1

Mediante sus recursos, basados en el artículo 263 TFUE, la demandante, Data Protection Commission, la autoridad de control irlandesa en materia de protección de datos personales, solicita la anulación parcial de las Decisiones vinculantes 3/2022, 4/2022 y 5/2022, de 5 de diciembre de 2022, del Comité Europeo de Protección de Datos (CEPD), relativas a los litigios entre las autoridades de control interesadas derivados de los proyectos de decisión de la demandante referidos, respectivamente, a la red social Facebook, a la red social Instagram y a la mensajería WhatsApp, en la medida en que esas Decisiones vinculantes la conminan a llevar a cabo nuevas investigaciones sobre los tratamientos de datos vinculados al uso de dichas aplicaciones y a elaborar proyectos de decisión adicionales sobre esta base.

6

Tras las comunicaciones mantenidas con las demás autoridades de control interesadas, la demandante constató que no se alcanzaba ningún consenso en cuanto a las objeciones formuladas respecto de sus proyectos de decisión y sometió el asunto al CEPD en el marco del mecanismo de coherencia establecido en el Reglamento (UE) 2016/679, de conformidad con el artículo 60, apartado 4, de este.

7

A raíz del examen de los tres expedientes, el CEPD adoptó las Decisiones vinculantes 3/2022, 4/2022 y 5/2022 el 5 de diciembre de 2022, sobre la base del artículo 65, apartado 1, letra a), del Reglamento 2016/679. En estas tres Decisiones vinculantes, el CEPD estimó, en primer lugar, que la mayoría de las objeciones formuladas en relación con los proyectos de decisión de la demandante eran pertinentes y estaban motivadas, en el sentido del artículo 4, punto 24, del Reglamento 2016/679, y que podía pronunciarse sobre los asuntos que suscitaban. A este respecto, el CEPD aprobó, en cuanto al fondo, algunas de esas objeciones que había considerado pertinentes y motivadas.

[omissis]

15

La demandante solicita al Tribunal General que:

16

El CEPD solicita al Tribunal General que, en los tres asuntos:

17

En los tres asuntos, la demandante formula un motivo único, basado en que el CEPD excedió la competencia que le confiere el artículo 65, apartado 1, letra a), del Reglamento 2016/679 al exigirle, en todas las Decisiones vinculantes de que se trata, por una parte, llevar a cabo una nueva investigación sobre determinados aspectos aún no examinados y, por otra parte, presentar un proyecto de decisión adicional, de conformidad con el artículo 60, apartado 3, del mismo Reglamento, sobre la base de los resultados de esa nueva investigación.

[omissis]

29

Precisado esto, hay que recordar que de reiterada jurisprudencia se desprende que, en principio, para interpretar una disposición de Derecho de la Unión, procede tener en cuenta no solo el tenor de esta, sino también su contexto y los objetivos que pretende alcanzar la normativa de que forma parte (véase, en este sentido, la sentencia de 29 de noviembre de 2018, Mensing, C‑264/17, EU:C:2018:968, apartado 24 y jurisprudencia citada). En el caso de autos, algunas alegaciones de la demandante también resultan de consideraciones o principios que transcienden al propio Reglamento 2016/679. Por tanto, el Tribunal General se pronunciará sobre el alcance de la competencia del CEPD en virtud del artículo 65, apartado 1, letra a), del Reglamento 2016/679, examinando, en la medida en que sea necesario, en primer lugar, las alegaciones formuladas por la demandante en el marco de un análisis literal, contextual, teleológico e histórico de dicho Reglamento y, a continuación, las basadas en las condiciones de atribución de una competencia a un órgano de la Unión Europea, en las características del control judicial llevado a cabo a nivel nacional y en la independencia de las autoridades de control encargadas de la protección de datos personales.

30

La demandante se fundamenta en el tenor de los artículos 65, apartados 1, letra a), y 6, y 4, punto 24, del Reglamento 2016/679 para sostener que el CEPD no tiene competencia para exigir a una autoridad de control principal, en una decisión vinculante adoptada en virtud de la primera de tales disposiciones, que amplíe su investigación y presente un nuevo proyecto de decisión con la finalidad de extraer las conclusiones de esa investigación adicional. También invoca en este sentido los considerandos 126 y 136 del citado Reglamento.

31

El artículo 65, apartado 1, letra a), del Reglamento 2016/679 dispone:

«Con el fin de garantizar una aplicación correcta y coherente del presente Reglamento en casos concretos, el [CEPD] adoptará una decisión vinculante […] cuando […] una autoridad de control interesada haya manifestado una objeción pertinente y motivada a un proyecto de decisión de la autoridad de control principal y esta no haya seguido la objeción o haya rechazado dicha objeción por no ser pertinente o no estar motivada. La decisión vinculante afectará a todos los asuntos a que se refiera la objeción pertinente y motivada, en particular si hay infracción del presente Reglamento».

32

El artículo 4, punto 24, del Reglamento 2016/679 define la objeción pertinente y motivada del siguiente modo:

«La objeción a una propuesta de decisión sobre la existencia o no de infracción del presente Reglamento, o sobre la conformidad con el presente Reglamento de acciones previstas en relación con el responsable o el encargado del tratamiento, que demuestre claramente la importancia de los riesgos que entraña el proyecto de decisión para los derechos y libertades fundamentales de los interesados y, en su caso, para la libre circulación de datos personales dentro de la Unión».

