1

WhatsApp Ireland Ltd (herefter »WhatsApp«) har med sit appelskrift nedlagt påstand om ophævelse af Den Europæiske Unions Rets kendelse af 7. december 2022, WhatsApp Ireland mod Det Europæiske Databeskyttelsesråd (T-709/21, herefter den appellerede kendelse, EU:T:2022:783), hvorved Retten afviste det søgsmål, som WhatsApp havde anlagt med påstand om annullation af Det Europæiske Databeskyttelsesråds (herefter »Databeskyttelsesrådet«) bindende afgørelse 1/2021 af 28. juli 2021 om den tvist mellem de berørte tilsynsmyndigheder, der var opstået med hensyn til det udkast til afgørelse om WhatsApp, som var udarbejdet af Data Protection Commission (DPC) (databeskyttelsesmyndighed, Irland) (herefter »den irske tilsynsmyndighed«) (herefter »den omtvistede afgørelse«).

2

10. og 143. betragtning til Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, berigtiget i EUT 2018, L 127, s. 2) (herefter »databeskyttelsesforordningen«) har følgende ordlyd:

[...]

3

Databeskyttelsesforordningens artikel 5 med overskriften »Principper for behandling af personoplysninger« bestemmer i stk. 1, litra a), at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede. Denne forordnings artikel 5, stk. 1, litra c), foreskriver, at disse oplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.

4

Databeskyttelsesforordningens artikel 6 med overskriften »Lovlig behandling« fastsætter betingelserne for lovlig behandling af personoplysninger. Denne artikel 6 fastsætter i stk. 1 følgende:

»Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.«

5

Databeskyttelsesforordningens artikel 12 indeholder bestemmelser om gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder. Denne artikel 12 bestemmer i stk. 1 følgende:

»Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.«

6

Databeskyttelsesforordningens artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« fastsætter følgende:

»1.   Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:

[...]«

7

Databeskyttelsesforordningens artikel 14 vedrører oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede

8

Ifølge Databeskyttelsesforordningens artikel 55, stk. 1, er hver tilsynsmyndighed kompetent til at udføre de opgaver og udøve de beføjelser, der tillægges den i overensstemmelse med denne forordning, på sin egen medlemsstats område.

9

Databeskyttelsesforordningens artikel 56 med overskriften »Den ledende tilsynsmyndigheds kompetence« bestemmer følgende:

»1.   Uden at det berører artikel 55 er tilsynsmyndigheden for den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering kompetent til at fungere som ledende tilsynsmyndighed for den grænseoverskridende behandling, der foretages af denne dataansvarlige eller databehandler efter proceduren i artikel 60.

2.   Uanset stk. 1 er hver tilsynsmyndighed kompetent til at behandle en indgivet klage eller en eventuel overtrædelse af denne forordning, hvis genstanden alene vedrører en etablering i dens medlemsstat eller alene i væsentlig grad påvirker registrerede i dens medlemsstat.

3.   I de i denne artikels stk. 2 omhandlede tilfælde underretter tilsynsmyndigheden straks den ledende tilsynsmyndighed om dette forhold. Den ledende tilsynsmyndighed beslutter inden for en frist på tre uger efter at være blevet underrettet, om den vil behandle sagen efter proceduren i artikel 60 under hensyntagen til, hvorvidt den dataansvarlige eller databehandleren er etableret i den underrettende tilsynsmyndigheds medlemsstat.

4.   Hvis den ledende tilsynsmyndighed beslutter at behandle sagen, finder proceduren i artikel 60 anvendelse. Den tilsynsmyndighed, der underrettede den ledende tilsynsmyndighed, kan forelægge den ledende tilsynsmyndighed et udkast til afgørelse. Den ledende tilsynsmyndighed tager størst muligt hensyn til dette udkast, når den udarbejder udkastet til afgørelse, jf. artikel 60, stk. 3.

5.   Beslutter den ledende tilsynsmyndighed ikke at behandle sagen, behandler den tilsynsmyndighed, der forelagde sagen for den ledende tilsynsmyndighed, sagen i overensstemmelse med artikel 61 og 62.

6.   Den ledende tilsynsmyndighed er den dataansvarliges eller databehandlerens eneste kontakt i forbindelse med den grænseoverskridende behandling, der foretages af denne dataansvarlige eller databehandler.«

10

Databeskyttelsesforordningens artikel 57 med overskriften »Opgaver« bestemmer i stk. 1, litra h), at hver tilsynsmyndighed på sin egen medlemsstats område har til opgave at gennemføre undersøgelser om anvendelsen af databeskyttelsesforordningen.

11

Denne myndigheds undersøgelsesbeføjelser er opregnet i stk. 1 i databeskyttelsesforordningens artikel 58, der har overskriften »Beføjelser«. I denne artikels stk. 2 opregnes de korrigerende foranstaltninger, som den nævnte myndighed kan træffe, herunder dem, der er omhandlet i artikel 58, stk. 2, litra b), d) og i), og som består i henholdsvis at udtale kritik af en dataansvarlig eller en databehandler, hvis behandlingsaktiviteter har været i strid med databeskyttelsesforordningen, at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med bestemmelserne i databeskyttelsesforordningen og, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist, og at pålægge en administrativ bøde i henhold til databeskyttelsesforordningens artikel 83.

12

Databeskyttelsesforordningens artikel 60 med overskriften »Samarbejde mellem den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder« bestemmer følgende:

»1.   Den ledende tilsynsmyndighed samarbejder i henhold til denne artikel med de andre berørte tilsynsmyndigheder med henblik på at nå til enighed. Den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder udveksler alle relevante oplysninger med hinanden.

2.   Den ledende tilsynsmyndighed kan til enhver tid anmode andre berørte tilsynsmyndigheder om at yde gensidig bistand i henhold til artikel 61 og kan gennemføre fælles aktiviteter i henhold til artikel 62, navnlig med henblik på at foretage undersøgelser eller overvåge gennemførelsen af en foranstaltning vedrørende en dataansvarlig eller en databehandler, der er etableret i en anden medlemsstat.

3.   Den ledende tilsynsmyndighed underretter straks de andre berørte tilsynsmyndigheder om sagens relevante oplysninger. Den forelægger straks de andre berørte tilsynsmyndigheder et udkast til afgørelse med henblik på deres udtalelse og tager behørigt hensyn til deres synspunkter.

4.   Hvis en af de andre berørte tilsynsmyndigheder inden for fire uger efter at være blevet hørt, jf. denne artikels stk. 3, fremkommer med en relevant og begrundet indsigelse mod udkastet til afgørelse, forelægger den ledende tilsynsmyndighed, hvis den ikke følger den relevante og begrundede indsigelse eller er af den opfattelse, at indsigelsen ikke er relevant eller begrundet, sagen for den sammenhængsmekanisme, der er omhandlet i artikel 63.

5.   Agter den ledende tilsynsmyndighed at følge den relevante og begrundede indsigelse, forelægger den de andre berørte tilsynsmyndigheder et revideret udkast til afgørelse med henblik på deres udtalelse. Dette reviderede udkast til afgørelse er underlagt den i stk. 4 omhandlede procedure inden for en frist på to uger.

6.   Har ingen af de andre berørte tilsynsmyndigheder gjort indsigelse mod udkastet til afgørelse, som den ledende tilsynsmyndighed har forelagt inden for den frist, der er omhandlet i stk. 4 og 5, anses den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder for at være enige i dette udkast til afgørelse og er bundet af det.

7.   Den ledende tilsynsmyndighed vedtager og meddeler afgørelsen til den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering, alt efter omstændighederne, og underretter de andre berørte tilsynsmyndigheder og Databeskyttelsesrådet om den pågældende afgørelse, herunder et resumé af de relevante faktiske omstændigheder og begrundelser. Den tilsynsmyndighed, til hvilken der er indgivet klage, underretter klageren om afgørelsen.

8.   Hvis en klage er blevet afslået eller afvist, vedtager den tilsynsmyndighed, til hvilken klagen er indgivet, uanset stk. 7, afgørelsen og meddeler denne til klageren og underretter den dataansvarlige herom.

9.   Hvis den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder er enige om at afslå eller afvise dele af en klage og at behandle andre dele af klagen, vedtages der en særskilt afgørelse for hver af disse dele af sagen. Den ledende tilsynsmyndighed vedtager afgørelsen for den del, der vedrører foranstaltninger over for den dataansvarlige, meddeler dette til den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering på dens medlemsstats område og underretter klageren herom, mens tilsynsmyndigheden for klageren vedtager afgørelsen for den del, der vedrører afslag eller afvisning af klagen, og underretter klageren herom og meddeler dette til den dataansvarlige eller databehandleren.

10.   Den dataansvarlige eller databehandleren træffer efter at være blevet underrettet om den ledende tilsynsmyndigheds afgørelse i henhold til stk. 7 og 9 de nødvendige foranstaltninger til at sikre overholdelse af afgørelsen for så vidt angår behandlingsaktiviteter i forbindelse med alle vedkommendes etableringer i Unionen. Den dataansvarlige eller databehandleren underretter den ledende tilsynsmyndighed, der underretter de andre berørte tilsynsmyndigheder, om de foranstaltninger, der er truffet for at overholde afgørelsen.

11.   Hvis en berørt tilsynsmyndighed under ekstraordinære omstændigheder har grund til at mene, at det er nødvendigt at handle omgående for at beskytte registreredes interesser, finder den i artikel 66 omhandlede hasteprocedure anvendelse.

