtta, sealhulgas selle lõike punktides b, d ja i osutatud parandusmeetmed, mis seisnevad vastutavale töötlejale või volitatud töötlejale noomituste tegemises, kui töötlemistoimingute tulemusel on rikutud IKÜMi sätteid, vastutavale töötlejale või volitatud töötlejale korralduse andmises viia asjakohasel juhul töötlemistoimingud teatud viisil ja teatud aja jooksul IKÜMi sätetega kooskõlla ning trahvi määramises IKÜM artikli 83 alusel.

IKÜM artiklis 60 „Juhtiva järelevalveasutuse ja teiste asjaomaste järelevalveasutuste vaheline koostöö“ on sätestatud:

„1. Juhtiv järelevalveasutus teeb käesoleva artikli kohaselt koostööd teiste asjaomaste järelevalveasutustega, püüdes saavutada konsensust. Juhtiv järelevalveasutus ja asjaomased järelevalveasutused vahetavad üksteisega kogu asjaomast teavet.

2. Juhtiv järelevalveasutus võib teistelt asjaomastelt järelevalveasutustelt igal ajal nõuda artikli 61 kohase vastastikuse abi osutamist ning läbi viia artikli 62 kohaseid ühisoperatsioone, eelkõige uurimiste läbiviimiseks või teises liikmesriigis asuva vastutava töötleja või volitatud töötleja suhtes võetud meetme rakendamise järelevalveks.

3. Juhtiv järelevalveasutus edastab küsimusega seotud asjaomase teabe viivitamata teistele asjaomastele järelevalveasutustele. Ta esitab otsuse eelnõu viivitamata teistele asjaomastele järelevalveasutustele arvamuse saamiseks ja võtab asjakohaselt arvesse nende seisukohti.

4. Kui mõni teine asjaomane järelevalveasutus esitab nelja nädala jooksul pärast seda, kui temaga on käesoleva artikli lõike 3 kohaselt otsuse eelnõu osas konsulteeritud, asjakohase ja põhjendatud vastuväite otsuse eelnõu kohta, esitab juhtiv järelevalveasutus juhul, kui ta ei võta asjakohast ja põhjendatud vastuväidet arvesse või on seisukohal, et vastuväide ei ole asjakohane ega põhjendatud, küsimuse käsitlemiseks artiklis 63 osutatud järjepidevuse mehhanismi raames.

5. Kui juhtiv järelevalveasutus kavatseb asjakohase ja põhjendatud vastuväite arvesse võtta, esitab ta teistele asjaomastele järelevalveasutustele muudetud otsuse eelnõu arvamuse saamiseks. Kõnealuse muudetud otsuse eelnõu suhtes kohaldatakse lõikes 4 osutatud menetlust kahe nädala jooksul.

6. Juhul kui ükski teine asjaomane järelevalveasutus ei ole juhtiva järelevalveasutuse esitatud otsuse eelnõule lõigetes 4 ja 5 osutatud tähtaja jooksul vastuväidet esitanud, loetakse, et juhtiv järelevalveasutus ja asjaomased järelevalveasutused on otsuse eelnõus kokkuleppele jõudnud ja see on nende jaoks siduv.

7. Juhtiv järelevalveasutus võtab otsuse vastu ja teeb selle teatavaks vastutava töötleja või volitatud töötleja peamisele või, olenevalt asjaoludest, ainsale tegevuskohale ning teavitab teisi asjaomaseid järelevalveasutusi ja andmekaitsenõukogu kõnealusest otsusest, lisades sellele kokkuvõtte asjaomastest asjaoludest ja põhjustest. Järelevalveasutus, kellele kaebus esitati, teavitab sellest otsusest kaebuse esitajat.

8. Erandina lõikest 7, juhul kui kaebus jäetakse rahuldamata või lükatakse tagasi, võtab järelevalveasutus, kellele kaebus esitati, otsuse vastu ning teeb selle teatavaks kaebuse esitajale ja teavitab sellest vastutavat töötlejat.

9. Kui juhtiv järelevalveasutus ja asjaomased järelevalveasutused nõustuvad, et osa kaebusest jäetakse rahuldamata või lükatakse tagasi ja asjaomase kaebuse teine osa võetakse menetlusse, siis võetakse vastu otsus kaebuse menetletava osa kohta. Juhtiv järelevalveasutus võtab vastu otsuse vastutavat töötlejat puudutavate menetlustega seotud osa kohta ja teeb selle teatavaks oma liikmesriigis asuva vastutava töötleja või volitatud töötleja peamisele või ainsale tegevuskohale ning teavitab sellest kaebuse esitajat, samas kui kaebuse esitaja liikmesriigi järelevalveasutus võtab vastu otsuse asjaomase kaebuse rahuldamata jäetud või tagasi lükatud osa kohta ning teeb selle teatavaks kaebuse esitajale ja teavitab sellest vastutavat töötlejat või volitatud töötlejat.

10. Pärast seda, kui juhtiva järelevalveasutuse otsus on lõigete 7 ja 9 kohaselt vastutavale töötlejale või volitatud töötlejale teatavaks tehtud, võtab vastutav töötleja või volitatud töötleja vajalikud meetmed isikuandmete töötlemise toimingute osas tehtud otsuse täitmise tagamiseks kõigis liidus asuvates tegevuskohtades. Vastutav töötleja või volitatud töötleja teavitab otsuse täitmiseks võetud meetmetest juhtivat järelevalveasutust, kes teavitab teisi asjaomaseid järelevalveasutusi.

11. Kui asjaomasel järelevalveasutusel on erandlike asjaolude korral põhjust arvata, et andmesubjektide huvide kaitsmiseks tuleb tegutseda kiiresti, kohaldatakse artiklis 66 osutatud kiirmenetlust.

12. Juhtiv järelevalveasutus ja teised asjaomased järelevalveasutused esitavad kõnealuse artikli alusel nõutava teabe üksteisele elektroonilisel teel, kasutades selleks tüüpvormi.“

13	IKÜM artiklis 63 „Järjepidevuse mehhanism“ on sätestatud: „Selleks et aidata käesolevat määrust kogu liidus järjepidevalt kohaldada, teevad järelevalveasutused koostööd üksteisega ja asjakohasel juhul komisjoniga […] järjepidevuse mehhanismi kaudu.“

IKÜM artiklis 65 „Vaidluste lahendamine andmekaitsenõukogu poolt“ on sätestatud:

„1. Selleks et tagada käesoleva määruse nõuetekohane ja järjepidev kohaldamine üksikjuhtudel, võtab andmekaitsenõukogu vastu siduva otsuse järgmistel juhtudel:

kui asjaomane järelevalveasutus on artikli 60 lõikes 4 osutatud juhul tõstatanud asjakohase ja põhjendatud vastuväite juhtiva järelevalveasutuse otsuse eelnõu kohta või kui juhtiv järelevalveasutus on sellise vastuväite kui mitteasjakohase ja/või põhjendamatu tagasi lükanud. Siduv otsus puudutab kõiki asjakohases ja põhjendatud vastuväites käsitletud küsimusi, eelkõige küsimust, kas on toimunud käesoleva määruse rikkumine;

b)	kui esineb lahkarvamusi selles osas, milline on peamise tegevuskoha jaoks pädev asjaomane järelevalveasutus, ning

c)	kui pädev järelevalveasutus ei taotle andmekaitsenõukogu arvamust käesoleva artikli 64 lõikes 1 osutatud juhtudel või ei järgi andmekaitsenõukogu artikli 64 kohaselt esitatud arvamust. Sellisel juhul võib asjaomane järelevalveasutus või komisjon edastada küsimuse andmekaitsenõukogule.

2. Lõikes 1 osutatud otsus võetakse vastu ühe kuu jooksul alates sisulise küsimuse esitamisest andmekaitsenõukogu liikmete kahekolmandikulise häälteenamusega. Seda ajavahemikku võib pikendada ühe kuu võrra, võttes arvesse küsimuse keerukust. Lõikes 1 osutatud otsus on põhjendatud, see edastatakse juhtivale järelevalveasutusele ja kõigile asjaomastele järelevalveasutustele ning on neile siduv.

3. Juhul kui andmekaitsenõukogu ei ole suutnud lõikes 2 osutatud aja jooksul otsust vastu võtta, võtab ta kahe nädala jooksul pärast lõikes 2 osutatud teise kuu möödumist otsuse vastu andmekaitsenõukogu liikmete lihthäälteenamusega. Kui andmekaitsenõukogu liikmete hääled jagunevad võrdselt, on otsuse vastuvõtmisel määrav eesistuja hääl.

4. Asjaomased järelevalveasutused ei võta lõigetes 2 ja 3 osutatud ajavahemike jooksul vastu otsust andmekaitsenõukogule lõike 1 kohaselt esitatud sisulises küsimuses.

5. Andmekaitsenõukogu eesistuja teavitab lõikes 1 osutatud otsusest põhjendamatu viivituseta asjaomaseid järelevalveasutusi. Ta teatab sellest komisjonile. Otsus avaldatakse andmekaitsenõukogu veebisaidil viivituseta pärast seda, kui järelevalveasutus on teavitanud lõikes 6 osutatud lõplikust otsusest.

6. Vastavalt olukorrale kas juhtiv järelevalveasutus või see järelevalveasutus, kellele kaebus esitati, võtab käesoleva artikli lõikes 1 osutatud otsuse alusel vastu oma lõpliku otsuse, tehes seda põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul alates sellest, kui andmekaitsenõukogu on oma otsusest teavitanud. Vastavalt olukorrale kas juhtiv järelevalveasutus või see järelevalveasutus, kellele kaebus esitati, teavitab andmekaitsenõukogu, millisel kuupäeval tehakse tema lõplik otsus teatavaks vastutavale töötlejale või volitatud töötlejale ja andmesubjektile. Asjaomaste järelevalveasutuste lõplik otsus võetakse vastu artikli 60 lõigete 7, 8 ja 9 tingimuste kohaselt. Lõplikus otsuses viidatakse käesoleva artikli lõikes 1 osutatud otsusele ja märgitakse, et lõikes 1 osutatud otsus avaldatakse kooskõlas käesoleva artikli lõikega 5 andmekaitsenõukogu veebisaidil. Lõplikule otsusele lisatakse käesoleva artikli lõikes 1 osutatud otsus.“

15	IKÜM artikli 68 „[Andmekaitsenõukogu]“ lõikes 1 on ette nähtud, et andmekaitsenõukogu luuakse Euroopa Liidu ametina ja tal on juriidilise isiku staatus.

