1

Prin acțiunile întemeiate pe articolul 263 TFUE, reclamanta, Data Protection Commission, autoritatea de supraveghere irlandeză în materie de protecție a datelor cu caracter personal, solicită anularea parțială a Deciziilor obligatorii 3/2022, 4/2022 și 5/2022 din 5 decembrie 2022 ale Comitetului european pentru protecția datelor (denumit în continuare „CEPD”), referitoare la litigii între autoritățile de supraveghere vizate, rezultate din proiecte de decizie ale reclamantei referitoare la rețeaua socială Facebook, rețeaua socială Instagram și, respectiv, serviciul de mesagerie WhatsApp, în măsura în care aceste decizii obligatorii îi impun să desfășoare investigații noi cu privire la prelucrările de date efectuate legate de utilizarea acestor aplicații și să elaboreze proiecte de decizie complementare pe această bază.

6

În urma unor schimburi de corespondență cu celelalte autorități de supraveghere vizate, reclamanta a constatat că nu exista un consens în ceea ce privește obiecțiile formulate cu privire la proiectele sale de decizie și a sesizat CEPD în cadrul mecanismului pentru asigurarea coerenței instituit prin Regulamentul 2016/679, în conformitate cu articolul 60 alineatul (4) din acesta.

7

În urma examinării celor trei dosare, CEPD a adoptat Deciziile obligatorii 3/2022, 4/2022 și 5/2022 la 5 decembrie 2022, în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul 2016/679. În aceste trei decizii obligatorii, CEPD a apreciat mai întâi că majoritatea obiecțiilor formulate cu privire la proiectele de decizie ale reclamantei erau relevante și motivate, în sensul articolului 4 punctul 24 din Regulamentul 2016/679, și că putea lua poziție cu privire la aspectele pe care acestea le ridicau. În această privință, CEPD a aprobat pe fond unele dintre aceste obiecții pe care le‑a considerat relevante și motivate.

[omissis]

15

Reclamanta solicită Tribunalului:

16

CEPD, în cele trei cauze, solicită Tribunalului:

17

Reclamanta invocă în cele trei cauze un motiv unic, întemeiat pe faptul că CEPD și‑ar fi depășit competența pe care i‑o conferă articolul 65 alineatul (1) litera (a) din Regulamentul 2016/679, impunându‑i, în fiecare dintre deciziile obligatorii în cauză, pe de o parte, să efectueze o nouă investigație cu privire la aspecte neexaminate încă și, pe de altă parte, să prezinte un proiect de decizie complementară, în conformitate cu articolul 60 alineatul (3) din același regulament, pe baza rezultatelor acestei noi investigații.

[omissis]

29

Acestea fiind precizate, trebuie amintit că reiese dintr‑o jurisprudență constantă că, în principiu, în vederea interpretării unei dispoziții de drept al Uniunii, trebuie să se țină seama nu numai de formularea acesteia, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte această dispoziție (a se vedea în acest sens Hotărârea din 29 noiembrie 2018, Mensing, C‑264/17, EU:C:2018:968, punctul 24 și jurisprudența citată). În speță, anumite argumente ale reclamantei provin de asemenea din considerații sau din principii inspirate dincolo de însuși Regulamentul 2016/679. Tribunalul se va pronunța, așadar, cu privire la întinderea competenței CEPD în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul 2016/679, examinând, în măsura în care este necesar, mai întâi argumentele reclamantei invocate în cadrul unei analize literale, contextuale, teleologice și istorice a acestui regulament, apoi pe cele întemeiate pe condițiile de atribuire a unei competențe unui organ al Uniunii, pe caracteristicile controlului jurisdicțional efectuat la nivel național și pe independența autorităților de supraveghere însărcinate cu protecția datelor cu caracter personal.

30

Reclamanta se întemeiază pe modul de redactare a articolului 65 alineatul (1) litera (a), a articolului 65 alineatul (6), precum și a articolului 4 punctul 24 din Regulamentul 2016/679, pentru a susține că CEPD nu are competența de a impune unei autorități de supraveghere principale, într‑o decizie obligatorie adoptată în temeiul primei dintre aceste dispoziții, să își extindă investigația și să prezinte un nou proiect de decizie pentru a trage concluziile în urma acestei investigații complementare. Ea invocă de asemenea în acest sens considerentele (126) și (136) ale acestui regulament.

31

Articolul 65 alineatul (1) litera (a) din Regulamentul 2016/679 dispune:

„Pentru a asigura aplicarea corectă și coerentă a prezentului regulament în cazuri individuale, [CEPD] adoptă o decizie obligatorie […] atunci când […] o autoritate de supraveghere vizată a formulat o obiecție relevantă și motivată la un proiect de decizie a autorității de supraveghere principale și autoritatea de supraveghere principală nu a dat curs obiecției sau a respins o astfel de obiecție ca nefiind relevantă sau motivată. Decizia obligatorie se referă la toate chestiunile vizate de obiecția relevantă și motivată, în special la chestiunea dacă prezentul regulament a fost încălcat.”

32

Articolul 4 punctul 24 din Regulamentul 2016/679 definește obiecția relevantă și motivată după cum urmează:

„o obiecție la un proiect de decizie în scopul de a stabili dacă există o încălcare a prezentului regulament sau dacă măsurile preconizate în ceea ce privește operatorul sau persoana împuternicită de operator respectă prezentul regulament, care demonstrează în mod clar importanța riscurilor pe care le prezintă proiectul de decizie în ceea ce privește drepturile și libertățile fundamentale ale persoanelor vizate și, după caz, libera circulație a datelor cu caracter personal în cadrul Uniunii”.

