Förslag till avgörande av generaladvokat Tamara Ćapeta föredraget den 27 mars 2025

1 Originalspråk: engelska.

2 Artiklarna 63 och 65 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, rättad genom EUT L 127, 2018, s. 2, och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).

3 Bindande beslut 1/2021 om den tvist som uppstått om den irländska tillsynsmyndighetens förslag till beslut om WhatsApp Ireland enligt artikel 65.1 a i den allmänna dataskyddsförordningen (nedan kallat det omtvistade beslutet). Offentliggjort på https://www.edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-12021-dispute-arisen_sv.

4 Beslut av den 7 december 2022, WhatsApp Ireland/Europeiska dataskyddsstyrelsen ( T‑709/21, EU:T:2022:783) (nedan kallat det överklagade beslutet).

5 I skrivande stund pågår sju andra mål vid tribunalen mot bindande beslut som antagits av EDPB genom mekanismen för enhetlighet, vilka har väckts av såväl personuppgiftsbiträden och personuppgiftsansvariga som nationella tillsynsmyndigheter. Se målen T‑682/22, Meta Platforms Ireland/EDPB; T‑70/23, Data Protection Commission/Europeiska dataskyddsstyrelsen; T‑84/23, Data Protection Commission/Europeiska dataskyddsstyrelsen; T‑128/23, Meta Platforms Ireland/Europeiska dataskyddsstyrelsen; T‑129/23, Meta Platforms Ireland/Europeiska dataskyddsstyrelsen; T‑111/23, Data Protection Commission/Europeiska dataskyddsstyrelsen; och T‑153/23, WhatsApp Ireland/Europeiska dataskyddsstyrelsen. I ytterligare tre pågående mål har talan väckts mot beslut av EDPB som fattats utanför ramen för mekanismen för enhetlighet. Se mål T‑325/23, Meta Platforms Ireland/Europeiska dataskyddsstyrelsen; mål T-1030/23, Tiktok Technology/Europeiska dataskyddsstyrelsen och mål T‑8/24, Meta Platforms Ireland/Europeiska dataskyddsstyrelsen.

6 För ett kategoriseringsförsök, se Eliantonio, M., Access to justice in composite procedures for the implementation of EU law: the story so far, i Van Creynenbreugel, P. och Wildemeersch, J. (red.), Questions choisies de droit européen des affaires/Selected Issues in European Business Law: 60 ans d’études juridiques européennes à Liège/60 years of European legal studies at Liège, Bruylant, 2023, s. 189–221.

7 Hofmann, H.C.H. förklarar där att sammansatta förfaranden är förfaranden i flera steg med bidrag från administrativa aktörer i olika jurisdiktioner, där samarbetet antingen sker vertikalt mellan unionens institutioner och organ och medlemsstaternas institutioner och organ eller horisontellt mellan olika medlemsstaters institutioner och organ, eller inom ramen för trepartsförfaranden mellan institutioner och organ i olika medlemsstater och unionens institutioner och organ. Se Hofmann, H.C.H., Composite decision making procedures in EU administrative law, i Hofmann, H.C.H., Türk, A.H., Legal Challenges in EU Administrative Law, Edward Elgar, Cheltenham, 2009, s. 136.

8 För en aktuell redogörelse för de teoretiska och praktiska frågor som aktualiseras i samband med sammansatta förfaranden, se Bastos, F. B., Judging Composite Decision-Making: The Transformation of European Administrative Law, Hart Publishing, Oxford, 2024.

9 I artikel 55.1 i dataskyddsförordningen stadfästs att [v]arje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt denna förordning inom sin egen medlemsstats territorium.

10 Se, i detta hänseende, skäl 9, 10 och 13 i dataskyddsförordningen.

11 Se artikel 60.4 i dataskyddsförordningen.

12 I detta avseende skiljer sig EDPB:s roll från dess föregångares, artikel 29-arbetsgruppen, som inrättades med stöd av artikel 29.1 i Europaparlamentets och rådet direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31), och som endast hade en rådgivande funktion.

13 Se även skäl 136 i förordningen.

14 Artikel 65.5 i dataskyddsförordningen.

15 I artikel 65.6 i dataskyddsförordningen föreskrivs att ett sådant nationellt beslut ska antas senast en månad efter det att EDPB har delgett tillsynsmyndigheten sitt bindande beslut.

16 Om en nationell tillsynsmyndighet inte godtar ett bindande beslut av EDPB kan den ifrågasätta dess giltighet vid tribunalen. Se exempelvis det mål som avgjorts genom domen av den 29 januari 2025, Data Protection Commission/Europeiska dataskyddsstyrelsen ( T‑70/23, T‑84/23 och T‑111/23, EU:T:2025:116).

17 Integritetspolicyn är avsedd att tillgodose de krav på öppenhet som klaganden måste uppfylla enligt artiklarna 12 och 14 i dataskyddsförordningen, och även enligt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna. Se, allmänt, artikel 29-arbetsgruppen, Riktlinjer om öppenhet enligt förordning 2016/679, antagna den 29 november 2017 (WP260).

18 Se artikel 99.2 i dataskyddsförordningen.

19 Se Data Protection Commission, Decision of the Data Protection Commission made pursuant to Section 111 of the Data Protection Act, 2018 and Articles 60 and 65 of the General Data Protection Regulation (beslut av dataskyddskommissionen med tillämpning av artikel 111 i 2018 års dataskyddslag och artiklarna 60 och 65 i den allmänna dataskyddsförordningen), 2021, (IN-18–12–2) punkt 3 (nedan kallat det slutliga nationella beslutet), som finns tillgängligt på engelska på följande adress: https://www.dataprotection.ie/sites/default/files/uploads/2022–03/Full_decision_WhatsApp_Ireland-August_2021.pdf.

20 Se det slutliga nationella beslutet, punkt 4.

21 Se det överklagade beslutet, punkt 4. Se även det slutliga nationella beslutet, punkt 23.

22 Se det överklagade beslutet, punkt 5. Se även det slutliga nationella beslutet, punkt 23.

23 Se det överklagade beslutet, punkt 5. Se även det slutliga nationella beslutet, punkt 24.

24 Se det överklagade beslutet, punkt 5. Se det slutliga nationella beslutet, punkt 25.

25 Se det slutliga nationella beslutet, punkt 25.

26 Såsom jag förstår det är klagandens förfarande för förlusthashning (lossy hashing) i huvudsak en krypteringsteknik för att översätta telefonnummer till användare och icke-användare av dess meddelandetjänst till numeriska koder, som klaganden sedan kan dela med tredje man. I motsats till den irländska tillsynsmyndighetens utkast till beslut ansåg EDPB att eftersom det var möjligt för klaganden att särskilja och därmed återidentifiera registrerade personer på grundval av dessa hashade (hashed) koder, utgjorde de hashade uppgifterna personuppgifter i den mening som avses i dataskyddsförordningen. Se, i detta avseende, det omtvistade beslutet, punkterna 141–157.

27 Se, i detta avseende, det överklagade beslutet, punkt 11, och det omtvistade beslutet, punkterna 427 och 428.

28 Se, i detta avseende, det överklagade beslutet, punkt 11, och det omtvistade beslutet, punkterna 426 och 428.

29 Se, i detta avseende, det överklagade beslutet, punkt 11, och punkterna 429 och 430.

30 Se det överklagade beslutet, punkt 9.

31 Således förklarade domstolen, exempelvis, i sin dom av den 18 juni 2024, kommissionen/SRB ( C‑551/22 P, EU:C:2024:520) (nedan kallad domen i målet kommissionen/SRB), att slutsatserna i domen av den 6 maj 2021, ABLV Bank m.fl./ECB ( C‑551/19 P och C‑552/19 P, EU:C:2021:369), inte automatiskt kunde appliceras på den situation som var aktuell i det målet. I sistnämnda dom fann domstolen att ett beslut av Europeiska centralbanken om att en bank fallerar eller sannolikt kommer att fallera inte utgör en rättsakt mot vilken talan kan väckas, eftersom den inte är bindande för den gemensamma resolutionsnämnden (nedan kallad SRB), vilket innebär att talan om ogiltigförklaring ska väckas mot den rättsakt som antagits av SRB. Detta innebär emellertid inte att en rättsakt som antagits av SRB inom ramen för resolutionsförfarandet alltid utgör en rättsakt mot vilken talan kan väckas. När en rättsakt antas av detta organ i ett annat skede av resolutionsförfarandet utgör den inte en rättsakt mot vilken talan kan väckas om den inte har bindande rättsverkningar för kommissionen, som i detta sammansatta förfarande har befogenhet att anta ett slutligt beslut.

32 Domstolen måste således ibland förklara varför slutsatserna i dess tidigare domar inte går att tillämpa i det aktuella fallet. Se, i detta hänseende, domstolens förklaring i domen i målet kommissionen/SRB, punkt 92.

33 Dom av den 11 november 1981, IBM/kommissionen ( 60/81, EU:C:1981:264; svensk specialutgåva, volym VI, s. 225, punkt 9) (nedan kallad domen i målet IBM).

34 Dom av den 13 oktober 2011, Deutsche Post och Tyskland/kommissionen ( C‑463/10 P och C‑475/10 P, EU:C:2011:656) (nedan kallad domen i de förenade målen Deutsche Post).

35 Det följer av fast rättspraxis att frågan huruvida en talan om ogiltigförklaring kan tas upp till sakprövning utgör en fråga rörande tvingande rätt som unionsdomstolarna kan pröva när som helst, även om det inte föreligger något anslutningsöverklagande enligt artikel 176.2 i domstolens rättegångsregler. Se, bland annat, dom av den 2 september 2021, Ja zum Nürburgring/kommissionen ( C‑647/19 P, EU:C:2021:666, punkterna 52–53 och där angiven rättspraxis) och dom av den 21 september 2023, China Chamber of Commerce for Import and Export of Machinery and Electronic Products m.fl./kommissionen ( C‑478/21 P, EU:C:2023:685, punkterna 42 och 43 och där angiven rättspraxis).

36 Se, bland annat, dom av den 10 mars 1998, Tyskland/rådet ( C‑122/95, EU:C:1998:94, punkt 35), och dom den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen ( C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkterna 63 och 73).

37 Se artikel 65.5 första meningen i dataskyddsförordningen.

38 Se, för ett liknande resonemang, dom av den 5 april 1979, Orlandi/kommissionen ( 117/78, EU:C:1979:109, punkt 11), och dom av den 26 september 2013, PPG och SNF/ECHA ( C‑625/11 P, EU:C:2013:594, punkt 33).

39 Se, bland annat, dom av den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen ( C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkterna 68–71).

40 Se, analogt, dom av den 26 september 2013, PPG and SNF/ECHA ( C‑625/11 P, EU:C:2013:594, punkterna 29–33) (som rörde [ett beslut om uppförande av ett ämne i] en förteckning över ämnen som enbart offentliggjorts på Europeiska kemikaliemyndighetens webbplats, vilket domstolen likväl betraktade som ett offentliggjort beslut).

41 Se, för ett liknande resonemang, bland annat dom av den 26 september 2024, Covestro Deutschland och Tyskland/kommissionen ( C‑790/21 P och C‑791/21 P, EU:C:2024:792, punkt 82), och dom av den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen ( C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkterna 72 och 73). I den sistnämnda domen förklaras det att tidsfristerna för att väcka talan, i rättssäkerhetens intresse, ska fastställas på ett objektivt och säkert sätt i förhållande till samtliga berörda parter som inte har delgetts detta beslut, oberoende av om dessa har kunnat ta del av rättsakten i förväg.

42 Angående den eventuella praktiska skillnaden mellan att stödja sig på bindande rättsverkningar eller enbart på rättsverkningar vid bedömningen av huruvida talan kan väckas mot en rättsakt, se förslag till avgörande av generaladvokat Bobek i målet Belgien/kommissionen ( C‑16/16 P, EU:C:2017:959, punkt 59 och följande punkter).

43 Se artikel 173 i fördraget om upprättandet av Europeiska ekonomiska gemenskapen (EEG-fördraget) (min kursivering). Det kan tilläggas att artikel 33 i Fördraget om upprättandet av Europeiska kol- och stålgemenskapen (EKSG-fördraget) innehöll en positiv förteckning över rättsakter mot vilka talan kunde väckas, i vilken beslut och rekommendationer ingick. Dessa rättsakter definierades i artikel 14 i EKSG-fördraget som rättsakter med bindande rättsverkningar. I domstolens tidiga praxis, som har influerat dess senare praxis, undersöktes det således huruvida en rättsakt var av bindande karaktär i syfte att avgöra om den kunde läggas till grund för en talan om ogiltigförklaring. Se, exempelvis, dom av den 16 juli 1956, Fédération charbonnière de Belgique/Höga myndigheten ( 8/55, EU:C:1956:7, s. 256 [i den engelska språkversionen]), dom av den 10 december 1957, Société des usines à tubes de la Sarre/Höga myndigheten ( 1/57 och 14/57, EU:C:1957:13, s. 114 [i den engelska språkversionen]), och dom av den 15 mars 1967, Cimenteries C.B.R. Cementbedrijven NV m.fl./kommissionen ( 8/66–11/66, EU:C:1967:7, s. 91; svensk specialutgåva, volym I, s. 317, på s. 323).

44 Det är så rekommendationer och yttranden definieras i dag i artikel 288 FEUF, men samma definition återfanns i artikel 189 EEG.

45 I dom av den 31 mars 1971, kommissionen/rådet (AETR-målet) ( 22/70, EU:C:1971:32; svensk specialutgåva, volym I, s. 551, punkt 39), hänvisade domstolen till åtgärder som var avsedda att ha rättsverkan. I senare rättspraxis har detta uttryck emellertid kommit att förändras till åtgärder som är avsedda att ha bindande rättsverkningar. Se, exempelvis, dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkt 62 och där angiven rättspraxis).

46 Se exempelvis, såvitt avser privilegierade sökande, beslut av den 17 maj 1989, Italien/kommissionen ( 151/88, EU:C:1989:201, punkterna 22 och 23) och dom av den 25 oktober 2017, Slovakien/kommissionen ( C‑593/15 P och C‑594/15 P, EU:C:2017:800, punkterna 63–65).

47 När talan väcks av en privilegierad sökande är denna fråga hursomhelst inte relevant. Såsom jag har förklarat måste domstolen emellertid fastställa huruvida den angripna rättsakten är rättsligt bindande även i förhållande till priviligierade sökande. I två avgöranden, som såvitt jag vet aldrig har upprepats, avvisade domstolen emellertid en talan som väckts av en privilegierad sökande (den nederländska regeringen i båda fallen), på den grunden att det kommissionsbeslut som sökanden yrkade ogiltigförklaring av inte hade några bindande rättsverkningar för sökanden. Se, i detta hänseende, dom av den 5 oktober 1999, Nederländerna/kommissionen ( C‑308/95, EU:C:1999:477, punkterna 26 och 29), och beslut av den 28 januari 2004, Nederländerna/kommissionen ( C‑164/02, EU:C:2004:54, punkterna 18 och 22). För en kritisk betraktelse över dessa båda domar, se förslag till avgörande av generaladvokat Jacobs i målet Italien/kommissionen ( C‑301/03, EU:C:2005:550, punkterna 52 och 53).

48 Se, i detta hänseende, vad gäller rättspraxis avseende interna instruktioner och riktlinjer, Lenaerts, K., Gutman, K., Nowak, J.T., EU Procedural Law, 2:a upplagan, Oxford European Union Law Library, Oxford, 2023, s. 286, punkterna 7.21–7.22.

49 Detta följer tydligt av rättspraxis på området för statligt stöd, enligt vilken ett beslut genom vilket kommissionen förklarar ett befintligt stöd oförenligt med den inre marknaden och ålägger medlemsstaten att återkräva detta stöd endast är rättsligt bindande för denna medlemsstat, men även kan ifrågasättas av stödmottagaren. Se, exempelvis, dom av den 19 oktober 2000, Italien och Sardegna Lines/kommissionen ( C‑15/98 och C‑105/99, EU:C:2000:570, punkterna 31–37).

50 Se, i detta hänseende, domen i målet IBM, punkt 10, och dom av den 26 januari 2010, Internationaler Hilfsfonds/kommissionen ( C‑362/08 P, EU:C:2010:40, punkt 58).

51 Se, i detta hänseende, förslag till avgörande av generaladvokat Roemer i de förenade målen CBR m.fl./kommissionen ( 8/66–11/66, ej publicerat, EU:C:1967:2, s. 103).

52 Det senaste avgörandet beträffande fråga är domen av den 13 februari 2025, Swissgrid/kommissionen ( C‑121/23 P, EU:C:2025:83, punkt 46) (domstolen förklarade att, när sökanden i talan om ogiltigförklaring inte är den som den angripna rättsakten är riktad till, är det tillräckligt att visa att rättsakten är avsedd att ha bindande rättsverkningar för, bland annat, den till vilken den riktar sig, eftersom det i detta skede … inte [är] nödvändigt att pröva huruvida dessa rättsverkningar kan påverka sökandens intressen, genom att klart förändra dennes rättsliga ställning. Detta ska nämligen bedömas i samband med prövningen av det villkor som ställs upp i artikel 263 fjärde stycket FEUF.)

53 Min kursivering.

54 Se punkterna 38 och 39 i det överklagade beslutet. Vid sidan av domen i målet IBM, grundade sig tribunalen även på domen av den 18 november 2010, NDSHT/kommissionen ( C‑322/09 P, EU:C:2010:701, punkt 45), som hänvisar till andra mål som också refererar till punkt 9 i domen i målet IBM.

55 Min kursivering.

56 Se exempelvis, bland många andra, dom av den 31 mars 1998, Frankrike m.fl./kommissionen ( C‑68/94 och C‑30/95, EU:C:1998:148, punkt 62), dom av den 17 juli 2008, Athinaïki Techniki/kommissionen ( C‑521/06 P, EU:C:2008:422, punkt 29), dom av den 26 januari 2010, Internationaler Hilfsfonds/kommissionen ( C‑362/08 P, EU:C:2010:40, punkt 51), och domen i målet kommissionen/SRB (punkt 65).

57 Se, bland annat, beslut av den 3 juli 2007, Commune de Champagne m.fl./rådet och kommissionen ( T‑212/02, EU:T:2007:194, punkterna 86 och 88), samt dom av den 26 november 2018, Shindler m.fl./rådet ( T‑458/17, EU:T:2018:838, punkt 30), och dom av den 10 mars 2021, ViaSat/kommissionen ( T‑245/17, EU:T:2021:128, punkt 68).

58 Se, exempelvis, förslag till avgörande av generaladvokat Sharpston i målet Reynolds Tobacco m.fl./kommissionen ( C‑131/03 P, EU:C:2006:228, punkterna 102 och 103), där hon markerade att det framstod som om domstolen, till kravet att en rättsakt skulle vara bindande i allmänhet, hade lagt kravet att rättsakten skulle vara bindande med avseende på sökanden i fråga.

59 Hänvisningar till rättspraxis har utelämnats.

60 Beslut av den 14 juli 2010, Deutsche Post/kommissionen ( T‑570/08, ej publicerat, EU:T:2010:311).

61 Se, exempelvis, dom av den 21 december 2021, Algebris (UK) och Anchorage Capital Group/SRB ( C‑934/19 P, EU:C:2021:1042, punkt 87 och följande punkter).

62 Se, för ett liknande resonemang, domen i de förenade målen Deutsche Post, punkterna 40–47.

63 Domen i de förenade målen Deutsche Post, punkt 54.

64 Domen i de förenade målen Deutsche Post, punkt 63.

65 Domen i de förenade målen Deutsche Post, punkterna 66–75.

66 Det överklagade beslutet, punkterna 42–49.

67 Beslut av den 14 juli 2010, Deutsche Post/kommissionen ( T‑570/08, ej publicerat, EU:T:2010:311).

68 Se, i detta hänseende, punkterna 43 och 44 i det överklagade beslutet (där det först slås fast att mellankommande rättsakter i sammansatta förfaranden i princip inte utgör rättsakter mot vilken talan kan väckas, och därefter att [u]ndantagen från [denna] princip … utgörs av de fall där den mellankommande åtgärden har självständiga rättsverkningar).

69 Det överklagade beslutet, punkt 44.

70 Domen i målet IBM, punkt 10 (min kursivering).

71 Detsamma kan sägas om domstolens uttalande i punkt 52 i domen av den 26 januari 2010, Internationaler Hilfsfonds/kommissionen ( C‑362/08 P, EU:C:2010:40), som tribunalen också stödde sig på i punkt 43 i det överklagade beslutet.

72 Även om domstolen, i sin beskrivning av sammanhanget i ett visst mål, hänvisar till begreppet förberedande åtgärder i ett sammansatt förfarande, utesluter den ändå inte att talan kan väckas mot en sådan rättsakt om den visar sig skapa självständiga rättsverkningar inom ramen för detta förfarande. Se, exempelvis, domen i målet kommissionen/SRB där det i punkt 93 förklaras att [i] ett sådant komplext förfarande kan de åtgärder som vidtas under de förberedande etapperna inför antagandet av den slutliga rättsakten inte bli föremål för en talan om ogiltigförklaring när de inte har självständiga rättsverkningar (min kursivering).

73 Såsom jag har förklarat föreskrivs det i artikel 65.1 i dataskyddsförordningen att beslut som antas av EDPB inom ramen för mekanismen för enhetlighet ska ha bindande verkningar för de berörda nationella tillsynsmyndigheterna.

74 Det överklagade beslutet, punkt 51.

75 Se dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkt 43 och där angiven rättspraxis).

76 Den första gången det hänvisas till dessa kriteriers kumulativa karaktär är såvitt jag förstår i domen av den 10 september 2009, kommissionen/Ente per le Ville vesuviane och Ente per le Ville vesuviane/kommissionen ( C‑445/07 P och C‑455/07 P, EU:C:2009:529, punkt 45), som avsåg finansiellt stöd som beviljats av Europeiska regionala utvecklingsfonden med hjälp av nationella myndigheter.

77 En situation där en unionsrättsakt kräver ytterligare en genomförandeåtgärd för att nå sökanden är den som är vanligast förekommande i praktiken. Det är emellertid inte bara i denna typ av situation som en rättsakt direkt kan beröra en fysisk eller juridisk person. Det finns rättsakter som påverkar en enskilds rättsliga ställning utan att det krävs någon genomförandeåtgärd. Så är fallet med rättsakter med allmän giltighet, såsom förordningar. Betänk, i detta hänseende, exempelvis den situation som var aktuell i dom av den 1 april 2004, kommissionen/Jégo-Quéré ( C‑263/02 P, EU:C:2004:210). Under de omständigheter som förelåg i det målet förelades sökandens fiskeriföretag enligt tvingande bestämmelser direkt att använda nät med en viss minsta maskstorlek för att minska fångsten av ungkummel, utan att några genomförandeåtgärder behövde vidtas. Genom den senaste ändringen av artikel 263 fjärde stycket FEUF, som hade sin grund i Lissabonfördraget, öppnades möjligheten att väcka talan om ogiltigförklaring även mot rättsakter som inte kräver genomförandeåtgärder, utan att det behöver visas att sökanden är personligen berörd. Sökanden måste emellertid fortfarande visa att han eller hon är direkt berörd av den angripna åtgärden. Detta innebär inte att det andra kumulativa kriteriet som följer av rättspraxis – det vill säga det om genomförandeåtgärder – måste uppfyllas, eftersom det i en sådan situation inte finns några genomförandeåtgärder som kan fungera som en brygga mellan den omtvistade åtgärden och sökanden.

78 Se, för en aktuell bekräftelse på detta såvitt avser direktiv som alltid medför genomförandeåtgärder, dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkt 70).

79 Se det överklagade beslutet, punkt 51.

80 Se dom av den 12 juli 2022, Nord Stream 2-parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkterna 71–74).

81 Det överklagade beslutet, punkt 64.

82 Se, exempelvis, dom av den 19 oktober 2000, Italien och Sardegna Lines/kommissionen ( C‑15/98 och C‑105/99, EU:C:2000:570, punkterna 31 och 34) och dom av den 29 april 2004, Italien/kommissionen ( C‑298/00 P, EU:C:2004:240, punkt 39).

83 Detsamma gäller den rättspraxis som tribunalen grundade sig på i punkt 65 i det överklagade beslutet, vilken rörde ett kommissionsbeslut riktat till en medlemsstat, i vilket denna anmodades att minska viss finansiering från unionen som beviljats ett företag. Domstolen fann att ett företag i en sådan situation berörs direkt av kommissionens beslut, trots att det krävs genomförandeåtgärder från medlemsstatens sida.

84 Punkt 64 i det överklagade beslutet.

85 Punkt 53 i det överklagade beslutet.

86 Klaganden har därutöver gjort gällande att EDPB inte har befogenhet att lägga sig i vare sig beräkningsmetoden eller sanktionsavgifternas storlek, och har hävdat att denna befogenhet enligt dataskyddsförordningen ligger hos den nationella tillsynsmyndigheten och omfattas av de bestämmelser som föreskrivs i nationell rätt. Sistnämnda påstående måste bedömas i sak och domstolen kan inte uttala sig om denna fråga inom ramen för förevarande överklagande.

87 Se punkterna 57–59 i det överklagade beslutet. Den omständigheten att EDPB inte uttalade sig om huruvida WhatsApp agerade som personuppgiftsansvarig eller personuppgiftsbiträde med avseende på den behandling av personuppgifter som uppstod till följd av förlusthashningsförfarandet (lossy hashing procedure) förändrar inte det faktum att den irländska tillsynsmyndigheten var bunden av EDPB:s slutsats att detta förfarande utgjorde behandling av personuppgifter.

88 I punkterna 55 och 56 i det överklagade beslutet räknade tribunalen upp de frågor som hade avgjorts av EDPB och de frågor som därutöver hade avgjorts av den irländska tillsynsmyndigheten i det slutliga nationella beslutet.

89 Se det överklagade beslutet, punkt 60.

90 Se, bland annat, dom av den 3 juni 2021, Ungern/parlamentet ( C‑650/18, EU:C:2021:426, punkt 38 och där angiven rättspraxis), och domen i målet kommissionen/SRB (punkt 65).

91 Tribunalen grundade sig i detta hänseende på dom av den 25 juli 2002, Unión de Pequeños Agricultores/rådet ( C‑50/00 P, EU:C:2002:462, punkt 40). Se det överklagade beslutet, punkt 68.

92 Se dom av den 22 oktober 1987, Foto-Frost ( 314/85, EU:C:1987:452, punkt 17).

93 Dom av den 9 mars 1994 (C‑188/92, EU:C:1994:90, punkt 26).

94 Dom av den 25 juli 2018 (C‑135/16, EU:C:2018:582, punkt 17 och där angiven rättspraxis).

95 Dom av den 25 juli 2018, Georgsmarienhütte m.fl. ( C‑135/16, EU:C:2018:582, punkt 18).

96 Se, för ett liknande resonemang, exempelvis dom av den 10 mars 2021, Von Aschenbach & Voss ( C‑708/19, EU:C:2021:190, punkterna 33 och 49).

97 Dom av den 3 december 2019, Iccrea Banca ( C‑414/18, EU:C:2019:1036) (nedan kallad domen i målet Iccrea Banca).

98 Domen i målet Iccrea Banca, punkterna 72 och 74.

99 Denna möjlighet är självfallet endast giltig om det var ställt utom allt tvivel att WhatsApp hade talerätt vid unionsdomstolarna. Om WhatsApp däremot saknade talerätt vid tribunalen för att angripa det omtvistade beslutets giltighet, vilket är tribunalens uppfattning, kan det företaget inte hindras från att framställa en invändning om rättsstridighet vid en nationell domstol.

100 Se det överklagade beslutet, punkt 40.

101 Skäl 143 i dataskyddsförordningen har i relevanta delar följande lydelse: Om styrelsens beslut direkt och personligen berör en personuppgiftsansvarig, ett personuppgiftsbiträde eller en enskild, kan den enskilde väcka ogiltighetstalan mot besluten inom två månader efter det att de har offentliggjorts på styrelsens webbplats, i enlighet med artikel 263 i EUF-fördraget.

102 Se, i detta hänseende, förslag till avgörande av generaladvokat Campos Sánchez-Bordona i målet Georgsmarienhütte m.fl. ( C‑135/16, EU:C:2018:120, punkt 43). Se även de argument som generaladvokat Jacobs framförde i sitt förslag till avgörande i målet Unión de Pequeños Agricultores/rådet ( C‑50/00 P, EU:C:2002:197, punkt 40 och följande punkter), vilka alltjämt äger giltighet.

103 Se det överklagade beslutet, punkt 70.

104 Se dom av den 14 december 2000, Masterfoods och HB ( C‑344/98, EU:C:2000:689, punkt 39 och där angiven rättspraxis).

105 Se dom av den 14 december 2000, Masterfoods och HB ( C‑344/98, EU:C:2000:689, punkt 57) och dom av den 25 juli 2018, Georgsmarienhütte m.fl. ( C‑135/16, EU:C:2018:582, punkt 24 och där angiven rättspraxis).

106 Se beslut av High Court, Ireland (Högsta domstolen, Irland) i målet Meta Platforms Ireland Ltd mot Data Protection Commission (approved) [2024] IEHC 264 av den 10 maj 2024, där det i punkt 49 konstateras att det lagstadgade överklagandet och det rättsliga omprövningsförfarandet ska vilandeförklaras i sin helhet i avvaktan på utgången i målet WhatsApp som för närvarande är anhängigt vid Europeiska unionens domstol.

107 Se dom av den 25 juli 2018, Georgsmarienhütte m.fl. ( C‑135/16, EU:C:2018:582, punkt 25).

108 Det överklagade beslutet, punkt 40.