IKÜM artikli 70 „Andmekaitsenõukogu ülesanded“ lõike 1 punktis a on ette nähtud, et andmekaitsenõukogu tagab IKÜMi järjepideva kohaldamise. Selleks on andmekaitsenõukogu ülesanne omal algatusel või olenevalt olukorrast komisjoni taotlusel eelkõige jälgida IKÜMi nõuetekohast kohaldamist ja tagada selle nõuetekohane kohaldamine selle artiklites 64 ja 65 sätestatud juhtudel, ilma et see piiraks liikmesriikide järelevalveasutuste ülesandeid.

IKÜM artiklis 78 „Õigus tõhusale õiguskaitsevahendile järelevalveasutuse vastu“ on sätestatud:

„1. Ilma et see piiraks muude halduslike kaitsevahendite või kohtuväliste heastamisvahendite kohaldamist, on igal füüsilisel või juriidilisel isikul õigus kasutada tõhusat õiguskaitsevahendit järelevalveasutuse õiguslikult siduva otsuse vastu, mis teda puudutab.

2. Ilma et see piiraks muude halduslike kaitsevahendite või kohtuväliste heastamisvahendite kohaldamist, on igal andmesubjektil õigus kasutada tõhusat õiguskaitsevahendit, kui artiklite 55 ja 56 kohaselt pädev järelevalveasutus ei käsitle kaebust või ei teavita andmesubjekti kolme kuu jooksul artikli 77 kohaselt esitatud kaebuse menetlemise käigust või tulemustest.

3. Järelevalveasutuse vastu algatatakse menetlus selle liikmesriigi kohtus, kus järelevalveasutus asub.

4. Kui menetlus algatatakse järelevalveasutuse otsuse vastu, millele eelnes järjepidevuse mehhanismi kohane andmekaitsenõukogu arvamus või otsus, edastab järelevalveasutus selle arvamuse või otsuse kohtule.“

18	IKÜM artiklis 83 on ette nähtud trahvide määramise üldtingimused.

Vaidluse taust ja vaidlusalune otsus

19	Vaidluse taust on esitatud vaidlustatud kohtumääruse punktides 2–12 ja käesoleva menetluse vajadustest lähtudes võib selle kokku võtta järgmiselt.

Pärast IKÜMi jõustumist sai Iiri järelevalveasutus kaebusi sõnumirakenduse WhatsApp kasutajatelt ja mittekasutajatelt isikuandmete töötlemise kohta WhatsAppi poolt. Samuti palus Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (andmekaitse ja teabevabaduse föderaalvolinik, Saksamaa) Iiri järelevalveasutuse abi küsimuses, kas WhatsApp täidab temal kui isikuandmete vastutaval töötlejal olevaid läbipaistvuskohustusi osas, mis puudutab niisuguste andmete võimalikku jagamist Facebooki kontserni (alates 2021. aasta septembrist ümber nimetatud Metaks) teiste üksustega.

Iiri järelevalveasutus alustas 2018. aasta detsembris omal algatusel üldist uurimist selle kohta, kas WhatsApp täidab IKÜM artiklites 12–14 sätestatud läbipaistvus‑ ja teavitamiskohustusi üksikisikute suhtes, ilma et see oleks mõjutanud meetmeid, mida see asutus võis võtta talle esitatud individuaalsete kaebuste suhtes. Iiri järelevalveasutus tegutses seejuures juhtiva järelevalveasutusena IKÜM artikli 56 lõike 1 tähenduses, kuna WhatsAppi peamine tegevuskoht Euroopas pakutava sõnumirakenduse WhatsApp vastutava töötlejana on Iirimaal ja see töötlemine on piiriülene.

Pärast seda, kui uurimine jõudis 2019. aasta septembris uurija lõpparuande esitamisega lõpule, esitas Iiri järelevalveasutus pärast vahepealseid menetlusetappe, mille käigus WhatsApp esitas märkusi, 2020. aasta detsembris kõigile teistele asjaomastele järelevalveasutustele, st kõigile teiste liikmesriikide järelevalveasutustele, arvamuse saamiseks otsuse eelnõu, nagu on ette nähtud IKÜM artikli 60 lõikes 3.

2021. aasta jaanuaris esitasid kaheksa neist järelevalveasutustest vastuväiteid kõnealuse otsuse eelnõu teatud aspektide kohta. Iiri järelevalveasutus andis neile vastuväidetele ühise vastuse, pakkudes kompromisslahendusi. Kuigi üks neist asutustest võttis selle vastuse peale oma vastuväite tagasi, tõdes Iiri järelevalveasutus, et puudub üksmeel teiste aspektide osas, mille suhtes oli vastuväiteid esitatud. Ta otsustas kõik saadud vastuväited tagasi lükata ja pöörduda andmekaitsenõukogu poole, et see lahendaks asjaomaste järelevalveasutuste vahelise vaidluse vastuväidetega hõlmatud aspektide üle vastavalt IKÜM artikli 60 lõike 4 ja artikli 65 lõike 1 punkti a sätetele.

Iiri järelevalveasutus, kes oli WhatsAppile edastanud kõik dokumendid küsimuste kohta, mille üle asjaomased järelevalveasutused vaidlesid, sai 2021. aasta mais WhatsAppi kirjalikud märkused nende vaidlusküsimuste kohta ning edastas need märkused omakorda andmekaitsenõukogule, et viimane tutvuks nendega 2021. aasta juunis algatatud vaidluse lahendamise menetluses.

25	Andmekaitsenõukogu võttis 28. juulil 2021 IKÜM artikli 65 lõike 2 alusel vastu vaidlusaluse otsuse.

Pärast seda, kui Iiri järelevalveasutus oli saanud vaidlusaluse otsuse ja küsinud WhatsAppilt märkusi rahaliste karistuste kohta, mis talle vaidlusalust otsust arvestades kavatseti lõpuks määrata, võttis see asutus 20. augustil 2021 IKÜM artikli 65 lõike 6 kohaselt vastu WhatsAppile adresseeritud lõpliku otsuse (edaspidi „lõplik otsus“).

Lõplikus otsuses leidis Iiri järelevalveasutus, et WhatsApp on rikkunud IKÜM artikli 5 lõike 1 punktis a, artikli 12 lõikes 1, artikli 13 lõike 1 punktides c–f, artikli 13 lõike 2 punktides a, c ja e ning artiklis 14 sätestatud läbipaistvuse põhimõtet ja läbipaistvuskohustusi. Samas märkis see asutus, et WhatsApp on täitnud IKÜM artikli 13 lõike 1 punktides a ja b ning artikli 13 lõike 2 punktides b ja d sätestatud kohustusi. Nimetatud asutus tegi IKÜM artikli 58 lõike 2 punktide b, d ja i alusel võetud parandusmeetmetena WhatsAppile noomituse, nõudis, et viimane rakendaks mitut lisas loetletud meedet, mille eesmärk on viia tema tegevus kolme kuu pikkuse tähtaja jooksul vastavusse nende IKÜMi sätetega, mida ta on rikkunud, ja määras talle neli haldustrahvi IKÜM artikli 5 lõike 1 punkti a ning artiklite 12–14 tuvastatud rikkumiste eest kokku 225 miljoni euro suuruses summas.

Lisaks tõi Iiri järelevalveasutus lõplikus otsuses välja aspektid, mille suhtes vaidlusalune otsus kohustas teda oma otsuse eelnõus antud hinnangu uuesti läbi vaatama. Ta otsustas nende aspektide osas tuua varjutatud kastides ära need põhjendused, mida andmekaitsenõukogu oli kasutanud vaidlusaluses otsuses, ning lihtsalt teha neist iga kord kokkuvõtvas punktis järeldused.

29	Vaidlusalune otsus lisati lõplikule otsusele, nagu on ette nähtud IKÜM artikli 65 lõikes 6.

Vaidlusaluses otsuses võttis andmekaitsenõukogu seisukoha küsimustes, mille kohta olid esitatud asjakohased ja põhjendatud vastuväited IKÜM artikli 65 lõike 1 punkti a tähenduses, nimelt:

–

küsimus, kas WhatsApp on rikkunud IKÜM artikli 13 lõike 1 punktis d sätestatud teabe andmise kohustust, mis puudutab teatud teavet, mis tuleb andmesubjektidele edastada pärast seda, kui neilt on kogutud isikuandmeid. Iiri järelevalveasutus ei tuvastanud oma otsuse eelnõus sellist rikkumist. Andmekaitsenõukogu leidis seevastu, et WhatsApp rikkus seda sätet;

–

küsimus, kas WhatsAppi kasutajate lõppseadmete aadressiraamatutes sisalduvate WhatsAppi mittekasutajate kontaktandmete suhtes kohaldatud kadudega tihenduse (nn lossy hashing) menetluse tulemusel saadud elemendid tuleb kvalifitseerida isikuandmeteks. Iiri järelevalveasutus ei olnud oma otsuse eelnõus neid elemente sellistena kvalifitseerinud. Andmekaitsenõukogu leidis vastupidi, et tegemist on endiselt isikuandmetega. See aspekt võis andmekaitsenõukogu sõnul mõjutada võimalikku järeldust, et WhatsApp on eiranud IKÜM artikli 5 lõike 1 punkti c ja artikli 6 lõiget 1, seda, kui suures ulatuses on WhatsApp IKÜM artiklit 14 rikkunud, ning samuti neil alustel määratava rahalise karistuse suurust;

