Stan faktyczny i tło proceduralne
Sprawa wynikała z postępowań dotyczących zgodności WhatsApp Ireland Ltd. z obowiązkami przejrzystości i informowania wynikającymi z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, str. 1; dalej RODO). Po wejściu w życie tego rozporządzenia irlandzki organ nadzorczy (DPC) otrzymał skargi użytkowników i osób niebędących użytkownikami WhatsApp, a także sygnały ze strony niemieckiego organu (BfDI) odnoszące się do obowiązków przejrzystości, w tym w kontekście potencjalnego udostępniania danych innym podmiotom grupy (wówczas Facebook, następnie Meta). DPC wszczął z urzędu w grudniu 2018 r. generalne postępowanie dotyczące przestrzegania przez WhatsApp obowiązków z art. 12–14 RODO, działając jako wiodący organ nadzorczy z uwagi na transgraniczny charakter przetwarzania oraz lokalizację głównej jednostki organizacyjnej WhatsApp w Irlandii (art. 56 ust. 1 RODO).
Po zakończeniu dochodzenia DPC przedłożył w grudniu 2020 r. projekt decyzji innym właściwym organom w trybie art. 60 ust. 3 RODO. W styczniu 2021 r. osiem organów zgłosiło sprzeciwy wobec wybranych elementów projektu. DPC próbował wypracować rozwiązania kompromisowe, jednak nie uzyskano konsensusu co do części sprzeciwów. W tej sytuacji DPC przekazał sprawę do EDPB w trybie art. 60 ust. 4 oraz art. 65 ust. 1 lit. a) RODO. WhatsApp przedstawił pisemne uwagi odnoszące się do kwestii dyskutowanych między organami, które DPC przekazał następnie EDPB w ramach procedury rozstrzygania sporu.
EDPB przyjęła 28.7.2021 r. wiążącą decyzję nr 1/2021 na podstawie art. 65 ust. 2 RODO. Następnie DPC wydał 20.8.2021 r. decyzję ostateczną, w której stwierdził naruszenia zasady przejrzystości i obowiązków informacyjnych, nałożył środki naprawcze oraz administracyjne kary pieniężne na łączną kwotę 225 mln euro. Do decyzji krajowej dołączono decyzję EDPB, zgodnie z art. 65 ust. 6 RODO.
W decyzji EDPB zajęto stanowisko w kwestiach będących przedmiotem istotnych i uzasadnionych sprzeciwów, w szczególności dotyczących: dodatkowych naruszeń obowiązków informacyjnych z art. 13 RODO; kwalifikacji informacji powstałych w ramach procedury lossy hashing jako danych osobowych i konsekwencji tej kwalifikacji dla oceny naruszeń, zakresu art. 14 RODO oraz sankcji; oceny naruszenia zasady przejrzystości z art. 5 ust. 1 lit. a) RODO; skrócenia terminu wykonania środków z 6 do 3 miesięcy; a także kryteriów i metodyki wymiaru kar pieniężnych, w tym potrzeby podwyższenia poziomu grzywien względem pierwotnie planowanego przedziału. Jednocześnie EDPB wskazała, że niektórych naruszeń (np. w zakresie art. 6 ust. 1 RODO) nie można było stwierdzić z przyczyn proceduralnych w ramach danego postępowania.
WhatsApp zaskarżył decyzję EDPB do Sądu UE na podstawie art. 263 Traktat o funkcjonowaniu Unii Europejskiej (wersja skonsolidowana) (Dz.Urz. UE C z 2016 r. Nr 202, s. 47; dalej: TFUE). Sąd postanowieniem z 7.12.2022 r., T-709/21, Legalis, odrzucił skargę jako niedopuszczalną, uznając decyzję EDPB za akt pośredni oraz stwierdzając brak bezpośredniego dotknięcia. WhatsApp wniósł odwołanie do TSUE.
Rozstrzygnięcie TSUE
Trybunał uchylił postanowienie Sądu UE i uznał skargę o stwierdzenie nieważności za dopuszczalną. Sprawę przekazano Sądowi do ponownego rozpoznania, ponieważ dotychczas nie badano legalności decyzji EDPB co do meritum.
Termin do wniesienia skargi – publikacja na stronie EDPB
W odpowiedzi na zarzut EDPB dotyczący rzekomego wniesienia skargi po terminie, TSUE przypomniał hierarchię kryteriów z art. 263 akapit szósty TFUE: zasadniczo decyduje publikacja aktu lub jego notyfikacja, a dopiero w ich braku – data powzięcia wiadomości. Trybunał wyjaśnił, że „publikacja” nie oznacza wyłącznie ogłoszenia w Dzienniku Urzędowym UE; pojęcie to obejmuje także publikację na stronie internetowej instytucji lub organu UE, gdy przewiduje ją prawo wtórne. Ponieważ art. 65 ust. 5 RODO przewiduje publikację decyzji EDPB na stronie EDPB, a motyw 143 RODO odsyła do tego sposobu publikacji, TSUE przyjął, że termin należy liczyć od daty takiej publikacji. W sprawie przyjęto datę 2.9.2021 r. jako moment publikacji, a wniesienie skargi 1.11.2021 r. uznano za terminowe.
„Akt zaskarżalny” w rozumieniu art. 263 TFUE
TSUE przypomniał, że skarga na podstawie art. 263 TFUE przysługuje wobec każdego aktu instytucji lub organu UE, który wywołuje wiążące skutki prawne wobec osób trzecich, niezależnie od jego formy. Ocenę tę przeprowadza się w oparciu o treść aktu, kontekst jego wydania oraz zakres kompetencji organu.
Trybunał wyraźnie odróżnił kwalifikację aktu jako zaskarżalnego (art. 263 akapit pierwszy TFUE) od kwestii legitymacji skargowej podmiotu prywatnego (art. 263 akapit czwarty TFUE). Na etapie badania zaskarżalności nie analizuje się jeszcze wpływu aktu na sytuację prawną konkretnego skarżącego.
Choć w postępowaniach wieloetapowych co do zasady zaskarżalny jest akt końcowy, TSUE uznał, że decyzja EDPB wydana na podstawie art. 65 ust. 1 lit. a) RODO nie ma charakteru wyłącznie pośredniego. Definitywnie rozstrzyga ona kwestie przekazane do rozstrzygnięcia, wyczerpuje kompetencje EDPB w danym sporze i wiąże organy krajowe. W konsekwencji stanowi akt zaskarżalny w rozumieniu art. 263 TFUE.
Bezpośrednie dotknięcie WhatsApp
Trybunał przypomniał, że akt dotyczy podmiotu bezpośrednio w rozumieniu art. 263 akapit czwarty TFUE, jeżeli wywiera bezpośredni wpływ na jego sytuację prawną oraz nie pozostawia organom odpowiedzialnym za jego wykonanie swobody co do elementów rozstrzygniętych. Kluczowe znaczenie ma rzeczywisty skutek prawny aktu, a nie jego formalne miejsce w strukturze postępowania.
TSUE uznał, że decyzja EDPB wywiera bezpośredni wpływ na sytuację prawną WhatsApp. Stwierdzenie naruszenia obowiązków informacyjnych, w tym wynikających z art. 13 ust. 1 lit. d) oraz art. 13 ust. 2 lit. e) RODO, prowadziło do konieczności zmiany sposobu realizacji obowiązków informacyjnych oraz dostosowania praktyk przetwarzania danych. Decyzja wpływała zatem na zakres obowiązków administratora i jego relacje z użytkownikami.
Trybunał podkreślił również wiążący charakter decyzji EDPB wobec organów nadzorczych. Organy te nie mogły odstąpić od ustaleń dotyczących naruszeń, kwalifikacji określonych informacji jako danych osobowych ani konieczności odpowiedniego uwzględnienia tych ustaleń przy wymiarze sankcji. Okoliczność, że organ krajowy zachowuje kompetencję do określenia szczegółowych środków lub wysokości kary w granicach wyznaczonych prawem, nie zmienia faktu, że jest związany oceną prawną EDPB w zakresie rozstrzygniętych kwestii.
Trybunał wskazał także, że możliwość równoległego zaskarżenia decyzji EDPB do sądów UE oraz decyzji organu krajowego do sądu krajowego nie zmienia bezpośredniego charakteru skutków decyzji EDPB. System prawa UE przewiduje mechanizmy zapewniające spójność orzecznictwa, w tym możliwość zawieszenia postępowania krajowego do czasu rozstrzygnięcia ważności aktu unijnego.
W konsekwencji TSUE uznał, że decyzja EDPB dotyczy WhatsApp bezpośrednio, a odmowa uznania tej przesłanki przez Sąd UE stanowiła naruszenie prawa.
Skutek orzeczenia i dalszy bieg sprawy
Trybunał uchylił postanowienie T-709/21, uznał skargę o stwierdzenie nieważności za dopuszczalną i przekazał sprawę do Sądu do rozpoznania co do meritum. TSUE wskazał, że stan postępowania pozwalał na ostateczne rozstrzygnięcie jedynie w zakresie dopuszczalności, natomiast ocena legalności decyzji EDPB wymaga zbadania zarzutów materialnoprawnych i procesowych oraz szczegółowej oceny prawnej i faktycznej.
Znaczenie praktyczne
Wyrok doprecyzowuje miejsce wiążącej decyzji EDPB w systemie środków ochrony prawnej przewidzianych w RODO i traktatach. Decyzja EDPB z art. 65 RODO została potraktowana jako akt unijny o własnej tożsamości prawnej w zakresie rozstrzygniętych kwestii, a nie wyłącznie element „wewnętrznej” wymiany między organami nadzorczymi. Dla administratorów danych oznacza to, że w sprawach transgranicznych objętych mechanizmem spójności możliwe jest kierowanie skargi z art. 263 TFUE bezpośrednio na decyzję EDPB, jeżeli spełnione są przesłanki bezpośredniego i indywidualnego dotknięcia.
Jednocześnie wyrok nie rozstrzyga legalności merytorycznej decyzji EDPB ani tego, czy WhatsApp naruszył RODO w zakresie objętym sporem. Te kwestie pozostają przedmiotem dalszego postępowania przed Sądem UE po przekazaniu sprawy.
Wyrok TSUE z 10.2.2026 r., C-97/23 P
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
