V rámci významného procesního vítězství pro společnost WhatsApp Ireland rozhodl Soudní dvůr Evropské unie („SDEU“), že závazná rozhodnutí přijatá Evropským sborem pro ochranu osobních údajů („EDPB“) lze přímo právně napadnout u soudů EU.
Rozsudek ve věci C-97/23 P (WhatsApp Ireland v. EDPB) ruší předchozí zamítnutí Tribunálem, což představuje zásadní vývoj v tom, jak jsou v rámci Evropské unie řešeny přeshraniční spory týkající se ochrany osobních údajů.
Spor o 225 milionů eur
Po nabytí účinnosti obecného nařízení o ochraně osobních údajů (GDPR) zahájila irská Komise pro ochranu údajů (Data Protection Commission – DPC) v prosinci 2018 vyšetřování, zda WhatsApp plní své povinnosti v oblasti transparentnosti.
V prosinci 2020 irský úřad DPC sdílel návrh rozhodnutí s ostatními vnitrostátními dozorovými úřady v celé EU. Když tyto úřady nedokázaly dospět ke konsensu, byl spor postoupen EDPB.
EDPB následně vydal Závazné rozhodnutí 1/2021, ve kterém konstatoval několik porušení nařízení GDPR a nařídil irskému DPC zvýšit sankce. To nakonec vedlo k tomu, že irský DPC vydal proti společnosti WhatsApp konečné rozhodnutí, které zahrnovalo masivní pokutu v celkové výši 225 milionů eur.
Právní bitva: Mezitimní akt vs. konečné rozhodnutí
Ve snaze dosáhnout zrušení závazného rozhodnutí EDPB podala společnost WhatsApp žalobu k Tribunálu (General Court).
V prosinci 2022 Tribunál případ zamítl jako nepřípustný. Jeho odůvodnění bylo dvojí:
Rozhodnutí EDPB bylo pouze „mezitímním aktem“.
Rozhodnutí se společnosti WhatsApp přímo nedotýkalo, což znamenalo, že by společnost měla místo toho napadnout až konečné rozhodnutí irského DPC u irského vnitrostátního soudu.
WhatsApp se proti tomuto usnesení Tribunálu odvolal k SDEU, což vedlo k tomuhle přelomovému rozhodnutí.
Proč SDEU rozhodl ve prospěch společnosti WhatsApp
SDEU s posouzením Tribunálu zásadně nesouhlasil a prohlásil žalobu společnosti WhatsApp za přípustnou. Soud nastínil několik klíčových důvodů pro tento zvrat:
Jde o napadnutelný akt: Rozhodnutí EDPB vychází od orgánu EU a s konečnou platností stanoví postoj tohoto sboru. Protože vyčerpávajícím způsobem řeší předložené otázky a je závazné pro vnitrostátní dozorové úřady, nelze jej odmítnout jako pouhý „mezitímní akt“.
Přímý dotek na WhatsApp: Rozhodnutí zásadně a zřetelně změnilo právní postavení společnosti WhatsApp.
Žádný prostor pro uvážení vnitrostátních úřadů: Rozhodnutí EDPB bezpodmínečně zavázalo irský DPC a další orgány, aby konstatovaly konkrétní porušení GDPR a upravily svá nápravná opatření. Vnitrostátní orgány neměly pravomoc změnit výsledek, což z EDPB činí skutečného strůjce sankcí.
Co se stane dál?
Vzhledem k tomu, že Tribunál původně případ zamítl čistě z procesních důvodů (nepřípustnost), nikdy se vlastně nezabýval samotnými skutkovými okolnostmi případu.
SDEU proto usnesení Tribunálu zrušil a věc vrátil Tribunálu zpět. Soud nižšího stupně nyní musí rozhodnout o samotné podstatě případu – konkrétně o tom, zda byl závěr EDPB, že WhatsApp porušil příslušná ustanovení GDPR, správný.