–	küsimus, kas WhatsApp on toime pannud IKÜM artikli 5 lõike 1 punktis a sätestatud läbipaistvuse põhimõtte eiramise, mida Iiri järelevalveasutus ei olnud otsuse eelnõus tuvastanud. Andmekaitsenõukogu leidis seevastu, et WhatsApp on seda põhimõtet rikkunud;

–

järeldus, et WhatsApp on rikkunud IKÜM artikli 13 lõike 2 punkti e, mis puudutab teavet, mis tuleb andmesubjektidele edastada, kui neilt on kogutud isikuandmeid; Iiri järelevalveasutus leidis, et tal ei ole võimalik seda järeldust teha, sest uurija ei olnud uurimise ajal selles küsimuses seisukohta võtnud, ning et tal on võimalik anda üksnes soovitus. Andmekaitsenõukogu hinnangul hõlmas uurimine seevastu kõiki IKÜM artikli 13 sätteid ja nimetatud sätte rikkumine tuli tuvastada;

–

küsimus, kas WhatsApp on rikkunud IKÜM artikli 6 lõiget 1, mis käsitleb isikuandmete töötlemise seaduslikkuse tingimusi – Iiri järelevalveasutus selle kohta otsust ei teinud. Andmekaitsenõukogu leidis, et menetluslikel põhjustel ei ole tõepoolest võimalik selle kohta otsust teha ega rikkumist tuvastada;

–

käesoleva punkti teises taandes osutatud analüüsi tõttu nende põhjenduste laiendamine, mille kohaselt WhatsApp on eiranud IKÜM artiklis 14 ette nähtud kohustust anda teavet, mis tuleb esitada juhul, kui isikuandmed ei ole saadud andmesubjektilt. Andmekaitsenõukogu kinnitas mõju, mis sellel laiendamisel peab olema tegevuslikele parandusmeetmetele ja WhatsAppile määratavale sanktsioonile;

–

küsimus, kas WhatsApp on rikkunud IKÜM artikli 5 lõike 1 punktis c sätestatud põhimõtet, et koguda tohib ainult andmeid, mis on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt – Iiri järelevalveasutus selle kohta otsust ei teinud. Andmekaitsenõukogu leidis, et selline rikkumine ei ole toimiku põhjal tõendatud, eriti arvestades WhatsAppi puudutavas menetluses kasutatud uurimise ulatust;

–	Iiri järelevalveasutuse määratud kuuekuuline tähtaeg, mille jooksul WhatsApp peab parandusmeetmete kohaselt täitma IKÜMi nõuded, mida ta oli rikkunud. Andmekaitsenõukogu vähendas seda tähtaega kolmele kuule;

–	parandusmeetmed, nimelt mil viisil teavitab WhatsApp tema rakenduse mittekasutajaid sellest, et ta töötleb nende isikuandmeid; andmekaitsenõukogu kinnitas hinnangut, mille Iiri järelevalveasutus selles küsimuses oma otsuse eelnõus andis;

–

parandusmeetmed, nimelt täiendavate põhjenduste esitamine seoses sellega, et WhatsApp on eiranud IKÜM artiklis 14 sätestatud kohustusi, võttes arvesse, et andmekaitsenõukogu hinnangul on täiendavate põhjenduste esitamine vajalik selleks, et tagada, et WhatsApp võtab sel otstarbel sobivad parandusmeetmed;

–

WhatsAppile määratavate trahvide suuruse kriteeriumid, arvestades IKÜM artiklit 83, mis käsitleb „trahvide määramise üldtingimusi“. Andmekaitsenõukogu leidis, et Iiri järelevalveasutus tõlgendas vääralt asjasse puutuva ettevõtja ülemaailmse aastakäibe kriteeriumi; et ta tõlgendas õigesti mõistet „eelnev majandusaasta“; et ta tõlgendas vääralt reeglit, mille kohaselt juhul, kui sama töötlemistoimingu või seotud töötlemistoimingute käigus on rikutud mitut IKÜMi sätet, ei tohi trahvi kogusumma ületada summat, mis on sätestatud seoses raskeima rikkumisega; et ta tõlgendas õigesti teatud IKÜM artikli 83 lõigetes 1 ja 2 nimetatud trahvi määramise kriteeriume (kas rikkumine pandi toime tahtlikult või hooletusest, rikkumise raskus), kuid tõlgendas vääralt teisi kriteeriume (käibe arvessevõtmine trahvi suuruse määramisel sõltumata selle ülemmäära arvutamisest ning üldisemalt vajadus, et karistus oleks tõhus, proportsionaalne ja heidutav), ning

–

trahvide suurus, kuna andmekaitsenõukogu leidis, et arvestades Iiri järelevalveasutuse tehtud vigu teatavate trahvi suurust mõjutavate kriteeriumide tõlgendamisel ja WhatsAppi muid rikkumisi, mis tuleb tuvastada, tuleb trahve, mis Iiri järelevalveasutuse kavandatu kohaselt ulatusid kokku 30–50 miljoni euroni, suurendada.

31	WhatsApp vaidlustas lõpliku otsuse Iiri kohtus.

Menetlus Üldkohtus ja vaidlustatud kohtumäärus

32	WhatsApp esitas ELTL artikli 263 alusel vaidlusaluse otsuse tühistamiseks hagiavalduse, mis saabus Üldkohtu kantseleisse 1. novembril 2021.

33	Vaidlustatud kohtumäärusega, mis tehti Üldkohtu kodukorra artikli 129 alusel, jättis Üldkohus hagi vastuvõetamatuse tõttu läbi vaatamata.

Üldkohus märkis vaidlustatud kohtumääruse punktides 36, 37 ja 40, et vaidlusalune otsus on liidu organi õigusakt, mille eesmärk on tekitada õiguslikke tagajärgi kolmandatele isikutele, ning et see otsus puudutab WhatsAppi isiklikult, kuid leidis vaidlustatud kohtumääruse punktis 42 siiski, et see otsus on ettevalmistav või vaheakt menetluses, mis peab lõppema lõpliku otsuse vastuvõtmisega liikmesriigi järelevalveasutuse poolt. Üldkohus asus aga vaidlustatud kohtumääruse punktides 43 ja 44 seisukohale, et selline õigusakt on „vaidlustatav akt“ vaid siis, kui sellel on iseseisvad õiguslikud tagajärjed, mille suhtes ei ole võimalik tagada piisavat kohtulikku kaitset kõnealust menetlust lõpetava otsuse edasikaebamisega.

Sellega seoses leidis Üldkohus vaidlustatud kohtumääruse punktis 45, et käesoleval juhul on WhatsAppile tõhus kohtulik kaitse vaidlusaluse otsuse suhtes tagatud, kuna tal on võimalik kasutada lõpliku otsuse vastu liikmesriigi kohtus õiguskaitsevahendit, kusjuures sellel liikmesriigi kohtul on ELTL artikli 267 alusel õigus esitada Euroopa Kohtule eelotsusetaotlus vaidlusaluse otsuse kehtivuse hindamiseks. Samuti täpsustas Üldkohus vaidlustatud kohtumääruse punktis 46, et vaidlusalusel otsusel ei ole WhatsAppi jaoks Iiri järelevalveasutuse lõplikust otsusest sõltumatuid õiguslikke tagajärgi.

36	Lisaks leidis Üldkohus vaidlustatud kohtumääruse punktis 49, et asjaolu, et selline vaheakt väljendab asutuse lõplikku seisukohta, mis tuleb üle võtta kõnealust menetlust lõpetavasse lõplikusse otsusesse, ei tähenda tingimata, et see akt ise toob kaasa selge muutuse hageja õiguslikus olukorras.

Peale selle tõdes Üldkohus vaidlustatud kohtumääruse punktis 50, et vaidlusalune otsus ei puuduta WhatsAppi otseselt. Üldkohus täheldas kohtumääruse punktis 52, et sellele otsusele ei saa WhatsAppi vastu tugineda sellisel viisil, et see võiks ilma edasiste menetlusetappideta tekitada talle kohustusi või – olenevalt olukorrast – teistele isikutele õigusi, mistõttu ei tekita see WhatsAppi olukorrale otseseid õiguslikke tagajärgi. Ühtlasi märkis Üldkohus selle kohtumääruse punktis 53, et kuigi vaidlusalune otsus on Iiri järelevalveasutusele selles käsitletud aspektide osas siduv, jätab see viimasele siiski kaalutlusruumi lõpliku otsuse sisu osas.

38	Nii otsustas Üldkohus sama kohtumääruse punktides 61 ja 62, et täidetud ei ole ükski tingimus, mille täidetuse korral oleks võimalik asuda seisukohale, et WhatsAppi hagi esemeks olev meede puudutab teda otseselt, ning et järelikult on hagi vastuvõetamatu.

Lõpuks leidis Üldkohus vaidlustatud kohtumääruse punktides 66–70, et tema analüüsi tulemus kuulub aluslepingutega loodud õiguskaitsevahendite süsteemi loogikasse. Üldkohus märkis eelkõige, et vaidlusaluse otsuse peale WhatsAppi poolt esitatud hagi vastuvõetavaks tunnistamine tooks kaasa ohu, et liidu kohtus ja liikmesriigi kohtus algatatakse paralleelsed kohtumenetlused, kusjuures liikmesriigi kohtul on lisaks õigus esitada Euroopa Kohtule eelotsusetaotlus selle otsuse kehtivuse hindamiseks.

Poolte nõuded

WhatsApp palub oma apellatsioonkaebuses Euroopa Kohtul:

–	tühistada vaidlustatud kohtumäärus;

–	tunnistada esimeses kohtuastmes esitatud hagi vastuvõetavaks;

–	saata kohtuasi tagasi Üldkohtule otsuse tegemiseks ja

–	mõista apellatsioonimenetluse kohtukulud välja andmekaitsenõukogult.

Andmekaitsenõukogu, kelle nõudeid toetab Saksamaa Liitvabariik, palub Euroopa Kohtul:

–	jätta apellatsioonkaebus rahuldamata;

–	mõista kohtukulud välja WhatsAppilt ja

–	teise võimalusena saata kohtuasi tagasi Üldkohtule uue otsuse tegemiseks.