33

Articolul 65 alineatul (6) din Regulamentul 2016/679 prevede printre altele următoarele:

„Autoritatea de supraveghere principală sau, dacă este cazul, autoritatea de supraveghere la care s‑a depus plângerea își adoptă decizia finală pe baza deciziei menționate la alineatul (1) din prezentul articol, fără întârziere nejustificată și în termen de cel mult o lună de la notificarea de către [CEPD] a deciziei sale. […] Decizia finală a autorităților de supraveghere vizate se adoptă în conformitate cu condițiile prevăzute la articolul 60 alineatele (7), (8) și (9). Decizia finală se referă la decizia menționată la alineatul (1) din prezentul articol și precizează faptul că decizia menționată la respectivul alineat va fi publicată pe site‑ul [CEPD], în conformitate cu alineatul (5). La decizia finală se anexează decizia menționată la alineatul (1) din prezentul articol.”

34

Potrivit reclamantei, cele trei dispoziții citate la punctele 31-33 de mai sus limitează domeniul de aplicare al unei decizii obligatorii a CEPD, adoptată în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul 2016/679, la domeniul analizelor efectuate în proiectul de decizie al autorității de supraveghere principale comunicat celorlalte autorități de supraveghere vizate de dosar. Astfel, o asemenea decizie obligatorie nu ar putea decât să dea curs unei obiecții relevante și motivate, care ar trebui să privească conținutul proiectului de decizie, iar nu ceea ce nu figurează în acesta. Efectul juridic al deciziei obligatorii ar fi limitat la modificările pe care, potrivit articolului 65 alineatul (6) din același regulament, autoritatea de supraveghere competentă trebuie să le aducă, în termen de o lună de la notificarea sa, în decizia finală în raport cu proiectul de decizie. Astfel, decizia obligatorie nu ar putea privi decât interpretarea corectă a Regulamentului 2016/679 în raport cu ceea ce figurează în proiectul de decizie al autorității de supraveghere principale, iar dispozițiile în discuție nu ar conferi CEPD nicio competență de a da acestei autorități instrucțiuni cu privire la un alt subiect, de exemplu pentru a o obliga să investigheze sau să prezinte un nou proiect de decizie.

35

Totuși, această interpretare este restrictivă în raport cu textul dispozițiilor citate la punctele 31-33 de mai sus. Astfel, trebuie amintit că articolul 4 punctul 24 din Regulamentul 2016/679 include în noțiunea de „obiecție relevantă și motivată” o „obiecție la un proiect de decizie în scopul de a stabili dacă există o încălcare a prezentului regulament […] care demonstrează în mod clar importanța riscurilor pe care le prezintă proiectul de decizie în ceea ce privește drepturile și libertățile fundamentale ale persoanelor vizate”. Or, deși articolul 65 alineatul (1) litera (a) din Regulamentul 2016/679 prevede că o decizie obligatorie adoptată în acest temei „se referă la toate chestiunile vizate de obiecția relevantă și motivată”, nimic nu interzice ca o astfel de obiecție să privească lipsa sau insuficiența analizei, în acest proiect de decizie al autorității de supraveghere principale, a unui aspect al dosarului, care împiedică să se stabilească dacă există sau nu există o încălcare a regulamentului menționat cu privire la acest aspect. Expresia „obiecție la un proiect de decizie” nu se limitează, contrar celor susținute de reclamantă, la obiecțiile privind considerațiile care figurează în proiectul de decizie. În consecință, din moment ce decizia obligatorie a CEPD trebuie să privească toate chestiunile care fac obiectul unor obiecții relevante și motivate, nimic nu interzice ca, atunci când CEPD aprobă o obiecție relevantă și motivată referitoare la o lipsă sau la o insuficiență de această natură, această decizie să cuprindă un ordin adresat autorității de supraveghere principale de a remedia această lipsă de analiză și, dacă acest lucru este necesar având în vedere dosarul aflat în posesia CEPD, de a aprofunda sau de a extinde în acest scop investigația efectuată până la acel moment. Astfel, dacă rezultă că dosarul este insuficient pentru a efectua pe deplin analiza necesară, acest lucru trebuie să conducă la posibilitatea CEPD de a impune autorității de supraveghere principale efectuarea unei investigații complementare.

36

Trebuie să se constate de asemenea că modul de redactare a celor trei dispoziții citate la punctele 31-33 de mai sus, luate în considerare împreună, nu limitează domeniul de aplicare al unei decizii obligatorii numai la modificările imediate care trebuie aduse proiectului de decizie prezentat de autoritatea de supraveghere principală în vederea adoptării unei decizii finale în condițiile precizate la articolul 65 alineatul (6) din Regulamentul 2016/679, cu alte cuvinte numai la modificările privind conținutul proiectului de decizie, iar nu la modificări privind ceea ce nu figurează în acesta. În această privință, contrar celor susținute de reclamantă, această din urmă dispoziție nu urmărește decât să precizeze modalitățile de adoptare a deciziei finale atunci când aceasta poate urma de la bun început unei decizii obligatorii a CEPD, în special atunci când nu este necesară reluarea investigației sau analiza mai amplă sau mai aprofundată a anumitor aspecte ale dosarului. Ea nu constituie o dispoziție privind conținutul posibil al unei decizii obligatorii, care este determinat de temeiul juridic pe baza căruia este adoptată această decizie, în speță articolul 65 alineatul (1) litera (a) din Regulamentul 2016/679, care trebuie interpretat el însuși coroborat cu articolul 4 punctul 24 din acest regulament în ceea ce privește definiția noțiunii de „obiecție relevantă și motivată”. Trebuie subliniat, în această privință, că articolul 65 alineatul (1) din Regulamentul 2016/679 prevede diferite tipuri de decizii obligatorii ale CEPD care nu implică în mod necesar adoptarea consecutivă și imediată a unei decizii finale a unei autorități de supraveghere.