33

El artículo 65, apartado 6, del Reglamento 2016/679 indica, en particular, lo siguiente:

«La autoridad de control principal o, en su caso, la autoridad de control ante la que se presentó la reclamación adoptará su decisión definitiva sobre la base de la decisión contemplada en el apartado 1 del presente artículo, sin dilación indebida y a más tardar un mes tras la notificación de la decisión del [CEPD]. […] La decisión definitiva de las autoridades de control interesadas será adoptada en los términos establecidos en el artículo 60, apartados 7, 8 y 9. La decisión definitiva hará referencia a la decisión contemplada en el apartado 1 del presente artículo y especificará que esta última decisión se publicará en el sitio web del [CEPD] con arreglo al apartado 5 del presente artículo. La decisión definitiva llevará adjunta la decisión contemplada en el apartado 1 del presente artículo.»

34

Según la demandante, las tres disposiciones citadas en los anteriores apartados 31 a 33 limitan el alcance de las decisiones vinculantes del CEPD, adoptadas sobre la base del artículo 65, apartado 1, letra a), del Reglamento 2016/679, a la extensión de los exámenes efectuados en el proyecto de decisión de la autoridad de control principal comunicado a las demás autoridades de control interesadas en el expediente. En efecto, sostiene que esas decisiones vinculantes solo pueden seguir a objeciones pertinentes y motivadas, que deberán versar sobre el contenido del proyecto de decisión y no sobre lo que no figura en él. Alega que el efecto jurídico de la decisión vinculante se limita a las modificaciones que, según el artículo 65, apartado 6, del mismo Reglamento, la autoridad de control competente debe introducir, en el mes siguiente a su notificación, en la decisión definitiva en relación con el proyecto de decisión. Así, estima que solo puede ser objeto de la decisión vinculante la interpretación correcta del Reglamento 2016/679 con respecto a lo que figura en el proyecto de decisión de la autoridad de control principal, sin que las disposiciones en cuestión confieran ninguna facultad al CEPD para dar a dicha autoridad instrucciones sobre otro tema, por ejemplo, para obligarla a investigar o a presentar un nuevo proyecto de decisión.

35

No obstante, esta interpretación es restrictiva a la luz del tenor de las disposiciones citadas en los anteriores apartados 31 a 33. En efecto, es preciso recordar que el artículo 4, punto 24, del Reglamento 2016/679 incluye en el concepto de «objeción pertinente y motivada» la «objeción a una propuesta de decisión sobre la existencia o no de infracción del presente Reglamento […] que demuestre claramente la importancia de los riesgos que entraña el proyecto de decisión para los derechos y libertades fundamentales de los interesados». Pues bien, aunque el artículo 65, apartado 1, letra a), del Reglamento 2016/679 establece que una decisión vinculante adoptada por este motivo «afectará a todos los asuntos a que se refiera la objeción pertinente y motivada», nada impide que sean objeto de esa objeción la ausencia o la insuficiencia de examen, en ese proyecto de decisión de la autoridad de control principal, de un aspecto del expediente que impida saber si se infringe o no dicho Reglamento en ese aspecto. La expresión «objeción a una propuesta de decisión» no se limita, a diferencia de lo que sostiene la demandante, a las objeciones a las consideraciones que figuran en el proyecto de decisión. Por consiguiente, dado que la decisión vinculante del CEPD debe afectar a todos los asuntos a que se refieran las objeciones pertinentes y motivadas, nada impide que, cuando el CEPD aprueba una objeción pertinente y motivada referida a una ausencia o a una insuficiencia de esa naturaleza, dicha decisión incluya un requerimiento a la autoridad de control principal para que remedie esa falta de examen y, si resulta necesario a la vista del expediente que obra en poder del CEPD, profundice o amplíe a tal efecto la investigación llevada a cabo hasta entonces. En efecto, si resulta que el expediente no basta para realizar en su totalidad el examen exigido, ello debe llevar a que el CEPD pueda exigir a la autoridad de control principal una investigación adicional.

36

Asimismo, procede señalar que el tenor de las tres disposiciones citadas en los anteriores apartados 31 a 33, consideradas conjuntamente, no limita el alcance de las decisiones vinculantes únicamente a las modificaciones inmediatas que deban introducirse en el proyecto de decisión presentado por la autoridad de control principal para adoptar una decisión definitiva en las condiciones precisadas en el artículo 65, apartado 6, del Reglamento 2016/679, es decir, únicamente a las modificaciones referidas al contenido del proyecto de decisión y no a lo que no figure en él. A este respecto, a diferencia de lo que sostiene la demandante, esta última disposición se limita a precisar las modalidades de adopción de la decisión definitiva cuando esta puede acompañar inmediatamente a una decisión vinculante del CEPD, en particular cuando no sea necesario reanudar la investigación o realizar un examen más amplio o más detallado de determinados aspectos del expediente. No es una disposición relativa al posible contenido de una decisión vinculante, el cual vendrá determinado por la base jurídica en virtud de la cual se adopta esa decisión, en este caso el artículo 65, apartado 1, letra a), del Reglamento 2016/679, que ha de interpretarse a su vez en relación con el artículo 4, punto 24, de dicho Reglamento por lo que respecta a la definición del concepto de «objeción pertinente y motivada». Hay que subrayar, a este respecto, que el artículo 65, apartado 1, del Reglamento 2016/679 establece diferentes tipos de decisiones vinculantes del CEPD que no conllevan necesariamente la adopción consecutiva e inmediata de una decisión definitiva de una autoridad de control.

