1

С жалбите си на основание член 263 ДФЕС жалбоподателят, Data Protection Commission — ирландският надзорен орган за защита на личните данни, иска частична отмяна на решения със задължителен характер 3/2022, 4/2022 и 5/2022 от 5 декември 2022 г. на Европейския комитет по защита на данните (наричан по-нататък „ЕКЗД“) по споровете между засегнатите надзорни органи във връзка с проекти за решения на жалбоподателя, отнасящи се съответно до социалната мрежа Facebook, социалната мрежа Instagram и услугата за съобщения WhatsApp, доколкото с тези решения със задължителен характер се разпорежда на жалбоподателя да проведе нови разследвания относно обработването на данни във връзка с използването на тези приложения и на тази основа да изготви допълнителни проекти за решения.

Факти и производство

6

След обмен на информация с другите засегнати надзорни органи жалбоподателят констатира, че не е постигнат консенсус по възраженията, повдигнати срещу неговите проекти за решения и сезира ЕКЗД в рамките на установения с Регламент 2016/679 механизъм за съгласуваност в съответствие с член 60, параграф 4 от този регламент.

7

След като разглежда трите преписки, на 5 декември 2022 г. ЕКЗД приема решения със задължителен характер 3/2022, 4/2022 и 5/2022 на основание член 65, параграф 1, буква а) от Регламент 2016/679. В тези три решения със задължителен характер ЕКЗД най-напред приема, че повечето от възраженията, повдигнати срещу проектите за решения на жалбоподателя, са относими и обосновани по смисъла на член 4, точка 24 от Регламент 2016/679 и че може да вземе отношение по повдигнатите в тези възражения въпроси. Така ЕКЗД одобрява по същество някои от тези възражения, които счита за относими и обосновани.

Искания на страните

15

Жалбоподателят моли Общия съд:

–

по дело T‑70/23, да отмени второто изречение на точки 198 и 487 от решение със задължителен характер 3/2022 на ЕКЗД,

–

по дело T‑84/23, да отмени второто изречение на точки 203 и 454 от решение със задължителен характер 4/2022 на ЕКЗД,

–

по дело T‑111/23, да отмени точки 222 и 326.8 от решение със задължителен характер 5/2022 на ЕКЗД,

–

и по трите дела, да осъди ЕКЗД да заплати направените от него съдебни разноски.

16

По трите дела ЕКЗД моли Общия съд:

–

да отхвърли жалбите,

–

при условията на евентуалност, да ограничи отмяната на обжалваните решения до релавнтните им части,

–

да осъди жалбоподателя да заплати съдебните разноски.

От правна страна

17

И по трите дела жалбоподателят изтъква едно-единствено основание, с което твърди, че ЕКЗД е превишил правомощията си по член 65, параграф 1, буква а) от Регламент 2016/679, като му разпоредил с всяко от разглежданите решения със задължителен характер, от една страна, да проведе ново разследване по все още неразгледани аспекти, и от друга страна, да представи допълнителен проект за решение в съответствие с член 60, параграф 3 от същия регламент въз основа на резултатите от новото разследване.

По единственото основание, изведено от липсата на компетентност на ЕКЗД да приеме обжалваните разпоредби

29

След това уточнение, следва да се припомни, че съгласно постоянната съдебна практика по принцип при тълкуването на разпоредба на правото на Съюза трябва да се вземат предвид не само нейният текст, но и контекстът ѝ и целите на правната уредба, от която тя е част (вж. в този смисъл решение от 29 ноември 2018 г., C‑264/17, EU:C:2018:968, т. 24 и цитираната съдебна практика). В настоящия случай някои доводи на жалбоподателя се основават и на съображения или принципи, които излизат извън рамките на самия Регламент 2016/679. Затова Общият съд ще се произнесе по обхвата на правомощието на ЕКЗД по член 65, параграф 1, буква а) от Регламент 2016/679, като разгледа, доколкото е необходимо, най-напред доводите на жалбоподателя, в които се извършва буквален, контекстуален, телеологичен и исторически анализ на този регламент, и след това доводите относно условията за предоставяне на компетентност на орган на Съюза, характеристиките на съдебния контрол, осъществяван на национално равнище, и независимостта на надзорните органи, отговарящи за защитата на лични данни.

По доводите относно обхвата на правомощието на ЕКЗД по член 65, параграф 1, буква а) от Регламент 2016/679, в които се извършва буквален, контекстуален, телеологичен и исторически анализ на посочения регламент

30

Жалбоподателят се позовава на текста на член 65, параграф 1, буква а), член 65, параграф 6 и член 4, точка 24 от Регламент 2016/679 и твърди, че ЕКЗД няма правомощие да разпореди на водещ надзорен орган — с решение със задължителен характер, прието на основание на първата от тези разпоредби — да разшири разследването си и да представи нов проект за решение, в който да изложи изводите си от това допълнително разследване. За тази цел той се позовава и на съображения 126 и 136 от този регламент.

