1

Prin recursul formulat, WhatsApp Ireland Ltd (denumită în continuare „WhatsApp”) solicită anularea Ordonanței Tribunalului Uniunii Europene din 7 decembrie 2022, WhatsApp Ireland/Comitetul European pentru Protecția Datelor (T‑709/21, denumită în continuare ordonanța atacată, EU:T:2022:783), prin care acesta a respins ca inadmisibilă acțiunea sa având ca obiect anularea Deciziei obligatorii 1/2021 a Comitetului European pentru Protecția Datelor (denumit în continuare „Comitetul”) din 28 iulie 2021 privind litigiul dintre autoritățile de supraveghere vizate ce rezultă din proiectul de decizie privind WhatsApp elaborat de Data Protection Commission (DPC) (Autoritatea pentru Protecția Datelor, Irlanda) (denumită în continuare „autoritatea irlandeză de supraveghere”) (denumită în continuare „decizia în litigiu”).

2

Considerentele (10) și (143) ale Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2) (denumit în continuare „RGPD”) enunță:

[…]

3

Articolul 5 din RGPD, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede la alineatul (1) litera (a) că datele cu caracter personal sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată. Articolul 5 alineatul (1) litera (c) din acesta prevede că datele respective sunt adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate.

4

Articolul 6 din RGPD, intitulat „Legalitatea prelucrării”, stabilește condițiile privind legalitatea prelucrării datelor cu caracter personal. Alineatul (1) al articolului 6 menționat prevede:

„Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.”

5

Articolul 12 din RGPD cuprinde, la rândul său, dispoziții referitoare la transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate. Alineatul (1) al articolului 12 menționat prevede:

„Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare, într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, în special pentru orice informații adresate în mod specific unui copil. Informațiile se furnizează în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic. La solicitarea persoanei vizate, informațiile pot fi furnizate verbal, cu condiția ca identitatea persoanei vizate să fie dovedită prin alte mijloace.”

6

Articolul 13 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, prevede:

„(1)   În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:

(2)   În plus față de informațiile menționate la alineatul (1), în momentul în care datele cu caracter personal sunt obținute, operatorul furnizează persoanei vizate următoarele informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă:

[…]”

7

Articolul 14 din RGPD se referă la informațiile care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată.

8

Potrivit articolului 55 alineatul (1) din RGPD, fiecare autoritate de supraveghere are competența să îndeplinească sarcinile și să exercite competențele care îi sunt conferite în conformitate cu RGPD pe teritoriul statului membru de care aparține.

9

Articolul 56 din RGPD, intitulat „Competența autorității de supraveghere principale”, prevede:

„(1)   Fără a aduce atingere articolului 55, autoritatea de supraveghere a sediului principal sau a sediului unic al operatorului sau al persoanei împuternicite de operator este competentă să acționeze în calitate de autoritate de supraveghere principală pentru prelucrarea transfrontalieră efectuată de respectivul operator sau respectiva persoană împuternicită în cauză în conformitate cu procedura prevăzută la articolul 60.

(2)   Prin derogare de la alineatul (1), fiecare autoritate de supraveghere este competentă să trateze o plângere depusă în atenția sa sau o eventuală încălcare a prezentului regulament, în cazul în care obiectul acesteia se referă numai la un sediu aflat în statul său membru sau afectează în mod semnificativ persoane vizate numai în statul său membru.

(3)   În cazurile menționate la alineatul (2) din prezentul articol, autoritatea de supraveghere informează fără întârziere autoritatea de supraveghere principală cu privire la această chestiune. În termen de trei săptămâni de la momentul informării, autoritatea de supraveghere principală decide dacă tratează sau nu cazul respectiv în conformitate cu procedura prevăzută la articolul 60, luând în considerare dacă există sau nu un sediu al operatorului sau al persoanei împuternicite de operator pe teritoriul statului membru a cărui autoritate de supraveghere a informat‑o.

(4)   În cazul în care autoritatea de supraveghere principală decide să trateze cazul, se aplică procedura prevăzută la articolul 60. Autoritatea de supraveghere care a informat autoritatea de supraveghere principală poate înainta un proiect de decizie acesteia din urmă. Autoritatea de supraveghere principală ține seama în cea mai mare măsură posibilă de proiectul respectiv atunci când pregătește proiectul de decizie prevăzut la articolul 60 alineatul (3).

(5)   În cazul în care autoritatea de supraveghere principală decide să nu trateze cazul, autoritatea de supraveghere care a informat autoritatea de supraveghere principală tratează cazul în conformitate cu articolele 61 și 62.

(6)   Autoritatea de supraveghere principală este singurul interlocutor al operatorului sau al persoanei împuternicite de operator în ceea ce privește prelucrarea transfrontalieră efectuată de respectivul operator sau de respectiva persoană împuternicită de operator.”

10

Articolul 57 din RGPD, intitulat „Sarcini”, prevede la alineatul (1) litera (h) că fiecare autoritate de supraveghere are sarcina, pe teritoriul statului membru de care aparține, de a desfășura investigații privind aplicarea RGPD.

11

Competențele de investigare ale acestei autorități sunt enumerate la alineatul (1) al articolului 58 din RGPD, intitulat „Competențe”. Alineatul (2) al acestui articol enumeră măsurile corective pe care le poate lua autoritatea menționată, printre care cele menționate la literele (b), (d) și (i) ale acestuia, care constau în a emite avertismente adresate unui operator sau unei persoane împuternicite de operator în cazul în care operațiunile de prelucrare au încălcat dispozițiile RGPD, în a da dispoziții operatorului sau persoanei împuternicite de operator să asigure conformitatea operațiunilor de prelucrare cu prevederile RGPD, specificând, după caz, modalitatea și termenul‑limită pentru aceasta și, respectiv, în a impune amenzi administrative în conformitate cu articolul 83 din RGPD.

12

Articolul 60 din RGPD, intitulat „Cooperarea dintre autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate”, prevede:

„(1)   Autoritatea de supraveghere principală cooperează cu celelalte autorități de supraveghere vizate, în conformitate cu prezentul articol, în încercarea de a ajunge la un consens. Autoritatea de supraveghere principală și autoritățile de supraveghere vizate își comunică reciproc toate informațiile relevante.

(2)   Autoritatea de supraveghere principală poate solicita în orice moment altor autorități de supraveghere vizate să ofere asistență reciprocă în temeiul articolului 61 și poate desfășura operațiuni comune în temeiul articolului 62, în special în vederea efectuării de investigații sau a monitorizării punerii în aplicare a unei măsuri referitoare la un operator sau o persoană împuternicită de operator, stabilit(ă) în alt stat membru.

(3)   Autoritatea de supraveghere principală comunică fără întârziere informațiile relevante referitoare la această chestiune celorlalte autorități de supraveghere vizate. Autoritatea de supraveghere principală transmite fără întârziere un proiect de decizie celorlalte autorități de supraveghere vizate, pentru a obține avizul lor, și ține seama în mod corespunzător de opiniile acestora.

(4)   În cazul în care oricare dintre celelalte autorități de supraveghere vizate exprimă, în termen de patru săptămâni după ce a fost consultată în conformitate cu alineatul (3) din prezentul articol, o obiecție relevantă și motivată la proiectul de decizie, autoritatea de supraveghere principală, în cazul în care nu dă curs obiecției relevante și motivate sau consideră că obiecția nu este relevantă sau motivată, sesizează mecanismul pentru asigurarea coerenței menționat la articolul 63.

(5)   În cazul în care intenționează să dea curs obiecției relevante și motivate formulate, autoritatea de supraveghere principală transmite celorlalte autorități de supraveghere vizate un proiect revizuit de decizie pentru a obține avizul acestora. Acest proiect revizuit de decizie face obiectul procedurii menționate la alineatul (4) pe parcursul unei perioade de două săptămâni.

(6)   În cazul în care niciuna dintre celelalte autorități de supraveghere vizate nu a formulat obiecții la proiectul de decizie transmis de autoritatea de supraveghere principală în termenul menționat la alineatele (4) și (5), se consideră că autoritatea de supraveghere principală și autoritățile de supraveghere vizate sunt de acord cu proiectul de decizie respectiv, care devine obligatoriu pentru acestea.

(7)   Autoritatea de supraveghere principală adoptă decizia și o notifică sediului principal sau sediului unic al operatorului sau al persoanei împuternicite de operator, după caz, și informează celelalte autorități de supraveghere vizate și [Comitetul] cu privire la decizia în cauză, incluzând un rezumat al elementelor și motivelor relevante. Autoritatea de supraveghere la care a fost depusă plângerea informează reclamantul cu privire la decizie.

(8)   Prin derogare de la alineatul (7), în cazul în care o plângere este refuzată sau respinsă, autoritatea de supraveghere la care s‑a depus plângerea adoptă decizia, o notifică reclamantului și informează operatorul cu privire la acest lucru.