12.   Den ledende tilsynsmyndighed og de andre berørte tilsynsmyndigheder udveksler elektronisk de i denne artikel omhandlede oplysninger med hinanden i et standardformat.«

13

Databeskyttelsesforordningens artikel 63 med overskriften »Sammenhængsmekanisme« har følgende ordlyd:

»Med henblik på at bidrage til en ensartet anvendelse af denne forordning i hele Unionen samarbejder tilsynsmyndighederne med hinanden og, hvis det er relevant, med Kommissionen gennem [sammenhængsmekanismen] [...].«

14

Databeskyttelsesforordningens artikel 65 med overskriften »Tvistbilæggelse ved Databeskyttelsesrådet« bestemmer følgende:

»1.   Med henblik på at sikre korrekt og konsekvent anvendelse af denne forordning i hvert enkelt tilfælde vedtager Databeskyttelsesrådet en bindende afgørelse i følgende tilfælde:

2.   Den afgørelse, der er omhandlet i stk. 1, vedtages inden for en måned fra forelæggelsen af spørgsmålet med et flertal på to tredjedele blandt medlemmerne af Databeskyttelsesrådet. Denne frist kan forlænges med yderligere en måned på grund af spørgsmålets kompleksitet. Afgørelsen i stk. 1 skal være begrundet og rettet til den ledende tilsynsmyndighed og alle de berørte tilsynsmyndigheder og have bindende virkning for dem.

3.   Hvis Databeskyttelsesrådet ikke har været i stand til at træffe en afgørelse inden for de i stk. 2 omhandlede frister, vedtager det sin afgørelse senest to uger efter udløbet af den anden måned som omhandlet i stk. 2 med simpelt flertal blandt Databeskyttelsesrådets medlemmer. I tilfælde af stemmelighed blandt medlemmerne af Databeskyttelsesrådet er formandens stemme udslagsgivende.

4.   De berørte tilsynsmyndigheder må ikke vedtage en afgørelse om et spørgsmål, der er forelagt for Databeskyttelsesrådet i henhold til stk. 1, i løbet af de i stk. 2 og 3 omhandlede perioder.

5.   Formanden for Databeskyttelsesrådet meddeler uden unødig forsinkelse den i stk. 1 omhandlede afgørelse til de berørte tilsynsmyndigheder. Formanden underretter Kommissionen herom. Afgørelsen offentliggøres straks på Databeskyttelsesrådets websted, når tilsynsmyndigheden har meddelt den endelige afgørelse, jf. stk. 6.

6.   Den ledende tilsynsmyndighed eller efter omstændighederne den tilsynsmyndighed, til hvem en klage er indgivet, vedtager sin endelige afgørelse på grundlag af den i denne artikels stk. 1 omhandlede afgørelse uden unødig forsinkelse og senest en måned efter, at Databeskyttelsesrådet har meddelt sin afgørelse. Den ledende tilsynsmyndighed eller efter omstændighederne den tilsynsmyndighed, til hvem klagen er indgivet, underretter Databeskyttelsesrådet om datoen for meddelelse af sin endelige afgørelse til henholdsvis den dataansvarlige eller databehandleren og den registrerede. Den berørte tilsynsmyndigheds endelige afgørelse vedtages i henhold til artikel 60, stk. 7, 8 og 9. Den endelige afgørelse skal indeholde en henvisning til den afgørelse, der er omhandlet i nærværende artikels stk. 1, og angive, at den i nævnte stykke omhandlede afgørelse vil blive offentliggjort på Databeskyttelsesrådets websted i overensstemmelse med nærværende artikels stk. 5. Den i nærværende artikels stk. 1 omhandlede afgørelse vedlægges den endelige afgørelse.«

15

Databeskyttelsesforordningens artikel 68 med overskriften »Det Europæiske Databeskyttelsesråd« bestemmer i stk. 1, at Databeskyttelsesrådet oprettes som et EU-organ med status som juridisk person.

16

Databeskyttelsesforordningens artikel 70 med overskriften »Databeskyttelsesrådets opgaver« bestemmer i stk. 1, litra a), at Databeskyttelsesrådet sikrer en ensartet anvendelse af databeskyttelsesforordningen. Med henblik herpå skal Databeskyttelsesrådet på eget initiativ eller, når det er relevant, efter anmodning fra Kommissionen navnlig føre tilsyn med og sikre korrekt anvendelse af databeskyttelsesforordningen i de tilfælde, der er omhandlet i dennes artikel 64 og 65, uden at dette berører de nationale tilsynsmyndigheders opgaver.

17

Databeskyttelsesforordningens artikel 78, der har overskriften »Adgang til effektive retsmidler over for en tilsynsmyndighed«, bestemmer følgende:

»1.   Uden at det berører andre administrative eller udenretslige klageadgange, har enhver fysisk eller juridisk person ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende.

2.   Uden at det berører andre administrative eller udenretslige klageadgange, har den enkelte registrerede adgang til effektive retsmidler, hvis den tilsynsmyndighed, der er kompetent i henhold til artikel 55 og 56, ikke behandler en klage eller undlader at underrette den registrerede om forløbet eller resultatet af en klage, der er indgivet i henhold til artikel 77, inden for tre måneder.

3.   En sag mod en tilsynsmyndighed anlægges ved en domstol i den medlemsstat, hvor tilsynsmyndigheden er etableret.

4.   Hvis sag anlægges mod en afgørelse fra en tilsynsmyndighed, der er truffet efter en udtalelse eller en afgørelse fra Databeskyttelsesrådet i forbindelse med sammenhængsmekanismen, fremsender tilsynsmyndigheden denne udtalelse eller afgørelse til domstolen.«

18

Databeskyttelsesforordningens artikel 83 fastsætter de generelle betingelser for pålæggelse af administrative bøder.

19

Tvistens baggrund fremgår af den appellerede kendelses præmis 2-12 og kan med henblik på den foreliggende sag sammenfattes som følger.

20

Efter Databeskyttelsesforordningens ikrafttrædelse modtog den irske tilsynsmyndighed en række klager fra brugere og ikke-brugere af beskedtjenesten »WhatsApp« om WhatsApps behandling af personoplysninger. Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (forbundskommissæren for databeskyttelse og informationsfrihed, Tyskland) anmodede i øvrigt den irske tilsynsmyndighed om bistand med hensyn til WhatsApps overholdelse af de gennemsigtighedsforpligtelser, der påhviler personer, som er ansvarlige for behandling af personoplysninger, for så vidt angår en eventuel deling af sådanne oplysninger med andre enheder i Facebook-koncernen, som i september 2021 blev omdøbt til »Meta«.

21

I december 2018 indledte den irske tilsynsmyndighed på eget initiativ en generel undersøgelse af, hvorvidt WhatsApp overholdt sine gennemsigtigheds- og oplysningsforpligtelser over for enkeltpersoner i henhold til databeskyttelsesforordningens artikel 12-14, uden at dette berørte de afgørelser, som den måtte træffe i de individuelle sager, som den var blevet forelagt. Den irske tilsynsmyndighed handlede i denne henseende som ledende tilsynsmyndighed i henhold til databeskyttelsesforordningens artikel 56, stk. 1, eftersom WhatsApp havde sit hovedforretningssted i Irland som dataansvarlig for beskedtjenesten »WhatsApps« behandlingsaktiviteter i Europa, idet denne behandling havde en grænseoverskridende karakter.

22

Efter undersøgelsesfasens afslutning i september 2019 ved efterforskerens fremlæggelse af en endelig rapport fremsatte den irske tilsynsmyndighed – efter afslutningen af mellemkommende proceduremæssige faser, hvorunder WhatsApp havde fremsat sine bemærkninger – i december 2020 et udkast til afgørelse for alle de øvrige tilsynsmyndigheder, der var berørt af sagen, med henblik på deres udtalelse i henhold til databeskyttelsesforordningens artikel 60, stk. 3.

23

I januar 2021 fremsatte otte af disse øvrige tilsynsmyndigheder indsigelser mod visse aspekter af dette udkast til afgørelse. Den irske tilsynsmyndighed svarede samlet på disse indsigelser og kom med forslag til kompromisløsninger. Selv om en af disse otte tilsynsmyndigheder efter dette svar trak en af sine indsigelser tilbage, konstaterede den irske tilsynsmyndighed, at der ikke kunne opnås enighed vedrørende andre aspekter, der var genstand for indsigelser. Den besluttede at forkaste alle de modtagne indsigelser og at forelægge dem for Databeskyttelsesrådet, således at det kunne afgøre tvisten mellem de berørte tilsynsmyndigheder om de aspekter, der var omfattet af disse indsigelser, i overensstemmelse med bestemmelserne i databeskyttelsesforordningens artikel 60, stk. 4, og artikel 65, stk. 1, litra a).

24

I maj 2021 modtog den irske tilsynsmyndighed WhatsApps skriftlige bemærkninger til de oplysninger, der var blevet drøftet af de berørte tilsynsmyndigheder, efter at den havde tilsendt WhatsApp alle de dokumenter, der var blevet udvekslet i denne forbindelse, og den fremsendte selv disse bemærkninger til Databeskyttelsesrådet, således at det kunne få kendskab hertil inden for rammerne af den tvistbilæggelsesprocedure, som denne myndighed iværksatte i juni 2021.