[omissis]

38

El análisis literal realizado en los apartados 35 y 36 anteriores de las tres disposiciones citadas en los apartados 31 a 33 anteriores no queda desvirtuado por el tenor de los considerandos 126 y 136 del Reglamento 2016/679, contrariamente a lo que sostiene la demandante. En efecto, en el primero de estos considerandos, al indicar que «la decisión debe ser acordada conjuntamente por la autoridad de control principal y las autoridades de control interesadas», el legislador en modo alguno excluye de la apreciación de las autoridades de control interesadas que no sean la autoridad de control principal la cuestión de la extensión del examen que esa decisión debe cubrir en un caso específico, sino todo contrario, puesto que «la decisión» no solo se concreta mediante las apreciaciones que en ella figuran, sino también mediante la extensión de los aspectos que abarca. Por consiguiente, si no existe consenso sobre este punto entre las autoridades de control interesadas y el asunto es sometido a este respecto al CEPD, el tenor de dicho considerando no excluye que el CEPD pueda exigir que se amplíe el examen y, en caso necesario, la investigación. Asimismo, el considerando 136 del Reglamento 2016/679 indica que el CEPD «debe dictar […] decisiones jurídicamente vinculantes en casos claramente especificados en los que exista conflicto de opiniones entre las autoridades de control, en particular en el mecanismo de cooperación entre la autoridad de control principal y las autoridades de control interesadas sobre el fondo del asunto, especialmente en caso de infracción del presente Reglamento». A diferencia de lo que sostiene la demandante, el ámbito de la investigación no guarda relación con un aspecto procedimental, sino con el fondo del expediente, ya que determina la extensión de lo que debe examinarse para evaluar si los tratamientos de datos en cuestión respetan el Reglamento 2016/679.

39

A este respecto, cabe desestimar de inmediato otra alegación de la demandante, según la cual la interpretación del concepto de «objeción pertinente y motivada», adoptada en el anterior apartado 35, confiere al CEPD la posibilidad de dirigir a la autoridad de control principal requerimientos en relación con todas las facultades de que dispone dicha autoridad con la única condición de que la cuestión planteada por una autoridad de control interesada sea calificada de objeción pertinente y motivada en el sentido expuesto. Como indica el artículo 4, punto 24, del Reglamento 2016/679, una objeción pertinente y motivada a una propuesta de decisión de la autoridad de control principal solo puede versar sobre un aspecto relativo a la cuestión de la conformidad con dicho Reglamento o a la conformidad con él de las medidas correctoras previstas por lo que respecta al responsable o al encargado del tratamiento. Así pues, esa objeción solo puede versar sobre el fondo del expediente y sobre las facultades decisorias finales de la autoridad de control principal previstas, en particular, en el artículo 58, apartado 2, del mismo Reglamento, que también guardan relación con el fondo. Por consiguiente, no puede ser objeto de esa objeción el desarrollo de la investigación propiamente dicho (por oposición al ámbito de la investigación), que se basa en las facultades de investigación de las autoridades de control mencionadas en el artículo 58, apartado 1, del Reglamento 2016/679.

40

Por tanto, el análisis literal del artículo 65, apartado 1, letra a), del Reglamento 2016/679, efectuado teniendo en cuenta el tenor de los artículos 4, punto 24, y 65, apartado 6, y de los considerandos 126 y 136 del mismo Reglamento, va en el sentido de que el CEPD es competente para adoptar aquellas disposiciones, como las impugnadas, que dan instrucciones a la demandante para que lleve a cabo una nueva investigación sobre determinados aspectos de los expedientes de que se trata y adopte posteriormente a este respecto nuevos proyectos de decisión. Procede examinar si las alegaciones formuladas por la demandante en el marco de sus interpretaciones contextual y teleológica del Reglamento 2016/679 pueden contradecir los resultados de este primer análisis.

[omissis]

43

A este respecto, a diferencia de lo que alega la demandante, el procedimiento de cooperación entre autoridades de control interesadas en un caso, descrito en el artículo 60 del Reglamento 2016/679, que puede suponer la activación del mecanismo de coherencia garantizado por el CEPD, previsto en el apartado 4, no es un procedimiento «de sentido único» en el que las etapas siempre se encadenen en el orden de las disposiciones que las establecen, sin posibilidad de retornar a una etapa anterior o de mantenerse temporalmente en la misma fase. Así, por ejemplo, partiendo de la situación invocada por la demandante, prevista en el apartado 5, en la que la autoridad de control principal quería seguir por sí misma las objeciones formuladas por otras autoridades de control interesadas con respecto a su proyecto de decisión presentado en virtud del apartado 3, y en la que presentó a dichas autoridades un proyecto de decisión revisado, el procedimiento puede evolucionar de varias maneras. Si esas autoridades no formulan objeciones al proyecto revisado, las decisiones definitivas se adoptarán después directamente, de conformidad con los apartados 6 a 9. En caso contrario, es decir, cuando existan objeciones al proyecto revisado, si la autoridad de control principal las acepta total o parcialmente, se reanudará la fase prevista en el apartado 5 y la autoridad de control principal deberá presentar un nuevo proyecto revisado que tenga en cuenta las objeciones que haya aceptado. Si la autoridad de control principal no acepta ninguna o parte de las objeciones al proyecto revisado, deberá activar, de conformidad con el apartado 4, el mecanismo de coherencia recurriendo al CEPD sobre la base del proyecto de decisión revisado más concretado.

