1

Sagsøgeren, Lisa Ballmann, har med sit søgsmål anlagt i henhold til artikel 263 TEUF nedlagt påstand om annullation af afgørelsen truffet af Det Europæiske Databeskyttelsesråd (herefter »Databeskyttelsesrådet«), der er indeholdt i en e-mail af 7. februar 2023, om afslag på hendes begæring om aktindsigt – som er indgivet på grundlag af artikel 41, stk. 2, litra b), i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«) – i de forberedende akter til Databeskyttelsesrådets bindende afgørelse 3/2022 vedrørende tvisten, som er fremlagt af Data Protection Commission (databeskyttelsesmyndighed, Irland, herefter »den irske tilsynsmyndighed«), vedrørende intervenienten Meta Platforms Ireland Ltd (herefter »Meta«) og dennes Facebook-tjeneste (herefter »den anfægtede afgørelse«).

Tvistens baggrund og de faktiske omstændigheder efter sagens anlæggelse

2

Den 25. maj 2018 indgav sagsøgeren gennem den almennyttige sammenslutning NOYB – European Center for Digital Rights (herefter »NOYB«) en klage til Österreichische Datenschutzbehörde (den østrigske databeskyttelsesmyndighed) i medfør af artikel 77 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1) over Facebook Ireland Ltd (der i 2022 blev til Meta) vedrørende behandling af oplysninger, som er forbundet med anvendelsen af det sociale netværk Facebook. Klagen vedrørte mulige tilsidesættelser af flere bestemmelser i denne forordning og navnlig af forordningens artikel 6 og 9.

3

Den 30. maj 2018 videresendte den østrigske databeskyttelsesmyndighed klagen til den irske tilsynsmyndighed, idet den fandt, at henset til den grænseoverskridende karakter af behandlingen af oplysninger, som er forbundet med anvendelsen af det sociale netværk Facebook, og Metas etableringssted i Irland, var sidstnævnte myndighed den kompetente myndighed til at handle som »ledende tilsynsmyndighed« i overensstemmelse med artikel 56, stk. 1, i forordning 2016/679.

4

Den 6. oktober 2021 forelagde den irske tilsynsmyndighed – efter den undersøgelse, som denne myndighed havde foretaget – de øvrige berørte tilsynsmyndigheder, dvs. tilsynsmyndighederne i de øvrige medlemsstater og de øvrige stater, der er parter i aftalen om Det Europæiske Økonomiske Samarbejdsområde (EØS), et udkast til afgørelse i overensstemmelse med artikel 60, stk. 3, i forordning 2016/679. Flere af disse andre myndigheder fremsatte relevante og begrundede indsigelser som omhandlet i denne forordnings artikel 4, nr. 24), mod visse vurderinger i dette udkast til afgørelse.

5

Sagsøgeren modtog meddelelse om den irske tilsynsmyndigheds udkast til afgørelse, men blev efter en meningsudveksling mellem hende og denne myndighed vedrørende den fortrolige karakter af dette udkast til afgørelse og andre dokumenter, som blev udvekslet under proceduren, ikke yderligere involveret i proceduren. Sagsøgeren modtog navnlig ikke en kopi af de berørte myndigheders relevante og begrundede indsigelser, kunne, i modsætning til Meta, ikke fremsætte bemærkninger til disse indsigelser og fik ikke indsigt i Metas bemærkninger.

6

Den 25. juli 2022 henvendte den irske tilsynsmyndighed – efter at have haft drøftelser med de øvrige berørte tilsynsmyndigheder og besluttet ikke at følge visse relevante og begrundede indsigelser mod udkastet til afgørelse – sig til Databeskyttelsesrådet inden for rammerne af den sammenhængsmekanisme, der er indført ved forordning 2016/679, i overensstemmelse med forordningens artikel 60, stk. 4, med henblik på at dette råd tog stilling til disse indsigelser ved at vedtage en bindende afgørelse på grundlag af samme forordnings artikel 65, stk. 1, litra a).

7

Den 10. august 2022 skrev NOYB til Databeskyttelsesrådet for, ifølge NOYB, at undgå, at der inden for rammerne af proceduren for dette organ fortsat forelå en tilsidesættelse af sagsøgerens ret til at blive hørt og af ligebehandlingsprincippet, der er fastsat i henholdsvis chartrets artikel 41 og 20. NOYB opfordrede Databeskyttelsesrådet til at overholde disse bestemmelser ved at give sammenslutningen mulighed for at blive hørt efter at have givet den adgang til samtlige sagsakter.

8

Ved skrivelse af 21. november 2022 svarede Databeskyttelsesrådet NOYB, at det i overensstemmelse med chartrets artikel 41, stk. 2, litra a), og artikel 11 i sin forretningsorden havde ansvaret for at sikre, at enhver part, der kunne blive negativt berørt af en bindende afgørelse vedtaget på grundlag af artikel 65, stk. 1, litra a), i forordning 2016/679, blev hørt inden vedtagelsen af en sådan afgørelse. Databeskyttelsesrådet bemærkede, at dets afgørelser var rettet til den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder med udelukkelse af enhver anden part, og at det inden for rammerne af artikel 65, stk. 1, litra a), i forordning 2016/679 ikke var forpligtet til at foretage en fuldstændig undersøgelse af den ledende tilsynsmyndigheds udkast til afgørelse eller af denne myndigheds beslutningsproces. Databeskyttelsesrådet meddelte NOYB, at det efter en grundig analyse af tvistens rækkevidde havde konkluderet, at sagsøgeren ikke kunne blive negativt berørt af den bindende afgørelse, som det skulle træffe i den omhandlede procedure, og at sagsøgeren derfor ikke havde ret til at blive hørt for rådet.

9

Den 5. december 2022 vedtog Databeskyttelsesrådet bindende afgørelse 3/2022. I denne afgørelses punkt 19 har anførte Databeskyttelsesrådet, at det er af den opfattelse, at sagsøgeren ikke kan blive negativt berørt af den nævnte afgørelse, således at hun ikke opfylder betingelserne for at få ret til at blive hørt af rådet i henhold til chartrets artikel 41, den gældende retspraksis og artikel 11 i Databeskyttelsesrådets forretningsorden. Det præciseres i samme præmis, at dette ikke berører den ret til at blive hørt og de dermed forbundne rettigheder, som sagsøgeren måtte have over for de nationale tilsynsmyndigheder.

10

Den 31. december 2022 vedtog den irske tilsynsmyndighed en endelig afgørelse i henhold til artikel 60, stk. 7, i forordning 2016/679 med henblik på at gennemføre bindende afgørelse 3/2022.

11

Ved e-mail af 6. januar 2023 anmodede NOYB Databeskyttelsesrådet om at fremsende sammenslutningen bindende afgørelse 3/2022, den irske tilsynsmyndigheds endelige afgørelse og de berørte tilsynsmyndigheders relevante og begrundede indsigelser mod den irske tilsynsmyndigheds udkast til afgørelse, idet sammenslutningen henviste til chartrets artikel 41, artikel 60 og 65 i forordning 2016/679 og »retten til aktindsigt i dokumenter i henhold til EU-retten«.

12

Den 11. januar 2023 oplyste Databeskyttelsesrådet som svar på denne e-mail NOYB om, at rådet ville fremsende NOYB internetlinks til teksten til de ønskede afgørelser, så snart de var blevet offentliggjort, og at sammenslutningens anmodning om aktindsigt i de relevante og begrundede indsigelser ville blive behandlet som en anmodning om aktindsigt i henhold til Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (EFT 2001, L 145, s. 43). Samme dag meddelte NOYB Databeskyttelsesrådet, at sammenslutningen havde modtaget den irske tilsynsmyndigheds endelige afgørelse. Den 12. januar 2023 fremsendte Databeskyttelsesrådet NOYB internetlinket til teksten i bindende afgørelse 3/2022.

13

Ved e-mail af 25. januar 2023 indgav NOYB en ny anmodning til Databeskyttelsesrådet om aktindsigt i rådets fuldstændige sagsakter, idet sammenslutningen primært påberåbte sig sagsøgerens rettigheder i henhold til chartrets artikel 41 »som part« og »ethvert andet retsgrundlag«, såsom chartrets artikel 42, artikel 15 TEUF eller forordning nr. 1049/2001.