25

Den 28. juli 2021 vedtog Databeskyttelsesrådet den omtvistede afgørelse på grundlag af databeskyttelsesforordningens artikel 65, stk. 2.

26

Da den irske tilsynsmyndighed havde modtaget den omtvistede afgørelse, og da den havde modtaget WhatsApps bemærkninger til de økonomiske sanktioner, som det i sidste ende påtænktes at pålægge selskabet på grundlag af denne afgørelse, vedtog denne myndighed den 20. august 2021 i henhold til databeskyttelsesforordningens artikel 65, stk. 6, en endelig afgørelse rettet til WhatsApp (herefter »den endelige afgørelse«).

27

I den endelige afgørelse fastslog den irske tilsynsmyndighed, at WhatsApp havde tilsidesat gennemsigtighedsprincippet og gennemsigtighedsforpligtelserne i databeskyttelsesforordningens artikel 5, stk. 1, litra a), artikel 12, stk. 1, artikel 13, stk. 1, litra c)-f), artikel 13, stk. 2, litra a), c) og e), og artikel 14. Denne myndighed anførte derimod, at WhatsApp havde overholdt de forpligtelser, der er fastsat i databeskyttelsesforordningens artikel 13, stk. 1, litra a) og b), og artikel 13, stk. 2, litra b) og d). Som korrigerende foranstaltninger, der blev vedtaget på grundlag af databeskyttelsesforordningens artikel 58, stk. 2, litra b), d) og i), pålagde denne myndighed WhatsApp en irettesættelse, pligt til at gennemføre et vist antal foranstaltninger, der var opregnet i et bilag, med henblik på inden for en frist på tre måneder at bringe selskabet i overensstemmelse med de bestemmelser i databeskyttelsesforordningen, som var blevet tilsidesat, samt fire administrative bøder på i alt 225 mio. EUR for de konstaterede overtrædelser af denne forordnings artikel 5, stk. 1, litra a), og artikel 12, 13 og 14.

28

Desuden identificerede den irske tilsynsmyndighed i den endelige afgørelse de aspekter, for hvilke den omtvistede afgørelse pålagde den at revidere sin vurdering i sit udkast til afgørelse. Denne myndighed valgte med hensyn til disse aspekter at gengive de begrundelser, som Databeskyttelsesrådet havde anført i den omtvistede afgørelse, i deres helhed, i gråskraverede felter, og blot hver gang drage konsekvenserne heraf i en konklusion.

29

I henhold til databeskyttelsesforordningens artikel 65, stk. 6, blev den omtvistede afgørelse vedlagt den endelige afgørelse.

30

I den omtvistede afgørelse tog Databeskyttelsesrådet stilling til de spørgsmål, der havde været genstand for relevante og begrundede indsigelser som omhandlet i databeskyttelsesforordningens artikel 65, stk. 1, litra a), nemlig:

31

WhatsApp anlagde sag til prøvelse af den endelige afgørelse ved en irsk ret.

32

Ved stævning indleveret til Rettens Justitskontor den 1. november 2021 anlagde WhatsApp søgsmål i henhold til artikel 263 TEUF med påstand om annullation af den omtvistede afgørelse.

33

Ved den appellerede kendelse, der blev afsagt i henhold til artikel 129 i Rettens procesreglement, afviste Retten dette søgsmål fra realitetsbehandling.

34

Selv om Retten i den appellerede kendelses præmis 36, 37 og 40 bemærkede, at den omtvistede afgørelse udgjorde en retsakt fra et EU-organ, der skulle have retsvirkninger over for tredjemand, og at WhatsApp var individuelt berørt af denne afgørelse, fandt den imidlertid i den appellerede kendelses præmis 42, at den nævnte afgørelse var en forberedende eller mellemkommende retsakt i en procedure, der skulle afsluttes med en national tilsynsmyndigheds vedtagelse af en endelig afgørelse. Retten fastslog imidlertid i den appellerede kendelses præmis 43 og 44, at en sådan retsakt kun udgjorde en »anfægtelig retsakt«, hvis den havde selvstændige retsvirkninger, i forhold til hvilke der ikke kunne sikres en tilstrækkelig domstolsbeskyttelse i forbindelse med et søgsmål til prøvelse af den afgørelse, der afsluttede den pågældende procedure.

35

I denne henseende anførte Retten i den appellerede kendelses præmis 45, at en effektiv domstolsbeskyttelse mod den omtvistede afgørelse i det foreliggende tilfælde var sikret ved den søgsmålsadgang, som WhatsApp råder over ved de nationale retter til prøvelse af den endelige afgørelse, idet en national ret i henhold til artikel 267 TEUF har kompetence til at anmode Domstolen om en præjudiciel afgørelse med henblik på en vurdering af den omtvistede afgørelses gyldighed. Retten præciserede ligeledes i den appellerede kendelses præmis 46, at den omtvistede afgørelse ikke havde selvstændige retsvirkninger over for WhatsApp i forhold til den endelige afgørelse, der blev truffet af den irske tilsynsmyndighed.

36

Retten fastslog endvidere i den appellerede kendelses præmis 49, at den omstændighed, at en sådan mellemkommende retsakt var udtryk for en myndigheds endelige stillingtagen, som skulle gentages i den endelige afgørelse, der afsluttede den pågældende procedure, ikke nødvendigvis betød, at denne retsakt i sig selv væsentligt ændrede appellantens retsstilling.

37

I øvrigt bemærkede Retten i den appellerede kendelses præmis 50, at WhatsApp ikke var umiddelbart berørt af den omtvistede afgørelse. Retten bemærkede i denne kendelses præmis 52, at denne afgørelse ikke var af en sådan karakter, at den kunne gøres gældende over for WhatsApp og uden yderligere trin i proceduren skabe forpligtelser for WhatsApp eller eventuelt rettigheder for andre enkeltpersoner, således at den ikke umiddelbart havde retsvirkninger for WhatsApps situation. Retten anførte ligeledes i kendelsens præmis 53, at selv om den omtvistede afgørelse var bindende for den irske tilsynsmyndighed med hensyn til de aspekter, som den vedrørte, overlod den ikke desto mindre denne myndighed en skønsmargen med hensyn til indholdet af den endelige afgørelse.

38

Retten fastslog således i kendelsens præmis 61 og 62, at ingen af betingelserne for, at WhatsApp kunne anses for at være umiddelbart berørt af den foranstaltning, der var genstand for selskabets søgsmål, var opfyldt, og at dette søgsmål derfor ikke kunne antages til realitetsbehandling.

39

Endelig fastslog Retten i den appellerede kendelses præmis 66-70, at resultatet af dens analyse var i overensstemmelse med det retsmiddelsystem, der er indført ved traktaterne. Retten anførte bl.a., at en antagelse til realitetsbehandling af WhatsApps søgsmål til prøvelse af den omtvistede afgørelse ville indebære en risiko for parallelle retssager ved Unionens retsinstanser og de nationale retter, idet sidstnævnte desuden havde beføjelse til at anmode Domstolen om en præjudiciel afgørelse med henblik på en vurdering af denne afgørelses gyldighed.

40

WhatsApp har med sit appelskrift nedlagt følgende påstande:

41

Databeskyttelsesrådet har, støttet af Forbundsrepublikken Tyskland, nedlagt følgende påstande:

42

Databeskyttelsesrådet har gjort gældende, at søgsmålet i første instans blev anlagt for sent. Det har i denne henseende anført, at WhatsApp fik kendskab til de relevante dele af den omtvistede afgørelse forud for offentliggørelsen af denne på Databeskyttelsesrådets websted, og nærmere bestemt den 13. august 2021. Uafhængigt af datoen for offentliggørelsen af den omtvistede afgørelse på Databeskyttelsesrådets websted, som i øvrigt ikke kan sidestilles med en offentliggørelse i Den Europæiske Unions Tidende, begyndte søgsmålsfristen følgelig at løbe fra den 13. august 2021 og udløb den 25. oktober samme år. Eftersom WhatsApp anlagde sit annullationssøgsmål den 1. november 2021, blev dette anlagt for sent.

43

WhatsApp har gjort gældende, at Databeskyttelsesrådet udsagn om, at selskabets søgsmål blev anlagt for sent, er fejlagtig. Når sagsøgeren ikke er adressat for en retsakt, er det nemlig datoen for offentliggørelsen af denne retsakt, der er afgørende for, hvornår søgsmålsfristen begynder at løbe. Datoen for kendskabet til denne afgørelse udgør kun et subsidiært kriterium i denne henseende. Den måde, hvorpå den nævnte retsakt offentliggøres, er uden relevans. I det foreliggende tilfælde blev den omtvistede afgørelse under alle omstændigheder offentliggjort på Databeskyttelsesrådets websted den 2. september 2021, og søgsmålet blev anlagt den 1. november 2021 under overholdelse af den frist, der er fastsat i artikel 263, stk. 6, TEUF.

44

Artikel 263, stk. 6, TEUF bestemmer, at de i artiklen omhandlede klager skal indgives inden to måneder, efter at retsakten, alt efter sin art, er offentliggjort eller meddelt klageren eller, i mangel heraf senest to måneder efter, at klageren har fået kendskab til den.

45

Det fremgår klart af denne bestemmelses ordlyd, navnlig udtrykkene »alt efter sin art« og »i mangel heraf«, at udgangspunktet for søgsmålsfristen fastsættes i forhold til den pågældende situation, og at de to første kriterier, der kan udløse denne frist, er hierarkiske i forhold til det tredje. Fristen for at anlægge annullationssøgsmål begynder således principalt at løbe fra offentliggørelsen af retsakten eller meddelelsen heraf til sagsøgeren. Disse to hovedkriterier er i bestemmelsens opbygning ligestillet i den forstand, at ingen af disse to kriterier er subsidiære i forhold til det andet. Derimod er kriteriet om den dato, på hvilken sagsøgeren fik kendskab til retsakten, som udgangspunkt for søgsmålsfristen subsidiært i forhold til kriterierne om retsaktens offentliggørelse eller meddelelse (jf. i denne retning dom af 26.9.2024, WEPA Hygieneprodukte m.fl. mod Kommissionen, C-795/21 P og C-796/21 P, EU:C:2024:807, præmis 61-63 og den deri nævnte retspraksis).

46

I det foreliggende tilfælde er det ubestridt, at den omtvistede afgørelse ikke blev meddelt WhatsApp, idet Databeskyttelsesrådet i henhold til databeskyttelsesforordningens artikel 65, stk. 5, første punktum, kun er forpligtet til at underrette de berørte tilsynsmyndigheder om en sådan afgørelse. Det skal derfor undersøges, om denne afgørelse har været genstand for en »offentliggørelse« som omhandlet i artikel 263, stk. 6, TEUF.

47

Det skal i denne forbindelse præciseres, at begrebet »offentliggørelse« ikke udelukkende omfatter en offentliggørelse i Den Europæiske Unions Tidende, men derimod skal fortolkes bredt. Dette begreb omfatter bl.a. en offentliggørelse på webstedet for en af Unionens institutioner, organer, kontorer eller agenturer, når denne offentliggørelse er fastsat i afledt ret (jf. i denne retning dom af 26.9.2024, WEPA Hygieneprodukte m.fl. mod Kommissionen, C-795/21 P og C-796/21 P, EU:C:2024:807, præmis 70 og den deri nævnte retspraksis).

48

Eftersom offentliggørelsen af den omtvistede afgørelse var fastsat i databeskyttelsesforordningens artikel 65, stk. 5, tredje punktum, skal der derfor i det foreliggende tilfælde tages hensyn til den dato, hvor denne afgørelse blev offentliggjort på Databeskyttelsesrådets websted, dvs. den 2. september 2021. Denne fortolkning understøttes af 143. betragtning, tredje punktum, til databeskyttelsesforordningen, hvoraf det fremgår, at søgsmålsfristen skal beregnes fra offentliggørelsen af den pågældende afgørelse fra Databeskyttelsesrådet på dettes websted.

49

Da søgsmålet blev anlagt den 1. november 2021, er den frist, der er fastsat i artikel 263, stk. 6, TEUF, ikke blevet overskredet, hvorfor det skal undersøges, om de anbringender, der er fremsat i forbindelse med nærværende appelsag, kan rejse tvivl om Rettens vurdering i den appellerede kendelse.

50

WhatsApp har gjort gældende, at Retten begik en retlig fejl ved at fastslå, at den omtvistede afgørelse ikke var en anfægtelig retsakt.

51

WhatsApp har navnlig anfægtet relevansen af det kriterium, som Retten benyttede i den appellerede kendelses præmis 41 med henblik på at afgøre, om en retsakt kan anfægtes eller ej. Retten fastslog således med urette, at det var nødvendigt at godtgøre, at den omtvistede afgørelse havde retsvirkninger, der væsentligt ændrede WhatsApps retsstilling, og at den berørte selskabet umiddelbart. Det ville imidlertid have været tilstrækkeligt at konkludere, at denne afgørelse havde til formål at skabe retsvirkninger i forhold til en eller flere tredjemænd, for at fastslå, at den udgjorde en anfægtelig retsakt som følge af sin endelige karakter. Under alle omstændigheder udgjorde den nævnte afgørelse ikke blot en mellemkommende foranstaltning, men var udtryk for Databeskyttelsesrådets endelige holdning.

52

Ifølge WhatsApp anvendte Retten retspraksis vedrørende mellemkommende retsakters retsvirkninger fejlagtigt ved at anvende et proceduremæssigt kriterium, hvorefter en sådan retsakt kun kan anfægtes, hvis et søgsmål til prøvelse af den endelige retsakt ikke gør det muligt at sikre en tilstrækkelig domstolsbeskyttelse, og ved at fastslå, at den omtvistede afgørelse ikke havde retsvirkninger.

53

WhatsApp har i denne sammenhæng henvist til dom af 11. november 1981, IBM mod Kommissionen (60/81, EU:C:1981:264, præmis 10 og 11), hvoraf det navnlig fremgår, at en mellemkommende retsakt kan anfægtes, når den er endelig, og når den er uafhængig af den endelige afgørelse, der vedtages efterfølgende. Denne retsakts materielle indhold skal derfor undersøges, og dens virkninger skal vurderes ud fra objektive kriterier såsom den nævnte retsakts indhold, i givet fald under hensyn til baggrunden for dens vedtagelse samt til den udstedende institutions beføjelser WhatsApp har i denne forbindelse bl.a. nævnt dom af 12. juli 2022, Nord Stream 2 mod Parlamentet og Rådet (C-348/20 P, EU:C:2022:548, præmis 63).

54

Navnlig er et annullationssøgsmål til prøvelse af en sådan retsakt kun udelukket, når retsakten for det første er af foreløbig karakter med hensyn til realiteten, således at dens ophavsmand kan ændre sit standpunkt på tidspunktet for den endelige afgørelse, der vedtages efterfølgende, og når denne endelige afgørelse for det andet vedtages af den samme EU-institution eller det samme EU-organ. Der er således ikke grundlag for at anvende begrebet mellemkommende foranstaltning på en afgørelse, der er vedtaget af en EU-institution eller et EU-organ, og som er rettet til en national myndighed, der har til opgave at gennemføre denne afgørelse i forhold til tredjemand.

55

Ifølge WhatsApp begrænsede Retten sig i det foreliggende tilfælde til at undersøge, om WhatsApp processuelt var sikret en effektiv domstolsbeskyttelse gennem søgsmålet for den nationale ret. Retten fastslog således fejlagtigt i den appellerede kendelses præmis 48 og 49, at WhatsApps argument om, at den omtvistede afgørelse udtrykte sin ophavsmands endelige stillingtagen, var uden relevans. Ved denne fremgangsmåde fandt Retten således med urette, at den omtvistede afgørelse ikke havde retsvirkninger, og at denne afgørelse ikke var uafhængig af den endelige afgørelse, uden at have vurderet den omtvistede afgørelses indhold og sammenhæng eller rækkevidden af dennes selvstændige retsvirkninger.

56

Hvad angår den omtvistede afgørelses indhold er det ubestridt, at denne afgørelse som en bindende afgørelse vedtaget på grundlag af databeskyttelsesforordningens artikel 65 havde til formål at have retsvirkninger i forhold til tredjemand, og at den var udtryk for Databeskyttelsesrådets endelige holdning til de punkter, det var blevet forelagt. Denne holdning kunne i væsentlig grad ændre WhatsApps retsstilling, bl.a. på grund af konstateringen af, at de data, der havde været genstand for en komprimering med tab, var personoplysninger, hvilken konstatering var bindende for den irske tilsynsmyndighed.

57

Hvad angår den sammenhæng, hvori den omtvistede afgørelse indgår, følger det af ordlyden af databeskyttelsesforordningens artikel 65, at denne afgørelse udgør en bindende afgørelse. Det fremgår af 143. betragtning til databeskyttelsesforordningen, at afgørelser truffet af Databeskyttelsesrådet kan berøre bl.a. en dataansvarlig umiddelbart og individuelt, hvilket antyder, at disse afgørelser kan have eksterne retsvirkninger ud over de nationale tilsynsmyndigheder, som de er rettet til. Dette understøttes såvel af formålet med den bindende virkning af Databeskyttelsesrådets afgørelser, som er at sikre en korrekt og sammenhængende anvendelse af databeskyttelsesforordningen, som af opbygningen af den procedure, der er omhandlet i databeskyttelsesforordningens artikel 65, stk. 1.

58

Hvad angår den omtvistede afgørelses selvstændige retsvirkninger – ud over dem, som den har i forhold til sine adressater – har WhatsApp anført, at denne afgørelse har sådanne virkninger i forhold til dette selskab ved bl.a. at påvirke den måde, hvorpå det påtænker at efterleve databeskyttelsesforordningen for så vidt angår de data, der er genstand for en komprimering med tab, idet Databeskyttelsesrådet kvalificerede disse oplysninger som personoplysninger. Den omtvistede afgørelse har også retsvirkninger i forhold til de nationale retter, som ikke har beføjelse til at ændre den eller erklære den ugyldig.

59

Databeskyttelsesrådet har anfægtet denne argumentation. Det har gjort gældende, at der i princippet kun kan anlægges annullationssøgsmål til prøvelse af en foranstaltning, hvorved en af Unionens institutioner, organer, kontorer eller agenturer endeligt fastlægger sit standpunkt ved afslutningen af en administrativ procedure. Mellemkommende retsakter, der har til formål at forberede en endelig afgørelse, kan derimod ikke kvalificeres som »anfægtelige retsakter«, idet sådanne retsakter ikke tilsigter at have selvstændige bindende retsvirkninger i forhold til den EU-retsakt, der således forberedes, bekræftes eller gennemføres. Endvidere kan en mellemkommende retsakt ifølge Databeskyttelsesrådet ikke gøres til genstand for et søgsmål, hvis den ulovlighed, som en sådan retsakt er behæftet med, kan påberåbes til støtte for et søgsmål, der er rettet mod den endelige afgørelse, som den forbereder.