[omissis]

38

Analiza literală efectuată la punctele 35 și 36 de mai sus cu privire la cele trei dispoziții citate la punctele 31-33 de mai sus nu poate fi infirmată de modul de redactare a considerentelor (126) și (136) ale Regulamentului 2016/679, contrar celor susținute de reclamantă. Astfel, în primul dintre aceste considerente, arătând că „[d]ecizia ar trebui convenită în comun de autoritatea de supraveghere principală și de autoritățile de supraveghere vizate”, legiuitorul nu exclude nicidecum de la aprecierea altor autorități de supraveghere vizate decât autoritatea de supraveghere principală chestiunea domeniului analizei pe care o asemenea decizie trebuie să o acopere într‑un caz particular, ci dimpotrivă, deoarece „decizia” se materializează nu numai prin aprecierile care figurează în aceasta, ci și prin domeniul aspectelor pe care le acoperă. În consecință, dacă nu există un consens cu privire la acest aspect între autoritățile de supraveghere vizate, iar CEPD este sesizată în această privință, modul de redactare a acestui considerent nu exclude posibilitatea ca CEPD să impună o extindere a analizei și, dacă este necesar, a investigației. De asemenea, considerentul (136) al Regulamentului 2016/679 arată că CEPD „ar trebui să emită […] decizii obligatorii din punct de vedere juridic, în cazuri bine definite, în cazul în care există opinii divergente între autoritățile de supraveghere, în special în cadrul mecanismului de cooperare între autoritatea de supraveghere principală și autoritățile de supraveghere vizate privind fondul cauzei, în special existența sau nu a unei încălcări a prezentului regulament”. Contrar celor susținute de reclamantă, domeniul investigației nu ține de un aspect procedural, ci de fondul dosarului, întrucât stabilește întinderea a ceea ce trebuie examinat pentru a evalua dacă prelucrarea sau prelucrările de date în cauză respectă Regulamentul 2016/679.

39

În această privință, poate fi respins încă de acum un alt argument al reclamantei, potrivit căruia interpretarea noțiunii de „obiecție relevantă și motivată”, reținută la punctul 35 de mai sus, ar da CEPD posibilitatea de a adresa autorității de supraveghere principale ordine privind ansamblul competențelor deținute de această autoritate, cu singura condiție ca problema ridicată de o autoritate de supraveghere vizată să fie calificată drept obiecție relevantă și motivată în sensul astfel reținut. Astfel cum se arată la articolul 4 punctul 24 din Regulamentul 2016/679, o obiecție relevantă și motivată la un proiect de decizie a autorității de supraveghere principale poate privi numai o chestiune referitoare la aspectul dacă acest regulament este respectat sau dacă măsurile corective preconizate în privința operatorului sau a persoanei împuternicite de operator sunt ele însele conforme cu acesta. Prin urmare, o astfel de obiecție poate privi numai fondul dosarului și competențele decizionale finale ale autorității de supraveghere principale, prevăzute printre altele la articolul 58 alineatul (2) din același regulament, care țin de asemenea de fond. În consecință, o astfel de obiecție nu poate privi desfășurarea investigației propriu‑zise (spre deosebire de domeniul investigației), care se întemeiază pe competențele de investigare ale autorităților de supraveghere menționate la articolul 58 alineatul (1) din Regulamentul 2016/679.

40

Analiza literală a articolului 65 alineatul (1) litera (a) din Regulamentul 2016/679, efectuată ținând seama de modul de redactare a articolului 4 punctul 24, a articolului 65 alineatul (6) și a considerentelor (126) și (136) ale aceluiași regulament, este, așadar, în sensul competenței CEPD de a adopta dispoziții, precum dispozițiile atacate, care dau instrucțiuni reclamantei să efectueze o nouă investigație cu privire la anumite aspecte ale dosarelor în cauză și să adopte ulterior în această privință noi proiecte de decizie. Este necesar să se examineze dacă argumentele reclamantei invocate în cadrul interpretărilor sale contextuale și teleologice ale Regulamentului 2016/679 sunt de natură să contrazică rezultatele acestei prime analize.

[omissis]

43

În această privință, contrar celor susținute de reclamantă, procedura de cooperare între autoritățile de supraveghere vizate de un caz, descrisă la articolul 60 din Regulamentul 2016/679, care poate implica declanșarea mecanismului pentru asigurarea coerenței asigurat de CEPD, prevăzut la alineatul (4), nu este o procedură „cu sens unic” în care etapele s‑ar desfășura întotdeauna în ordinea dispozițiilor care le prevăd, fără posibilitatea revenirii la o etapă precedentă sau rămânerii temporare în aceeași etapă. Astfel, de exemplu, pornind de la situația invocată de reclamantă, prevăzută la alineatul (5), în care autoritatea de supraveghere principală a intenționat să urmeze ea însăși obiecțiile altor autorități de supraveghere vizate, formulate cu privire la proiectul său de decizie transmis în temeiul alineatului (3) și în care a prezentat acestor autorități un proiect de decizie revizuit, procedura poate evolua în mai multe moduri. În lipsa unei obiecții a acestor autorități la proiectul revizuit, decizia sau deciziile finale sunt ulterior adoptate direct în conformitate cu alineatele (6)-(9). În caz contrar, și anume în prezența unor obiecții la proiectul revizuit, dacă autoritatea de supraveghere principală le acceptă integral sau parțial, etapa prevăzută la alineatul (5) se reia, fiind necesar ca autoritatea de supraveghere principală să prezinte un nou proiect revizuit, care să țină seama de obiecțiile pe care le‑a acceptat. În cazul în care autoritatea de supraveghere principală nu acceptă în tot sau în parte obiecții la proiectul revizuit, aceasta trebuie, în conformitate cu alineatul (4), să declanșeze mecanismul pentru asigurarea coerenței prin sesizarea CEPD pe baza celui mai avansat proiect de decizie revizuit.