Apellatsioonkaebus

Hagi väidetavalt hilinemisega esitamine esimeses kohtuastmes

Poolte argumendid

Andmekaitsenõukogu väidab, et hagi esitati esimeses kohtuastmes hilinenult. Ta selgitab sellega seoses, et WhatsApp sai vaidlusaluse otsuse asjakohastest osadest teada selle otsuse andmekaitsenõukogu veebisaidil avaldamisest varasemal kuupäeval, täpsemalt 13. augustil 2021. Järelikult, sõltumata vaidlusaluse otsuse andmekaitsenõukogu veebisaidil avaldamise kuupäevast, mida ei saa pealegi samastada avaldamisega Euroopa Liidu Teatajas, hakkas hagi esitamise tähtaeg kulgema 13. augustil 2021 ja möödus sama aasta 25. oktoobril. Kuna WhatsApp esitas tühistamishagi 1. novembril 2021, on see esitatud hilinenult.

WhatsApp väidab, et andmekaitsenõukogu väide, et WhatsApp esitas oma hagi hilinenult, on ekslik. Nimelt, kui hageja ei ole õigusakti adressaat, määrab hagi esitamise tähtaja kulgema hakkamise hetke kindlaks selle akti avaldamise kuupäev. Sellest teadasaamise kuupäev on selles osas vaid teisejärguline kriteerium. Nimetatud õigusakti avaldamise viis ei ole aga asjakohane. Käesoleval juhul avaldati vaidlusalune otsus igal juhul andmekaitsenõukogu veebisaidil 2. septembril 2021 ja hagi esitati 1. novembril 2021, järgides ELTL artikli 263 kuuendas lõigus ette nähtud tähtaega.

Euroopa Kohtu hinnang

44	ELTL artikli 263 kuuenda lõigu kohaselt tuleb selles artiklis sätestatud menetlus algatada kahe kuu jooksul vastavalt kas meetme avaldamisest või hagejale teatavakstegemisest või nende puudumisel kahe kuu jooksul pärast päeva, mil hageja sellest teada sai.

Selle sätte sõnastusest, eelkõige väljenditest „vastavalt kas“ ja „nende puudumisel“, nähtub selgelt, et hagi esitamise tähtaja kulgema hakkamise algus määratakse kindlaks olukorrast lähtuvalt ning et kaks esimest kriteeriumi, millest alates tähtaeg võib kulgema hakata, on kolmandast kriteeriumist tähtsuselt eespool. Niisiis hakkab tühistamishagi esitamise tähtaeg esimese võimalusena kulgema akti avaldamisest või selle hagejale teatavakstegemisest. Need kaks peamist kriteeriumi on selle sätte ülesehituses asetatud võrdsesse seisu selles mõttes, et kumbki neist kriteeriumidest ei ole teise suhtes teisejärguline. Seevastu vaidlustatud aktist teadasaamise kuupäev on hagi esitamise tähtaja kulgema hakkamise kriteeriumina selle akti avaldamise või teatavakstegemise suhtes teisejärguline (vt selle kohta 26. septembri 2024. aasta kohtuotsus WEPA Hygieneprodukte jt vs. komisjon, C‑795/21 P ja C‑796/21 P, EU:C:2024:807, punktid 61–63 ning seal viidatud kohtupraktika).

Käesoleval juhul ei ole vaidlust selles, et vaidlusalust otsust ei tehtud WhatsAppile teatavaks, kuna andmekaitsenõukogu on IKÜM artikli 65 lõike 5 esimese lause alusel kohustatud sellisest otsusest teavitama üksnes asjaomaseid järelevalveasutusi. Seega tuleb välja selgitada, kas vaidlusalune otsus „avaldati“ ELTL artikli 263 kuuenda lõigu tähenduses.

Sellega seoses tuleb täpsustada, et mõiste „avaldamine“ ei hõlma üksnes avaldamist Euroopa Liidu Teatajas, vaid seda tuleb vastupidi tõlgendada laialt. Selle mõiste alla kuulub ka avaldamine liidu institutsiooni, organi või asutuse veebisaidil, kui see on ette nähtud teiseses õiguses (vt selle kohta 26. septembri 2024. aasta kohtuotsus WEPA Hygieneprodukte jt vs. komisjon, C‑795/21 P ja C‑796/21 P, EU:C:2024:807, punkt 70 ja seal viidatud kohtupraktika).

Kuna käesoleval juhul on vaidlusaluse otsuse avaldamine ette nähtud IKÜM artikli 65 lõike 5 kolmandas lauses, tuleb seega arvesse võtta kuupäeva, mil see otsus andmekaitsenõukogu veebisaidil avaldati, st 2. septembrit 2021. Seda tõlgendust kinnitab IKÜM põhjenduse 143 kolmas lause, millest nähtub, et hagi esitamise tähtaega tuleb arvutada alates asjaomase otsuse avaldamisest andmekaitsenõukogu veebisaidil.

49	Kuna hagi esitati 1. novembril 2021, ei ületatud ELTL artikli 263 kuuendas lõigus ette nähtud tähtaega, mistõttu tuleb analüüsida, kas käesolevas apellatsioonkaebuses esitatud väited seavad kahtluse alla hinnangu, mille Üldkohus andis vaidlustatud kohtumääruses.

Esimene väide, et vaidlustatava akti mõiste ning tingimuse, mille kohaselt hagi esemeks olev meede peab hagejat otseselt puudutama, tõlgendamisel ja kohaldamisel on rikutud õigusnorme

Esimese väite esimene osa

– Poolte argumendid

50	WhatsApp väidab, et Üldkohus rikkus õigusnormi, kui ta leidis, et vaidlusalune otsus ei ole vaidlustatav akt.

WhatsApp vaidleb eelkõige vastu selle kriteeriumi asjakohasusele, millele Üldkohus vaidlustatud kohtumääruse punktis 41 viitas seoses selle kindlakstegemisega, kas akt on vaidlustatav või mitte. Üldkohus leidis apellandi hinnangul ekslikult, et on vaja tõendada, et vaidlusalune otsus tekitab õiguslikke tagajärgi, mis toovad kaasa selge muutuse WhatsAppi õiguslikus olukorras, ja et see otsus puudutab teda otseselt. Kuid piisanuks järeldusest, et selle otsuse eesmärk on tekitada õiguslikke tagajärgi ühele või mitmele kolmandale isikule, et tuvastada, et oma lõplikkuse tõttu on kõnealune otsus vaidlustatav akt. Igal juhul ei ole nimetatud otsus pelgalt vahemeede, vaid väljendab andmekaitsenõukogu lõplikku seisukohta.

WhatsAppi sõnul kohaldas Üldkohus vaheaktide õiguslikke tagajärgi käsitlevat kohtupraktikat vääralt, kohaldades menetluslikku kriteeriumi, mille kohaselt on selline akt vaidlustatav ainult siis, kui lõpliku akti peale esitatav hagi ei võimaldaks tagada piisavat kohtulikku kaitset, ning järeldades sellest, et vaidlusalusel otsusel ei ole õiguslikke tagajärgi.

Selles kontekstis viitab WhatsApp 11. novembri 1981. aasta kohtuotsusele IBM vs. komisjon (60/81, EU:C:1981:264, punktid 10 ja 11), millest nähtub eelkõige, et vaheakt on vaidlustatav, kui see on lõplik ja kui see on hilisemast lõplikust otsusest sõltumatu. Seega tuleb analüüsida akti olemust ja hinnata selle tagajärgi selliste objektiivsete kriteeriumide põhjal nagu akti sisu, võttes vajaduse korral arvesse akti vastuvõtmise konteksti ja selle vastu võtnud institutsiooni pädevust. WhatsApp viitab sellega seoses eelkõige 12. juuli 2022. aasta kohtuotsusele Nord Stream 2 vs. parlament ja nõukogu (C‑348/20 P, EU:C:2022:548, punkt 63).

Täpsemalt leiab ta, et sellise akti peale ei saa tühistamishagi esitada üksnes siis, kui esiteks on see sisu poolest ajutine, mistõttu akti vastuvõtja võib hiljem tehtava lõpliku otsuse etapis oma seisukohta muuta, ja kui teiseks võtab lõpliku otsuse vastu sama liidu institutsioon või organ. Seega ei saa vahemeetme mõistet kohaldada otsusele, mille on vastu võtnud liidu institutsioon või organ ja mis on adresseeritud liikmesriigi asutusele, kelle ülesanne on rakendada seda otsust kolmandate isikute suhtes.

WhatsAppi sõnul piirdus Üldkohus käesoleval juhul sellega, et kontrollis, kas talle oli menetluslikult tagatud tõhus kohtulik kaitse riigisisese kohtu poole pöördumise kaudu. Nõnda leidis ta vaidlustatud kohtumääruse punktides 48 ja 49 ekslikult, et WhatsAppi argument, mille kohaselt väljendab vaidlusalune otsus selle vastuvõtja lõplikku seisukohta, ei ole asjakohane. Nii toimides leidis Üldkohus seega ebaõigesti, et vaidlusalune otsus ei tekita õiguslikke tagajärgi ja et see ei ole lõplikust otsusest sõltumatu, ilma et ta oleks hinnanud vaidlusaluse otsuse sisu ja konteksti ega selle iseseisvate õiguslike tagajärgede ulatust.

Mis puudutab vaidlusaluse otsuse sisu, siis ei ole vaidlust selles, et selle kui IKÜM artikli 65 alusel vastu võetud siduva otsuse eesmärk oli tekitada õiguslikke tagajärgi kolmandatele isikutele ja et see väljendas andmekaitsenõukogu lõplikku seisukohta talle esitatud küsimustes. See seisukoht muutis selgelt WhatsAppi õiguslikku olukorda, eelkõige järelduse tõttu, et kadudega tihenduse töötluse läbinud andmed on isikuandmed, ning see seisukoht oli Iiri järelevalveasutusele siduv.

