C-97/23 WhatsApp Ireland Ltd

SENTENZA TAL-QORTI TAL-ĠUSTIZZJA (Awla Manja)

10 ta’ Frar 2026 ( *1 )

“Appell – Protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali – Regolament (UE) 2016/679 – Artikolu 63 – Mekkaniżmu ta’ superviżjoni tal-konsistenza – Artikolu 65 – Riżoluzzjoni ta’ tilwim mill-Bord Ewropew għall-Protezzjoni tad-Data. – Deċiżjoni vinkolanti – Rikors għal annullament – L-ewwel paragrafu tal-Artikolu 263 TFUE – Att li jista’ jiġi kkontestat – Ir-raba’ paragrafu tal-Artikolu 263 TFUE –Kundizzjoni li r-rikorrent għandu jkun direttament ikkonċernat mill-miżura li tkun is-suġġett tar-rikors tiegħu”

Fil-Kawża C‑97/23 P,

li għandha bħala suġġett appell skont l-Artikolu 56 tal-Istatut tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea, ippreżentat fis‑17 ta’ Frar 2023,

WhatsApp Ireland Ltd, stabbilita f’Dublin (l-Irlanda), irrappreżentata minn E. Egan McGrath, SC, C. Geoghegan, SC, D. McGrath, SC, P. Sreenan, SC, B. Johnston, C. Monaghan, P. Nolan, solicitors, H.-G. Kamann, Rechtsanwalt, F. Louis u A. Vallery, avocats,

appellanti,

il-parti l-oħra fil-kawża li hija:

Il-Bord Ewropew għall-Protezzjoni tad-Data, irrappreżentat minn C. Foglia, M. Gufflet, M. G. Le Grand u I. Vereecken, bħala aġenti, assistiti minn G. Haumont, E. de Lophem, P. Vernet, avocats, u G. Ryelandt, advocaat,

konvenut fl-ewwel istanza,

sostnut minn:

Ir-Repubblika Federali tal-Ġermanja, irrappreżentata inizjalment minn J. Möller u P.-L. Krüger, sussegwentement minn J. Möller, bħala aġenti,

intervenjenti fl-appell,

IL-QORTI TAL-ĠUSTIZZJA (Awla Manja),

komposta minn K. Lenaerts, President, T. von Danwitz (Relatur), Viċi President, K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu-Matei u M. Condinanzi, Presidenti ta’ Awla, S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, u N. Fenger, Imħallfin,

Avukat Ġenerali: T. Ćapeta,

Reġistratur: A. Lamote, Amministratriċi,

wara li rat il-proċedura bil-miktub u wara s-seduta tas‑26 ta’ Novembru 2024,

wara li semgħet il-konklużjonijiet tal-Avukata Ġenerali, ippreżentati fis-seduta tas‑27 ta’ Marzu 2025,

tagħti l-preżenti

Sentenza

Permezz tal-appell tagħha, WhatsApp Ireland Ltd (iktar ’il quddiem “WhatsApp”) titlob l-annullament tad-digriet tal-Qorti Ġenerali tal-Unjoni Ewropea tas‑7 ta’ Diċembru 2022, WhatsApp Ireland vs Il‑Bord Ewropew għall-Protezzjoni tad-Data (T‑709/21, iktar’ il quddiem id-“digriet appellat”, EU:T:2022:783), li permezz tiegħu din ċaħdet bħala inammissibbli r-rikors tagħha intiż għall-annullament tad-Deċiżjoni vinkolanti 1/2021 tal-Bord Ewropew għall-Protezzjoni tad-Data (iktar ’il quddiem il-“Bord”), tat‑28 ta’ Lulju 2021, dwar it-tilwima bejn l-awtoritajiet superviżorji kkonċernati li tnisslet mill-abbozz ta’ deċiżjoni dwar WhatsApp imfassal mid-Data Protection Commission (DPC) (l-Awtorità għall-Protezzjoni tad-Data, l-Irlanda, iktar ’il quddiem l-“awtorità superviżorja”) (iktar ’il quddiem id-“deċiżjoni kontenzjuża”).

Il-kuntest ġuridiku

Il-premessi 10 u 143 tar-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill tas‑27 ta’ April 2016 dwar il-protezzjoni tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali u dwar il-moviment liberu ta’ tali data, u li jħassar id-Direttiva 95/46/KE (Regolament Ġenerali dwar il-Protezzjoni tad-Data) (ĠU 2016, L 119, p. 1, rettifika fil-ĠU 2018, L 127, p. 2) (iktar ’il quddiem il-“GDPR”), jistabbilixxu:

“(10)

Sabiex ikun żgurat livell konsistenti u għoli ta’ protezzjoni tal-persuni fiżiċi u sabiex jitneħħew l-ostakoli għaċ-ċirkolazzjoni tad-data personali fl-Unjoni [Ewropea], il-livell ta’ protezzjoni tad-drittijiet u l-libertajiet tal-persuni fiżiċi fir-rigward tal-ipproċessar ta’ din id-data għandu jkun ekwivalenti fl-Istati Membri kollha. L-applikazzjoni konsistenti u omoġenea tar-regoli għall-protezzjoni tad-drittijiet u l-libertajiet fundamentali tal-persuni fiżiċi fir-rigward tali pproċessar ta’ data personali għandha tkun żgurata fl-Unjoni kollha. [...]

[...]

(143)

Kwalunkwe persuna fiżika jew ġuridika għandha d-dritt tagħmel rikors għall-annullament ta’ deċiżjonijiet tal-Bord quddiem il-Qorti tal-Ġustizzja bil-kundizzjonijiet previsti fl-Artikolu 263 [TFUE]. Bħala destinatarji ta’ tali deċiżjonijiet, l-awtoritajiet superviżorji kkonċernati li jixtiequ jikkontestawhom, iridu jagħmlu rikors fi żmien xahrejn minn meta jiġu avżati dwarhom, skont l-Artikolu 263 [TFUE]. Fejn id-deċiżjonijiet tal-Bord huma ta’ interess dirett u individwali għal kontrollur, proċessur jew min jagħmel l-ilment, dan tal-aħħar jista’ jagħmel rikors għal annullament kontra dawn id-deċiżjonijiet fi żmien xahrejn mill-pubblikazzjoni tagħhom fuq is-sit tal-internet tal-[Bord], skont l-Artikolu 263 [TFUE]. Mingħajr preġudizzju għal dan id-dritt skont l-Artikolu 263 [TFUE], kull persuna fiżika jew ġuridika għandu jkollha rimedju ġudizzjarju effettiv quddiem il-qorti nazzjonali kompetenti kontra deċiżjoni ta’ awtorità superviżorja li tipproduċi effetti legali fir-rigward ta’ dik il-persuna. Tali deċiżjoni tikkonċerna b’mod partikolari t-tħaddim ta’ setgħat investigattivi, korrettivi u ta’ awtorizzazzjoni mill-awtorità superviżorja jew iċ-ċaħda jew ir-rifjut ta’ ilmenti. Madankollu, id-dritt għal rimedju ġudizzjarju effettiv ma jinkludix miżuri meħudin minn awtoritajiet superviżorji li mhumiex legalment vinkolanti, bħal opinjonijiet maħruġa jew pariri pprovduti mill-awtorità superviżorja. Il-proċedimenti kontra awtorità superviżorja għandhom jitressqu quddiem il-qrati tal-Istat Membru fejn tkun stabbilita l-awtorità superviżorja u għandhom jitwettqu skont il-liġi proċedurali ta’ dak l-Istat Membru. Dawk il-qrati għandhom iħaddmu l-ġurisdizzjoni sħiħa li għandha tinkludi ġurisdizzjoni biex jiġu eżaminati l-kwistjonijiet kollha ta’ fatt u ta’ liġi rilevanti għat-tilwim li jitressaq quddiemhom.

Fejn ilment ikun ġie miċħud jew irrifjutat minn awtorità superviżorja, min jagħmel l-ilment jista’ jibda proċedimenti quddiem il-qrati fl-istess Stat Membru. Fil-kuntest ta’ rimedji ġudizzjarji li għandhom x’jaqsmu mal-applikazzjoni ta’ dan ir-Regolament, il-qrati nazzjonali li jqisu li tinħtieġ deċiżjoni dwar il-kwistjoni biex ikunu jistgħu jagħtu sentenza, jistgħu, jew fil-każ previst fl-Artikolu 267 [TFUE], iridu, jitolbu lill-Qorti tal-Ġustizzja tagħti deċiżjoni preliminari fuq l-interpretazzjoni tal-liġi tal-Unjoni inkluż dan ir-Regolament. Barra minn hekk, fejn deċiżjoni ta’ awtorità superviżjorja li timplimenta deċiżjoni tal-Bord tiġi kkontestata quddiem qorti nazzjonali u l-validità tad-deċiżjoni tal-Bord tkun inkwistjoni, dik il-qorti nazzjonali ma għandhiex is-setgħa li tiddikjara d-deċiżjoni tal-Bord bħala invalida iżda trid tirreferi l-kwistjoni tal-validità lill-Qorti tal-Ġustizzja skont l-Artikolu 267 [TFUE] kif interpretat mill-Qorti tal-Ġustizzja, fejn tqis id-deċiżjoni invalida. Madankollu, qorti nazzjonali ma tistax tirreferi kwistjoni dwar il-validità tad-deċiżjoni tal-Bord fuq it-talba ta’ persuna fiżika jew ġuridika li kellha l-opportunità li tagħmel rikors għal annullament ta' dik id-deċiżjoni, b’mod partikolari jekk kienet direttament u individwalment ikkonċernata minn dik id-deċiżjoni, iżda ma kinitx għamlet dan fil-perjodu stipulat fl-Artikolu 263 [TFUE].”

L-Artikolu 5 tal-GDPR, intitolat “Prinċipji relatati mal-ipproċessar ta’ data personali”, jipprovdi, fil-paragrafu 1(a) tiegħu, li d-data personali għandha tiġi ipproċessata legalment, ġustament u b’mod trasparenti fir-rigward tas-suġġett tad-data. L-Artikolu 5(1)(c) ta’ dan ir-regolament jipprevedi li din id-data għandha tkun adegwata, rilevanti, u limitata għal dak li hu meħtieġ b’rabta mal-iskopijiet li għalihom tkun qed tiġi pproċessata.

L-Artikolu 6 tal-GPDR, intitolat “Legalità tal-ipproċessar” jistabbilixxi l-kundizzjonijiet għal-legalità tal-ipproċessar ta’ data personali. Il-paragrafu 1 ta’ dan l-Artikolu 6 jipprevedi:

“L-ipproċessar għandu jkun legali biss jekk u safejn mill-inqas ikun japplika wieħed mill-punti li ġejjin:

a)	is-suġġett tad-data jkun ta l-kunsens għall-ipproċessar ta’ data personali tiegħu għal fini speċifiku wieħed jew aktar;

b)	l-ipproċessar ikun meħtieġ għat-twettiq ta’ kuntratt li għalih is-suġġett tad-data huwa parti jew sabiex jittieħdu passi fuq talba tas-suġġett tad-data qabel ma jidħol f’kuntratt;

c)	l-ipproċessar ikun meħtieġ għall-konformità ma' obbligu legali li għalih huwa soġġett il-kontrollur;

d)	l-ipproċessar ikun meħtieġ sabiex ikunu protetti l-interessi vitali tas-suġġett tad-data jew ta’ persuna fiżika oħra;

e)	l-ipproċessar ikun meħtieġ għat-twettiq ta’ kompitu li jsir fl-interess pubbliku jew fl-eżerċizzju ta’ awtorità uffiċjali mogħtija lill-kontrollur;

l-ipproċessar ikun meħtieġ għall-finijiet tal-interessi leġittimi segwiti mill-kontrollur jew minn parti terza, għajr meta dawn l-interessi jingħelbu mill-interessi jew id-drittijiet u l-libertajiet fundamentali tas-suġġett tad-data li jeħtieġu l-protezzjoni tad-data personali, b’mod partikolari meta s-suġġett tad-data jkun minorenni.

Il-punt (f) tal-ewwel subparagrafu m’għandux japplika għall-ipproċessar li jitwettaq minn awtoritajiet pubbliċi fit-twettiq tal-kompiti tagħhom.”

L-Artikolu 12 tal-GDPR jinkludi, min-naħa tiegħu, dispożizzjonijiet dwar it-trasparenza tal-informazzjoni u tal-komunikazzjonijiet kif ukoll dwar il-modalitajiet tal-eżerċizzju tad-drittijiet tas-suġġett tad-data. Il-paragrafu 1 ta’ dan l-Artikolu 12 jipprevedi:

“Il-kontrollur għandu jieħu miżuri adatti biex jipprovdi kwalunkwe informazzjoni msemmija fl-Artikoli 13 u 14 u kwalunkwe komunikazzjoni skont l-Artikoli 15 sa 22 u 34 relatata mal-ipproċessar lis-suġġett tad-data f’forma konċiża, trasparenti, intelliġibbli u faċilment aċċessibbli, bl-użu ta’ lingwaġġ ċar u sempliċi, b’mod partikolari għal kwalunkwe informazzjoni indirizzata speċifikament lil minorenni. L-informazzjoni għandha tiġi pprovduta bil-miktub, jew b'mezzi oħra, inkluż, fejn xieraq, b’mezzi elettroniċi. Meta tintalab mis-suġġett tad-data, l-informazzjoni tista’ tingħata bil-fomm dment li tingħata prova tal-identità tas-suġġett tad-data b'mezzi oħra.”

L-Artikolu 13 tal-GDPR, intitolat “Informazzjoni li għandha tiġi pprovduta fejn tinġabar data personali mis-suġġett tad-data”, jipprovdi:

“1. Fejn data personali relatata ma’ suġġett tad-data tinġabar mingħand is-suġġett tad-data, il-kontrollur għandu, fil-ħin li tinkiseb id-data personali, jipprovdi l-informazzjoni kollha li ġejja lis-suġġett tad-data:

a)	l-identità u d-dettalji ta’ kuntatt tal-kontrollur u, fejn applikabbli, tar-rappreżentant tal-kontrollur;

b)	id-dettalji ta’ kuntatt tal-uffiċjal tal-protezzjoni tad-data, fejn applikabbli;

c)	l-għanijiet tal-ipproċessar li għalihom hija maħsuba d-data personali kif ukoll il-bażi legali għall-ipproċessar;

d)	fejn l-ipproċessar ikun ibbażat fuq il-punt (f) tal-Artikolu 6(1), l-interessi leġittimi segwiti mill-kontrollur jew minn parti terza; fejn l-ipproċessar ikun ibbażat fuq il-punt (f) tal-Artikolu 6(1), l-interessi leġittimi segwiti mill-kontrollur jew minn parti terza;

e)	ir-riċevituri jew il-kategoriji ta' riċevituri tad-data personali, jekk jeżistu;

fejn applikabbli, il-fatt li l-kontrollur għandu l-ħsieb li jittrasferixxi data personali lejn pajjiż terz jew organizzazzjoni internazzjonali u l-eżistenza jew l-assenza ta’ deċiżjoni ta’ adegwatezza mill-Kummissjoni, jew fil-każ ta’ trasferimenti msemmija fl-Artikolu 46 jew 47, jew it-tieni subparagrafu tal-Artikolu 49(1), referenza għas-salvagwardji xierqa jew adatti u l-mezzi li bihom tinkiseb kopja tagħhom jew fejn dawn ikunu saru disponibbli.