44

El CEPD aporta en su escrito de contestación otro ejemplo que ilustra que el procedimiento de cooperación entre autoridades de control interesadas en un caso, establecido en el artículo 60 del Reglamento 2016/679, no es necesariamente «de sentido único». A raíz de las objeciones formuladas por otras autoridades de control interesadas con respecto a su proyecto de decisión presentado de conformidad con el apartado 3 de dicho artículo, la autoridad de control principal puede considerar, por iniciativa propia, que, en lugar de presentar inicialmente un proyecto de decisión revisado o de activar el mecanismo de coherencia, procede retroceder y profundizar en el examen antes de volver a presentar un proyecto de decisión con arreglo al mismo apartado 3. El CEPD indica que la autoridad de control francesa actuó de este modo en un asunto.

45

Igualmente, son posibles varios supuestos en caso de intervención del CEPD en virtud del apartado 4 del mismo artículo y de adopción de una decisión vinculante. Si todos los aspectos pertinentes del caso han sido abordados suficientemente en el proyecto de decisión de la autoridad de control principal, esta o, eventualmente, la autoridad de control ante la que se haya presentado la reclamación podrá adoptar, con arreglo a los apartados 6 a 9 del mismo artículo, una o varias decisiones definitivas que pongan fin al caso, teniendo en cuenta, en particular, la decisión vinculante del CEPD. Si, en cambio, la decisión vinculante del CEPD considera, a raíz de las objeciones formuladas en este sentido, que el proyecto de decisión de la autoridad de control principal no aborda, o no aborda suficientemente, todos los aspectos pertinentes del caso y, eventualmente, que es, por tanto, necesario reabrir la investigación, la autoridad de control principal o la autoridad de control ante la que se haya presentado la reclamación podrá adoptar, con arreglo a las disposiciones antes mencionadas, una o varias decisiones definitivas parciales, pero la autoridad de control principal deberá completar al mismo tiempo su examen, tras haber llevado a cabo, en su caso, una nueva investigación, con el fin de presentar, de conformidad con el apartado 3 del mismo artículo, un proyecto de decisión adicional a las demás autoridades de control interesadas.

46

La demandante formula una segunda alegación por lo que respecta a la interpretación contextual, según la cual, interpretado a la luz del considerando 141 del Reglamento 2016/679, el artículo 57, apartado 1, letra f), de ese mismo Reglamento —que indica que la autoridad de control trata las reclamaciones e investiga, en la medida oportuna, el motivo de las mismas— demuestra que el ámbito de la investigación que debe llevarse a cabo a raíz de una reclamación está comprendido en la apreciación que realizan las autoridades de control nacionales, con la única salvedad del control judicial nacional.

47

El considerando 141 del Reglamento 2016/679 indica, en particular, lo siguiente:

«Todo interesado debe tener derecho a presentar una reclamación ante una autoridad de control única, en particular en el Estado miembro de su residencia habitual, y derecho a la tutela judicial efectiva […] si considera que se vulneran sus derechos con arreglo al presente Reglamento o en caso de que la autoridad de control no responda a una reclamación, rechace o desestime total o parcialmente una reclamación o no actúe cuando sea necesario para proteger los derechos del interesado. La investigación a raíz de una reclamación debe llevarse a cabo, bajo control judicial, si procede en el caso concreto. […]»

48

Sin embargo, el artículo 57, apartado 1, letra f), del Reglamento 2016/679 y las consideraciones formuladas por la demandante no derivan en que se excluya de los mecanismos de cooperación entre autoridades de control interesadas y de coherencia por parte del CEPD la cuestión de la adecuación del ámbito de la investigación.

49

En efecto, el artículo 57 del Reglamento 2016/679, referido al conjunto de funciones de las autoridades de control, establece como primera función, en su apartado 1, letra a), la de controlar la aplicación de dicho Reglamento y la de hacerlo aplicar. Así, a diferencia de lo que, en esencia, alegó la demandante en la vista, el examen de las condiciones en las que se realizan los tratamientos de datos personales y el examen de su conformidad con el citado Reglamento no debe limitarse a lo que pone de manifiesto la reclamación de un denunciante.

50

Por encima de todo, garantizar plenamente las funciones previstas en el artículo 57, apartado 1, letras a) y f), del Reglamento 2016/679 de hacerlo aplicar y tratar las reclamaciones en la medida oportuna implica delimitar adecuadamente el examen del expediente a la luz de la reclamación que está en el origen de dicho expediente, pero también a la luz de los demás elementos que pueden completar el examen. Dado que el tratamiento de datos personales en cuestión es transfronterizo, ese examen debe conducir a la adopción de decisiones que sean objeto del procedimiento de cooperación previsto en el artículo 60 del citado Reglamento. En este procedimiento, el criterio que se ha de cumplir para que un asunto pueda ser objeto de una decisión vinculante del CEPD, adoptada sobre la base del artículo 65, apartado 1, letra a), del referido Reglamento, es que haya dado lugar a una objeción pertinente y motivada, tal como se define en el artículo 4, punto 24, del mismo Reglamento. Pues bien, la objeción pertinente y motivada, según su definición, versa sobre aspectos cuyo examen guarda efectivamente relación con las dos funciones antes mencionadas. Por consiguiente, el hecho de que una objeción pertinente y motivada afecte a la extensión del examen y, en su caso, al ámbito de la investigación, y que el CEPD la siga, en modo alguno compromete tales funciones. Por otro lado, el hecho de que las decisiones intermedias de las autoridades de control adoptadas a raíz de una reclamación puedan ser recurribles ante los órganos jurisdiccionales nacionales no impide que el proyecto de decisión de la autoridad de control principal pueda ser objeto a su vez, dentro de los límites sustantivos asignados al mecanismo de coherencia establecido en el Reglamento 2016/679, de control por parte del CEPD.