14

Den 26. januar og den 2. februar 2023 gav Databeskyttelsesrådet under henvisning til e-mailen af 6. januar 2023 fra NOYB på grundlag af forordning nr. 1049/2001 denne sammenslutning fuld aktindsigt i visse af de ønskede relevante og begrundede indsigelser og delvis aktindsigt i andre af disse indsigelser.

15

Den 31. januar 2023 fremhævede NOYB som svar på en anmodning om uddybende oplysninger fra Databeskyttelsesrådet, at sammenslutningens anmodning om aktindsigt primært var baseret på chartrets artikel 41, »men også på ethvert andet retsgrundlag« og ikke var begrænset til de relevante og begrundede indsigelser.

16

I den anfægtede afgørelse opfordrede Databeskyttelsesrådet dels NOYB til med hensyn til anmodningen om aktindsigt i henhold til forordning nr. 1049/2001 at præcisere rækkevidden af denne anmodning i overensstemmelse med denne forordnings artikel 6, stk. 2, og til at acceptere en rimelig løsning i henhold til samme artikels stk. 3. Dels tilkendegav dette råd, at det samtidig havde foretaget en grundig vurdering af anmodningen om aktindsigt i henhold til chartrets artikel 41, stk. 2, litra b), og at det var af den opfattelse, at sagsøgeren som klager ikke havde ret til aktindsigt på dette grundlag. Hvad angår sidstnævnte aspekt henviste Databeskyttelsesrådet bl.a. til punkt 19 i bindende afgørelse 3/2022 (jf. præmis 9 ovenfor) og sagsøgerens skrivelse af 21. november 2022 (jf. præmis 8 ovenfor), idet rådet gentog, at sagsøgeren ikke kunne blive negativt berørt af denne bindende afgørelse.

17

Sagsøgeren har ved stævning indleveret til Rettens Justitskontor den 7. april 2023 anlagt denne sag.

18

Ved afgørelse af 12. april 2023 har Databeskyttelsesrådet på grundlag af forordning nr. 1049/2001 NOYB givet fuld aktindsigt i visse af de dokumenter, som sammenslutningen havde anmodet om i sin e-mail af 25. januar 2023, og delvis aktindsigt i andre af disse dokumenter.

Påstande

19

Sagsøgeren har nedlagt følgende påstande:

–

Den anfægtede afgørelse annulleres, for så vidt som Databeskyttelsesrådet heri har givet afslag på sagsøgerens anmodning om aktindsigt, som er fremsat i henhold til chartrets artikel 41, stk. 2, litra b).

–

Databeskyttelsesrådet tilpligtes at betale sagsomkostningerne.

–

Meta tilpligtes at bære sine egne sagsomkostninger.

20

Databeskyttelsesrådet har nedlagt følgende påstande:

–

Sagen afvises.

–

Subsidiært frifindelse, idet sagen er grundløs.

–

Sagsøgeren tilpligtes at betale sagsomkostningerne, og subsidiært tilpligtes Meta at bære sine egne sagsomkostninger.

21

Meta har nedlagt følgende påstande:

–

Sagen afvises.

–

Subsidiært frifindes Databeskyttelsesrådet, idet sagen er grundløs.

–

Sagsøgeren tilpligtes at betale sagsomkostningerne, herunder Metas sagsomkostninger.

Retlige bemærkninger

Formaliteten

22

Databeskyttelsesrådet har gjort gældende, at sagen ikke kan antages til realitetsbehandling med den begrundelse, at den anfægtede afgørelse ikke ændrer sagsøgerens retsstilling. Den udgør blot en foreløbig retsakt i forhold til sagsøgeren, da formålet med akten var at indhente yderligere præciseringer fra sagsøgeren om genstanden for dennes anmodning om aktindsigt i overensstemmelse med artikel 6, stk. 2, i forordning nr. 1049/2001 og at nå frem til en rimelig løsning med sagsøgeren i henhold til denne artikels stk. 3, henset til det store antal berørte dokumenter, hvilket sagsøgeren i øvrigt har accepteret. Den anfægtede afgørelse indeholder således ikke Databeskyttelsesrådets endelige materielle stillingtagen til anmodningen om aktindsigt og omhandler navnlig ikke et afslag på denne anmodning.

23

Databeskyttelsesrådet har i denne forbindelse præciseret, at rådet således har behandlet sagsøgerens anmodning om aktindsigt på grundlag af et af de forskellige retsgrundlag, som NOYB har anført i sin e-mail af 25. januar 2023, i det foreliggende tilfælde forordning nr. 1049/2001, og at dette har foranlediget rådet til at fremsende adskillige dokumenter til NOYB såvel før som efter den anfægtede afgørelse. Rådet har anført, at denne anmodning alene havde til formål at få udleveret visse dokumenter, uafhængigt af det påberåbte retsgrundlag. Sagsøgeren har således indgivet en anmodning, der er støttet på flere retsgrundlag, snarere end flere anmodninger, der hver især er baseret på forskellige retsgrundlag. Databeskyttelsesrådet har med henvisning til sin afgørelse af 12. april 2023 (jf. præmis 18 ovenfor) anført, at sagsøgeren på grundlag af forordning nr. 1049/2001 i sidste ende fik aktindsigt i de samme dokumenter, som hvis hendes anmodning var blevet undersøgt i henhold til chartrets artikel 41, stk. 2, litra b).

24

Meta har gjort gældende, at sagen skal afvises med den begrundelse, at den anfægtede afgørelse, for så vidt som den vedrører chartrets artikel 41, stk. 2, litra b), blot er en akt, der udelukkende bekræfter svaret fra Databeskyttelsesrådet i dettes skrivelse af 21. november 2022 til NOYB (jf. præmis 8 ovenfor), som i sig selv kun er en foreløbig retsakt i den procedure, der førte til vedtagelsen af bindende afgørelse 3/2022. Ved denne skrivelse gav Databeskyttelsesrådet afslag på den anmodning om aktindsigt, som sagsøgeren havde fremsat den 10. august 2022 (jf. præmis 7 ovenfor). Dette afslag kunne først anfægtes i forbindelse med et søgsmål til prøvelse af bindende afgørelse 3/2022, der afsluttede proceduren.

25

Sagsøgeren har gjort gældende, at hendes søgsmål kan antages til realitetsbehandling.

26

Det følger af fast retspraksis, at annullationssøgsmålet i artikel 263 TEUF kan anvendes på alle retsakter, som Den Europæiske Unions institutioner, organer, kontorer eller agenturer vedtager, uanset deres karakter eller form, som har retligt bindende virkninger, der kan berøre sagsøgerens interesser gennem en væsentlig ændring af den pågældendes retsstilling (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen, 60/81, EU:C:1981:264, præmis 9, og af 18.11.2010, NDSHT mod Kommissionen, C-322/09 P, EU:C:2010:701, præmis 45 og den deri nævnte retspraksis).

27

Ved afgørelsen af, om en retsakt har bindende retsvirkninger, skal vægten lægges på denne retsakts indhold, og de nævnte virkninger skal vurderes ud fra objektive kriterier, såsom denne samme retsakts indhold, i givet fald under hensyn til sammenhængen for dens vedtagelse samt til den udstedende institutions beføjelser (jf. dom af 20.2.2018, Belgien mod Kommissionen, C-16/16, EU:C:2018:79, præmis 32 og den deri nævnte retspraksis).

28

Sådanne anfægtelige retsakter er herved principielt foranstaltninger, som endeligt fastlægger Unionens institutioners, organers, kontorers og agenturers standpunkt ved afslutningen af en administrativ procedure, og som tilsigter at skabe bindende retsvirkninger, som kan berøre sagsøgerens interesser, i modsætning til bl.a. foreløbige foranstaltninger, der har til formål at forberede den endelige afgørelse, og som ikke skaber sådanne virkninger, og retsakter, der blot bekræfter en tidligere retsakt, som ikke er blevet anfægtet inden for den foreskrevne frist (jf. dom af 25.6.2020, CSUE mod KF, C-14/19, EU:C:2020:492, præmis 70 og den deri nævnte retspraksis).