44

CEPD furnizează în memoriul său în apărare un alt exemplu care ilustrează că procedura de cooperare între autoritățile de supraveghere vizate de un caz, prevăzută la articolul 60 din Regulamentul 2016/679, nu este în mod necesar „cu sens unic”. În urma obiecțiilor formulate de alte autorități de supraveghere vizate cu privire la proiectul său de decizie prezentat în temeiul alineatului (3) al acestui articol, autoritatea de supraveghere principală poate considera ea însăși că, în loc să prezinte de la început un proiect de decizie revizuit sau să declanșeze mecanismul pentru asigurarea coerenței, trebuie să revină și să aprofundeze examinarea înainte de a prezenta din nou un proiect de decizie în temeiul aceluiași alineat (3). CEPD arată că autoritatea de supraveghere franceză a procedat astfel într‑un caz.

45

În același mod, în cazul intervenției CEPD în temeiul alineatului (4) al aceluiași articol și al adoptării unei decizii obligatorii, sunt posibile mai multe ipoteze. În cazul în care toate aspectele relevante ale cazului au fost abordate în mod suficient în proiectul de decizie al autorității de supraveghere principale, aceasta sau, după caz, autoritatea de supraveghere la care a fost depusă plângerea pot adopta, în temeiul alineatelor (6)-(9) ale aceluiași articol, una sau mai multe decizii finale de închidere a cazului, ținând seama în special de decizia obligatorie a CEPD. Dacă, în schimb, în decizia obligatorie a CEPD se consideră, în urma obiecțiilor formulate în acest sens, că proiectul de decizie al autorității de supraveghere principale nu tratează sau nu tratează în mod suficient toate aspectele relevante ale cazului și, dacă este cazul, că o redeschidere a investigației este, prin urmare, necesară, o decizie finală parțială sau decizii finale parțiale pot fi eventual adoptate de autoritatea de supraveghere principală sau de autoritatea de supraveghere la care a fost depusă plângerea, în temeiul dispozițiilor menționate mai sus, dar autoritatea de supraveghere principală trebuie să își completeze în paralel analiza, după ce a efectuat, dacă este cazul, o nouă investigație, în vederea prezentării, în conformitate cu alineatul (3) al aceluiași articol, a unui proiect de decizie complementară celorlalte autorități de supraveghere vizate.

46

Reclamanta invocă un al doilea argument în temeiul interpretării contextuale, potrivit căruia, interpretat în lumina considerentului (141) al Regulamentului 2016/679, articolul 57 alineatul (1) litera (f) din același regulament, care prevede că autoritatea de supraveghere tratează plângerile și investighează într‑o măsură adecvată obiectul acestora, demonstrează că domeniul investigației care trebuie efectuată în urma unei plângeri ține de aprecierea autorităților naționale de supraveghere, sub singura rezervă a unui control jurisdicțional național.

47

Considerentul (141) al Regulamentului 2016/679 are printre altele următorul cuprins:

„Orice persoană vizată ar trebui să aibă dreptul de a depune o plângere la o singură autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, precum și dreptul la o cale de atac eficientă […], în cazul în care persoana vizată consideră că drepturile sale în temeiul prezentului regulament sunt încălcate sau în cazul în care autoritatea de supraveghere nu reacționează la o plângere, respinge sau refuză parțial sau total o plângere sau nu acționează atunci când o astfel de acțiune este necesară pentru asigurarea protecției drepturilor persoanei vizate. Investigația în urma unei plângeri ar trebui să fie efectuată, sub control judiciar, în măsura în care este necesar, în funcție de caz. […]”

48

Articolul 57 alineatul (1) litera (f) din Regulamentul 2016/679 și considerațiile invocate de reclamantă nu conduc însă la excluderea chestiunii caracterului adecvat al domeniului investigației din mecanismul de cooperare între autoritățile de supraveghere vizate și din mecanismul CEPD pentru asigurarea coerenței.

49

Astfel, articolul 57 din Regulamentul 2016/679, care privește ansamblul sarcinilor autorităților de supraveghere, prevede ca primă sarcină, la alineatul (1) litera (a), pe cea de a monitoriza și asigura aplicarea regulamentului menționat. Astfel, contrar celor susținute în esență de reclamantă în ședință, analiza condițiilor în care este efectuată o prelucrare de date cu caracter personal și a conformității sale cu acest regulament nu trebuie să se limiteze la ceea ce evidențiază plângerea unui reclamant.

50

Mai ales, garantarea deplină a sarcinilor prevăzute la articolul 57 alineatul (1) literele (a) și (f) din Regulamentul 2016/679, de a asigura aplicarea acestuia și de a trata plângerile într‑o măsură adecvată, implică reținerea unui domeniu adecvat al analizei dosarului în raport cu plângerea care se află la originea acestuia, dar și în raport cu celelalte elemente care o pot completa. Această analiză trebuie să conducă, întrucât prelucrarea datelor cu caracter personal în cauză este transfrontalieră, la adoptarea unor decizii care fac obiectul procedurii de cooperare prevăzute la articolul 60 din acest regulament. În cadrul acestei proceduri, criteriul care trebuie îndeplinit pentru ca o chestiune să poată face obiectul unei decizii obligatorii a CEPD, adoptată în temeiul articolului 65 alineatul (1) litera (a) din regulamentul menționat, este ca aceasta să fi dat naștere unei obiecții relevante și motivate, astfel cum este definită la articolul 4 punctul 24 din același regulament. Or, obiecția relevantă și motivată, potrivit definiției sale, privește aspecte a căror analiză ține într‑adevăr de cele două sarcini sus‑menționate. Prin urmare, faptul că o obiecție relevantă și motivată se referă la domeniul analizei și, dacă este cazul, la domeniul investigației și că CEPD îi dă curs nu compromite nicidecum aceste sarcini. Pe de altă parte, faptul că deciziile intermediare ale autorităților de supraveghere în urma unei plângeri pot face obiectul unei căi de atac în fața instanțelor naționale nu împiedică posibilitatea ca proiectul de decizie al autorității de supraveghere principale să facă la rândul său obiectul, în limitele materiale atribuite mecanismului pentru asigurarea coerenței instituit în Regulamentul 2016/679, al unui control al CEPD.

