Domstolens dom (stora avdelningen) den 10 februari 2026

I mål C‑97/23 P, angående ett överklagande enligt artikel 56 i stadgan för Europeiska unionens domstol, som ingavs den 17 februari 2023,

DOMSTOLEN (stora avdelningen) sammansatt av ordföranden K. Lenaerts, vice ordföranden T. von Danwitz (referent), avdelningsordförandena K. Jürimäe, C. Lycourgos, I. Jarukaitis, I. Ziemele, O. Spineanu-Matei och M. Condinanzi samt domarna S. Rodin, E. Regan, N. Piçarra, A. Kumin, N. Jääskinen, B. Smulders, och N. Fenger, generaladvokat: T. Ćapeta, justitiesekreterare: handläggaren A. Lamote,

efter det skriftliga förfarandet och förhandlingen den 26 november 2024,

och efter att den 27 mars 2025 ha hört generaladvokatens förslag till avgörande,

följande

Dom

Tillämpliga bestämmelser

Bakgrund till tvisten och det omtvistade beslutet

Förfarandet vid tribunalen och det överklagade beslutet

Parternas yrkanden

Prövning av överklagandet

Påståendet att talan i första instans väckts för sent

Parternas argument

Domstolens bedömning

Den första grunden: Felaktig rättstillämpning vid tolkningen och tillämpningen av begreppet rättsakt mot vilken talan kan väckas och villkoret att sökanden ska vara direkt berörd av den åtgärd som är föremål för talan

Den första grundens första del

– Parternas argument

– Domstolens bedömning

Den första grundens andra del

– Parternas argument

– Domstolens bedömning

Den första grundens tredje del

Den andra grunden: Felaktig rättstillämpning i samband med tolkningen och tillämpningen av artikel 65 i dataskyddsförordningen och principen om unionsrättens enhetliga tillämpning

Huruvida målet ska återförvisas till tribunalen

Rättegångskostnader

1 WhatsApp Ireland Ltd (nedan kallat WhatsApp) har yrkat att domstolen ska upphäva det beslut som Europeiska unionens tribunal meddelade den 7 december 2022, WhatsApp Ireland/Europeiska dataskyddsstyrelsen ( T‑709/21, EU:T:2022:783) (nedan kallat det överklagade beslutet). Genom detta beslut avvisade tribunalen WhatsApps talan om ogiltigförklaring av Europeiska dataskyddsstyrelsens (nedan kallad dataskyddsstyrelsen) bindande beslut 1/2021 av den 28 juli 2021 angående den tvist mellan berörda tillsynsmyndigheter som hade uppstått till följd av Data Protection Commissions (DPC) (Dataskyddsmyndigheten, Irland) utkast till beslut avseende WhatsApp.

2 I skälen 10 och 143 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 199, 2016, s. 1 och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen) anges följande:

3 Artikel 5 i dataskyddsförordningen har rubriken Principer för behandling av personuppgifter. I artikel 5.1 a föreskrivs att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. I artikel 5.1 c föreskrivs att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

4 Artikel 6 i dataskyddsförordningen har rubriken Laglig behandling av personuppgifter. I artikel 6.1 föreskrivs följande:

5 Artikel 12 i dataskyddsförordningen innehåller bestämmelser om klar och tydlig information och kommunikation samt om villkoren för utövandet av den registrerades rättigheter. I artikel 12.1 föreskrivs följande:

6 Artikel 13 i dataskyddsförordningen har rubriken Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade. I den artikeln föreskrivs följande:

7 Artikel 14 i dataskyddsförordningen avser den information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade.

8 Enligt artikel 55.1 i dataskyddsförordningen ska varje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt dataskyddsförordningen inom sin egen medlemsstats territorium.

9 I artikel 56 i dataskyddsförordningen, med rubriken Den ansvariga tillsynsmyndighetens behörighet, föreskrivs följande:

10 Artikel 57 i dataskyddsförordningen har rubriken Uppgifter. I artikel 57.1 h föreskrivs att varje tillsynsmyndighet på sin egen medlemsstats territorium ska ha till uppgift att genomföra utredningar av tillämpningen av dataskyddsförordningen.

11 Artikel 58 i dataskyddsförordningen har rubriken Befogenheter. I artikel 58.1 görs en uppräkning av tillsynsmyndigheternas befogenheter. I artikel 58.2 görs en uppräkning av de korrigerande åtgärder som en tillsynsmyndighet får vidta. Bland dessa återfinns möjligheten att utfärda reprimander till en personuppgiftsansvarig eller personuppgiftsbiträdet om behandling bryter mot bestämmelserna i dataskyddsförordningen (led b), möjligheten att förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att se till att behandlingen sker i enlighet med bestämmelserna i dataskyddsförordningen och om så krävs på ett specifikt sätt och inom en specifik period (led d) samt möjligheten att påföra en sanktionsavgift i enlighet med artikel 83 i dataskyddsförordningen (led i).

12 Artikel 60 i dataskyddsförordningen har rubriken Samarbete mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna. I den artikeln föreskrivs följande:

13 Artikel 63 i dataskyddsförordningen har rubriken Mekanism för enhetlighet. I den artikeln föreskrivs följande:

14 Artikel 65 i dataskyddsförordningen har rubriken Tvistlösning genom styrelsen. I den artikeln föreskrivs följande:

15 Artikel 68 i dataskyddsförordningen har rubriken [Dataskyddsstyrelsen]. I artikel 68.1 föreskrivs att styrelsen inrättas som ett unionsorgan och ska ha ställning som juridisk person.

16 Artikel 70 i dataskyddsförordningen har rubriken [Dataskyddsstyrelsens] uppgifter. I artikel 70.1 a föreskrivs att styrelsen ska se till att dataskyddsförordningen tillämpas enhetligt. För detta ändamål ska styrelsen, på eget initiativ eller i förekommande fall på begäran av kommissionen, bland annat övervaka och säkerställa en korrekt tillämpning av dataskyddsförordningen i de fall som anges i artiklarna 64 och 65 i förordningen, utan att det påverkar de nationella tillsynsmyndigheternas uppgifter.

17 Artikel 78 i dataskyddsförordningen har rubriken Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut och där föreskrivs följande:

18 I artikel 83 i dataskyddsförordningen anges de allmänna villkoren för påförande av administrativa sanktionsavgifter.

19 Bakgrunden till tvisten har beskrivits av tribunalen i punkterna 2–12 i det överklagade beslutet och kan med avseende på förevarande mål sammanfattas enligt följande.

20 Efter dataskyddsförordningens ikraftträdande tog den irländska tillsynsmyndigheten emot anmälningar från användare och icke-användare av meddelandeappen WhatsApp angående WhatsApps behandling av personuppgifter. Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Federala dataskydds- och informationsfrihetsmyndigheten, Tyskland) begärde dessutom bistånd från den irländska tillsynsmyndigheten angående frågan om WhatsApps iakttagande av de skyldigheter gällande öppenhet som personuppgiftsansvariga har beträffande delning av sådana uppgifter med andra enheter inom Facebook-koncernen (som sedan september 2021 bytt namn till Meta).

21 I december 2018 inledde den irländska tillsynsmyndigheten på eget initiativ en utredning om WhatsApps iakttagande i allmänhet av öppenhets- och informationsskyldigheterna gentemot enskilda, vilka anges i artiklarna 12–14 i dataskyddskyddsförordningen. Denna utredning skulle inte påverka de åtgärder som myndigheten vidtog i anledning av de individuella klagomål som den hade mottagit. Den irländska tillsynsmyndigheten agerade i detta sammanhang som ansvarig tillsynsmyndighet enligt artikel 56.1 i dataskyddsförordningen. WhatsApp hade nämligen, såsom personuppgiftsansvarig för behandlingen av personuppgifter i meddelandeappen WhatsApp, sitt huvudsakliga verksamhetsställe i Irland och nämnda behandling av personuppgifter var gränsöverskridande.

22 Utredaren lade i september 2019 fram sin slutrapport, vilket innebar att utredningsfasen var avslutad. Den irländska kontrollmyndigheten fortsatte därefter sin handläggning och beredde WhatsApp möjlighet att yttra sig. I december 2020 lade den irländska tillsynsmyndigheten i enlighet med artikel 60.3 i dataskyddsförordningen fram ett utkast till beslut för övriga berörda tillsynsmyndigheter för att låta dem yttra sig.

23 Åtta av dessa tillsynsmyndigheter framställde i januari 2021 invändningar mot vissa delar av utkastet till beslut. Den irländska tillsynsmyndigheten bemötte dessa invändningar i ett gemensamt svar och föreslog kompromisslösningar. Efter detta svar återkallade visserligen en av de åtta tillsynsmyndigheterna sina invändningar, men den irländska tillsynsmyndigheten konstaterade att det inte gick att nå samförstånd angående andra punkter som var föremål för invändningar. Den irländska tillsynsmyndigheten beslutade att avslå samtliga invändningar och att i enlighet med artikel 60.4 och artikel 65.1 a i dataskyddsförordningen hänskjuta frågan till dataskyddsstyrelsen för att den skulle avgöra tvisten rörande de punkter som invändningarna avsåg.

24 I maj 2021 inhämtade den irländska tillsynsmyndigheten skriftligen synpunkter från WhatsApp om de omständigheter som hade diskuterats mellan de berörda tillsynsmyndigheterna, efter att först till WhatsApp ha överlämnat alla handlingar som hade utväxlats i detta sammanhang, och överlämnade själv nämnda synpunkter till styrelsen så att den skulle kunna ta del av dem inom ramen för tvistlösningsförfarandet, vilket inleddes i juni 2021.

25 Den 28 juli 2021 antog dataskyddsstyrelsen det omtvistade beslutet med stöd av artikel 65.2 i dataskyddsförordningen.

26 Den irländska tillsynsmyndigheten tog emot det omtvistade beslutet och inhämtade WhatsApps yttrande angående de ekonomiska påföljder som myndigheten avsåg att ålägga företaget som en följd av detta beslut. Den 20 augusti 2021 antog den irländska myndigheten i enlighet med artikel 65.6 i dataskyddsförordningen ett slutligt beslut som var riktat till WhatsApp (nedan kallat det slutliga beslutet).

27 Den irländska tillsynsmyndigheten slog i det slutliga beslutet fast att WhatsApp hade åsidosatt principen om öppenhet och de öppenhetsskyldigheter som anges i artikel 5.1 a, artikel 12.1, artikel 13.1 c–f, artikel 13.2 a, c och artikel 14 i dataskyddsförordningen. Myndigheten fann däremot att WhatsApp hade uppfyllt sina skyldigheter enligt artikel 13.1 a och b samt artikel 13.2 b och d i dataskyddsförordningen. Myndigheten ålade WhatsApp ett antal korrigerande åtgärder med stöd av artikel 58.2 b, d och i) i dataskyddsförordningen. WhatsApp gavs en reprimand och förelades att vidta ett antal åtgärder som angavs i en bilaga till beslutet. Dessa åtgärder syftade till att få WhatsApp att inom tre månader följa de bestämmelser i dataskyddsförordningen som bolaget hade åsidosatt. WhatsApp påfördes även fyra administrativa sanktionsavgifter för överträdelser av artiklarna 5.1 a samt 12–14 i dataskyddsförordningen. Sanktionsavgifterna uppgick till sammanlagt 225 miljoner euro.

28 Den irländska tillsynsmyndigheten angav i det slutliga beslutet på vilka punkter som det omtvistade beslutet ålade myndigheten att se över den bedömning som den hade gjort i sitt utkast till beslut. Myndigheten valde att, i gråa textboxar, oavkortat återge de skäl som dataskyddsstyrelsen hade angett i det omtvistade beslutet. Myndigheten angav vilka slutsatser den hade dragit av dessa skäl i en sammanfattande avslutningspunkt.

29 I enlighet med artikel 65.6 i dataskyddsförordningen var det omtvistade beslutet bifogat det slutliga beslutet.

30 I det omtvistade beslutet tog dataskyddsstyrelsen ställning till de frågor som var föremål för relevanta och motiverade invändningar, i den mening som avses i artikel 65.1 a i dataskyddsförordningen. Det rörde sig om följande frågor:

31 WhatsApp överklagade det slutliga beslutet till en irländsk domstol.

32 Genom ansökan som inkom till tribunalens kansli den 1 november 2021 väckte WhatsApp talan med stöd av artikel 263 FEUF om ogiltigförklaring av det omtvistade beslutet.

33 Tribunalen avvisade talan i det överklagade beslutet med stöd av artikel 129 i tribunalens rättegångsregler.

34 I punkterna 36, 37 och 40 i det överklagade beslutet påpekade tribunalen att det omtvistade beslutet utgjorde en akt som har antagits av ett unionsorgan, som var avsedd att ha rättsverkningar i förhållande till tredje man, och att WhatsApp var personligen berört av det omtvistade beslutet. Däremot fann tribunalen, i punkt 42 i det överklagade beslutet, att nämnda beslut var en förberedande eller mellankommande rättsakt i ett förfarande som skulle avslutas med att den nationella tillsynsmyndigheten antog ett slutligt beslut. Tribunalen fann emellertid, i punkterna 43 och 44 i det överklagade beslutet, att en sådan rättsakt endast utgjorde en rättsakt mot vilken talan kan väckas om den hade självständiga rättsverkningar mot vilka ett tillräckligt domstolsskydd inte kunde säkerställas inom ramen för en talan mot det beslut genom vilket det aktuella förfarandet avslutas.

35 Tribunalen fann i detta avseende, i punkt 45 i det överklagade beslutet, att ett effektivt domstolsskydd vad gäller det omtvistade beslutet i förevarande fall säkerställdes genom det rättsmedel mot det slutliga beslutet som WhatsApp har tillgång till i form av väckande av talan vid nationell domstol, eftersom den nationella domstolen enligt artikel 267 FEUF är behörig att hänskjuta en begäran om förhandsavgörande till EU-domstolen för bedömning av det omtvistade beslutets giltighet. I punkt 46 i det överklagade beslutet preciserade tribunalen att det omtvistade beslutet inte hade någon självständig rättsverkan gentemot WhatsApp jämfört med den irländska tillsynsmyndighetens slutliga beslut.

36 Tribunalen fann dessutom, i punkt 49 i det överklagade beslutet, att den omständigheten att en sådan mellankommande rättsakt ger uttryck för en myndighets slutliga ståndpunkt, vilken måste återges i det slutliga beslut genom vilket förfarandet i fråga avslutas, inte nödvändigtvis betyder att rättsakten i sig klart förändrar sökandens rättsliga ställning.

37 Tribunalen konstaterade dessutom i punkt 50 i det överklagade beslutet att WhatsApp inte var direkt berört av det omtvistade beslutet. I punkt 52 i det överklagade beslutet påpekade tribunalen att det omtvistade beslutet inte kunde göras gällande mot kommissionen på ett sådant sätt att det, utan ytterligare skeden i förfarandet, skulle kunna medföra skyldigheter för WhatsApp eller, i förekommande fall, rättigheter för andra personer. Det omtvistade beslutet hade således inte någon direkt rättsverkan på WhatsApps ställning. Tribunalen konstaterade i punkt 53 i det överklagade beslutet att även om det omtvistade beslutet var bindande för den irländska tillsynsmyndigheten vad gäller de aspekter som det avsåg, gav det den irländska tillsynsmyndigheten ett utrymme för skönsmässig bedömning vad gäller innehållet i det slutliga beslutet.

38 I punkterna 61 och 62 i det överklagade beslutet fann tribunalen således att inget av villkoren för att WhatsApp skulle anses vara direkt berört av den åtgärd som var föremål för dess talan var uppfyllt och att talan följaktligen inte kunde tas upp till sakprövning.

39 Slutligen fann tribunalen i punkterna 66–70 i det överklagade beslutet att dess bedömning var en logisk följd av det system med rättsmedel som har inrättats genom fördragen. Tribunalen fann bland annat att det skulle innebära en risk för parallella rättsliga förfaranden vid unionsdomstolen och den nationella domstolen om WhatsApps talan mot det omtvistade beslutet skulle tas upp till sakprövning. Den nationella domstolen är dessutom behörig att hänskjuta en begäran om förhandsavgörande till EU-domstolen för att bedöma giltigheten av detta beslut.

40 WhatsApp har i sitt överklagande yrkat att domstolen ska

41 Dataskyddsstyrelsen har, med stöd av Förbundsrepubliken Tyskland, yrkat att domstolen ska

42 Dataskyddsstyrelsen har gjort gällande att talan i första instans väcktes för sent. Dataskyddsstyrelsen har hävdat att WhatsApp fick kännedom om relevanta avsnitt i det omtvistade beslutet den 13 augusti 2021, vilket var före offentliggörandet av detta beslut på styrelsens webbplats. Tidsfristen för väckande av talan började således löpa den 13 augusti 2021 och löpte ut den 25 oktober samma år – oberoende av vilket datum som det omtvistade beslutet offentliggjordes på styrelsens webbplats. Ett offentliggörande på styrelsens webbplats kan för övrigt inte jämställas med ett offentliggörande i Europeiska unionens officiella tidning. Eftersom WhatsApp väckte sin talan om ogiltigförklaring den 1 november 2021, har den väckts för sent.

43 WhatsApp har genmält att dataskyddsstyrelsens påstående att talan väckts för sent är felaktigt. När en rättsakt inte är riktad till sökanden är det nämligen dagen för offentliggörandet som avgör när fristen för att väcka talan börjar löpa. Det datum då sökanden fick kännedom om handlingen utgör endast ett subsidiärt kriterium. Det sätt som rättsakten offentliggörs på saknar betydelse. I förevarande fall offentliggjordes det omtvistade beslutet under alla omständigheter på dataskyddsstyrelsens webbplats den 2 september 2021 och talan väcktes den 1 november 2021, vilket är inom den frist som föreskrivs i artikel 263 sjätte stycket FEUF.

44 Enligt artikel 263 sjätte stycket FEUF ska talan som avses i denna artikel väckas inom två månader från den dag då åtgärden offentliggjordes eller delgavs sökanden eller, om så inte skett, från den dag då denne fick kännedom om åtgärden allt efter omständigheterna.

45 Det framgår tydligt av lydelsen i denna bestämmelse, särskilt uttrycken allt efter omständigheterna och om så inte skett, att den tidpunkt då talefristen börjar löpa bestäms utifrån den aktuella situationen och att de tre kriterier som kan utlösa denna frist är rangordnade. Fristen för att väcka talan om ogiltigförklaring börjar således i första hand löpa från offentliggörandet av rättsakten eller från den dag då den delgavs sökanden. Det framgår av bestämmelsens systematik att dessa båda huvudkriterier är likställda, i den betydelsen att inget av dem är subsidiärt i förhållande till det andra. Det kriterium som avser tidpunkten då sökanden fick kännedom om den angripna rättsakten är däremot subsidiärt i förhållande till offentliggörandet eller delgivningen av rättsakten (se, för ett liknande resonemang, dom av den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen, C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkterna 61–63 och där angiven rättspraxis).

46 I förevarande fall är det utrett att WhatsApp inte har delgetts det omtvistade beslutet, eftersom dataskyddsstyrelsen enligt artikel 65.5 första meningen i dataskyddsförordningen endast var skyldig att meddela berörda tillsynsmyndigheter ett sådant beslut. Det ska således prövas huruvida detta beslut har offentliggjorts i den mening som avses i artikel 263 sjätte stycket FEUF.

47 Domstolen påpekar att begreppet offentliggörande avser inte enbart offentliggörande i Europeiska unionens officiella tidning, utan ska ges en vid tolkning. I detta begrepp ingår bland annat offentliggörande på en EU-institutions, ett EU-organs eller en EU-byrås webbplats när ett sådant offentliggörande är föreskrivet i sekundärrätten (se, för ett liknande resonemang, dom av den 26 september 2024, WEPA Hygieneprodukte m.fl./kommissionen, C‑795/21 P och C‑796/21 P, EU:C:2024:807, punkt 70 och där angiven rättspraxis).

48 Eftersom offentliggörandet av det omtvistade beslutet var föreskrivet i artikel 65.5 tredje meningen i dataskyddsförordningen är det datum då beslutet offentliggjordes på styrelsens webbplats som ska beaktas, det vill säga den 2 september 2021. Denna tolkning stöds av skäl 143 tredje meningen i dataskyddsförordningen, av vilket det framgår att fristen för att väcka talan ska beräknas från och med offentliggörandet av det aktuella beslutet på dataskyddsstyrelsens webbplats.

49 Talan väcktes den 1 november 2021 och den frist som föreskrivs i artikel 263 sjätte stycket FEUF har således iakttagits. Domstolen ska därför pröva de grunder som har åberopats till stöd för överklagandet för att avgöra huruvida de kan kullkasta den bedömning som tribunalen gjorde i det överklagade beslutet.

50 WhatsApp har gjort gällande att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den fann att det omtvistade beslutet inte var en rättsakt mot vilken talan kan väckas.

51 WhatsApp har särskilt bestritt relevansen av det kriterium som tribunalen tillämpade i punkt 41 i det överklagade beslutet för att avgöra huruvida talan kan väckas mot en rättsakt. Tribunalen fann således felaktigt att det var nödvändigt att visa att det omtvistade beslutet har rättsverkningar som klart förändrar WhatsApps rättsliga ställning och att det berör WhatsApp direkt. Enligt WhatsApp skulle det emellertid ha räckt att dra slutsatsen att beslut var avsett att ha rättsverkningar i förhållande till en eller flera tredje parter för att konstatera att det utgjorde en rättsakt mot vilken talan kan väckas, på grund av att beslutet var slutligt. Under alla omständigheter utgör beslutet inte endast en mellankommande åtgärd, utan ger uttryck för dataskyddsstyrelsens slutliga ställningstagande.

52 Enligt WhatsApp var tribunalens tillämpning av rättspraxis avseende mellankommande rättsakters rättsverkningar felaktig. Tribunalen tillämpade nämligen ett processuellt kriterium som innebar att en sådan rättsakt endast kan angripas om en talan mot den slutliga rättsakten inte möjliggör ett tillräckligt domstolsskydd, och genom att slå fast att det omtvistade beslutet saknade rättsverkningar.

53 WhatsApp har i detta sammanhang hänvisat till domen av den 11 november 1981, IBM/kommissionen ( 60/81, EU:C:1981:264, punkterna 10 och 11). Enligt WhatsApp framgår det särskilt av den domen att talan kan väckas mot en mellankommande rättsakt när den är slutgiltig och inte är beroende av det slutliga beslut som senare antas. Denna rättsakt materiella innehåll ska således prövas och det ska göras en bedömning av rättsaktens rättsverkningar mot bakgrund av objektiva kriterier, såsom rättsaktens innehåll, med beaktande i förekommande fall av det sammanhang i vilket rättsakten antagits samt de befogenheter som upphovsmannainstitutionen har. WhatsApp har i detta avseende bland annat hänvisat till dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet ( C‑348/20 P, EU:C:2022:548, punkt 63).

54 En sådan rättsakt kan i synnerhet inte utgöra en rättsakt mot vilken talan om ogiltigförklaring kan väckas, när, för det första, rättsaktens materiella innehåll är preliminärt, vilket innebär att upphovsmannen kan ändra ståndpunkt i samband med det senare slutliga beslutet och, för det andra, det slutliga beslutet antas av samma unionsinstitution eller unionsorgan. Enligt WhatsApp finns det således inte anledning att tillämpa begreppet mellankommande åtgärd på ett beslut som antagits av en unionsinstitution eller ett unionsorgan och som är riktat till en nationell myndighet som har till uppgift att genomföra detta beslut i förhållande till tredje man.

55 WhatsApp anser att tribunalen i förevarande fall begränsade sig till att pröva huruvida WhatsApp, genom att väcka talan vid nationell domstol, i processuellt hänseende tillförsäkrades ett effektivt domstolsskydd. Tribunalen fann således felaktigt, i punkterna 48 och 49 i det överklagade beslutet, att WhatsApps argument att det omtvistade beslutet gav uttryck för upphovsmannens slutgiltiga ståndpunkt saknade relevans. Genom att förfara på detta sätt gjorde tribunalen således en felaktig bedömning när den fann att det omtvistade beslutet inte hade några rättsverkningar och att det inte var oberoende av det slutliga beslutet, utan att ha bedömt det omtvistade beslutets innehåll och sammanhang eller räckvidden av dess självständiga rättsverkningar.

56 Beträffande innehållet i det omtvistade beslutet har WhatsApp anfört att det inte har bestritts att detta, i egenskap av bindande beslut som antagits med stöd av artikel 65 i dataskyddsförordningen, var avsett att ha rättsverkningar i förhållande till tredje man och att det utgjorde styrelsens slutliga ställningstagande i de frågor som underställts den. Detta ställningstagande kunde väsentligt förändra WhatsApps rättsliga ställning, bland annat på grund av konstaterandet att de uppgifter som var föremål för destruktiv komprimering utgjorde personuppgifter. Detta konstaterande är nämligen bindande för den irländska tillsynsmyndigheten.

57 Beträffande det sammanhang i vilket det omtvistade beslutet ingår, följer det av lydelsen i artikel 65 i dataskyddsförordningen att detta beslut är ett bindande beslut. I skäl 143 i dataskyddsförordningen anges att dataskyddsstyrelsens beslut bland annat kan beröra en personuppgiftsansvarig direkt och personligen, vilket underförstått innebär att sådana beslut är ägnade att ha externa rättsverkningar, vilka går utöver de nationella tillsynsmyndigheter som är sådana besluts adressater. Enligt WhatsApp bekräftas detta såväl av skälet till att dataskyddsstyrelsens beslut har bindande verkan, vilket är att säkerställa en korrekt och enhetlig tillämpning av dataskyddsförordningen, som av systematiken i det förfarande som avses i artikel 65.1 i dataskyddsförordningen.

58 Beträffande det omtvistade beslutets självständiga rättsverkningar, det vill säga de rättsverkningar som går utöver dem som beslutet riktar sig till, har WhatsApp påpekat att detta beslut har sådana verkningar för bolaget. Det omtvistade beslutet påverkar bland annat det sätt på vilket WhatsApp avser att följa dataskyddsförordningen vad gäller de uppgifter som är föremål för destruktiv komprimering, eftersom dessa uppgifter av dataskyddsstyrelsen kvalificeras som personuppgifter. Det omtvistade beslutet har även rättsverkningar för nationella domstolar, vilka inte är bemyndigade att ändra eller ogiltigförklara det.

59 Dataskyddsstyrelsen har bestritt denna argumentation. Dataskyddsstyrelsen har gjort gällande att en talan om ogiltigförklaring i princip endast kan väckas mot en åtgärd genom vilken en av unionens institutioner, organ eller byråer, efter ett administrativt förfarande, intar en slutgiltig ståndpunkt. Mellankommande rättsakter, vilkas syfte är att förbereda ett slutligt beslut, kan inte kvalificeras som rättsakter mot vilka talan kan väckas. Mellankommande rättsakter syftar nämligen inte till att få bindande rättsverkningar som är fristående från den unionsrättsakt som förbereds, bekräftas eller genomförs. Vidare anser styrelsen att talan inte kan väckas mot en mellankommande rättsakt om den rättsstridighet som en sådan rättsakt är behäftad med kan åberopas till stöd för en talan mot det slutliga beslut i vars beredning den ingår.

60 Enligt dataskyddsstyrelsen utgör det omtvistade beslutet i förevarande fall en mellankommande rättsakt som ingår i ett odelbart beslutsförfarande som leds av den irländska tillsynsmyndigheten och som utmynnar i ett slutligt beslut som antas av denna myndighet. I detta sammanhang kan dataskyddsstyrelsens bedömning inte göras gällande direkt mot WhatsApp, även om den är bindande, och den har inte någon rättsverkan som är fristående från det slutliga beslutet. Den omständigheten att det omtvistade beslutet innehåller dataskyddsstyrelsens slutgiltiga ställningstagande beträffande vissa aspekter som kom att ingå i det slutliga beslutet innebär således inte att det omtvistade beslutet i sig ger upphov till en separat förändring av WhatsApps rättsliga situation. Det omtvistade beslutet och det slutliga beslutet fattades nämligen inom ramen för ett enhetligt administrativt förfarande, som bestod av flera steg på nationell och europeisk nivå vilka var ömsesidigt beroende av varandra, som hade ett och samma föremål. Dessa beslut fattades inte efter två separata förfaranden som avsåg skilda frågor.

61 Dataskyddsstyrelsen har i detta avseende preciserat att tvistlösningsförfarandet syftar till att upprätthålla enhetligheten i samband med nationella myndigheters genomförande av dataskyddsförordningen. I förevarande fall ger det omtvistade beslutet inte upphov till några nya rättsliga skyldigheter för WhatsApp. WhatsApps skyldigheter är definierade i dataskyddsförordningen och inte i det omtvistade beslutet. Det är den irländska tillsynsmyndigheten som tillämpar dessa skyldigheter och inte dataskyddsstyrelsen. För övrigt var dessa skyldigheter tillämpliga på WhatsApp innan de aktuella överträdelserna konstaterades.

62 Beträffande det omstridda beslutets påstådda externa rättsverkningar har dataskyddsstyrelsen gjort gällande att dess tolkningar endast är bindande mellan parterna, det vill säga de berörda tillsynsmyndigheterna. Utöver det faktum att det omtvistade beslutet inte hade någon direkt rättsverkan gentemot WhatsApp, avsåg det beslutet avgränsade frågor rörande tillämpningen av dataskyddsförordningen som var ägnade att ingå i och utvecklas vidare i det slutliga beslutet. Även om dataskyddsstyrelsens tolkningar av dataskyddsförordningen således har visst prejudikatvärde i efterföljande ärenden som rör liknande rättsfrågor, är de inte bindande för nationella domstolar. Dessa domstolar är skyldiga att begära förhandsavgörande från EU-domstolen om de hyser några tvivel.

63 Förbundsrepubliken Tyskland har intervenerat till stöd för dataskyddsstyrelsens yrkanden. Tyskland har gjort gällande att den mekanism för enhetlighet som föreskrivs i dataskyddsförordningen, inbegripet tvistlösningsförfarandet, är rent intern och har som enda syfte att jämka mellan tillsynsmyndigheterna i de fall då de har olika uppfattningar. Det framgår särskilt av tredje meningen i artikel 65.2 i dataskyddsförordningen att en åtgärd som vidtas av styrelsen i detta sammanhang har en rättsligt bindande verkan endast i förhållande till de nationella tillsynsmyndigheterna. Endast det slutliga beslutet är bindande för berörd personuppgiftsansvarig eller berört personuppgiftsbiträde.

64 Den första grundens första del avser frågan huruvida tribunalen gjorde sig skyldig till felaktig rättstillämpning när den i punkterna 41–49 i det överklagade beslutet slog fast att det omtvistade beslutet inte utgjorde en rättsakt mot vilken talan kan väckas enligt artikel 263 första stycket FEUF.

65 Enligt denna bestämmelse ska domstolen bland annat granska lagenligheten av sådana akter antagna av unionens organ eller byråer som är avsedda att ha rättsverkan i förhållande till tredje man.

66 Enligt fast rättspraxis kan en talan om ogiltigförklaring enligt artikel 263 FEUF väckas mot alla åtgärder – oavsett form – som antas av institutionerna och som är avsedda att ha bindande rättsverkningar (dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 62 och där angiven rättspraxis).

67 För att avgöra huruvida en rättsakt har sådana verkningar och således kan bli föremål för en talan om ogiltigförklaring enligt artikel 263 FEUF, är det nödvändigt att se till rättsaktens materiella innehåll och att bedöma nämnda verkningar mot bakgrund av objektiva kriterier, såsom rättsaktens innehåll, i förekommande fall med beaktande av det sammanhang i vilket den antogs och den antagande institutionens, organets eller byråns befogenheter (dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 63 och där angiven rättspraxis).

68 Såsom generaladvokaten har påpekat i punkterna 79 och 121 i sitt förslag till avgörande måste, mot bakgrund av artikel 263 första stycket FEUF, den tredje man i förhållande till vilken den aktuella rättsakten har rättsverkningar inte nödvändigtvis vara sökanden. Varje fysisk eller juridisk person som är skild från rättsaktens upphovsman har nämligen ställning som tredje man. För att fastställa huruvida den aktuella rättsakten har sådana verkningar är det således inte nödvändigt att pröva huruvida dessa verkningar kan förändra sökandens rättsliga ställning. Denna kontroll är nämligen endast relevant inom ramen för prövningen av huruvida villkoren i artikel 263 fjärde stycket FEUF är uppfyllda. Om denna bestämmelse är tillämplig får enligt dessa villkor den som är direkt och personligen berörd av en rättsakt väcka talan om ogiltigförklaring (se, för ett liknande resonemang, dom av den 13 februari 2025, Swissgrid/kommissionen, C‑121/23 P, EU:C:2025:83, punkt 46). Frågan huruvida en rättsakt är en rättsakt mot vilken talan kan väckas ska således bedömas objektivt i förhållande till dess materiella innehåll och inte i förhållande till sökanden.

69 När det är fråga om rättsakter, vars antagande föregås av en handläggning i flera steg, är det emellertid i princip endast den åtgärd i vilken den behöriga unionsinstitutionens, det behöriga unionsorganets eller den behöriga unionsbyråns ställningstagande slås fast slutgiltigt som utgör en rättsakt mot vilken talan kan väckas. Detta utesluter förberedande åtgärder vilkas syfte är att bereda den slutgiltiga åtgärden och vilka inte har några självständiga rättsverkningar i förhållande till tredje man. En institutions, ett organs eller en byrås preliminära bedömning utgör i synnerhet ett exempel på sådana förberedande åtgärder (se, för ett liknande resonemang, dom av den 11 november 1981, IBM/kommissionen, 60/81, EU:C:1981:264, punkt 10, dom av den 22 september 2022, IMG/kommissionen, C‑619/20 P och C‑620/20 P, EU:C:2022:722, punkt 103, och dom av den 18 juni 2024, kommissionen/Gemensamma resolutionsnämnden, C‑551/22 P, EU:C:2024:520, punkt 92).

70 Det framgår av rättspraxis att det inte går att väcka talan mot en förberedande åtgärd om det är visat att den rättsstridighet som häftar vid denna åtgärd skulle kunna åberopas till stöd för en talan riktad mot det slutliga beslut där den förberedande åtgärden endast ingår som ett led i beredningen. Under dessa omständigheter tillförsäkrar en talan som väcks mot det beslut genom vilket ärendet avslutas ett tillräckligt domstolsskydd (se, för ett liknande resonemang, dom av den 11 november 1981, IBM/kommissionen, 60/81, EU:C:1981:264, punkt 12, och dom av den 15 mars 2017, Stichting Woonlinie m.fl./kommissionen, C‑414/15 P, EU:C:2017:215, punkt 46 och där angiven rättspraxis).

71 Beträffande den aktuella rättsaktens innehåll och det aktuella organets befogenheter framgår det i förevarande fall av lydelsen i artiklarna 65.1 a, 65.2 och 68.1 i dataskyddsförordningen att det omtvistade beslutet är en rättsakt från ett unionsorgan som är bindande i förhållande till tredje man. Denna rättsakt binder nämligen den ansvariga tillsynsmyndigheten och samtliga berörda tillsynsmyndigheter, till vilka rättsakten är riktad och vilka är utomstående i förhållande till dataskyddsstyrelsen. I enlighet med artikel 65.6 i dataskyddsförordningen ska den ansvariga tillsynsmyndigheten anta sitt slutliga beslut på grundval av dataskyddsstyrelsens beslut. I detta slutliga beslut ska det också hänvisas till dataskyddsstyrelsens beslut, som ska fogas till det slutliga beslutet.

72 Beträffande det sammanhang i vilket det omtvistade beslutet antogs, är det dessutom utrett att detta beslut har antagits enligt en process som innefattar flera handläggningssteg, i den mening som avses i den rättspraxis som nämns i punkt 69 ovan, och att det således föregick den irländska tillsynsmyndighetens antagande av den andra rättsakten. I detta beslut slås emellertid det behöriga unionsorganets, det vill säga dataskyddsstyrelsens, ställningstagande slutgiltigt fast, i den mening som avses i denna rättspraxis, och därmed är samtliga frågor som detta organ har att avgöra uttömda. Ett sådant beslut, som fattats med stöd av artikel 65.1 a i dataskyddsförordningen, avser nämligen alla frågor som är föremål för en relevant och motiverad invändning från de berörda tillsynsmyndigheterna, i den mening som avses i artikel 60.4 i dataskyddsförordningen, bland annat frågan huruvida det har skett en överträdelse av dataskyddsförordningen.

73 Av det anförda följer att – i motsats till vad tribunalen har funnit i punkt 42 i det omtvistade beslutet – det omtvistade beslutet, även om det inte utgör det sista steget i den i artiklarna 58, 60 och 65 föreskrivna mekanismen för enhetlighet, kan inte kvalificeras som en mellankommande rättsakt mot vilken det inte går att väcka talan, i den mening som avses i den rättspraxis som det hänvisas till i punkt 69 ovan. Den rättspraxis som det erinrats om i punkt 70 saknar följaktligen betydelse i förevarande fall.

74 Eftersom dataskyddsstyrelsens beslut har bindande rättsverkningar i förhållande till tredje man, saknar det i detta sammanhang betydelse att frågor som inte ingick i hänskjutandet till styrelsen eller som inte omfattas av styrelsens befogenhet ingår i räckvidden av den nationella tillsynsmyndighetens slutliga beslut.

75 Av samma skäl saknar den omständighet som tribunalen har lyft fram i punkt 42 i det överklagade beslutet, nämligen att det omtvistade beslutet – i motsats till den irländska tillsynsmyndighetens slutliga beslut – inte går att göra gällande mot andra enheter än dem som det är riktat till, betydelse för kvalificeringen av detta beslut såsom en rättsakt mot vilken talan kan väckas enligt artikel 263 första stycket FEUF. En sådan omständighet, som rör klagandens rättsliga ställning i förhållande till det omtvistade beslutet, avser – mot bakgrund av objektiva kriterier – varken det omtvistade beslutets materiella innehåll eller dess bindande rättsverkningar.

76 Av det anförda följer att det omtvistade beslutet utgör en rättsakt från ett unionsorgan som är avsedd att ha rättsverkningar i förhållande till tredje man och som ger uttryck för organets slutliga ställningstagande i de frågor som ska avgöras av organet, såsom tribunalen för övrigt själv konstaterade i punkterna 36, 37 och 49 i det överklagade beslutet. Mot bakgrund av lydelsen i artikel 263 första stycket FEUF och den rättspraxis som det hänvisas till i punkterna 66–69 ovan, utgör detta beslut således en rättsakt mot vilken talan kan väckas, utan att det i detta skede är nödvändigt att bedöma huruvida nämnda beslut har medfört en klar förändring av WhatsApps rättsliga ställning.

77 Domstolen konstaterar att tribunalen i detta hänseende gjorde sig skyldig till felaktig rättstillämpning i två punkter i det överklagade beslutet. För det första i punkt 38 genom att blanda ihop de krav som följer av första respektive fjärde stycket i artikel 263 FEUF. För det andra i punkt 42 genom att formulera ett felaktigt kriterium, grundat på att den aktuella rättsakten inte kan göras gällande direkt mot WhatsApp, och genom att kvalificera det omtvistade beslutet som en mellankommande åtgärd utan självständiga rättsverkningar.

78 Överklagandet ska således bifallas såvitt avser den första grundens första del.

79 WhatsApp har gjort gällande att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den fann att WhatsApp inte var direkt berört av det omtvistade beslutet och att bolagets talan följaktligen skulle avvisas.

80 Beträffande villkoret att rättsakten ska ha direkta verkningar på klagandens rättsliga ställning, fann tribunalen felaktigt i punkt 52 i det överklagade beslutet att WhatsApp inte var direkt berört av det omtvistade beslutet, eftersom detta beslut inte kunde göras gällande mot bolaget och inte utgjorde det sista skedet i det förfarande som föreskrivs i artiklarna 58, 60 och 65 i dataskyddsförordningen.

81 Beträffande villkoret att en rättsakt inte ska lämna något utrymme för skönsmässig bedömning till dem till vilka den riktar sig och som ska genomföra den, anser WhatsApp att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den i punkterna 53–60 i det överklagade beslutet slog fast att det omtvistade beslutet hade gett den irländska tillsynsmyndigheten ett utrymme för skönsmässig bedömning vad gäller innehållet i dess slutliga beslut, samtidigt som tribunalen fann att det omtvistade beslutet var bindande för tillsynsmyndigheten vad gäller de aspekter som det avsåg.

82 I punkterna 54–56 i det överklagade beslutet fann tribunalen att innehållet i det omtvistade beslutet var partiellt i förhållande till det slutliga beslutet. WhatsApp har hävdat att tribunalen borde ha prövat avsaknaden av utrymme för skönsmässig bedömning genom att beakta det materiella innehållet i det omtvistade beslutet, utan att ta någon hänsyn till det kompletterande innehållet i det slutliga beslutet. Enligt WhatsApp hade dataskyddsstyrelsen nämligen endast bedömt vissa aspekter av ett specifikt fall, nämligen de frågor som var föremål för relevanta och motiverade invändningar från berörda tillsynsmyndigheters sida. Det omtvistade beslutet kan således inte avse hela ärendet och kan inte omfatta aspekter som inte ingick i hänskjutandet till styrelsen eller som inte omfattas av dataskyddsstyrelsens befogenhet.

83 Tribunalen gjorde sig dessutom skyldig till felaktig rättstillämpning när den i punkterna 57–59 i det överklagade beslutet slog fast att den irländska tillsynsmyndigheten hade utövat sitt utrymme för skönsmässig bedömning för att dra konsekvenserna av det omtvistade beslutet. För det första beträffande kvalificeringen av data som varit föremål för destruktiv komprimering som personuppgifter, har WhatsApp hävdat att denna kvalificering, som gjorts av dataskyddsstyrelsen, medför ytterligare skyldigheter för WhatsApp enligt dataskyddsförordningen, och detta oberoende av det faktum att den ansvariga tillsynsmyndigheten har utövat ett utrymme för skönsmässig bedömning i sak, som går utöver en sådan kvalificering, genom att kontrollera huruvida WhatsApp hade agerat i egenskap av personuppgiftsansvarig eller personuppgiftsbiträde. För det andra beträffande höjningen av de administrativa sanktionsavgifter som WhatsApp skulle åläggas, gav detta beslut inte den irländska tillsynsmyndigheten något utrymme för skönsmässig bedömning, eftersom myndigheten var skyldig att ålägga högre sanktionsavgifter än vad den ursprungligen hade planerat. Den omständigheten att denna myndighet behåller ett utrymme för skönsmässig bedömning vid fastställandet av sanktionsavgifternas exakta belopp saknar relevans, eftersom denna uppgift omfattas av nämnda myndighets befogenheter.

84 Dataskyddsstyrelsen har bestritt denna argumentation och hävdat att två kumulativa kriterier måste vara uppfyllda för att en fysisk eller juridisk person, som inte är en enskild rättsakts adressat, ska vara direkt berörd av en unionsrättsakt. Rättsakten ska ha en direkt inverkan på personens rättsliga ställning och får inte lämna något utrymme för skönsmässig bedömning för den person till vilken den riktar sig och som ska genomföra den, eftersom genomförandet är rent automatiskt, utan att några mellanliggande regler tillämpas.

85 Beträffande det första kriteriet har dataskyddsstyrelsen påpekat att en rättsakts bindande verkan ska bedömas med hänsyn till dess inverkan på sökandens specifika situation. I förevarande fall kan det omtvistade beslutet inte göras gällande mot WhatsApp på ett sådant sätt att det utan ytterligare handläggningssteg kan utgöra en källa till skyldigheter. Detta beslut utgör inte det sista steget i det förfarande som avses i artiklarna 58, 60 och 65 i dataskyddsförordningen och i beslutet fastställs varken sanktionsavgifternas slutliga belopp eller några nya regler för WhatsApps verksamhet. Det är således endast det slutliga beslutet som direkt berör WhatsApp, eftersom den irländska tillsynsmyndigheten, enligt artikel 56.6 i dataskyddsförordningen, är företagets enda motpart i egenskap av personuppgiftsansvarig.

86 Beträffande det andra kriteriet har dataskyddsstyrelsen hävdat att den irländska tillsynsmyndigheten har behållit ett verkligt utrymme för skönsmässig bedömning när det gäller de slutsatser som ska anges i dess slutliga beslut, vilket har en vidare räckvidd än det omtvistade beslutet och innehåller konstateranden som styrelsen inte har ombetts att uttala sig om, eftersom ett hänskjutande till styrelsen är begränsat till frågor som varit föremål för relevanta och motiverade invändningar. Enligt styrelsen är det omtvistade beslutet, under alla omständigheter, beroende av det slutliga beslutet och vice versa. Det är inte möjligt att särskilja de delar av det slutliga beslut som motsvarar styrelsens anvisningar, vilket bekräftar att styrelsen har gett den irländska tillsynsmyndigheten ett visst utrymme för skönsmässig bedömning i flera avseenden.

87 Under sådana omständigheter skulle en nationell domstol vara bättre lämpad att ompröva det slutliga beslutet, i förekommande fall genom att ställa tolkningsfrågor till EU-domstolen avseende de bestämmelser i dataskyddsförordningen som tillämpats ex officio eller i enlighet med styrelsens anvisningar.

88 Enligt dataskyddsstyrelsen behöll den irländska tillsynsmyndigheten ett visst utrymme för skönsmässig bedömning i de frågor som togs upp i det omtvistade beslutet, i synnerhet de frågor som avsåg de rättsliga följderna av att de uppgifter som genomgick destruktiv komprimering kvalificerades som personuppgifter samt fastställandet av de sanktionsavgifter som WhatsApp skulle åläggas. Beträffande den första aspekten behöll den irländska tillsynsmyndigheten ett utrymme för skönsmässig bedömning och gjorde en fristående prövning, bland annat vad gäller iakttagandet av artikel 14 i dataskyddsförordningen. Det är i detta avseende felaktigt att hävda att dataskyddsstyrelsen har gjort en fullständig bedömning, eftersom styrelsens befogenhet är begränsad till innehållet i de relevanta och motiverade invändningarna och inte omfattar hela överträdelseförfarandet. Beträffande den andra aspekten, det vill säga fastställandet av sanktionsavgifterna, rör det omtvistade beslutet, även om det innehåller generella anvisningar rörande sanktionsavgifterna, inte genomförandet av dessa anvisningar eller beräkningen av avgifterna.

89 Förbundsrepubliken Tyskland anser att eftersom den ansvariga tillsynsmyndigheten var WhatsApps enda samtalspartner, kan bolaget inte anses vara direkt berört av det omtvistade beslutet. Ett sådant beslut är inte avsett att genomföras fristående, utan måste alltid följas av ett slutligt beslut från myndigheten. Unionslagstiftaren gjorde nämligen ett medvetet val att tillsynen av dataskyddsförordningen skulle vara decentraliserad, istället för att inrätta en central, europeisk dataskyddsmyndighet.

90 Den första grundens andra del avser huruvida tribunalen gjorde sig skyldig till felaktig rättstillämpning när den i punkterna 50–60 i det överklagade beslutet fann att det omtvistade beslutet inte direkt berörde WhatsApp, i den mening som avses i artikel 263 fjärde stycket FEUF, och att WhatsApps talan följaktligen skulle avvisas.

91 Enligt den bestämmelsen får alla fysiska eller juridiska personer på de villkor som anges i första och andra styckena i artikel 263 FEUF väcka talan mot en akt som är riktad till dem eller som direkt och personligen berör dem samt mot en regleringsakt som direkt berör dem och som inte medför genomförandeåtgärder.

92 För att en talan som väckts av en fysisk eller juridisk person mot en akt som riktar sig till någon annan än personen i fråga ska kunna tas upp till sakprövning enligt artikel 263 fjärde stycket FEUF, krävs det således bland annat att akten berör dem direkt och personligen (dom av den 3 december 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punkt 64 och där angiven rättspraxis).

93 I förevarande fall är det, såsom tribunalen konstaterade i punkt 40 i det överklagade beslutet, utrett att WhatsApp är personligen berört av det omtvistade beslutet, eftersom det avser vissa aspekter av utkastet till slutligt beslut som specifikt rör detta företags situation. I punkterna 52 och 53 i det överklagade beslutet fann tribunalen emellertid att WhatsApp inte var direkt berört av det omtvistade beslutet. Tribunalen ansåg för det första att WhatsApp inte var direkt berört på grund av att beslutet inte kunde göras gällande mot WhatsApp, så att det utan ytterligare skeden i förfarandet skulle kunna medföra skyldigheter för WhatsApp eller, i förekommande fall, rättigheter för andra personer. För det andra var WhatsApp inte direkt berört på grund av att även om det angripna beslutet var bindande för den irländska tillsynsmyndigheten vad gäller de aspekter som beslutet avsåg, gav det den myndigheten ett utrymme för skönsmässig bedömning vad gäller innehållet i det slutliga beslutet.

94 Det följer av fast rättspraxis att villkoret att en fysisk eller juridisk person måste vara direkt berörd av det beslut mot vilket talan väcks kan anses vara uppfyllt endast om två kumulativa kriterier är uppfyllda. För det första måste den omtvistade åtgärden ha direkt inverkan på dennes rättsliga ställning. För det andra får den inte lämna något utrymme för skönsmässig bedömning för dem till vilka den riktar sig, och som ska genomföra den, vilket innebär att genomförandet ska ha en rent automatisk karaktär och följa enbart av unionslagstiftningen, utan att några mellankommande regler tillämpas (dom av den 4 oktober 2024, kommissionen och rådet/Front Polisario, C‑779/21 P och C‑799/21 P, EU:C:2024:835, punkt 87 och där angiven rättspraxis).

95 Innan domstolen prövar huruvida dessa båda villkor är uppfyllda i förevarande fall, ska det påpekas att det faktum att den angripna rättsakten inte direkt kan göras gällande mot klaganden samt den omständigheten att den rättsakten inte utgör det sista steget i ett förfarande som består av flera handläggningssteg inte utgör hinder för att sökanden kan anses vara direkt berörd av rättsakten i fråga när den till vilken rättsakten är riktad inte har något utrymme för skönsmässig bedömning (se, för ett liknande resonemang, dom av den 4 juni 1992, Infortec/kommissionen, C‑157/90, EU:C:1992:243, punkterna 13 och 17, dom av den 3 december 2019, Iccrea Banca, C‑414/18, EU:C:2019:1036, punkterna 65 och 67, och dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 74).

96 Tribunalen gjorde sig således skyldig till felaktig rättstillämpning i punkt 52 i det överklagade beslutet, såsom generaladvokaten har funnit i punkterna 139 och 144 i sitt förslag till avgörande. I den punkten fann tribunalen att WhatsApp inte kunde vara direkt berört av det omtvistade beslutet på grund av att det inte kunde göras gällande mot WhatsApp och inte utgjorde det sista skedet i det förfarande som föreskrivs i artiklarna 58, 60 och 65 i dataskyddsförordningen.

97 Beträffande frågan huruvida det första villkoret som anges i punkt 94 ovan är uppfyllt, måste det bedömas huruvida den angripna rättsakten ger upphov till en klar förändring av den fysiska eller juridiska personens rättsliga ställning. Vid denna bedömning ska rättsaktens materiella innehåll beaktas och dess verkningar bedömas mot bakgrund av objektiva kriterier, såsom rättsaktens innehåll, i förekommande fall med beaktande av det sammanhang i vilket den antogs och den antagande institutionens, organets eller byråns befogenheter (se, för ett liknande resonemang, dom av den 11 november 1981, IBM/kommissionen, 60/81, EU:C:1981:264, punkt 9, och dom av den 18 juni 2024, kommissionen/Gemensamma resolutionsnämnden, C‑551/22 P, EU:C:2024:520, punkt 65 och där angiven rättspraxis).

98 Såsom framgår av punkt 30 ovan fann dataskyddsstyrelsen i det omtvistade beslutet bland annat att WhatsApp hade åsidosatt informationsskyldigheten i artikel 13.1 d i dataskyddsförordningen och hade begått en överträdelse av artikel 13.2 e i den förordningen. Detta beslut förändrar följaktligen WhatsApps rättsliga ställning, eftersom WhatsApp på grund av dataskyddsstyrelsens ingripande i synnerhet blir tvungen att ändra sitt avtalsförhållande med användarna av den meddelandetjänst som bolaget tillhandahåller. Av detta följer att det finns ett direkt samband mellan beslutet och dess verkningar på WhatsApps ställning, i den mening som avses i den rättspraxis som det hänvisas till i punkterna 94 och 95 ovan.

99 I motsats till vad dataskyddsstyrelsen har hävdat påverkar inte den omständigheten att den irländska tillsynsmyndigheten enligt artikel 56.6 i dataskyddsförordningen är WhatsApps enda motpart, i egenskap av personuppgiftsansvarig, denna slutsats. Denna bestämmelse syftar nämligen endast till att organisera förhållandena mellan en personuppgiftsansvarig eller ett personuppgiftsbiträde, en ansvarig tillsynsmyndighet och berörda tillsynsmyndigheter. Detta innebär att den bestämmelsen inte avser de rättsmedel som är tillgängliga mot dataskyddsstyrelsens beslut.

100 Beträffande frågan huruvida det andra av de båda villkor som det erinrats om i punkt 94 ovan är uppfyllt, finns det anledning att, för att bedöma huruvida en rättsakt ger dem till vilken den riktar sig ett utrymme för skönsmässig bedömning för att genomföra den, pröva de rättsverkningar som de bestämmelser i rättsakten, vilka talan avser, har för ställningen för den person som gör anspråk på talerätt enligt artikel 263 fjärde stycket andra meningsledet FEUF (se, för ett liknande resonemang, dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 98 och där angiven rättspraxis).

101 Det ska i synnerhet inte anses föreligga något sådant utrymme för skönsmässig bedömning när det är visat att de bestämmelser i rättsakten som talan avser har som direkt följd att nämnda person ålades skyldigheter vars fullgörande ledde till ett resultat som inte kunde ändras (se, för ett liknande resonemang, dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet, C‑348/20 P, EU:C:2022:548, punkt 114).

102 I förevarande fall ska det, såsom framgår av punkterna 71 och 72 ovan, erinras om att det omtvistade beslutet är bindande för den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Dessa myndigheter får inte avvika från dataskyddsstyrelsens ställningstagande i detta beslut och som det erinrats om i punkt 30 i förevarande dom. Genom nämnda beslut avgörs nämligen de rättsfrågor som ingick i hänskjutandet till dataskyddsstyrelsen och det är ovillkorligt bindande för dessa myndigheter, i synnerhet avseende konstaterandet att vissa bestämmelser i dataskyddsförordningen har åsidosatts, kvalificeringen av uppgifter som är föremål för destruktiv komprimering som personuppgifter samt skyldigheten att höja de planerade sanktionsavgifterna. Myndigheter har inte möjlighet att ändra det resultat som dataskyddsstyrelsens bedömningar i dessa frågor har lett till, i den mening som avses i den rättspraxis som det hänvisas till i föregående punkt.

103 Enligt artikel 70.1 a i dataskyddsförordningen har dataskyddsstyrelsen till uppgift att säkerställa en enhetlig tillämpning av den förordningen genom att, såsom framgår av skäl 10 i förordningen, övervaka och säkerställa en konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande fri- och rättigheter vid behandling av deras personuppgifter i hela unionen, i de fall som anges i bland annat artikel 65 i dataskyddsförordningen, utan att det påverkar de nationella tillsynsmyndigheternas uppgifter.

104 I detta sammanhang saknar det betydelse att det slutliga beslutets räckvidd omfattar frågor som inte ingick i hänskjutandet till dataskyddsstyrelsen, det vill säga aspekter som inte varit föremål för relevanta och motiverade invändningar i den mening som avses artikel 65.1 a i dataskyddsförordningen, eller frågor som inte omfattas av dataskyddsstyrelsens befogenhet, såsom bland annat fastställandet av det exakta beloppet av den sanktionsavgift som ska åläggas en personuppgiftsansvarig eller ett personuppgiftsbiträde, vilket ska bestämmas av den behöriga tillsynsmyndigheten i enlighet med artikel 58.2 i samt artikel 83 i dataskyddsförordningen.

105 Det är visserligen riktigt att det omtvistade beslutet och det slutliga beslutet är ömsesidigt beroende av varandra, men de utgör icke desto mindre separata rättsakter och det omtvistade beslutets räckvidd är klart avgränsad, såsom framgår av den uppräkning som återges i punkt 30 ovan. Under dessa omständigheter kan det förhållandet att de båda besluten är ömsesidigt beroende av varandra inte utgöra hinder för konstaterandet att WhatsApp är direkt berört av det omtvistade beslutet.

106 Det är visserligen riktigt att det faktum att det samtidigt väcks en talan om ogiltigförklaring vid unionsdomstolen med stöd av artikel 263 FEUF mot dataskyddsstyrelsens bindande beslut, och vid en nationell domstol med stöd av artikel 78 i dataskyddsförordningen mot det slutliga beslut som den nationella tillsynsmyndigheten har antagit med dataskyddsstyrelsens bindande beslut som grund, ger upphov till två parallella förfaranden. Denna situation får emellertid inte till följd att verkningarna av dataskyddsstyrelsens beslut i det föreliggande fallet ska anses vara indirekta i förhållande till WhatsApp.

107 Det framgår nämligen av domstolens rättspraxis att, när avgörandet av ett mål vid den nationella domstolen är beroende av huruvida ett beslut av ett unionsorgan är giltigt, följer det av skyldigheten till lojalt samarbete att den nationella domstolen, för att förhindra att träffa ett avgörande som står i strid med detta organs beslut, ska förklara målet vilande till dess unionsdomstolen slutligt har avgjort talan om ogiltigförklaring, såvida inte den nationella domstolen med anledning av omständigheterna i målet anser det motiverat att begära ett förhandsavgörande av domstolen beträffande giltigheten av organets beslut (se, för ett liknande resonemang, dom av den 14 december 2000, Masterfoods och HB, C‑344/98, EU:C:2000:689, punkt 57 och dom av den 25 juli 2018, Georgsmarienhütte m.fl., C‑135/16, EU:C:2018:582, punkt 24).

108 Det ska även påpekas att principen om god rättsskipning kan, för det fall tribunalen har att pröva en talan om ogiltigförklaring samtidigt som domstolen har att pröva en begäran om förhandsavgörande avseende giltigheten av en akt, motivera att domstolen om den finner det lämpligt, med stöd av artikel 54 tredje stycket i stadgan för Europeiska unionens domstol, vilandeförklarar sitt mål så att handläggningen vid tribunalen kan fortsätta (dom av den 25 juli 2018, Georgsmarienhütte m.fl., C‑135/16, EU:C:2018:582, punkt 25).

109 Eftersom båda de villkor som avses i punkt 94 ovan är uppfyllda, är WhatsApp följaktligen direkt berört av det omtvistade beslutet.

110 Av det ovan anförda följer att överklagandet ska bifallas såvitt avser den första grundens andra del och att det överklagade beslutet följaktligen ska upphävas.

111 Genom den första grundens tredje del har WhatsApp gjort gällande att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den i punkterna 66–70 i det överklagade beslutet slog fast att avvisningen av WhatsApps talan är en logisk följd av det system med rättsmedel som inrättats genom EU-fördraget och EUF-fördraget.

112 Med hänsyn till vad domstolen funnit i punkt 110 ovan saknas det anledning att pröva den första grundens tredje del.

113 WhatsApp har, med hänvisning till de argument som framförts inom ramen för den första grunden, gjort gällande att tribunalen åsidosatte artikel 65.1 i dataskyddsförordningen och principen om unionsrättens enhetliga tillämpning genom att, i punkterna 41–60 i det överklagade beslutet, slå fast att det omtvistade beslutet inte hade några andra rättsverkningar än sina bindande verkningar för de berörda tillsynsmyndigheterna.

114 Eftersom WhatsApp endast har hänvisat till de argument som anförts till stöd för den första grunden, och med hänsyn till vad domstolen har funnit i punkt 110 ovan, saknas det anledning att pröva den andra grunden, eftersom den inte kan leda till ett mer omfattande upphävande av det överklagade beslutet.

115 Enligt artikel 61 första stycket i stadgan för Europeiska unionens domstol får domstolen, om den upphäver tribunalens avgörande, själv slutligt avgöra målet, om detta är färdigt för avgörande.

116 Detta villkor är uppfyllt i förevarande fall, eftersom målet endast rör frågan huruvida den talan som väckts vid tribunalen kan tas upp till sakprövning.

117 För det första utgör det omtvistade beslutet, såsom framgår av punkt 76 ovan, en rättsakt mot vilken talan kan väckas i den mening som avses i artikel 263 första stycket FEUF. För det andra är WhatsApp, såsom konstaterats i punkt 109 ovan, direkt berört av det omtvistade beslutet, i den mening som avses i artikel 263 fjärde stycket FEUF. För det tredje berör detta beslut WhatsApp personligen, såsom tribunalen själv konstaterade i punkt 40 i det överklagade beslutet.

118 Eftersom villkoren i första och fjärde styckena i artikel 263 FEUF således är uppfyllda, och i avsaknad av andra grunder för att avvisa talan, kan talan om ogiltigförklaring tas upp till sakprövning.

119 Eftersom tribunalen emellertid inte har prövat talan i sak, vilket kräver en utförlig bedömning av de faktiska och rättsliga omständigheterna, är målet inte färdigt för avgörande i sak.

120 Målet ska därför återförvisas till tribunalen.

121 Eftersom målet återförvisas till tribunalen ska frågan om rättegångskostnader i målet om överklagande anstå.

1 Rättegångsspråk: engelska.