Mis puudutab vaidlusaluse otsuse konteksti, siis tuleneb IKÜM artikli 65 sõnastusest, et tegemist on siduva otsusega. IKÜM põhjenduses 143 on märgitud, et andmekaitsenõukogu otsused võivad otseselt ja isiklikult puudutada ka vastutavat töötlejat, mis tähendab, et need otsused võivad tekitada õiguslikke tagajärgi ka nende riigisiseste järelevalveasutuste väliselt, kellele need on adresseeritud. Seda kinnitavad nii andmekaitsenõukogu otsuste siduva mõju mõte, mis seisneb IKÜMi nõuetekohase ja järjepideva kohaldamise tagamises, kui ka IKÜM artikli 65 lõikes 1 osutatud menetlusökonoomia.

Mis puudutab vaidlusaluse otsuse iseseisvaid õiguslikke tagajärgi peale nende, mille see toob kaasa adressaatidele, siis märgib WhatsApp, et see otsus tekitab talle selliseid tagajärgi, mõjutades eelkõige viisi, kuidas ta kavatseb järgida IKÜMi seoses kadudega tihenduse töötluse läbinud andmetega, võttes arvesse, et andmekaitsenõukogu kvalifitseerib need isikuandmeteks. Vaidlusalune otsus tekitab õiguslikke tagajärgi ka liikmesriikide kohtutele, kellel ei ole õigust seda muuta ega tühistada.

Andmekaitsenõukogu vaidleb nendele argumentidele vastu. Ta väidab, et tühistamishagi saab üldjuhul esitada üksnes meetme peale, millega liidu institutsioon, organ või asutus määrab haldusmenetluse lõpus lõplikult kindlaks oma seisukoha. Seevastu ei saa vaidlustatavateks aktideks kvalifitseerida vaheakte, mille eesmärk on valmistada ette lõplik otsus, kuna nende aktide eesmärk ei ole tekitada siduvaid õiguslikke tagajärgi, mis on sõltumatud liidu aktist, mida sel viisil ette valmistatakse, kinnitatakse või täidetakse. Lisaks leiab andmekaitsenõukogu, et vaheakti ei saa vaidlustada, kui sellise akti õigusvastasusele saab tugineda hagis, mis esitatakse lõpliku otsuse peale, mille koostamise etapp see akt on.

Käesoleval juhul on vaidlusalune otsus selle poole sõnul vaheakt, mis on osa Iiri järelevalveasutuse läbiviidavast jagamatust otsustamismenetlusest, mille tulemusel teeb see asutus lõpliku otsuse. Kuigi selles kontekstis on andmekaitsenõukogu hinnangud siduvad, ei saa neile siiski WhatsAppi vastu vahetult tugineda ning neil ei ole tema jaoks lõplikust otsusest sõltumatuid õiguslikke tagajärgi. Seega, asjaolu, et vaidlusalune otsus sisaldab andmekaitsenõukogu lõplikku seisukohta teatud aspektide kohta, mida tuleb lõplikus otsuses käsitleda, ei tähenda, et vaidlusalune otsus ise tooks kaasa selge muutuse WhatsAppi õiguslikus olukorras. Vaidlusalune otsus ja lõplik otsus tehti nimelt ühtses haldusmenetluses, mis koosneb omavahel seotud etappidest liikmesriigi ja Euroopa tasandil ning millel oli sama ese, mitte kahe sõltumatu menetluse tulemusel, mis puudutasid erinevaid küsimusi.

Sellega seoses täpsustab andmekaitsenõukogu, et vaidluste lahendamise menetluse eesmärk on tagada IKÜMi järjepidev rakendamine liikmesriikide ametiasutuste poolt. Käesoleval juhul ei tekita vaidlusalune otsus WhatsAppile uusi õiguslikke kohustusi. Viimase kohustused on kindlaks määratud IKÜMis endas, mitte vaidlusaluses otsuses, ning neid kohaldab Iiri järelevalveasutus, mitte andmekaitsenõukogu. Lisaks olid need kohustused WhatsAppi suhtes kohaldatavad enne, kui kõnealused rikkumised tuvastati.

Vaidlusaluse otsuse väidetavate väliste õiguslike tagajärgede kohta kinnitab andmekaitsenõukogu, et tema tõlgendustel on siduv mõju üksnes pooltele, st asjaomastele järelevalveasutustele. Lisaks asjaolule, et vaidlusalune otsus ei avalda WhatsAppile vahetut õigusmõju, puudutab see IKÜMi kohaldamise piiratud küsimusi, mida võidakse lõplikus otsuses käsitleda ja edasi arendada. Kuigi andmekaitsenõukogu poolt IKÜMile antud tõlgendused võivad seega omada teatavat kaalu hilisemates asjades, mis puudutavad sarnaseid õigusküsimusi, ei ole need siiski siduvad liikmesriikide kohtutele, kes peaksid kahtluse korral esitama Euroopa Kohtule eelotsusetaotluse.

Saksamaa Liitvabariik, kes astus menetlusse andmekaitsenõukogu nõuete toetuseks, väidab, et IKÜMis ette nähtud järjepidevuse mehhanism, sealhulgas vaidluste lahendamise menetlus, on puhtalt sisemenetlus ja selle ainus eesmärk on jõuda lahenduseni, kui järelevalveasutuste arvamused lähevad lahku. Täpsemalt nähtub IKÜM artikli 65 lõike 2 kolmandast lausest, et andmekaitsenõukogu poolt sellega seoses võetud meetmel on õiguslikult siduv mõju üksnes liikmesriikide järelevalveasutustele. Asjaomasele vastutavale töötlejale või volitatud töötlejale on siduv ainult lõplik otsus.

– Euroopa Kohtu hinnang

64	Apellatsioonkaebuse esimese väite esimene osa puudutab küsimust, kas Üldkohus rikkus õigusnormi, kui ta otsustas vaidlustatud kohtumääruse punktides 41–49, et vaidlusalune otsus ei ole vaidlustatav akt ELTL artikli 263 esimese lõigu tähenduses.

65	Selle sätte kohaselt kontrollib Euroopa Kohus „liidu organite või asutuste õigusaktide seaduslikkust, mille eesmärgiks on tekitada õiguslikke tagajärgi kolmandatele isikutele“.

Väljakujunenud kohtupraktika kohaselt võib ELTL artiklis 263 ette nähtud tühistamishagi esitada institutsioonide, organite või asutuste vastuvõetud mis tahes sätete peale, mille eesmärk on tekitada siduvaid õiguslikke tagajärgi, sõltumata nende sätete vormist (vt selle kohta 12. juuli 2022. aasta kohtuotsus Nord Stream 2 vs. parlament ja nõukogu, C‑348/20 P, EU:C:2022:548, punkt 62 ja seal viidatud kohtupraktika).

Selleks et teha kindlaks, kas akt tekitab selliseid tagajärgi ja kas selle peale saab seega esitada tühistamishagi ELTL artikli 263 alusel, tuleb lähtuda akti olemusest ja hinnata akti tagajärgi selliste objektiivsete kriteeriumide põhjal nagu akti sisu, võttes vajaduse korral arvesse akti vastuvõtmise konteksti ja selle vastu võtnud institutsiooni, organi või asutuse pädevust (vt selle kohta 12. juuli 2022. aasta kohtuotsus Nord Stream 2 vs. parlament ja nõukogu, C‑348/20 P, EU:C:2022:548, punkt 63 ja seal viidatud kohtupraktika).

Nagu kohtujurist oma ettepaneku punktides 79 ja 121 märkis, ei pea ELTL artikli 263 esimest lõiku arvestades kolmas isik, kellele akt tekitab õiguslikke tagajärgi, tingimata olema hageja. Kolmas isik on nimelt iga füüsiline või juriidiline isik, kes ei ole selle akti vastuvõtja. Seega, selleks, et teha kindlaks, kas nimetatud akt tekitab selliseid tagajärgi, ei ole vaja kontrollida, kas need mõjutavad hageja õiguslikku olukorda, kuna see kontroll on asjakohane üksnes ELTL artikli 263 neljandas lõigus sätestatud tingimuste – mille kohaselt võib akti peale tühistamishagi esitada iga isik, keda see akt otseselt ja isiklikult puudutab – täidetuse kontrollimisel, kui viimati nimetatud säte on kohaldatav (vt selle kohta 13. veebruari 2025. aasta kohtuotsus Swissgrid vs. komisjon, C‑121/23 P, EU:C:2025:83, punkt 46). Akti vaidlustatavust tuleb seega hinnata objektiivselt, lähtudes akti sisust, mitte hagejast.

Samas tuleb meenutada, et kui tegemist on aktidega, mille väljatöötamine toimub mitmes menetlusetapis, on üldjuhul vaidlustatavaks aktiks üksnes meede, millega määratakse menetluse lõpus lõplikult kindlaks pädeva liidu institutsiooni, organi või asutuse seisukoht, ning selleks ei ole vahemeetmed, mille eesmärk on seda lõplikku meedet ette valmistada ja mis ei tekita kolmandate isikute jaoks iseseisvaid õiguslikke tagajärgi. Sellisteks vahemeetmeteks on eelkõige need, mis väljendavad liidu institutsiooni, organi või asutuse esialgset arvamust (vt selle kohta 11. novembri 1981. aasta kohtuotsus IBM vs. komisjon, 60/81, EU:C:1981:264, punkt 10; 22. septembri 2022. aasta kohtuotsus IMG vs. komisjon, C‑619/20 P ja C‑620/20 P, EU:C:2022:722, punkt 103, ning 18. juuni 2024. aasta kohtuotsus komisjon vs. SRB, C‑551/22 P, EU:C:2024:520, punkt 92).

Kohtupraktika kohaselt ei saa vahemeetme peale tühistamishagi esitada eelkõige siis, kui on tõendatud, et sellega kaasnevale õigusvastasusele saab tugineda hagis, mis on esitatud lõpliku otsuse peale, mille koostamise etapp see meede on. Neil asjaoludel tagab menetlust lõpetava otsuse peale esitatud hagi piisava kohtuliku kaitse (vt selle kohta 11. novembri 1981. aasta kohtuotsus IBM vs. komisjon, 60/81, EU:C:1981:264, punkt 12, ning 15. märtsi 2017. aasta kohtuotsus Stichting Woonlinie jt vs. komisjon, C‑414/15 P, EU:C:2017:215, punkt 46 ja seal viidatud kohtupraktika).