29

Hvad i første række angår Databeskyttelsesrådets formalitetsindsigelse hviler denne på den forudsætning, at rådet i den anfægtede afgørelse ikke tog stilling til anmodningen om aktindsigt på grundlag af chartrets artikel 41, stk. 2, litra b), idet den valgte udelukkende at behandle anmodningen om aktindsigt i forhold til forordning nr. 1049/2001, hvilket retsgrundlag ligeledes blev påberåbt i NOYB’s e-mail af 25. januar 2023 (jf. præmis 13 ovenfor), som førte til det samme resultat, som hvis den havde anvendt den førstnævnte bestemmelse. Denne forudsætning er imidlertid forkert.

30

Den anfægtede afgørelse udgør et svar fra Databeskyttelsesrådet på den anmodning om aktindsigt, der er indeholdt i NOYB’s e-mail af 25. januar 2023. I denne e-mail baserede sagsøgeren principalt denne anmodning på chartrets artikel 41 og yderligere »på ethvert andet retsgrundlag«, dvs. i det væsentlige forordning nr. 1049/2001.

31

Det fremgår af den anfægtede afgørelse, at Databeskyttelsesrådet i denne afgørelse tog stilling til såvel anmodningen om aktindsigt på grundlag af chartrets artikel 41, idet rådet med rette forstod, at det mere specifikt drejede sig om denne artikels stk. 2, litra b), end den anmodning, der var støttet på forordning nr. 1049/2001. Hvad angår den anmodning om aktindsigt, der var baseret på denne forordning, opfordrede rådet således sagsøgeren til at præcisere rækkevidden heraf og til at acceptere en rimelig løsning. For så vidt udgør den anfægtede afgørelse, således som Databeskyttelsesrådet har gjort gældende, blot en foreløbig foranstaltning, hvis formål er at forberede den endelige afgørelse – der i den foreliggende sag blev truffet den 12. april 2023 (jf. præmis 18 ovenfor) – og ikke har nogen bindende retsvirkning, der kan berøre sagsøgerens interesser. Denne del af den anfægtede afgørelse er imidlertid ikke genstand for den foreliggende sag.

32

Hvad angår anmodningen om aktindsigt i henhold til chartrets artikel 41, stk. 2, litra b), anførte Databeskyttelsesrådet, at det havde foretaget en »grundig« vurdering, inden det konkluderede, at sagsøgeren, eftersom hun ikke kunne blive negativt berørt af bindende afgørelse 3/2022, ikke havde en sådan ret til aktindsigt. Det må således konstateres, at den anfægtede afgørelse indeholder et afslag på den aktindsigt, som sagsøgeren har anmodet om på grundlag af chartrets artikel 41, stk. 2, litra b). Eftersom anmodningen om aktindsigt blev fremsat, og den anfægtede afgørelse dermed blev vedtaget, på et tidspunkt, hvor både bindende afgørelse 3/2022 og den irske tilsynsmyndigheds endelige afgørelse allerede var blevet vedtaget, skal det desuden fastslås, at den anfægtede afgørelse endeligt fastlægger Databeskyttelsesrådets stillingtagen til denne anmodning om aktindsigt, for så vidt som den er baseret på chartrets artikel 41, stk. 2, litra b), og umiddelbart og uigenkaldeligt påvirker sagsøgerens retsstilling for så vidt angår dennes eventuelle ret til aktindsigt i Databeskyttelsesrådets sagsakter.

33

Den omstændighed, at Databeskyttelsesrådet parallelt har behandlet anmodningen om aktindsigt på grundlag af forordning nr. 1049/2001, rejser ikke tvivl om ovenstående konklusioner. Den ret til aktindsigt, der er fastsat i chartrets artikel 41, stk. 2, litra b), og den ret til aktindsigt i institutionernes dokumenter, der er fastsat i forordning nr. 1049/2001, henhører nemlig under to forskellige retlige ordninger.

34

Først og fremmest omfatter disse to rettigheder således ikke de samme modtagere: Mens enhver unionsborger og enhver fysisk eller juridisk person, der har bopæl eller hjemsted i en medlemsstat, har ret til indsigt i dokumenter, tilkommer retten til aktindsigt den person, som de pågældende sagsakter »vedrører«, dvs. indehaveren af retten selv.

35

Dernæst vedrører disse to rettigheder ikke nødvendigvis de samme dokumenter: Den ret til aktindsigt, der er fastsat i chartrets artikel 41, stk. 2, litra b), finder anvendelse på sagsakterne vedrørende den person, der er berørt heraf, mens den ret til aktindsigt, der er fastsat i forordning nr. 1049/2001, finder anvendelse på ethvert dokument fra en institution, uanset om der foreligger sagsakter vedrørende en berørt person.

36

Mens forordning nr. 1049/2001 i artikel 7 og 8 fastsætter en administrativ procedure i to faser, der går forud for et eventuelt søgsmål ved Unionens retsinstanser, findes der i øvrigt ikke et sådant krav for en anmodning om aktindsigt i henhold til chartrets artikel 41, stk. 2, litra b).

37

Endelig er retten til aktindsigt i dokumenter underlagt visse begrænsninger af hensyn til offentlige eller private interesser. Forordning nr. 1049/2001 fastsætter mere specifikt i artikel 4 en undtagelsesordning, der giver institutionerne mulighed for at afslå at give aktindsigt i et dokument, hvis dets udbredelse ville være til skade for en af de interesser, der er beskyttet ved denne artikel. Retten til aktindsigt kan for sin del kun begrænses »under iagttagelse af legitime fortrolighedshensyn samt tavshedspligt og sagernes fortrolighed«. Det skal tilføjes, at denne sidstnævnte forskel mellem de to ordninger har til følge, at det ikke er sikret, at en anmodning om aktindsigt baseret på forordning nr. 1049/2001 under alle omstændigheder fører til det samme resultat for så vidt angår de fremsendte dokumenter, som hvis den var blevet fremsat på grundlag af chartrets artikel 41, stk. 2, litra b). Det skal i denne henseende bemærkes, at Databeskyttelsesrådet i retsmødet som svar på et spørgsmål fra Retten, og i modsætning til hvad rådet har gjort gældende i sine skriftlige indlæg, har medgivet, at sagsøgeren i det foreliggende tilfælde ville have haft en mere omfattende adgang til indsigt i dokumenter i henhold til sidstnævnte bestemmelse end den, som hun blev indrømmet i henhold til forordning nr. 1049/2001.

38

Det følger heraf, at Databeskyttelsesrådets formalitetsindsigelse skal forkastes.

39

Hvad i anden række angår argumentet om den anfægtede afgørelses rent bekræftende karakter er det tilstrækkeligt at bemærke, at dette argument følger af en fejlagtig fortolkning af Databeskyttelsesrådets skrivelse af 21. november 2022. Databeskyttelsesrådet besvarede ved denne skrivelse, der blev sendt på et tidspunkt, hvor proceduren i artikel 65, stk. 1, litra a), i forordning 2016/679 var i gang, NOYB’s skrivelse af 10. august 2022 (jf. præmis 7 ovenfor), hvorved NOYB opfordrede Databeskyttelsesrådet til at give sammenslutningen mulighed for at udøve sin ret til at blive hørt efter at have givet den adgang til samtlige sagsakter. Databeskyttelsesrådet tog i sit svar udelukkende stilling til sagsøgerens ret til at blive hørt forud for vedtagelsen af den bindende afgørelse, idet rådet afslog at give hende en sådan ret og i denne henseende kun nævnte chartrets artikel 41, stk. 2, litra a), og artikel 11 i sin forretningsorden, som bl.a. fastsætter, at rådet, inden det træffer en sådan afgørelse, skal sikre, »at alle personer, der kan blive negativt berørt, er blevet hørt«. Databeskyttelsesrådet tog i sin skrivelse af 21. november 2022 ikke stilling til muligheden for aktindsigt i henhold til chartrets artikel 41, stk. 2, litra b). Det følger heraf, at den anfægtede afgørelse ikke kan anses for blot at bekræfte denne skrivelse.