51

Argumentele reclamantei invocate în temeiul interpretării contextuale nu permit, așadar, susținerea poziției sale cu privire la necompetența CEPD de a adopta dispozițiile atacate.

52

Dimpotrivă, contextul general al obligației de cooperare între autoritățile de supraveghere vizate de un caz, consacrat în Regulamentul 2016/679, confirmă competența CEPD în această privință. Astfel, articolul 60 alineatul (1) din regulamentul menționat prevede printre altele că „[a]utoritatea de supraveghere principală cooperează cu celelalte autorități de supraveghere vizate, în conformitate cu prezentul articol, în încercarea de a ajunge la un consens”. Articolul 60 alineatul (3) din același regulament precizează că „[a]utoritatea de supraveghere principală comunică fără întârziere informațiile relevante referitoare la această chestiune celorlalte autorități de supraveghere vizate” și că ea „transmite fără întârziere un proiect de decizie […] pentru a obține avizul lor, și ține seama în mod corespunzător de opiniile acestora”.

53

Rezultă că colaborarea dintre autoritățile de supraveghere vizate se referă printre altele la analiza cazului în ansamblul său și la elaborarea deciziei și că autoritatea de supraveghere principală trebuie să solicite acordul celorlalte autorități de supraveghere vizate în această privință. Nimic din dispozițiile menționate mai sus nu permite înlăturarea din această obligație de cooperare a chestiunii domeniului analizei care trebuie efectuată și nici, după caz, a chestiunii domeniului investigației prealabile care trebuie desfășurată. În Hotărârea din 15 iunie 2021, Facebook Ireland ș.a. (C‑645/19, EU:C:2021:483, punctele 63 și 64), Curtea a amintit caracterul indispensabil al dialogului și al cooperării loiale și eficace între autoritățile de supraveghere vizate de un caz.

54

Din cuprinsul punctelor 41-53 de mai sus rezultă că examinarea contextului care rezultă din dispozițiile Regulamentului 2016/679 confirmă analiza literală efectuată anterior.

55

În temeiul unei interpretări teleologice, reclamanta susține, mai întâi, că a recunoaște CEPD competența de a impune unei autorități de supraveghere principale de a elabora un proiect de decizie complementară și de a extinde în prealabil în acest scop domeniul investigației sale este incompatibil cu finalitățile mecanismului „ghișeului unic” urmărit de legiuitor atunci când a adoptat Regulamentul 2016/679. Instituirea unei autorități unice de supraveghere pentru persoanele interesate ar fi urmărit în special evitarea unor costuri inutile și a unor inconveniente excesive, astfel cum ar indica considerentul (129) al acestui regulament. Redeschiderea unei investigații ca urmare a unui simplu dezacord între autoritățile de supraveghere ar încălca acest obiectiv, obligând autorii plângerilor și întreprinderile vizate să facă față reluării investigației, cu costuri și inconveniente, deși această fază ar fi trebuit finalizată.

56

Cu toate acestea, fără a fi necesară pronunțarea cu privire la intențiile legiuitorului, este suficient să se constate că un ghișeu unic răspunde unui obiectiv de simplificare de natură procedurală care nu poate prevala asupra obiectivului esențial al Regulamentului 2016/679 de a asigura respectarea dreptului fundamental al persoanelor fizice la protecția datelor lor cu caracter personal. Considerentul (1) al regulamentului menționat amintește în această privință că articolul 8 alineatul (1) din Carta drepturilor fundamentale și articolul 16 alineatul (1) TFUE prevăd dreptul oricărei persoane la protecția datelor cu caracter personal care o privesc. O extindere a investigației, solicitată în mod necesar de cel puțin jumătate dintre autoritățile de supraveghere în cadrul CEPD, nu urmărește, contrar celor susținute de reclamantă, să complice sarcina persoanei care a depus o plângere sau pe cea a operatorului vizat de aceasta, ci constituie o măsură pentru apărarea drepturilor lor respective. De altfel, o investigație și o analiză a autorității de supraveghere principale care acoperă de la început toate aspectele necesare elaborării unei decizii finale complete privind cazul în discuție permit evitarea inconvenientelor menționate de reclamantă.

57

Argumentul reclamantei potrivit căruia redeschiderea unei investigații întârzie soluționarea definitivă a aspectelor deja analizate și soluționate trebuie de asemenea respins.

58

Astfel, după cum a procedat de altfel reclamanta în speță, într‑o astfel de situație, autoritatea competentă trebuie, dimpotrivă, să adopte o decizie finală cu privire la aspectele de fond analizate și soluționate după o decizie obligatorie a CEPD în termenul prevăzut la articolul 65 alineatul (6) din Regulamentul 2016/679. Acest lucru nu o împiedică să efectueze o investigație complementară și să analizeze aspectele cazului care nu au fost încă examinate.

59

Reclamanta susține de asemenea că neintervenția CEPD în stabilirea domeniului analizei pe care trebuie să o determine un caz, care ar constitui o chestiune prealabilă sau procedurală, nu împiedică funcționarea mecanismului de cooperare între autoritățile de supraveghere.

60

Cu toate acestea, mecanismul de cooperare își găsește limitele atunci când autoritățile de supraveghere vizate nu ajung la un consens. În această situație, prevăzută în mod expres la articolul 60 alineatul (4) din Regulamentul 2016/679, autoritatea de supraveghere principală sesizează mecanismul pentru asigurarea coerenței cu chestiunea neconsensuală, ceea ce conduce la o decizie obligatorie a CEPD, astfel cum indică această dispoziție.