Mis puudutab käesoleval juhul kõne all oleva akti sisu ja asjaomase organi volitusi, siis nähtub IKÜM artikli 65 lõike 1 punkti a ja lõike 2 ning IKÜM artikli 68 lõike 1 sõnastusest endast, et vaidlusalune otsus on liidu organi vastuvõetud akt, mis on kolmandatele isikutele siduv. See akt on nimelt siduv juhtivale järelevalveasutusele ja kõigile asjaomastele järelevalveasutustele, kes on selle adressaadid ja kes on andmekaitsenõukogu suhtes kolmandad isikud. IKÜM artikli 65 lõike 6 kohaselt peab juhtiv järelevalveasutus võtma oma lõpliku otsuse vastu andmekaitsenõukogu otsuse alusel. Selles lõplikus otsuses peab viitama ka andmekaitsenõukogu otsusele, mis tuleb lõplikule otsusele lisada.

Lisaks, mis puudutab vaidlusaluse otsuse vastuvõtmise konteksti, siis on selge, et see koostati mitme menetlusetapiga protsessi käigus käesoleva kohtuotsuse punktis 69 viidatud kohtupraktika tähenduses, kuna see eelnes teise akti vastuvõtmisele Iiri järelevalveasutuse poolt. See otsus määrab sama kohtupraktika tähenduses siiski lõplikult kindlaks pädeva liidu organi ehk andmekaitsenõukogu seisukoha ja käsitleb ammendavalt kõiki küsimusi, mille see organ peab lahendama. Tuleb nimelt tõdeda, et selline IKÜM artikli 65 lõike 1 punkti a alusel tehtud otsus käsitleb kõiki küsimusi, mille kohta asjaomased järelevalveasutused on IKÜM artikli 60 lõike 4 tähenduses esitanud asjakohase ja põhjendatud vastuväite, ja eelkõige küsimust, kas IKÜMi on rikutud.

Eeltoodust tuleneb, et kuigi vaidlusalune otsus ei ole IKÜM artiklites 58, 60 ja 65 ette nähtud järjepidevuse kontrolli menetluse viimane etapp, ei saa seda kvalifitseerida vahemeetmeks, mida ei ole võimalik vaidlustada käesoleva kohtuotsuse punktis 69 viidatud kohtupraktika tähenduses, vastupidi sellele, mida otsustas Üldkohus vaidlustatud kohtumääruse punktis 42. Järelikult ei ole käesoleva kohtuotsuse punktis 70 meenutatud kohtupraktika käesolevas asjas asjakohane.

Selles kontekstis tuleb tõdeda, et kuna andmekaitsenõukogu otsus tekitab siduvaid õiguslikke tagajärgi kolmandatele isikutele, ei oma tähtsust asjaolu, et liikmesriigi järelevalveasutuse lõpliku otsuse sisu hõlmab küsimusi, millega ei ole andmekaitsenõukogu poole pöördutud või mis ei kuulu tema pädevusse.

Samadel põhjustel ei oma selle otsuse ELTL artikli 263 esimese lõigu alusel vaidlustatavaks aktiks kvalifitseerimisel tähtsust ka asjaolu, mille Üldkohus tõi esile vaidlustatud kohtumääruse punktis 42 ja mille kohaselt ei saa – vastupidi Iiri järelevalveasutuse lõplikule otsusele – vaidlusalusele otsusele tugineda muude üksuste vastu kui selle adressaadid. Selline asjaolu, mis puudutab apellandi õiguslikku seisundit vaidlusaluse otsuse suhtes, ei puuduta objektiivsetest kriteeriumidest lähtudes ei vaidlusaluse otsuse sisu ega selle siduvaid õiguslikke tagajärgi.

Kõigist neist kaalutlustest tuleneb, et vaidlusalune otsus on liidu organi õigusakt, mille eesmärk on tekitada õiguslikke tagajärgi kolmandatele isikutele ja milles on väljendatud selle organi lõplikku seisukohta küsimustes, mille see organ peab lahendama, nagu Üldkohus vaidlustatud kohtumääruse punktides 36, 37 ja 49 pealegi ise tõdes. Seega on see otsus ELTL artikli 263 esimese lõigu sõnastust ja käesoleva kohtuotsuse punktides 66–69 viidatud kohtupraktikat arvestades vaidlustatav akt, ilma et praeguses etapis oleks vaja hinnata, kas see otsus tõi kaasa selge muutuse WhatsAppi õiguslikus olukorras.

Sellega seoses tuleb tõdeda, et Üldkohus rikkus õigusnormi esiteks vaidlustatud kohtumääruse punktis 38, kui ta ajas segi ELTL artikli 263 esimesest ja neljandast lõigust tulenevad nõuded, ning teiseks vaidlustatud kohtumääruse punktis 42, kui ta sõnastas väära kriteeriumi selle kohta, et vaidlusalusele aktile ei saa WhatsAppi vastu vahetult tugineda, ning kvalifitseeris vaidlusaluse otsuse vahemeetmeks, millel puuduvad iseseisvad õiguslikud tagajärjed.

78	Seega tuleb apellatsioonkaebuse esimese väite esimese osaga nõustuda.

Esimese väite teine osa

– Poolte argumendid

79	WhatsApp väidab, et Üldkohus rikkus õigusnormi, kui ta otsustas, et vaidlusalune otsus ei puuduta teda otseselt ja et tema hagi on seetõttu vastuvõetamatu.

Mis puudutab esiteks tingimust, et õigusakt peab tekitama otseseid tagajärgi hageja õiguslikule olukorrale, siis järeldas Üldkohus vaidlustatud kohtumääruse punktis 52 ekslikult, et vaidlusalune otsus ei puuduta WhatsAppi otseselt, kuna sellele otsusele ei saa tema vastu tugineda ja see ei kujuta endast IKÜM artiklites 58, 60 ja 65 ette nähtud menetluse viimast etappi.

Teiseks, mis puudutab tingimust, et õigusakt ei tohi jätta selle rakendamise eest vastutavatele adressaatidele mingit kaalutlusõigust, siis leiab WhatsApp, et Üldkohus rikkus õigusnormi, kui ta otsustas vaidlustatud kohtumääruse punktides 53–60, et vaidlusalune otsus jätab Iiri järelevalveasutusele tema lõpliku otsuse sisu osas kaalutlusruumi, mööndes samas, et vaidlusalune otsus on sellele järelevalveasutusele siduv aspektide osas, mida see käsitleb.

Mis puudutab vaidlustatud kohtumääruse punkte 54–56, milles Üldkohus leidis, et vaidlusalune otsus sisaldab ainult osa lõpliku otsuse sisust, siis väidab WhatsApp, et kaalutlusõiguse puudumist oleks tulnud analüüsida üksnes vaidlusaluse otsuse sisu põhjal, viitamata lõpliku otsuse täiendavale sisule. Nimelt analüüsis andmekaitsenõukogu üksnes konkreetse juhtumi teatavaid aspekte, see tähendab küsimusi, mille kohta asjaomased järelevalveasutused esitasid asjakohased ja põhjendatud vastuväited. Vaidlusalune otsus ei saanud seega puudutada kogu juhtumit ega hõlmata aspekte, millega seoses ei olnud andmekaitsenõukogu poole pöördutud või mis ei kuulu tema pädevusse.

Lisaks rikkus Üldkohus õigusnormi, kui ta otsustas vaidlustatud kohtumääruse punktides 57–59, et Iiri järelevalveasutus kasutas vaidlusalusest otsusest järelduste tegemiseks oma kaalutlusõigust. Mis esimesena puudutab kadudega tihenduse töötluse läbinud andmete kvalifitseerimist isikuandmeteks, siis väidab WhatsApp, et see andmekaitsenõukogu poolne kvalifitseerimine tekitab talle IKÜMi alusel täiendavaid kohustusi ja seda sõltumata asjaolust, et juhtiv järelevalveasutus teostas sellest kvalifikatsioonist kaugemale minevat sisulist kaalutlusõigust, kontrollides, kas WhatsApp tegutses vastutava töötleja või volitatud töötlejana. Mis teisena puudutab WhatsAppile määratavate trahvide suurendamist, siis ei jätnud see otsus Iiri järelevalveasutusele kaalutlusruumi, kuna viimane oli kohustatud määrama algul kavandatust suurema trahvi. Asjaolu, et sellele ametiasutusele jääb trahvi täpse summa kindlaksmääramisel kaalutlusõigus, ei oma tähtsust, kuna see ülesanne kuulub nimetatud asutuse pädevusse.

Andmekaitsenõukogu vaidleb nendele argumentidele vastu ja väidab, et selleks, et liidu õigusakt puudutaks otseselt sellist füüsilist või juriidilist isikut, kes ei ole üksikakti adressaat, peavad olema täidetud kaks kumulatiivset tingimust. Esiteks peab see akt otseselt mõjutama selle isiku õiguslikku olukorda ja teiseks ei tohi see jätta akti rakendama kohustatud adressaadile mingit kaalutlusõigust, vaid rakendamine peab olema puhtautomaatne, ilma muude vahenormide kohaldamiseta.

Esimese kriteeriumi kohta märgib see pool, et akti siduvat mõju tuleb vaadelda lähtuvalt selle mõjust hageja olukorrale. Käesoleval juhul ei saa vaidlusalusele otsusele WhatsAppi vastu tugineda viisil, mis võimaldaks sel otsusel ilma muude menetlusetappideta olla kohustuste allikaks. See otsus ei kujuta endast IKÜM artiklites 58, 60 ja 65 ette nähtud menetluse viimast etappi ega määra kindlaks trahvi lõppsummat ega uusi reegleid WhatsAppi tegevuse jaoks. Seega puudutab WhatsAppi otseselt ainult lõplik otsus, sest IKÜM artikli 56 lõike 6 kohaselt on selle ettevõtja kui vastutava töötleja ainus suhtluspartner Iiri järelevalveasutus.

