Soudní dvůr rozhodl, že WhatsApp může přímo napadnout rozhodnutí Evropského sboru pro ochranu osobních údajů

V rámci významného procesního vítězství pro společnost WhatsApp Ireland rozhodl Soudní dvůr Evropské unie („SDEU“), že závazná rozhodnutí přijatá Evropským sborem pro ochranu osobních údajů („EDPB“) lze přímo právně napadnout u soudů EU.

Rozsudek ve věci C-97/23 P (WhatsApp Ireland v. EDPB) ruší předchozí zamítnutí Tribunálem, což představuje zásadní vývoj v tom, jak jsou v rámci Evropské unie řešeny přeshraniční spory týkající se ochrany osobních údajů.

Spor o 225 milionů eur

Po nabytí účinnosti obecného nařízení o ochraně osobních údajů (GDPR) zahájila irská Komise pro ochranu údajů (Data Protection Commission – DPC) v prosinci 2018 vyšetřování, zda WhatsApp plní své povinnosti v oblasti transparentnosti.

V prosinci 2020 irský úřad DPC sdílel návrh rozhodnutí s ostatními vnitrostátními dozorovými úřady v celé EU. Když tyto úřady nedokázaly dospět ke konsensu, byl spor postoupen EDPB.

EDPB následně vydal Závazné rozhodnutí 1/2021, ve kterém konstatoval několik porušení nařízení GDPR a nařídil irskému DPC zvýšit sankce. To nakonec vedlo k tomu, že irský DPC vydal proti společnosti WhatsApp konečné rozhodnutí, které zahrnovalo masivní pokutu v celkové výši 225 milionů eur.

Právní bitva: Mezitimní akt vs. konečné rozhodnutí

Ve snaze dosáhnout zrušení závazného rozhodnutí EDPB podala společnost WhatsApp žalobu k Tribunálu (General Court).

V prosinci 2022 Tribunál případ zamítl jako nepřípustný. Jeho odůvodnění bylo dvojí:

1. Rozhodnutí EDPB bylo pouze „mezitímním aktem“.

2. Rozhodnutí se společnosti WhatsApp přímo nedotýkalo, což znamenalo, že by společnost měla místo toho napadnout až konečné rozhodnutí irského DPC u irského vnitrostátního soudu.

WhatsApp se proti tomuto usnesení Tribunálu odvolal k SDEU, což vedlo k tomuhle přelomovému rozhodnutí.

Proč SDEU rozhodl ve prospěch společnosti WhatsApp

SDEU s posouzením Tribunálu zásadně nesouhlasil a prohlásil žalobu společnosti WhatsApp za přípustnou. Soud nastínil několik klíčových důvodů pro tento zvrat:

• Jde o napadnutelný akt: Rozhodnutí EDPB vychází od orgánu EU a s konečnou platností stanoví postoj tohoto sboru. Protože vyčerpávajícím způsobem řeší předložené otázky a je závazné pro vnitrostátní dozorové úřady, nelze jej odmítnout jako pouhý „mezitímní akt“.
• Přímý dopad na WhatsApp: Rozhodnutí zásadně a zřetelně změnilo právní postavení společnosti WhatsApp.
• Žádný prostor pro uvážení vnitrostátních úřadů: Rozhodnutí EDPB bezpodmínečně zavázalo irský DPC a další orgány, aby konstatovaly konkrétní porušení GDPR a upravily svá nápravná opatření. Vnitrostátní orgány neměly pravomoc změnit výsledek, což z EDPB činí skutečného strůjce sankcí.

Co se stane dál?

Vzhledem k tomu, že Tribunál původně případ zamítl čistě z procesních důvodů (nepřípustnost), nikdy se vlastně nezabýval samotnými skutkovými okolnostmi případu.

SDEU proto usnesení Tribunálu zrušil a věc vrátil Tribunálu zpět. Soud nižšího stupně nyní musí rozhodnout o samotné podstatě případu – konkrétně o tom, zda byl závěr EDPB, že WhatsApp porušil příslušná ustanovení GDPR, správný.