31

Член 65, параграф 1, буква а) от Регламент 2016/679 гласи:

32

Член 4, точка 24 от Регламент 2016/679 определя относимото и обосновано възражение, както следва:

33

В член 65, параграф 6 от Регламент 2016/679 се посочва по-специално следното:

34

Според жалбоподателя трите, цитирани в точки 31—33 по-горе, разпоредби ограничават обхвата на решение със задължителен характер на ЕКЗД, прието на основание член 65, параграф 1, буква а) от Регламент 2016/679, до обхвата на анализите, които са направени в проекта за решение на водещия надзорен орган, изпратен на другите засегнати от преписката надзорни органи. Всъщност с такова решение със задължителен характер можело да се даде отговор само на относимо и обосновано възражение, което трябвало да се отнася до това, което се съдържа в проекта за решение, а не до това, което не се съдържа в него. Правното действие на решението със задължителен характер се свеждало само до измененията, които съгласно член 65, параграф 6 от същия регламент компетентният надзорен орган трябва да внесе — в срок от един месец от уведомяването му — в окончателното решение в сравнение с проекта за решение. Така решението със задължителен характер можело да се отнася само до правилното тълкуване на Регламент 2016/679 с оглед на това, което се съдържа в проекта за решение на водещия надзорен орган и цитираните разпоредби не предоставяли на ЕКЗД никакво правомощие да дава на този орган указания по друг въпрос, например да го задължи да извърши разследване или да представи нов проект за решение.

35

С оглед на текста на цитираните в точки 31—33 по-горе разпоредби обаче това тълкуване е ограничително. Всъщност следва да се припомни, че съгласно член 4, точка 24 от Регламент 2016/679 понятието „относимо и обосновано възражение“ означава „възражение срещу проект на решение относно това дали е налице нарушение на настоящия регламент или не […], което ясно доказва, че проектът за решение води до значителни рискове за основните права и свободи на субектите на данни“. Макар член 65, параграф 1, буква а) от Регламент 2016/679 да предвижда, че прието на това основание решение със задължителен характер „се отнася за всички въпроси, които са предмет на относимото и обосновано възражение“, няма пречка да се повдигне такова възражение срещу липсата на анализ или срещу непълния анализ в този проект за решение на водещия надзорен орган на даден аспект от преписката, поради които не може да се установи дали е налице нарушение на посочения регламент в този аспект. Противно на поддържаното от жалбоподателя, изразът „възражение срещу проект на решение“ не се ограничава до възраженията срещу съображенията, които се съдържат в проекта на решение. Следователно, тъй като решението със задължителен характер на ЕКЗД трябва да се отнася до всички въпроси, които са предмет на относими и обосновани възражения, няма пречка, когато ЕКЗД одобри относимо и обосновано възражение срещу такава липса или непълнота, с решението със задължителен характер да се разпореди на водещия надзорен орган да запълни тази липса на анализ и — ако това се окаже необходимо с оглед на преписката, с която разполага ЕКЗД — да задълбочи или разшири за тази цел извършеното до момента разследване. Всъщност, ако се окаже, че преписката не е пълна, за да се извърши необходимият анализ в пълен обем, трябва да се даде възможност на ЕКЗД да разпореди на водещия надзорен орган да извърши допълнително разследване.

36

Следва да се констатира също, че текстът на трите разпоредби, цитирани в точки 31—33 по-горе, взети заедно, не ограничава обхвата на решението със задължителен характер само до непосредствените изменения, които трябва да се направят в представения от водещия надзорен орган проект за решение с оглед на приемането на окончателно решение при условията, посочени в член 65, параграф 6 от Регламент 2016/679, тоест само до измененията, които се отнасят до съдържащото се в проекта за решение, но не и до това, което не се съдържа в него. В това отношение, противно на поддържаното от жалбоподателя, последната разпоредба има за цел само да уточни реда и условията за приемане на окончателното решение, когато с това решение може направо да се приложат указанията на решение със задължителен характер на ЕКЗД, по-специално когато не е необходимо възобновяване на разследването или извършването на по-широк или по-задълбочен анализ на някои аспекти от преписката. Тази разпоредба не е относно възможното съдържание на решението със задължителен характер, което се определя от правното основание, на което е прието решението, в случая член 65, параграф 1, буква а) от Регламент 2016/679, който от своя страна трябва да се тълкува във връзка с член 4, точка 24 от този регламент, що се отнася до определението на понятието „относимо и обосновано възражение“. В това отношение трябва да се подчертае, че член 65, параграф 1 от Регламент 2016/679 предвижда различни видове решения със задължителен характер на ЕКЗД, които не изискват непременно последващо незабавно приемане на окончателно решение на надзорен орган.