(9)   În cazul în care autoritatea de supraveghere principală și autoritățile de supraveghere vizate sunt de acord să refuze sau să respingă anumite părți ale unei plângeri și să dea curs altor părți ale plângerii respective, se adoptă o decizie separată pentru fiecare dintre aceste părți. Autoritatea de supraveghere principală adoptă decizia pentru partea care vizează acțiunile referitoare la operator, o notifică sediului principal sau sediului unic al operatorului sau al persoanei împuternicite de operator de pe teritoriul statului membru în cauză și informează reclamantul cu privire la acest lucru, în timp ce autoritatea de supraveghere a reclamantului adoptă decizia pentru partea care vizează refuzarea sau respingerea plângerii respective, o notifică reclamantului și informează operatorul sau persoana împuternicită de operator cu privire la acest lucru.

(10)   În urma notificării deciziei autorității de supraveghere principale în temeiul alineatelor (7) și (9), operatorul sau persoana împuternicită de operator ia măsurile necesare pentru a se asigura că activitățile de prelucrare sunt în conformitate cu decizia în toate sediile sale din Uniune. Operatorul sau persoana împuternicită de operator notifică măsurile luate în vederea respectării deciziei autorității de supraveghere principale, care informează celelalte autorități de supraveghere vizate.

(11)   În cazul în care, în circumstanțe excepționale, o autoritate de supraveghere vizată are motive să considere că există o nevoie urgentă de a acționa în vederea protejării intereselor persoanelor vizate, se aplică procedura de urgență prevăzută la articolul 66.

(12)   Autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate își furnizează reciproc informațiile solicitate în temeiul prezentului articol, pe cale electronică, utilizând un formular standard.”

13

Potrivit articolului 63 din RGPD, intitulat „Mecanismul pentru asigurarea coerenței”:

„Pentru a contribui la aplicarea coerentă a prezentului regulament în întreaga Uniune, autoritățile de supraveghere cooperează între ele și, după caz, cu Comisia prin mecanismul pentru asigurarea coerenței […]”

14

Articolul 65 din RGPD, intitulat „Soluționarea litigiilor de către [Comitet]”, prevede:

„(1)   Pentru a asigura aplicarea corectă și coerentă a prezentului regulament în cazuri individuale, [Comitetul] adoptă o decizie obligatorie în următoarele cazuri:

(2)   Decizia menționată la alineatul (1) se adoptă în termen de o lună de la prezentarea chestiunii, cu o majoritate de două treimi a membrilor [Comitetului]. Acest termen poate fi prelungit cu o lună, ținându‑se seama de complexitatea chestiunii. Decizia menționată la alineatul (1) se motivează și se adresează autorității de supraveghere principale și tuturor autorităților de supraveghere vizate, fiind obligatorie pentru acestea.

(3)   În cazul în care [Comitetul] nu a fost în măsură să adopte o decizie în termenele menționate la alineatul (2), acesta își adoptă decizia în termen de două săptămâni de la data expirării celei de a doua luni menționate la alineatul (2), cu o majoritate simplă a membrilor săi. În cazul în care membrii [Comitetului] au opinii divergente în proporții egale, decizia se adoptă prin votul președintelui.

(4)   Autoritățile de supraveghere vizate nu adoptă o decizie asupra chestiunii prezentate [Comitetului] în conformitate cu alineatul (1) în termenele menționate la alineatele (2) și (3).

(5)   Președintele [Comitetului] notifică, fără întârzieri nejustificate, decizia menționată la alineatul (1) autorităților de supraveghere vizate. Comitetul informează Comisia cu privire la acest lucru. Decizia se publică pe site‑ul [Comitetului], fără întârziere, după notificarea de către autoritatea de supraveghere a deciziei finale menționate la alineatul (6).

(6)   Autoritatea de supraveghere principală sau, dacă este cazul, autoritatea de supraveghere la care s‑a depus plângerea își adoptă decizia finală pe baza deciziei menționate la alineatul (1) din prezentul articol, fără întârziere nejustificată și în termen de cel mult o lună de la notificarea de către [Comitet] a deciziei sale. Autoritatea de supraveghere principală sau, dacă este cazul, autoritatea de supraveghere la care s‑a depus plângerea informează [Comitetul] cu privire la data la care decizia sa finală este notificată operatorului sau persoanei împuternicite de operator și, respectiv, persoanei vizate. Decizia finală a autorităților de supraveghere vizate se adoptă în conformitate cu condițiile prevăzute la articolul 60 alineatele (7), (8) și (9). Decizia finală se referă la decizia menționată la alineatul (1) din prezentul articol și precizează faptul că decizia menționată la respectivul alineat va fi publicată pe site‑ul [Comitetului], în conformitate cu alineatul (5). La decizia finală se anexează decizia menționată la alineatul (1) din prezentul articol.”

15

Articolul 68 din RGPD, intitulat „[Comitetul]”, prevede la alineatul (1) că Comitetul este instituit ca organ al Uniunii și are personalitate juridică.

16

Articolul 70 din RGPD, intitulat „Sarcinile [Comitetului]”, prevede la alineatul (1) litera (a) că Comitetul asigură aplicarea coerentă a RGPD. În acest scop, Comitetul, din proprie inițiativă sau, după caz, la solicitarea Comisiei, are printre altele sarcina să monitorizeze și să asigure aplicarea corectă a RGPD în cazurile prevăzute la articolele 64 și 65 din acesta, fără a aduce atingere sarcinilor autorităților naționale de supraveghere.

17

Articolul 78 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere”, prevede:

„(1)   Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.

(2)   Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care autoritatea de supraveghere care este competentă în temeiul articolelor 55 și 56 nu tratează o plângere sau nu informează persoana vizată în termen de trei luni cu privire la progresele sau la soluționarea plângerii depuse în temeiul articolului 77.

(3)   Acțiunile introduse împotriva unei autorități de supraveghere sunt aduse în fața instanțelor din statul membru în care este stabilită autoritatea de supraveghere.

(4)   În cazul în care acțiunile sunt introduse împotriva unei decizii a unei autorități de supraveghere care a fost precedată de un aviz sau o decizie a [Comitetului] în cadrul mecanismului pentru asigurarea coerenței, autoritatea de supraveghere transmite curții avizul respectiv sau decizia respectivă.”

18

Articolul 83 din RGPD stabilește condițiile generale pentru impunerea amenzilor administrative.

19

Istoricul litigiului figurează la punctele 2-12 din ordonanța atacată și, în scopul prezentei proceduri, poate fi rezumat după cum urmează.

20

Ca urmare a intrării în vigoare a RGPD, autoritatea irlandeză de supraveghere a primit din partea unor utilizatori și a unor neutilizatori ai serviciului de mesagerie „WhatsApp” plângeri privind prelucrarea datelor cu caracter personal de către WhatsApp. Pe de altă parte, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Comisarul Federal pentru Protecția Datelor și Libertatea Informației, Germania) a solicitat asistența autorității irlandeze de supraveghere cu privire la respectarea de către WhatsApp a obligațiilor de transparență care revin operatorilor de date cu caracter personal în ceea ce privește o eventuală partajare a unor astfel de date cu alte entități ale grupului Facebook, redenumit „Meta” din luna septembrie 2021.

21

Autoritatea irlandeză de supraveghere a deschis din oficiu în luna decembrie 2018 o investigație cu caracter general privind respectarea de către WhatsApp a obligațiilor de transparență și de informare față de particulari prevăzute la articolele 12-14 din RGPD, fără a aduce atingere măsurilor pe care le‑ar putea lua cu privire la sesizările individuale care o vizau. Autoritatea irlandeză de supraveghere a acționat în această privință ca autoritate de supraveghere principală, în temeiul articolului 56 alineatul (1) din RGPD, întrucât WhatsApp avea în Irlanda sediul principal în calitate de operator pentru operațiunile serviciului de mesagerie „WhatsApp” în Europa, această prelucrare având caracter transfrontalier.

22

După ce faza de investigație a fost finalizată în luna septembrie 2019 prin prezentarea unui raport final de către investigator, autoritatea irlandeză de supraveghere, în urma unor faze procedurale intermediare în cursul cărora WhatsApp a transmis observații, a prezentat în luna decembrie 2020 tuturor celorlalte autorități de supraveghere vizate de cauză un proiect de decizie în vederea obținerii avizului lor, în conformitate cu cele prevăzute la articolul 60 alineatul (3) din RGPD.

23

În luna ianuarie 2021, opt dintre aceste alte autorități de supraveghere au formulat obiecții cu privire la anumite aspecte ale acestui proiect de decizie. Autoritatea irlandeză de supraveghere a răspuns în mod grupat la aceste obiecții, propunând soluții de compromis. După ce, în urma răspunsului respectiv, una dintre aceste opt autorități de supraveghere și‑a retras una dintre obiecțiile sale, autoritatea irlandeză de supraveghere a constatat că nu exista un consens referitor la celelalte aspecte în privința cărora s‑au formulat obiecții. Ea a decis să respingă toate obiecțiile primite și să sesizeze Comitetul pentru ca acesta să soluționeze litigiul dintre autoritățile de supraveghere în cauză cu privire la aspectele vizate de obiecțiile amintite, în conformitate cu dispozițiile articolului 60 alineatul (4) și ale articolului 65 alineatul (1) litera (a) din RGPD.