51

Por tanto, las alegaciones de la demandante formuladas respecto de la interpretación contextual no permiten sostener su postura acerca de la incompetencia del CEPD para adoptar las disposiciones impugnadas.

52

Por el contrario, el contexto general de la obligación de cooperación entre las autoridades de control interesadas en un caso, consagrado en el Reglamento 2016/679, confirma la competencia del CEPD a este respecto. En efecto, el artículo 60, apartado 1, de dicho Reglamento dispone, en particular, que «la autoridad de control principal cooperará con las demás autoridades de control interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso». El artículo 60, apartado 3, del mismo Reglamento precisa que «la autoridad de control principal comunicará sin dilación a las demás autoridades de control interesadas la información pertinente a este respecto» y que les «transmitirá sin dilación un proyecto de decisión […] para obtener su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista».

53

De ello se desprende que la colaboración entre las autoridades de control interesadas guarda relación, en particular, con el examen del caso en su conjunto y con la elaboración de la decisión, y que la autoridad de control principal debe recabar el acuerdo de las demás autoridades de control interesadas a este respecto. Nada en las disposiciones antes mencionadas permite excluir de esta obligación de cooperación la cuestión de la extensión del examen que debe realizarse ni, en su caso, la cuestión del ámbito de la investigación previa que debe llevarse a cabo. En la sentencia de 15 de junio de 2021, Facebook Ireland y otros (C‑645/19, EU:C:2021:483), apartados 63 y 64, el Tribunal de Justicia recordó el carácter indispensable del diálogo y de la cooperación leal y efectiva entre las autoridades de control interesadas en un caso.

54

De los anteriores apartados 41 a 53 se desprende que el examen del contexto resultante de las disposiciones del Reglamento 2016/679 confirma el análisis literal antes realizado.

55

En el marco de la interpretación teleológica, la demandante sostiene, en primer lugar, que reconocer al CEPD la facultad de exigir a una autoridad de control principal que elabore un proyecto de decisión adicional y amplíe previamente a tal fin el ámbito de su investigación es incompatible con los objetivos del mecanismo de «ventanilla única» deseado por el legislador cuando adoptó el Reglamento 2016/679. Sostiene que el establecimiento de una autoridad de control única para los interesados perseguía, en particular, evitarles costes superfluos y molestias excesivas, como indica el considerando 129 de ese Reglamento. Considera que reabrir una investigación por un mero desacuerdo entre autoridades de control sería contrario a este objetivo, al obligar a los autores de reclamaciones y a las empresas afectadas a afrontar la reanudación de la investigación, con determinados costes y molestias, cuando esta fase debía estar concluida.

56

No obstante, sin que sea necesario pronunciarse sobre las intenciones del legislador, basta con señalar que una ventanilla única responde a un objetivo de simplificación de carácter procedimental que no puede prevalecer sobre el objetivo esencial del Reglamento 2016/679 de que se respete el derecho fundamental de las personas físicas a la protección de sus datos personales. El primer considerando de dicho Reglamento recuerda al respecto que el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales y el artículo 16 TFUE, apartado 1, establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. Una ampliación de la investigación, que precisa la solicitud de al menos la mitad de las autoridades de control en el marco del CEPD, no pretende, contrariamente a lo que sostiene la demandante, complicar la tarea de quien ha presentado una reclamación o del responsable del tratamiento al que se refiere dicha reclamación, sino que constituye una medida para defender sus respectivos derechos. Por lo demás, una investigación y un examen de la autoridad de control principal que abarquen inicialmente todos los aspectos necesarios para la elaboración de una decisión definitiva completa en cuanto al caso de que se trate permiten evitar los inconvenientes mencionados por la demandante.

57

También debe desestimarse la alegación de la demandante de que reabrir una investigación retrasa la resolución definitiva de los aspectos ya analizados y resueltos.

58

En efecto, como, por otra parte, ha hecho la demandante en el caso de autos, en esa situación, la autoridad competente, por el contrario, debe adoptar, con posterioridad a una decisión vinculante del CEPD, una decisión definitiva sobre los aspectos de fondo examinados y resueltos, en el plazo previsto en el artículo 65, apartado 6, del Reglamento 2016/679. Ello no le impide llevar a cabo una investigación adicional y analizar los aspectos del caso que no hayan sido examinados aún.

59

La demandante alega además que el hecho de que el CEPD no intervenga en la determinación de la extensión del examen que debe suscitar un caso —que, en su opinión, es una cuestión previa o procedimental— no impide que funcione el mecanismo de cooperación entre autoridades de control.

60

Sin embargo, el mecanismo de cooperación se encuentra limitado cuando las autoridades de control interesadas no llegan a un consenso. En esta situación, expresamente contemplada en el artículo 60, apartado 4, del Reglamento 2016/679, la autoridad de control principal habrá de someter la cuestión no consensuada al mecanismo de coherencia, que dará lugar a una decisión vinculante del CEPD, como indica esta disposición.

61

Por último, la demandante arguye que esa falta de consenso se solventa recurriendo al control jurisdiccional nacional. Recuerda que el artículo 58, apartado 4, y el considerando 141 del Reglamento 2016/679 indican que la investigación está sujeta al control judicial efectivo.

62

Ciertamente, si el CEPD no pudiera pronunciarse sobre un problema relacionado con la extensión del examen llevado a cabo por la autoridad de control principal, el juez nacional podría intervenir al respecto. No obstante, el Reglamento 2016/679 establece que los problemas planteados con ocasión de una objeción pertinente y motivada de una autoridad de control interesada, en el sentido del artículo 4, punto 24, de dicho Reglamento, se resolverán en el marco de los mecanismos de cooperación y, en su caso, de coherencia, entre autoridades de control. Pues bien, como se ha analizado anteriormente, un problema relativo a la extensión del examen y, en su caso, al ámbito de la investigación llevados a cabo por la autoridad de control principal puede suscitar una objeción pertinente y motivada en el sentido antes citado. Por consiguiente, la posibilidad de someter al juez nacional un problema de esta naturaleza, que, por otra parte, no será necesariamente fácil para un denunciante que resida en un Estado distinto del de la autoridad de control principal, no puede implicar que los desacuerdos persistentes entre las autoridades de control interesadas acerca de las cuestiones que hayan sido objeto de objeciones pertinentes y motivadas no puedan ser resueltos en el CEPD.

63

De los anteriores apartados 55 a 62 se desprende que el examen de los objetivos del Reglamento 2016/679 también confirma el análisis literal antes realizado.

[omissis]

65

En primer lugar, la demandante estima, en esencia, que los principios que rigen la atribución de una competencia a un órgano de la Unión no permiten interpretar el Reglamento 2016/679 en el sentido que resulta de los análisis anteriores, esto es, aquel conforme al cual dicho Reglamento confiere la competencia cuestionada al CEPD.

66

La demandante se remite al artículo 5 TUE para recordar que la Unión solo puede actuar dentro de los límites de las competencias que le han sido atribuidas. Según ella, este principio se aplica a las instituciones y a los órganos de la Unión, como el CEPD. Estima que estos últimos están sujetos además a la «doctrina Meroni» resultante de la sentencia de 13 de junio de 1958, Meroni/Alta Autoridad (9/56, EU:C:1958:7), aplicable a los órganos de la Unión, como declaró el Tribunal de Justicia, en relación con la Autoridad Europea de Valores y Mercados (AEVM), en la sentencia de 22 de enero de 2014, Reino Unido/Parlamento y Consejo (C‑270/12, EU:C:2014:18), apartados 53 y 54. Alega que esta doctrina exige que las facultades de los órganos de la Unión estén delimitadas con precisión y puedan ser objeto de control jurisdiccional a la luz de los objetivos fijados al órgano de que se trate. En particular, sostiene que, en el apartado 45 de la segunda sentencia antes mencionada, se declaró que la facultad de la AEVM debatida en ese asunto, finalmente confirmada por el Tribunal de Justicia, estaba sujeta a diversos criterios y condiciones que delimitan el ámbito de actuación de dicha autoridad. Aduce que, en la sentencia de 15 de julio de 2021, FBF (C‑911/19, EU:C:2021:599), apartados 67 y 75, relativa a la Autoridad Bancaria Europea (ABE), el Tribunal de Justicia precisó que la facultad de un órgano de la Unión debe estar expresamente prevista por el legislador y que el control judicial de dicha facultad debe ser riguroso.

67

Estos principios aplicados en la jurisprudencia afectan, en efecto, al CEPD, que fue creado como órgano de la Unión en el artículo 68 del Reglamento 2016/679.

68

Así pues, hay que comprobar antes de nada si la interpretación adoptada anteriormente en la presente sentencia permite considerar que el ejercicio de la facultad del CEPD, cuando exige a una autoridad de control principal que amplíe su examen y, en su caso, su investigación, «está sujeto a diversos criterios y condiciones que delimitan [su] ámbito de actuación», como declaró el Tribunal de Justicia por lo que respecta a la facultad de la AEVM cuestionada en el asunto que dio lugar a la sentencia de 22 de enero de 2014, Reino Unido/Parlamento y Consejo (C‑270/12, EU:C:2014:18).

69

A este respecto, como se desprende del artículo 65, apartado 1, letra a), del Reglamento 2016/679, en relación con el artículo 4, punto 24, de dicho Reglamento, esa facultad de exigir a una autoridad de control principal que amplíe su examen y, en su caso, su investigación solo puede ejercerse después de que una autoridad de control interesada formule una objeción pertinente y motivada al proyecto de decisión de la autoridad de control principal sobre el caso de que se trate cuyo objeto sea que no se ha examinado un aspecto «sobre la existencia o no de infracción del […] Reglamento [2016/679], o sobre la conformidad con [dicho] Reglamento de acciones previstas en relación con el responsable o el encargado del tratamiento» y que demuestre «claramente la importancia de los riesgos que entraña el proyecto de decisión para los derechos y libertades fundamentales de los interesados y, en su caso, para la libre circulación de datos personales dentro de la Unión».