Teise kriteeriumi kohta väidab andmekaitsenõukogu, et Iiri järelevalveasutusel säilis tõeline kaalutlusõigus järelduste osas, mille ta tegi oma lõplikus otsuses, mis on sisu poolest laiem kui vaidlusalune otsus ja mis sisaldab järeldusi, mille kohta andmekaitsenõukogul ei palutud seisukohta võtta, kuna viimase poole pöörduti üksnes küsimustes, mille kohta esitati asjakohased ja põhjendatud vastuväited. Igal juhul on vaidlusalune otsus ja lõplik otsus vastastikku seotud. Ei ole võimalik eristada viimati nimetatud otsuse neid osi, mis vastavad andmekaitsenõukogu juhistele, ja see kinnitab asjaolu, et andmekaitsenõukogu jättis Iiri järelevalveasutusele mitmes aspektis teatud kaalutlusruumi.

87	Sellises olukorras on paremad eeldused lõpliku otsuse läbivaatamiseks liikmesriigi kohtul, kes saab vajaduse korral esitada Euroopa Kohtule eelotsuse küsimusi IKÜMi sätete kohta, mida ta kohaldab nii omal algatusel kui ka andmekaitsenõukogu juhiste alusel.

Andmekaitsenõukogu hinnangul säilitas Iiri järelevalveasutus teatud kaalutlusruumi ka vaidlusaluses otsuses käsitletud küsimustes, eelkõige nendes, mis puudutavad esiteks õiguslikke tagajärgi, mis tulenevad kadudega tihenduse töötluse läbinud andmete kvalifitseerimisest isikuandmeteks, ja teiseks WhatsAppile määratavate trahvide summa kindlaksmääramist. Mis puudutab esimest aspekti, siis säilitas see asutus kaalutlusõiguse ja teostas iseseisva kontrolli, sealhulgas IKÜM artikli 14 järgimise üle. Sellega seoses on ekslik väita, et andmekaitsenõukogu viis läbi „täieliku“ hindamise, kuna tema pädevus piirdub asjakohaste ja põhjendatud vastuväidete sisuga ega hõlma kogu rikkumismenetlust. Mis puudutab teist aspekti, nimelt trahvide kindlaksmääramist, siis kuigi vaidlusalune otsus sisaldab üldisi juhiseid trahvide kohta, ei käsitle see nende juhiste rakendamist ega nende trahvide arvutamist.

Saksamaa Liitvabariik leiab, et kuna WhatsAppi ainus suhtluspartner oli juhtiv järelevalveasutus, ei saa asuda seisukohale, et vaidlusalune otsus puudutab teda otseselt. Niisugune otsus ei ole mõeldud iseseisvalt rakendamiseks, vaid sellele peab alati järgnema selle asutuse lõplik otsus. Liidu seadusandja tegi nimelt teadliku valiku IKÜMi detsentraliseeritud kontrolli kasuks ega otsustanud luua Euroopa keskset andmekaitseasutust.

– Euroopa Kohtu hinnang

Apellatsioonkaebuse esimese väite teine osa puudutab küsimust, kas Üldkohus rikkus õigusnormi, kui ta leidis vaidlustatud kohtumääruse punktides 50–60, et vaidlusalune otsus ei puuduta WhatsAppi otseselt ELTL artikli 263 neljanda lõigu tähenduses ja et viimase esitatud hagi on seetõttu vastuvõetamatu.

91	Selle sätte kohaselt võib iga füüsiline või juriidiline isik ELTL artikli 263 esimeses ja teises lõigus sätestatud tingimustel esitada hagi temale adresseeritud või teda otseselt ja isiklikult puudutava akti vastu ning halduse üldakti vastu, mis puudutab teda otseselt ega vaja rakendusmeetmeid.

Füüsilise või juriidilise isiku poolt ELTL artikli 263 neljanda lõigu alusel sellise akti peale esitatud hagi vastuvõetavus, mille adressaat ta ei ole, sõltub seega eelkõige tingimusest, et see akt puudutab teda otseselt ja isiklikult (3. detsembri 2019. aasta kohtuotsus Iccrea Banca, C‑414/18, EU:C:2019:1036, punkt 64 ja seal viidatud kohtupraktika).

Nagu Üldkohus vaidlustatud kohtumääruse punktis 40 tõdes, on käesoleval juhul tõendatud, et vaidlusalune otsus puudutab WhatsAppi isiklikult, kuna see käsitleb lõpliku otsuse eelnõu teatud aspekte, mis puudutavad konkreetselt selle ettevõtja olukorda. Sellegipoolest leidis Üldkohus kohtumääruse punktides 52 ja 53, et vaidlusalune otsus ei puuduta WhatsAppi otseselt, kuna esiteks ei saa sellele WhatsAppi vastu tugineda viisil, mis võimaldaks sellel ilma edasiste menetlusetappideta olla WhatsAppi kohustuste või olenevalt olukorrast teiste isikute õiguste allikaks, ning teiseks kuigi vaidlusalune otsus oli Iiri järelevalveasutusele selles käsitletud aspektide osas siduv, jättis see viimasele lõpliku otsuse sisu osas kaalutlusruumi.

Sellega seoses tuleb meenutada, et väljakujunenud kohtupraktika kohaselt eeldab tingimus, mille kohaselt peab hagi esemeks olev otsus füüsilist või juriidilist isikut otseselt puudutama, kahe kumulatiivse tingimuse täidetust, nimelt esiteks peab vaidlustatud meede tekitama otseseid tagajärgi selle isiku õiguslikule olukorrale ja teiseks ei tohi see jätta meedet rakendama kohustatud adressaadile mingit kaalutlusõigust, mispuhul on meetme rakendamine puhtautomaatne ja tuleneb vaid liidu õigusnormidest, ilma et kohaldataks muid vahenorme (4. oktoobri 2024. aasta kohtuotsus komisjon ja nõukogu vs. Polisario Rinne, C‑779/21 P ja C‑799/21 P, EU:C:2024:835, punkt 87 ja seal viidatud kohtupraktika).

Enne kui analüüsida, kas need kaks tingimust on käesoleval juhul täidetud, tuleb täpsustada, et asjaolu, et vaidlustatud aktile ei saa hageja vastu vahetult tugineda, nagu ka asjaolu, et see akt ei ole mitmeetapilise menetluse viimane etapp, ei takista seda, et kõnealune akt võib hagejat otseselt puudutada, kui sama akti adressaadil ei ole mingit kaalutlusõigust (vt selle kohta 4. juuni 1992. aasta kohtuotsus Infortec vs. komisjon, C‑157/90, EU:C:1992:243, punktid 13 ja 17; 3. detsembri 2019. aasta kohtuotsus Iccrea Banca, C‑414/18, EU:C:2019:1036, punktid 65 ja 67, ning 12. juuli 2022. aasta kohtuotsus Nord Stream 2 vs. parlament ja nõukogu, C‑348/20 P, EU:C:2022:548, punkt 74).

Järelikult, nagu märkis kohtujurist oma ettepaneku punktides 139 ja 144, rikkus Üldkohus õigusnormi, kui ta leidis vaidlustatud kohtumääruse punktis 52, et vaidlusalune otsus ei puuduta WhatsAppi otseselt, kuna sellele ei saa WhatsAppi vastu tugineda ja see ei kujuta endast IKÜM artiklites 58, 60 ja 65 ette nähtud menetluse viimast etappi.

Mis puudutab käesoleva kohtuotsuse punktis 94 meenutatud tingimustest esimese täidetust, siis selle analüüsimisel, kas vaidlustatud akt toob kaasa selge muutuse asjaomase füüsilise või juriidilise isiku õiguslikus olukorras, tuleb lähtuda akti olemusest ja hinnata selle tagajärgi selliste objektiivsete kriteeriumide alusel nagu selle akti sisu, võttes vajaduse korral arvesse akti vastuvõtmise konteksti ning akti vastu võtnud institutsiooni, organi või asutuse pädevust (vt selle kohta 11. novembri 1981. aasta kohtuotsus IBM vs. komisjon,60/81, EU:C:1981:264, punkt 9, ja 18. juuni 2024. aasta kohtuotsus komisjon vs. SRB,C‑551/22 P, EU:C:2024:520, punkt 65 ja seal viidatud kohtupraktika).

Käesoleval juhul, nagu on märgitud käesoleva kohtuotsuse punktis 30, otsustas andmekaitsenõukogu vaidlusaluses otsuses muu hulgas, et WhatsApp on rikkunud IKÜM artikli 13 lõike 1 punktis d sätestatud teavitamiskohustust ja IKÜM artikli 13 lõike 2 punkti e. Seetõttu muudab see otsus WhatsAppi õiguslikku olukorda, kuna andmekaitsenõukogu sekkumise tõttu pidi WhatsApp eelkõige muutma oma lepingulisi suhteid tema pakutava sõnumirakenduse kasutajatega. Sellest järeldub, et esineb otsene seos nimetatud otsuse ja selle tagajärgede vahel WhatsAppi olukorrale käesoleva kohtuotsuse punktides 94 ja 95 viidatud kohtupraktika tähenduses.

Vastupidi sellele, mida väidab andmekaitsenõukogu, ei mõjuta seda järeldust asjaolu, et Iiri järelevalveasutus on IKÜM artikli 56 lõike 6 kohaselt WhatsAppi kui vastutava töötleja ainus suhtluspartner. Selle sätte eesmärk on nimelt üksnes korraldada suhteid vastutava töötleja või volitatud töötleja, juhtiva järelevalveasutuse ja asjaomaste järelevalveasutuste vahel, mistõttu ei puuduta see õiguskaitsevahendeid, mida on võimalik kasutada andmekaitsenõukogu otsuste vaidlustamiseks.