24

În luna mai 2021, autoritatea irlandeză de supraveghere a primit în scris observațiile WhatsApp cu privire la elementele dezbătute între autoritățile de supraveghere vizate, după ce i‑a transmis toate înscrisurile schimbate în această privință, și a transmis ea însăși Comitetului observațiile menționate pentru a lua cunoștință de ele în cadrul procedurii de soluționare a litigiilor, care a fost inițiată de aceasta în luna iunie 2021.

25

La 28 iulie 2021, Comitetul a adoptat decizia în litigiu, în temeiul articolului 65 alineatul (2) din RGPD.

26

După ce autoritatea de supraveghere irlandeză a primit decizia în litigiu și observațiile WhatsApp cu privire la sancțiunile pecuniare pe care intenționa în final să i le aplice în lumina deciziei respective, această autoritate a adoptat, la 20 august 2021, în conformitate cu articolul 65 alineatul (6) din RGPD, o decizie finală adresată WhatsApp (denumită în continuare „decizia finală”).

27

În decizia finală, autoritatea irlandeză de supraveghere a constatat că WhatsApp a încălcat principiul și obligațiile privind transparența prevăzute la articolul 5 alineatul (1) litera (a), la articolul 12 alineatul (1), la articolul 13 alineatul (1) literele (c)-(f), la articolul 13 alineatul (2) literele (a), (c) și (e), precum și la articolul 14 din RGPD. În schimb, această autoritate a arătat că WhatsApp s‑a conformat obligațiilor prevăzute la articolul 13 alineatul (1) literele (a) și (b), precum și la articolul 13 alineatul (2) literele (b) și (d) din RGPD. Cu titlu de măsuri corective adoptate în temeiul articolului 58 alineatul (2) literele (b), (d) și (i) din RGPD, autoritatea menționată a emis în privința WhatsApp un avertisment, i‑a impus să adopte o serie de acțiuni, enumerate într‑o anexă, pentru a se pune în termen de trei luni în conformitate cu dispozițiile RGPD care au fost încălcate și i‑a aplicat patru amenzi administrative referitoare la încălcările constatate ale articolului 5 alineatul (1) litera (a) și ale articolelor 12-14 din RGPD, în cuantum cumulat de 225 de milioane de euro.

28

În plus, în decizia finală, autoritatea irlandeză de supraveghere a identificat aspectele pentru care decizia în litigiu îi impunea să revadă aprecierea expusă în proiectul său de decizie. Ea a ales, cu privire la aspectele respective, să reproducă ca atare, în casete evidențiate pe fond gri, motivele reținute de Comitet în decizia în litigiu și să deducă pur și simplu din acestea consecințele referitoare la fiecare aspect într‑un punct concluziv.

29

În conformitate cu articolul 65 alineatul (6) din RGPD, decizia în litigiu a fost anexată la decizia finală.

30

În decizia în litigiu, Comitetul a luat poziție cu privire la aspectele care au făcut obiectul unor obiecții relevante și motivate, în sensul articolului 65 alineatul (1) litera (a) din RGPD, și anume:

31

WhatsApp a atacat decizia finală în fața unei instanțe irlandeze.

32

Prin cererea introductivă depusă la grefa Tribunalului la 1 noiembrie 2021, WhatsApp a formulat o acțiune în temeiul articolului 263 TFUE, având ca obiect anularea deciziei în litigiu.

33

Prin ordonanța atacată, dată în temeiul articolului 129 din regulamentul său de procedură, Tribunalul a respins această acțiune ca inadmisibilă.

34

După ce a arătat, la punctele 36, 37 și 40 din ordonanța atacată, că decizia în litigiu constituia un act al unui organ al Uniunii destinat să producă efecte juridice față de terți și că WhatsApp era vizată individual de această decizie, Tribunalul a apreciat totuși, la punctul 42 din ordonanța atacată, că decizia menționată era un act pregătitor sau intermediar într‑o procedură care trebuia să se încheie prin adoptarea de către autoritatea națională de supraveghere a unei decizii finale. Or, Tribunalul a considerat, la punctele 43 și 44 din ordonanța atacată, că un astfel de act nu constituia un „act atacabil” decât dacă avea efecte juridice autonome în privința cărora nu putea fi asigurată o protecție jurisdicțională suficientă în cadrul unei acțiuni introduse împotriva deciziei prin care se finalizează procedura în cauză.

35

În această privință, Tribunalul a apreciat, la punctul 45 din ordonanța atacată, că, în speță, o protecție jurisdicțională efectivă în ceea ce privește decizia în litigiu era asigurată prin intermediul unei căi de atac de care dispune WhatsApp în fața instanței naționale împotriva deciziei finale, această instanță națională fiind abilitată, în temeiul articolului 267 TFUE, să sesizeze Curtea cu o trimitere preliminară în aprecierea validității deciziei în litigiu. Tribunalul a precizat de asemenea, la punctul 46 din ordonanța atacată, că decizia în litigiu nu avea în privința WhatsApp efecte juridice autonome în raport cu decizia finală adoptată de autoritatea irlandeză de supraveghere.

36

În plus, Tribunalul a considerat, la punctul 49 din ordonanța atacată, că faptul că un astfel de act intermediar exprimă o poziție definitivă a unei autorități, care va trebui să fie reluată în decizia finală de închidere a procedurii în discuție, nu însemna neapărat că acest act modifica el însuși în mod distinct situația juridică a reclamantului.

37

Pe de altă parte, Tribunalul a arătat, la punctul 50 din ordonanța atacată, că WhatsApp nu era vizată în mod direct de decizia în litigiu. Tribunalul a observat, la punctul 52 din această ordonanță, că decizia menționată nu avea un caracter opozabil care i‑ar permite, fără o etapă suplimentară în procedură, să fie sursă de obligații pentru WhatsApp sau, după caz, de drepturi pentru alți particulari, astfel încât nu producea în mod direct efecte juridice asupra situației WhatsApp. Tribunalul a reținut de asemenea, la punctul 53 din ordonanța menționată, că, deși decizia în litigiu era obligatorie pentru autoritatea irlandeză de supraveghere în ceea ce privește aspectele la care se referea, ea îi lăsa totuși o marjă de apreciere în legătură cu conținutul deciziei finale.

38

Astfel, la punctele 61 și 62 din aceeași ordonanță, Tribunalul a statuat că nu era îndeplinită niciuna dintre condițiile necesare pentru a se considera că WhatsApp era vizată în mod direct de măsura care făcea obiectul acțiunii sale și că această acțiune era, în consecință, inadmisibilă.

39

În sfârșit, Tribunalul a statuat, la punctele 66-70 din ordonanța atacată, că rezultatul analizei sale se înscria în logica sistemului căilor de atac jurisdicționale instituit prin tratate. Tribunalul a reținut printre altele că recunoașterea admisibilității acțiunii formulate de WhatsApp împotriva deciziei în litigiu ar prezenta un risc de proceduri jurisdicționale paralele în fața instanței Uniunii și a instanței naționale, aceasta din urmă fiind, în plus, abilitată să sesizeze Curtea cu o trimitere preliminară în aprecierea validității respectivei decizii.

40

Prin recursul formulat, WhatsApp solicită Curții:

41

Comitetul, susținut în concluziile sale de Republica Federală Germania, solicită Curții:

42

Comitetul susține că acțiunea în primă instanță a fost introdusă tardiv. În această privință, el arată că WhatsApp a luat cunoștință de părțile relevante din decizia în litigiu la o dată anterioară publicării acesteia pe site‑ul său internet și, mai precis, la 13 august 2021. În consecință, independent de data publicării deciziei în litigiu pe site‑ul internet al Comitetului, care, de altfel, nu poate fi asimilată unei publicări în Jurnalul Oficial al Uniunii Europene, termenul de introducere a acțiunii ar fi început să curgă la 13 august 2021 și ar fi expirat la 25 octombrie 2021. Întrucât WhatsApp a introdus acțiunea sa în anulare la 1 noiembrie 2021, aceasta ar fi tardivă.

43

WhatsApp susține că afirmația Comitetului cu privire la caracterul tardiv al acțiunii sale este eronată. Astfel, atunci când reclamantul nu este destinatarul unui act, data publicării acestui act ar fi cea care ar determina momentul de la care începe să curgă termenul de introducere a acțiunii. Data luării sale la cunoștință nu ar constitui decât un criteriu subsidiar în această privință. Referitor la modul de publicare a actului menționat, acesta ar fi lipsit de pertinență. În speță, publicarea deciziei în litigiu ar fi fost în orice caz efectuată pe site‑ul internet al Comitetului la 2 septembrie 2021, iar acțiunea ar fi fost introdusă la 1 noiembrie 2021, cu respectarea termenului prevăzut la articolul 263 al șaselea paragraf TFUE.

44

Articolul 263 al șaselea paragraf TFUE prevede că acțiunile prevăzute de acest articol trebuie formulate în termen de două luni, după caz, de la publicarea actului, de la notificarea acestuia reclamantului sau, în lipsă, de la data la care reclamantul a luat cunoștință de actul respectiv.

45

Reiese cu claritate din modul de redactare a acestei dispoziții, în special din expresiile „după caz” și „în lipsă”, că momentul de la care începe să curgă termenul de introducere a acțiunii este determinat în funcție de situația în cauză și că primele două criterii susceptibile să declanșeze acest termen sunt ierarhizate în raport cu cel de al treilea criteriu. Astfel, termenul de introducere a acțiunii în anulare începe să curgă în principal de la publicarea actului sau de la notificarea acestuia reclamantului. Aceste două criterii principale sunt plasate, în economia dispoziției menționate, pe picior de egalitate, în sensul că niciunul dintre criteriile menționate nu este subsidiar în raport cu celălalt. În schimb, criteriul datei luării la cunoștință a actului atacat ca moment de la care începe să curgă termenul de introducere a acțiunii prezintă un caracter subsidiar în raport cu cel al publicării sau cu cel al notificării acestui act (a se vedea în acest sens Hotărârea din 26 septembrie 2024, WEPA Hygieneprodukte ș.a./Comisia,C‑795/21 P și C‑796/21 P, EU:C:2024:807, punctele 61-63, precum și jurisprudența citată).

46

În speță, este cert că decizia în litigiu nu a fost notificată WhatsApp, Comitetul nefiind obligat să notifice o astfel de decizie decât autorităților de supraveghere vizate, în temeiul articolului 65 alineatul (5) prima teză din RGPD. Prin urmare, trebuie să se examineze dacă această decizie a făcut obiectul unei „publicări”, în sensul articolului 263 al șaselea paragraf TFUE.

47

În această privință, este necesar să se precizeze că noțiunea de „publicare” nu vizează exclusiv o publicare în Jurnalul Oficial al Uniunii Europene, ci, dimpotrivă, trebuie interpretată în sens larg. Intră sub incidența acestei noțiuni, printre altele, o publicare pe site‑ul internet al unei instituții, al unui organ, al unui oficiu sau al unei agenții a Uniunii atunci când aceasta este prevăzută de dreptul derivat (a se vedea în acest sens Hotărârea din 26 septembrie 2024, WEPA Hygieneprodukte ș.a./Comisia,C‑795/21 P și C‑796/21 P, EU:C:2024:807, punctul 70, precum și jurisprudența citată).

48

În speță, întrucât publicarea deciziei în litigiu este prevăzută la articolul 65 alineatul (5) a treia teză din RGPD, trebuie, așadar, să se ia în considerare data la care această decizie a fost publicată pe site‑ul internet al Comitetului, și anume 2 septembrie 2021. Această interpretare este confirmată de considerentul (143) a treia teză al RGPD, din care reiese că termenul de introducere a acțiunii trebuie calculat de la publicarea deciziei în cauză a Comitetului pe site‑ul acestuia din urmă.

49

Întrucât acțiunea a fost introdusă la 1 noiembrie 2021, termenul prevăzut la articolul 263 al șaselea paragraf TFUE nu a fost încălcat, astfel încât este necesar să se examineze dacă motivele invocate în cadrul prezentului recurs sunt de natură să repună în discuție aprecierea reținută de Tribunal în ordonanța atacată.

50

WhatsApp susține că Tribunalul a săvârșit o eroare de drept atunci când a considerat că decizia în litigiu nu era un act atacabil.

51

WhatsApp contestă în special relevanța criteriului reținut de Tribunal la punctul 41 din ordonanța atacată pentru a stabili dacă un act este sau nu atacabil. Tribunalul ar fi considerat astfel în mod eronat că era necesar să se demonstreze că decizia în litigiu produce efecte juridice care modifică în mod distinct situația juridică a WhatsApp și că o privește în mod direct. Or, ar fi fost suficient să se concluzioneze că această decizie era destinată să producă efecte juridice față de unul sau mai mulți terți pentru a constata că ea constituia un act atacabil, ca urmare a caracterului său definitiv. În orice caz, decizia menționată nu ar constitui o simplă măsură intermediară, ci ar exprima poziția definitivă a Comitetului.

52

Potrivit WhatsApp, Tribunalul a aplicat în mod eronat jurisprudența referitoare la efectele juridice ale actelor intermediare prin aplicarea unui criteriu procedural în temeiul căruia un atare act ar fi atacabil numai dacă o acțiune îndreptată împotriva actului final nu ar permite asigurarea unei protecții jurisdicționale suficiente și prin constatarea lipsei efectelor juridice ale deciziei în litigiu.

53

În acest context, WhatsApp se referă la Hotărârea din 11 noiembrie 1981, IBM/Comisia (60/81, EU:C:1981:264, punctele 10 și 11), din care ar reieși în special că un act intermediar ar fi atacabil atunci când are un caracter definitiv și este independent de decizia finală adoptată ulterior. Așadar, ar trebui să se examineze substanța acestui act și să se aprecieze efectele sale în raport cu criterii obiective precum conținutul actului menționat, ținându‑se seama, dacă este cazul, de contextul adoptării acestuia din urmă, precum și de competențele instituției care este autoarea acestuia. WhatsApp citează printre altele în această privință Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul (C‑348/20 P, EU:C:2022:548, punctul 63).

54

În special, un atare act nu ar putea face obiectul unei acțiuni în anulare numai atunci când, pe de o parte, ar avea un caracter provizoriu în ceea ce privește fondul, astfel încât autorul său și‑ar putea modifica poziția în stadiul deciziei finale adoptate ulterior și, pe de altă parte, această decizie finală ar fi adoptată de aceeași instituție sau de același organ al Uniunii. Prin urmare, nu ar fi necesar să se aplice noțiunea de măsură intermediară unei decizii adoptate de o instituție sau de un organ al Uniunii și adresate unei autorități naționale însărcinate cu punerea în aplicare a acestei decizii față de terți.

55

În speță, potrivit WhatsApp, Tribunalul s‑a limitat să examineze dacă, pe plan procedural, acesteia îi era asigurată o protecție jurisdicțională efectivă prin intermediul acțiunii în fața instanței naționale. Așadar, Tribunalul ar fi considerat în mod eronat, la punctele 48 și 49 din ordonanța atacată, că argumentul WhatsApp potrivit căruia decizia în litigiu exprima poziția definitivă a autorului său era lipsit de relevanță. Procedând astfel, Tribunalul ar fi apreciat deci în mod greșit că decizia în litigiu nu producea efecte juridice și că nu era independentă de decizia finală, și aceasta fără să fi apreciat nici conținutul și contextul deciziei în litigiu, nici întinderea efectelor juridice autonome ale acesteia.

56

În ceea ce privește conținutul deciziei în litigiu, nu s‑ar contesta că ea era destinată, ca decizie obligatorie adoptată în temeiul articolului 65 din RGPD, să producă efecte juridice față de terți și că reprezenta poziția finală a Comitetului cu privire la aspectele cu care a fost sesizat. Această poziție ar fi fost de natură să modifice în mod distinct situația juridică a WhatsApp, în special ca urmare a constatării potrivit căreia datele supuse unei comprimări cu pierdere erau date cu caracter personal, constatare care ar fi obligatorie pentru autoritatea irlandeză de supraveghere.

57

În ceea ce privește contextul deciziei în litigiu, din modul de redactare a articolului 65 din RGPD ar rezulta că aceasta constituie o decizie obligatorie. Considerentul (143) al RGPD ar indica faptul că deciziile adoptate de Comitet pot privi în mod direct și individual, printre altele, un operator, ceea ce ar presupune că aceste decizii sunt de natură să producă efecte juridice externe, ce se extind dincolo de autoritățile naționale de supraveghere care sunt destinatarii lor. Acest lucru ar fi confirmat atât de rațiunea de a fi a efectului obligatoriu al deciziilor Comitetului, care ar consta în asigurarea aplicării corecte și coerente a RGPD, cât și de economia procedurii prevăzute la articolul 65 alineatul (1) din RGPD.

58

În ceea ce privește efectele juridice autonome ale deciziei în litigiu, ce se extind dincolo de cele produse față de destinatarii săi, WhatsApp arată că această decizie produce astfel de efecte în privința sa, afectând în special modul în care ea ar intenționa să se conformeze RGPD în legătură cu datele supuse comprimării cu pierdere, acestea fiind calificate de Comitet drept date cu caracter personal. Decizia în litigiu ar produce de asemenea efecte juridice în privința instanțelor naționale, care nu ar fi abilitate să o modifice sau să o invalideze.