2. Minbarra l-informazzjoni msemmija fil-paragrafu 1, il-kontrollur għandu, meta tinkiseb id-data personali, jipprovdi lis-suġġett tad-data l-informazzjoni ulterjuri li ġejja meħtieġa biex jiġi żgurat ipproċessar ġust u trasparenti:

a)	il-perijodu li matulu d-data personali tkun ser tinħażen, jew jekk dak ma jkunx possibbli, il-kriterji użati biex jiġi ddeterminat dak il-perijodu;

b)	l-eżistenza tad-dritt li jitlob mingħand il-kontrollur aċċess jew rettifika jew tħassir ta’ data personali jew restrizzjoni tal-ipproċessar rigward is-suġġett tad-data jew li joġġezzjona għall-ipproċessar kif ukoll id-dritt għall-portabbiltà tad-data;

c)	fejn l-ipproċessar ikun ibbażat fuq il-punt (a) tal-Artikolu 6(1) jew il-punt (a) tal-Artikolu 9(2), l-eżistenza tad-dritt li jiġi irtirat il-kunsens fi kwalunkwe ħin, mingħajr ma tiġi affettwata l-legalità tal-ipproċessar abbażi ta’ kunsens qabel l-irtirar tiegħu;

d)	id-dritt li jitressaq ilment quddiem awtorità superviżorja;

e)	jekk il-forniment ta’ data personali huwiex rekwiżit statutorju jew kuntrattwali, jew rekwiżit meħtieġ biex wieħed jidħol f’kuntratt, kif ukoll jekk is-suġġett tad-data huwiex obbligat jipprovdi d-data personali u l-konsegwenzi possibbli meta wieħed jonqos milli jipprovdi tali data;

f)	l-eżistenza ta’ teħid awtomatizzat ta’ deċiżjonijiet inkluż it-tfassil ta’ profili msemmi fl-Artikolu 22(1) u (4) u għallinqas f’dawk il-każijiet, l-informazzjoni importanti dwar il-loġika involuta, kif ukoll is-sinifikat u l-konsegwenzi previsti ta’ tali pproċessar għas-suġġett tad-data.

[...]”

7	L-Artikolu 14 tal-GDPR jirrigwarda l-informazzjoni li għandha tiġi pprovduta fejn id-data personali ma tkunx inġabret mis-suġġett tad-data.

8	Skont l-Artikolu 55(1) tal-GDPR, kull awtorità superviżorja għandha tkun kompetenti sabiex twettaq il-kompiti fdati lilha u teżerċita s-setgħat mogħtija lilha f’konformità mal-GDPR fit-territorju tal-Istat Membru tagħha stess.

L-Artikolu 56 tal-GDPR, intitolat “Kompetenza tal-awtorità superviżorja ewlenija”, jipprovdi:

“1. Mingħajr preġudizzju għall-Artikolu 55, l-awtorità superviżorja tal-istabbiliment ewlieni jew tal-istabbiliment uniku tal-kontrollur jew il-proċessur għandha tkun kompetenti biex taġixxi bħala l-awtorità superviżorja ewlenija għall-ipproċessar transkonfinali li jsir minn dak il-kontrollur jew proċessur f’konformità mal-proċedura prevista fl-Artikolu 60.

2. B’deroga mill-paragrafu 1, kull awtorità superviżorja għandha tkun kompetenti biex tittratta lment imressaq lilha jew ksur possibbli ta’ dan ir-Regolament, jekk is-suġġett ikun marbut biss ma’ stabbiliment fl-Istat Membru tagħha jew jaffettwa b’mod sostanzjali suġġetti tad-data fl-Istat Membru tagħha biss.

3. Fil-każijiet imsemmija fil-paragrafu 2 ta' dan l-Artikolu, l-awtorità superviżorja għandha tinforma lill-awtorità superviżorja ewlenija mingħajr dewmien dwar dik il-kwistjoni. F’perijodu ta' tliet ġimgħat wara li tiġi infurmata l-awtorità superviżorja ewlenija għandha tiddeċiedi jekk hux ser tittratta l-każ f'konformità mal-proċedura prevista fl-Artikolu 60, billi tieħu kont ta’ jekk hemm jew m’hemmx stabbiliment tal-kontrollur jew il-proċessur fl-Istat Membru li l-awtorità superviżorja tkun infurmatha bih.

4. Fejn l-awtorità superviżorja ewlenija tiddeċiedi li tittratta l-każ, għandha tapplika l-proċedura prevista fl-Artikolu 60. L-awtorità superviżorja li tkun infurmat lill-awtorità superviżorja ewlenija tista' tissottometti abbozz għal deċiżjoni lill-awtorità superviżorja ewlenija. L-awtorità superviżorja ewlenija għandha tieħu kont bl-akbar reqqa dak l-abbozz meta tkun qed tħejji l-abbozz ta’ deċiżjoni msemmi fl-Artikolu 60(3).

5. Fejn il-awtorità superviżorja ewlenija tiddeċiedi li ma tittrattax il-każ, l-awtorità superviżorja li tkun infurmat lill-awtorità superviżorja ewlenija għandha tittrattah skont l-Artikoli 61 u 62.

6. L-awtorità superviżorja ewlenija għandha tkun l-interlokutur uniku tal-kontrollur jew il-proċessur għall-ipproċessar transkonfinali li jsir minn dak il-kontrollur jew proċessur.”

10	L-Artikolu 57 tal-GDPR, intitolat “Kompiti”, jipprovdi, fil-paragrafu 1(h) tiegħu, li kull awtorità superviżorja, fit-territorju tal-Istat Membru tagħha, għandha l-kompitu li twettaq investigazzjonijiet dwar l-applikazzjoni tal-GDPR.

Is-setgħat investigattivi ta’ din l-awtorità huma elenkati fl-Artikolu 58(1) tar-GDPR, intitolat “Setgħat”. Il-paragrafu 2 ta’ dan l-artikolu jelenka l-miżuri korrettivi li jistgħu jittieħdu mill-imsemmija awtorità, fosthom dawk, imsemmija fil-punti (b), (d) u (i) tiegħu, li jikkonsistu, rispettivament, li ċċanfar kontrollur jew proċessur fejn l-operazzjonijiet ta’ pproċessar ikunu wasslu għal ksur tad-dispożizzjonijiet tal-GDPR, li tordna lill-kontrollur jew il-proċessur jagħmel operazzjonijiet ta’ pproċessar konformi mad-dispożizzjonijiet tal-GDPR, fejn xieraq, b’mod speċifiku u f’perijodu ta’ żmien speċifiku; u li timponi multa amministrattiva skont l-Artikolu 83 tal-GDPR.

L-Artikolu 60 tal-GDPR, intitolat “Kooperazzjoni bejn l-awtorità superviżorja ewlenija u l-awtoritajiet superviżorji kkonċernati oħra”, jipprovdi:

“1. L-awtorità superviżorja ewlenija għandha tikkoopera mal-awtoritajiet superviżorji kkonċernati l-oħra f’konformità ma’ dan l-Artikolu fi sforz biex jintlaħaq kunsens. L-awtorità superviżorja ewlenija u l-awtoritajiet superviżorji kkonċernati għandhom jiskambjaw l-informazzjoni rilevanti kollha bejniethom.

2. L-awtorità superviżorja ewlenija tista’ titlob fi kwalunkwe ħin lil awtoritajiet superviżorji kkonċernati oħra biex jipprovdu assistenza reċiproka skont l-Artikolu 61 u tista’ twettaq operazzjonijiet konġunti skont l-Artikolu 62, b’mod partikolari għat-twettiq ta’ investigazzjonijiet jew għall-monitoraġġ tal-implimentazzjoni ta’ miżura li tikkonċerna kontrollur jew proċessur stabbilit fi Stat Membru ieħor.

3. L-awtorità superviżorja ewlenija għandha, mingħajr dewmien, tikkomunika l-informazzjoni rilevanti dwar il-kwistjoni lill-awtoritajiet superviżorji kkonċernati l-oħra. Hija għandha tissottometti mingħajr dewmien abbozz ta’ deċiżjoni lill-awtoritajiet superviżorji kkonċernati l-oħra għall-opinjoni tagħhom u tieħu kont tal-fehmiet tagħhom.

4. Fejn kwalunkwe mill-awtoritajiet superviżorji kkonċernati l-oħra f’perijodu ta’ żmien ta’ erba’ ġimgħat wara li tkun ġiet ikkonsultata f’konformità mal-paragrafu 3 ta’ dan l-Artikolu, tesprimi oġġezzjoni rilevanti u motivata għall-abbozz ta’ deċiżjoni, l-awtorità superviżorja ewlenija għandha, jekk ma ssegwix l-oġġezzjoni rilevanti u motivata jew tkun tal-fehma li l-oġġezzjoni mhijiex rilevanti jew motivata, tissottometti l-kwistjoni lill-mekkaniżmu ta’ konsistenza msemmi fl-Artikolu 63.

5. Fejn l-awtorità superviżorja ewlenija biħsiebha ssegwi l-oġġezzjoni rilevanti u motivata li saret, għandha tissottometti abbozz rivedut ta’ deċiżjoni lill-awtoritajiet superviżorji kkonċernati l-oħra għall-opinjoni tagħhom. Dak l-abbozz rivedut ta’ deċiżjoni għandu jkun soġġett għall-proċedura msemmija fil-paragrafu 4 f’perijodu ta’ żmien ta’ ġimagħtejn.

6. Fejn l-ebda waħda mill-awtoritajiet superviżorji kkonċernati l-oħra ma tkun oġġezzjonat għall-abbozz ta’ deċiżjoni sottomess mill-awtorità superviżorja ewlenija fil-perijodu msemmi fil-paragrafi 4 u 5, l-awtorità superviżorja ewlenija u l-awtoritajiet superviżorji kkonċernati għandhom jitqiesu li qed jaqblu ma’ dak l-abbozz ta’ deċiżjoni u għandhom ikunu marbuta bih.

7. L-awtorità superviżorja ewlenija għandha tadotta u tinnotifika d-deċiżjoni lill-istabbiliment ewlieni jew l-istabbiliment uniku tal-kontrollur jew il-proċessur, skont kif ikun il-każ, u tinforma l-awtoritajiet superviżorji kkonċernati l-oħra u lill-Bord dwar id-deċiżjoni inkwistjoni inkluż ġabra fil-qosor tal-fatti u r-raġunijiet rilevanti. L-awtorità superviżorja li quddiemha jitressaq ilment għandha tinforma lill-ilmentatur bid-deċiżjoni.

8. B’deroga mill-paragrafu 7, fejn ilment jitwarrab jew jiġi miċħud, l-awtorità superviżorja li quddiemha tressaq l-ilment għandha tadotta d-deċiżjoni u tinnotifikaha lill-ilmentatur u għandha tinforma lill-kontrollur b’din.

9. Fejn l-awtorità superviżorja ewlenija u l-awtoritajiet superviżorji kkonċernati jaqblu li jwarrbu jew jiċħdu partijiet ta’ lment u li jieħdu azzjoni dwar partijiet oħra ta’ dak l-ilment, għandha tiġi adottata deċiżjoni separata għal kull waħda minn dawk il-partijiet tal-kwistjoni. L-awtorità superviżorja ewlenija għandha tadotta d-deċiżjoni għall-parti li tikkonċerna azzjonijiet b’rabta mal-kontrollur, għandha tinnotifikaha lill-istabbiliment ewlieni jew l-istabbiliment uniku tal-kontrollur jew il-proċessur fit-territorju tal-Istat Membru tiegħu u għandha tinforma lill-ilmentatur b’dan, waqt li l-awtorità superviżorja tal-ilmentatur għandha tadotta d-deċiżjoni għall-parti li tikkonċerna t-twarrib jew iċ-ċaħda ta’ dak l-ilment, u għandha tinnotifikaha lil dak l-ilmentatur u għandha tinforma lill-kontrollur jew il-proċessur b’dan.

10. Wara li jkun ġie notifikat bid-deċiżjoni tal-awtorità superviżorja ewlenija skont il-paragrafi 7 u 9, il-kontrollur jew il-proċessur għandu jieħu l-miżuri meħtieġa biex tiġi żgurata konformità mad-deċiżjoni fir-rigward tal-attivitajiet ta’ pproċessar fil-kuntest tal-istabbilimenti kollha tiegħu fl-Unjoni. Il-kontrollur jew il-proċessur għandu jinnotifika l-miżuri meħuda għall-konformità mad-deċiżjoni lill-awtorità superviżorja ewlenija, li għandha tinforma lill-awtoritajiet superviżorji kkonċernati l-oħra.

11. Fejn, f’ċirkostanzi eċċezzjonali, awtorità superviżorja kkonċernata jkollha raġunijiet biex tqis li hemm ħtieġa urġenti li taġixxi sabiex tipproteġi l-interessi ta' suġġetti tad-data, għandha tapplika l-proċedura ta’ urġenza msemmija fl-Artikolu 66.

12. L-awtorità superviżorja ewlenija u l-awtoritajiet superviżorji kkonċernati l-oħra għandhom jipprovdu l-informazzjoni meħtieġa taħt dan l-Artikolu lil xulxin b'mezzi elettroniċi, bl-użu ta' format standardizzat.”

Skont l-Artikolu 63 tal-GDPR, intitolat “Mekkaniżmu ta’ konsistenza”:

“Sabiex jikkontribwixxu għall-applikazzjoni konsistenti ta’ dan ir-Regolament fl-Unjoni kollha, l-awtoritajiet superviżorji għandhom jikkooperaw ma’ xulxin u, fejn rilevanti, mal-Kummissjoni, permezz tal-mekkaniżmu ta' konsistenza [...]”

L-Artikolu 65 tal-GDPR, intitolat “Soluzzjoni għat-tilwim mill-Bord”, jipprovdi:

“1. Sabiex jiżgura l-applikazzjoni korretta u konsistenti ta’ dan ir-Regolament f’każijiet individwali, il-Bord għandu jadotta deċiżjoni vinkolanti fil-każijiet li ġejjin:

fejn, f’każ imsemmi fl-Artikolu 60(4), awtorità superviżorja kkonċernata tkun qajmet oġġezzjoni rilevanti u motivata għal abbozz ta’ deċiżjoni tal-awtorità superviżorja ewlenija u l-awtorità superviżorja ewlenija ma segwitx l-oġġezzjoni jew tkun ċaħdet tali oġġezzjoni għar-raġuni li ma tkunx rilevanti jew motivata. Id-deċiżjoni vinkolanti għandha tikkonċerna l-kwistjonijiet kollha li jkunu s-suġġett taloġġezzjoni rilevanti u motivata, b’mod partikolari jekk ikunx hemm ksur ta' dan ir-Regolament;

b)	fejn ikun hemm fehmiet konfliġġenti dwar liema mill-awtoritajiet superviżorji kkonċernati tkun kompetenti għall-istabbiliment ewlieni;

c)	fejn awtorità superviżorja kompetenti ma titlobx l-opinjoni tal-Bord fil-każijiet imsemmija fl-Artikolu 64(1), jew ma ssegwix l-opinjoni tal-Bord maħruġa taħt l-Artikolu 64. F’dak il-każ, kwalunkwe awtorità superviżorja kkonċernata jew il-Kummissjoni tista’ tikkomunika l-kwistjoni lill-Bord.

2. Id-deċiżjoni msemmija fil-paragrafu 1 għandha tiġi adottata fi żmien xahar mir-riferiment tas-suġġett minn maġġoranza ta’ żewġ terzi tal-membri tal-Bord. Dak il-perijodu jista’ jiġi estiż għal xahar ieħor filwaqt li jittieħed kont tal-kumplessità tas-suġġett. Id-deċiżjoni msemmija fil-paragrafu 1 għandha tkun motivata u indirizzata lill-awtorità superviżorja ewlenija u l-awtoritajiet superviżorji kkonċernati kollha u tkun vinkolanti għalihom.

3. Fejn il-Bord ma setax jadotta deċiżjoni fil-perijodi msemmija fil-paragrafu 2, huwa għandu jadotta d-deċiżjoni tiegħu fi żmien ġimagħtejn wara l-iskadenza tat-tieni xahar imsemmi fil-paragrafu 2 b’maġġoranza sempliċi tal-membri tal-Bord. Fejn ikun hemm qasma indaqs bejn il-membri tal-Bord, id-deċiżjoni għandha tiġi adottata permezz tal-vot tal-President tiegħu.

4. L-awtoritajiet superviżorji kkonċernati m’għandhomx jadottaw deċiżjoni dwar is-suġġett ippreżentat lill-Bord skont il-paragrafu 1 matul il-perijodi msemmija fil-paragrafi 2 u 3.

5. Il-President tal-Bord għandu jinnotifika, mingħajr dewmien żejjed, id-deċiżjoni msemmija fil-paragrafu 1 lill-awtoritajiet superviżorji kkonċernati. Huwa għandu jinforma lill-Kummissjoni b’dan. Id-deċiżjoni għandha tiġi ppubblikata fuq is-sit elettroniku tal-Bord mingħajr dewmien wara li l-awtorità superviżorja tkun innotifikat id-deċiżjoni finali msemmija fil-paragrafu 6.

6. L-awtorità superviżorja ewlenija jew, skont kif ikun il-każ, l-awtorità superviżorja li quddiemha jitressaq l-ilment, għandha tadotta d-deċiżjoni finali tagħha abbażi tad-deċiżjoni msemmija fil-paragrafu 1 ta’ dan l-Artikolu, mingħajr dewmien żejjed u mhux aktar tard minn xahar wara li l-Bord jkun innotifika d-deċiżjoni tiegħu. L-awtorità superviżorja ewlenija jew, skont kif ikun il-każ, l-awtorità superviżorja li quddiemha jitressaq l-ilment, għandha tinforma lill-Bord dwar id-data meta d-deċiżjoni finali tagħha tkun ġiet innotifikata lill-kontrollur jew il-proċessur u lis-suġġett tad-data rispettivament. Id-deċiżjoni finali tal-awtoritajiet superviżorji kkonċernati għandha tiġi adottata taħt it-termini talArtikolu 60(7), (8) u (9). Id-deċiżjoni finali għandha tirreferi għad-deċiżjoni msemmija fil-paragrafu 1 ta’ dan l-Artikolu u għandha tispeċifika li d-deċiżjoni msemmija f'dak il-paragrafu ser tiġi ppubblikata fuq is-sit elettroniku tal-Bord f’konformità mal-paragrafu 5 ta’ dan l-Artikolu. Id-deċiżjoni msemmija fil-paragrafu 1 ta’ dan l-Artikolu għandha tkun mehmuża mad-deċiżjoni finali.”

15	L-Artikolu 68 tal-GDPR, intitolat “[Bord]”, jipprevedi, fil-paragrafu 1 tiegħu, li l-Bord huwa stabbilit bħala korp tal-Unjoni u għandu personalità ġuridika.

L-Artikolu 70 tal-GDPR, intitolat “Kompiti tal-Bord”, jipprevedi, fil-paragrafu1(a) tiegħu, li l-Bord għandu jiżgura l-applikazzjoni konsistenti tal-GDPR. Għal dan l-għan, il-Bord, fuq inizjattiva tiegħu stess jew, jekk ikun il-każ, fuq talba tal-Kummissjoni, għandu b’mod partikolari l-kompitu li jissorvelja u jiżgura l-applikazzjoni korretta tal-GDPR fil-każijiet previsti fl-Artikoli 64 u 65 tiegħu, mingħajr preġudizzju għall-kompiti ta’ awtoritajiet superviżorji nazzjonali;

L-Artikolu 78 tal-GDPR, intitolat “Dritt għal rimedju ġudizzjarju effettiv kontra awtorità superviżorja”, jipprovdi:

“1. Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju ieħor, kull persuna fiżika jew ġuridika għandu jkollha d-dritt għal rimedju ġudizzjarju effettiv kontra deċiżjoni legalment vinkolanti ta' awtorità superviżorja li tikkonċernaha.

2. Mingħajr preġudizzju għal kwalunkwe rimedju amministrattiv jew mhux ġudizzjarju ieħor, kull suġġett tad-data għandu d-dritt għal rimedju ġudizzjarju effettiv fejn l-awtorità superviżorja li hija kompetenti skont l-Artikoli 55 u 56 ma titrattax ilment jew ma tinformax lis-suġġett tad-data fi żmien tliet xhur dwar il-progress jew l-eżitu tal-ilment skont l-Artikolu 77.

3. Il-proċedimenti kontra awtorità superviżorja għandhom jitressqu quddiem il-qrati tal-Istat Membru fejn tkun stabbilita l-awtorità superviżorja.

4. Fejn jitressqu proċedimenti kontra deċiżjoni ta' awtorità superviżorja li kienet preċeduta minn opinjoni jew deċiżjoni tal-Bord fil-mekkaniżmu ta’ konsistenza, l-awtorità superviżorja għandha tibgħat dik l-opinjoni jew id-deċiżjoni lill-qorti.”

18	L-Artikolu 83 tal-GDPR, jistabbilixxi l-kundizzjonijiet ġenerali biex jiġu imposti multi amministrattivi.

Il-fatti li wasslu għall-kawża u d-deċiżjoni kontenzjuża

19	Il-fatti li wasslu għall-kawża, li jinsabu fil-punti 2 sa 12 tad-digriet appellat, jistgħu, għall-finijiet ta’ din il-proċedura, jinġabru fil-qosor kif ġej.

Wara d-dħul fis-seħħ tal-GDPR, l-awtorità superviżorja Irlandiża rċeviet ilmenti minn utenti u minn persuni mhux utenti tas-sistema ta’ messaġġi “WhatsApp” dwar l-ipproċessar ta’ data personali minn WhatsApp. Il-Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), (il-Kummissarju Federali għall-Protezzjoni tad-Data u għal-Libertà tal-Informazzjoni, il-Ġermanja) barra minn hekk talab l-assistenza tal-awtorità superviżorja Irlandiża rigward l-osservanza minn WhatsApp tal-obbligi ta’ trasparenza imposti fuq il-kontrolluri ta’ data personali fir-rigward ta’ eventwali tqassim ta’ tali data ma’ entitajiet oħra tal-grupp Facebook, imsejjaħ “Meta” minn Settembru 2021.

L-awtorità superviżorja Irlandiża bdiet ex officio, f’Diċembru 2018, investigazzjoni ta’ natura ġenerali dwar l-osservanza minn WhatsApp tal-obbligi ta’ trasparenza u ta’ informazzjoni fir-rigward tal-individwi stabbiliti fl-Artikoli 12 sa 14 tal-GDPR, bla ħsara għall-konsegwenzi li hija tista’ tagħti lit-talbiet individwali li kienu tressqu quddiemha. L-awtorità superviżorja Irlandiża aġixxiet f’dan ir-rigward bħala awtorità superviżorja ewlenija, skont l-Artikolu 56(1) tar-Regolament RGPD, peress li WhatsApp kellha, fl-Irlanda, l-istabbiliment prinċipali tagħha bħala kontrollur għall-operazzjonijiet tas-sistema ta’ messaġġi “WhatsApp” fl-Ewropea, fejn dan l-ipproċessar għandu natura transkonfinali.

Wara li l-fażi tal-investigazzjoni tlestiet f’Settembru 2019 bil-preżentazzjoni ta’ rapport finali tal-investigatur, l-awtorità superviżorja Irlandiża, fi tmiem fażijiet proċedurali intermedji li matulhom WhatsApp għamlet parti mill-osservazzjonijiet tagħha, ippreżentat f’Diċembru 2020 lill-awtoritajiet superviżorji l-oħra kollha kkonċernati mill-każ abbozz ta’ deċiżjoni bil-għan li tikseb l-opinjoni tagħhom, konformement mal-Artikolu 60(3) tar-GDPR.

F’Jannar 2021, tmienja minn dawn l-awtoritajiet superviżorji l-oħra fformulaw oġġezzjonijiet dwar ċerti aspetti ta’ dan l-abbozz ta’ deċiżjoni. L-awtorità superviżorja Irlandiża wieġbet b’mod kollettiv għal dawn l-oġġezzjonijiet billi pproponiet soluzzjonijiet ta’ kompromess. Għalkemm, wara din it-tweġiba, waħda minn dawn it-tmien awtoritajiet superviżorji rtirat waħda mill-oġġezzjonijiet tagħha, l-awtorità superviżorja Irlandiża kkonstatat li ma kienx hemm kunsens fir-rigward ta’ aspetti oħra li kienu s-suġġett ta’ oġġezzjonijiet. Hija ddeċidiet li tiċħad l-oġġezzjonijiet kollha li rċeviet u li tersaq quddiem il-Bord sabiex isolvi t-tilwima bejn l-awtoritajiet superviżorji kkonċernati dwar l-aspetti koperti minn dawn l-oġġezzjonijiet, konformement mad-dispożizzjonijiet tal-Artikolu 60(4) u tal-Artikolu 65(1)(a) tal-GDPR.

F’Mejju 2021, l-awtorità superviżorja Irlandiża laqgħet bil-miktub l-osservazzjonijiet ta’ WhatsApp dwar l-elementi diskussi bejn l-awtoritajiet superviżorji kkonċernati, wara li bagħtitilha d-dokumenti kollha skambjati f’dan ir-rigward, u hija stess bagħtet lill-Bord dawn l-osservazzjonijiet sabiex jieħu konjizzjoni tagħhom fil-kuntest tal-proċedura ta’ riżoluzzjoni ta’ tilwim, li nbdiet minnha f’Ġunju 2021.

25	Fit‑28 ta’ Lulju 2021, il-Bord adotta d-deċiżjoni kontenzjuża, abbażi tal-Artikolu 65(2) tal-GDPR.

Wara li l-awtorità superviżorja Irlandiża rċeviet id-deċiżjoni kontenzjuża u li hija rċeviet l-osservazzjonijiet ta’ WhatsApp dwar is-sanzjonijiet pekunjarji li finalment kien previst li jiġu imposti fuqha wara din id-deċiżjoni, din l-awtorità adottat, fl‑20 ta’ Awwissu 2021, konformement mal-Artikolu 65(6) tal-GDPR, deċiżjoni finali, indirizzata lil WhatsApp (iktar ’il quddiem id-“deċiżjoni finali”).

Fid-deċiżjoni finali, l-awtorità superviżorja Irlandiża kkonstatat li WhatsApp kienet kisret il-prinċipju u l-obbligi ta’ trasparenza stabbiliti fl-Artikolu 5(1)(a), fl-Artikolu 12(1), fl-Artikolu 13(1)(c) sa (f), fl-Artikolu 13(2)(a),(c) u (e) kif ukoll fl-Artikolu 14 tal-GDPR. Min-naħa l-oħra, din l-awtorità indikat li WhatsApp kienet ikkonformat ruħha mal-obbligi stabbiliti fl-Artikolu 13(1)(a) u (b) kif ukoll fl-Artikolu 13(2)(b) u (d) tal-GDPR. Bħala miżuri korrettivi adottati abbażi tal-Artikolu 58(2)(b), (d) u (i) tal-GDPR, l-imsemmija awtorità imponiet fuq WhatsApp twissija, l-implimentazzjoni ta’ ċertu numru ta’ azzjonijiet, elenkati f’anness, intiżi sabiex f’terminu ta’ tliet xhur tiġi konformi mad-dispożizzjonijiet tal-GDPR li kienu ġew miksura, kif ukoll erba’ multi amministrattivi relatati mal-ksur ikkonstatat fl-Artikolu 5(1)(a) u fl-Artikoli 12 sa 14 tal-GDPR, għal ammont akkumulat ta’ EUR 225 miljun.

Minbarra dan, fid-deċiżjoni finali, l-awtorità superviżorja Irlandiża identifikat l-aspetti li għalihom id-deċiżjoni kontenzjuża kienet imponitilha li tirrevedi l-evalwazzjoni esposta fl-abbozz ta’ deċiżjoni tagħha. Hija għamlet l-għażla, dwar dawn l-aspetti, li tirriproduċi bħala tali, fil-partijiet skurati, il-motivi adottati mill-Bord fid-deċiżjoni kontenzjuża u li minnhom sempliċement tislet il-konsegwenzi kull darba f’punt konklużiv.

29	Konformement mal-Artikolu 65(6) tal-GDPR, id-deċiżjoni kontenzjuża ngħaqdet mad-deċiżjoni finali.

Fid-deċiżjoni kontenzjuża, il-Bord ħa pożizzjoni dwar il-kwistjonijiet li kienu s-suġġett ta’ oġġezzjonijiet rilevanti u motivati, fis-sens tal-Artikolu 65(1)(a) tal-GDPR, jiġifieri:

–

l-eżistenza ta’ ksur, minn WhatsApp, tal-obbligi ta’ informazzjoni stabbiliti fl-Artikolu 13(1)(d) tal-GDPR, dwar ċerta informazzjoni li għandha tiġi pprovduta lis-suġġetti tad-data meta tkun inġabret data personali mingħandhom. Tali ksur ma kienx ġie identifikat mill-awtorità superviżorja Irlandiża fl-abbozz ta’ deċiżjoni tagħha. Il-Bord qies, bil-kontra, li din id-dispożizzjoni kienet ġiet miksura minn WhatsApp;

–

il-klassifikazzjoni ta’ data personali tal-elementi li jirriżultaw minn proċedura ta’ kompressjoni b’telf ta’ data, komunement imsejħa “lossy hashing”, u applikata għad-data dwar il-kuntatti li ma jkunux utenti ta’ WhatsApp li tinsab fil-listi ta’ indirizzi tat-terminals tal-utenti ta’ WhatsApp. L-awtorità superviżorja Irlandiża ma kinitx ikklassifikat dawn l-elementi bħala tali fl-abbozz ta’ deċiżjoni tagħha. Il-Bord qies, għall-kuntrarju, li dawn kienu dejjem jikkostitwixxu data personali. Dan l-aspett kellu, skont il-Bord, impatt possibbli fuq l-eventwali konstatazzjoni ta’ ksur, minn WhatsApp, tal-Artikolu 5(1)(c) u tal-Artikolu 6(1) tal-GDPR, kif ukoll impatt fuq il-portata tal-ksur, minn WhatsApp, tal-Artikolu 14 tal-GDPR u fuq il-livell tas-sanzjoni pekunjarja sostnuta abbażi ta’ tiegħu;

–	l-eżistenza ta’ ksur, minn WhatsApp, tal-prinċipju ta’ trasparenza stabbilit fl-Artikolu 5(1)(a) tal-GDPR, li l-awtorità superviżorja Irlandiża ma kinitx identifikat fl-abbozz ta’ deċiżjoni tagħha. Il-Bord qies, bil-kontra, li dan il-prinċipju kien ġie miksur minn WhatsApp;

–

il-konstatazzjoni ta’ ksur minn WhatsApp tal-Artikolu 13(2)(e) tal-GDPR, dwar ċerta informazzjoni li għandha tiġi pprovduta lis-suġġetti tad-data meta tkun inġabret data personali mingħandhom, li l-awtorità superviżorja Irlandiża ma kinitx qieset li kienet f’pożizzjoni li tagħmel, peress li l-investigatur ma kienx ħa pożizzjoni dwar il-kwistjoni matul l-investigazzjoni, u li għaliha hija kienet qieset biss li setgħet tagħti rakkomandazzjoni. Il-Bord qies, għall-kuntrarju, li l-investigazzjoni kienet tkopri d-dispożizzjonijiet kollha tal-Artikolu 13 tal-GDPR u li kellu jiġi kkonstatat ksur tad-dispożizzjoni ċċitata iktar ’il fuq;

–

l-eżistenza ta’ ksur minn WhatsApp tal-Artikolu 6(1) tar-GDPR, dwar il-kundizzjonijiet ta’ legalità ta’ pproċessar ta’ data personali, li dwaru l-awtorità superviżorja Irlandiża ma kinitx tat deċiżjoni. Il-Bord qies li, għal raġunijiet proċedurali, ma kienx possibbli, fil-fatt, li tingħata deċiżjoni u li jiġi kkonstatat tali ksur;

–

it-twessigħ tar-raġunijiet tal-ksur, minn WhatsApp, tal-obbligi ta’ informazzjoni stabbiliti fl-Artikolu 14 tar-GDPR, dwar l-informazzjoni li għandha tiġi pprovduta meta d-data personali ma tkunx inġabret mingħand is-suġġett tad-data, minħabba l-analiżi relatata mat-tieni inċiż ta’ dan il-punt. Il-Bord ikkonferma l-impatt li dan it-twessigħ kellu jkollu fuq il-miżuri korrettivi relatati mal-aġir u fuq is-sanzjoni imposti fuq WhatsApp;

–

l-eżistenza ta’ ksur, minn WhatsApp, tal-prinċipju stabbilit fl-Artikolu 5(1)(c) tar-GDPR, li tinġabar biss id-data adegwata, rilevanti u limitata għal dak li jkun neċessarju fir-rigward tal-finijiet tal-ipproċessar tagħha, li dwaru l-awtorità superviżorja Irlandiża ma kinitx tat deċiżjoni. Il-Bord qies li tali ksur ma kienx ġie pprovat abbażi tal-fajl, b’mod partikolari fid-dawl tal-kamp ta’ investigazzjoni adottat għall-proċedura fir-rigward ta’ WhatsApp;

–	it-terminu, stabbilit għal sitt xhur mill-awtorità superviżorja Irlandiża, li fih, fir-rigward ta’ miżuri korrettivi, WhatsApp kellha tikkonforma ruħha mar-rekwiżiti tal-GDPR li hija kienet kisret. Il-Bord naqqas dan it-terminu għal tliet xhur;

–

fir-rigward tal-miżuri korrettivi, il-modalitajiet ta’ informazzjoni tal-persuni mhux utenti ta’ WhatsApp dwar l-ipproċessar tad-data personali tagħhom minn WhatsApp, il-Bord kien ikkonferma l-evalwazzjoni fformulata mill-awtorità superviżorja Irlandiża f’dan ir-rigward fl-abbozz ta’ deċiżjoni tagħha;

–	fir-rigward tal-miżuri korrettivi, ir-riferiment għall-motivi addizzjonali tal-ksur, minn WhatsApp, tal-obbligi stabbiliti fl-Artikolu 14 tar-GDPR, il-Bord kien indika li dan ir-riferiment kien neċessarju sabiex jiġi ggarantit li WhatsApp tadotta l-miżuri korrettivi adegwati f’dan ir-rigward;

–

fir-rigward tal-Artikolu 83 tar-GDPR, dwar il-“[k]ondizzjonijiet ġenerali biex jiġu imposti multi amministrattivi”, il-kriterji tal-kwantum tal-multi li għandhom jiġu imposti fuq WhatsApp. Il-Bord qies li l-awtorità superviżorja Irlandiża kienet interpretat b’mod żbaljat il-kriterju marbut mad-dħul mill-bejgħ annwali dinji tal-impriża kkonċernata, li hija kienet interpretat korrettament il-kunċett ta’ “sena finanzjarja preċedenti”, li hija kienet interpretat b’mod żbaljat ir-regola li tgħid li, jekk diversi dispożizzjonijiet tal-GDPR jiġu miksura fil-kuntest tal-istess operazzjoni ta’ pproċessar jew ta’ operazzjonijiet ta’ pproċessar marbuta, l-ammont totali tal-multa amministrattiva ma jistax jeċċedi l-ammont iffissat għall-ksur l-iktar gravi, li hija kienet interpretat korrettament ċerti kriterji ta’ determinazzjoni tal-multa msemmija fl-Artikolu 83(1) u (2) tal-GDPR, jiġifieri n-natura intenzjonali jew negliġenti tan-nuqqasijiet u tal-gravità tagħhom, iżda interpretat b’mod żbaljat oħrajn minn dawn il-kriterji, bħat-teħid inkunsiderazzjoni tad-dħul mill-bejgħ sabiex tiġi kkwantifikata s-sanzjoni indipendentement mill-kalkolu tal-limitu tagħha u, iktar globalment, in-neċessità li s-sanzjoni tkun effettiva, proporzjonata u dissważiva, u

–

l-ammonti tal-multi, billi l-Bord kien qies li, fir-rigward tal-iżbalji ta’ interpretazzjoni ta’ ċerti kriterji tal-kwantum tal-multa magħmula mill-awtorità superviżorja Irlandiża u min-nuqqasijiet addizzjonali ta’ WhatsApp li għandhom jiġu kkonstatati, l-ammonti tal-multi maħsuba minn din l-awtorità f’livell totali li jinkludi bejn EUR 30 u EUR 50 miljun kellhom jiżdiedu.

31	WhatsApp ikkontestat id-deċiżjoni finali quddiem qorti Irlandiża.

Il-proċedura quddiem il-Qorti Ġenerali u d-digriet appellat

32	Permezz ta’ att ippreżentat fir-Reġistru tal-Qorti Ġenerali fl‑1 ta’ Novembru 2021, WhatsApp ippreżentat rikors abbażi tal-263 TFUE, intiż għall-annullament tad-deċiżjoni kontenzjuża.

33	Permezz tad-digriet appellat, mogħti bl-applikazzjoni tal-Artikolu 129 tar-Regoli tal-Proċedura tagħha, il-Qorti Ġenerali ċaħdet dan ir-rikors bħala inammissibbli.

Filwaqt li rrilevat, fil-punti 36, 37 u 40 tad-digriet appellat, li d-deċiżjoni kontenzjuża kienet tikkostitwixxi att ta’ korp tal-Unjoni, intiż li jipproduċi effetti legali fir-rigward ta’ terzi, u li WhatsApp kienet individwalment ikkonċernata minn din id-deċiżjoni, il-Qorti Ġenerali madankollu qieset, fil-punt 42 tad-digriet appellat, li l-imsemmija deċiżjoni kienet att preparatorju jew intermedju fi proċedura li kellha tingħalaq bl-adozzjoni, mill-awtorità superviżorja nazzjonali, ta’ deċiżjoni finali. Issa, il-Qorti Ġenerali kkunsidrat, fil-punti 43 u 44 tad-digriet appellat, li tali att kien jikkostitwixxi “att li jista’ jiġi kkontestat” biss jekk kellu effetti legali awtonomi li fir-rigward tagħhom protezzjoni ġudizzjarja suffiċjenti ma setgħetx tiġi żgurata fil-kuntest ta’ rikors kontra d-deċiżjoni li ttemm il-proċedura inkwistjoni.

F’dan ir-rigward, il-Qorti Ġenerali qieset, fil-punt 45 tad-digriet appellat, li, f’dan il-każ, protezzjoni ġudizzjarja effettiva fir-rigward tad-deċiżjoni kontenzjuża kienet żgurata permezz ta’ rimedju li WhatsApp għandha, quddiem il-qorti nazzjonali, kontra d-deċiżjoni finali, billi din il-qorti nazzjonali hija awtorizzata, skont l-Artikolu 267 TFUE, tadixxi lill-Qorti tal-Ġustizzja b’rinviju għal deċiżjoni preliminari għall-evalwazzjoni ta’ validità tad-deċiżjoni kontenzjuża. Il-Qorti Ġenerali ppreċiżat ukoll, fil-punt 46 tad-digriet appellat, li d-deċiżjoni kontenzjuża ma kellhiex, fir-rigward ta’ WhatsApp, effetti legali awtonomi meta mqabbla mad-deċiżjoni finali meħuda mill-awtorità superviżorja Irlandiża.

Barra minn hekk, il-Qorti Ġenerali qieset, fil-punt 49 tad-digriet appellat, li l-fatt li tali att intermedju jesprimi pożizzjoni definittiva ta’ awtorità, li għandha tiġi adottata fid-deċiżjoni finali li tagħlaq il-proċedura inkwistjoni, ma jfissirx neċessarjament li dan l-att kien jemenda huwa stess b’mod sinjifikattiv is-sitwazzjoni legali tal-appellanti.

Barra minn hekk, il-Qorti Ġenerali rrilevat, fil-punt 50 tad-digriet appellat, li WhatsApp ma kinitx direttament ikkonċernata mid-deċiżjoni kontenzjuża. Il-Qorti Ġenerali osservat, fil-punt 52 ta’ dan id-digriet, li din id-deċiżjoni ma kinitx ta’ natura infurzabbli b’mod li jippermettilha, mingħajr stadju addizzjonali fil-proċedura, li tkun sors ta’ obbligi għal WhatsApp jew, jekk ikun il-każ, ta’ drittijiet għal individwi oħra, b’tali mod li hija ma pproduċietx direttament effetti legali fuq is-sitwazzjoni ta’ WhatsApp. Il-Qorti Ġenerali rreferiet ukoll, fil-punt 53 tal-imsemmi digriet, għall-fatt li, anki jekk id-deċiżjoni kontenzjuża kienet torbot lill-awtorità superviżorja Irlandiża fir-rigward tal-aspetti li hija kienet titratta, hija kienet tħallilha, madankollu, marġni ta’ evalwazzjoni fir-rigward tal-kontenut tad-deċiżjoni finali.

Għalhekk, fil-punti 61 u 62 tal-istess digriet, il-Qorti Ġenerali ddeċidiet li ebda waħda mill-kundizzjonijiet meħtieġa sabiex WhatsApp titqies li hija direttament ikkonċernata mill-miżura li hija s-suġġett tar-rikors tagħha ma kienet issodisfatta u li dan ir-rikors kien, konsegwentement, inammissibbli.

Fl-aħħar nett, il-Qorti Ġenerali ddeċidiet, fil-punti 66 sa 70 tad-digriet appellat, li r-riżultat tal-analiżi tagħha kien jaqa’ fil-loġika tas-sistema tar-rimedji ġudizzjarji stabbilita mit-Trattati. Il-Qorti Ġenerali qieset, b’mod partikolari, li l-ammissjoni tal-ammissibbiltà tar-rikors ta’ WhatsApp kontra d-deċiżjoni kontenzjuża tippreżenta riskju ta’ proċeduri ġudizzjarji paralleli quddiem il-qorti tal-Unjoni u l-qorti nazzjonali, peress li din tal-aħħar, barra minn hekk, hija awtorizzata tadixxi lill-Qorti tal-Ġustizzja rinviju għal deċiżjoni preliminari għall-evalwazzjoni ta’ validità ta’ din id-deċiżjoni.

It-talbiet tal-partijiet

Permezz tal-appell tagħha, WhatsApp titlob li l-Qorti tal-Ġustizzja jogħġobha:

–	tannulla d-digriet appellat;

–	tiddikjara r-rikors fl-ewwel istanza inammissibbli;

–	tibgħat lura l-kawża quddiem il-Qorti Ġenreali sabiex tagħti deċiżjoni, u

–	tikkundanna lill-Bord għall-ispejjeż relatati mal-proċedura ta’ appell.

Il-Bord, sostnut fit-talbiet tiegħu mir-Repubblika Federali tal-Ġermanja, jitlob li l-Qorti tal-Ġustizzja jogħġobha:

–	tiċħad l-appell;

–	tikkundanna lil WhatsApp għall-ispejjeż, u

–	sussidjarjament, tibgħat lura l-kawża quddiem il-Qorti Ġenerali sabiex tagħti deċiżjoni.

Fuq l-appell

Fuq in-natura allegatament tardiva tar-rikors fl-ewwel istanza

L-argumenti tal-partijiet

Il-Bord isostni li r-rikors fl-ewwel istanza kien ġie ppreżentat tardivament. F’dan ir-rigward, huwa jsostni li WhatsApp saret taf bil-partijiet rilevanti tad-deċiżjoni kontenzjuża f’data preċedenti għall-pubblikazzjoni tagħha fis-sit internet tiegħu u, iktar preċiżament, fit‑13 ta’ Awwissu 2021. Konsegwentement, indipendentement mid-data ta’ pubblikazzjoni tad-deċiżjoni kontenzjuża fis-sit internet tal-Bord, li barra minn hekk ma tistax tiġi assimilata ma’ pubblikazzjoni fil-Ġurnal Uffiċjali tal-Unjoni Ewropea, it-terminu għall-preżentata ta’ rikors kien beda jiddekorri mit‑13 ta’ Awwissu 2021 u kien skada fil‑25 ta’ Ottubru ta’ wara. Peress li WhatsApp ippreżentat ir-rikors għal annullament tagħha fl‑1 ta’ Novembru 2021, dan huwa tardiv.

WhatsApp issostni li l-allegazzjoni tal-Bord dwar in-natura tardiva tar-rikors tagħha hija żbaljata. Fil-fatt, meta r-rikorrent ma jkunx id-destinatarju ta’ att, tkun id-data tal-pubblikazzjoni ta’ dan l-att li tiddetermina l-bidu tad-dekorrenza tat-terminu għall-preżentata ta’ rikors. Id-data li fiha jsir jaf bih tikkostitwixxi biss kriterju sussidjarju f’dan ir-rigward. Il-metodu ta’ pubblikazzjoni tal-imsemmi att huwa, min-naħa tiegħu, irrilevanti. F’dan il-każ, il-pubblikazzjoni tad-deċiżjoni kontenzjuża, fi kwalunkwe każ, saret fis-sit internet tal-Bord fit‑2 ta’ Settembru 2021 u r-rikors ġie ppreżentat fl‑1 ta’ Novembru 2021, b’osservanza tat-terminu previst fis-sitt paragrafu tal-Artikolu 263 TFUE.

Il-kunsiderazzjonijiet tal-Qorti tal-Ġustizzja

44	Skont is-sitt paragrafu tal-Artikolu 263 KE, ir-rikorsi previsti f’dan l-artikolu għandhom jiġu ppreżentati f’terminu ta’ xahrejn mill-pubblikazzjoni tal-att, jew minn meta dan jiġi notifikat lir-rikorrent, jew, fin-nuqqas ta’ dan, mill-ġurnata minn meta ir-rikorrent ikun sar jaf bih, skont il-każ.

Mill-formulazzjoni ta’ din id-dispożizzjoni, b’mod partikolari mill-espressjonijiet “skond il-każ” u “fin-nuqqas ta’ dan”, jirriżulta b’mod ċar li l-bidu tad-dekorrenza tat-terminu għall-preżentata ta’ rikors huwa ddeterminat skont is-sitwazzjoni inkwistjoni u li l-ewwel żewġ kriterji li jistgħu jagħtu lok għal dan it-terminu huma ġerarkiċi meta mqabbla mat-tielet. Għalhekk, it-terminu tar-rikors għal annullament jibda jiddekorri, prinċipalment, mill-pubblikazzjoni tal-att jew min-notifika tiegħu lir-rikorrent. Dawn iż-żewġ kriterji prinċipali jinsabu, fl-istruttura tal-imsemmija dispożizzjoni, fuq l-istess livell fis-sens li ebda wieħed minn dawn iż-żewġ kriterji ma huwa sussidjarju għall-ieħor. Min-naħa l-oħra, il-kriterju tad-data ta’ għarfien tal-att ikkontestat bħala l-bidu ta’ dekorrenza tat-terminu għall-preżentata ta’ rikors huwa ta’ natura sussidjarja meta mqabbel ma’ dawk tal-pubblikazzjoni jew tan-notifika ta’ dan l-att (ara, f’dan is-sens, is-sentenza tas‑26 ta’ Settembru 2024, WEPA Hygieneprodukte et vs Il‑Kummissjoni, C‑795/21 P u C‑796/21 P, EU:C:2024:807, punti 61 sa 63 kif ukoll il-ġurisprudenza ċċitata).

F’dan il-każ, huwa paċifiku li d-deċiżjoni kontenzjuża ma ġietx ikkomunikata lil WhatsApp, peress li l-Bord kien obbligat jikkomunika tali deċiżjoni biss lill-awtoritajiet superviżorji kkonċernati, skont l-ewwel sentenza tal-Artikolu 65(5) tal-GDPR. Għaldaqstant, għandu jiġi eżaminat jekk din id-deċiżjoni kinitx is-suġġett ta’ “pubblikazzjoni”, fis-sens tas-sitt paragrafu tal-Artikolu 263 TFUE.

F’dan ir-rigward, għandu jiġi ppreċiżat li l-kunċett ta’ “pubblikazzjoni” ma jkoprix esklużivament pubblikazzjoni fil-Ġurnal Uffiċjali tal-Unjoni Ewropea u għandu, għall-kuntrarju, jiġi interpretat b’mod wiesa’. Taqa’ taħt dan il-kunċett, b’mod partikolari, pubblikazzjoni fis-sit internet ta’ istituzzjoni, ta’ korp jew ta’ organu tal-Unjoni meta din tkun prevista mid-dritt sekondarju (ara, f’dan is-sens, is-sentenza tas‑26 ta’ Settembru 2024, WEPA Hygieneprodukte et vs Il‑Kummissjoni (C‑795/21 P u C‑796/21 P, EU:C:2024:807, punt 70 kif ukoll il-ġurisprudenza ċċitata).

F’dan il-każ, peress li l-pubblikazzjoni tad-deċiżjoni kontenzjuża hija prevista fit-tielet sentenza tal-Artikolu 65(5) tal-GDPR, għandha għalhekk tittieħed inkunsiderazzjoni d-data li fiha din id-deċiżjoni kienet ġiet ippubblikata fis-sit internet tal-Bord, jiġifieri t‑2 ta’ Settembru 2021. Din l-interpretazzjoni hija kkorroborata mit-tielet sentenza tal-premessa 143 tal-GDPR, li minnha jirriżulta li t-terminu għall-preżentata ta’ rikors għandu jiġi kkalkolat mill-pubblikazzjoni tad-deċiżjoni inkwistjoni tal-Bord fis-sit internet ta’ dan tal-aħħar.

Peress li r-rikors ġie ppreżentat fl‑1 ta’ Novembru 2021, it-terminu previst fis-sitt paragrafu tal-Artikolu 263 TFUE ma nkisirx, b’mod li hemm lok li jiġi eżaminat jekk l-aggravji invokati fil-kuntest ta’ dan l-appell humiex ta’ natura li jikkontestaw l-evalwazzjoni magħmula mill-Qorti Ġenerali fid-digriet appellat.

Fuq l-ewwel aggravju, ibbażat fuq żbalji ta’ liġi fl-interpretazzjoni u fl-applikazzjoni tal-kunċett ta’ att li jista’ jiġi kkontestat u tal-kundizzjoni li r-rikorrent għandu jkun direttament ikkonċernat mill-miżura li tkun is-suġġett tar-rikors tiegħu

Fuq l-ewwel parti tal-ewwel aggravju

– L-argumenti tal-partijiet

50	WhatsApp issostni li l-Qorti Ġenerali wettqet żball ta’ liġi meta kkunsidrat li d-deċiżjoni kontenzjuża ma kinitx att li jista’ jiġi kkontestat.

WhatsApp tikkontesta, b’mod partikolari, ir-rilevanza tal-kriterju adottat mill-Qorti Ġenerali, fil-punt 41 tad-digriet appellat, sabiex jiġi ddeterminat jekk att jistax jiġi kkontestat jew le. Il-Qorti Ġenerali għalhekk qieset b’mod żbaljat li kien neċessarju li jintwera li d-deċiżjoni kontenzjuża tipproduċi effetti legali li jbiddlu b’mod sinjifikattiv is-sitwazzjoni legali ta’ WhatsApp u li din tikkonċernaha direttament. Issa, kien ikun biżżejjed li jiġi konkluż li din id-deċiżjoni kienet intiża li tipproduċi effetti legali fir-rigward ta’ terz wieħed jew iktar sabiex jiġi kkonstatat li din kienet tikkostitwixxi att li jista’ jiġi kkontestat, minħabba n-natura definittiva tagħha. Fi kwalunkwe każ, l-imsemmija deċiżjoni ma tikkostitwixxix sempliċi miżura intermedja, iżda tesprimi l-pożizzjoni definittiva tal-Bord.

Skont WhatsApp, il-Qorti Ġenerali applikat b’mod żbaljat il-ġurisprudenza dwar l-effetti legali tal-atti intermedji billi applikat kriterju proċedurali, li skontu tali att jista’ jiġi kkontestat biss jekk rikors ippreżentat kontra l-att finali ma kienx jippermetti li tiġi żgurata protezzjoni ġudizzjarja suffiċjenti, u billi kkonkludiet li ma kienx hemm effetti legali tad-deċiżjoni kontenzjuża.

F’dan il-kuntest, WhatsApp tirreferi għas-sentenza tal‑11 ta’ Novembru 1981, IBM vs Il‑Kummissjoni (60/81, EU:C:1981:264, punti 10 u 11), li minnha jirriżulta, b’mod partikolari, li att intermedju jkun jista’ jiġi kkontestat meta jkun ta’ natura definittiva u jkun indipendenti mid-deċiżjoni finali adottata sussegwentement. Għalhekk għandha tiġi eżaminata s-sustanza ta’ dan l-att u li jiġu evalwati l-effetti tiegħu fir-rigward ta’ kriterji oġġettivi, bħall-kontenut tal-imsemmi att, billi jittieħed inkunsiderazzjoni, skont il-każ, il-kuntest tal-adozzjoni ta’ dan tal-aħħar kif ukoll setgħet tal-istituzzjoni li tkun l-awtriċi tiegħu. WhatsApp tiċċita, b’mod partikolari, f’dan ir-rigward, is-sentenza tat‑12 ta’ Lulju 2022, Nord Stream 2 vs Il‑Parlament u Il‑Kunsill (C‑348/20 P, EU:C:2022:548, punt 63).

B’mod partikolari, tali att ma jistax ikun is-suġġett ta’ rikors għal annullament biss meta, minn naħa, ikun ta’ natura provviżorja fir-rigward tal-mertu, b’tali mod li l-awtur tiegħu jkun jista’ jbiddel il-pożizzjoni tiegħu fl-istadju tad-deċiżjoni finali adottata sussegwentement, u, min-naħa l-oħra, din id-deċiżjoni finali tiġi adottata mill-istess istituzzjoni jew mill-istess korp tal-Unjoni. Għalhekk ma hemmx lok li jiġi applikat il-kunċett ta’ miżura intermedja għal deċiżjoni adottata minn istituzzjoni jew minn korp tal-Unjoni, u indirizzata lil awtorità nazzjonali, inkarigata mill-implimentazzjoni ta’ din id-deċiżjoni fir-rigward ta’ terzi.

F’dan il-każ, skont WhatsApp, il-Qorti Ġenerali limitat ruħha li teżamina jekk, fil-livell proċedurali, kinitx żgurata lilha protezzjoni ġudizzjarja effettiva permezz tar-rikors quddiem il-qorti nazzjonali. Għalhekk hija qieset b’mod żbaljat, fil-punti 48 u 49 tad-digriet appellat, li l-argument ta’ WhatsApp li d-deċiżjoni kontenzjuża kienet tesprimi l-pożizzjoni definittiva tal-awtur tagħha kien irrilevanti. Billi pproċediet b’dan il-mod, il-Qorti Ġenerali għalhekk qieset b’mod żbaljat li d-deċiżjoni kontenzjuża ma kinitx tipproduċi effetti legali u li din ma kinitx indipendenti mid-deċiżjoni finali, u dan mingħajr ma evalwat il-kontenut u l-kuntest tad-deċiżjoni kontenzjuża u lanqas il-portata tal-effetti legali awtonomi tagħha.

Fir-rigward tal-kontenut tad-deċiżjoni kontenzjuża, ma huwiex ikkontestat li din kienet intiża, bħala deċiżjoni vinkolanti adottata abbażi tal-Artikolu 65 tal-GDPR, sabiex tipproduċi effetti legali fir-rigward ta’ terzi u li din kienet tirrappreżenta l-pożizzjoni finali tal-Bord dwar il-punti ppreżentati lilu. Din il-pożizzjoni kienet ta’ natura li tbiddel b’mod sinjifikattiv is-sitwazzjoni legali ta’ WhatsApp, b’mod partikolari minħabba l-konstatazzjoni li d-data suġġetta għal kompressjoni b’telf ta’ data kienet data personali, konstatazzjoni li torbot lill-awtorità superviżorja Irlandiża.

Fir-rigward tal-kuntest tad-deċiżjoni kontenzjuża, mill-formulazzjoni tal-Artikolu 65 tal-GDPR jirriżulta li din tikkostitwixxi deċiżjoni vinkolanti. Il-premessa 143 tal-GDPR tindika li d-deċiżjonijiet meħuda mill-Bord jistgħu jikkonċernaw direttament u individwalment, b’mod partikolari, kontrollur, li jimplika li dawn id-deċiżjonijiet huma ta’ natura li jipproduċu effetti legali esterni, lil hinn mill-awtoritajiet superviżorji nazzjonali li jkunu d-destinatarji tagħhom. Dan huwa kkorroborat kemm mir-raġuni tal-effett vinkolanti tad-deċiżjonijiet tal-Bord, li tikkonsisti li tiġi żgurata l-applikazzjoni korretta u konsistenti tal-GDPR, kif ukoll mill-istruttura tal-proċedura msemmija fl-Artikolu 65(1) tal-GDPR.

Fir-rigward tal-effetti legali awtonomi tad-deċiżjoni kontenzjuża, lil hinn minn dawk prodotti fir-rigward tad-destinatarji tagħha, WhatsApp tirrileva li din id-deċiżjoni tipproduċi tali effetti fir-rigward tagħha, billi taffettwa b’mod partikolari l-mod kif hija għandha l-intenzjoni tikkonforma ruħha mal-GDPR fir-rigward tad-data suġġetta għall-kompressjoni b’telf ta’ data, peress li din hija kklassifikata bħala data personali mill-Bord. Id-deċiżjoni kontenzjuża tipproduċi wkoll effetti legali fir-rigward tal-qrati nazzjonali, li ma humiex awtorizzati li jemendawha jew li jinvalidawha.

Il-Bord jikkontesta dan l-argument. Huwa jsostni li r-rikors għal annullament, bħala prinċipju, huwa miftuħ biss kontra miżura li permezz tagħha istituzzjoni, korp jew organu tal-Unjoni jistabbilixxu, fi tmiem proċedura amministrattiva, definittivament il-pożizzjoni tagħhom. Min-naħa l-oħra, ma jistgħux jiġu kklassifikati bħala “atti li jistgħu jiġu kkontestati” atti intermedji, li l-għan tagħhom huwa li jippreparaw deċiżjoni finali, sa fejn tali atti ma humiex intiżi li jipproduċu effetti legali vinkolanti awtonomi meta mqabbla mal-att tal-Unjoni li huwa għal dan l-iskop ippreparat, ikkonfermat jew eżegwit. Minbarra dan, skont il-Bord, att intermedju lanqas ma jistax ikun is-suġġett ta’ rikors jekk l-illegalità marbuta ma’ tali att tista’ tiġi invokata insostenn ta’ rikors ippreżentat kontra d-deċiżjoni finali li għaliha jikkostitwixxi att ta’ tfassil.

F’dan il-każ, skont din il-parti, id-deċiżjoni kontenzjuża tikkostitwixxi att intermedju, li jagħmel parti minn proċedura deċiżjonali indiviżibbli, immexxija mill-awtorità superviżorja Irlandiża u li twassal għal deċiżjoni finali, adottata minn din l-awtorità. F’dan il-kuntest, għalkemm l-evalwazzjonijiet tal-Bord huma vinkolanti, dawn madankollu ma jistgħux jiġu infurzati direttament kontra WhatsApp u, fir-rigward tagħha, ma għandhom ebda effett legali awtonomu fil-konfront tad-deċiżjoni finali. Għalhekk, il-fatt li d-deċiżjoni kontenzjuża tinkludi pożizzjoni definittiva tal-Bord fir-rigward ta’ ċerti aspetti li għandhom jiġu inklużi fid-deċiżjoni finali ma jfissirx li d-deċiżjoni kontenzjuża tagħti lok, fiha nnifisha, għal bidla distinta tas-sitwazzjoni legali ta’ WhatsApp. Fil-fatt, id-deċiżjoni kontenzjuża u d-deċiżjoni finali ttieħdu fil-kuntest ta’ proċedura amministrattiva unifikata, komposta minn stadji interdipendenti fuq livelli nazzjonali u Ewropew, li jirrigwardaw l-istess suġġett, u mhux wara żewġ proċeduri indipendenti li jikkonċernaw kwistjonijiet distinti.

F’dan ir-rigward, il-Bord jippreċiża li l-proċedura ta’ riżoluzzjoni ta’ tilwim għandha bħala għan li tiżgura l-koerenza tal-implimentazzjoni tal-GDPR mill-awtoritajiet nazzjonali. F’dan il-każ, id-deċiżjoni kontenzjuża ma toħloqx obbligi legali ġodda għal WhatsApp. L-obbligi ta’ din tal-aħħar huma ddefiniti mill-GDPR innifsu, u mhux mid-deċiżjoni kontenzjuża, u applikati mill-awtorità superviżorja Irlandiża, u mhux mill-Bord. Mill-bqija, dawn l-obbligi kienu applikabbli għal WhatsApp qabel ma ġie kkonstatat il-ksur inkwistjoni.

Fir-rigward tal-allegati effetti legali esterni tad-deċiżjoni kontenzjuża, il-Bord jafferma li l-interpretazzjonijiet tagħha għandhom effett vinkolanti biss bejn il-partijiet, jiġifieri bejn l-awtoritajiet superviżorji kkonċernati. Id-deċiżjoni kontenzjuża, minbarra l-fatt li ma għandhiex effett legali dirett fuq WhatsApp, tirrigwarda punti ta’ applikazzjoni limitati tal-GDPR, li huma intiżi li jiġu inklużi u żviluppati fid-deċiżjoni finali. Għalkemm l-interpretazzjonijiet tal-GDPR adottati mill-Bord jistgħu għalhekk ikollhom ċertu grad ta’ awtorità f’kawżi sussegwenti, li jirrigwardaw kwistjonijiet legali simili, madankollu dawn ma jorbtux lill-qrati nazzjonali, li għandhom, f’każ ta’ dubju, iressqu talba għal deċiżjoni preliminari quddiem il-Qorti tal-Ġustizzja.

Ir-Repubblika Federali tal-Ġermanja, li tintervjeni insostenn tat-talbiet tal-Bord, issostni li l-mekkaniżmu ta’ superviżjoni tal-koerenza previst mill-GDPR, inkluża l-proċedura ta’ riżoluzzjoni ta’ tilwim, huwa purament intern u għandu l-għan uniku li jwassal għal arbitraġġ, fil-każ ta’ opinjonijiet diverġenti bejn awtoritajiet superviżorji. B’mod partikolari, mit-tielet sentenza tal-Artikolu 65(2) tal-GDPR jirriżulta li miżura meħuda mill-Bord f’dan il-kuntest tipproduċi effett legalment vinkolanti biss fir-rigward tal-awtoritajiet superviżorji nazzjonali. Id-deċiżjoni finali biss tkun vinkolanti fuq il-kontrollur jew fuq il-proċessur ikkonċernat.

– Il-kunsiderazzjonijiet tal-Qorti tal-Ġustizzja

64	L-ewwel parti tal-ewwel aggravju tirrigwarda l-kwistjoni dwar jekk il-Qorti Ġenerali wettqitx żball ta’ liġi meta ddeċidiet, fil-punti 41 sa 49 tad-digriet appellat, li d-deċiżjoni kontenzjuża ma kinitx tikkostitwixxi att li jista’ jiġi kkontestat, skont l-ewwel paragrafu tal-Artikolu 263 TFUE.

65	Skont din id-dispożizzjoni, il-Qorti tal-Ġustizzja tistħarreġ, b’mod partikolari, “il-legalità ta’ l-atti ta’ korpi jew organi ta’ l-Unjoni maħsuba sabiex jipproduċu effetti legali fil-konfront ta’ partijiet terzi”.

Skont ġurisprudenza stabbilita, ir-rikors għal annullament previst fl-Artikolu 263 TFUE huwa disponibbli fir-rigward tad-dispożizzjonijiet kollha meħuda mill-istituzzjonijiet, mill-korpi jew mill-organi tal-Unjoni, tkun xi tkun il-forma, li jkunu intiżi li jipproduċu effetti leali vinkolanti (ara, f’dan is-sens, is-sentenza tat‑12 ta’ Lulju 2022, Nord Stream 2 vs Il‑Parlament u Il‑Kunsill, C‑348/20 P, EU:C:2022:548, punt 62 kif ukoll il-ġurisprudenza ċċitata).

Sabiex jiġi ddeterminat jekk att jipproduċix tali effetti u, għaldaqstant, jista’ jkun is-suġġett ta’ rikors għal annullament skont l-Artikolu 263TFUE, hemm lok li jsir riferiment għas-sustanza ta’ dan l-att u li jiġu evalwati dawn l-effetti fir-rigward ta’ kriterji oġġettivi, bħall-kontenut tal-imsemmi att, billi jittieħed inkunsiderazzjoni, jekk ikun il-każ, il-kuntest tal-adozzjoni ta’ dan tal-aħħar kif ukoll is-setgħat tal-istituzzjoni, tal-korp jew tal-organu li jkunu l-awturi tiegħu (ara, f’dan is-sens, is-sentenza tat‑12 ta’ Lulju 2022, Nord Stream 2 vs Il‑Parlament u Il‑Kunsill, C‑348/20 P, EU:C:2022:548, punt 63 kif ukoll il-ġurisprudenza ċċitata).

F’dan ir-rigward, hekk kif irrilevat l-Avukata Ġenerali fil-punti 79 u 121 tal-konklużjonijiet tagħha, fid-dawl tal-ewwel paragrafu tal-Artikolu 263 TFUE, it-terz li fir-rigward tiegħu l-att inkwistjoni jipproduċi effetti legali ma għandux neċessarjament ikun ir-rikorrent. Fil-fatt, kull persuna fiżika jew ġuridika distinta mill-awtur ta’ dan l-att għandha l-kwalità ta’ terz. Għaldaqstant, sabiex jiġi stabbilit jekk l-imsemmi att jipproduċix tali effetti, ma huwiex neċessarju li jiġi vverifikat jekk dawn tal-aħħar humiex ta’ natura li jaffettwaw is-sitwazzjoni legali tar-rikorrent, peress li din il-verifika hija rilevanti biss fil-kuntest tal-eżami tal-osservanza tal-kundizzjonijiet stabbiliti fir-raba’ paragrafu tal-Artikolu 263 TFUE, li jipprovdu li rikors għal annullament kontra att huwa disponibbli għal kull persuna direttament u individwalment ikkonċernata minnu, meta din l-aħħar dispożizzjoni tkun applikabbli (ara, f’dan is-sens, is-sentenza tat‑13 ta’ Frar 2025, Swissgrid vs Il‑Kummissjoni, C‑121/23 P, EU:C:2025:83, punt 46). In-natura kontestabbli ta’ att għandha għalhekk tiġi evalwata oġġettivament, skont is-sustanza tiegħu, u mhux skont ir-rikorrent.

Madankollu, għandu jitfakkar li, fil-preżenza ta’ atti li t-tfassil tagħhom jitwettaq f’diversi stadji proċedurali, tikkostitwixxi, bħala prinċipju, att li jista’ jiġi kkontestat biss il-miżura li tistabbilixxi b’mod definittiv il-pożizzjoni tal-istituzzjoni, tal-korp jew tal-organu tal-Unjoni kompetenti, bl-esklużjoni tal-miżuri intermedji li l-għan tagħhom huwa li jippreparaw din il-miżura definittiva u li ma jipproduċux effetti legali awtonomi fir-rigward ta’ terzi. Jikkostitwixxu, b’mod partikolari, tali miżuri intermedji dawk li jesprimu opinjoni provviżorja ta’ din l-istituzzjoni, ta’ dan il-korp jew ta’ dan l-organu tal-Unjoni (ara, f’dan is-sens, is-sentenzi tal‑11 ta’ Novembru 1981, IBM vs Il‑Kummissjoni, 60/81, EU:C:1981:264, punt 10; tat‑22 ta’ Settembru 2022, IMG vs Il‑Kummissjoni, C‑619/20 P u C‑620/20 P, EU:C:2022:722, punt 103, kif ukoll tat‑18 ta’ Ġunju 2024, Il‑Kummissjoni vs SRB, C‑551/22 P, EU:C:2024:520, punt 92).

Skont il-ġurisprudenza, miżura intermedja, b’mod partikolari, ma tkunx tista’ tkun is-suġġett ta’ rikors għal annullament jekk jiġi stabbilit li l-illegalità li hija vvizzjata biha din il-miżura tista’ tiġi invokata insostenn ta’ rikors ippreżentat kontra d-deċiżjoni finali li għaliha tikkostitwixxi att ta’ tfassil. F’tali ċirkustanzi, ir-rikors ippreżentat kontra d-deċiżjoni li ttemm il-proċedura jiżgura protezzjoni ġudizzjarja suffiċjenti (ara, f’dan is-sens, is-sentenzi tal‑11 ta’ Novembru 1981, IBM vs Il‑Kummissjoni, 60/81, EU:C:1981:264, punt 12, kif ukoll tal‑15 ta’ Marzu 2017, Stichting Woonlinie et vs Il‑Kummissjoni, C‑414/15 P, EU:C:2017:215, punt 46 kif ukoll il-ġurisprudenza ċċitata).

F’dan il-każ, fir-rigward tal-kontenut tal-att ikkonċernat u tas-setgħat tal-korp inkwistjoni, mill-formulazzjoni stess tal-Artikolu 65(1)(a) u (2) tal-GDPR u mill-Artikolu 68(1) tal-GDPR jirriżulta li d-deċiżjoni kontenzjuża hija att li joriġina minn korp tal-Unjoni u li huwa ta’ natura vinkolanti fir-rigward ta’ terzi. Fil-fatt, dan l-att jorbot lill-awtorità superviżorja ewlenija u lill-awtoritajiet superviżorji kkonċernati kollha, li huma d-destinatarji tiegħu u li huma terzi meta mqabbla mal-Bord. Konformement mal-Artikolu 65(6) tal-GDPR, l-awtorità superviżorja ewlenija għandha tadotta d-deċiżjoni finali tagħha abbażi tad-deċiżjoni tal-Bord. Din id-deċiżjoni finali għandha tirreferi wkoll għad-deċiżjoni tal-Bord, li għandha tiġi mehmuża magħha.

Barra minn hekk, fir-rigward tal-kuntest tal-adozzjoni tad-deċiżjoni kontenzjuża, huwa paċifiku li din ġiet imfassla fil-kuntest ta’ proċess li jinvolvi diversi stadji proċedurali, fis-sens tal-ġurisprudenza msemmija fil-punt 69 ta’ din is-sentenza, sa fejn din tippreċedi l-adozzjoni ta’ att ieħor mill-awtorità superviżorja Irlandiża. Madankollu, din id-deċiżjoni tistabbilixxi definittivament, fis-sens ta’ din il-ġurisprudenza, il-pożizzjoni tal-korp tal-Unjoni kompetenti, jiġifieri l-Bord, u teżawrixxi l-kwistjonijiet kollha li dan il-korp huwa mitlub jiddeċiedi. Fil-fatt, għandu jiġi kkonstatat li tali deċiżjoni, meħuda abbażi tal-Artikolu 65(1)(a) tal-GDPR, tirrigwarda l-kwistjonijiet kollha li jkunu s-suġġett ta’ oġġezzjoni rilevanti u motivata min-naħa tal-awtoritajiet superviżorji kkonċernati, fis-sens tal-Artikolu 60(4) tal-GDPR, b’mod partikolari dik dwar jekk kienx hemm ksur tal-GDPR.

Mill-kunsiderazzjonijiet preċedenti jirriżulta li, minkejja li ma tikkostitwixxix l-aħħar stadju tal-proċedura ta’ stħarriġ tal-koerenza prevista fl-Artikoli 58, 60 u 65 tal-GDPR, id-deċiżjoni kontenzjuża ma tistax tiġi kklassifikata bħala miżura intermedja li ma tistax tiġi kkontestata, fis-sens tal-ġurisprudenza ċċitata fil-punt 69 ta’ din is-sentenza, kuntrarjament għal dak li l-Qorti Ġenerali ddeċidiet fil-punt 42 tad-digriet appellat. Konsegwentement, il-ġurisprudenza mfakkra fil-punt 70 ta’ din is-sentenza hija irrilevanti f’dan il-każ.

74	F’dan il-kuntest, peress li d-deċiżjoni tal-Bord tipproduċi effetti legali vinkolanti fir-rigward ta’ terzi, huwa irrilevanti l-fatt li l-portata tad-deċiżjoni finali tal-awtorità superviżorja nazzjonali tinkludi kwistjonijiet li ma jaqgħux taħt ir-riferiment jew il-kompetenza tal-Bord.

Għall-istess raġunijiet, il-fatt, irrilevat mill-Qorti Ġenerali fil-punt 42 tad-digriet appellat, li, kuntrarjament għad-deċiżjoni finali tal-awtorità superviżorja Irlandiża, id-deċiżjoni kontenzjuża ma tistax tiġi infurzata kontra entitajiet li ma humiex id-destinatarji tagħha huwa wkoll irrilevanti għall-klassifikazzjoni ta’ din id-deċiżjoni bħala att li jista’ jiġi kkontestat, skont l-ewwel paragrafu tal-Artikolu 263 TFUE. Tali ċirkustanza, li tirrigwarda l-pożizzjoni legali tal-appellanti fir-rigward tad-deċiżjoni kontenzjuża, la hija relatata mas-sustanza tad-deċiżjoni kontenzjuża u lanqas mal-effetti legali vinkolanti tagħha fir-rigward ta’ kriterji oġġettivi.

Minn dawn il-kunsiderazzjonijiet kollha jirriżulta li d-deċiżjoni kontenzjuża tikkostitwixxi att ta’ korp tal-Unjoni intiż li jipproduċi effetti legali fir-rigward ta’ terzi u li jesprimi l-pożizzjoni definittiva ta’ dan il-korp fuq il-punti li għandhom jiġu deċiżi minnu, kif il-Qorti Ġenerali, barra minn hekk, ikkonstatat hija stess fil-punti 36, 37 u 49 tad-digriet appellat. Għalhekk, din id-deċiżjoni tikkostitwixxi, fid-dawl tal-formulazzjoni tal-ewwel paragrafu tal-Artikolu 263 TFUE u tal-ġurisprudenza ċċitata fil-punti 66 sa 69 ta’ din is-sentenza, att li jista’ jiġi kkontestat, mingħajr ma hemm lok li jiġi evalwat, f’dan l-istadju, jekk l-imsemmija deċiżjoni kellhiex bħala konsegwenza li tbiddel b’mod sinjifikattiv is-sitwazzjoni legali ta’ WhatsApp.

F’dan ir-rigward, għandu jiġi kkonstatat li l-Qorti Ġenerali wettqet żball ta’ liġi, minn naħa, fil-punt 38 tad-digriet appellat, billi wettqet konfużjoni bejn ir-rekwiżiti li jirriżultaw, rispettivament, mill-ewwel u mir-raba’ paragrafu tal-Artikolu 263 TFUE u, min-naħa l-oħra, fil-punt 42 tad-digriet appellat, billi fformulat kriterju żbaljat, dwar l-assenza ta’ infurzabbiltà diretta tal-att inkwistjoni fir-rigward ta’ WhatsApp, u billi kklassifikat id-deċiżjoni kontenzjuża bħala miżura intermedja nieqsa minn effetti legali awtonomi.

78	Għalhekk, l-ewwel parti tal-ewwel aggravju għandha tintlaqa’.

Fuq it-tieni parti tal-ewwel aggravju

– L-argumenti tal-partijiet

79	WhatsApp issostni li l-Qorti Ġenerali wettqet żball ta’ liġi meta ddeċidiet li hija ma kinitx direttament ikkonċernata mid-deċiżjoni kontenzjuża u li r-rikors tagħha kien, konsegwentement, inammissibbli.

Minn naħa, fir-rigward tal-kundizzjoni li l-att għandu jipproduċi direttament effetti fuq is-sitwazzjoni legali tar-rikorrent, il-Qorti Ġenerali kkonkludiet b’mod żbaljat, fil-punt 52 tad-digriet appellat, li WhatsApp ma kinitx direttament ikkonċernata mid-deċiżjoni kontenzjuża, minħabba li din id-deċiżjoni ma setgħetx tiġi infurzata kontriha u ma kinitx tikkostitwixxi l-aħħar stadju tal-proċedura prevista fl-Artikoli 58, 60 u 65 tal-GDPR.

Min-naħa l-oħra, fir-rigward tal-kundizzjoni li att ma għandu jħalli ebda setgħa ta’ evalwazzjoni lid-destinatarji li jkunu responsabbli mill-implimentazzjoni tiegħu, WhatsApp tqis li l-Qorti Ġenerali wettqet żball ta’ liġi meta ddeċidiet, fil-punti 53 sa 60 tad-digriet appellat, li d-deċiżjoni kontenzjuża kienet ħalliet lill-awtorità superviżorja Irlandiża marġni ta’ evalwazzjoni fir-rigward tal-kontenut tad-deċiżjoni finali tagħha, filwaqt li ammettiet li d-deċiżjoni kontenzjuża kienet torbot lil din l-awtorità superviżorja fir-rigward tal-aspetti li hija kienet titratta.

Fir-rigward tal-punti 54 sa 56 tad-digriet appellat, li fihom il-Qorti Ġenerali qieset li l-kontenut tad-deċiżjoni kontenzjuża kien parzjali meta mqabbel mad-deċiżjoni finali, WhatsApp issostni li kellha tiġi eżaminata l-assenza ta’ setgħa ta’ evalwazzjoni billi wieħed jiffoka fuq is-sustanza stess tad-deċiżjoni kontenzjuża, mingħajr ma jsir riferiment għall-kontenut addizzjonali tad-deċiżjoni finali. Fil-fatt, il-Bord kien analizza biss ċerti aspetti ta’ każ partikolari, jiġifieri l-kwistjonijiet li kienu s-suġġett ta’ oġġezzjonijiet rilevanti u motivati min-naħa tal-awtoritajiet superviżorji kkonċernati. Id-deċiżjoni kontenzjuża ma tistax għalhekk tirrigwarda l-kawża kollha u ma tistax tinkludi aspetti li ma jaqgħux taħt ir-riferiment jew il-kompetenza tal-Bord.

Barra minn hekk, il-Qorti Ġenerali wettqet żball ta’ liġi meta ddeċidiet, fil-punti 57 sa 59 tad-digriet appellat, li l-awtorità superviżorja Irlandiża kienet eżerċitat is-setgħa ta’ evalwazzjoni tagħha sabiex tislet konklużjonijiet mid-deċiżjoni kontenzjuża. Fl-ewwel lok, fir-rigward tal-klassifikazzjoni tad-data li kienet suġġetta għal kompressjoni b’telf ta’ data personali, WhatsApp issostni li din il-klassifikazzjoni mwettqa mill-Bord toħloq obbligi addizzjonali għaliha skont il-GDPR, u dan indipendentement mill-fatt li l-awtorità superviżorja ewlenija eżerċitat setgħa ta’ evalwazzjoni fil-mertu, li tmur lil hinn minn tali klassifikazzjoni, meta vverifikat jekk WhatsApp kinitx aġixxiet bħala kontrollur jew bħala proċessur. Fit-tieni lok, fir-rigward taż-żieda tal-multi li għandhom jiġu imposti fuq WhatsApp, din id-deċiżjoni ma ħallietx marġni ta’ evalwazzjoni lill-awtorità superviżorja Irlandiża, peress li din tal-aħħar hija obbligata timponi multa ogħla minn dik prevista inizjalment. Il-fatt li din l-awtorità żżomm setgħa ta’ evalwazzjoni fir-rigward tad-determinazzjoni tal-ammont preċiż tal-multa huwa irrilevanti, peress li dan il-kompitu jaqa’ taħt il-kompetenza tal-imsemmija awtorità.

Il-Bord jikkontesta dan l-argument u jsostni li għandhom jiġu ssodisfatti żewġ kriterji kumulattivi sabiex persuna fiżika jew ġuridika, li ma tkunx destinatarja ta’ att individwali, tkun direttament ikkonċernata minn att tal-Unjoni. Minn naħa, dan l-att għandu jkollu effett dirett fuq is-sitwazzjoni legali ta’ din il-persuna u, min-naħa l-oħra, ma għandu jħalli ebda setgħa ta’ evalwazzjoni lid-destinatarju inkarigat mill-implimentazzjoni tiegħu, peress li din tal-aħħar hija purament awtomatika, mingħajr applikazzjoni ta’ regoli intermedji oħra.

Fir-rigward tal-ewwel kriterju, din il-parti tosserva li l-effett vinkolanti ta’ att għandu jitqies skont l-effett tiegħu fuq is-sitwazzjoni stess tar-rikorrent. F’dan il-każ, id-deċiżjoni kontenzjuża ma tistax tiġi infurzata kontra WhatsApp b’mod li jippermettilha, mingħajr stadji proċedurali oħra, li tikkostitwixxi sors ta’ obbligi. Din id-deċiżjoni ma tikkostitwixxix l-aħħar stadju tal-proċedura msemmija fl-Artikoli 58, 60 u 65 tal-GDPR u, b’mod partikolari, ma ddeterminatx l-ammont finali tal-multa, u lanqas ma ddefinixxiet ġabra ġdida ta’ regoli għall-attivitajiet ta’ WhatsApp. Għalhekk, hija biss id-deċiżjoni finali li tikkonċerna direttament lil WhatsApp, peress li l-awtorità superviżorja Irlandiża hija, skont l-Artikolu 56(6) tal-GDPR, l-uniku interlokutur ta’ din l-impriża fil-kwalità tagħha ta’ kontrollur.

Fir-rigward tat-tieni kriterju, il-Bord isostni li l-awtorità superviżorja Irlandiża kienet żammet setgħa ta’ evalwazzjoni reali fir-rigward tal-konklużjonijiet li għandhom jiġu stabbiliti fid-deċiżjoni finali tagħha, li għandha portata usa’ mid-deċiżjoni kontenzjuża u li tinkludi konstatazzjonijiet li dwarhom il-Bord ma ġiex mistieden jagħti deċiżjoni, peress li r-riferiment lil dan tal-aħħar huwa limitat għall-kwistjonijiet li kienu s-suġġett ta’ oġġezzjonijiet rilevanti u motivati. Fi kwalunkwe każ, teżisti interdipendenza bejn id-deċiżjoni kontenzjuża u d-deċiżjoni finali. Ma huwiex possibbli li l-partijiet ta’ din l-aħħar deċiżjoni li jikkorrispondu għall-istruzzjonijiet tal-Bord jiġu sseparati, u dan jikkorrobora l-fatt li dan tal-aħħar ħalla ċertu marġni ta’ evalwazzjoni lill-awtorità superviżorja Irlandiża dwar diversi aspetti.

87	F’tali ċirkustanzi, qorti nazzjonali tkun f’pożizzjoni aħjar sabiex teżamina mill-ġdid din id-deċiżjoni finali, billi tagħmel, jekk ikun il-każ, domandi preliminari lill-Qorti tal-Ġustizzja dwar id-dispożizzjonijiet tal-GDPR applikati kemm ex officio kif ukoll abbażi tal-istruzzjonijiet tal-Bord.

Skont il-Bord, l-awtorità superviżorja Irlandiża kienet żammet ukoll ċertu marġni ta’ evalwazzjoni dwar il-kwistjonijiet indirizzati fid-deċiżjoni kontenzjuża, b’mod partikolari dawk relatati, minn naħa, mal-konsegwenzi legali li għandhom jinsiltu mill-klassifikazzjoni tad-data suġġetta għal kompressjoni b’telf ta’ data, inkwantu data personali, u, min-naħa l-oħra, mal-iffissar tal-ammont tal-multi li għandhom jiġu imposti fuq WhatsApp. Fir-rigward ta’ dan l-ewwel aspett, din l-awtorità kienet żammet setgħa diskrezzjonali u kienet wettqet eżami awtonomu, b’mod partikolari fir-rigward tal-osservanza tal-Artikolu 14 tal-GDPR. F’dan ir-rigward, ikun żbaljat li jiġi sostnut li l-Bord kien wettaq evalwazzjoni “kompleta”, billi l-kompetenza ta’ dan tal-aħħar hija limitata għall-kontenut tal-oġġezzjonijiet rilevanti u motivati, u ma testendix għall-proċedura kollha ta’ ksur. Fir-rigward tat-tieni aspett, jiġifieri l-iffissar tal-multi, għalkemm id-deċiżjoni kontenzjuża tinkludi istruzzjonijiet ġenerali dwar il-multi, din ma tittrattax l-implimentazzjoni ta’ dawn l-istruzzjonijiet u lanqas il-kalkolu ta’ dawn il-multi.

Ir-Repubblika Federali tal-Ġermanja tqis li, peress li l-awtorità ewlenija kienet l-unika interlokutriċi tagħha, WhatsApp ma tistax titqies li hija direttament ikkonċernata mid-deċiżjoni kontenzjuża. Tali deċiżjoni ma hijiex intiża li tiġi implimentata b’mod awtonomu, iżda għandha dejjem tiġi segwita minn deċiżjoni finali ta’ din l-awtorità. Fil-fatt, il-leġiżlatur tal-Unjoni għamel l-għażla deliberata ta’ superviżjoni ddeċentralizzata tal-GDPR, mingħajr ma għażel il-ħolqien ta’ awtorità Ewropea u ċentrali għall-protezzjoni tad-data.

– Il-kunsiderazzjonijiet tal-Qorti tal-Ġustizzja

It-tieni parti tal-ewwel aggravju tirrigwarda l-punt dwar jekk il-Qorti Ġenerali wettqitx żball ta’ liġi meta qieset, fil-punti 50 sa 60 tad-digriet appellat, li d-deċiżjoni kontenzjuża ma kinitx tikkonċerna direttament lil WhatsApp, fis-sens tar-raba’ paragrafu tal-Artikolu 263 TFUE, u li r-rikors ippreżentat minn din tal-aħħar kien, konsegwentement, inammissibbli.

Skont din id-dispożizzjoni, kwalunkwe persuna fiżika jew ġuridika tista’, taħt il-kundizzjonijiet previsti fl-ewwel u t-tieni paragrafu tal-Artikolu 263 TFUE, tippreżenta rikors kontra l-atti indirizzati lilha jew li jikkonċernawha direttament u individwalment, kif ukoll kontra l-atti regolatorji li jikkonċernawha direttament u li ma jinvolvux miżuri ta’ implimentazzjoni.

Għalhekk, l-ammissibbiltà ta’ rikors ippreżentat minn persuna fiżika jew ġuridika kontra att li tiegħu hija ma tkunx destinatarja, skont ir-raba’ paragrafu tal-Artikolu 263 TFUE, hija b’mod partikolari suġġetta għall-kundizzjoni li dan l-att jikkonċernaha direttament u individwalment (sentenza tat‑3 ta’ Diċembru 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punt 64 u l-ġurisprudenza ċċitata).

F’dan il-każ, kif ikkonstatat il-Qorti Ġenerali fil-punt 40 tad-digriet appellat, huwa stabbilit li WhatsApp hija individwalment ikkonċernata mid-deċiżjoni kontenzjuża, peress li din tikkonċerna ċerti aspetti tal-abbozz ta’ deċiżjoni finali li jirrigwardaw speċifikament is-sitwazzjoni ta’ din l-impriża. Madankollu, fil-punti 52 u 53 ta’ dan id-digriet, il-Qorti Ġenerali qieset li WhatsApp ma kinitx direttament ikkonċernata mid-deċiżjoni kontenzjuża, minħabba, minn naħa, li din ma kellhiex natura infurzabbli fil-konfront ta’ WhatsApp li kienet tippermetti, mingħajr stadju addizzjonali fil-proċedura, li tkun sors ta’ obbligi għaliha, jew, jekk ikun il-każ, ta’ drittijiet għal individwi oħra, u, min-naħa l-oħra, li, anki jekk id-deċiżjoni kontenzjuża kienet torbot lill-awtorità superviżorja Irlandiża fir-rigward tal-aspetti li hija kienet titratta, din ħallitilha marġni ta’ evalwazzjoni fir-rigward tal-kontenut tad-deċiżjoni finali.

F’dan ir-rigward, għandu jitfakkar li, skont ġurisprudenza stabbilita, il-kundizzjoni li persuna fiżika jew ġuridika għandha tkun direttament ikkonċernata mid-deċiżjoni li tkun is-suġġett tar-rikors teħtieġ li jiġu ssodisfatti kumulattivament żewġ kriterji, jiġifieri li l-miżura kkontestata, minn naħa, tipproduċi direttament effetti fuq is-sitwazzjoni legali ta’ din il-persuna u, min-naħa l-oħra, li ma tħalli ebda setgħa ta’ evalwazzjoni lid-destinatarji tagħha li huma inkarigati jimplimentawha, peress li hija ta’ natura purament awtomatika u tirriżulta biss mil-leġiżlazzjoni tal-Unjoni, mingħajr applikazzjoni ta’ regoli intermedji oħrajn (sentenza tal‑4 ta’ Ottubru 2024, Il‑Kummissjoni u Il‑Kunsill vs Front Polisario, C‑779/21 P u C‑799/21 P, EU:C:2024:835, punt 87 kif ukoll il-ġurisprudenza ċċitata).

Qabel ma tiġi eżaminata l-osservanza ta’ dawn iż-żewġ kundizzjonijiet f’dan il-każ, għandu jiġi ppreċiżat li l-assenza ta’ infurzabbiltà diretta tal-att ikkontestat fir-rigward tar-rikorrent, l-istess bħall-fatt li dan l-att ma jikkostitwixxix l-aħħar stadju ta’ proċedura komposta, ma jipprekludux li dan ir-rikorrent jista’ jkun direttament ikkonċernat mill-imsemmi att meta d-destinatarju tal-istess att ma jkollu ebda setgħa ta’ evalwazzjoni (ara, f’dan is-sens, is-sentenzi tal‑4 ta’ Ġunju 1992, Infortec vs Il‑Kummissjoni, C‑157/90, EU:C:1992:243, punti 13 u 17; tat‑3 ta’ Diċembru 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punti 65 u 67, kif ukoll tat‑12 ta’ Lulju 2022, Nord Stream 2 vs Il‑Parlament u Il‑Kunsill, C‑348/20 P, EU:C:2022:548, punt 74).

Konsegwentement, kif l-Avukata Ġenerali osservat fil-punti 139 u 144 tal-konklużjonijiet tagħha, il-Qorti Ġenerali wettqet żball ta’ liġi meta qieset, fil-punt 52 tad-digriet appellat, li WhatsApp ma tistax tkun direttament ikkonċernata mid-deċiżjoni kontenzjuża minħabba li din tal-aħħar ma għandhiex natura infurzabbli fil-konfront ta’ WhatsApp u ma tikkostitwixxix l-aħħar stadju tal-proċedura prevista fl-Artikoli 58, 60 u 65 tal-GDPR.

Fir-rigward tal-osservanza tal-ewwel waħda mill-kundizzjonijiet imfakkra fil-punt 94 ta’ din is-sentenza, għandu jiġi evalwat jekk l-att ikkontestat huwiex is-sors ta’ bidla sostanzjali fis-sitwazzjoni legali tal-persuna fiżika jew ġuridika inkwistjoni, billi wieħed jiffoka fuq is-sustanza ta’ dan l-att u billi jiġu evalwati l-effetti tiegħu fid-dawl ta’ kriterji oġġettivi, bħall-kontenut tal-imsemmi att, billi jittieħdu inkunsiderazzjoni, jekk ikun il-każ, il-kuntest tal-adozzjoni ta’ dan tal-aħħar kif ukoll is-setgħat tal-istituzzjoni, tal-korp jew tal-organu li jkunu l-awturi tiegħu (ara, f’dan is-sens, is-sentenzi tal‑11 ta’ Novembru 1981, IBM vs Il‑Kummissjoni, 60/81, EU:C:1981:264, punt 9, u tat‑18 ta’ Ġunju 2024, Il‑Kummissjoni vs SRB, C‑551/22 P, EU:C:2024:520, punt 65 kif ukoll il-ġurisprudenza ċċitata).

F’dan il-każ, hekk kif ġie indikat fil-punt 30 ta’ din is-sentenza, il-Bord, fid-deċiżjoni kontenzjuża, iddeċieda b’mod partikolari li WhatsApp kienet kisret l-obbligi ta’ informazzjoni stabbiliti fl-Artikolu 13(1)(d) tal-GDPR u wettqet ksur tal-Artikolu 13(2)(e) tiegħu. Konsegwentement, din id-deċiżjoni tbiddel is-sitwazzjoni legali ta’ WhatsApp, peress li din kienet meħtieġa, b’mod partikolari, minħabba l-intervent tal-Bord, li tbiddel ir-relazzjoni kuntrattwali tagħha mal-utenti tas-servizz ta’ messaġġi pprovdut minn WhatsApp. Minn dan isegwi li teżisti rabta diretta bejn l-imsemmija deċiżjoni u l-effetti tagħha fuq is-sitwazzjoni ta’ WhatsApp, fis-sens tal-ġurisprudenza ċċitata fil-punti 94 u 95 ta’ din is-sentenza.

Kuntrarjament għal dak li jsostni l-Bord, il-fatt li l-awtorità superviżorja Irlandiża hija, skont l-Artikolu 56(6) tal-GDPR, l-uniku interlokutur ta’ WhatsApp, bħala kontrollur, ma għandux effett fuq din il-konstatazzjoni. Fil-fatt, din id-dispożizzjoni hija intiża biss sabiex torganizza r-relazzjonijiet bejn kontrollur jew proċessur, awtorità superviżorja ewlenija u l-awtoritajiet superviżorji kkonċernati, b’tali mod li ma tirrigwardax ir-rimedji ġudizzjarji miftuħa fir-rigward tad-deċiżjonijiet tal-Bord.

100

Fir-rigward tal-osservanza tat-tieni waħda mill-kundizzjonijiet imfakkra fil-punt 94 ta’ din is-sentenza, sabiex jiġi evalwat jekk att iħallix lid-destinatarji tiegħu marġni ta’ evalwazzjoni fid-dawl tal-implimentazzjoni tiegħu, hemm lok li jiġu eżaminati l-effetti legali prodotti mid-dispożizzjonijiet ta’ dan l-att, li huma msemmija fir-rikors, fuq is-sitwazzjoni tal-persuna li tinvoka d-dritt għal azzjoni legali skont it-tieni sentenza tar-raba’ paragrafu tal-Artikolu 263 TFUE (ara, f’dan is-sens, is-sentenza tat‑12 ta’ Lulju 2022, Nord Stream 2 vs Il‑Parlament u Il‑Kunsill (C‑348/20 P, EU:C:2022:548, punt 98 u l-ġurisprudenza ċċitata).

101

L-eżistenza ta’ tali marġni ta’ evalwazzjoni għandha b’mod partikolari tiġi eskluża jekk jiġi stabbilit li d-dispożizzjonijiet tal-att li huma s-suġġett tar-rikors kellhom bħala konsegwenza diretta li jissuġġettaw lil din il-persuna għal obbligi li r-riżultat tagħhom ma setax jiġi mibdul mill-entità inkarigata li sussegwentement timplimenta dan l-att (ara, f’dan is-sens, is-sentenza tat‑12 ta’ Lulju 2022, Nord Stream 2 vs Il‑Parlament u Il‑Kunsill (C‑348/20 P, EU:C:2022:548, punt 114).

102

F’dan il-każ, hekk kif jirriżulta mill-punti 71 u 72 ta’ din is-sentenza, għandu jitfakkar li d-deċiżjoni kontenzjuża torbot lill-awtorità superviżorja ewlenija u lill-awtoritajiet superviżorji kkonċernati. Dawn ma jistgħux jitbiegħdu mill-pożizzjoni adottata mill-Bord f’din id-deċiżjoni u mfakkra fil-punt 30 ta’ din is-sentenza. Fil-fatt, l-imsemmija deċiżjoni tiddeċiedi l-kwistjonijiet ta’ liġi li huma s-suġġett tal-preżentazzjoni tal-każ quddiemu u torbot b’mod inkundizzjonat lil dawn l-awtoritajiet, fir-rigward b’mod partikolari tal-konstatazzjoni ta’ ksur ta’ ċerti dispożizzjonijiet tal-GDPR, tal-klassifikazzjoni tad-data suġġetta għal kompressjoni b’telf ta’ data bħala data personali kif ukoll tal-obbligu li jiżdied l-ammont tal-multi previsti. L-imsemmija awtoritajiet ma għandhomx il-possibbiltà li jbiddlu r-riżultat tal-evalwazzjonijiet magħmula, fir-rigward ta’ dawn il-kwistjonijiet, mill-Bord, fis-sens tal-ġurisprudenza ċċitata fil-punt preċedenti ta’ din is-sentenza.

103

F’dan ir-rigward, skont l-Artikolu 70(1)(a) tal-GDPR, il-Bord għandu l-kompitu li jiżgura l-applikazzjoni konsistenti tal-GDPR, billi jissorvelja u jiggarantixxi, hekk kif jirriżulta mill-premessa 10 tiegħu, applikazzjoni konsistenti u omoġenja tar-regoli ta’ protezzjoni tal-libertajiet u tad-drittijiet fundamentali tal-persuni fiżiċi fir-rigward tal-ipproċessar tad-data personali tagħhom fl-Unjoni kollha, fil-każijiet previsti, b’mod partikolari, fl-Artikolu 65 tal-GDPR, bla ħsara għall-kompiti tal-awtoritajiet superviżorji nazzjonali.

104

F’dan il-kuntest, ftit jimporta li l-portata tad-deċiżjoni finali testendi għal kwistjonijiet li ma jaqgħux taħt ir-riferiment lill-Bord, jiġifieri aspetti li ma kinux is-suġġett ta’ oġġezzjonijiet rilevanti u motivati, fis-sens tal-Artikolu 65(1)(a) tal-GDPR, jew għal kwistjonijiet li ma jaqgħux taħt il-kompetenza ta’ dan il-korp, bħal, b’mod partikolari, l-iffissar tal-ammont preċiż tal-multa li għandha tiġi imposta fuq il-kontrollur jew fuq proċessur, li jaqa’ fuq l-awtorità superviżorja adita skont l-Artikolu 58(2)(i) kif ukoll skont l-Artikolu 83 tal-GDPR.

105

Barra minn hekk, għalkemm ċertament teżisti rabta ta’ interdipendenza bejn id-deċiżjoni kontenzjuża u d-deċiżjoni finali, xorta jibqa’ l-fatt li dawn jikkostitwixxu atti separati u li l-portata tad-deċiżjoni kontenzjuża hija ferm limitata, hekk kif jirriżulta mil-elenkar riprodott fil-punt 30 ta’ din is-sentenza. F’dawn iċ-ċirkustanzi, din ir-rabta ta’ interdipendenza ma hijiex ta’ natura li tostakola l-konstatazzjoni li WhatsApp hija direttament ikkonċernata mid-deċiżjoni kontenzjuża.

106

B’mod partikolari, għalkemm il-preżentata simultanja ta’ rikors għal annullament quddiem il-qorti tal-Unjoni, abbażi tal-Artikolu 263 TFUE, fir-rigward tad-deċiżjoni vinkolanti tal-Bord, u quddiem il-qorti nazzjonali, skont l-Artikolu 78 tal-GDPR, fir-rigward tad-deċiżjoni finali adottata, abbażi ta’ din id-deċiżjoni vinkolanti, mill-awtorità superviżorja nazzjonali, tagħti lok, ċertament, għal żewġ proċeduri paralleli, din is-sitwazzjoni ma għandhiex bħala konsegwenza li l-effetti tad-deċiżjoni tal-Bord għandhom jitqiesu bħala indiretti, f’dan il-każ, fir-rigward ta’ WhatsApp.

107

Fil-fatt, minn naħa, skont il-ġurisprudenza tal-Qorti tal-Ġustizzja, meta s-soluzzjoni tat-tilwima pendenti quddiem il-qorti nazzjonali tiddependi fuq il-validità tad-deċiżjoni ta’ korp tal-Unjoni, mill-obbligu ta’ kooperazzjoni leali jirriżulta li l-qorti nazzjonali għandha, sabiex tevita li tieħu deċiżjoni li tmur kontra dik ta’ dan l-organu, tissospendi l-proċeduri sakemm il-qrati tal-Unjoni jagħtu deċiżjoni definittiva dwar ir-rikors għal annullament, dment li ma tikkunsidrax li, fiċ-ċirkustanzi tal-każ, ikun iġġustifikat li tagħmel domanda preliminari lill-Qorti tal-Ġustizzja dwar il-validità tad-deċiżjoni tal-imsemmi organu (ara, f’dan is-sens, is-sentenzi tal‑14 ta’ Diċembru 2000, Masterfoods u HB, C‑344/98, EU:C:2000:689, punt 57, kif ukoll tal‑25 ta’ Lulju 2018, Georgsmarienhütte et, C‑135/16, EU:C:2018:582, punt 24).

108

Min-naħa l-oħra, hemm lok ukoll li jiġi indikat li l-prinċipju ta’ amministrazzjoni tajba tal-ġustizzja jista’ jiġġustifika, fil-każ ta’ proċeduri mressqa simultanjament quddiem il-Qorti Ġenerali, fil-kuntest ta’ rikors għal annullament, u quddiem il-Qorti tal-Ġustizzja, fil-kuntest ta’ rinviju għal deċiżjoni preliminari, li l-Qorti tal-Ġustizzja tagħmel użu, jekk tqis li jkun xieraq, mit-tielet paragrafu tal-Artikolu 54 tal-Istatut tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea sabiex tissospendi l-proċedura pendenti quddiemha favur dik ippreżentata quddiem il-Qorti Ġenerali (sentenza tal‑25 ta’ Lulju 2018, Georgsmarienhütte et, C‑135/16, EU:C:2018:582, punt 25).

109	Konsegwentement, peress li ż-żewġ kundizzjonijiet imsemmija fil-punt 94 ta’ din is-sentenza huma ssodisfatti, WhatsApp hija direttament ikkonċernata mid-deċiżjoni kontenzjuża.

110	Fid-dawl tal-kunsiderazzjonijiet preċedenti, it-tieni parti tal-ewwel aggravju għandha għalhekk tintlaqa’ u, konsegwentement, id-digriet appellat għandu jiġi annullat.

Fuq it-tielet parti tal-ewwel aggravju

111

Permezz tat-tielet parti tal-ewwel aggravju tagħha, WhatsApp issostni li hija vvizzjata bi żball ta’ liġi l-konstatazzjoni tal-Qorti Ġenerali, fil-punti 66 sa 70 tad-digriet appellat, li tgħid li l-inammissibbiltà tar-rikors tagħha hija konsistenti mal-loġika tas-sistema tar-rimedji ġudizzjarji stabbilita mit-Trattat UE u mit-Trattat FUE.

112	Fid-dawl tal-konklużjoni milħuqa fil-punt 110 ta’ din is-sentenza, ma hemmx lok li tingħata deċiżjoni fuq it-tielet parti tal-ewwel aggravju.

Fuq it-tieni aggravju, ibbażat fuq żball ta’ liġi fl-interpretazzjoni u fl-applikazzjoni tal-Artikolu 65 tal-GDPR u tal-prinċipju ta’ applikazzjoni konsistenti tad-dritt tal-Unjoni

113

Billi rreferiet għall-argument żviluppat fil-kuntest tal-ewwel aggravju, WhatsApp issostni li l-Qorti Ġenerali kisret l-Artikolu 65(1) tal-GDPR u l-prinċipju ta’ applikazzjoni konsistenti tad-dritt tal-Unjoni meta ddeċidiet, fil-punti 41 sa 60 tad-digriet appellat, li d-deċiżjoni kontenzjuża ma pproduċietx effetti legali minbarra l-effetti vinkolanti tagħha fir-rigward tal-awtoritajiet superviżorji kkonċernati.

114

Peress li WhatsApp sempliċement tirreferi għall-argument żviluppat insostenn tal-ewwel aggravju tagħha, u fid-dawl tal-konklużjoni adottata fil-punt 110 ta’ din is-sentenza, ma hemmx lok li tingħata deċiżjoni dwar dan it-tieni aggravju, peress li dan ma jistax iwassal għal annullament iktar estiż tad-digriet appellat.

Fuq ir-rinviju tal-kawża lill-Qorti Ġenerali

115	Konformement mal-ewwel paragrafu tal-Artikolu 61 tal-Istatut tal-Qorti tal-Ġustizzja tal-Unjoni Ewropea, f’każ ta’ annullament tad-deċiżjoni tal-Qorti Ġenerali, il-Qorti tal-Ġustizzja tista’ tiddeċiedi hija stess dwar it-tilwima, meta din tkun fi stat li tiġi deċiża.

116	Din il-kundizzjoni hija ssodisfatta f’dan il-każ sa fejn il-kawża tikkonċerna biss l-ammissibbiltà tar-rikors ippreżentat quddiem il-Qorti Ġenerali.

117

F’dan ir-rigward, l-ewwel nett, hekk kif jirriżulta mill-punt 76 ta’ din is-sentenza, id-deċiżjoni kontenzjuża tikkostitwixxi att li jista’ jiġi kkontestat għall-finijiet tal-ewwel paragrafu tal-Artikolu 263 TFUE. It-tieni nett, hekk kif huwa kkonstatat fil-punt 109 ta’ din is-sentenza, WhatsApp hija direttament ikkonċernata mid-deċiżjoni kontenzjuża, fis-sens tar-raba’ paragrafu tal-Artikolu 263 TFUE. It-tielet nett, din id-deċiżjoni tikkonċerna individwalment lil WhatsApp, hekk kif il-Qorti Ġenerali stess ikkonstatat fil-punt 40 tad-digriet appellat.

118	Konsegwentement, peress li l-kundizzjonijiet stabbiliti fl-ewwel u fir-raba’ paragrafu tal-Artikolu 263 TFUE huma għalhekk issodisfatti, u fl-assenza ta’ kull motiv ieħor ta’ inammissibbiltà, ir-rikors għal annullament huwa ddikjarat ammissibbli.

119	Madankollu, peress li l-Qorti Ġenerali ma eżaminatx il-mertu tar-rikors ippreżentat quddiemha, li jeħtieġ evalwazzjoni ddettaljata fil-fatt u fid-dritt, it-tilwima ma hijiex fi stat li tiġi deċiża fuq il-mertu.

120	Għaldaqstant, il-kawża għandha tintbagħat lura quddiem il-Qorti Ġenerali.

Fuq l-ispejjeż

121	Peress li l-kawża qed tintbagħat lura quddiem il-Qorti Ġenerali, hemm lok li l-ispejjeż marbuta ma’ din il-proċedura ta’ appell jiġu rriżervati.

Għal dawn il-motivi, Il-Qorti tal-Ġustizzja (Awla Manja) taqta’ u tiddeċiedi:

1)	Id-digriet tal-Qorti Ġenerali tal-Unjoni Ewropea tas‑7 ta’ Diċembru 2022, WhatsApp Ireland vs Il‑Bord Ewropew għall-Protezzjoni tad-Data (T‑709/21, EU:T:2022:783), huwa annullat.

2)	Il-kawża tintbagħat lura quddiem il-Qorti Ġenerali tal-Unjoni Ewropea.

3)	L-ispejjeż huma rriżervati.

Firem

( *1 ) Lingwa tal-kawża: l-Ingliż.

Eureka qed iżżid links…