61

În sfârșit, reclamanta susține că o astfel de lipsă de consens își găsește o soluție în recursul la controlul jurisdicțional național. Ea amintește că articolul 58 alineatul (4) și considerentul (141) al Regulamentului 2016/679 arată că investigația face obiectul unui control jurisdicțional efectiv.

62

Desigur, dacă CEPD nu ar putea soluționa o problemă legată de domeniul analizei efectuate de autoritatea de supraveghere principală, instanța națională ar putea interveni în această privință. Totuși, Regulamentul 2016/679 prevede că problemele ridicate în cadrul unei obiecții relevante și motivate a unei autorități de supraveghere vizate, în sensul articolului 4 punctul 24 din regulamentul menționat, sunt soluționate în cadrul mecanismului de cooperare și, dacă este cazul, al mecanismului pentru asigurarea coerenței între autoritățile de supraveghere. Or, astfel cum s‑a analizat anterior, o problemă privind domeniul analizei și, dacă este cazul, domeniul investigației efectuate de autoritatea de supraveghere principală poate da naștere unei obiecții relevante și motivate în sensul menționat. În consecință, posibila sesizare a instanței naționale cu privire la o problemă de această natură, care, de altfel, nu ar fi în mod necesar ușoară pentru un reclamant care are reședința în alt stat decât cel al autorității de supraveghere principale, nu poate implica faptul că dezacordurile persistente dintre autoritățile de supraveghere vizate cu privire la aspectele care au făcut obiectul unor obiecții relevante și motivate nu pot fi soluționate în cadrul CEPD.

63

Din cuprinsul punctelor 55-62 de mai sus rezultă că examinarea finalităților Regulamentului 2016/679 confirmă de asemenea analiza literală efectuată anterior.

[omissis]

65

În primul rând, reclamanta apreciază în esență că principiile care reglementează atribuirea unei competențe unui organ al Uniunii nu permit interpretarea Regulamentului 2016/679 în sensul desprins din analizele precedente, și anume cel potrivit căruia acesta conferă CEPD competența contestată.

66

Reclamanta se referă la articolul 5 TUE pentru a aminti că Uniunea poate acționa numai în limitele competențelor care i‑au fost atribuite. Acest principiu s‑ar aplica atât instituțiilor, cât și organelor Uniunii, precum CEPD. În plus, acestea din urmă ar fi supuse „doctrinei Meroni” rezultate din Hotărârea din 13 iunie 1958, Meroni/Înalta Autoritate (9/56, EU:C:1958:7), aplicabilă organelor Uniunii, astfel cum a statuat Curtea cu privire la Autoritatea Europeană pentru Valori Mobiliare și Piețe (ESMA) în Hotărârea din 22 ianuarie 2014, Regatul Unit/Parlamentul și Consiliul (C‑270/12, EU:C:2014:18, punctele 53 și 54). Această doctrină ar impune ca competențele organelor Uniunii să fie delimitate în mod precis și să poată fi supuse unui control jurisdicțional în raport cu obiectivele stabilite pentru organul în cauză. În special, la punctul 45 din a doua hotărâre menționată mai sus, s‑ar fi constatat că competența ESMA discutată în această cauză, confirmată în final de Curte, era încadrată prin diverse criterii și condiții care delimitează domeniul de acțiune al acestei autorități. În Hotărârea din 15 iulie 2021, FBF (C‑911/19, EU:C:2021:599, punctele 67 și 75), referitoare la Autoritatea Bancară Europeană (ABE), Curtea ar fi precizat că o competență a unui organ al Uniunii trebuie să fie prevăzută în mod explicit de legiuitor și că controlul jurisdicțional al acestei competențe trebuie să fie riguros.

67

Astfel, aceste principii aplicate în jurisprudență privesc CEPD, care a fost instituit ca organ al Uniunii la articolul 68 din Regulamentul 2016/679.

68

Prin urmare, trebuie să se verifice mai întâi dacă interpretarea reținută anterior în prezenta hotărâre permite să se considere că exercitarea competenței CEPD, atunci când impune unei autorități de supraveghere principale să își extindă analiza și, dacă este cazul, investigația, „este încadrată prin diverse criterii și condiții care delimitează domeniul [său] de acțiune”, astfel cum a constatat Curtea în ceea ce privește competența ESMA care era contestată în cauza în care s‑a pronunțat Hotărârea din 22 ianuarie 2014, Regatul Unit/Parlamentul și Consiliul (C‑270/12, EU:C:2014:18).

69

În această privință, astfel cum rezultă din articolul 65 alineatul (1) litera (a) din Regulamentul 2016/679 coroborat cu articolul 4 punctul 24 din regulamentul menționat, această competență de a impune unei autorități de supraveghere principale să își extindă analiza și, dacă este cazul, investigația poate fi pusă în aplicare numai în urma formulării de către o autoritate de supraveghere vizată a unei obiecții relevante și motivate la proiectul de decizie a autorității de supraveghere principale cu privire la cazul în discuție, referitoare la lipsa unei analize a aspectului dacă „există o încălcare a [Regulamentului 2016/679] sau dacă măsurile preconizate în ceea ce privește operatorul sau persoana împuternicită de operator respectă [acest] regulament” și care demonstrează „în mod clar importanța riscurilor pe care le prezintă proiectul de decizie în ceea ce privește drepturile și libertățile fundamentale ale persoanelor vizate și, după caz, libera circulație a datelor cu caracter personal în cadrul Uniunii”.