70

Además, en virtud del artículo 65, apartados 2 y 3, del Reglamento 2016/679, ejercer la facultad antes mencionada supone, en esencia, que, en el CEPD, una mayoría de dos tercios, o al menos la mitad de sus miembros en determinadas circunstancias, entre ellos, en caso de empate, el presidente, hayan aprobado esta objeción pertinente y motivada y el curso que se le deba dar. Así pues, se exige que un número significativo de autoridades de control confirmen la ausencia o la insuficiencia de examen de un aspecto importante del caso de que se trate y que se pongan de acuerdo sobre las medidas que debe adoptar la autoridad de control principal para ponerle remedio. A este respecto, debe tenerse en cuenta que el propio CEPD está compuesto por un número importante de autoridades independientes especializadas en la materia y, por consiguiente, que una opinión convergente mayoritaria de estas en él da garantías en cuanto al ejercicio de esa facultad. Por otra parte, si bien es verdad que el concepto de «objeción pertinente y motivada», recordado en el anterior apartado 69, deja cierto margen de apreciación, en particular para determinar si el responsable o el encargado del tratamiento de que se trate infringen el Reglamento 2016/679 o si hay que examinar ese aspecto para saberlo, todas estas cuestiones remiten a unas normas jurídicas precisas que figuran en dicho Reglamento, lo que no permite que se ejerza una «amplia facultad discrecional».

71

En resumen, por lo que respecta a la cuestión de la delimitación de la facultad del CEPD, cuestionada por la demandante, hay que declarar, por tanto, por una parte, que dicha facultad solo se ejercita en caso de una insuficiencia claramente identificada del examen de la autoridad de control principal en el tratamiento del caso que pueda tener consecuencias importantes, como se desprende de la definición de la objeción pertinente y motivada que figura en el artículo 4, punto 24, del Reglamento 2016/679, y, por otra parte, que esa facultad resulta de la apreciación colectiva de las autoridades de control que integran el CEPD que se produce en las condiciones puestas de relieve en el anterior apartado 70.

72

Por lo que respecta a la cuestión de si la facultad controvertida está «explícitamente» prevista por el legislador, debe subrayarse que el adverbio «explícitamente» y los adverbios «expresamente» y «claramente», que son sinónimos y remiten, respectivamente, a los adjetivos «explícito», «expreso» y «claro», significan que no existen dudas sobre el alcance de lo que se expresa. Pues bien, de la interpretación que pivota sobre las bases literal, contextual y teleológica realizada anteriormente se desprende que no existen dudas de que el CEPD dispone de la competencia cuestionada y de que esta está, por tanto, expresamente prevista por el legislador. Cabe observar que, en la sentencia de 15 de julio de 2021, FBF (C‑911/19, EU:C:2021:599), relativa a la ABE, las directrices de esta autoridad, de la que se negaba que tuviera competencia para adoptarlas, se referían a los «procedimientos de gobernanza y vigilancia de productos de banca minorista». Ninguno de los textos aplicables a dicha autoridad indicaba literalmente que esta pudiera adoptar directrices al respecto. Analizando conjuntamente esos textos, es decir, el Reglamento por el que se crea la ABE, que establece genéricamente su competencia para adoptar directrices para ciertos fines, y diferentes directivas relativas a las entidades y productos financieros, el Tribunal de Justicia consideró que las directrices controvertidas formaban parte de esa competencia.

73

Además, debe señalarse que el ejercicio de la facultad del CEPD de exigir a una autoridad de control principal que amplíe su examen y, en caso necesario, su investigación está efectivamente sujeta al control judicial. Es cierto que, en el caso de autos, la demandante optó por criticar las disposiciones impugnadas únicamente por la incompetencia del CEPD, sin cuestionar la apreciación concreta de este relativa a las objeciones formuladas por determinadas autoridades de control con respecto a sus proyectos de decisión, apreciación que dio lugar a la adopción de esas disposiciones. No obstante, circunscribiéndose a los motivos invocados ante él, el juez de la Unión puede comprobar la legalidad de tales disposiciones en cuanto al fondo en función de las circunstancias del caso. En particular, en un primer momento, puede comprobar si el CEPD, al adoptar disposiciones de esa naturaleza, siguió efectivamente una objeción pertinente y motivada de una autoridad de control, en el sentido del artículo 4, punto 24, del Reglamento 2016/679. En un momento posterior, puede comprobar la legalidad de la esencia misma de esas disposiciones que dan instrucciones a las autoridades de control.

74

Este tipo de control judicial es «riguroso», en el sentido empleado en la sentencia de 15 de julio de 2021, FBF (C‑911/19, EU:C:2021:599), apartado 67. En efecto, el juez de la legalidad está, en general, obligado por su cargo y por las normas procesales y su control es forzosamente riguroso si desempeña plenamente sus funciones en el marco de dichas normas. En cuanto a las cuestiones de fondo, el juez de la legalidad ejerce un control normal (en principio, por lo que respecta a los aspectos jurídicos, a la determinación de los hechos y a los supuestos de competencia reglada) o un control limitado (en principio, sobre los aspectos técnicos complejos o cuando la autoridad dispone de cierto margen de apreciación, supuestos en los que el juez solo sanciona el error manifiesto de apreciación) en función del margen de apreciación de que dispone el autor del acto impugnado [véase, en este sentido y por analogía, en lo que respecta al control del juez nacional sobre las decisiones de las autoridades nacionales en materia de protección de datos personales, la sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), C‑26/22 y C‑64/22, EU:C:2023:958, apartados 68 y 69].

75

De los anteriores apartados 67 a 74 resulta que las condiciones de atribución de una competencia a un órgano de la Unión no se oponen al análisis previamente realizado en la presente sentencia.

76

En segundo lugar, la demandante expone diferentes motivos para demostrar que los órganos jurisdiccionales nacionales son el «foro adecuado» para tratar las impugnaciones relacionadas con la investigación, es decir, que son los que se hallan en mejor posición para hacerlo.

77

No obstante, como se ha expuesto en el anterior apartado 62, el legislador de la Unión optó por que los desacuerdos persistentes entre autoridades de control interesadas, referidos a la extensión del examen de un caso y, eventualmente, al ámbito de la investigación llevada a cabo al respecto, sean resueltos en el marco del mecanismo de coherencia en el CEPD. Por consiguiente, las alegaciones de la demandante que tienen por objeto demostrar que los órganos jurisdiccionales nacionales son el «foro adecuado» para tratar las impugnaciones relacionadas con la investigación son inoperantes.

78

Se ha de añadir que, dado que tanto el juez nacional como el CEPD pueden verse obligados a pronunciarse sobre la extensión del examen y el ámbito de la investigación, en materia de aplicación de las normas sobre competencia establecidas en los artículos 101 TFUE y 102 TFUE, materia en la que las responsabilidades también se reparten a escala nacional y a escala de la Unión para aplicar las políticas de la Unión, la jurisprudencia del Tribunal de Justicia ha sentado una serie de principios para coordinar la acción de los jueces nacionales y de la entidad de la Unión encargada de garantizar la coherencia en la aplicación de la política en cuestión, a saber, la Comisión (sentencias de 28 de febrero de 1991, Delimitis, C‑234/89, EU:C:1991:91, y de 14 de diciembre de 2000, Masterfoods y HB, C‑344/98, EU:C:2000:689). Aunque no se excluye que, con arreglo a estos principios, un juez nacional considere preferible suspender el procedimiento a la espera de una decisión de la entidad competente de la Unión o que, cuando se haya adoptado esa decisión, pueda quedar vinculado por ella, a menos que albergue dudas sobre su validez y solicite al Tribunal de Justicia, con carácter prejudicial, su apreciación a este respecto, estas situaciones son inherentes a ese reparto de responsabilidades y a la necesidad de garantizar en el conjunto de la Unión la coherencia en la aplicación de la política de que se trate.

79

Hay que añadir también que, a diferencia de lo que sostiene la demandante en tercer lugar, una decisión vinculante del CEPD, adoptada sobre la base del artículo 65, apartado 1, letra a), del Reglamento 2016/679, que le exige ampliar su examen y su investigación no cuestiona su capacidad para jerarquizar el cumplimiento de sus diferentes funciones como autoridad independiente, tarea cuyo control corresponde exclusivamente al juez nacional. Más genéricamente, tampoco pone en tela de juicio la independencia que tiene y consagran el artículo 39 TUE, el artículo 16 TFUE, apartado 2, y el artículo 8, apartado 3, de la Carta de los Derechos Fundamentales.

80

En efecto, por una parte, ya sea por su propia iniciativa, en la fase de cooperación entre autoridades de control interesadas a raíz de intervenciones en este sentido de sus homólogos, o con posterioridad a una decisión vinculante de ese tipo, si bien la autoridad de control principal debe completar su examen y su investigación acerca de un caso, no está obligada a hacerlo interrumpiendo todo lo demás, con prioridad sobre sus otras funciones. Por ejemplo, puede anunciar que un primer proyecto de decisión o que una primera decisión que haya adoptado solo abordarán parte de las cuestiones que se infieren del caso de que se trate y que, con posterioridad, proseguirá con sus exámenes y su investigación.

81

Únicamente en las circunstancias previstas en el artículo 66 del Reglamento 2016/679, cuando otra autoridad de control interesada considere que es urgente intervenir para proteger los derechos y libertades de los interesados, una decisión vinculante urgente del CEPD podrá obligar a la autoridad de control principal a revisar sin demora el orden de sus prioridades para tramitar un caso. Así pues, el legislador solo previó esta posibilidad para supuestos excepcionales. En efecto, las Decisiones vinculantes 3/2022, 4/2022 y 5/2022 no fueron adoptadas sobre la base del citado artículo 66 y, por consiguiente, no imponían a la demandante un orden de prioridades entre sus diferentes funciones.

82

Por otra parte, las disposiciones de Derecho primario que invoca la demandante no implican una independencia absoluta —en el sentido de que no exista control alguno— de las autoridades de los Estados miembros encargadas esencialmente de velar por la aplicación de las normas relativas a la protección de los datos personales. Esas disposiciones únicamente indican que el control de la observancia de esas normas se confía a autoridades independientes, lo que en modo alguno se opone, por tanto, a un sistema de control recíproco entre autoridades independientes, como los mecanismos de cooperación y de coherencia previstos en el Reglamento 2016/679, ni, por supuesto, al control judicial con respecto a las decisiones adoptadas por las distintas autoridades implicadas. Lo importante es que quienes controlan a los supervisores sean ellos mismos independientes. Así ocurre con el CEPD, ya que está integrado por autoridades de control de los Estados miembros y por el Supervisor Europeo de Protección de Datos, que es, a su vez, una autoridad independiente frente a las instituciones y demás entidades de la Unión que controla.

[omissis]

84

A tenor del artículo 134, apartado 1, del Reglamento de Procedimiento del Tribunal General, la parte que haya visto desestimadas sus pretensiones será condenada en costas, si así lo hubiera solicitado la otra parte. Al haber sido desestimadas las pretensiones de la demandante, procede condenarla en costas, conforme a lo solicitado por el CEPD.

En virtud de todo lo expuesto,

EL TRIBUNAL GENERAL (Sala Décima ampliada)

decide: