Затова се отменя определението на Общия съд относно WhatsApp и той трябва да се произнесе по същество
Съдът на Европейския съюз констатира, че решение със задължителен характер на Европейския комитет по защита на данните (ЕКЗД/EDPB), с което се разрешава спор между няколко национални надзорни органа по въпроса дали администратор на лични данни е нарушил Общия регламент относно защита на данните (ОРЗД/GDPR)1 и дали е необходимо евентуално да се изменят предвидените по отношение на него корективни мерки, представлява акт, който може да бъде обжалван пред съдилищата на Съюза. Всъщност това решение е издадено от орган на Съюза и е предназначено да произведе правно действие по отношение на трети страни. Освен това в настоящия случай Съдът постановява, че WhatsApp Ireland Ltd (наричано по-нататък „WhatsApp“) е пряко засегнато от разглежданото решение. Тъй като жалбата за отмяна на WhatsApp е допустима, но Общият съд на Европейския съюз все още не е разгледал спора по същество, Съдът отменя обжалваното определение и връща делото на Общия съд.
След влизането в сила на GDPR ирландският надзорен орган, а именно Data Protection Commission, получава от ползватели и от лица, които не ползват услугата за съобщения „WhatsApp“, жалби относно обработването на лични данни от това предприятие. През декември 2018 г. този надзорен орган започва по свой почин общо разследване относно спазването от страна на WhatsApp на задълженията му за прозрачност и информиране по отношение на частноправните субекти. През декември 2020 г. ирландският надзорен орган представя на всички други засегнати надзорни органи проект за решение, за да получи тяхното становище2. Поради липсата на консенсус по някои аспекти на този проект той сезира EDPB/ЕКЗД с цел последният да уреди спора между засегнатите надзорни органи, като се произнесе по въпросите, по които са повдигнати относими и обосновани възражения. ЕКЗД приема решение със задължителен характер3 за всички засегнати надзорни органи, а именно Решение 1/2021, в което той по-специално установява нарушение на някои разпоредби на GDPR и задължава ирландския надзорен орган да измени предвидените корективни мерки, включително размера на имуществените санкции. Въз основа на това посоченият орган постановява окончателното си решение, адресирано до WhatsApp, с което по-специално му налага имуществени санкции в общ размер от 225 милиона евро. WhatsApp подава жалба за отмяна на решението на EDPB/ЕКЗД пред Общия съд4. С определението си от 7 декември 2022 г.5 Общият съд обаче отхвърля тази жалба като недопустима с мотива, че решението на ЕКЗД не е обжалваем акт и че WhatsApp не е пряко засегнато от това решение. Според Общия съд решението на ЕКЗД е било само междинна мярка и WhatsApp е могло да обжалва само окончателното решение на ирландския надзорен орган пред национален съд. Тогава WhatsApp оспорва определението на Общия съд, като подава жалба до Съда. В постановеното днес решение Съдът обявява, че решението на ЕКЗД действително е акт, който може да бъде обжалван пред съда на Съюза. Всъщност това решение е акт, издаден от орган на Съюза, който има задължителен характер по отношение на трети лица, а именно в случая ирландския надзорен орган и всички останали засегнати надзорни органи. Освен това посоченото решение определя окончателно позицията на този орган и изчерпва всички въпроси, с които е сезиран. Следователно такова решение не може да се счита за междинна мярка, която не подлежи на обжалване. Освен това Съдът констатира, че WhatsApp е пряко засегнато от същото това решение, тъй като то изменя съществено правното положение на това предприятие, без да остави свобода на преценка на адресатите си. Всъщност това решение обвързва безусловно засегнатите надзорни органи, по-специално що се отнася до установяването на нарушение на някои разпоредби на ОРЗД, и тези органи не могат да променят резултата от него. Поради това жалбата на WhatsApp се обявява за допустима и определението на Общия съд се отменя. Съдът връща делото на Общия съд, който да се произнесе по съществото на делото, включително по въпроса дали WhatsApp е нарушило съответните разпоредби на GDPR, пише в съобщение на Съда.
1 Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Общ регламент относно защитата на данните).
2 В съответствие с член 60, параграф 3 от ОРЗД.
3 В съответствие с член 65, параграф 1 от ОРЗД.
4 В съответствие с член 263 ДФЕС.
5 Определение от 7 декември 2022 г., WhatsApp Ireland/Европейски комитет по защита на данните, T‑709/21 (вж. също прессъобщение № 196/22).