70

În plus, în temeiul articolului 65 alineatele (2) și (3) din Regulamentul 2016/679, punerea în aplicare a competenței menționate mai sus presupune ca, în cadrul CEPD, o majoritate de două treimi sau cel puțin jumătate dintre membrii săi în anumite împrejurări, printre care, în caz de egalitate de voturi, președintele, să fi aprobat în esență această obiecție relevantă și motivată și măsurile care trebuie luate în urma acesteia. Prin urmare, este necesar ca un număr semnificativ de autorități de supraveghere să confirme lipsa sau insuficiența analizei unui aspect important al cazului în discuție și să convină cu privire la măsurile care trebuie luate de autoritatea de supraveghere principală pentru remedierea acesteia. Trebuie să se țină seama în această privință de faptul că CEPD este el însuși compus dintr‑un număr important de autorități independente specializate în domeniu și, în consecință, de faptul că o opinie convergentă majoritară a acestora în cadrul său oferă garanții în ceea ce privește exercitarea acestei competențe. Pe de altă parte, deși noțiunea de „obiecție relevantă și motivată”, amintită la punctul 69 de mai sus, lasă desigur loc unei marje de apreciere, în special pentru a determina dacă există o încălcare a Regulamentului 2016/679 de către operatorul sau persoana împuternicită de operator în cauză sau dacă un astfel de aspect trebuie examinat pentru a stabili acest lucru, toate aceste întrebări fac trimitere la norme juridice precise care figurează în acest regulament, ceea ce nu permite exercitarea unei „largi puteri discreționare”.

71

Pentru a rezuma, în ceea ce privește problema delimitării competenței CEPD, contestată de reclamantă, trebuie, așadar, să se constate, pe de o parte, că această competență nu este pusă în aplicare decât în cazul unei insuficiențe bine identificate a analizei autorității de supraveghere principale în tratarea cazului, care poate avea consecințe importante, astfel cum rezultă din definiția obiecției relevante și motivate care figurează la articolul 4 punctul 24 din Regulamentul 2016/679, și, pe de altă parte, că această competență rezultă din aprecierea colectivă a autorităților de supraveghere care compun CEPD, care intervine în condițiile menționate la punctul 70 de mai sus.

72

În ceea ce privește problema dacă competența în discuție este prevăzută „în mod explicit” de legiuitor, trebuie subliniat că locuțiunea adverbială „în mod explicit”, precum și locuțiunile adverbiale „în mod expres” și „în mod clar”, care sunt sinonime și care fac trimitere la adjectivele „explicit”, „expres” și, respectiv, „clar”, înseamnă că nu există nicio îndoială cu privire la conținutul a ceea ce este exprimat. Or, din interpretarea literală, contextuală și teleologică efectuată mai sus rezultă că nu există nicio îndoială cu privire la faptul că CEPD dispune de competența contestată și, prin urmare, cu privire la faptul că aceasta este prevăzută în mod explicit de legiuitor. Se poate observa că, în Hotărârea din 15 iulie 2021, FBF (C‑911/19, EU:C:2021:599), referitoare la ABE, ghidul acestei autorități, cu privire la care se contesta că ea avea competența de a‑l adopta, privea „mecanismele de supraveghere și de guvernanță a produselor pentru produsele de retail bancar”. Niciunul dintre textele aplicabile acestei autorități nu indica în mod expres că aceasta putea adopta ghiduri în această privință. Printr‑o analiză de ansamblu a acestor texte, și anume a Regulamentului de instituire a ABE, care prevedea în general competența sa de a adopta ghiduri în anumite scopuri, și a diferitelor directive privind instituțiile și produsele financiare, Curtea a considerat că ghidul în litigiu intra în sfera acestei competențe.

73

În plus, trebuie să se constate că exercitarea competenței CEPD de a impune unei autorități de supraveghere principale să își extindă analiza și, dacă este necesar, investigația sa este supusă unui control jurisdicțional. Desigur, în speță, reclamanta a ales să conteste dispozițiile atacate numai pentru motivul necompetenței CEPD, fără a pune în discuție aprecierea concretă pe care a efectuat‑o acesta din urmă cu privire la obiecțiile formulate de anumite autorități de supraveghere cu privire la proiectele sale de decizie, apreciere care a condus la adoptarea acestor dispoziții. Cu toate acestea, în limita motivelor care ar fi invocate în fața sa, instanța Uniunii ar fi în măsură să verifice legalitatea pe fond a unor astfel de dispoziții în funcție de împrejurările speței. Printre altele, aceasta ar putea, într‑o primă etapă, să verifice dacă CEPD, prin adoptarea unor dispoziții de această natură, a dat curs unei obiecții relevante și motivate a unei autorități de supraveghere, în sensul articolului 4 punctul 24 din Regulamentul 2016/679. Ea ar putea, într‑o a doua etapă, să verifice legalitatea substanței înseși a unor astfel de dispoziții care dau instrucțiuni autorităților de supraveghere.

74

Un astfel de tip de control jurisdicțional este „riguros” în sensul utilizat în Hotărârea din 15 iulie 2021, FBF (C‑911/19, EU:C:2021:599, punctul 67). Astfel, instanța de control al legalității este, în general, ținută de atribuțiile sale, precum și de normele procesuale, iar controlul său este în mod necesar riguros dacă își îndeplinește pe deplin atribuțiile în cadrul acestor norme. Cu privire la aspectele de fond, în funcție de marja de apreciere de care dispune sau nu autorul actului atacat, instanța de control al legalității exercită un control normal (în principiu în ceea ce privește aspectele juridice, stabilirea situației de fapt și cazurile de competență nediscreționară) sau un control restrâns (în principiu cu privire la aspecte tehnice complexe sau atunci când autoritatea dispune de o marjă de apreciere, cazuri în care instanța sancționează doar eroarea vădită de apreciere) [a se vedea în acest sens și prin analogie în ceea ce privește controlul instanței naționale asupra deciziilor autorităților naționale în materie de protecție a datelor cu caracter personal, Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberarea de restul de datorie),C‑26/22 și C‑64/22, EU:C:2023:958, punctele 68 și 69].

75

Din cuprinsul punctelor 67-74 de mai sus rezultă că condițiile de atribuire a unei competențe unui organ al Uniunii nu se opun analizei efectuate anterior în prezenta hotărâre.

76

În al doilea rând, reclamanta invocă diferite motive pentru a demonstra că instanțele naționale constituie „forul adecvat” pentru a soluționa contestații legate de investigație, cu alte cuvinte că sunt cel mai bine plasate să facă acest lucru.

77

Cu toate acestea, astfel cum s‑a arătat la punctul 62 de mai sus, legiuitorul Uniunii a ales ca dezacordurile persistente dintre autoritățile de supraveghere vizate, referitoare la domeniul analizei unui caz și, după caz, la domeniul investigației desfășurate în privința sa, să fie arbitrate în cadrul mecanismului pentru asigurarea coerenței în cadrul CEPD. În consecință, argumentele reclamantei prin care se urmărește să se demonstreze că instanțele naționale constituie „forul adecvat” pentru a soluționa contestații legate de investigație sunt inoperante.

78

Trebuie adăugat, în măsura în care atât instanța națională, cât și CEPD pot fi chemate să se pronunțe cu privire la domeniul analizei și al investigației, că, în domeniul de aplicare al normelor de concurență prevăzute la articolele 101 și 102 TFUE, în care responsabilitățile sunt de asemenea împărțite între nivelul național și nivelul Uniunii pentru punerea în aplicare a unei politici a Uniunii, în jurisprudența Curții au fost evidențiate o serie de principii pentru a coordona acțiunea instanțelor naționale și a entității Uniunii însărcinate cu asigurarea coerenței în aplicarea politicii în cauză, și anume Comisia (Hotărârea din 28 februarie 1991, Delimitis, C‑234/89, EU:C:1991:91, și Hotărârea din 14 decembrie 2000, Masterfoods și HB, C‑344/98, EU:C:2000:689). Dacă nu este exclus ca, în temeiul acestor principii, o instanță națională să considere preferabil să suspende judecarea cauzei în așteptarea unei decizii a entității competente a Uniunii sau să poată, atunci când a intervenit această decizie, să fie ținută de aceasta, cu excepția cazului în care are îndoieli cu privire la validitatea sa și solicită Curții, în cadru preliminar, aprecierea sa în această privință, aceste situații sunt inerente unei astfel de împărțiri a responsabilităților și necesității de a asigura în întreaga Uniune coerența în aplicarea politicii în cauză.

79

Trebuie să se adauge de asemenea că, contrar celor susținute de reclamantă în al treilea rând, o decizie obligatorie a CEPD, adoptată în temeiul articolului 65 alineatul (1) litera (a) din Regulamentul 2016/679, prin care i se impune să își extindă analiza și investigația, nu pune în discuție capacitatea sa de a ierarhiza îndeplinirea diferitelor sale sarcini în calitate de autoritate independentă, atribuție al cărei control ar fi doar de competența instanței naționale. Ea nu pune în discuție, într‑un mod mai general, nici independența sa consacrată la articolul 39 TUE, la articolul 16 alineatul (2) TFUE și la articolul 8 alineatul (3) din Carta drepturilor fundamentale.

80

Astfel, pe de o parte, din proprie inițiativă, în stadiul cooperării dintre autoritățile de supraveghere vizate în urma unor intervenții în acest sens ale omologilor săi, sau după o astfel de decizie obligatorie, dacă autoritatea de supraveghere principală trebuie să își completeze analiza și investigația într‑un caz, ea nu este obligată să facă acest lucru imediat, cu prioritate în raport cu celelalte sarcini ale sale. De exemplu, ea poate anunța că un prim proiect de decizie sau o primă decizie pe care o va fi adoptat se referă numai la o parte dintre chestiunile ridicate de cazul în discuție și că își va continua ulterior analizele și investigația.

81

Numai în împrejurările prevăzute la articolul 66 din Regulamentul 2016/679, atunci când o altă autoritate de supraveghere vizată consideră că există o necesitate urgentă de a acționa în scopul protejării drepturilor și libertăților persoanelor vizate, o decizie obligatorie urgentă a CEPD poate obliga autoritatea de supraveghere principală să își revizuiască fără întârziere ordinea priorităților sale pentru soluționarea unui caz. Legiuitorul a prevăzut, așadar, această posibilitate numai pentru cazuri excepționale. Astfel, Deciziile obligatorii 3/2022, 4/2022 și 5/2022 nu au fost adoptate în temeiul articolului 66 menționat și, în consecință, nu impuneau reclamantei o ordine de prioritate între diferitele sale sarcini.

82

Pe de altă parte, dispozițiile de drept primar invocate de reclamantă nu implică o independență absolută, în sensul lipsei oricărui control, a autorităților statelor membre însărcinate în primul rând să asigure aplicarea normelor referitoare la protecția datelor cu caracter personal. Aceste dispoziții indică numai că controlul respectării normelor menționate este încredințat unor autorități independente, ceea ce nu împiedică, așadar, nicidecum un sistem de control reciproc între autorități independente, precum mecanismul de cooperare și mecanismul pentru asigurarea coerenței prevăzute în Regulamentul 2016/679, și nici, bineînțeles, controlul jurisdicțional al deciziilor adoptate de diferitele autorități implicate. Important este ca cei care supraveghează autoritățile de supraveghere să fie ei înșiși independenți. Acesta este cazul CEPD, el fiind alcătuit din autoritățile de supraveghere ale statelor membre și din Autoritatea Europeană pentru Protecția Datelor, care este ea însăși o autoritate independentă față de instituțiile și celelalte entități ale Uniunii pe care le supraveghează.

[omissis]

84

Potrivit articolului 134 alineatul (1) din Regulamentul de procedură, partea care cade în pretenții este obligată, la cerere, la plata cheltuielilor de judecată. Întrucât reclamanta a căzut în pretenții, se impune obligarea acesteia la plata cheltuielilor de judecată, conform concluziilor CEPD.

Pentru aceste motive,

TRIBUNALUL (Camera a zecea extinsă)

declară și hotărăște: