EUB-ítélet: megtámadhatja a WhatsApp az EDPB döntését vagy sem?

Megosztás Tetszik

A WhatsApp Ireland kontra Európai Adatvédelmi Testület GDPR: a WhatsApp Ireland által az Európai Adatvédelmi Testület 1/2021. számú. kötelező erejű határozata ellen benyújtott kereset elfogadható, írja honlapján az Európai Unió Bírósága a C-97/23. P. számú ügyben hozott ítéletben.

A GDPR hatálybalépését követően az ír felügyeleti hatóság, azaz a Data Protection Commission panaszokat kapott a „WhatsApp” üzenetküldő szolgáltatás felhasználóitól és annak nem felhasználói érintettjeitől a személyes adatok WhatsApp általi kezelésével kapcsolatban. E felügyeleti hatóság 2018 decemberében hivatalból általános vizsgálatot indított azzal kapcsolatban, hogy a WhatsApp tiszteletben tartja-e a magánszemélyekkel szembeni átláthatósági és tájékoztatási kötelezettségeit.

2020 decemberében az ír felügyeleti hatóság véleményezés céljából átadta a döntés tervezetét az ügyben érintett valamennyi felügyeleti hatóságnak. Mivel nem alakult ki konszenzus e tervezet bizonyos pontjaival kapcsolatban, az EDPB-hez (European Data Protection Board) fordult, hogy az rendezze az érintett felügyeli hatóságok közötti vitát, és foglaljon állást a releváns és megalapozott kifogásokkal érintett kérdésekben.

Az EDPB az összes érintett felügyeleti hatóságra nézve kötelező erejű döntést hozott, nevezetesen az 1/2021. számú határozatot, amelyben többek között megállapította a GDPR egyes rendelkezéseinek megsértését, és kötelezte az ír adatvédelmi hatóságot a tervezett korrekciós intézkedések, többek között a bírságok összegének módosítására. Ezek alapján a fenti hatóság meghozta jogerős döntését, amelyet a WhatsAppnak címeztek, és amelyben többek között összesen 225 millió euró összegű bírságot szabtak ki rá.

A Whatsapp megsemmisítés iránti keresetet nyújtott be a Törvényszékhez az EDPB döntésével szemben. A Törvényszék 2022. december 7-én hozott végzésével azonban elfogadhatatlanként elutasította e keresetet, azzal az indokkal, hogy az EDPB döntése nem minősül megtámadható jogi aktusnak, és e határozat a WhatsAppot nem érinti közvetlenül. A Törvényszék szerint az EDPB döntése csupán egy közbenső intézkedés, és a WhatsApp csak az ír felügyeleti hatóság jogerős döntését támadhatja meg nemzeti bíróság előtt. A WhatsApp ezt követően fellebbezést nyújtott be az Európai Unió Bíróságához a Törvényszék végzése ellen.

Az Európai Unió Bírósága ítéletében kimondja, hogy az EDPB döntése az uniós bíróság előtt megtámadható aktusnak minősül. E döntés ugyanis az Unió egyik szerve által hozott, harmadik személyekkel, azaz a jelen ügyben az ír felügyleti hatósággal és a többi érintett felügyeleti hatósággal szemben kötelező erővel bíró jogi aktusnak minősül. Ezenkívül az említett döntés véglegesen meghatározza e szerv álláspontját, és az általa eldöntendő valamennyi kérdést lefedi. Következésképpen az ilyen döntés nem tekinthető keresettel meg nem támadható közbenső intézkedésnek.

Ezenkívül az Európai Unió Bírósága megállapítja, hogy e döntés a WhatsAppot közvetlenül érinti, mivel az jelentősen módosította e vállalkozás jogi helyzetét, anélkül hogy a címzettjeinek mérlegelési mozgásteret hagyott volna. E határozat ugyanis feltétel nélkül köti az érintett felügyeleti hatóságokat, különösen a GDPR bizonyos rendelkezései megsértésének megállapítását illetően, és e hatóságoknak nincs lehetőségük arra, hogy az értékelések eredményét módosítsák.

Az Európai Unió Bírósága ezért a WhatsApp keresetét elfogadhatónak nyilvánítja, és a Törvényszék végzését hatályon kívül helyezi. Az Európai Unió Bírósága visszautalja az ügyet a Törvényszék elé az ügy érdemben való eldöntése céljából, azt a kérdést is beleértve, hogy a Whatsapp megsértette-e a GDPR vonatkozó rendelkezéseit.