38

Противно на поддържаното от жалбоподателя, буквалният анализ в точки 35 и 36 по-горе на трите разпоредби, цитирани в точки 31—33 по-горе, не се опровергава от текста на съображения 126 и 136 от Регламент 2016/679. Всъщност в първото от тези съображения, като посочва, че „[р]ешението следва да се съгласува между водещия надзорен орган и засегнатите надзорни органи“, законодателят по никакъв начин не изключва от преценката на останалите — освен водещия — засегнати надзорни органи, въпроса за обхвата на анализа, който трябва да се извърши в едно такова решение в конкретен случай, а напротив допуска такава преценка, тъй като „решението“ се материализира не само чрез съдържащите се в него преценки, но и чрез обхвата на аспектите, които покрива. Следователно, ако няма консенсус по този въпрос между засегнатите надзорни органи и ЕКЗД е сезиран по въпроса, текстът на това съображение не изключва възможността ЕКЗД да може да разпореди разширяване на анализа, и ако е необходимо, на разследването. По същия начин в съображение 136 от Регламент 2016/679 се посочва, че ЕКЗД „следва […] да взема с мнозинство от две трети от своите членове решения със задължителен характер в точно определени случаи, когато има противоречиви становища сред надзорните органи, по-специално в механизма за сътрудничество, между водещия надзорен орган и засегнатите надзорни органи по съществото на спора, по-специално дали е налице нарушение на настоящия регламент“. Противно на поддържаното от жалбоподателя, обхватът на разследването не е процесуален въпрос, а въпрос по съществото на преписката, тъй като определя обхвата на това, което трябва да се анализира, за да се прецени дали съответното обработване на данни е в съответствие с Регламент 2016/679.

39

В това отношение незабавно може да се отхвърли друг довод на жалбоподателя, че възприетото в точка 35 по-горе тълкуване на понятието „относимо и обосновано възражение“ позволява на ЕКЗД да отправя до водещия надзорен орган разпореждания във връзка с всички правомощия, с които разполага този орган, като единственото условие е повдигнатият от засегнат надзорен орган въпрос да се квалифицира като относимо и обосновано възражение в така възприетия смисъл. Както се посочва в член 4, точка 24 от Регламент 2016/679, едно относимо и обосновано възражение срещу проект за решение на водещия надзорен орган може да се отнася само до въпроса дали е спазен този регламент или дали самите корективни мерки, предвидени по отношение на администратора или на обработващия лични данни, са съобразени с Регламента. Следователно такова възражение може да се отнася само до съществото на преписката и до окончателните правомощия за вземане на решения на водещия надзорен орган, предвидени по-специално в член 58, параграф 2 от същия регламент, които също са въпрос по същество. Поради това такова възражение не може да се отнася до провеждането на самото разследване (за разлика от обхвата на разследването), което се основава на правомощията за разследване на надзорните органи, посочени в член 58, параграф 1 от Регламент 2016/679.

40

Следователно буквалният анализ на член 65, параграф 1, буква а) от Регламент 2016/679, в който се държи сметка за текста на член 4, точка 24, на член 65, параграф 6 и на съображения 126 и 136 от същия регламент, сочи, че ЕКЗД има правомощие да приема разпоредби като обжалваните, с които се дават указания на жалбоподателя да проведе ново разследване по някои аспекти на разглежданите преписки и след това да приеме нови проекти за решение в съответствие с резултатите от това разследване. Следва да се провери дали доводите на жалбоподателя, изтъкнати в рамките на неговото контекстуално и телеологично тълкуване на Регламент 2016/679, могат да опровергаят резултатите от този първи анализ.

43

В това отношение, противно на твърдяното от жалбоподателя, описаната в член 60 от Регламент 2016/679 процедура за сътрудничество между засегнатите надзорни органи, която може да включва задействането на предвидения в параграф 4 механизъм за съгласуваност, провеждан от ЕКЗД, не е „еднопосочна“ процедура, при която етапите винаги следват предвидения в уреждащите ги разпоредби ред, без да има възможност за връщане към предходен етап или за временно продължаване на същия етап. Така например, ако се изходи от положението, предвидено в параграф 5, на което се позовава жалбоподателят, а именно когато водещият надзорен орган възнамерява да приеме възраженията на други засегнати надзорни органи, повдигнати по неговия проект за решение, представен съгласно параграф 3, и представи на тези органи преработен проект за решение, процедурата може да се развие по няколко начина. Ако тези органи не възразят срещу преработения проект, окончателното(ите) решение(я) се приема(т) директно в съответствие с параграфи 6—9. В противен случай, тоест при наличие на възражения срещу преработения проект, ако водещият надзорен орган приеме тези възражения изцяло или частично, се преминава отново през предвидения в параграф 5 етап, като водещият надзорен орган трябва да представи нов преработен проект, в който са взети предвид приетите от него възражения. Ако водещият надзорен орган не приеме всички или част от възраженията срещу преработения проект, в съответствие с параграф 4 той трябва задейства механизма за съгласуваност и да сезира ЕКЗД въз основа на най-пълния преработен проект за решение.

44

В писмената си защита ЕКЗД дава друг пример, който показва, че процедурата за сътрудничество между засегнатите надзорни органи, предвидена в член 60 от Регламент 2016/679, не е непременно „еднопосочна“. След възражения от страна на други засегнати надзорни органи срещу проекта му за решение, представен съгласно параграф 3 от този член, водещият надзорен орган може сам да реши, че вместо веднага да представя преработен проект за решение или да задейства механизма за съгласуваност, е целесъобразно да се върне назад и да направи по-задълбочен анализ, преди отново да представи проект на решение съгласно същия параграф 3. ЕКЗД посочва, че френският надзорен орган е процедирал по този начин в един случай.