40

Dette gælder så meget desto mere, som den nævnte afgørelse, således som det er fastslået i præmis 30 ovenfor, i realiteten udgør et svar fra Databeskyttelsesrådet på den anmodning om aktindsigt, der er indeholdt i NOYB’s e-mail af 25. januar 2023. Som Databeskyttelsesrådet bekræftede i retsmødet, behandlede rådet anmodningen om aktindsigt af 25. januar 2023 som en ny anmodning i forhold til den anmodning, som NOYB fremsatte den 10. august 2022. Denne anmodning blev nemlig fremsat efter vedtagelsen af såvel bindende afgørelse 3/2022 som den irske tilsynsmyndigheds endelige afgørelse om at gennemføre denne bindende afgørelse. Den vedrørte således et mere fuldstændigt dossier end det oprindeligt omhandlede. Et administrativt dossier, der i sagens natur er dynamisk, kan ændre sig over tid på grundlag af de akter eller dokumenter, der indgår heri.

41

Søgsmålet skal derfor antages til realitetsbehandling.

Realiteten

42

Sagsøgeren har til støtte for søgsmålet fremsat et enkelt anbringende om tilsidesættelse af chartrets artikel 41, stk. 2, litra b), som er opdelt i fire led. Sagsøgeren har med det første led gjort gældende, at aktindsigt i henhold til denne bestemmelse ikke er underlagt en betingelse om, at den, der anmoder om aktindsigt, påvirkes negativt af en foranstaltning, der er vedtaget på grundlag af disse akter, idet det eneste kriterium, der finder anvendelse, er, at akterne vedrører denne ansøger. Sagsøgeren har med det andet led gjort gældende, at hun er berørt af Databeskyttelsesrådets akter, som hun har begæret aktindsigt i. Sagsøgeren har med det tredje led anført, at retten til aktindsigt i henhold til den nævnte bestemmelse er uafhængig af retten til at blive hørt, der er fastsat i chartrets artikel 41, stk. 2, litra a). Sagsøgeren har med det fjerde led, der er fremsat subsidiært, gjort gældende, at hun under alle omstændigheder berøres negativt af bindende afgørelse 3/2022.

43

Det første, det andet og det tredje led vil blive behandlet samlet, eftersom de er baseret på argumenter, der supplerer hinanden.

44

Sagsøgeren har med det første led anført, at Databeskyttelsesrådets afslag på aktindsigt er baseret på den konstatering, at hun ikke kan blive negativt berørt af bindende afgørelse 3/2022. Chartrets artikel 41, stk. 2, litra b), fastsætter imidlertid til forskel fra chartrets artikel 41, stk. 2, litra a), ikke et sådant krav, men underlægger retten til aktindsigt i sagsakterne den ene betingelse, at disse akter »vedrører« den, der har anmodet om aktindsigt.

45

Sagsøgeren har med det andet led gjort gældende, at det er ubestrideligt, at de af Databeskyttelsesrådets akter, som hun anmodede om aktindsigt i, »vedrører« hende som omhandlet i chartrets artikel 41, stk. 2, litra b), eftersom bindende afgørelse 3/2022 vedrører en sag, der blev indledt som følge af den klage, som hun indgav over Meta i henhold til artikel 77 i forordning 2016/679, således som det fremgår af denne afgørelses punkt 3. I den nævnte afgørelse blev der mere end 160 gange henvist til klagen og dennes ophavsmand.

46

Sagsøgeren har med det tredje led gjort gældende, at retten til aktindsigt i henhold til chartrets artikel 41, stk. 2, litra b), er en selvstændig ret i forhold til retten til at blive hørt som omhandlet i chartrets artikel 41, stk. 2, litra a), og at den har en længere rækkevidde end sidstnævnte ret. Retten til at blive hørt henhører primært under retten til forsvar, mens retten til aktindsigt er en del af princippet om ligestilling af parterne og retten til effektive retsmidler. Domstolen opfatter de to rettigheder som særskilte og betinger ikke retten til aktindsigt af retten til at blive hørt i forbindelse med proceduren.

47

Sagsøgeren har i replikken uddybet argumentationen vedrørende den angivelige selvstændige karakter af retten til aktindsigt. Hun har i denne sammenhæng anført, at enhver begrænsning i udøvelsen af de rettigheder og friheder, der anerkendes ved chartret, i overensstemmelse med chartrets artikel 52, stk. 1, skal være fastlagt i lovgivningen, og hun har påberåbt sig flere argumenter vedrørende en ordlydsfortolkning, en formålsfortolkning og en systematisk fortolkning af navnlig chartrets artikel 41, stk. 2, litra b). Sagsøgeren har hvad angår sidstnævnte aspekt bl.a. gjort gældende, at hendes klage er blevet »behandlet« som omhandlet i chartrets artikel 41, stk. 1, inden for rammerne af den omhandlede procedure, at ligesom retten for enhver til adgang til indsamlede oplysninger, der vedrører den pågældende, som er fastsat i chartrets artikel 8, stk. 2, skal en persons ret til aktindsigt i de akter, der vedrører vedkommende, kunne udøves uafhængigt af udøvelsen af en anden rettighed eller af den omstændighed, at den pågældende er blevet negativt berørt, og at den pågældendes brug af de akter, der vedrører vedkommende, er uden betydning.

48

I svarskriftet har Databeskyttelsesrådet samlet besvaret det eneste anbringendes tre første led, idet rådet i det væsentlige har gjort gældende, at chartrets artikel 41, stk. 2, litra b), kun finder anvendelse i situationer, hvor den person, der anmoder om aktindsigt, kan blive negativt berørt af den afgørelse, som akterne vedrører.

49

I denne henseende har Databeskyttelsesrådet i første række gjort gældende, at det følger af ordlyden af chartrets artikel 41, stk. 2, at retten til aktindsigt er en »underbestanddel« af retten til god forvaltning, og at denne sidstnævnte ret, hvis generelle rækkevidde er defineret i denne artikels stk. 1, ikke udgør en selvstændig ret. Retten til aktindsigt har således en »individuel dimension«, idet dens anvendelsesområde er begrænset til de personer, hvis »sager« behandles af Unionens institutioner, organer, kontorer og agenturer.

50

Databeskyttelsesrådet har i anden række gjort gældende, at den ikke-selvstændige karakter af retten til god forvaltning, hvoraf retten til aktindsigt er en underbestanddel, indebærer, at en person kun har ret til aktindsigt, hvis resultatet af proceduren uden denne aktindsigt kunne være anderledes og således konkret påvirke vedkommendes ret til forsvar. Retten til aktindsigt er nemlig ligesom retten til at blive hørt en del af retten til forsvar. Personer, der ikke kan påberåbe sig en reel ret til forsvar, dvs. personer, der ikke er genstand for procedurer, der er indledt mod dem, og som kan føre til en retsakt, som berører dem negativt, har således ikke ret til aktindsigt i henhold til chartrets artikel 41, stk. 2, litra b).

51

Databeskyttelsesrådet har i duplikken ligeledes bestridt de argumenter, som sagsøgeren har udledt af en ordlydsfortolkning, en formålsfortolkning og en systematisk fortolkning af chartrets artikel 41, stk. 2, litra b). For det første er Databeskyttelsesrådet af den opfattelse, at sagsøgerens henvisning til forordning 2016/679 til støtte for en ordlydsfortolkning af chartret er ukorrekt ud fra et metodologisk synspunkt og tilsidesætter hierarkiet mellem en afledt EU-retsakt og den primære EU-ret. Under alle omstændigheder henviser chartrets artikel 41 til behandlingen af en persons »sag« eller »akter«, mens forordning 2016/679 henviser til behandlingen af klager, hvilket er en anden operation, ud over den omstændighed, at det ikke kan lægges til grund, at Databeskyttelsesrådet i det foreliggende tilfælde har behandlet sagsøgerens sag eller akter. For det andet har Databeskyttelsesrådet gjort gældende, at retten til aktindsigt i akterne i henhold til chartrets artikel 41, stk. 2, litra b), ikke er ubetinget, og rådet har bestridt, at analogien med en persons ret til indsigt i sine egne indsamlede personoplysninger er relevant. Databeskyttelsesrådet har fremhævet, at retten til aktindsigt har til formål at overholde retten til forsvar og princippet om ligestilling af parterne, idet den gør det muligt for personer, der er genstand for foranstaltninger, som kan berøre dem negativt, at undersøge de dokumenter, der er relevante for deres forsvar, og derfor ikke kan forstås isoleret. I det foreliggende tilfælde har sagsøgeren ikke godtgjort, at Databeskyttelsesrådets afslag på aktindsigt tilsidesatte hendes ret til forsvar. Da bindende afgørelse 3/2022 ikke er rettet til og ikke berører sagsøgeren, kan dette afslag ikke berøre hende negativt. Sagsøgeren råder over nationale retsmidler til at anfægte de endelige afgørelser fra de kompetente tilsynsmyndigheder, som sagsøgeren ikke er tilfreds med, og når en sådan afgørelse gennemfører en bindende afgørelse vedtaget af Databeskyttelsesrådet, og denne afgørelses gyldighed anfægtes, skal den nationale ret i henhold til artikel 267 TEUF forelægge Domstolen et præjudicielt spørgsmål om gyldigheden.

52

Meta har i første række gjort gældende, at forordning 2016/679 inden for rammerne af den procedure, der er fastsat i forordningens artikel 65, stk. 1, litra a), som er af administrativ karakter, ikke giver klageren ret til at blive hørt eller til aktindsigt i Databeskyttelsesrådets akter. Selskabet har i denne forbindelse draget en parallel til procedurerne for anvendelse af EU-konkurrencereglerne, idet det har anført, at i disse procedurer befinder de virksomheder, som undersøgelsen er rettet mod, og dem, der har indgivet en klage, sig ikke i samme proceduremæssige situation. De sidstnævnte virksomheders proceduremæssige rettigheder er ikke så omfattende som de førstnævntes ret til forsvar. De har kun begrænset adgang til akterne, og dette kun under særlige omstændigheder, navnlig hvis det påtænkes at afslå deres klage. Der er intet i forordning 2016/679, der indebærer, at klageren sættes i samme proceduremæssige stilling som den part, der er genstand for en undersøgelse. Hverken denne forordning eller Databeskyttelsesrådets forretningsorden giver klageren ret til aktindsigt. Desuden finder princippet om ligestilling af parterne ikke anvendelse mellem klageren og den part, der er genstand for undersøgelsen inden for rammerne af den procedure, der er fastsat i artikel 60 eller artikel 65, stk. 1, litra a), i forordning 2016/679.

53

Meta har i anden række gjort gældende, at sagsøgeren heller ikke har ret til aktindsigt i Databeskyttelsesrådets akter på grundlag af chartrets artikel 41, stk. 2, litra b). Selskabet har gjort gældende, at denne ret er en del af den samlede ret til forsvar, der er fastsat i chartrets artikel 41, stk. 2, og at den, der har anmodet om aktindsigt, derfor skal godtgøre, at vedkommende påvirkes negativt af proceduren for at råde over en sådan ret. Det er ikke tilstrækkeligt, at vedkommende er berørt af akterne i denne procedure. I det foreliggende tilfælde er sagsøgerens anmodning om aktindsigt navnlig ikke knyttet til retten til at blive hørt. Sagsøgeren har i øvrigt ikke anlagt sag til prøvelse af bindende afgørelse 3/2022 på grundlag af en angiveligt tilsidesættelse af hendes ret til forsvar. I virkeligheden er sagsøgerens anmodning om aktindsigt begrundet i, at hun har til hensigt at deltage i andre sager ved de nationale domstole, der bl.a. involverer Meta.

54

Sagsøgeren har i sine bemærkninger til interventionsindlægget henvist til dom af 7. december 2023, SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, EU:C:2023:958), hvori Domstolen fastslog, at klagerne har ret til, at der træffes en afgørelse vedrørende klagen, og at denne afgørelse er underlagt en fuldstændig domstolsprøvelse, således som det er fastsat i artikel 78 i forordning 2016/679. Dette indebærer såvel en ret til at blive hørt som en ret til aktindsigt. Disse principper bør også finde anvendelse, når behandlingen af klagen fører til anvendelse af den sammenhængsmekanisme, som Databeskyttelsesrådet deltager i ved at vedtage en bindende afgørelse. Desuden fastsætter forslaget til Europa-Parlamentets og Rådets forordning om supplerende procedureregler for håndhævelsen af forordning 2016/679 (COM(2023) 348 final), både i den affattelse, der følger af Europa-Parlamentets ændringsforslag, og i den, som er affattet i mandatet for Rådet for Den Europæiske Union, en ret til aktindsigt for klagere og dataansvarlige. Sagsøgeren har i øvrigt bestridt relevansen af den parallel, som Meta har draget til procedurerne for anvendelse af EU-konkurrencereglerne.

55

Chartrets artikel 41, som har overskriften »Ret til god forvaltning«, fastslår i stk. 1, at »[e]nhver har ret til at få sin sag behandlet uvildigt, retfærdigt og inden for en rimelig frist af Unionens institutioner, organer, kontorer og agenturer«.

56

I samme artikels stk. 2 præciseres det, at denne ret »navnlig« omfatter:

Den selvstændige karakter af retten til aktindsigt i forhold til retten til at blive hørt

57

Det skal indledningsvis fremhæves, således som det er ubestridt mellem parterne, at der ikke findes nogen lovtekst, der specifikt regulerer eller så meget desto mere begrænser den ret, som ophavsmanden til en klage, der er indgivet i henhold til artikel 77 i forordning 2016/679, har til at få aktindsigt i Databeskyttelsesrådets forberedende akter ved vedtagelsen af en bindende afgørelse i henhold til denne forordnings artikel 65, stk. 1, litra a). Navnlig kan der hverken findes begrænsninger i udøvelsen af denne ret i forordning 2016/679 eller i Databeskyttelsesrådets forretningsorden, således som rådet har bekræftet som svar på et spørgsmål fra Retten i retsmødet.

58

Under disse omstændigheder skal det fastlægges, om chartrets artikel 41, stk. 2, litra b), giver ophavsmanden til en sådan klage ret til aktindsigt i sådanne akter, eller om udøvelsen af denne ret er betinget af retten til at blive hørt, der er fastsat i chartrets artikel 41, stk. 2, litra a).

59

Parterne er uenige om den selvstændige karakter af retten til aktindsigt som omhandlet i denne bestemmelse. Ifølge den opfattelse, som Databeskyttelsesrådet og Meta har gjort gældende, har denne ret ikke en selvstændig karakter, men er en naturlig følge af princippet om overholdelse af retten til forsvar, hvilket har til følge, at den kun kan gælde for personer, over for hvem der er indledt en procedure, som kan føre til en retsakt, som berører dem negativt. Sagsøgeren er derimod af den opfattelse, at denne ret er uafhængig af princippet om overholdelse af retten til forsvar og alene er underlagt den betingelse, at akterne »vedrører« den person, der anmoder om aktindsigt heri.

60

Det skal indledningsvis bemærkes, at anmodningen om aktindsigt i Databeskyttelsesrådets akter i den foreliggende sag blev fremsat af sagsøgeren på et tidspunkt, hvor den administrative procedure, der førte til vedtagelsen af bindende afgørelse 3/2022, allerede var afsluttet, og hvor den irske tilsynsmyndighed allerede havde gennemført denne afgørelse ved sin endelige afgørelse af 31. december 2022 (jf. præmis 30 og 40 ovenfor). Denne anmodning havde ikke til formål at gøre det muligt for sagsøgeren at udøve en eventuel ret til at blive hørt under proceduren for Databeskyttelsesrådet, således som Meta i øvrigt har fremhævet, men at tilvejebringe oplysninger om betingelserne for udarbejdelsen af disse afgørelser og navnlig at efterprøve, om og i hvilket omfang elementerne i hendes klage var blevet taget i betragtning og behandlet, og dette med henblik på i givet fald at kunne forsvare sit standpunkt effektivt i forbindelse med nationale retssager vedrørende bindende afgørelse 3/2022. I retsmødet har sagsøgeren således anført, at spørgsmålet om en eventuel tilsidesættelse af hendes ret til at blive hørt under proceduren for Databeskyttelsesrådet ikke er genstand for den foreliggende sag.

61

Som sagsøgeren med rette har gjort gældende, begrænser ordlyden af chartrets artikel 41, stk. 2, litra b), ikke en persons ret til aktindsigt i de akter, der vedrører vedkommende, til den omstændighed, at disse akter vedrører en foranstaltning, der kan berøre vedkommende negativt. Et sådant krav fremgår ganske vist af chartrets artikel 41, stk. 2, litra a), som fastsætter retten til at blive hørt, men der er intet i ordlyden af disse bestemmelser eller i chartrets artikel 41, set i sin helhed, der principielt betinger udøvelsen af den første ret af udøvelsen af den anden ret.

62

Selv om retten til aktindsigt er en nødvendig forudsætning for en effektiv udøvelse af retten til forsvar, kan dens anvendelsesområde imidlertid udvides. Dette er i øvrigt tilfældet for sagsøgeren, der, som det er fastslået i præmis 60 ovenfor, ikke har anmodet om aktindsigt i Databeskyttelsesrådets akter med henblik på at blive hørt og sikre sit forsvar under en igangværende administrativ procedure, men for at få kendskab til indholdet heraf med henblik på at vurdere, om det var hensigtsmæssigt at anlægge en sag. Retten til aktindsigt i chartrets artikel 41, stk. 2, litra b), kan således ikke reduceres til en naturlig følge af princippet om overholdelse af retten til forsvar.

63

Chartrets artikel 41, stk. 2, litra b), skal sammenholdes med samme artikels stk. 1, således at retten til aktindsigt er forbundet med retten for enhver til at få sin sag behandlet uvildigt, retfærdigt og inden for en rimelig frist af EU-administrationen. Når EU-administrationen behandler borgernes sager, begrænser den sig imidlertid ikke til at træffe foranstaltninger, som er ufordelagtige for dem eller kan blive det. Den omstændighed, at en persons sager skal behandles retfærdigt, kan bl.a. fortolkes således, at den indebærer en forpligtelse til at tilstille vedkommende de administrative akter, der vedrører vedkommende.

64

Der skal ligeledes tages hensyn til den omstændighed, at retten til aktindsigt i chartrets artikel 41, stk. 2, litra b), udgør en del af »retten til god forvaltning«, som er genstand for chartrets artikel 41 i sin helhed. Sidstnævnte artikel omhandler imidlertid ikke udelukkende udøvelsen af retten til at blive hørt af EU-administrationen, som specifikt er omfattet af dens stk. 2, litra a), men har en bredere rækkevidde, der ligeledes omfatter andre rettigheder eller principper, som denne forvaltning skal overholde i sit forhold til borgerne. Således er mere bestemt princippet om, at sager skal behandles inden for en rimelig frist (chartrets artikel 41, stk. 1), EU-administrationens forpligtelse til at begrunde sine afgørelser [chartrets artikel 41, stk. 2, litra c)], princippet om, at Unionen er forpligtet til at erstatte skader forvoldt af dens forvaltning (chartrets artikel 41, stk. 3), og princippet om, at Unionens forvaltning er forpligtet til at kommunikere med borgerne på det EU-sprog, som disse anvender (chartrets artikel 41, stk. 4), ikke begrænset til situationer, hvor retten til forsvar skal finde anvendelse.

65

Det må derfor konkluderes, at en person har ret til aktindsigt i de akter, der vedrører vedkommende, selv om vedkommende ikke befinder sig i en situation, hvor vedkommende kan gøre sin ret til at blive hørt gældende, dog med forbehold for, således som det vil blive uddybet i det følgende, at der ikke findes specifikke regler på det omhandlede område, som begrænser udøvelsen af denne ret til aktindsigt i overensstemmelse med kravene i chartrets artikel 52, stk. 1.

66

Konklusionen i præmis 65 ovenfor afkræftes ikke af den retspraksis, som Databeskyttelsesrådet og Meta har påberåbt sig i deres skriftlige indlæg og i retsmødet.

67

Hvad angår dom af 26. februar 2013, Spanien mod Kommissionen (T-65/10, T-113/10 og T-138/10, ikke trykt i Sml., EU:T:2013:93), bemærkes således – ud over den omstændighed, at denne dom blev ophævet efter appel ved dom af 24. juni 2015, Spanien mod Kommissionen (C-263/13 P, EU:C:2015:415) – at der i denne doms præmis 38, som Databeskyttelsesrådet har gengivet, i det væsentlige blot erindres om, at retten til god forvaltning, der er fastsat i chartrets artikel 41, ikke udgør en selvstændig ret, men kommer til udtryk i forskellige specifikke rettigheder, såsom retten for enhver til aktindsigt i de akter, der vedrører den pågældende. Dom af 20. maj 2015, Yuanping Changyuan Chemicals mod Rådet (T-310/12, ikke trykt i Sml., EU:T:2015:295, præmis 225), vedrører ikke retten til aktindsigt, men institutionens manglende overholdelse af en minimumsfrist, der er indrømmet de pågældende virksomheder ved den gældende lovgivning til at fremsætte bemærkninger, og dette i forbindelse med chartrets artikel 41, stk. 2, litra a). Dom af 13. september 2018, UBS Europe m.fl. (C-358/16, EU:C:2018:715, præmis 66), af 6. december 1994, Lisrestal m.fl. mod Kommissionen (T-450/93, EU:T:1994:290, præmis 42), af 29. juni 1995, ICI mod Kommissionen (T-36/91, EU:T:1995:118, præmis 69), af 9. juli 1999, New Europe Consulting og Brown mod Kommissionen (T-231/97, EU:T:1999:146, præmis 42), og af 14. juli 2021, AI mod ECDC (T-65/19, EU:T:2021:454, præmis 155), vedrører situationer, hvor princippet om overholdelse af den berørtes ret til forsvar skal sikres, og hvor den pågældendes ret til indsigt i dokumenterne i sagsakterne kun blev betragtet som en del af dette princip.

68

Hvad angår dom af 13. december 2018, Ryanair og Airport Marketing Services mod Kommissionen (T-165/15, EU:T:2018:953), skal det bemærkes, at på området for statsstøttekontrol er begrænsninger af retten til aktindsigt i Europa-Kommissionens administrative akter »fastlagt i lovgivningen« som omhandlet i chartrets artikel 52, stk. 1, dvs. at de følger af såvel en bestemmelse i traktaten som af en afledt retsakt, der er vedtaget for at sikre gennemførelsen heraf. Det skal i denne forbindelse bemærkes, at de grundlæggende principper, der regulerer proceduren, på dette område er defineret direkte i traktaten, nemlig i artikel 108 TEUF. Denne artikel, der efterfulgte EF-traktatens artikel 93 (senere artikel 88 EF), er i Domstolens faste praksis blevet fortolket således, at den af Kommissionen kun kræver en kontradiktorisk drøftelse og overholdelse af retten til forsvar til fordel for den medlemsstat, der er ansvarlig for støttetildelingen, og ikke til fordel for de øvrige berørte parter i proceduren, herunder klageren (jf. i denne retning dom af 2.4.1998, Kommissionen mod Sytraval og Brink’s France, C-367/95 P, EU:C:1998:154, præmis 59, af 24.9.2002, Falck og Acciaierie di Bolzano mod Kommissionen, C-74/00 P og C-75/00 P, EU:C:2002:524, præmis 81-84, og af 13.12.2018, Ryanair og Airport Marketing Services mod Kommissionen, T-165/15, EU:T:2018:953, præmis 56).

69

Denne fortolkning i retspraksis af en artikel i traktaten, som befinder sig på samme niveau i regelhierarkiet som chartrets artikel 41, men som kan anses for at udgøre en lex specialis i forhold til sidstnævnte artikel, er gentaget i Rådets forordning (EF) nr. 659/1999 af 22. marts 1999 om fastlæggelse af regler for anvendelsen af [artikel 108 TEUF] (EFT 1999, L 83, s. 1), som efterfulgtes af Rådets forordning (EU) 2015/1589 af 13. juli 2015 om fastlæggelse af regler for anvendelsen af artikel 108 [TEUF] (EUT 2015, L 248, s. 9). Disse to forordninger forbeholder navnlig den medlemsstat, der er ansvarlig for at yde støtten, retten til aktindsigt i Kommissionens administrative akter (jf. i denne retning hvad angår forordning nr. 659/1999 dom af 29.6.2010, Kommissionen mod Technische Glaswerke Ilmenau, C-139/07 P, EU:C:2010:376, præmis 56-58).

70

Løsningen i dom af 13. december 2018, Ryanair og Airport Marketing Services mod Kommissionen (T-165/15, EU:T:2018:953), kan ikke overføres på et tilfælde som det foreliggende. På det område, der er omhandlet i den foreliggende sag, findes der nemlig ingen begrænsning »fastlagt i lovgivningen« som omhandlet i chartrets artikel 52, stk. 1, af retten for ophavsmanden til en klage, der er indgivet i henhold til artikel 77 i forordning 2016/679, til at få aktindsigt i Databeskyttelsesrådets akter, således som det allerede er fastslået i præmis 57 ovenfor. I den sag, der gav anledning til denne dom, anfægtede sagsøgerne, idet de påberåbte sig chartrets artikel 41 sammen med princippet om overholdelse af retten til forsvar, det afslag på aktindsigt i akterne vedrørende statsstøtte, som Kommissionen havde meddelt dem under den administrative procedure, mens anmodningen om aktindsigt blev fremsat og Databeskyttelsesrådets afgørelse om afslag blev vedtaget i den foreliggende sag efter afslutningen af den administrative procedure, dvs. på et tidspunkt, hvor en eventuel tilsidesættelse af retten til forsvar ikke længere forelå (jf. præmis 40 og 60 ovenfor).

71

På samme måde er den analogi, som Meta har opstillet med de begrænsede proceduremæssige rettigheder, der tilkommer en klager i fusionskontrolprocedurer og i sager om anvendelse af artikel 101 TEUF, med henvisning til dom af 28. juni 2012, Kommissionen mod Éditions Odile Jacob (C-404/10 P, EU:C:2012:393), og af 27. februar 2014, Kommissionen mod EnBW (C-365/12 P, EU:C:2014:112), vedrørende anmodninger om aktindsigt i Kommissionens administrative dossier på grundlag af forordning nr. 1049/2001, ikke relevant for afgørelsen af det spørgsmål, der behandles på dette trin i analysen. På disse områder findes der nemlig også særlige bestemmelser, der begrænser retten til aktindsigt i Kommissionens akter hvad angår fusionskontrolproceduren (jf. i denne retning dom af 28.6.2012, Kommissionen mod Éditions Odile Jacob, C-404/10 P, EU:C:2012:393, præmis 118 og 119) og hvad angår proceduren for anvendelsen af artikel 101 TEUF (jf. i denne retning dom af 27.2.2014, Kommissionen mod EnBW, 365/12, EU:C:2014:112, præmis 86).

72

I den sag, der gav anledning til dom af 1. juni 2022, Del Valle Ruíz m.fl. mod Kommissionen og Afviklingsinstansen (T-510/17, EU:T:2022:312), var sagsøgerne aktionærer eller indehavere af obligationer i et kreditinstitut inden vedtagelsen af en ordning om afvikling af dette institut på grundlag af Europa-Parlamentets og Rådets forordning (EU) nr. 806/2014 af 15. juli 2014 om ensartede regler og en ensartet procedure for afvikling af kreditinstitutter og visse investeringsselskaber inden for rammerne af en fælles afviklingsmekanisme og en fælles afviklingsfond og om ændring af forordning (EU) nr. 1093/2010 (EUT 2014, L 225, s. 1). De påberåbte sig bl.a. en tilsidesættelse af chartrets artikel 41, stk. 2, litra b), med den begrundelse, at Den Fælles Afviklingsinstans (Afviklingsinstansen) og Kommissionen ikke inden vedtagelsen af de anfægtede afgørelser havde givet dem aktindsigt i de dokumenter, som de havde lagt til grund for vedtagelsen af disse afgørelser.

73

I den sag, der gav anledning til dom af 1. juni 2022, Del Valle Ruíz m.fl. mod Kommissionen og Afviklingsinstansen (T-510/17, EU:T:2022:312), havde sagsøgerne således i lighed med den foreliggende sag anmodet om aktindsigt på et tidspunkt, hvor den administrative procedure allerede var afsluttet, med henblik på at kunne udøve deres ret til en effektiv domstolsbeskyttelse. I forbindelse med denne sag konkluderede Retten, at sagsøgerne ikke kunne påberåbe sig retten til aktindsigt i henhold til chartrets artikel 41, stk. 2, litra b), efter at have udtalt, at denne ret vedrørte personer eller virksomheder, der er omfattet af procedurer, der er indledt, eller afgørelser, der er truffet over for dem (jf. i denne retning dom af 1.6.2022, Del Valle Ruíz m.fl. mod Kommissionen og Afviklingsinstansen, T-510/17, EU:T:2022:312, præmis 2022), hvilket ikke var tilfældet i den pågældende sag. For at nå frem til denne konklusion tog Retten imidlertid navnlig hensyn til, at der i forordning nr. 806/2014 findes en bestemmelse, der forbeholder retten til aktindsigt for den enhed, der er genstand for den procedure, som førte til vedtagelsen af afviklingsordningen (jf. i denne retning dom af 1.6.2022, Del Valle Ruíz m.fl. mod Kommissionen og Afviklingsinstansen, T-510/17, EU:T:2022:312, EU:T:2022:312, præmis 458 og 464). Selv om den situation, der blev undersøgt i dom af 1. juni 2022, Del Valle Ruíz m.fl. mod Kommissionen og Afviklingsinstansen (T-510/17, EU:T:2022:312), har visse lighedspunkter med situationen i den foreliggende sag, adskiller den sig derfor fra situationen i den foreliggende sag, som følge af at der findes en sådan lovbestemmelse.

74

Dom af 20. december 2023, OCU mod Afviklingsinstansen (T-496/18, ikke trykt i Sml., EU:T:2023:857), som Meta har påberåbt sig i retsmødet, ligger i direkte forlængelse af dom af 1. juni 2022, Del Valle Ruíz m.fl. mod Kommissionen og Afviklingsinstansen (T-510/17, EU:T:2022:312), for så vidt som den ligeledes vedrører en anmodning om aktindsigt, der er indgivet efter afslutningen af en administrativ procedure. Retten udtalte i forbindelse med den pågældende sag, at retten til aktindsigt i henhold til chartrets artikel 41, stk. 2, litra b), vedrørte personer eller virksomheder, der er omfattet af de procedurer, der er indledt, eller afgørelser, der er truffet over for dem (jf. dom af 20.12.2023, OCU mod Afviklingsinstansen, T 496/18, ikke trykt i Sml., EU:T:2023:857, præmis 36 og den deri nævnte retspraksis). Retten tog imidlertid på ny hensyn til, at der i forordning nr. 806/2014 findes en bestemmelse, der forbeholder retten til aktindsigt for den enhed, der var genstand for den procedure, der førte til vedtagelsen af afviklingsordningen, for at konkludere, at sagsøgeren i sin egenskab af sammenslutning, der repræsenterer tidligere aktionærer, ikke havde en sådan ret (jf. i denne retning dom af 20.12.2023, OCU mod Afviklingsinstansen, T-496/18, ikke trykt i Sml., EU:T:2023:857, præmis 37).

75

Det følger af samtlige ovenstående betragtninger, at enhver har ret til aktindsigt i de akter, der vedrører vedkommende, på grundlag af chartrets artikel 41, stk. 2, litra b), herunder når disse akter ikke er knyttet til en procedure, der kan føre til en retsakt, som berører vedkommende negativt, dog med forbehold for, at der ikke findes specifikke regler på det pågældende område, som indfører begrænsninger i udøvelsen af denne ret til aktindsigt i overensstemmelse med kravene i chartrets artikel 52, stk. 1.

Den omstændighed, at de akter, som sagsøgeren har anmodet om aktindsigt i, er akter, der vedrører sagsøgeren

76

Det skal nu undersøges, om sagsøgerens anmodning om aktindsigt i den foreliggende sag i henhold til chartrets artikel 41, stk. 2, litra b), omhandler akter, der vedrørte sagsøgeren.

77

Bindende afgørelse 3/2022, som Databeskyttelsesrådet vedtog på grundlag af artikel 65, stk. 1, litra a), i forordning 2016/679, udspringer af en klage indgivet af sagsøgeren i henhold til denne forordnings artikel 77 til den østrigske databeskyttelsesmyndighed vedrørende Metas (på daværende tidspunkt stadig med navnet Facebook Ireland) behandling af hendes personoplysninger.

78

Artikel 77, stk. 1, i forordning 2016/679 giver enhver registreret ret til at indgive klage til en tilsynsmyndighed, hvis den registrerede finder, at behandlingen af personoplysninger vedrørende vedkommende overtræder denne forordning. Denne artikels stk. 2 giver den pågældende ret til at blive underrettet af denne tilsynsmyndighed om forløbet og resultatet af klagen.

79

Når den omhandlede behandling af oplysninger som i det foreliggende tilfælde har en grænseoverskridende karakter som omhandlet i artikel 4, nr. 23), i forordning 2016/679, fastsætter denne forordnings artikel 56, stk. 1, med forbehold af kompetencereglen i forordningens artikel 55, stk. 1, at der iværksættes en »one-stop-shop«-mekanisme, der er baseret på en kompetencefordeling mellem en ledende tilsynsmyndighed og de øvrige berørte tilsynsmyndigheder. I henhold til denne mekanisme er tilsynsmyndigheden for den dataansvarliges eller databehandlerens hovedvirksomhed eller eneste etablering kompetent til at fungere som ledende tilsynsmyndighed for den grænseoverskridende behandling, der foretages af denne dataansvarlige eller databehandler i overensstemmelse med den samarbejdsprocedure mellem denne myndighed og de andre berørte tilsynsmyndigheder, der er fastsat i nævnte forordnings artikel 60.

80

Inden for rammerne af denne samarbejdsprocedure er den ledende tilsynsmyndighed bl.a. forpligtet til at søge at nå til enighed. Med henblik herpå forelægger den i overensstemmelse med artikel 60, stk. 3, i forordning 2016/679 straks de andre berørte tilsynsmyndigheder et udkast til afgørelse med henblik på deres udtalelse og tager behørigt hensyn til deres synspunkter.

81

Det følger nærmere bestemt af artikel 56 og 60 i forordning 2016/679, at de forskellige nationale tilsynsmyndigheder for så vidt angår grænseoverskridende behandling, og med forbehold af denne forordnings artikel 56, stk. 2, skal samarbejde efter den procedure, der fastsættes i disse bestemmelser, for at nå til enighed om en fælles afgørelse, som er bindende for alle disse myndigheder, og som den dataansvarlige skal sikre overholdelsen af for så vidt angår behandlingsaktiviteter i forbindelse med alle vedkommendes etableringssteder i Unionen.

82

Det fremgår af artikel 60, stk. 4, i forordning 2016/679, at hvis en af de andre berørte tilsynsmyndigheder inden for fire uger efter at være blevet hørt, fremkommer med en relevant og begrundet indsigelse mod udkastet til afgørelse, undergiver den ledende tilsynsmyndighed, hvis den ikke følger den relevante og begrundede indsigelse eller er af den opfattelse, at indsigelsen ikke er relevant eller begrundet, sagen den sammenhængsmekanisme, der er omhandlet i denne forordnings artikel 63, med henblik på at opnå en bindende afgørelse fra Databeskyttelsesrådet, som er vedtaget på grundlag af nævnte forordnings artikel 65, stk. 1, litra a).

83

Som Databeskyttelsesrådet har anført i sine skriftlige indlæg, har denne mekanisme til formål, ved dens anvendelse, at løse konflikter mellem den ledende myndighed og de øvrige berørte tilsynsmyndigheder om alle spørgsmål, der er genstand for en relevant og begrundet indsigelse. Databeskyttelsesrådets kompetence i henhold til artikel 65, stk. 1, litra a), i forordning 2016/679 er begrænset til disse spørgsmål. Det vedtager en bindende afgørelse om alle spørgsmål, der har været genstand for en relevant og begrundet indsigelse, men kun om dem.

84

Dette begrænsede anvendelsesområde skyldes selve karakteren af den bindende afgørelse, som er en afgørelse, der er rettet til den ledende tilsynsmyndighed og alle de berørte tilsynsmyndigheder, og som er bindende for dem, således som det er fastsat i artikel 65, stk. 2, i forordning 2016/679 (jf. i denne retning kendelse af 7.12.2022, WhatsApp Ireland mod Det Europæiske Databeskyttelsesråd, T-709/21, under appel, EU:T:2022:783, præmis 42).

85

Selv om klageren i henhold til artikel 77 i forordning 2016/679 ikke formelt er part i den procedure for Databeskyttelsesrådet, der fører til vedtagelsen af en bindende afgørelse i henhold til artikel 65, stk. 1, litra a), i forordning 2016/679, spiller denne klage en væsentlig rolle i denne procedure. Først og fremmest er det denne klage, der udgør udgangspunktet for hele afgørelsesprocessen. Dernæst, selv om Databeskyttelsesråd kun træffer afgørelse om de relevante og begrundede indsigelser, der har givet anledning til uenighed mellem den ledende myndighed og mindst én berørt tilsynsmyndighed, indgår disse indsigelser i en procedure, der er indledt som følge af klagen. De tager ofte hensyn til kendsgerninger og argumenter, som den registrerede har fremført, således at den sag, der behandles af Databeskyttelsesrådet, i det mindste delvis er baseret på de oplysninger, som den registrerede har gjort den nationale tilsynsmyndighed bekendt med. Denne person kan således med rette ønske at efterprøve, om de elementer i vedkommendes klage, der er gengivet eller fremhævet i de berørte tilsynsmyndigheders relevante og begrundede indsigelser, er blevet taget i betragtning af Databeskyttelsesrådet, eller i hvilket omfang de har påvirket indholdet af den bindende afgørelse. I denne henseende bemærkes, at bindende afgørelse 3/2022 i det foreliggende tilfælde gentagne gange henviser ikke blot til den af sagsøgeren indgivne klage, men også til sagsøgeren som sådan (jf. præmis 45 ovenfor). Endelig har sagsøgeren som klager en direkte interesse i udfaldet af proceduren, for så vidt som denne har til formål at sikre en konkret anvendelse af forordning 2016/679 på en situation, der indebærer behandling af hendes personoplysninger, således som det fremgår af denne klage.

86

Dette indebærer, at det i den foreliggende sag skal fastslås, at Databeskyttelsesrådets forberedende akter ved vedtagelsen af bindende afgørelse 3/2022 vedrører sagsøgeren som omhandlet i chartrets artikel 41, stk. 2, litra b).

87

Det følger heraf, at det eneste anbringendes tre første led skal tages til følge, uden at det er nødvendigt at tage stilling til dette anbringendes fjerde led, som er fremsat subsidiært, eller til formaliteten vedrørende afgørelsen fra Integritetsskyddsmyndigheten (myndigheden for beskyttelse af privatlivets fred, Sverige) af 2. november 2021, som sagsøgeren fremlagde for første gang i retsmødet for Retten. Den anfægtede afgørelse skal derfor annulleres, for så vidt som der hermed gives afslag på sagsøgerens anmodning i henhold til chartrets artikel 41, stk. 2, litra b), om aktindsigt i Databeskyttelsesrådets forberedende akter til bindende afgørelse 3/2022.

Sagsomkostninger

88

Ifølge Rettens procesreglements artikel 134, stk. 1, pålægges det den tabende part at betale sagsomkostningerne, hvis der er nedlagt påstand herom. Da Databeskyttelsesrådet har tabt sagen, bør det pålægges dette at betale sagsomkostningerne i overensstemmelse med sagsøgerens påstand.

89

I henhold til procesreglementets artikel 138, stk. 3, kan Retten anordne, at andre intervenienter end de i denne artikels stk. 1 og 2 nævnte skal bære deres egne omkostninger. Henset til omstændighederne i den foreliggende sag bør Meta bære sine egne omkostninger.

1)

Afgørelsen truffet af Det Europæiske Databeskyttelsesråd af 7. februar 2023 annulleres, for så vidt som der hermed gives afslag på den af Lisa Ballmann indgivne anmodning i henhold til artikel 41, stk. 2, litra b), i Den Europæiske Unions charter om grundlæggende rettigheder om aktindsigt i Det Europæiske Databeskyttelsesråds forberedende akter til bindende afgørelse 3/2022 vedrørende tvisten, som er fremlagt af Data Protection Commission (databeskyttelsesmyndighed, Irland), vedrørende Meta Platforms Ireland Ltd.

2)

Det Europæiske Databeskyttelsesråd bærer sine egne sagsomkostninger og betaler de sagsomkostninger, der er afholdt af Lisa Ballmann.

3)

Meta Platform Ireland bærer sine egne omkostninger.