100

Mis puudutab käesoleva kohtuotsuse punktis 94 meenutatud tingimustest teise täidetust, siis selleks, et hinnata, kas akt jätab selle adressaatidele selle rakendamisel kaalutlusruumi, tuleb uurida hagi esemeks olevate akti sätete õiguslikke tagajärgi selle isiku olukorrale, kes tugineb õigusele esitada hagi ELTL artikli 263 neljanda lõigu teise lauseosa alusel (12. juuli 2022. aasta kohtuotsus Nord Stream 2 vs. parlament ja nõukogu, C‑348/20 P, EU:C:2022:548, punkt 98 ja seal viidatud kohtupraktika).

101

Sellise kaalutlusruumi olemasolu tuleb välistada eelkõige juhul, kui on tõendatud, et hagi esemeks olevate akti sätete otsene tagajärg on panna isikule kohustused, mille tulemust ei saa hiljem selle akti rakendamise eest vastutav üksus muuta (vt selle kohta 12. juuli 2022. aasta kohtuotsus Nord Stream 2 vs. parlament ja nõukogu, C‑348/20 P, EU:C:2022:548, punkt 114).

102

Nagu nähtub käesoleva kohtuotsuse punktidest 71 ja 72, tuleb käesoleval juhul meenutada, et vaidlusalune otsus on juhtivale järelevalveasutusele ja asjaomastele järelevalveasutustele siduv. Nad ei või kalduda kõrvale seisukohast, millele andmekaitsenõukogu selles otsuses asus ja mida on meenutatud käesoleva kohtuotsuse punktis 30. See otsus lahendab nimelt õigusküsimused, milles andmekaitsenõukogu poole pöörduti, ja on neile asutustele tingimusteta siduv eelkõige osas, mis puudutab IKÜMi teatud sätete rikkumise tuvastamist, kadudega tihenduse töötluse läbinud andmete kvalifitseerimist isikuandmeteks ning kohustust suurendada kavandatud trahvide summat. Nimetatud asutustel ei ole võimalik muuta andmekaitsenõukogu poolt nendele küsimustele antud hinnangute tulemust käesoleva kohtuotsuse eelmises punktis viidatud kohtupraktika tähenduses.

103

Selle kohta on IKÜM artikli 70 lõike 1 punktis a märgitud, et andmekaitsenõukogu ülesanne on tagada IKÜMi järjepidev kohaldamine, jälgides ja tagades – nagu nähtub nimetatud määruse põhjendusest 10 – füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjepidevat ja ühtset kohaldamist kogu liidus, muu hulgas IKÜM artiklis 65 ette nähtud juhtudel, ilma et see piiraks liikmesriikide järelevalveasutuste ülesandeid.

104

Selles kontekstis ei ole oluline, et lõpliku otsuse sisus käsitletakse küsimusi, milles ei ole andmekaitsenõukogu poole pöördutud, see tähendab aspekte, mille kohta ei ole esitatud asjakohaseid ja põhjendatud vastuväiteid IKÜM artikli 65 lõike 1 punkti a tähenduses, või küsimusi, mis ei kuulu selle organi pädevusse, nagu eelkõige vastutavale töötlejale või volitatud töötlejale määratava trahvi täpse summa kindlaksmääramine, mis on IKÜM artikli 58 lõike 2 punkti i ja artikli 83 kohaselt asja menetleva järelevalveasutuse ülesanne.

105

Lisaks, kuigi vaidlusalune otsus ja lõplik otsus on vastastikku seotud, on need siiski eraldiseisvad aktid ja vaidlusaluse otsuse sisu on täpselt piiritletud, nagu nähtub käesoleva kohtuotsuse punktis 30 esitatud loetelust. Neil asjaoludel ei takista see vastastikune seos järeldust, et vaidlusalune otsus puudutab WhatsAppi otseselt.

106

Täpsemalt, kuigi see, kui samal ajal esitatakse tühistamishagi liidu kohtule ELTL artikli 263 alusel andmekaitsenõukogu siduva otsuse peale ja liikmesriigi kohtule IKÜM artikli 78 alusel lõpliku otsuse peale, mille liikmesriigi järelevalveasutus on selle siduva otsuse alusel teinud, toob tõepoolest kaasa kaks paralleelset menetlust, ei too see olukord kaasa seda, et käesoleval juhul tuleks andmekaitsenõukogu otsuse tagajärgi WhatsAppi suhtes pidada kaudseks.

107

Nimelt, ühelt poolt tuleneb Euroopa Kohtu praktikast, et kui liikmesriigi kohtus pooleli oleva vaidluse lahendus sõltub liidu organi otsuse kehtivusest, tuleneb lojaalse koostöö kohustusest, et liikmesriigi kohus peab selleks, et vältida selle organi otsusega vastuolus oleva otsuse tegemist, peatama menetluse seniks, kuni liidu kohtud on teinud tühistamishagi kohta lõpliku otsuse, välja arvatud juhul, kui ta leiab, et konkreetse juhtumi asjaoludel on põhjendatud esitada Euroopa Kohtule eelotsuse küsimus selle organi otsuse kehtivuse kohta (vt selle kohta 14. detsembri 2000. aasta kohtuotsus Masterfoods ja HB, C‑344/98, EU:C:2000:689, punkt 57, ning 25. juuli 2018. aasta kohtuotsus Georgsmarienhütte jt, C‑135/16, EU:C:2018:582, punkt 24).

108

Teiselt poolt tuleb samuti märkida, et korrakohase õigusemõistmise põhimõte võib juhul, kui samal ajal on pöördutud Üldkohtusse tühistamishagiga ja Euroopa Kohtusse eelotsusetaotlusega, anda Euroopa Kohtule, kui ta peab seda sobivaks, alust tugineda Euroopa Liidu Kohtu põhikirja artikli 54 kolmandale lõigule, et peatada enda pooleliolev menetlus Üldkohtus algatatud menetluse kasuks (25. juuli 2018. aasta kohtuotsus Georgsmarienhütte jt, C‑135/16, EU:C:2018:582, punkt 25).

109	Järelikult, kuna käesoleva kohtuotsuse punktis 94 nimetatud kaks tingimust on täidetud, puudutab vaidlusalune otsus WhatsAppi otseselt.

110	Eeltoodud kaalutlusi arvestades tuleb apellatsioonkaebuse esimese väite teise osaga seega nõustuda ja järelikult vaidlustatud kohtumäärus tühistada.

Esimese väite kolmas osa

111	Esimese väite kolmandas osas väidab WhatsApp, et Üldkohus rikkus vaidlustatud kohtumääruse punktides 66–70 õigusnormi, kui ta leidis, et tema hagi vastuvõetamatus on kooskõlas EL lepingu ja EL toimimise lepinguga kehtestatud õiguskaitsevahendite süsteemi loogikaga.

112	Arvestades käesoleva kohtuotsuse punktis 110 tehtud järeldust, ei ole esimese väite kolmanda osa kohta vaja otsust teha.

Teine väide, et IKÜM artikli 65 ja liidu õiguse ühetaolise kohaldamise põhimõtte tõlgendamisel ja kohaldamisel on rikutud õigusnormi

113

WhatsApp väidab esimese väite raames esitatud argumentidele viidates, et Üldkohus eiras IKÜM artikli 65 lõiget 1 ja liidu õiguse ühetaolise kohaldamise põhimõtet, kui ta otsustas vaidlustatud kohtumääruse punktides 41–60, et vaidlusalune otsus ei tekita muid õiguslikke tagajärgi peale selle, et see on siduv asjaomastele järelevalveasutustele.

114	Kuna WhatsApp piirdub oma esimese väite põhjendamiseks esitatud argumentidele viitamisega ja arvestades käesoleva kohtuotsuse punktis 110 tehtud järeldust, ei ole selle teise väite kohta vaja otsust teha, sest see ei saa kaasa tuua vaidlustatud kohtumääruse ulatuslikumat tühistamist.

Kohtuasja Üldkohtule tagasisaatmine

115	Euroopa Liidu Kohtu põhikirja artikli 61 esimese lõigu kohaselt võib Euroopa Kohus Üldkohtu lahendi tühistamise korral teha ise asja suhtes lõpliku kohtuotsuse, kui menetlusstaadium lubab.

116	See tingimus on käesoleval juhul täidetud, kuna kohtuasi puudutab üksnes Üldkohtule esitatud hagi vastuvõetavust.

117

Selle kohta tuleb esiteks märkida, et nagu nähtub käesoleva kohtuotsuse punktist 76, on vaidlusalune otsus vaidlustatav akt ELTL artikli 263 esimese lõigu tähenduses. Teiseks, nagu on tõdetud käesoleva kohtuotsuse punktis 109, puudutab vaidlusalune otsus WhatsAppi otseselt ELTL artikli 263 neljanda lõigu tähenduses. Kolmandaks puudutab nimetatud otsus WhatsAppi isiklikult, nagu Üldkohus vaidlustatud kohtumääruse punktis 40 ise leidis.

118	Järelikult, kuna ELTL artikli 263 esimeses ja neljandas lõigus sätestatud tingimused on täidetud ning kuna puuduvad muud vastuvõetamatuse alused, tuleb tühistamishagi vastuvõetavaks tunnistada.

119	Kuna aga Üldkohus ei analüüsinud talle esitatud hagi sisu, mis nõuab üksikasjalikku faktiliste ja õiguslike asjaolude hindamist, ei luba menetlusstaadium asjas sisulist otsust teha.

120	Seetõttu tuleb kohtuasi Üldkohtule tagasi saata.

Kohtukulud

121	Kuna kohtuasi saadetakse tagasi Üldkohtule, tuleb apellatsioonimenetlusega seotud kulude kandmine otsustada edaspidi.

Esitatud põhjendustest lähtudes Euroopa Kohus (suurkoda) otsustab:

1.	Tühistada Euroopa Liidu Üldkohtu 7. detsembri 2022. aasta kohtumäärus WhatsApp Ireland vs. Euroopa Andmekaitsenõukogu (T‑709/21, EU:T:2022:783).

2.	Saata kohtuasi tagasi Euroopa Liidu Üldkohtule.

3.	Otsustada kohtukulude kandmine edaspidi.

Allkirjad

( *1 ) Kohtumenetluse keel: inglise.

Eureka lisab linke…