60

I det foreliggende tilfælde udgør den omtvistede afgørelse ifølge denne part en mellemkommende retsakt, der indgår i en udelelig beslutningsprocedure, som den irske tilsynsmyndighed har gennemført, og som mundede ud i en endelig afgørelse vedtaget af denne myndighed. Selv om Databeskyttelsesrådets vurderinger var bindende, kunne de imidlertid ikke i denne sammenhæng direkte gøres gældende over for WhatsApp, og de havde ikke nogen selvstændig retsvirkning over for WhatsApp i forhold til den endelige afgørelse. Den omstændighed, at den omtvistede afgørelse indeholdt en endelig stillingtagen fra Databeskyttelsesrådet til visse aspekter, der skulle indgå i den endelige afgørelse, betød således ikke, at den omtvistede afgørelse i sig selv gav anledning til en særskilt ændring af WhatsApps retsstilling. Den omtvistede afgørelse og den endelige afgørelse blev nemlig truffet inden for rammerne af en samlet administrativ procedure bestående af indbyrdes afhængige etaper på nationalt og europæisk niveau, der vedrørte den samme genstand, og ikke efter to uafhængige procedurer, der vedrørte forskellige spørgsmål.

61

Databeskyttelsesrådet har i denne forbindelse præciseret, at tvistbilæggelsesproceduren har til formål at sikre sammenhæng i de nationale myndigheders gennemførelse af databeskyttelsesforordningen. I det foreliggende tilfælde skabte den omtvistede afgørelse ikke nye retlige forpligtelser for WhatsApp. WhatsApps forpligtelser er defineret i selve databeskyttelsesforordningen og ikke i den omtvistede afgørelse, og de anvendes af den irske tilsynsmyndighed og ikke af Databeskyttelsesrådet. Disse forpligtelser påhvilede i øvrigt WhatsApp, før de omhandlede overtrædelser blev konstateret.

62

Med hensyn til den omtvistede afgørelses angivelige eksterne retsvirkninger har Databeskyttelsesrådet anført, at dens fortolkninger kun har bindende virkning mellem parterne, dvs. mellem de berørte tilsynsmyndigheder. Ud over at den omtvistede afgørelse ikke havde direkte retsvirkning for WhatsApp, vedrørte denne afgørelse afgrænsede anvendelsesområder for databeskyttelsesforordningen, som skulle medtages og uddybes i den endelige afgørelse. Selv om Databeskyttelsesrådets fortolkninger af databeskyttelsesforordningen således kan have en vis grad af autoritet i senere sager, der vedrører lignende retlige spørgsmål, er de imidlertid ikke bindende for de nationale retter, som i tvivlstilfælde vil skulle anmode Domstolen om en præjudiciel afgørelse.

63

Forbundsrepublikken Tyskland, der er interveneret til støtte for Databeskyttelsesrådets påstande, har gjort gældende, at den sammenhængsmekanisme, der er fastsat i databeskyttelsesforordningen, herunder tvistbilæggelsesproceduren, er rent intern og alene har til formål at nå frem til en voldgiftsafgørelse i tilfælde af divergerende synspunkter blandt tilsynsmyndighederne. Det fremgår navnlig af databeskyttelsesforordningens artikel 65, stk. 2, tredje punktum, at en foranstaltning, som Databeskyttelsesrådet træffer i denne forbindelse, alene har bindende retsvirkning for de nationale tilsynsmyndigheder. Kun den endelige afgørelse er bindende for den pågældende dataansvarlige eller databehandler.

64

Det første appelanbringendes første led vedrører spørgsmålet om, hvorvidt Retten begik en retlig fejl ved i den appellerede kendelses præmis 41-49 at fastslå, at den omtvistede afgørelse ikke udgjorde en anfægtelig retsakt som omhandlet i artikel 263, stk. 1, TEUF.

65

I henhold til denne bestemmelse prøver Domstolen bl.a. »lovligheden af de af Unionens organers, kontorers og agenturers retsakter, der skal have retsvirkning over for tredjemand«.

66

Det følger af fast retspraksis, at et annullationssøgsmål i medfør af artikel 263 TEUF kan anlægges til prøvelse af enhver bestemmelse – uanset form – udstedt af Unionens institutioner, organer, kontorer eller agenturer, som tilsigter at have bindende retsvirkninger (jf. i denne retning dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 62 og den deri nævnte retspraksis).

67

Ved afgørelsen af, om en retsakt har sådanne virkninger og derfor kan være genstand for et annullationssøgsmål i henhold til artikel 263 TEUF, skal vægten lægges på denne retsakts indhold, og disse virkninger skal vurderes ud fra objektive kriterier, såsom den nævnte retsakts indhold, i givet fald under hensyn til baggrunden for dens vedtagelse samt til den udstedende institutions, det udstedende organs, kontors eller agenturs beføjelser (jf. i denne retning dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 63 og den deri nævnte retspraksis).

68

Som generaladvokaten har anført i punkt 79 og 121 i forslaget til afgørelse, gælder det i denne henseende i lyset af artikel 263, stk. 1, TEUF, at den tredjemand, som den omhandlede retsakt har retsvirkninger over for, ikke nødvendigvis skal være sagsøgeren. Enhver fysisk eller juridisk person, der er forskellig fra ophavsmanden til denne retsakt, er nemlig tredjemand. Med henblik på at fastslå, om den nævnte retsakt har sådanne virkninger, er det derfor ikke nødvendigt at efterprøve, om disse virkninger kan påvirke sagsøgerens retsstilling, idet denne efterprøvelse kun er relevant i forbindelse med undersøgelsen af, om betingelserne i artikel 263, stk. 4, TEUF, er blevet overholdt, hvorefter enhver, der er umiddelbart og individuelt berørt af en retsakt, kan anlægge et annullationssøgsmål til prøvelse af denne retsakt, når sidstnævnte bestemmelse finder anvendelse (jf. i denne retning dom af 13.2.2025, Swissgrid mod Kommissionen,C-121/23 P, EU:C:2025:83, præmis 46). Spørgsmålet om, hvorvidt en retsakt kan anfægtes, skal derfor vurderes objektivt ud fra retsaktens materielle indhold og ikke ud fra sagsøgeren.

69

Det skal dog påpeges, at ved retsakter, hvis udarbejdelse sker i flere proceduretrin, foreligger der principielt kun en anfægtelig retsakt, hvis der er tale om en foranstaltning, som definitivt fastlægger den kompetente EU-institutions eller det kompetente EU-organs, ‑kontors eller ‑agenturs holdning, hvilket udelukker de mellemkommende foranstaltninger, der har til formål at forberede denne endelige foranstaltning, og som ikke skaber selvstændige bindende retsvirkninger over for tredjemand. Sådanne mellemkommende foranstaltninger udgøres navnlig af de foranstaltninger, der giver udtryk for en foreløbig opfattelse hos denne EU-institution eller dette EU-organ, ‑kontor eller ‑agentur (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen,60/81, EU:C:1981:264, præmis 10, af 22.9.2022, IMG mod Kommissionen,C-619/20 P og C-620/20 P, EU:C:2022:722, præmis 103, og af 18.6.2024, Kommissionen mod Afviklingsinstansen,C-551/22 P, EU:C:2024:520, præmis 92).

70

Ifølge retspraksis kan en mellemkommende foranstaltning navnlig ikke gøres til genstand for et annullationssøgsmål, hvis det er godtgjort, at den ulovlighed, som denne foranstaltning er behæftet med, kan påberåbes til støtte for et søgsmål, der er rettet mod den endelige afgørelse, som foranstaltningen forbereder. Under disse omstændigheder vil et søgsmål til prøvelse af den afgørelse, der bringer proceduren til ophør, sikre en tilstrækkelig domstolsbeskyttelse (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen,60/81, EU:C:1981:264, præmis 12, og af 15.3.2017, Stichting Woonlinie m.fl. mod Kommissionen,C-414/15 P, EU:C:2017:215, præmis 46 og den deri anførte retspraksis).

71

Hvad angår indholdet af den pågældende retsakt og det omhandlede organs beføjelser fremgår det i det foreliggende tilfælde af selve ordlyden af databeskyttelsesforordningens artikel 65, stk. 1, litra a), artikel 65, stk. 2, og artikel 68, stk. 1, at den omtvistede afgørelse er en retsakt, der hidrører fra et EU-organ, og som er bindende over for tredjemand. Denne retsakt er nemlig bindende for den ledende tilsynsmyndighed og alle de berørte tilsynsmyndigheder, som er adressater for retsakten, og som er tredjeparter i forhold til Databeskyttelsesrådet. I henhold til databeskyttelsesforordningens artikel 65, stk. 6, skal den ledende tilsynsmyndighed vedtage sin endelige afgørelse på grundlag af Databeskyttelsesrådets afgørelse. Denne endelige afgørelse skal også indeholde en henvisning til Databeskyttelsesrådets afgørelse, som skal vedlægges den endelige afgørelse.

72

Hvad angår den sammenhæng, hvori den omtvistede afgørelse blev vedtaget, er det desuden ubestridt, at denne afgørelse blev udarbejdet inden for rammerne af en procedure, der omfattede flere proceduremæssige etaper som omhandlet i den retspraksis, der er nævnt i nærværende doms præmis 69, i og med at den gik forud for den irske tilsynsmyndigheds vedtagelse af en anden retsakt. Denne afgørelse fastlægger imidlertid endeligt – som omhandlet i denne retspraksis – holdningen hos det kompetente EU-organ, nemlig Databeskyttelsesrådet, og udtømmer alle de spørgsmål, som dette organ skal afgøre. Det skal nemlig fastslås, at en sådan afgørelse, der træffes på grundlag af databeskyttelsesforordningens artikel 65, stk. 1, litra a), vedrører alle de spørgsmål, der er genstand for en relevant og begrundet indsigelse fra de berørte tilsynsmyndigheder som omhandlet i databeskyttelsesforordningens artikel 60, stk. 4, navnlig spørgsmålet om, hvorvidt der er sket en overtrædelse af databeskyttelsesforordningen.

73

Det følger af det ovenstående, at selv om den omtvistede afgørelse ikke udgør det sidste trin i den sammenhængsprocedure, der er fastsat i databeskyttelsesforordningens artikel 58, 60 og 65, kan den – i modsætning til hvad Retten fastslog i den appellerede kendelses præmis 42 – ikke kvalificeres som en mellemkommende foranstaltning, der ikke kan gøres til genstand for et søgsmål som omhandlet i den retspraksis, der er nævnt i nærværende doms præmis 69. Følgelig er den retspraksis, der er nævnt i nærværende doms præmis 70, uden relevans i den foreliggende sag.

74

Eftersom Databeskyttelsesrådets afgørelse har bindende retsvirkninger i forhold til tredjemand, er det i denne sammenhæng uden betydning, at rækkevidden af den nationale tilsynsmyndigheds endelige afgørelse omfatter spørgsmål, der ikke henhører under forelæggelsen af sagen for Databeskyttelsesrådet eller dette råds kompetence.

75

Af de samme grunde er den omstændighed, som Retten anførte i den appellerede kendelses præmis 42, nemlig at den omtvistede afgørelse i modsætning til den irske tilsynsmyndigheds endelige afgørelse ikke kan gøres gældende over for andre enheder end sine adressater, ligeledes uden relevans for kvalificeringen af denne afgørelse som en anfægtelig retsakt i henhold til artikel 263, stk. 1, TEUF. En sådan omstændighed, der vedrører appellantens retsstilling i forhold til den omtvistede afgørelse, angår hverken den omtvistede afgørelses materielle indhold eller dens bindende retsvirkninger på grundlag af objektive kriterier.

76

Det følger af samtlige disse betragtninger, at den omtvistede afgørelse udgør en retsakt fra et EU-organ, som har til formål at have retsvirkninger over for tredjeparter, og som udtrykker dette organs endelige stillingtagen til de punkter, det skal tage stilling til, således som Retten i øvrigt selv fastslog i den appellerede kendelses præmis 36, 37 og 49. Denne afgørelse udgør således – i lyset af ordlyden af artikel 263, stk. 1, TEUF og den retspraksis, der er nævnt i nærværende doms præmis 66-69 – en anfægtelig retsakt, uden at det på dette trin er nødvendigt at vurdere, om afgørelsen har medført en væsentlig ændring af WhatsApps retsstilling.

77

Det skal i denne forbindelse fastslås, at Retten begik en retlig fejl dels i den appellerede kendelses præmis 38 ved at sammenblande de krav, der følger af henholdsvis artikel 263, stk. 1 og 4, TEUF, dels i den appellerede kendelses præmis 42 ved at formulere et urigtigt kriterium om, at den omhandlede retsakt ikke kunne gøres direkte gældende over for WhatsApp, og ved at kvalificere den omtvistede afgørelse som en mellemkommende foranstaltning uden selvstændige retsvirkninger.

78

Det første appelanbringendes første led skal derfor tages til følge.

79

WhatsApp har gjort gældende, at Retten begik en retlig fejl ved at fastslå, at selskabet ikke var umiddelbart berørt af den omtvistede afgørelse, og at selskabets søgsmål derfor ikke kunne antages til realitetsbehandling.

80

For det første og hvad angår betingelsen om, at retsakten skal have umiddelbar indvirkning på appellantens retsstilling, konkluderede Retten i den appellerede kendelses præmis 52 med urette, at WhatsApp ikke var umiddelbart berørt af den omtvistede afgørelse, med den begrundelse, at denne afgørelse ikke kunne gøres gældende over for selskabet og ikke udgjorde det sidste trin i den procedure, der er fastsat i databeskyttelsesforordningens artikel 58, 60 og 65.

81

For det andet og hvad angår betingelsen om, at en retsakt ikke må overlade nogen skønsbeføjelser til de adressater, der skal gennemføre den, er WhatsApp af den opfattelse, at Retten begik en retlig fejl ved i den appellerede kendelses præmis 53-60 at fastslå, at den omtvistede afgørelse havde overladt den irske tilsynsmyndighed en skønsmargen med hensyn til indholdet af dens endelige afgørelse, samtidig med at Retten anerkendte, at den omtvistede afgørelse var bindende for denne tilsynsmyndighed med hensyn til de aspekter, som afgørelsen vedrørte.

82

Hvad angår den appellerede kendelses præmis 54-56 hvori Retten fandt, at den omtvistede afgørelses indhold var delvist i forhold til den endelige afgørelse, har WhatsApp gjort gældende, at det var nødvendigt at undersøge den manglende skønsbeføjelse ved at se på selve det materielle indhold af den omtvistede afgørelse uden at henvise til det yderligere indhold af den endelige afgørelse. Databeskyttelsesrådet analyserede således kun visse aspekter af et konkret tilfælde, nemlig de spørgsmål, der havde været genstand for relevante og begrundede indsigelser fra de berørte tilsynsmyndigheder. Den omtvistede afgørelse kan således ikke vedrøre hele sagen og kan ikke omfatte aspekter, der ikke henhører under forelæggelsen af sagen for Databeskyttelsesrådet eller dette råds kompetence.

83

Retten begik desuden en retlig fejl ved i den appellerede kendelses præmis 57-59 at fastslå, at den irske tilsynsmyndighed havde udøvet sine skønsbeføjelser til at drage konklusioner af den omtvistede afgørelse. Hvad for det første angår kvalificeringen af de data, der havde været genstand for en komprimering med tab, som personoplysninger, har WhatsApp gjort gældende, at denne kvalificering fra Databeskyttelsesrådets side medfører yderligere forpligtelser for selskabet i henhold til databeskyttelsesforordningen, og dette uafhængigt af, at den ledende tilsynsmyndighed udøvede en materiel skønsbeføjelse, der gik ud over en sådan kvalificering, ved at efterprøve, om WhatsApp havde handlet som dataansvarlig eller databehandler. Hvad for det andet angår forhøjelsen af de bøder, der skulle pålægges WhatsApp, overlod denne afgørelse ikke den irske tilsynsmyndighed nogen skønsmargen, idet denne myndighed var forpligtet til at pålægge en højere bøde end den oprindeligt påtænkte. Den omstændighed, at denne myndighed bevarer en skønsbeføjelse med hensyn til fastsættelsen af den præcise bødestørrelse, er uden relevans, eftersom denne opgave henhører under myndighedens kompetence.

84

Databeskyttelsesrådet er uenig i denne argumentation og gør gældende, at to kumulative kriterier skal være opfyldt, for at en fysisk eller juridisk person, som ikke er adressat for en individuel retsakt, er umiddelbart berørt af en EU-retsakt. For det første skal denne retsakt have en direkte indvirkning på denne persons retsstilling, og for det andet må den ikke overlade et skøn til den adressat, der skal gennemføre den, idet gennemførelsen skal ske helt automatisk uden anvendelse af andre mellemkommende regler.

85

Hvad angår det første kriterium har Databeskyttelsesrådet anført, at en retsakts bindende virkning skal vurderes i forhold til dens indvirkning på sagsøgerens særlige situation. I det foreliggende tilfælde kan den omtvistede afgørelse ikke gøres gældende over for WhatsApp på en måde, så den uden yderligere proceduremæssige trin kan skabe forpligtelser. Denne afgørelse udgjorde ikke det sidste trin i den procedure, der er omhandlet i databeskyttelsesforordningens artikel 58, 60 og 65, og fastsatte navnlig ikke bødens endelige størrelse og fastsatte heller ikke et nyt regelsæt for WhatsApps aktiviteter. Det er således kun den endelige afgørelse, der berører WhatsApp umiddelbart, idet den irske tilsynsmyndighed i henhold til databeskyttelsesforordningens artikel 56, stk. 6, er denne virksomheds eneste kontakt i virksomhedens egenskab af dataansvarlig.

86

Med hensyn til det andet kriterium har Databeskyttelsesrådet anført, at den irske tilsynsmyndighed bevarede en reel skønsbeføjelse med hensyn til de konklusioner, der skulle drages i dens endelige afgørelse, som havde en bredere rækkevidde end den omtvistede afgørelse, og som indeholdt konstateringer, som Databeskyttelsesrådet ikke blev anmodet om at udtale sig om, idet forelæggelsen af sagen for Databeskyttelsesrådet var begrænset til de spørgsmål, der havde været genstand for relevante og begrundede indsigelser. Under alle omstændigheder er der en indbyrdes afhængighed mellem den omtvistede afgørelse og den endelige afgørelse. Det er ikke muligt at udskille de dele af den endelige afgørelse, der svarer til Databeskyttelsesrådets instrukser, hvilket underbygges af den omstændighed, at Databeskyttelsesrådet har overladt den irske tilsynsmyndighed en vis skønsmargen på flere områder.

87

Under sådanne omstændigheder vil en national ret være bedre i stand til at foretage en fornyet prøvelse af denne endelige afgørelse ved i givet fald at forelægge Domstolen præjudicielle spørgsmål vedrørende de bestemmelser i databeskyttelsesforordningen, der anvendes såvel ex officio som på grundlag af Databeskyttelsesrådets instrukser.

88

Ifølge Databeskyttelsesrådet havde den irske tilsynsmyndighed ligeledes bevaret en vis skønsmargen med hensyn til de spørgsmål, der blev behandlet i den omtvistede afgørelse, navnlig de spørgsmål, der angik dels de retlige konsekvenser, der skulle drages af kvalificeringen af de data, der var genstand for en komprimering med tab, som personoplysninger, dels fastsættelsen af størrelsen af de bøder, der skulle pålægges WhatsApp. Hvad angår dette første aspekt havde denne myndighed bevaret en skønsbeføjelse og foretaget en selvstændig undersøgelse, bl.a. med hensyn til overholdelsen af databeskyttelsesforordningens artikel 14. Det er i denne forbindelse fejlagtigt at hævde, at Databeskyttelsesrådet havde foretaget en »fuldstændig« vurdering, idet rådets kompetence var begrænset til indholdet af de relevante og begrundede indsigelser og ikke omfattede hele overtrædelsesproceduren. Hvad angår det andet aspekt, nemlig fastsættelsen af bøderne, forholder det sig således, at selv om den omtvistede afgørelse indeholder generelle instrukser vedrørende bøderne, angår den hverken gennemførelsen af disse instrukser eller beregningen af disse bøder.

89

Forbundsrepublikken Tyskland er af den opfattelse, at eftersom den ledende myndighed var WhatsApps eneste kontakt, kan dette selskab ikke anses for at være umiddelbart berørt af den omtvistede afgørelse. En sådan afgørelse har ikke til formål at blive gennemført selvstændigt, men skal altid efterfølges af en endelig afgørelse fra denne myndighed. EU-lovgiver har nemlig foretaget et bevidst valg om et decentraliseret tilsyn med databeskyttelsesforordningen uden at vælge at oprette en central europæisk databeskyttelsesmyndighed.

90

Det første appelanbringendes andet led vedrører spørgsmålet om, hvorvidt Retten begik en retlig fejl ved i den appellerede kendelses præmis 50-60 at fastslå, at den omtvistede afgørelse ikke berørte WhatsApp umiddelbart som omhandlet i artikel 263, stk. 4, TEUF, og at WhatsApps søgsmål derfor ikke kunne antages til realitetsbehandling.

91

Ifølge denne bestemmelse kan enhver fysisk eller juridisk person på det grundlag, der er omhandlet i artikel 263, stk. 1 og 2, TEUF, indbringe klage med henblik på prøvelse af retsakter, der er rettet til vedkommende, eller som berører denne umiddelbart og individuelt, samt af regelfastsættende retsakter, der berører vedkommende umiddelbart, og som ikke omfatter gennemførelsesforanstaltninger.

92

Antagelsen til realitetsbehandling af et søgsmål anlagt af en fysisk eller juridisk person til prøvelse af en retsakt, der ikke er rettet til vedkommende, i medfør af artikel 263, stk. 4, TEUF forudsætter således bl.a., at denne retsakt berører vedkommende umiddelbart og individuelt (dom af 3.12.2019, Iccrea Banca,C-414/18, EU:C:2019:1036, præmis 64 og den deri nævnte retspraksis).

93

Som Retten fastslog i den appellerede kendelses præmis 40, er det i det foreliggende tilfælde godtgjort, at WhatsApp er individuelt berørt af den omtvistede afgørelse, eftersom denne afgørelse angår visse aspekter af udkastet til endelig afgørelse, som specifikt vedrører denne virksomheds situation. I denne kendelses præmis 52 og 53 fandt Retten imidlertid, at WhatsApp ikke var umiddelbart berørt af den omtvistede afgørelse, dels fordi denne afgørelse ikke var af en sådan karakter, at den kunne gøres gældende over for WhatsApp og uden yderligere trin i proceduren skabe forpligtelser for WhatsApp eller eventuelt rettigheder for andre enkeltpersoner, dels fordi den omtvistede afgørelse, selv om den var bindende for den irske tilsynsmyndighed med hensyn til de aspekter, som den vedrørte, overlod denne myndighed en skønsmargen med hensyn til indholdet af den endelige afgørelse.

94

Det skal i denne forbindelse påpeges, at det følger af fast retspraksis, at betingelsen om, at en fysisk eller juridisk person skal være umiddelbart berørt af den afgørelse, som prøves under en sag, kræver, at to kumulative betingelser er opfyldt, nemlig for det første, at den anfægtede foranstaltning umiddelbart skal have indvirkning på den pågældendes retsstilling, og for det andet, at foranstaltningen ikke må overlade et skøn til de adressater, der skal gennemføre den, men at gennemførelsen skal ske helt automatisk og udelukkende i medfør af EU-reglerne uden anvendelse af andre mellemkommende regler (dom af 4.10.2024, Kommissionen og Rådet mod Front Polisario, C-779/21 P og C-799/21 P, EU:C:2024:835, præmis 87 og den deri nævnte retspraksis).

95

Inden det undersøges, om disse to betingelser er opfyldt i den foreliggende sag, skal det præciseres, at den omstændighed, at en anfægtet retsakt ikke kan gøres direkte gældende over for en sagsøger, og den omstændighed, at denne retsakt ikke udgør det sidste trin i en sammensat procedure, ikke er til hinder for, at denne sagsøger kan være umiddelbart berørt af retsakten, når adressaten for retsakten ikke råder over nogen skønsbeføjelse (jf. i denne retning dom af 4.6.1992, Infortec mod Kommissionen,C-157/90, EU:C:1992:243, præmis 13 og 17, dom af 3.12.2019, Iccrea Banca,C-414/18, EU:C:2019:1036, præmis 65 og 67, og af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 74).

96

Som generaladvokaten har anført i punkt 139 og 144 i forslaget til afgørelse, begik Retten følgelig en retlig fejl ved i den appellerede kendelses præmis 52 at fastslå, at WhatsApp ikke kunne være umiddelbart berørt af den omtvistede afgørelse, eftersom denne afgørelse ikke var af en sådan karakter, at den kunne gøres gældende over for WhatsApp, og ikke var det sidste trin i den procedure, der er fastsat i databeskyttelsesforordningens artikel 58, 60 og 65.

97

Hvad angår overholdelsen af den første af de betingelser, der er nævnt i nærværende doms præmis 94, skal det vurderes, om den anfægtede retsakt har givet anledning til en væsentlig ændring af den pågældende fysiske eller juridiske persons retsstilling, idet der skal lægges vægt på denne retsakts materielle indhold, og idet retsaktens virkninger skal vurderes ud fra objektive kriterier såsom retsaktens indhold, eventuelt under hensyn til baggrunden for dens vedtagelse samt til den udstedende institutions, det udstedende organs, kontors eller agenturs beføjelser (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen,60/81, EU:C:1981:264, præmis 9, og af 18.6.2024, Kommissionen mod Afviklingsinstansen,C-551/22 P, EU:C:2024:520, præmis 65 og den deri nævnte retspraksis).

98

Som anført i nærværende doms præmis 30 konkluderede Databeskyttelsesrådet i den foreliggende sag i den omtvistede afgørelse bl.a., at WhatsApp havde tilsidesat de oplysningsforpligtelser, der er fastsat i databeskyttelsesforordningens artikel 13, stk. 1, litra d), og overtrådt databeskyttelsesforordningens artikel 13, stk. 2, litra e). Følgelig ændrer denne afgørelse WhatsApps retsstilling, idet WhatsApp på grund af Databeskyttelsesrådets indgriben navnlig blev nødsaget til at ændre sit kontraktforhold med brugerne af den meddelelsestjeneste, som WhatsApp leverer. Det følger heraf, at der er en direkte forbindelse mellem den nævnte afgørelse og dens indvirkning på WhatsApps situation som omhandlet i den retspraksis, der er nævnt i nærværende doms præmis 94 og 95.

99

I modsætning til hvad Databeskyttelsesrådet har gjort gældende, er det uden betydning for denne konstatering, at den irske tilsynsmyndighed i henhold til databeskyttelsesforordningens artikel 56, stk. 6, er WhatsApps eneste kontakt i dette selskabs egenskab af dataansvarlig. Denne bestemmelse har nemlig udelukkende til formål at tilrettelægge forholdet mellem en dataansvarlig eller databehandler, en ledende tilsynsmyndighed og de berørte tilsynsmyndigheder, således at bestemmelsen ikke vedrører de retsmidler, der er til rådighed over for Databeskyttelsesrådets afgørelser.

100

Hvad angår overholdelsen af den anden af de betingelser, der er nævnt i nærværende doms præmis 94, skal der ved vurderingen af, om en retsakt overlader adressaterne en skønsbeføjelse med henblik på dens gennemførelse, foretages en undersøgelse af de retsvirkninger, som de bestemmelser i denne retsakt, der er genstand for søgsmålet, har for situationen for den person, der påberåber sig søgsmålsretten i henhold til artikel 263, stk. 4, andet sætningsled, TEUF (jf. i denne retning dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 98 og den deri nævnte retspraksis).

101

Det skal navnlig afvises, at der foreligger en sådan skønsmargen, hvis det godtgøres, at de bestemmelser i retsakten, der er genstand for søgsmålet, har haft den direkte følge, at denne person er blevet pålagt forpligtelser, hvis resultat ikke kan ændres af den enhed, der efterfølgende har til opgave at gennemføre denne retsakt (jf. i denne retning dom af 12.7.2022, Nord Stream 2 mod Parlamentet og Rådet, C-348/20 P, EU:C:2022:548, præmis 114).

102

Som det fremgår af nærværende doms præmis 71 og 72, skal der i det foreliggende tilfælde erindres om, at den omtvistede afgørelse er bindende for den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder. Disse myndigheder kunne ikke fravige det standpunkt, som Databeskyttelsesrådet indtog i denne afgørelse, og som er nævnt i nærværende doms præmis 30. I denne afgørelse blev der nemlig taget stilling til de retlige spørgsmål, der lå til grund for forelæggelsen af sagen for Databeskyttelsesrådet, og afgørelsen var ubetinget bindende for disse myndigheder, navnlig for så vidt angik konstateringen af, at visse bestemmelser i databeskyttelsesforordningen var blevet overtrådt, kvalificeringen af de data, der havde været genstand for en komprimering med tab, som personoplysninger, og forpligtelsen til at forhøje de påtænkte bøder. De nævnte myndigheder havde ikke mulighed for at ændre resultatet af Databeskyttelsesrådets vurderinger for så vidt angik disse spørgsmål som omhandlet i den retspraksis, der er nævnt i nærværende doms foregående præmis.

103

I denne henseende har Databeskyttelsesrådet i henhold til databeskyttelsesforordningens artikel 70, stk. 1, litra a), til opgave at sikre en ensartet anvendelse af databeskyttelsesforordningen ved, således som det fremgår af tiende betragtning hertil, at overvåge og sikre, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af deres personoplysninger anvendes konsekvent og ensartet overalt i Unionen i de tilfælde, der er omhandlet i bl.a. databeskyttelsesforordningens artikel 65, uden at dette berører de nationale tilsynsmyndigheders opgaver.

104

I denne sammenhæng er det uden betydning, at den endelige afgørelses rækkevidde omfatter spørgsmål, der ikke henhører under forelæggelsen af sagen for Databeskyttelsesrådet, dvs. aspekter, der ikke har været genstand for relevante og begrundede indsigelser som omhandlet i databeskyttelsesforordningens artikel 65, stk. 1, litra a), eller spørgsmål, der ikke henhører under dette organs kompetence, såsom bl.a. fastsættelsen af den præcise størrelse af den bøde, der skal pålægges den dataansvarlige eller databehandleren, hvilket påhviler den tilsynsmyndighed, som sagen er indbragt for i henhold til databeskyttelsesforordningens artikel 58, stk. 2, litra i), og artikel 83.

105

Selv om der ganske vist består en indbyrdes afhængighed mellem den omtvistede afgørelse og den endelige afgørelse, forholder det sig desuden ikke desto mindre således, at disse afgørelser udgør særskilte retsakter, og at rækkevidden af den omtvistede afgørelse er klart afgrænset, således som det fremgår af opregningen i nærværende doms præmis 30. Under disse omstændigheder kan denne indbyrdes afhængighed ikke være til hinder for konstateringen af, at WhatsApp er umiddelbart berørt af den omtvistede afgørelse.

106

Navnlig gælder det, at selv om en samtidige anlæggelse af et annullationssøgsmål ved Unionens retsinstanser på grundlag af artikel 263 TEUF til prøvelse af Databeskyttelsesrådets bindende afgørelse og ved en national ret i henhold til databeskyttelsesforordningens artikel 78 til prøvelse af den endelige afgørelse, som den nationale tilsynsmyndighed vedtager på grundlag af denne bindende afgørelse, ganske vist giver anledning til to parallelle retssager, har denne situation ikke til følge, at virkningerne af Databeskyttelsesrådets afgørelse i det foreliggende tilfælde skal anses for at være indirekte i forhold til WhatsApp.

107

For det første fremgår det nemlig af Domstolens praksis, at såfremt afgørelsen i den sag, som den nationale ret behandler, afhænger af, om et EU-organs afgørelse er gyldig, følger det af forpligtelsen til loyalt samarbejde, at den nationale ret for at undgå at træffe en afgørelse, der strider mod dette organs afgørelse, skal udsætte sagen, indtil Unionens retsinstanser har truffet en endelig afgørelse vedrørende annullationssøgsmålet, medmindre den finder, at det efter omstændighederne i sagen er berettiget at forelægge et præjudicielt spørgsmål for Domstolen vedrørende gyldigheden af det omhandlede organs afgørelse (jf. i denne retning dom af 14.12.2000, Masterfoods og HB, C-344/98, EU:C:2000:689, præmis 57, og af 25.7.2018, Georgsmarienhütte m.fl.,C-135/16, EU:C:2018:582, præmis 24).

108

For det andet skal det ligeledes anføres, at princippet om god retspleje, i tilfælde af at der samtidigt anlægges et søgsmål for Retten, inden for rammerne af et annullationssøgsmål, og for Domstolen, inden for rammerne af en præjudiciel forelæggelse, kan begrunde, at Domstolen, hvis den finder det hensigtsmæssigt, anvender artikel 54, stk. 3, i statutten for Den Europæiske Unions Domstol med henblik på at udsætte den sag, som verserer for den, til fordel for den sag, som er anlagt for Retten (dom af 25.7.2018, Georgsmarienhütte m.fl.,C-135/16, EU:C:2018:582, præmis 25).

109

Eftersom de to betingelser, der er nævnt i nærværende doms præmis 94, er opfyldt, er WhatsApp følgelig umiddelbart berørt af den omtvistede afgørelse.

110

Henset til ovenstående betragtninger skal det første appelanbringendes andet led derfor tages til følge, og den appellerede kendelse skal følgelig ophæves.

111

WhatsApp har med sit første appelanbringendes tredje led gjort gældende, at Rettens konstatering i den appellerede kendelses præmis 66-70, hvorefter afvisningen af selskabets søgsmål er i overensstemmelse med det retsmiddelsystem, der er indført ved EU-traktaten og EUF-traktaten, er behæftet med en retlig fejl.

112

Henset til konklusionen i nærværende doms præmis 110 er det ufornødent at tage stilling til det første appelanbringendes tredje led.

113

WhatsApp har under henvisning til den argumentation, der er fremført under det første appelanbringende, gjort gældende, at Retten tilsidesatte databeskyttelsesforordningens artikel 65, stk. 1, og princippet om en sammenhængende anvendelse af EU-retten ved i den appellerede kendelses præmis 41-60 at fastslå, at den omtvistede afgørelse ikke havde andre retsvirkninger end sine bindende virkninger over for de berørte tilsynsmyndigheder.

114

Da WhatsApp har begrænset sig til at henvise til den argumentation, der er fremført til støtte for selskabets første appelanbringende, og henset til konklusionen i nærværende doms præmis 110, er det ufornødent at tage stilling til dette andet appelanbringende, eftersom dette ikke kan medføre en mere omfattende ophævelse af den appellerede kendelse.

115

I henhold til artikel 61, stk. 1, i statutten for Den Europæiske Unions Domstol kan Domstolen, når den ophæver den af Retten trufne afgørelse, selv træffe endelig afgørelse, hvis sagen er moden til påkendelse.

116

Denne betingelse er opfyldt i det foreliggende tilfælde, da sagen alene vedrører spørgsmålet om, hvorvidt det søgsmål, der blev anlagt ved Retten, kan antages til realitetsbehandling.

117

For det første skal det hertil bemærkes, at den omtvistede afgørelse, således som det fremgår af nærværende doms præmis 76, udgør en anfægtelig retsakt i relation til artikel 263, stk. 1, TEUF. For det andet er WhatsApp, således som fastslået i nærværende doms præmis 109, umiddelbart berørt af den omtvistede afgørelse som omhandlet i artikel 263, stk. 4, TEUF. For det tredje er WhatsApp individuelt berørt af denne afgørelse, således som Retten selv fastslog i den appellerede kendelses præmis 40.

118

Da de betingelser, der er fastsat i artikel 263, stk. 1 og 4, TEUF, således er opfyldt, og da der ikke foreligger nogen andre afvisningsgrunde, skal annullationssøgsmålet følgelig antages til realitetsbehandling.

119

Da Retten imidlertid ikke har realitetsbehandlet det søgsmål, der var indbragt for den, og hvis afgørelse kræver en detaljeret faktisk og retlig vurdering, er sagen ikke moden til påkendelse vedrørende realiteten.

120

Følgelig skal sagen hjemvises til Retten.

121

Da sagen hjemvises til Retten, bør afgørelsen om sagsomkostningerne i appelsagen udsættes.

På grundlag af disse præmisser udtaler og bestemmer Domstolen (Store Afdeling):