59

Comitetul contestă această argumentație. El arată că acțiunea în anulare nu este în principiu deschisă decât împotriva unei măsuri prin care o instituție, un organ, un oficiu sau o agenție a Uniunii își stabilește definitiv poziția la finalul unei proceduri administrative. În schimb, nu pot fi calificate drept „acte atacabile” actele intermediare al căror obiectiv este de a pregăti o decizie finală, întrucât asemenea acte nu urmăresc să producă efecte juridice obligatorii autonome în raport cu actul Uniunii care este astfel pregătit, confirmat sau executat. În plus, potrivit Comitetului, un act intermediar nu poate face obiectul unei acțiuni în cazul în care nelegalitatea unui atare act poate fi invocată în susținerea unei acțiuni îndreptate împotriva deciziei finale în elaborarea căreia ar constitui un act de elaborare.

60

În speță, potrivit acestei părți, decizia în litigiu constituie un act intermediar, care face parte dintr‑o procedură decizională indivizibilă desfășurată de autoritatea irlandeză de supraveghere și care conduce la o decizie finală adoptată de această autoritate. În acest context, deși aprecierile Comitetului sunt obligatorii, ele nu ar fi totuși opozabile în mod direct WhatsApp și nu ar avea, în privința sa, niciun efect juridic autonom în raport cu decizia finală. Așadar, împrejurarea că decizia în litigiu ar cuprinde o poziție definitivă a Comitetului cu privire la anumite aspecte care trebuie să figureze în decizia finală nu ar însemna că decizia în litigiu ar conduce, prin ea însăși, la o modificare distinctă a situației juridice a WhatsApp. Decizia în litigiu și decizia finală ar fi fost astfel adoptate în cadrul unei proceduri administrative unificate, compusă din etape interdependente la nivel național și european, având același obiect, iar nu în urma a două proceduri independente care ar privi chestiuni distincte.

61

În acest sens, Comitetul precizează că procedura de soluționare a litigiilor urmărește să asigure coerența punerii în aplicare a RGPD de către autoritățile naționale. În speță, decizia în litigiu nu ar crea noi obligații legale pentru WhatsApp. Obligațiile acesteia din urmă ar fi definite chiar prin RGPD, iar nu prin decizia în litigiu, și ar fi aplicate de autoritatea de supraveghere irlandeză, iar nu de Comitet. În plus, obligațiile menționate ar fi fost aplicabile WhatsApp înainte ca încălcările în cauză să fie constatate.

62

În ceea ce privește presupusele efecte juridice externe ale deciziei în litigiu, Comitetul afirmă că interpretările sale nu au efect obligatoriu decât între părți, și anume între autoritățile de supraveghere în cauză. Decizia în litigiu, pe lângă faptul că nu ar avea efect juridic direct asupra WhatsApp, ar privi puncte de aplicare circumscrise ale RGPD, care ar avea vocația de a fi incluse și dezvoltate în decizia finală. Deși interpretările RGPD reținute de Comitet pot avea astfel un anumit grad de autoritate în cauze ulterioare, care ar privi chestiuni juridice similare, ele nu ar fi totuși obligatorii pentru instanțele naționale, care ar trebui, în caz de îndoială, să sesizeze Curtea cu titlu preliminar.

63

Republica Federală Germania, care intervine în susținerea concluziilor Comitetului, arată că mecanismul pentru asigurarea coerenței prevăzut de RGPD, inclusiv procedura de soluționare a litigiilor, este pur intern și are drept unic scop ajungerea la un arbitraj în cazul unor opinii divergente între autoritățile de supraveghere. În special, din a treia teză a articolului 65 alineatul (2) din RGPD ar reieși că o măsură adoptată de Comitet în acest cadru ar produce un efect obligatoriu din punct de vedere juridic numai față de autoritățile naționale de supraveghere. Doar decizia finală ar fi obligatorie pentru operatorul sau persoana împuternicită de operator în cauză.

64

Primul aspect al primului motiv de recurs privește problema dacă Tribunalul a săvârșit o eroare de drept atunci când a statuat, la punctele 41-49 din ordonanța atacată, că decizia în litigiu nu constituia un act atacabil în temeiul articolului 263 primul paragraf TFUE.

65

În temeiul acestei dispoziții, Curtea controlează printre altele „legalitatea actelor organelor, oficiilor sau agențiilor Uniunii destinate să producă efecte juridice față de terți”.

66

Potrivit unei jurisprudențe constante, acțiunea în anulare instituită la articolul 263 TFUE este deschisă în privința tuturor dispozițiilor adoptate de instituțiile, organele, oficiile sau agențiile Uniunii, indiferent de forma acestora, care urmăresc să producă efecte juridice obligatorii (a se vedea în acest sens Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 62, precum și jurisprudența citată).

67

Pentru a stabili dacă un act produce asemenea efecte și dacă, prin urmare, este susceptibil să facă obiectul unei acțiuni în anulare în temeiul articolului 263 TFUE, este necesar să se aibă în vedere esența acestui act și să se evalueze aceste efecte din perspectiva unor criterii obiective, cum este conținutul actului menționat, ținându‑se seama, dacă este cazul, de contextul adoptării acestuia din urmă, precum și de competențele instituției, organului, oficiului sau agenției care este autoarea sa (a se vedea în acest sens Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 63, precum și jurisprudența citată).

68

În această privință, după cum a arătat doamna avocată generală la punctele 79 și 121 din concluzii, în lumina articolului 263 primul paragraf TFUE, terțul în privința căruia actul vizat produce efecte juridice nu trebuie să fie în mod necesar reclamantul. Astfel, are calitatea de terț orice persoană fizică sau juridică distinctă de autorul acestui act. Prin urmare, pentru a stabili dacă actul menționat produce asemenea efecte, nu este necesar să se verifice dacă acestea din urmă sunt de natură să afecteze situația juridică a reclamantului, respectiva verificare fiind relevantă numai în cadrul examinării respectării condițiilor prevăzute la articolul 263 al patrulea paragraf TFUE, potrivit cărora o acțiune în anularea unui act este deschisă oricărei persoane vizate în mod direct și individual de acesta, atunci când se aplică această din urmă dispoziție (a se vedea în acest sens Hotărârea din 13 februarie 2025, Swissgrid/Comisia, C‑121/23 P, EU:C:2025:83, punctul 46). Caracterul atacabil al unui act trebuie apreciat deci în mod obiectiv, în funcție de conținutul acestuia, iar nu în funcție de reclamant.

69

Astfel fiind, trebuie amintit că, în prezența unor acte a căror elaborare se efectuează în mai multe etape procedurale, nu constituie în principiu un act atacabil decât măsura care stabilește definitiv poziția instituției, a organului, a oficiului sau a agenției competente a Uniunii, cu excluderea măsurilor intermediare al căror obiectiv este pregătirea acestei măsuri definitive și care nu produc efecte juridice autonome față de terți. Constituie în special asemenea măsuri intermediare cele care exprimă o opinie provizorie a acestei instituții, a acestui organ, a acestui oficiu sau a acestei agenții a Uniunii (a se vedea în acest sens Hotărârea din 11 noiembrie 1981, IBM/Comisia, 60/81, EU:C:1981:264, punctul 10; Hotărârea din 22 septembrie 2022, IMG/Comisia, C‑619/20 P și C‑620/20 P, EU:C:2022:722, punctul 103, precum și Hotărârea din 18 iunie 2024, Comisia/SRB, C‑551/22 P, EU:C:2024:520, punctul 92).

70

Potrivit jurisprudenței, o măsură intermediară nu poate face obiectul unei acțiuni în anulare în special dacă se stabilește că nelegalitatea acesteia va putea fi invocată în susținerea unei acțiuni îndreptate împotriva deciziei finale în elaborarea căreia constituie o etapă pregătitoare. În aceste condiții, acțiunea introdusă împotriva deciziei prin care se finalizează procedura va asigura o protecție jurisdicțională suficientă (a se vedea în acest sens Hotărârea din 11 noiembrie 1981, IBM/Comisia, 60/81, EU:C:1981:264, punctul 12, precum și Hotărârea din 15 martie 2017, Stichting Woonlinie ș.a./Comisia, C‑414/15 P, EU:C:2017:215, punctul 46, precum și jurisprudența citată).

71

În speță, în ceea ce privește conținutul actului vizat și competențele organului în cauză, reiese din însuși modul de redactare a articolului 65 alineatul (1) litera (a) și alineatul (2) din RGPD și a articolului 68 alineatul (1) din RGPD că decizia în litigiu este un act care emană de la un organ al Uniunii și care prezintă un caracter obligatoriu față de terți. Astfel, actul respectiv este obligatoriu pentru autoritatea de supraveghere principală și pentru toate autoritățile de supraveghere vizate, care sunt destinatarii acestuia și care sunt terți în raport cu Comitetul. În conformitate cu articolul 65 alineatul (6) din RGPD, autoritatea de supraveghere principală trebuie să adopte decizia finală pe baza deciziei Comitetului. Este necesar de asemenea ca respectiva decizie finală să facă trimitere la decizia Comitetului, care trebuie anexată la aceasta.

72

În plus, în ceea ce privește contextul adoptării deciziei în litigiu, este cert că ea a fost elaborată în cadrul unui proces care implică mai multe etape procedurale, în sensul jurisprudenței menționate la punctul 69 din prezenta hotărâre, în măsura în care ea precedă adoptarea unui alt act de către autoritatea irlandeză de supraveghere. Totuși, această decizie stabilește în mod definitiv, în sensul jurisprudenței amintite, poziția organului Uniunii competent, și anume Comitetul, și epuizează toate aspectele pe care acest organ este chemat să le soluționeze. Astfel, trebuie să se constate că o asemenea decizie, adoptată în temeiul articolului 65 alineatul (1) litera (a) din RGPD, privește toate aspectele care fac obiectul unei obiecții relevante și motivate din partea autorităților de supraveghere vizate, în sensul articolului 60 alineatul (4) din RGPD, în special cea privind problema dacă a existat o încălcare a RGPD.

73

Rezultă din ceea ce precedă că, deși nu constituie ultima etapă a procedurii de control al coerenței prevăzute la articolele 58, 60 și 65 din RGPD, decizia în litigiu nu poate fi calificată drept măsură intermediară care nu poate face obiectul unei acțiuni, în sensul jurisprudenței citate la punctul 69 din prezenta hotărâre, contrar celor statuate de Tribunal la punctul 42 din ordonanța atacată. În consecință, jurisprudența amintită la punctul 70 din prezenta hotărâre este lipsită de relevanță în speță.

74

În acest context, din moment ce decizia Comitetului produce efecte juridice obligatorii față de terți, nu are importanță împrejurarea că domeniul de aplicare al deciziei finale a autorității naționale de supraveghere include aspecte care nu ar ține de sesizarea sau de competența Comitetului.

75

Pentru aceleași motive, împrejurarea, reținută de Tribunal la punctul 42 din ordonanța atacată, că, spre deosebire de decizia finală a autorității irlandeze de supraveghere, decizia în litigiu nu este opozabilă altor entități în afara destinatarilor săi este de asemenea lipsită de relevanță pentru calificarea acestei decizii drept act atacabil, în temeiul articolului 263 primul paragraf TFUE. O asemenea împrejurare, care se referă la poziția juridică a recurentei în privința deciziei în litigiu, nu se raportează nici la substanța deciziei în litigiu, nici la efectele sale juridice obligatorii din perspectiva unor criterii obiective.

76

Din ansamblul acestor considerații rezultă că decizia în litigiu constituie un act al unui organ al Uniunii destinat să producă efecte juridice față de terți și care exprimă poziția definitivă a respectivului organ cu privire la aspectele care trebuie soluționate de acesta, după cum Tribunalul însuși a constatat de altfel la punctele 36, 37 și 49 din ordonanța atacată. Așadar, această decizie constituie, în lumina modului de redactare a articolului 263 primul paragraf TFUE și a jurisprudenței citate la punctele 66-69 din prezenta hotărâre, un act atacabil, fără a fi necesar să se aprecieze, în acest stadiu, dacă decizia menționată a avut drept consecință modificarea în mod distinct a situației juridice a WhatsApp.

77

În acest sens, este necesar să se constate că Tribunalul a săvârșit o eroare de drept, pe de o parte, la punctul 38 din ordonanța atacată, prin efectuarea unei confuzii între cerințele care rezultă din primul și, respectiv, din al patrulea paragraf al articolului 263 TFUE și, pe de altă parte, la punctul 42 din ordonanța atacată, prin formularea unui criteriu eronat, referitor la lipsa opozabilității directe a actului în cauză față de WhatsApp, și prin calificarea deciziei în litigiu drept măsură intermediară lipsită de efecte juridice autonome.

78

Prin urmare, primul aspect al primului motiv de recurs trebuie admis.

79

WhatsApp susține că Tribunalul a săvârșit o eroare de drept atunci când a statuat că decizia în litigiu nu o viza în mod direct și că acțiunea sa era, în consecință, inadmisibilă.

80

Pe de o parte, în ceea ce privește condiția potrivit căreia actul ar trebui să producă în mod direct efecte asupra situației juridice a reclamantului, Tribunalul ar fi concluzionat în mod eronat, la punctul 52 din ordonanța atacată, că WhatsApp nu a fost vizată în mod direct de decizia în litigiu, pentru motivul că această decizie nu îi era opozabilă și nu constituia ultima etapă a procedurii prevăzute la articolele 58, 60 și 65 din RGPD.

81

Pe de altă parte, în ceea ce privește condiția potrivit căreia un act nu trebuie să lase nicio putere de apreciere destinatarilor care sunt însărcinați cu punerea sa în aplicare, WhatsApp consideră că Tribunalul a săvârșit o eroare de drept atunci când a statuat, la punctele 53-60 din ordonanța atacată, că decizia în litigiu a lăsat autorității irlandeze de supraveghere o marjă de apreciere în privința conținutului deciziei sale finale, admițând totodată că decizia în litigiu era obligatorie pentru această autoritate de supraveghere în privința aspectelor la care se referea.

82

În ceea ce privește punctele 54-56 din ordonanța atacată, în cuprinsul cărora Tribunalul ar fi considerat că conținutul deciziei în litigiu era parțial în raport cu decizia finală, WhatsApp susține că ar fi trebuit să se examineze lipsa puterii de apreciere prin raportare la însăși substanța deciziei în litigiu, fără a se face referire la conținutul suplimentar al deciziei finale. Astfel, Comitetul ar fi analizat numai anumite aspecte ale unei spețe, respectiv chestiunile care au făcut obiectul unor obiecții pertinente și motivate din partea autorităților de supraveghere interesate. Prin urmare, decizia în litigiu nu poate privi întreaga cauză și nu poate îngloba aspecte care nu ar ține de sesizarea sau de competența Comitetului.

83

În plus, Tribunalul ar fi săvârșit o eroare de drept atunci când a statuat, la punctele 57-59 din ordonanța atacată, că autoritatea irlandeză de supraveghere și‑a exercitat puterea de apreciere pentru a trage concluzii din decizia în litigiu. În primul rând, în ceea ce privește calificarea datelor care au făcut obiectul unei comprimări cu pierdere ca date cu caracter personal, WhatsApp susține că respectiva calificare efectuată de Comitet generează obligații suplimentare pentru ea în temeiul RGPD, iar aceasta independent de faptul că autoritatea de supraveghere principală a exercitat o putere de apreciere pe fond, care depășește o astfel de calificare, verificând dacă WhatsApp acționase în calitate de operator sau de persoană împuternicită de operator. În al doilea rând, în ceea ce privește majorarea amenzilor care trebuiau aplicate WhatsApp, această decizie nu ar fi lăsat o marjă de apreciere autorității irlandeze de supraveghere, aceasta din urmă fiind obligată să impună o amendă mai ridicată decât cea avută în vedere inițial. Faptul că autoritatea respectivă păstrează o putere de apreciere în ceea ce privește stabilirea cuantumului precis al amenzii ar fi lipsit de pertinență, din moment ce această sarcină ar fi de competența autorității menționate.

84

Comitetul contestă această argumentație și susține că ar trebui îndeplinite două criterii cumulative pentru ca o persoană fizică sau juridică, care nu este destinatara unui act individual, să fie direct vizată de un act al Uniunii. Pe de o parte, acest act ar trebui să aibă o incidență directă asupra situației juridice a respectivei persoane și, pe de altă parte, nu ar trebui să lase nicio putere de apreciere destinatarului însărcinat cu punerea sa în aplicare, aceasta din urmă fiind pur automată, fără aplicarea altor norme intermediare.

85

În ceea ce privește primul criteriu, această parte observă că efectul obligatoriu al unui act trebuie avut în vedere în funcție de impactul său asupra situației proprii a reclamantului. În speță, decizia în litigiu nu ar fi opozabilă WhatsApp într‑un mod care i‑ar permite, fără alte etape procedurale, să constituie o sursă de obligații. Această decizie nu ar constitui ultima etapă a procedurii vizate la articolele 58, 60 și 65 din RGPD și, în special, nu ar fi stabilit cuantumul final al amenzii și nici nu ar fi definit un nou set de norme pentru activitățile WhatsApp. Așadar, numai decizia finală ar viza în mod direct WhatsApp, autoritatea de supraveghere irlandeză fiind, în temeiul articolului 56 alineatul (6) din RGPD, singurul interlocutor al acestei întreprinderi în calitatea sa de operator.

86

În ceea ce privește al doilea criteriu, Comitetul susține că autoritatea irlandeză de supraveghere ar fi păstrat o veritabilă putere de apreciere în ceea ce privește concluziile care trebuie stabilite în decizia sa finală, care ar avea un domeniu de aplicare mai larg decât decizia în litigiu și care ar cuprinde constatări asupra cărora Comitetul nu a fost invitat să se pronunțe, sesizarea acestuia din urmă fiind limitată la chestiunile care au făcut obiectul unor obiecții pertinente și motivate. În orice caz, ar exista o interdependență între decizia în litigiu și decizia finală. Nu ar fi posibil să se disocieze părțile acestei din urmă decizii care ar corespunde instrucțiunilor Comitetului, împrejurare care ar fi confirmată de faptul că acesta a lăsat o anumită marjă de apreciere autorității irlandeze de supraveghere cu privire la mai multe aspecte.

87

În astfel de circumstanțe, o instanță națională ar fi mai bine plasată pentru a reexamina această decizie finală, adresând Curții, dacă este cazul, întrebări preliminare cu privire la dispozițiile RGPD aplicate atât din oficiu, cât și pe baza instrucțiunilor Comitetului.

88

Potrivit Comitetului, autoritatea irlandeză de supraveghere ar fi păstrat de asemenea o anumită marjă de apreciere cu privire la chestiunilor abordate în decizia în litigiu, în special cele referitoare, pe de o parte, la consecințele juridice care trebuie deduse din calificarea datelor supuse comprimării cu pierdere ca date cu caracter personal și, pe de altă parte, la stabilirea cuantumului amenzilor care trebuie aplicate WhatsApp. Referitor la acest prim aspect, autoritatea menționată ar fi păstrat o putere discreționară și ar fi efectuat o examinare autonomă, în special în ceea ce privește respectarea articolului 14 din RGPD. În această privință, ar fi eronat să se susțină că Comitetul ar fi efectuat o evaluare „completă”, competența acestuia din urmă fiind limitată la conținutul obiecțiilor pertinente și motivate și neacoperind întreaga procedură de constatare a unor încălcări. În legătură cu cel de al doilea aspect, și anume stabilirea amenzilor, deși decizia în litigiu cuprinde instrucțiuni generale referitoare la amenzi, aceasta nu ar privi punerea în aplicare a acestor instrucțiuni și nici calculul acestor amenzi.

89

Republica Federală Germania apreciază că, din moment ce autoritatea de supraveghere principală era singura sa interlocutoare, WhatsApp nu poate fi considerată ca fiind vizată în mod direct de decizia în litigiu. O atare decizie nu ar avea vocația de a fi pusă în aplicare în mod autonom, ci ar trebui să fie întotdeauna urmată de o decizie finală a acestei autorități. Legiuitorul Uniunii ar fi ales astfel în mod deliberat un control descentralizat al RGPD, fără a opta pentru crearea unei autorități europene și centrale de protecție a datelor.

90

Cel de al doilea aspect al primului motiv de recurs vizează problema dacă Tribunalul a săvârșit o eroare de drept atunci când a considerat, la punctele 50-60 din ordonanța atacată, că decizia în litigiu nu privea în mod direct WhatsApp, în sensul articolului 263 al patrulea paragraf TFUE, și că acțiunea introdusă de aceasta din urmă era, în consecință, inadmisibilă.

91

În temeiul acestei dispoziții, orice persoană fizică sau juridică poate formula, în condițiile prevăzute la primul și al doilea paragraf al articolului 263 TFUE, o acțiune împotriva actelor al căror destinatar este sau care o privesc direct și individual, precum și împotriva actelor normative care o privesc direct și care nu presupun măsuri de executare.

92

Așadar, admisibilitatea unei acțiuni introduse de o persoană fizică sau juridică împotriva unui act al cărui destinatar nu este această persoană, în temeiul articolului 263 al patrulea paragraf TFUE, este supusă în special condiției ca acest act să o privească direct și individual (Hotărârea din 3 decembrie 2019, Iccrea Banca,C‑414/18, EU:C:2019:1036, punctul 64 și jurisprudența citată).

93

În speță, după cum a constatat Tribunalul la punctul 40 din ordonanța atacată, s‑a stabilit că WhatsApp este vizată individual de decizia în litigiu, din moment ce aceasta privește anumite aspecte ale proiectului de decizie finală care vizează în mod specific situația respectivei întreprinderi. Totuși, la punctele 52 și 53 din această ordonanță, Tribunalul a apreciat că WhatsApp nu era vizată în mod direct de decizia în litigiu, pentru motivul, pe de o parte, că aceasta nu avea un caracter opozabil față de WhatsApp care ar permite, fără o etapă suplimentară a procedurii, să fie sursa unor obligații pentru ea sau, dacă este cazul, a unor drepturi pentru alți particulari și, pe de altă parte, că, chiar dacă decizia în litigiu era obligatorie pentru autoritatea irlandeză de supraveghere în ceea ce privește aspectele la care se referea, ea i‑ar fi lăsat o marjă de apreciere în legătură cu conținutul deciziei finale.

94

În această privință, trebuie amintit că, potrivit unei jurisprudențe constante, condiția potrivit căreia o persoană fizică sau juridică trebuie să fie vizată direct de decizia care face obiectul acțiunii sale impune îndeplinirea a două condiții cumulative, și anume ca măsura contestată, pe de o parte, să aibă un efect direct asupra situației juridice a acestei persoane și, pe de altă parte, să nu lase nicio putere de apreciere destinatarilor care sunt însărcinați cu punerea sa în aplicare, aceasta având un caracter pur automat și decurgând doar din reglementarea Uniunii, fără aplicarea altor norme intermediare (Hotărârea din 4 octombrie 2024, Comisia și Consiliul/Frontul Polisario, C‑779/21 P și C‑799/21 P, EU:C:2024:835, punctul 87, precum și jurisprudența citată).

95

Înainte de a examina respectarea acestor două condiții în speță, este necesar să se precizeze că lipsa opozabilității directe a actului atacat față de reclamant, precum și împrejurarea că acest act nu constituie ultima etapă a unei proceduri compozite nu se opun ca acest reclamant să poată fi vizat în mod direct de actul menționat atunci când destinatarul aceluiași act nu dispune de nicio putere de apreciere (a se vedea în acest sens Hotărârea din 4 iunie 1992, Infortec/Comisia, C‑157/90, EU:C:1992:243, punctele 13 și 17; Hotărârea din 3 decembrie 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punctele 65 și 67, precum și Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 74).

96

În consecință, după cum a observat doamna avocată generală la punctele 139 și 144 din concluzii, Tribunalul a săvârșit o eroare de drept atunci când a considerat, la punctul 52 din ordonanța atacată, că WhatsApp nu poate fi vizată în mod direct de decizia în litigiu pentru motivul că aceasta din urmă nu ar avea un caracter opozabil față de WhatsApp și nu ar constitui ultima etapă a procedurii prevăzute la articolele 58, 60 și 65 din RGPD.

97

În ceea ce privește respectarea primei dintre condițiile amintite la punctul 94 din prezenta hotărâre, trebuie să se aprecieze dacă actul atacat este sursa unei modificări distincte a situației juridice a persoanei fizice sau juridice în cauză, prin luarea în considerare a substanței acestui act și prin aprecierea efectelor acestuia în raport cu criterii obiective, precum conținutul actului menționat, ținând seama, dacă este cazul, de contextul adoptării acestuia din urmă, precum și de competențele instituției, organului, oficiului sau agenției care este autoarea sa (a se vedea în acest sens Hotărârea din 11 noiembrie 1981, IBM/Comisia, 60/81, EU:C:1981:264, punctul 9, și Hotărârea din 18 iunie 2024, Comisia/SRB, C‑551/22 P, EU:C:2024:520, punctul 65, precum și jurisprudența citată).

98

În speță, după cum s‑a arătat la punctul 30 din prezenta hotărâre, în decizia în litigiu, Comitetul a decis printre altele că WhatsApp nu a respectat obligațiile de informare enunțate la articolul 13 alineatul (1) litera (d) din RGPD și a încălcat articolul 13 alineatul (2) litera (e) din acesta. În consecință, decizia menționată modifică situația juridică a WhatsApp, acesteia impunându‑i‑se în special, ca urmare a intervenției Comitetului, să își modifice raportul contractual cu utilizatorii serviciului de mesagerie furnizat de WhatsApp. Rezultă că există o legătură directă între decizia amintită și efectele sale asupra situației WhatsApp, în sensul jurisprudenței citate la punctele 94 și 95 din prezenta hotărâre.

99

Contrar celor susținute de Comitet, împrejurarea că autoritatea de supraveghere irlandeză este, în temeiul articolului 56 alineatul (6) din RGPD, singurul interlocutor al WhatsApp, în calitate de operator, nu are incidență asupra acestei constatări. Într‑adevăr, respectiva dispoziție urmărește numai să organizeze relațiile dintre un operator sau o persoană împuternicită de operator, o autoritate de supraveghere principală și autoritățile de supraveghere vizate, astfel încât nu privește căile de atac disponibile în privința deciziilor Comitetului.

100

În ceea ce privește respectarea celei de a doua dintre condițiile amintite la punctul 94 din prezenta hotărâre, pentru a aprecia dacă un act lasă destinatarilor săi o marjă de apreciere în scopul punerii sale în aplicare, trebuie să se examineze efectele juridice produse de dispozițiile acestui act, care sunt vizate de acțiune, asupra situației persoanei care invocă dreptul la acțiune în temeiul articolului 263 al patrulea paragraf al doilea segment de teză TFUE (Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 98 și jurisprudența citată).

101

Existența unei asemenea marje de apreciere va trebui înlăturată în special dacă se stabilește că dispozițiile actului care sunt vizate de acțiune au avut drept consecință directă supunerea acestei persoane unor obligații al căror rezultat nu putea fi modificat de entitatea însărcinată cu punerea în aplicare ulterioară a acestui act (a se vedea în acest sens Hotărârea din 12 iulie 2022, Nord Stream 2/Parlamentul și Consiliul, C‑348/20 P, EU:C:2022:548, punctul 114).

102

În speță, după cum reiese din cuprinsul punctelor 71 și 72 din prezenta hotărâre, trebuie amintit că decizia în litigiu este obligatorie pentru autoritatea de supraveghere principală și pentru autoritățile de supraveghere vizate. Acestea nu se pot îndepărta de poziția reținută de Comitet în această decizie și amintită la punctul 30 din prezenta hotărâre. Astfel, decizia menționată soluționează problemele de drept care fac obiectul sesizării sale și leagă în mod necondiționat aceste autorități, în ceea ce privește în special constatarea încălcării anumitor dispoziții ale RGPD, calificarea datelor supuse unei comprimări cu pierdere drept date cu caracter personal, precum și obligația de a majora cuantumul amenzilor preconizate. Autoritățile menționate nu au posibilitatea de a modifica rezultatul aprecierilor efectuate de Comitet referitor la aceste chestiuni, în sensul jurisprudenței citate la punctul anterior din prezenta hotărâre.

103

În această privință, în temeiul articolului 70 alineatul (1) litera (a) din RGPD, Comitetul are sarcina de a asigura aplicarea coerentă a RGPD, prin monitorizarea și asigurarea, astfel cum reiese din considerentul (10) al acestuia, a aplicării coerente și omogene a normelor în materie de protecție a drepturilor și a libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal în întreaga Uniune, în cazurile prevăzute printre altele la articolul 65 din RGPD, fără a aduce atingere sarcinilor autorităților naționale de supraveghere.

104

În acest context, este irelevant că domeniul de aplicare al deciziei finale se extinde la chestiuni care nu țin de sesizarea Comitetului, și anume la aspecte care nu au făcut obiectul unor obiecții pertinente și motivate, în sensul articolului 65 alineatul (1) litera (a) din RGPD, sau la chestiuni care nu țin de competența acestui organ, cum ar fi printre altele stabilirea cuantumului precis al amenzii care trebuie aplicată operatorului sau unei persoane împuternicite de operator, care revine în sarcina autorității de supraveghere sesizate în temeiul articolului 58 alineatul (2) litera (i) și al articolului 83 din RGPD.

105

În plus, deși există, desigur, un raport de interdependență între decizia în litigiu și decizia finală, nu este mai puțin adevărat că acestea constituie acte distincte și că domeniul de aplicare al deciziei în litigiu este bine delimitat, după cum reiese din enumerarea reluată la punctul 30 din prezenta hotărâre. În aceste condiții, acest raport de interdependență nu este de natură să se opună constatării că WhatsApp este vizată în mod direct de decizia în litigiu.

106

În special, deși introducerea simultană a unei acțiuni în anulare în fața instanței Uniunii, în temeiul articolului 263 TFUE, în privința deciziei obligatorii a Comitetului, și în fața instanței naționale, în temeiul articolului 78 din RGPD, în privința deciziei finale adoptate pe baza acestei decizii obligatorii de autoritatea națională de supraveghere, conduce, desigur, la două proceduri paralele, această situație nu are drept consecință că ar trebui să se considere că efectele deciziei Comitetului sunt indirecte, în speță, în raport cu WhatsApp.

107

Astfel, pe de o parte, potrivit jurisprudenței Curții, atunci când soluționarea litigiului pendinte în fața instanței naționale depinde de validitatea deciziei unui organ al Uniunii, din obligația de cooperare loială rezultă că, pentru a evita luarea unei decizii incompatibile cu cea a acestui organ, instanța națională ar trebui să suspende procedura până la pronunțarea de către instanțele Uniunii a unei decizii definitive cu privire la acțiunea în anulare, cu excepția cazului în care consideră că, în împrejurările cauzei, este justificat să fie adresată Curții o întrebare preliminară vizând validitatea deciziei organului menționat (a se vedea în acest sens Hotărârea din 14 decembrie 2000, Masterfoods și HB, C‑344/98, EU:C:2000:689, punctul 57, precum și Hotărârea din 25 iulie 2018, Georgsmarienhütte ș.a., C‑135/16, EU:C:2018:582, punctul 24).

108

Pe de altă parte, este de asemenea necesar să se arate că principiul bunei administrări a justiției poate justifica, în cazul sesizării concomitente a Tribunalului, în cadrul unei acțiuni în anulare, și a Curții, în cadrul unei trimiteri preliminare, utilizarea de către Curte, dacă aceasta consideră adecvat, a articolului 54 al treilea paragraf din Statutul Curții de Justiție a Uniunii Europene pentru suspendarea procedurii aflate pe rolul său în beneficiul celei introduse în fața Tribunalului (Hotărârea din 25 iulie 2018, Georgsmarienhütte ș.a., C‑135/16, EU:C:2018:582, punctul 25).

109

În consecință, întrucât cele două condiții menționate la punctul 94 din prezenta hotărâre sunt îndeplinite, WhatsApp este vizată în mod direct de decizia în litigiu.

110

Având în vedere considerațiile care precedă, se impune, așadar, admiterea celui de al doilea aspect al primului motiv de recurs și, în consecință, anularea ordonanței atacate.

111

Prin intermediul celui de al treilea aspect al primului motiv, WhatsApp arată că este afectată de o eroare de drept constatarea Tribunalului, la punctele 66-70 din ordonanța atacată, potrivit căreia inadmisibilitatea acțiunii sale se înscrie în logica sistemului căilor de atac jurisdicționale instituit de tratatele UE și FUE.

112

Având în vedere concluzia reținută la punctul 110 din prezenta hotărâre, nu este necesară pronunțarea cu privire la al treilea aspect al primului motiv.

113

Referindu‑se la argumentația dezvoltată în cadrul primului motiv, WhatsApp susține că Tribunalul a încălcat articolul 65 alineatul (1) din RGPD și principiul aplicării coerente a dreptului Uniunii atunci când a statuat, la punctele 41-60 din ordonanța atacată, că decizia în litigiu nu producea alte efecte juridice decât efectele sale obligatorii față de autoritățile de supraveghere vizate.

114

Întrucât WhatsApp se limitează să facă trimitere la argumentația dezvoltată în susținerea primului său motiv și având în vedere concluzia reținută la punctul 110 din prezenta hotărâre, nu este necesară pronunțarea cu privire la acest al doilea motiv, din moment ce el nu poate determina o anulare mai extinsă a ordonanței atacate.

115

Conform articolului 61 primul paragraf din Statutul Curții de Justiție a Uniunii Europene, în cazul în care anulează hotărârea Tribunalului, Curtea poate să soluționeze ea însăși în mod definitiv litigiul, atunci când acesta este în stare de judecată.

116

Această condiție este îndeplinită în speță în măsura în care cauza privește numai admisibilitatea acțiunii introduse la Tribunal.

117

În această privință, în primul rând, după cum reiese din cuprinsul punctului 76 din prezenta hotărâre, decizia în litigiu constituie un act atacabil în sensul articolului 263 primul paragraf TFUE. În al doilea rând, astfel cum s‑a constatat la punctul 109 din prezenta hotărâre, decizia în litigiu vizează în mod direct WhatsApp, în sensul articolului 263 al patrulea paragraf TFUE. În al treilea rând, această decizie vizează în mod individual WhatsApp, așa cum Tribunalul însuși a constatat la punctul 40 din ordonanța atacată.

118

În consecință, întrucât condițiile consacrate la primul și la al patrulea paragraf ale articolului 263 TFUE sunt astfel îndeplinite și în lipsa oricărui alt motiv de inadmisibilitate, acțiunea în anulare este declarată admisibilă.

119

Cu toate acestea, având în vedere că Tribunalul nu a examinat fondul acțiunii cu care a fost sesizat, a cărei soluționare necesită o analiză detaliată a situației de fapt și de drept, litigiul nu este în stare de a fi judecat pe fond.

120

Prin urmare, cauza trebuie trimisă spre rejudecare Tribunalului.

121

Întrucât cauza este trimisă spre rejudecare Tribunalului, cererea privind cheltuielile de judecată aferente procedurii de recurs se soluționează odată cu fondul.

Pentru aceste motive, Curtea (Marea Cameră) declară și hotărăște: