Tribunalens dom (tionde avdelningen i utökad sammansättning) 29 januari 2025

I de förenade målen T‑70/23, T‑84/23 och T‑111/23,

TRIBUNALEN (tionde avdelningen i utökad sammansättning), sammansatt av ordföranden O. Porchia samt domarna M. Jaeger, L. Madise (referent), P. Nihoul och S. Verschuur, justitiesekreterare: handläggaren M. Zwozdziak-Carbonne,

efter den skriftliga delen av förfarandet

efter förhandlingen den 16 april 2024,

följande

Dom

Bakgrund och förfarandet

Parternas yrkanden

Rättslig bedömning

Den åberopade grunden: EDPB saknade befogenhet att anta beslutsföreskrifter av det slag som finns i de angripna besluten

Prövning av vad DPC anfört om omfattningen av EDPB:s befogenhet enligt artikel 65.1 a i förordning 2016/679 med hänvisning till en bokstavlig, kontextuell, teleologisk och historisk tolkning av förordningen

DPC:s argumentation avseende förutsättningarna för tilldelning av befogenheter till ett unionsorgan, särdragen för den domstolsprövning som sker på nationell nivå och dataskyddsmyndigheternas oberoende

Rättegångskostnader

1 Sökanden i förevarande förenade mål, Data Protection Commission (den irländska tillsynsmyndigheten för skydd av personuppgifter) (nedan kallad DPC eller myndigheten), har med stöd av artikel 263 FEUF yrkat att tribunalen delvis ska ogiltigförklara bindande beslut 3/2022, 4/2022 och 5/2022, vilka antogs av Europeiska dataskyddsstyrelsen (nedan kallad EDPB) den 5 december 2022. Dessa beslut rör tvister mellan de berörda tillsynsmyndigheterna som uppkommit med anledning av DPC:s utkast till beslut avseende det sociala nätverket Facebook, det sociala nätverket Instagram respektive meddelandetjänsten Whatsapp, med tillhörande applikationer. DPC:s yrkande om ogiltigförklaring av EDPB:s bindande beslut avser de delar av besluten i vilka DPC åläggs att genomföra en ny tillsyn av den personuppgiftsbehandling som är kopplad till användningen av nämnda applikationer och att på grundval av denna utarbeta kompletterande utkast till beslut.

6 Efter skriftväxling med de övriga berörda tillsynsmyndigheterna konstaterade DPC att det inte rådde enighet om invändningarna mot myndighetens utkast till beslut. DPC hänsköt därför ärendet till EDPB för tvistlösning inom ramen för den så kallade enhetlighetsmekanism som inrättats genom förordning 2016/679, i enlighet med artikel 60.4 i förordningen (nedan kallad enhetlighetsmekanismen).

7 Efter att ha granskat de tre ärendena antog EDPB den 5 december 2022 de bindande besluten 3/2022, 4/2022 och 5/2022, med stöd av artikel 65.1 a i förordning 2016/679. I dessa tre bindande beslut fann EDPB inledningsvis att de flesta av invändningarna mot DPC:s utkast till beslut var relevanta och motiverade, i den mening som avses i artikel 4.24 i förordning 2016/679, och att EDPB kunde ta ställning till de frågor som invändningarna gav upphov till. EDPB godtog därvid i sak ett antal av de invändningar som befunnits vara relevanta och motiverade.

15 DPC har yrkat att tribunalen ska,

16 EDPB har i samtliga tre mål yrkat att tribunalen ska

17 DPC har i samtliga tre mål åberopat en enda grund till stöd för sin talan om ogiltigförklaring, nämligen att EDPB överskred sin befogenhet enligt artikel 65.1 a i förordning 2016/679 när den i vart och ett av de angripna bindande besluten ålade DPC att genomföra en ny tillsyn och utreda aspekter av de aktuella klagomålsärendena som ännu inte undersökts och att lägga fram ett kompletterande utkast till beslut, i enlighet med artikel 60.3 i förordningen, på grundval av resultaten av denna nya utredning.

29 Vid tolkningen av en unionsbestämmelse är det enligt fast rättspraxis inte bara lydelsen som ska beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (se, för ett liknande resonemang, dom av den 29 november 2018, Mensing, C‑264/17, EU:C:2018:968, punkt 24 och där angiven rättspraxis). Vad gäller det nu aktuella fallet kan det konstateras att vissa delar av DPC:s argumentation i målen även bygger på uttalanden eller principer som har bäring bortom förordning 2016/679. Tribunalen kommer således att pröva frågan om omfattningen av EDPB:s befogenhet enligt artikel 65.1 a i förordning 2016/679 genom att först, vid behov, pröva vad DPC anfört om tolkningen av förordningen enligt olika tolkningsmetoder (bokstavlig, kontextuell, teleologisk och historisk tolkning) för att därefter pröva vad myndigheten anfört om förutsättningarna för att tilldela ett unionsorgan befogenhet, om vad som utmärkande för domstolsprövning som sker på nationell nivå och om dataskyddstillsynsmyndigheternas oberoende.

30 DPC har med stöd av ordalydelsen i artiklarna 4.24, 65.1 a och 65.6 i förordning 2016/679 gjort gällande att EDPB inte har befogenhet att i ett bindande beslut som antas enligt artikel 65.1 a ålägga en ansvarig tillsynsmyndighet att utvidga tillsynen och att på grundval av denna kompletterande utredning lägga fram ett nytt utkast till beslut. DPC har i detta avseende även åberopat skälen 126 och 136 i förordningen.

31 I artikel 65.1 a i förordning 2016/679 föreskrivs följande:

32 I artikel 4.24 i förordning 2016/679 definieras begreppet relevant och motiverad invändning på följande sätt:

33 I artikel 65.6 i förordning 2016/679 anges bland annat följande:

34 Vad gäller de ovan i punkterna 31–33 redovisade tre bestämmelserna har DPC anfört följande. Räckvidden av ett bindande beslut som EDPB antar med stöd av artikel 65.1 a i förordning 2016/679 är begränsad till omfattningen av den undersökning av klagomålsärendet som den ansvariga tillsynsmyndigheten redogjort för i det till övriga berörda tillsynsmyndigheter överlämnade utkastet till beslut. Ett sådant bindande beslut kan nämligen endast avse de åtgärder som EDPB anser föranleds av en relevant och motiverad invändning, vilken i sin tur måste avse innehållet i utkastet till beslut och inte sådant som inte anges i utkastet. Ett bindande besluts rättsverkningar är begränsade till de ändringar som den behöriga tillsynsmyndigheten, enligt artikel 65.6 i förordningen, ska göra i det slutliga beslutet om utkastet till beslut inom en månad efter delgivningen. Ett bindande beslut kan således endast avse den korrekta tolkningen av förordning 2016/679 i förhållande till vad som anges i den ansvariga tillsynsmyndighetens utkast till beslut, och de aktuella bestämmelserna ger inte EDPB befogenhet att ge den ansvariga tillsynsmyndigheten instruktioner om något annat, till exempel att den ska inleda en tillsyn eller lägga fram ett nytt utkast till beslut.

35 Tribunalen finner dock att DPC:s tolkning av de ovan i punkterna 31–33 angivna bestämmelserna är alltför restriktiv i förhållande till bestämmelsernas ordalydelse. Begreppet relevant och motiverad invändning i artikel 4.24 i förordning 2016/679 omfattar nämligen en invändning mot ett [utkast] till beslut avseende frågan huruvida det föreligger en överträdelse av denna förordning …, av vilken invändning det tydligt framgår hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter …. Av artikel 65.1 a i förordning 2016/679 framgår visserligen att ett bindande beslut som antas med stöd av den bestämmelsen ska avse alla [frågor] som är föremål för den relevanta och motiverade invändningen. Det finns dock inget som hindrar att en sådan invändning avser att en viss aspekt av ärendet inte alls eller otillräckligt har undersökts i den ansvariga tillsynsmyndighetens utkast till beslut, vilket gör det omöjligt att veta om det i fråga om den aspekten föreligger en överträdelse av förordningen eller inte. Uttrycket invändning mot ett utkast till beslut är, i motsats till vad DPC har påstått, inte begränsat till invändningar mot uttalanden som görs i utkastet till beslut. Det nu sagda innebär följande. EDPB:s bindande beslut ska avse alla frågor som är föremål för relevanta och motiverade invändningar. Det finns därmed inget som hindrar att EDPB, om den anser att det finns fog för en relevant och motiverad invändning som avser en sådan avsaknad av eller otillräckligt genomförd granskning av ett klagomålsärende, förenar det bindande beslutet med ett föreläggande till den ansvariga tillsynsmyndigheten att avhjälpa denna brist och, om det framstår som nödvändigt mot bakgrund av underlaget i det aktuella ärendet, att i detta syfte fördjupa eller utvidga den hittills genomförda tillsynen. Om det visar sig att det i ärendet inte finns tillräckligt underlag för att till fullo granska den aktuella aspekten, måste EDPB då nämligen anses ha möjlighet att ålägga den ansvariga tillsynsmyndigheten att utvidga tillsynen till att omfatta även en granskning av denna aspekt.

36 Tribunalen konstaterar även att om de ovan i punkterna 31–33 angivna bestämmelserna betraktas tillsammans, kan deras ordalydelse inte anses innebära att räckvidden av ett bindande beslut är begränsad till att endast avse de omedelbara ändringar som ska göras i den ansvariga tillsynsmyndighetens utkast till beslut inför antagandet av ett slutligt beslut enligt de i artikel 65.6 i förordning 2016/679 angivna förutsättningarna, det vill säga endast ändringar som avser innehållet i utkastet till beslut och inte sådant som inte anges i utkastet. I motsats till vad DPC har gjort gällande syftar den sistnämnda bestämmelsen endast till att precisera hur det slutliga beslutet ska antas i fall där detta utan vidare kan utformas i enlighet med ett bindande beslut från EDPB, särskilt i fall där det inte finns något behov av att inleda en ny tillsyn eller att göra en mer omfattande eller fördjupad granskning av vissa aspekter av klagomålsärendet. Artikel 65.6 i förordning 2016/679 utgör inte en bestämmelse som reglerar vad ett bindande beslut kan innehålla. Detta bestäms ju av den rättsliga grund med stöd av vilken beslutet antas. De i förevarande mål aktuella besluten antogs med stöd av artikel 65.1 a i förordningen, vilken i sin tur ska läsas tillsammans med artikel 4.24 i förordningen vad gäller definitionen av begreppet relevant och motiverad invändning. Det ska i detta avseende påpekas att det i artikel 65.1 i förordning 2016/679 talas om olika typer av bindande beslut av EDPB vilka inte nödvändigtvis innebär att en nationell tillsynsmyndighet därpå antar ett slutligt beslut.

38 Den ovan i punkterna 35 och 36 angivna bokstavstolkningen av artiklarna 4.24, 65.1 a och 65.6 i förordning 2016/679 kan, i motsats till vad DPC har påstått, inte anses vara oförenlig med ordalydelsen i skälen 126 och 136 i förordningen. I skäl 126 anges nämligen att [d]en ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna … gemensamt [bör] enas om beslutet, vilket visar att unionslagstiftaren inte på något sätt har avsett att det enbart ska ankomma på den ansvariga tillsynsmyndigheten att bedöma frågan om vad som i ett enskilt fall ska analyseras i ett sådant beslut och att frågan därmed skulle vara undantagen från de övriga berörda tillsynsmyndigheternas bedömningsutrymme. Det förhåller sig snarare tvärtom, eftersom beslutet inte bara tar sig uttryck i de bedömningar som görs i det, utan även i vilka aspekter som omfattats av granskningen av det aktuella klagomålsärendet. Det nu sagda innebär följande. I ett fall där det inte råder enighet mellan de berörda tillsynsmyndigheterna i nämnda fråga och ärendet hänskjuts till EDPB för tvistlösning, utesluter inte ordalydelsen i skäl 126 att EDPB kan ålägga den ansvariga tillsynsmyndigheten att göra en mer omfattande granskning av klagomålsärendet och, om så behövs, utvidga tillsynen till att omfatta andra aspekter av ärendet. På samma sätt anges i skäl 136 i förordning 2016/679 att EDPB bör utfärda rättsligt bindande beslut i tydligt fastställda fall då tillsynsmyndigheter …, framför allt [inom ramen för] mekanismen för samarbete mellan den ansvariga tillsynsmyndigheten och berörda tillsynsmyndigheter[, har olika uppfattningar i sak i ärendet], i synnerhet om huruvida denna förordning har överträtts. I motsats till vad DPC har gjort gällande utgör frågan om avgränsningen av utredningens omfattning inte en handläggningsfråga, utan en fråga som hänför sig till ärendet i sak, eftersom den avgör omfattningen av vad som ska undersökas för att bedöma huruvida den aktuella personuppgiftsbehandlingen uppfyller kraven i förordning 2016/679.

39 I detta avseende kan det redan nu sägas att det saknas fog för ett annat påstående från DPC:s sida, nämligen att den ovan i punkt 35 angivna tolkningen av begreppet relevant och motiverad invändning skulle innebära att EDPB har möjlighet att rikta förelägganden till den ansvariga tillsynsmyndigheten i fråga om samtliga befogenheter som tillkommer denna myndighet under den enda förutsättningen att den fråga som väckts av en berörd tillsynsmyndighet anses utgöra en relevant och motiverad invändning enligt nämnda tolkning. Av artikel 4.24 i förordning 2016/679 framgår nämligen att en relevant och motiverad invändning mot ett utkast till beslut från den ansvariga tillsynsmyndigheten endast får avse en aspekt av frågan huruvida förordningen har iakttagits eller huruvida de korrigerande åtgärder som föreslås vidtas mot den personuppgiftsansvarige eller mot personuppgiftsbiträdet i sin tur är förenliga med förordningen. En relevant och motiverad invändning kan således endast avse ärendet i sak, vilket även omfattar frågan om den ansvariga tillsynsmyndighetens befogenheter vid antagandet av ett slutligt beslut, vilka bland annat regleras i artikel 58.2 i förordningen. Av detta följer att en sådan invändning inte kan avse genomförandet av själva tillsynen (i motsats till tillsynens omfattning), då detta grundar sig på tillsynsmyndigheternas utredningsbefogenheter enligt artikel 58.1 i förordning 2016/679.

40 En bokstavstolkning av artikel 65.1 a i förordning 2016/679 mot bakgrund av ordalydelsen i artiklarna 4.24 och 65.6 samt i skälen 126 och 136 i förordningen ger således vid handen att EDPB har befogenhet att anta beslutsföreskrifter av det slag som finns i de angripna besluten, i vilka DPC åläggs att genomföra en ny tillsyn avseende vissa aspekter av de aktuella klagomålsärendena och att på grundval av denna utredning anta nya utkast till beslut. Tribunalen övergår nu till att pröva vad DPC har anfört i fråga om en kontextuell och teleologisk tolkning av förordning 2016/679 och om detta kan föranleda en annan bedömning än den nyss angivna.

43 Det i artikel 60 i förordning 2016/679 beskrivna förfarandet för samarbete mellan tillsynsmyndigheter som berörs av ett ärende kan, såsom framgår av artikel 60.4, innefatta att ärendet överlämnas till EDPB för tvistlösning (enhetlighetsmekanismen). I motsats till vad DPC har gjort gällande är detta förfarande inte ett så kallat envägsförfarande, där de olika stegen i förfarandet alltid genomförs i den ordning som följer av de bestämmelser i vilka de föreskrivs och där det inte finns möjlighet att gå tillbaka till ett tidigare skede i förfarandet eller att tillfälligt stanna kvar i samma skede. Om man till exempel utgår från det av DPC framhållna fallet i artikel 60.5 i förordningen, det vill säga att den ansvariga tillsynsmyndigheten avser att själv följa de invändningar som övriga berörda tillsynsmyndigheter framställt mot den ansvariga tillsynsmyndighetens – med stöd av artikel 60.3 framlagda – utkast till beslut och att den lägger fram ett reviderat utkast till beslut för nämnda myndigheter, så kan förfarandet utvecklas på flera sätt. Om övriga berörda tillsynsmyndigheter inte har några invändningar mot det reviderade beslutsutkastet, ska det eller de slutliga besluten därefter antas direkt i enlighet med artikel 60.6–60.9 i förordningen. I det motsatta fallet, det vill säga att det finns invändningar mot det reviderade beslutsutkastet, gäller följande. Om den ansvariga tillsynsmyndigheten helt eller delvis godtar invändningarna, aktualiseras återigen det skede av förfarandet som avses i artikel 60.5, varvid den ansvariga tillsynsmyndigheten ska lägga fram ett nytt reviderat beslutsutkast som tar hänsyn till de invändningar som den godtagit. Om den ansvariga tillsynsmyndigheten vare sig helt eller delvis godtar invändningarna mot det reviderade beslutsutkastet, är den enligt artikel 60.4 skyldig att utlösa enhetlighetsmekanismen genom att överlämna ärendet till EDPB på grundval av det mest framgångsrika reviderade beslutsutkastet.

44 EDPB har i sitt svaromål lämnat ett annat exempel som visar att det ovan nämnda förfarandet för samarbete mellan tillsynsmyndigheter som berörs av ett ärende, enligt artikel 60 i förordning 2016/679, inte nödvändigtvis är ett så kallat envägsförfarande. Det rör sig närmare bestämt om följande scenario. Om övriga berörda tillsynsmyndigheter har framställt invändningar mot den ansvariga tillsynsmyndighetens – med stöd av artikel 60.3 framlagda – utkast till beslut, kan den ansvariga tillsynsmyndigheten komma att anse att det i stället för att omedelbart lägga fram ett reviderat utkast eller att utlösa enhetlighetsmekanismen är lämpligare att gå tillbaka och göra en fördjupad utredning innan den på nytt lägger fram ett beslutsutkast med stöd av artikel 60.3. EDPB har angett att den franska tillsynsmyndigheten agerade på detta sätt i ett tidigare ärende.

45 På samma sätt finns det flera tänkbara scenarier om ärendet överlämnas till EDPB för tvistlösning enligt artikel 60.4 och styrelsen antar ett bindande beslut. Om alla relevanta aspekter av ärendet är tillräckligt utredda i den ansvariga tillsynsmyndighetens utkast till beslut, får denna eller, i förekommande fall, den tillsynsmyndighet till vilken klagomålet har lämnats in, anta – i enlighet med artikel 60.6–60.9 i förordningen – ett eller flera slutliga beslut i ärendet, varvid EDPB:s bindande beslut särskilt ska beaktas. Om det däremot förhåller sig så att EDPB i sitt bindande beslut har funnit, till följd av de invändningar som framställts i detta avseende, att den ansvariga tillsynsmyndighetens beslutsutkast inte behandlar alla relevanta aspekter av det aktuella klagomålsärendet, eller i vart fall inte i tillräcklig utsträckning, och, i förekommande fall, att det är nödvändigt att inleda en ny tillsyn, gäller följande. Den ansvariga tillsynsmyndigheten, eller den tillsynsmyndighet till vilken klagomålet har lämnats in, har då möjlighet att anta – i enlighet med artikel 60.6–60.9 i förordningen – ett eller flera slutliga delbeslut, men den ansvariga tillsynsmyndigheten ska samtidigt komplettera sin granskning, efter att eventuellt ha genomfört en ny tillsyn, i syfte att lägga fram – i enlighet med 60.3 i förordningen – ett kompletterande beslutsutkast till de övriga berörda tillsynsmyndigheterna.

46 DPC har i sin argumentation i fråga om den kontextuella tolkningen av skäl 141 i förordning 2016/679 även hänvisat till artikel 57.1 f i förordningen, av vilken framgår att en tillsynsmyndighet är skyldig att behandla klagomål som ges in till den och att i den mån det är lämpligt undersöka den sakfråga som klagomålet gäller. DPC anser att en kontextuell tolkning av denna bestämmelse ger vid handen att omfattningen av en eventuell tillsyn med anledning av ett klagomål är en fråga som omfattas av de nationella tillsynsmyndigheternas bedömningsutrymme, med förbehåll endast för de nationella domstolarnas kontroll.

47 I skäl 141 i förordning 2016/679 anges bland annat följande:

48 Artikel 57.1 f i förordning 2016/679 och de uttalanden som DPC har åberopat kan dock inte anses innebära att frågan om tillsynens omfattning i ett visst ärende har varit lämplig faller utanför tillämpningsområdet för mekanismerna för samarbete mellan de berörda tillsynsmyndigheterna och för tvistlösning genom EDPB (enhetlighetsmekanismen).

49 I artikel 57 i förordning 2016/679, som avser tillsynsmyndigheternas samtliga uppgifter, föreskrivs nämligen i punkt 1 a att dessa myndigheters främsta uppgift är att övervaka tillämpningen av förordningen och se till att den efterlevs. I motsats till vad DPC i huvudsak anförde vid förhandlingen gäller således att bedömningen av omständigheterna kring behandlingen av personuppgifter i ett visst fall och av huruvida den är förenlig med förordningen inte ska begränsas till vad den som gett in det aktuella klagomålet har valt att lyfta fram.

50 Tribunalen vill här särskilt påpeka följande. För att tillsynsmyndigheterna ska klara av att fullt ut utföra sina uppgifter enligt artikel 57.1 a och f i förordning 2016/679, det vill säga att säkerställa att förordningen efterlevs och att behandla inkomna klagomål i den utsträckning som är lämplig, krävs att de på lämpligt sätt avgränsar omfattningen av granskningen av ett klagomålsärende mot bakgrund av uppgifterna i det aktuella klagomålet, men även mot bakgrund av andra omständigheter som kan komplettera dessa uppgifter. Nämnda granskning ska i fall där den aktuella personuppgiftsbehandlingen är gränsöverskridande leda fram till antagandet av beslut inom ramen för det samarbetsförfarande som föreskrivs i artikel 60 i förordningen. Vid tillämpningen av detta förfarande krävs som förutsättning för att en fråga ska kunna bli föremål för ett, med stöd av artikel 65.1 a i förordningen antaget, bindande beslut från EDPB att frågan har gett upphov till en relevant och motiverad invändning, i den mening som avses i artikel 4.24 i förordningen. En relevant och motiverad invändning avser per definition aspekter som det ankommer på en tillsynsmyndighet att undersöka inom ramen för de två uppgifter som nämns ovan. Det förhållandet att en relevant och motiverad invändning avser omfattningen av den ansvariga tillsynsmyndighetens granskning av ett klagomålsärende, eller omfattningen av en eventuell tillsyn som inletts med anledning därav, samt att EDPB vidtar åtgärder med anledning av denna invändning kan således inte på något sätt anses inkräkta på dessa uppgifter. Vad vidare gäller det förhållandet att preliminära beslut som tillsynsmyndigheterna fattar med anledning av ett klagomål kan komma att överklagas till nationella domstolar, ska det påpekas att detta inte hindrar att den ansvariga tillsynsmyndighetens utkast till beslut kan komma att bli föremål för en prövning av EDPB, inom de materiella gränser som gäller för den ovan nämnda enhetlighetsmekanismen.

51 Vad DPC har anfört i fråga om den kontextuella tolkningen av förordning 2016/679 ger således inte stöd för myndighetens påstående att EDPB saknar befogenhet att anta beslutsföreskrifter av det slag som finns i de angripna besluten.

52 Det framgår tvärtom klart av det allmänna sammanhang i vilket samarbetsskyldigheten mellan berörda tillsynsmyndigheter ingår i förordning 2016/679 att EDPB har en sådan befogenhet. I artikel 60.1 i förordningen föreskrivs nämligen bland annat att [d]en ansvariga tillsynsmyndigheten ska samarbeta med de andra berörda tillsynsmyndigheterna i enlighet med denna artikel i en strävan att uppnå samförstånd. I artikel 60.3 i förordningen anges att [d]en ansvariga tillsynsmyndigheten … utan dröjsmål [ska] meddela de andra berörda tillsynsmyndigheterna den relevanta informationen i ärendet och att den utan dröjsmål [ska] lägga fram ett utkast till beslut för de andra berörda tillsynsmyndigheterna så att de kan avge ett yttrande och ta vederbörlig hänsyn till deras synpunkter.

53 Av detta följer att samarbetet mellan de berörda tillsynsmyndigheterna bland annat avser granskningen av klagomålsärendet i dess helhet och utarbetandet av beslutet, och att den ansvariga tillsynsmyndigheten måste komma överens med de övriga berörda tillsynsmyndigheterna i denna fråga. Det finns inget i de ovannämnda bestämmelserna som ger stöd för att denna samarbetsskyldighet inte skulle omfatta frågan om omfattningen av den ansvariga tillsynsmyndighetens granskning av det aktuella klagomålsärendet eller omfattningen av en eventuell tillsyn som inletts med anledning därav. Domstolen har i sin dom av den 15 juni 2021, Facebook Ireland m.fl. ( C‑645/19, EU:C:2021:483, punkterna 63 och 64), framhållit det oumbärliga i att det förs en dialog mellan de berörda tillsynsmyndigheterna och att dessa samarbetar med varandra på ett lojalt och effektivt sätt.

54 Av det ovan i punkterna 41–53 anförda följer att prövningen av det sammanhang i vilket de aktuella bestämmelserna ingår i förordning 2016/679 bekräftar den tidigare gjorda bokstavstolkningen av nämnda bestämmelser.

55 Vad gäller den teleologiska tolkningen av förordningen har DPC inledningsvis anfört följande. Vid en teleologisk tolkning framstår det som oförenligt med den så kallade one-stop-shop-mekanismen, och de syften som unionslagstiftaren eftersträvat med denna vid antagandet av förordning 2016/679, att tillerkänna EDPB befogenhet att ålägga en ansvarig tillsynsmyndighet att utvidga tillsynen i det aktuella klagomålsärendet och att på grundval av denna nya utredning utarbeta ett kompletterande utkast till beslut. Syftet med inrättandet av denna mekanism med en enda kontaktpunkt, det vill säga att de registrerade får en enda tillsynsmyndighet som de kan vända sig till, är bland annat att undvika att de registrerade drabbas av onödiga kostnader och orimliga olägenheter, såsom framgår av skäl 129 i förordningen. Det skulle strida mot detta syfte att en ny tillsyn ska inledas vid minsta oenighet mellan tillsynsmyndigheter, eftersom den som ingett det aktuella klagomålet och det berörda företaget då blir tvungna att hantera konsekvenserna av att en ny tillsyn inleds, med de kostnader och olägenheter som detta medför, trots att detta skede av handläggningen av klagomålsärendet borde ha varit avslutat.

56 Tribunalen gör i denna del följande bedömning. Det saknas skäl att uttala sig om unionslagstiftarens avsikter, utan det räcker att konstatera att det mål som eftersträvas med den så kallade one-stop-shop-mekanismen, det vill säga att förenkla klagomålsförfarandet, inte kan anses ha företräde framför det huvudsakliga målet med förordning 2016/679, nämligen att säkerställa att fysiska personers grundläggande rätt till skydd för sina personuppgifter iakttas. I skäl 1 i förordningen anges därvid att det följer av artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och av artikel 16.1 FEUF att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. DPC kan inte anses ha något fog för sitt påstående att en utvidgning av tillsynen, som endast kan komma till stånd om detta begärts av minst hälften av tillsynsmyndigheterna vid EDPB, bidrar till att komplicera saken för den registrerade som ingett ett klagomål eller för den berörda personuppgiftsansvarige. Detta utgör nämligen en åtgärd som vidtas för att tillvarata den registrerades och den personuppgiftsansvariges respektive rättigheter. Härtill kommer att de av DPC anförda olägenheterna kan undvikas om den ansvariga tillsynsmyndighetens granskning och tillsyn redan från början omfattar alla de aspekter som krävs för att ett fullständigt slutligt beslut ska kunna fattas i det aktuella klagomålsärendet.

57 DPC kan inte heller anses ha något fog för sitt påstående att det förhållandet att en ny tillsyn genomförs medför att det tar längre tid att nå enighet i frågor som den ansvariga tillsynsmyndigheten redan har granskat och tagit ställning till.

58 I ett sådant fall gäller nämligen att den ansvariga tillsynsmyndigheten – i likhet för övrigt med vad DPC har gjort i det nu aktuella fallet – tvärtom ska anta ett slutligt beslut om de materiella frågor som den, till följd av ett bindande beslut från EDPB, har undersökt och tagit ställning till. Ett sådant beslut ska fattas inom den frist som föreskrivs i artikel 65.6 i förordning 2016/679. Detta utgör inte hinder för att den ansvariga tillsynsmyndigheten genomför en kompletterande tillsyn och granskar aspekter av det aktuella klagomålsärendet som ännu inte har undersökts.

59 DPC har vidare anfört att det inte är en förutsättning för att mekanismen för samarbete mellan tillsynsmyndigheterna ska fungera att EDPB deltar i bestämmandet av omfattningen av den granskning som ska göras i ett visst klagomålsärende, vilket utgör en procedur- eller handläggningsfråga.

60 I detta avseende påpekar tribunalen dock att denna samarbetsmekanism inte är avsedd för det fallet att det råder oenighet mellan de berörda tillsynsmyndigheterna. Detta fall regleras ju uttryckligen i artikel 60.4 i förordning 2016/679, och därav framgår att den ansvariga tillsynsmyndigheten då ska hänskjuta den fråga som det råder oenighet om till EDPB för tvistlösning enligt enhetlighetsmekanismen, varefter styrelsen ska anta ett bindande beslut.

61 DPC har slutligen anfört att det vid oenighet mellan de berörda tillsynsmyndigheterna får överlåtas åt nationella domstolar att pröva den aktuella frågan. DPC har påpekat att det följer av artikel 58.4 och skäl 141 i förordning 2016/679 att en tillsynsmyndighets utredning av ett klagomål ska kunna bli föremål för en effektiv domstolsprövning.

62 Tribunalen instämmer i att det i fall där EDPB inte kan lösa en tvist som avser omfattningen av den ansvariga tillsynsmyndighetens granskning av ett klagomålsärende skulle kunna bli aktuellt att överlämna frågan till nationell domstolsprövning. I förordning 2016/679 anges dock att frågor som tas upp i en relevant och motiverad invändning från en berörd tillsynsmyndighet, i den mening som avses i artikel 4.24 i förordningen, ska lösas mellan tillsynsmyndigheterna inom ramen för den ovan nämnda samarbetsmekanismen och, i förekommande fall, genom tvistlösning vid EDPB (enhetlighetsmekanismen). Såsom framgår av prövningen ovan kan en sådan relevant och motiverad invändning komma att framställas i fall där det råder oenighet i frågan om omfattningen av den ansvariga tillsynsmyndighetens granskning av ett klagomålsärende eller omfattningen av en eventuell tillsyn som inletts med anledning därav. Det förhållandet att det är möjligt att vända sig till en nationell domstol för att få till stånd en prövning av en fråga av nyss nämnt slag – vilket för övrigt inte är helt lätt för en klagande som är bosatt i en annan stat än den där den ansvariga tillsynsmyndigheten är belägen – kan således inte anses innebära att bestående meningsskiljaktigheter mellan de berörda tillsynsmyndigheterna i frågor som har varit föremål för relevanta och motiverade invändningar inte kan bli föremål för tvistlösning genom EDPB.

63 Av det ovan i punkterna 55–62 anförda följer att också prövningen av de mål som eftersträvas med förordning 2016/679 bekräftar den tidigare gjorda bokstavstolkningen.

65 DPC har inledningsvis i huvudsak anfört följande. De principer som reglerar tilldelning av befogenheter till ett unionsorgan utgör hinder för att tolka förordning 2016/679 på ovan angivet sätt, det vill säga att förordningen tilldelar EDPB en befogenhet av det nu omtvistade slaget.

66 Av artikel 5 FEU följer att unionen endast kan agera inom ramen för de befogenheter som den har tilldelats. Denna princip är tillämplig både på unionens institutioner och på unionens organ, såsom EDPB. För unionens organ gäller dessutom den så kallade Meroni-doktrinen som slogs fast i domen av den 13 juni 1958, Meroni/Höga myndigheten ( 9/56, EU:C:1958:7). Denna doktrin gäller för unionens organ, såsom domstolen slog fast i fråga om Europeiska värdepappers- och marknadsmyndigheten (Esma) i domen av den 22 januari 2014, Förenade kungariket/parlamentet och rådet ( C‑270/12, EU:C:2014:18, punkterna 53 och 54) (nedan kallad Esma-domen) Denna doktrin innebär att unionsorganens befogenheter måste vara tydligt avgränsade och att de kan bli föremål för laglighetsprövning med avseende på de mål som fastställts för det berörda organet. I punkt 45 i Esma-domen slog domstolen särskilt fast att den befogenhet för Esma som var föremål för prövning i det målet – vars lagenlighet domstolen slutligen bekräftade – reglerades av diverse kriterier och villkor som begränsade myndighetens handlingsutrymme. I domen av den 15 juli 2021, FBF ( C‑911/19, EU:C:2021:599, punkterna 67 och 75) (nedan kallad FBF-domen), som gällde Europeiska bankmyndigheten (EBA), slog domstolen fast att en befogenhet för ett unionsorgan måste vara uttryckligen föreskriven av unionslagstiftaren och att laglighetsprövningen av denna befogenhet ska vara strikt.

67 Tribunalen instämmer i att dessa i rättspraxis tillämpade principer gäller även för EDPB, som inrättats som ett unionsorgan genom artikel 68 i förordning 2016/679.

68 Det måste således först prövas huruvida den ovan angivna tolkningen ger grund för att anse att utövandet av EDPB:s befogenhet att ålägga en ansvarig tillsynsmyndighet att utvidga granskningen av ett klagomålsärende, eller att utvidga en eventuell tillsyn som inletts med anledning därav, regleras av diverse kriterier och villkor som begränsar [dess] handlingsutrymme, i likhet med vad domstolen konstaterade i Esma-domen i fråga om den i det målet omtvistade befogenheten för den myndigheten.

69 I detta avseende gör tribunalen följande bedömning. Av artikel 65.1 a jämförd med artikel 4.24 i förordning 2016/679 framgår att EDPB:s befogenhet att ålägga en ansvarig tillsynsmyndighet att utvidga granskningen av ett klagomålsärende, eller att utvidga en eventuell tillsyn som inletts med anledning därav, kan utövas först efter det att en berörd tillsynsmyndighet har framställt en relevant och motiverad invändning mot den ansvariga tillsynsmyndighetens utkast till beslut i det aktuella ärendet. Invändningen måste dessutom avse att den ansvariga tillsynsmyndigheten inte har undersökt en aspekt av frågan huruvida det föreligger en överträdelse av [förordning 2016/679] eller huruvida den planerade åtgärden i förhållande till den personuppgiftsansvarige eller personuppgiftsbiträdet är förenlig med denna förordning och det ska av denna tydligt [framgå] hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter samt i tillämpliga fall det fria flödet av personuppgifter inom unionen.

70 Härtill kommer att det av artikel 65.2 och 65.3 i förordning 2016/679 framgår att en förutsättning för utövandet av nämnda befogenhet är att en majoritet på två tredjedelar inom EDPB, eller åtminstone hälften av dess ledamöter under vissa omständigheter, däribland styrelsens ordförande, i huvudsak har godkänt den relevanta och motiverade invändningen och de åtgärder som den bör föranleda. Det krävs således att ett betydande antal tillsynsmyndigheter instämmer i bedömningen att en viktig aspekt av det aktuella ärendet inte har undersökts alls eller i otillräcklig utsträckning och att de är överens om vilka åtgärder som den ansvariga tillsynsmyndigheten ska vidta för att avhjälpa denna brist. Det ska i detta sammanhang beaktas att EDPB själv består av ett stort antal oberoende myndigheter som är specialiserade på området, och därmed att en samstämmig uppfattning bland en majoritet av dessa myndigheter inom EDPB ger garantier när det gäller utövandet av denna befogenhet. Vidare kan konstateras att det i föregående punkt berörda begreppet relevant och motiverad invändning visserligen lämnar ett visst utrymme för skönsmässig bedömning, i synnerhet för att avgöra frågan huruvida den personuppgiftsansvarige eller det personuppgiftsbiträde som berörs har åsidosatt förordning 2016/679 eller frågan huruvida en viss aspekt av det aktuella klagomålsärendet måste undersökas för att klargöra detta. Samtidigt ska dock påpekas att båda dessa frågor hänför sig till precisa rättsregler i förordningen, vilket innebär att EDPB inte kan anses ha ett stort utrymme för skönsmässig bedömning i detta avseende.

71 Vad gäller frågan om avgränsningen av den av DPC nu ifrågasatta befogenheten för EDPB kan således sammanfattningsvis följande konstateras. Denna befogenhet används endast i fall där det klart framgår att den ansvariga tillsynsmyndighetens granskning av ärendet är otillräcklig och detta kan få betydande konsekvenser, såsom framgår av definitionen av begreppet relevant och motiverad invändning i artikel 4.24 i förordning 2016/679. Vidare grundar sig denna befogenhet på en kollektiv bedömning som gjorts av de tillsynsmyndigheter som EDPB utgörs av, under i föregående punkt angivna förutsättningar.

72 Vad därefter gäller frågan huruvida den aktuella befogenheten är uttryckligen föreskriven av lagstiftaren, ska det påpekas att adverbet uttryckligen – liksom de synonyma adverben explicit och klart samt adjektiven uttrycklig, explicit och klar – innebär att det inte råder något tvivel om innebörden av det som uttrycks. Det följer dock av den ovan angivna bokstavliga, kontextuella och teleologiska tolkningen av förordning 2016/679 att det inte råder något tvivel om att EDPB har den omtvistade befogenheten och således inte heller om att denna befogenhet är uttryckligen föreskriven av lagstiftaren. Det kan noteras att det i FBF-domen, som rörde EBA, var fråga om huruvida denna myndighet hade befogenhet att anta riktlinjer om processer för produktgodkännande i fråga om bankprodukter för konsumenter. Ingen bestämmelse i det regelverk som var tillämpligt på myndigheten angav uttryckligen att den hade rätt att anta riktlinjer på detta område. Detta regelverk utgjordes av förordningen om inrättande av EBA – där det i allmänna ordalag föreskrevs att EBA hade befogenhet att anta riktlinjer för vissa ändamål – och av olika direktiv om finansinstitut och finansiella produkter. Det var genom en helhetsbedömning av detta regelverk som domstolen kom fram till att de i målet omtvistade riktlinjerna omfattades av EBA:s allmänna befogenhet att anta riktlinjer.

73 Det ska vidare konstateras att utövandet av EDPB:s befogenhet att ålägga en ansvarig tillsynsmyndighet att utvidga granskningen av ett klagomålsärende, eller att utvidga en eventuell tillsyn som inletts med anledning därav, kan bli föremål för en laglighetsprövning av unionsdomstolen. I förevarande fall har DPC visserligen valt att grunda sin talan om ogiltigförklaring av de aktuella beslutsföreskrifterna enbart på att EDPB saknade befogenhet att anta sådana föreskrifter och har således inte ifrågasatt den konkreta bedömning som EDPB gjort av vissa tillsynsmyndigheters invändningar mot DPC:s utkast till beslut, vilken låg till grund för antagandet av dessa föreskrifter. Det måste dock anses att det vid en eventuell laglighetsprövning skulle vara möjligt för unionsdomstolen att, inom ramen för de i ett sådant mål åberopade grunderna, göra en materiell laglighetsprövning av beslutsföreskrifter av nu aktuellt slag utifrån omständigheterna i det enskilda fallet. I synnerhet skulle unionsdomstolen i ett sådant mål först kunna pröva huruvida EDPB, genom att anta sådana föreskrifter, verkligen har följt en relevant och motiverad invändning från en tillsynsmyndighet, i den mening som avses i artikel 4.24 i förordning 2016/679. Därefter skulle den kunna göra en laglighetsprövning av själva innehållet i beslutsföreskrifter varigenom tillsynsmyndigheter åläggs att vidta vissa åtgärder.

74 En laglighetsprövning av nyss beskrivet slag är strikt, i den mening som avses i punkt 67 i FBF-domen. En domstol som gör en laglighetsprövning är nämligen rent allmänt bunden av det uppdrag som ålagts den och av de processuella regler som gäller för en sådan prövning. Dess prövning kommer således med nödvändighet att vara strikt om den fullt ut fullgör sitt uppdrag inom ramen för dessa regler. Vad gäller materiella frågor bestäms prövningens omfattning av vilket utrymme för skönsmässig bedömning som den som antagit den angripna rättsakten har, det vill säga om domstolen ska göra en normal prövning (vilken i princip omfattar rättsliga aspekter, fastställande av de faktiska omständigheterna och fall av lagstadgad befogenhet) eller en begränsad prövning (vilken i princip omfattar komplicerade tekniska aspekter eller fall där den berörda myndigheten har ett utrymme för skönsmässig bedömning och det därmed endast blir aktuellt att pröva huruvida myndigheten har gjort en uppenbart oriktig bedömning) (se, för ett liknande resonemang och analogt, vad gäller nationella domstolars prövning av nationella myndigheters beslut i fråga om skydd av personuppgifter, dom av den 7 december 2023, SCHUFA Holding (Skuldsanering), C‑26/22 och C‑64/22, EU:C:2023:958, punkterna 68 och 69).

75 Av det i punkterna 67–74 ovan anförda följer att förutsättningarna för tilldelning av befogenheter till ett unionsorgan inte utgör hinder för den tidigare gjorda bedömningen.

76 Tribunalen övergår därefter till att pröva vad DPC har anfört till stöd för att visa att nationella domstolar utgör lämpligt forum för att hantera tvister som har samband med klagomålsbaserade tillsynsärenden, det vill säga att det är nationella domstolar som är bäst lämpade att göra det.

77 Såsom anförts ovan i punkt 62 har unionslagstiftaren dock valt att införa en ordning som bygger på att bestående meningsskiljaktigheter mellan berörda tillsynsmyndigheter avseende omfattningen av granskningen av ett klagomålsärende, eller omfattningen av en eventuell tillsyn som inletts med anledning därav, ska lösas inom ramen för enhetlighetsmekanismen inom EDPB. Vad DPC anfört till stöd för att visa att nationella domstolar utgör lämpligt forum för att hantera tvister i samband med klagomålsbaserade tillsynsärenden är följaktligen verkningslöst.

78 Vad gäller ett visst klagomålsärende kan det bli så att både en nationell domstol och EDPB har att ta ställning till frågan om omfattningen av den ansvariga tillsynsmyndighetens granskning av ärendet, eller omfattningen av en eventuell tillsyn som inletts med anledning därav, och det finns därför skäl att göra följande påpekande. Vid tillämpningen av konkurrensreglerna i artiklarna 101 och 102 FEUF, där ansvaret för att genomföra en viss unionspolitik också ligger både på nationell nivå och unionsnivå, har domstolen i sin praxis utvecklat ett antal principer för samordning mellan nationella domstolar och det unionsorgan som har till uppgift att säkerställa en enhetlig tillämpning av den aktuella unionspolitiken, det vill säga kommissionen (dom av den 28 februari 1991, Delimitis, C‑234/89, EU:C:1991:91, och dom av den 14 december 2000, Masterfoods och HB, C‑344/98, EU:C:2000:689). Det kan visserligen inte uteslutas att en nationell domstol, med tillämpning av nämnda principer, anser att det är bäst att vilandeförklara det aktuella målet i avvaktan på ett beslut av det behöriga unionsorganet eller att den, när beslutet har antagits, kan anse sig vara bunden av det, såvida den inte finner skäl att tvivla på beslutets giltighet och därför begär ett förhandsavgörande av EU-domstolen avseende giltighetsfrågan. Fall av nu angivet slag faller dock naturligt in under nämnda ansvarsfördelning och kravet på att säkerställa en enhetlig tillämpning av den aktuella politiken i hela unionen.

79 Tribunalen vill även påpeka att ett bindande beslut av EDPB enligt artikel 65.1 a i förordning 2016/679 varigenom myndigheten åläggs att utvidga sin granskning och tillsyn i ett visst klagomålsärende inte – i motsats till vad DPC har gjort gällande i tredje hand – innebär ett ifrågasättande av myndighetens förmåga att prioritera mellan de olika uppgifter som den har att utföra i sin egenskap av oberoende tillsynsmyndighet. Detta är nämligen en typ av fråga som det uteslutande ankommer på nationella domstolar att pröva. Ett sådant bindande beslut innebär inte heller ett ifrågasättande i mer allmän bemärkelse av DPC:s oberoende ställning enligt artikel 39 FEU, artikel 16.2 FEUF och artikel 8.3 i stadgan.

80 En ansvarig tillsynsmyndighet kan visserligen behöva komplettera sin granskning och tillsyn i ett visst klagomålsärende, men oavsett om detta sker på eget initiativ, inom ramen för samarbetet mellan de berörda tillsynsmyndigheterna på grund av att detta begärts av övriga berörda tillsynsmyndigheter, eller till följd av ett sådant bindande beslut, så innebär detta inte att den ansvariga tillsynsmyndigheten är skyldig att avbryta handläggningen av alla andra ärenden för att kunna göra denna komplettering och prioritera denna uppgift framför sina övriga uppgifter. Den ansvariga tillsynsmyndigheten har i ett sådant fall till exempel möjlighet att meddela övriga berörda tillsynsmyndigheter att ett första utkast till beslut eller ett första beslut som den har antagit endast behandlar en del av de frågor det aktuella ärendet aktualiserar och att den kommer att fortsätta sin granskning och tillsyn vid ett senare tillfälle.

81 Det är endast under de förutsättningar som anges i artikel 66 i förordning 2016/679, det vill säga i fall där en annan berörd tillsynsmyndighet anser att det finns ett brådskande behov av att agera för att skydda registrerades fri- och rättigheter, som EDPB har möjlighet att genom ett brådskande bindande beslut ålägga den ansvariga tillsynsmyndigheten att utan dröjsmål omprioritera sin verksamhet för att hantera ett visst ärende. Unionslagstiftaren har således avsett att denna möjlighet endast ska gälla i undantagsfall. Vad gäller de nu aktuella bindande besluten 3/2022, 4/2022 och 5/2022 kan konstateras att de inte antogs med stöd av artikel 66 i förordning 2016/679 och att de därmed inte innebar att DPC ålades att prioritera på att ett visst sätt mellan sina olika uppgifter.

82 Vidare finner tribunalen att de av DPC åberopade primärrättsliga bestämmelserna inte innebär att ett absolut oberoende, helt utan kontroll, gäller för i medlemsstaterna särskilt utsedda myndigheter för tillsyn över tillämpningen av dataskyddsreglerna. Av de åberopade bestämmelserna framgår endast att uppgiften att kontrollera att dataskyddsreglerna efterlevs ska anförtros oberoende myndigheter. Detta utgör således inte på något sätt hinder för att ha en ordning som bygger på ömsesidig kontroll mellan oberoende myndigheter, i likhet med de mekanismer för samarbete och enhetlighet som föreskrivs i förordning 2016/679, och naturligtvis inte heller för att det sker en domstolsprövning av beslut som fattats av de olika berörda myndigheterna. Det viktiga är att de som ska utöva tillsyn över tillsynsmyndigheterna själva är oberoende. Detta är fallet med EDPB, som består av medlemsstaternas tillsynsmyndigheter och av Europeiska datatillsynsmannen (EDPS), som i sin tur har en oberoende ställning i förhållande till de unionsinstitutioner, unionsorgan och unionsbyråer som denna tillsynsmyndighet utövar tillsyn över.

84 Enligt artikel 134.1 i rättegångsreglerna ska tappande part förpliktas att ersätta rättegångskostnaderna, om detta har yrkats. EDPB har yrkat att DPC ska förpliktas att ersätta rättegångskostnaderna. Eftersom DPC har tappat målet, ska EDPB:s yrkande bifallas.

1 Rättegångsspråk: engelska.

2 Nedan återges endast de punkter i denna dom som tribunalen anser bör publiceras.