45

По същия начин, когато ЕКЗД се намеси съгласно параграф 4 от същия член и приеме решение със задължителен характер, са възможни няколко хипотези. Ако всички релевантни аспекти на случая са били разгледани в достатъчна степен в проекта за решение на водещия надзорен орган, този орган или, евентуално, надзорният орган, до който е подадена жалбата, може да приеме съгласно параграфи 6—9 от същия член едно или няколко окончателни решения, с които да приключи случая, като вземе предвид по-специално решението със задължителен характер на ЕКЗД. Ако обаче в решението със задължителен характер на ЕКЗД се счете — след постъпили възражения в този смисъл — че в проекта за решение на водещия надзорен орган не са разгледани или не са разгледани в достатъчна степен всички релевантни аспекти на случая, и евентуално, че вследствие на това е необходимо да се възобнови разследването, водещият надзорен орган или надзорният орган, до който е подадена жалбата, може евентуално да приеме едно или няколко окончателни решения в съответствие с горепосочените разпоредби, но същевременно водещият надзорен орган трябва да извърши допълнителен анализ, евентуално, след провеждането на ново разследване, за да представи в съответствие с параграф 3 от същия член допълнителен проект за решение на другите засегнати надзорни органи.

46

В рамките на контекстуалното тълкуване жалбоподателят изтъква втори довод, а именно че разглеждан в светлината на съображение 141 от Регламент 2016/679, член 57, параграф 1, буква е) от същия регламент, в който се посочва, че надзорният орган разглежда жалбите и разследва техния предмет, доколкото това е целесъобразно, показва, че обхватът на разследването, което трябва да се проведе след подаването на жалба, е въпрос, който трябва да се прецени от националните надзорни органи и подлежи единствено на национален съдебен контрол.

47

В съображение 141 от Регламент 2016/679 се посочва по-специално следното:

48

Член 57, параграф 1, буква е) от Регламент 2016/679 и изтъкнатите от жалбоподателя съображения обаче не водят до изключване от механизма за сътрудничество между засегнатите надзорни органи и от механизма за съгласуваност пред ЕКЗД на въпроса за подходящия обхват на разследването.

49

Всъщност член 57 от Регламент 2016/679, който се отнася до всички задачи на надзорните органи, предвижда в параграф 1, буква а) като първа задача на тези органи да наблюдават и осигуряват прилагането на посочения регламент. Така, противно на това, което жалбоподателят твърди по същество в съдебното заседание, анализът на условията, при които се обработват лични данни, и на съответствието на обработването с този регламент, не трябва да се ограничава до това, което се изтъква в жалбата на жалбоподател.

50

Преди всичко, за да се гарантира напълно изпълнението на предвидените в член 57, параграф 1, букви а) и е) от Регламент 2016/679 задачи, а именно, да се следи за спазването на посочения регламент и жалбите да се разглеждат, доколкото е целесъобразно, е необходимо да се определи адекватен обхват на анализа на преписката с оглед на жалбата, по която е образувана, но и с оглед на другите елементи, които могат да я допълнят. Тъй като разглежданото обработване на лични данни е трансгранично, в резултат на този анализ трябва да се приемат решения, за които се прилага процедурата за сътрудничество, предвидена в член 60 от този регламент. В рамките на тази процедура критерият, който трябва да бъде изпълнен, за да може по даден въпрос да се приеме решение със задължителен характер на ЕКЗД на основание член 65, параграф 1, буква а) от посочения регламент, е дали по този въпрос е повдигнато относимо и обосновано възражение, както е определено в член 4, точка 24 от същия регламент. Съгласно неговото определение относимото и обосновано възражение се отнася до аспекти, чийто анализ е свързан именно с двете горепосочени задачи. Следователно това, че едно относимо и обосновано възражение се отнася до обхвата на анализа и евентуално до обхвата на разследването и че ЕКЗД предприема действия във връзка с него, по никакъв начин не застрашава тези задачи. Освен това обстоятелството, че междинните решения на надзорните органи, приети в резултат на подадена жалба, могат да се обжалват пред националните юрисдикции, не е пречка проектът за решение на водещия надзорен орган на свой ред да бъде предмет на контрол от страна на ЕКЗД в материалноправните граници, определени за механизма за съгласуваност, установен в Регламент 2016/679.

51

Следователно доводите на жалбоподателя, изтъкнати във връзка с контекстуалното тълкуване, не подкрепят позицията му, че ЕКЗД не е бил компетентен да приеме обжалваните разпоредби.

52

Напротив, общият контекст на задължението за сътрудничество между засегнатите надзорни органи, установено в Регламент 2016/679, потвърждава компетентността на ЕКЗД в това отношение. Всъщност член 60, параграф 1 от посочения регламент предвижда по-специално, че „[в]одещият надзорен орган си сътрудничи с другите засегнати надзорни органи в съответствие с настоящия член и се стреми към постигането на консенсус“. В член 60, параграф 3 от същия регламент се уточнява, че „[в]одещият надзорен орган незабавно предава информация за това на другите засегнати надзорни органи“ и че „незабавно [им] представя проект за решение, за да получи тяхното становище и да вземе надлежно предвид вижданията им“.

53

От това следва, че сътрудничеството между засегнатите надзорни органи се отнася по-специално до анализа на случая като цяло и до изготвянето на решението и че водещият надзорен орган трябва да потърси съгласието на другите засегнати надзорни органи в това отношение. Нищо в посочените по-горе разпоредби не позволява от това задължение за сътрудничество да се изключи въпросът за обхвата на анализа, който трябва да се извърши, нито евентуално въпросът за обхвата на предварителното разследване, което трябва да се проведе. В решение от 15 юни 2021 г., Facebook Ireland и др. (C‑645/19, EU:C:2021:483, т. 63 и 64), Съдът припомня, че диалогът и лоялното и ефективно сътрудничество между засегнатите надзорни органи са задължителни.

54

От точки 41—53 по-горе следва, че анализът на контекста, които се извлича от разпоредбите на Регламент 2016/679, потвърждава направения преди това буквален анализ.

55

В рамките на телеологично тълкуване жалбоподателят твърди, най-напред, че признаването на ЕКЗД на правомощието да разпореди на водещ надзорен орган да изготви допълнителен проект за решение, като преди това разшири за тази цел обхвата на разследването си, е несъвместимо с целите на механизма „обслужване на едно гише“, предвиден от законодателя при приемането на Регламент 2016/679. Създаването на единен надзорен орган за заинтересованите лица целяло по-специално да се избегнат излишни разходи и прекалени неудобства за тези лица, както се посочвало в съображение 129 от този регламент. Възобновяването на разследване само поради разногласие между надзорните органи било в разрез с тази цел, тъй като би задължило жалбоподателите и засегнатите предприятия да понесат разходите и неудобствата от възобновяването на разследването, когато тази фаза би трябвало да е приключила.

56

При все това, без да е необходимо произнасяне по намеренията на законодателя, достатъчно е да се констатира, че обслужването на едно гише отговаря на целта за опростяване, която е от процесуално естество и не може да има предимство пред основната цел на Регламент 2016/679 — да се гарантира зачитането на основното право на физическите лица на защита на техните лични данни. В това отношение в съображение 1 от посочения регламент се припомня, че член 8, параграф 1 от Хартата на основните права и член 16, параграф 1 ДФЕС предвиждат, че всеки има право на защита на неговите лични данни. Разширяването на обхвата на разследването, което задължително трябва да е поискано от поне половината от надзорните органи в рамките на ЕКЗД, не цели, противно на поддържаното от жалбоподателя, да усложни задачата на подалото жалба лице или на администратор, срещу когото е подадена жалбата, а представлява мярка за защита на съответните им права. Впрочем разследване и анализ на водещия надзорен орган, които от самото начало обхващат всички аспекти, необходими за изготвянето на пълно окончателно решение по разглеждания случай, позволяват да се избегнат посочените от жалбоподателя неудобства.

57

Доводът на жалбоподателя, че възобновяването на разследването забавя окончателното уреждане на вече анализираните и разрешени аспекти, също трябва да се отхвърли.

58

Всъщност напротив, при това положение компетентният орган, трябва — както впрочем е направил жалбоподателят в настоящия случай — да приеме, след решението със задължителен характер на ЕКЗД, окончателно решение по анализираните и разрешени материалноправни аспекти в срока по член 65, параграф 6 от Регламент 2016/679. Това не е пречка да проведе допълнително разследване и да анализира онези аспекти на случая, които все още не са били разгледани.

59

Жалбоподателят твърди също така, че обстоятелството, че ЕКЗД не е участвал в определянето на обхвата на анализа, който следва да се извърши по даден случай и който е предварителен или процесуален въпрос, не възпрепятства функционирането на механизма за сътрудничество между надзорните органи.

60

Механизмът за сътрудничество обаче достига своя предел, когато засегнатите надзорни органи не постигнат консенсус. Именно при това положение, изрично предвидено в член 60, параграф 4 от Регламент 2016/679, водещият надзорен орган трябва да отнесе въпроса, по който не е постигнато съгласие, до механизма за съгласуваност, който, както се посочва в тази разпоредба, води до приемане от ЕКЗД на решение със задължителен характер.

61

Накрая, жалбоподателят твърди, че такава липса на консенсус може да бъде разрешена, като се прибегне до национален съдебен контрол. Той припомня, че съгласно член 58, параграф 4 и съображение 141 от Регламент 2016/679 разследването подлежи на ефективен съдебен контрол.

62

Разбира се, ако ЕКЗД не може да разреши въпрос, свързан с обхвата на извършения от водещия надзорен орган анализ, националният съд може да се намеси в това отношение. Регламент 2016/679 обаче предвижда, че въпросите, повдигнати с относимо и обосновано възражение на заинтересован надзорен орган по смисъла на член 4, точка 24 от посочения регламент, се решават в рамките на механизма за сътрудничество и евентуално в рамките на механизма за съгласуваност между надзорните органи. Както обаче бе посочено по-горе, въпрос, свързан с обхвата на анализа и евентуално на разследването, извършени от водещия надзорен орган, може да доведе до повдигането на относимо и обосновано възражение в посочения по-горе смисъл. Следователно евентуалното сезиране на националния съд по въпрос от такова естество, което впрочем невинаги би било лесно за жалбоподател, който пребивава в държава, различна от тази на водещия надзорен орган, не означава, че разногласията, които съществуват между засегнатите надзорни органи по въпросите, по които са повдигнати относими и основателни възражения, не могат да бъдат разрешени в рамките на ЕКЗД.

63

От точки 55—62 по-горе следва, че анализът на целите на Регламент 2016/679 също потвърждава направения преди това буквален анализ.

По доводите относно условията за предоставяне на компетентност на орган на Съюза, характеристиките на съдебния контрол, осъществяван на национално равнище, и независимостта на надзорните органи, отговарящи за защитата на лични данни

65

На първо място, жалбоподателят счита по същество, че принципите, които уреждат предоставянето на компетентност на орган на Съюза, не позволяват Регламент 2016/679 да се тълкува в изведения от направения по-горе анализ смисъл, а именно че предоставя спорното правомощие на ЕКЗД.

66

Жалбоподателят се позовава на член 5 ДЕС и припомня, че Съюзът може да действа само в границите на предоставената му компетентност. Този принцип се прилагал както за институциите, така и за органите на Съюза, какъвто е ЕКЗД. Освен това последните били подчинени на „доктрината Meroni“, която е установена с решение от 13 юни 1958 г., Meroni/Върховен орган (9/56, EU:C:1958:7), и която, както е постановил Съдът по отношение на Европейския орган за ценни книжа и пазари (ЕОЦКП) в решение от 22 януари 2014 г., Обединено кралство/Парламент и Съвет (C‑270/12, EU:C:2014:18, т. 53 и 54), се прилага към органите на Съюза. Според тази доктрина правомощията на органите на Съюза трябва да бъдат регламентирани прецизно и да подлежат на съдебен контрол от гледна точка на определените за съответния орган цели. По-специално в точка 45 от второто решение, посочено по-горе, се констатирало, че обсъжданото по това дело правомощие на ЕОЦКП, което в крайна сметка е потвърдено от Съда, се ръководи от различни критерии и условия, които определят обхвата на дейност на този орган. В решение от 15 юли 2021 г., FBF (C‑911/19, EU:C:2021:599, т. 67 и 75), което се отнася до Европейския банков орган (ЕБО), Съдът е уточнил, че дадено правомощие на орган на Съюза трябва да е изрично предвидено от законодателя и че упражняването му трябва да подлежи на строг съдебен контрол.

67

Всъщност тези приложени в съдебната практика принципи се отнасят до ЕКЗД, който е създаден като орган на Съюза с член 68 от Регламент 2016/679.

68

Ето защо най-напред трябва да се провери дали възприетото по-горе в настоящото решение тълкуване позволява да се приеме, че когато разпорежда на водещ надзорен орган да разшири анализа и евентуално разследването си, упражняването на правомощието на ЕКЗД „се ръководи от различни критерии и условия, които определят обхвата на дейност на [този орган]“, както е констатирал Съдът по отношение на правомощието на ЕОЦКП, оспорено по делото, по което е постановено решение от 22 януари 2014 г., Обединено кралство/Парламент и Съвет (C‑270/12, EU:C:2014:18).

69

В това отношение, както следва от член 65, параграф 1, буква а) във връзка с член 4, точка 24 от Регламент 2016/679, това правомощие за задължаване на водещия надзорен орган да разшири анализа и евентуално разследването си може да се упражни едва след като засегнат надзорен орган повдигне относимо и обосновано възражение срещу проекта за решение на водещия надзорен орган по даден случай, което се отнася до липсата на анализ на определен аспект на въпроса „дали е налице нарушение на [Регламент 2016/679] или дали предвижданото действие по отношение на администратора или обработващия лични данни отговаря на изискванията на [този] регламент“ и което „доказва ясно, че проектът за решение води до значителни рискове за основните права и свободи на субектите на данни и, където е приложимо, за свободното движение на лични данни в рамките на Съюза“.

70

Освен това по силата на член 65, параграфи 2 и 3 от Регламент 2016/679 упражняването на горепосоченото правомощие предполага, че в рамките на ЕКЗД мнозинство от две трети, или при определени обстоятелства, поне половината от неговите членове, включително, при равенство на гласовете, председателят, са одобрили по същество това относимо и обосновано възражение и действията, които трябва да се предприемат в тази насока. Следователно необходимо е голям брой надзорни органи да потвърдят липсата на анализ или непълния анализ на важен аспект на конкретния случай и да постигнат съгласие относно действията, които трябва да предприеме водещият назорен орган, за да отстрани тези недостатъци. В това отношение трябва да се има предвид, че самият ЕКЗД се състои от голям брой независими органи, специализирани в тази област, и следователно, сходното становище на мнозинството от тези органи в рамките на ЕКЗД дава гаранции за упражняването на това правомощие. Освен това, макар понятието „относимо и обосновано възражение“, припомнено в точка 69 по-горе, несъмнено да оставя място за свобода на преценка, по-специално при определянето на това дали е налице нарушение на Регламент 2016/679 от страна на съответния администратор или обработващ лични данни, или трябва да се разгледа конкретен аспект, за да се установи дали е така, всички тези въпроси са уредени от конкретни правни норми в този регламент, поради което не е допустимо упражняването на „широко право на преценка“.

71

В обобщение, що се отнася до регламентирането на оспорваното от жалбоподателя правомощие на ЕКЗД, трябва да се констатира, от една страна, че това правомощие се упражнява само в случай на ясно установена непълнота на анализа на водещия надзорен орган при разглеждането на случая, която може да има значителни последици, както следва от определението за относимото и обосновано възражение, съдържащо се в член 4, точка 24 от Регламент 2016/679, и от друга страна, че това правомощие е резултат от колективната преценка на надзорните органи, съставящи ЕКЗД, която се извършва при условията, посочени в точка 70 по-горе.

72

Що се отнася до въпроса дали разглежданото правомощие е „изрично“ предвидено от законодателя, трябва да се подчертае, че наречието „изрично“, както и наречията „нарочно“ и „ясно“, които съответстват на прилагателните „изричен“, „нарочен“ и „ясен“, означават, че няма съмнение относно обхвата на казаното. От направеното по-горе буквално, контекстуално и телеологично тълкуване обаче следва, че няма съмнение, че ЕКЗД разполага с оспорваното правомощие, и следователно, че то е изрично предвидено от законодателя. Може да се посочи, че в решение от 15 юли 2021 г., FBF (C‑911/19, EU:C:2021:599), което се отнася до ЕБО, насоките на този орган, за които се спори дали той е имал правомощието да ги приеме, се отнасят до „контрола на продукти и правилата за управление на банкови продукти на дребно“. Нито една от приложимите по отношение на този орган разпоредби не предвижда изрично, че той може да приема насоки по този въпрос. Съдът приема, че спорните насоки попадат в обхвата на това правомощие, след като извършва пълен анализ на всички разпоредби, а именно на Регламента за създаване на ЕБО, който предвижда общо неговата компетентност да приема насоки за определени цели, и на различни директиви относно финансовите институции и продукти.

73

Освен това трябва да се констатира, че упражняването на правомощието на ЕКЗД да разпореди на водещ надзорен орган да разшири анализа, и ако е необходимо, разследването си, подлежи на съдебен контрол. Действително в настоящия случай жалбоподателят е избрал да оспори обжалваните разпоредби единствено поради липсата на компетентност на ЕКЗД, без да постави под въпрос конкретната преценка на ЕКЗД по възраженията, повдигнати от някои надзорни органи срещу неговите проекти за решения, в резултат на която преценка са били приети тези разпоредби. При все това, произнасяйки се по изтъкнатите пред него основания, съдът на Съюза може да провери материалната законосъобразност на тези разпоредби с оглед на обстоятелствата по делото. По-специално той може най-напред да провери дали, като е приел разпоредби от такова естество, ЕКЗД действително е предприел действия във връзка с относимо и обосновано възражение на надзорен орган по смисъла на член 4, точка 24 от Регламент 2016/679. След това той може да провери законосъобразността на самото съдържание на разпоредбите, с които се дават указания на надзорните органи.

74

Този съдебен контрол е „строг“ по смисъла на решение от 15 юли 2021 г., FBF (C‑911/19, EU:C:2021:599, т. 67). Всъщност съдът, който се произнася по законосъобразността, по принцип трябва да съблюдава обхвата на правомощията си и процесуалните правила и ако той упражни изцяло правомощията си в рамките на тези правила, осъществяваният от него контрол неминуемо е строг. По въпросите по същество — в зависимост от това дали авторът на обжалвания акт разполага или не със свобода на преценка — съдът, който се произнася по законосъобразността, упражнява или обичаен контрол (по принцип по отношение на правните аспекти, установяването на фактите и случаите на обвързана компетентност), или ограничен контрол (по принцип по отношение на сложните технически аспекти или когато органът разполага със свобода на преценка, като в тези случаи съдът санкционира само явните грешки в преценката) (вж. в този смисъл и по аналогия, що се отнася до контрола на националния съд върху решенията на националните органи в областта на защитата на лични данни, решение от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатъка по задълженията), C‑26/22 и C‑64/22, EU:C:2023:958, т. 68 и 69).

75

От точки 67—74 по-горе следва, че условията за предоставяне на компетентност на орган на Съюза допускат направения по-горе в настоящото решение анализ.

76

На второ място, жалбоподателят посочва различни причини, за да докаже, че националните съдилища са „подходящият съд“ за разглеждане на спорове, свързани с разследването, тоест че те са в най-добра позиция да го направят.

77

Както обаче бе посочено в точка 62 по-горе, законодателят на Съюза е избрал съществуващите разногласия между засегнатите надзорни органи относно обхвата на анализа на даден случай и евентуално относно обхвата на провежданото по него разследване да се разрешават в рамките на механизма за съгласуваност в ЕКЗД. Следователно доводите, с които жалбоподателят цели да докаже, че националните съдилища са „подходящият съд“ за разглеждане на спорове, свързани с разследването, са несъстоятелни.

78

Тъй като както на националния съд, така и на ЕКЗД може да се наложи да се произнесат по обхвата на анализа и на разследването, трябва да се добави, че в областта на прилагане на правилата за конкуренция, установени в членове 101 и 102 ДФЕС, в която отговорностите за прилагане на политика на Съюза също са разпределени между националните органи и органите на Съюза, в практиката на Съда са изведени редица принципи за координиране на действията на националните съдилища и на органа на Съюза, натоварен с осигуряването на съгласуваност при прилагането на въпросната политика, а именно Комисията (решения от 28 февруари 1991 г., Delimitis, C‑234/89, EU:C:1991:91, и от 14 декември 2000 г., Masterfoods и HB, C‑344/98, EU:C:2000:689). Макар да не е изключено в приложение на тези принципи националният съд да счете, че е за предпочитане да спре производството до приемането на решение от компетентния орган на Съюза или че след приемането на това решение да бъде обвързан от него, освен ако не изпитва съмнения относно неговата валидност и поиска от Съда в рамките на преюдициалното производство да извърши преценка в това отношение, такива положения са присъщи на такова разпределяне на отговорностите и на необходимостта да се осигури последователно прилагане на съответната политика в целия Съюз.

79

Трябва да се добави също, че противно на това, което поддържа жалбоподателят на трето място, решение със задължителен характер на ЕКЗД, прието на основание член 65, параграф 1, буква а) от Регламент 2016/679, което го задължава да разшири анализа и разследването си, не поставя под въпрос способността му да приоритизира изпълнението на различните си задачи като независим орган — задача, чийто контрол е от компетентността единствено на националния съд. В по-общ план то не поставя под въпрос и неговата независимост, която е закрепена в член 39 ДЕС, член 16, параграф 2 ДФЕС и член 8, параграф 3 от Хартата на основните права.

80

Всъщност, от една страна, ако водещият надзорен орган трябва да допълни анализа и разследването си по даден случай — независимо дали по собствена инициатива, на етапа на сътрудничеството между засегнатите надзорни органи след намеса с тази цел от другите надзорни органи, или вследствие на такова решение със задължителен характер — той не е длъжен да спре всичко останало и да направи допълнителния анализ и разследване с приоритет пред останалите си задачи. Той може например да обяви, че в първия проект за решение или в първото решение, което е приел, е разгледал само част от въпросите, повдигнати в конкретния случай, и че ще продължи анализа и разследването си на по-късен етап.

81

Само при обстоятелствата, предвидени в член 66 от Регламент 2016/679, когато друг засегнат надзорен орган счете, че са необходими спешни действия за защита на правата и свободите на субектите на данни, спешно решение със задължителен характер на ЕКЗД може да задължи водещия надзорен орган да преразгледа незабавно реда на приоритетите си, за да разгледа даден случай. Следователно законодателят е предвидил тази възможност само в изключителни случаи. Всъщност решения със задължителен характер 3/2022, 4/2022 и 5/2022 не са приети на основание на посочения член 66 и следователно не налагат на жалбоподателя приоритетен ред за изпълнение на различните му задачи.

82

От друга страна, разпоредбите на първичното право, на които се позовава жалбоподателят, не предполагат абсолютна независимост — в смисъл на липса на всякакъв контрол — на органите на държавите членки, които носят основаната отговорност да следят за прилагането на правилата за защита на лични данни. В тези разпоредби се посочва само че контролът за спазване на тези правила е поверен на независими органи, което следователно по никакъв начин не изключва система за взаимен контрол между независими органи, като предвидените в Регламент 2016/679 механизми за сътрудничество и за съгласуваност, нито, разбира се, съдебен контрол върху решенията, приети от различните участващи органи. Важното е самите органи, които контролират надзорните органи, да са независими. Такъв е случаят с ЕКЗД, тъй като той е съставен от надзорните органи на държавите членки и от Европейския надзорен орган по защита на данните, който сам по себе си е независим орган по отношение на институциите и другите структури на Съюза, върху които упражнява надзор.

По съдебните разноски

84

Съгласно член 134, параграф 1 от Процедурния правилник загубилата делото страна се осъжда да заплати съдебните разноски, ако е направено такова искане. Тъй като жалбоподателят е загубил делото, той следва да бъде осъден да заплати съдебните разноски в съответствие с искането на ЕКЗД.

1)

Отхвърля жалбите по дела T‑70/23, T‑84/23 и T‑111/23.

2)

Осъжда Data Protection Commission да заплати съдебните разноски.