1

Med sine søgsmål anlagt i henhold til artikel 263 TEUF har sagsøgeren, Data Protection Commission, der er den irske tilsynsmyndighed til beskyttelse af personoplysninger, nedlagt påstand om delvis annullation af de bindende afgørelser 3/2022, 4/2022 og 5/2022 af 5. december 2022 truffet af Det Europæiske Databeskyttelsesråd (herefter »EDPB«) vedrørende tvister mellem de heraf berørte tilsynsmyndigheder, der er opstået som følge af sagsøgerens udkast til afgørelser vedrørende henholdsvis det sociale netværk Facebook, det sociale netværk Instagram og beskedtjenesten WhatsApp, for så vidt som disse bindende afgørelser pålægger sagsøgeren at foretage nye undersøgelser af de behandlinger af oplysninger, der foretages i forbindelse med anvendelsen af de pågældende applikationer, og at udarbejde supplerende udkast til afgørelser på dette grundlag.

6

Efter drøftelser med de øvrige berørte tilsynsmyndigheder konstaterede sagsøgeren, at der ikke kunne opnås enighed om indsigelserne mod sagsøgerens udkast til afgørelser, og forelagde sagen for EDPB inden for rammerne af den sammenhængsmekanisme, der er indført ved forordning 2016/679 i henhold til forordningens artikel 60, stk. 4.

7

Efter behandlingen af de tre sager vedtog EDPB den 5. december 2022 de bindende afgørelser 3/2022, 4/2022 og 5/2022 på grundlag af artikel 65, stk. 1, litra a), i forordning 2016/679. I disse tre bindende afgørelser fandt EDPB først og fremmest, at størstedelen af indsigelserne mod sagsøgerens udkast til afgørelser var relevante og begrundede som omhandlet i artikel 4, nr. 24), i forordning 2016/679, og at EDPB kunne tage stilling til de spørgsmål, som de rejste. I den forbindelse var EDPB enig i indholdet af en række af disse indsigelser, som EDPB anså for relevante og velbegrundede.

[udelades]

15

Sagsøgeren har nedlagt følgende påstande:

16

EDPB har i de tre sager nedlagt følgende påstande:

17

Sagsøgeren har i de tre sager fremsat et enkelt anbringende om, at EDPB har overskredet den kompetence, der er tillagt dette råd i henhold til artikel 65, stk. 1, litra a), i forordning 2016/679 ved i hver af de omhandlede bindende afgørelser at pålægge sagsøgeren for det første at foretage en ny undersøgelse af forhold, der endnu ikke er undersøgt, og for det andet at fremlægge et supplerende udkast til afgørelse i overensstemmelse med samme forordnings artikel 60, stk. 3, på grundlag af resultaterne af denne nye undersøgelse.

[udelades]

29

Når dette er sagt, skal det bemærkes, at det fremgår af fast retspraksis, at der principielt ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori den indgår, og til de mål, der forfølges med den ordning, som den udgør en del af (jf. i denne retning dom af 29.11.2018, Mensing, C-264/17, EU:C:2018:968, præmis 24 og den deri nævnte retspraksis). I den foreliggende sag er visse af sagsøgerens argumenter baseret på betragtninger eller principper, der går videre end selve forordning 2016/679. Retten skal derfor tage stilling til omfanget den kompetence, som EDPB er tillagt i medfør af artikel 65, stk. 1, litra a), i forordning 2016/679 ved om nødvendigt først at undersøge de argumenter, som sagsøgeren har fremført som led i en ordlyds-, kontekstuel, teleologisk og historisk fortolkning af denne forordning, dernæst de argumenter, som sagsøgeren har fremsat vedrørende tildelingen af en sådan kompetence til et EU-organ, argumenterne vedrørende kendetegnene ved en national domstolsprøvelse og argumenterne vedrørende uafhængigheden for de tilsynsmyndigheder, der er ansvarlige for beskyttelsen af personoplysninger.

30

Sagsøgeren har støttet sig på ordlyden af artikel 65, stk. 1, litra a), artikel 65, stk. 6, og artikel 4, nr. 24), i forordning 2016/679 med henblik på at gøre gældende, at EDPB ikke har kompetence til i en bindende afgørelse vedtaget i henhold til den første af disse bestemmelser at pålægge en ledende tilsynsmyndighed at udvide sin undersøgelse og at fremlægge et nyt udkast til afgørelse med henblik på at drage konklusioner af denne supplerende undersøgelse. Sagsøgeren har i denne forbindelse også påberåbt sig 126. og 136. betragtning til denne forordning.

31

Artikel 65, stk. 1, litra a), i forordning 2016/679 bestemmer:

»Med henblik på at sikre korrekt og konsekvent anvendelse af denne forordning i hvert enkelt tilfælde vedtager [EDPB] en bindende afgørelse [...] hvis en berørt tilsynsmyndighed [...] er fremkommet med en relevant og begrundet indsigelse mod et udkast til afgørelse udarbejdet af den ledende tilsynsmyndighed, og den ledende tilsynsmyndighed ikke har fulgt indsigelsen eller har afvist en sådan indsigelse som værende uden relevans eller ubegrundet. Den bindende afgørelse skal vedrøre alle spørgsmål, der er genstand for den relevante og begrundede indsigelse, navnlig hvorvidt denne forordning er overtrådt.«

32

Artikel 4, nr. 24), i forordning 2016/679 definerer den relevante og begrundede indsigelse således:

»en indsigelse mod et udkast til afgørelse om, hvorvidt der foreligger en overtrædelse af denne forordning, eller hvorvidt en planlagt foranstaltning i forbindelse med den dataansvarlige eller databehandleren overholder denne forordning, og som klart påviser betydningen af de risici, som udkastet til afgørelse udgør for registreredes grundlæggende rettigheder og frihedsrettigheder og, hvis det er relevant, for den frie udveksling af personoplysninger i Unionen«.

33

Artikel 65, stk. 6, i forordning 2016/679 bestemmer bl.a. følgende:

»Den ledende tilsynsmyndighed eller efter omstændighederne den tilsynsmyndighed, til hvem en klage er indgivet, vedtager sin endelige afgørelse på grundlag af den i denne artikels stk. 1 omhandlede afgørelse uden unødig forsinkelse og senest en måned efter, at [EDPB] har meddelt sin afgørelse. [...] Den berørte tilsynsmyndigheds endelige afgørelse vedtages i henhold til artikel 60, stk. 7, 8 og 9. Den endelige afgørelse skal indeholde en henvisning til den afgørelse, der er omhandlet i nærværende artikels stk. 1, og angive, at den i nævnte stykke omhandlede afgørelse vil blive offentliggjort på [EDPB’s] websted i overensstemmelse med nærværende artikels stk. 5. Den i nærværende artikels stk. 1 omhandlede afgørelse vedlægges den endelige afgørelse.«

34

Ifølge sagsøgeren begrænser de tre bestemmelser, der er nævnt i præmis 31-33 ovenfor, rækkevidden af en bindende afgørelse fra EDPB, der er vedtaget på grundlag af artikel 65, stk. 1, litra a), i forordning 2016/679, til anvendelsesområdet for de analyser, der er foretaget i udkastet til afgørelse fra den ledende tilsynsmyndighed og meddelt de øvrige tilsynsmyndigheder, der er involveret i sagen. En sådan bindende afgørelse kan nemlig kun følge op på en relevant og begrundet indsigelse, der skal vedrøre indholdet af udkastet til afgørelse og ikke noget, der ikke fremgår heraf. Retsvirkningen af den bindende afgørelse er begrænset til de ændringer, som den kompetente tilsynsmyndighed i den endelige afgørelse jf. samme forordnings artikel 65, stk. 6, skal foretage i udkastet til afgørelse senest en måned efter dets meddelelse. Den bindende afgørelse kan således kun vedrøre den korrekte fortolkning af forordning 2016/679 i forhold til indholdet af den ledende tilsynsmyndigheds udkast til afgørelse, og de omhandlede bestemmelser tillægger ikke EDPB nogen beføjelse til at instruere denne myndighed vedrørende andre spørgsmål, f.eks. til at kræve, at EDPB foretager en undersøgelse eller forelægger et nyt udkast til afgørelse.

35

Denne fortolkning er imidlertid restriktiv i forhold til ordlyden af de bestemmelser, der er nævnt i præmis 31-33 ovenfor. Det skal nemlig bemærkes, at begrebet »relevant og begrundet indsigelse« i artikel 4, nr. 24), i forordning 2016/679 omfatter en »indsigelse mod et udkast til afgørelse om, hvorvidt der foreligger en overtrædelse af denne forordning, [...] som klart påviser betydningen af de risici, som udkastet til afgørelse udgør for registreredes grundlæggende rettigheder og frihedsrettigheder«. Selv om artikel 65, stk. 1, litra a), i forordning 2016/679 fastsætter, at en bindende afgørelse, der vedtages i denne henseende, »skal vedrøre alle spørgsmål, der er genstand for den relevante og begrundede indsigelse«, er der imidlertid intet til hinder for, at en sådan indsigelse vedrører den manglende eller utilstrækkelige analyse i det omhandlede udkast til den ledende tilsynsmyndigheds afgørelse af et aspekt af sagsakterne, som gør det umuligt at fastslå, om der foreligger en overtrædelse af den nævnte forordning med hensyn til dette aspekt. I modsætning til, hvad sagsøgeren har gjort gældende, er udtrykket »indsigelse mod et udkast til afgørelse« ikke begrænset til indsigelser mod betragtninger i udkastet til afgørelse. Eftersom EDPB’s bindende afgørelse skal vedrøre alle de spørgsmål, der er genstand for relevante og begrundede indsigelser, er der derfor intet til hinder for, at denne afgørelse, når EDPB godkender en relevant og begrundet indsigelse vedrørende en sådan mangel eller utilstrækkelighed, indeholder et påbud til den ledende tilsynsmyndighed om at afhjælpe denne manglende analyse og, hvis det forekommer nødvendigt i lyset af de sagsakter, som EDPB er i besiddelse af, at uddybe eller udvide den hidtil foretagne undersøgelse med henblik herpå. Hvis det viser sig, at sagsakterne er utilstrækkelige til at gennemføre den krævede analyse fuldt ud, skal dette nemlig føre til, at EDPB kan kræve, at den ledende tilsynsmyndighed foretager en supplerende undersøgelse.

36

Det skal endvidere fastslås, at ordlyden af de tre bestemmelser, der er nævnt i præmis 31-33 ovenfor, samlet set ikke begrænser rækkevidden af en bindende afgørelse til kun at omfatte de umiddelbare ændringer, der skal foretages i det udkast til afgørelse, som den ledende tilsynsmyndighed har forelagt med henblik på at vedtage en endelig afgørelse på de betingelser, der er præciseret i artikel 65, stk. 6, i forordning 2016/679, dvs. til ændringer vedrørende indholdet af udkastet til afgørelse og ikke til noget, der ikke fremgår heraf. I modsætning til, hvad sagsøgeren har gjort gældende, har sidstnævnte bestemmelse i denne henseende kun til formål at præcisere de nærmere bestemmelser for vedtagelsen af den endelige afgørelse, når denne afgørelse kan følge umiddelbart efter en bindende afgørelse truffet af EDPB, navnlig når der ikke er behov for at genoptage undersøgelsen eller for at foretage en bredere eller grundigere analyse af visse aspekter af sagen. Denne bestemmelse udgør ikke en bestemmelse om det mulige indhold af en bindende afgørelse, der er bestemt af det retsgrundlag, på grundlag af hvilket denne afgørelse er vedtaget, i dette tilfælde artikel 65, stk. 1, litra a), i forordning 2016/679, der selv skal sammenholdes med denne forordnings artikel 4, nr. 24), for så vidt angår definitionen af begrebet »relevant og begrundet indsigelse«. Det skal i denne henseende fremhæves, at artikel 65, stk. 1, i forordning 2016/679 omhandler forskellige typer bindende afgørelser truffet af EDPB, der ikke nødvendigvis indebærer en tilsynsmyndigheds efterfølgende og øjeblikkelig vedtagelse af en endelig afgørelse.

[udelades]

38

Den ordlydsfortolkning, der er foretaget i præmis 35 og 36 ovenfor af de tre bestemmelser, der er nævnt i præmis 31-33 ovenfor, berøres i modsætning til, hvad sagsøgeren har gjort gældende, ikke af ordlyden af 126. og 136. betragtning til forordning 2016/679. I den første af disse betragtninger, hvori det anføres, at »[a]gørelsen bør træffes i fællesskab af den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder«, undtager lovgiver nemlig på ingen måde spørgsmålet om omfanget af den analyse, som en sådan afgørelse skal omfatte i en bestemt sag, fra de berørte tilsynsmyndigheders bedømmelse ud over den ledende tilsynsmyndighed, eftersom »afgørelse« ikke kun er et resultat af de heri foretagne vurderinger, men også af omfanget af de aspekter, som den berører. Hvis der ikke er enighed om dette punkt mellem de berørte tilsynsmyndigheder, og EDPB får sagen forelagt, udelukker ordlyden af denne betragtning derfor ikke EDPB fra at pålægge en bredere analyse og om nødvendigt en undersøgelse. Ligeledes fremgår det af 136. betragtning til forordning 2016/679, at EDPB »[...] med et flertal på to tredjedele af sine medlemmer [bør] vedtage juridisk bindende afgørelser i klart angivne tilfælde, hvor der er modstridende synspunkter blandt tilsynsmyndighederne, særlig i samarbejdsmekanismen mellem den ledende tilsynsmyndighed og de berørte tilsynsmyndigheder om en sags realitet, navnlig hvorvidt der foreligger en overtrædelse af denne forordning«. I modsætning til, hvad sagsøgeren har gjort gældende, er omfanget af undersøgelsen ikke et proceduremæssigt aspekt, men vedrører sagens realitet, for så vidt som omfanget af undersøgelsen er afgørende for, hvad der skal undersøges med henblik på at vurdere, om den eller de pågældende behandlinger af oplysninger overholder forordning 2016/679.

39

I denne henseende skal et andet af sagsøgerens argumenter, hvorefter fortolkningen af begrebet »relevant og begrundet indsigelse«, der er anført i præmis 35 ovenfor, gør det muligt for EDPB at udstede påbud til den ledende tilsynsmyndighed vedrørende alle de beføjelser, som denne myndighed besidder, alene på den betingelse, at et spørgsmål, der er rejst af en berørt tilsynsmyndighed, kan kvalificeres som en relevant og begrundet indsigelse i den således fastlagte forstand, forkastes. Som det fremgår af artikel 4, nr. 24), i forordning 2016/679, kan en relevant og begrundet indsigelse mod et udkast til afgørelse fra den ledende tilsynsmyndighed kun vedrøre et aspekt af spørgsmålet om, hvorvidt denne forordning er overholdt, eller om de påtænkte korrigerende foranstaltninger over for den dataansvarlige eller databehandleren selv er i overensstemmelse med forordningen. En sådan indsigelse kan derfor udelukkende vedrøre sagens realitet og den ledende tilsynsmyndigheds endelige beslutningsbeføjelser, der ligeledes vedrører sagens realitet og bl.a. kan afledes af samme forordnings artikel 58, stk. 2. En sådan indsigelse kan derfor ikke vedrøre selve gennemførelsen af undersøgelsen (modsat undersøgelsens omfang), der foretages på grundlag af tilsynsmyndighedernes undersøgelsesbeføjelser som omhandlet i artikel 58, stk. 1, i forordning 2016/679.

40

En analyse af ordlyden af artikel 65, stk. 1, litra a), i forordning 2016/679, sammenholdt med ordlyden af samme forordnings artikel 4, nr. 24), artikel 65, stk. 6, og 126. samt 136. betragtning hertil, indebærer dermed, at EDPB skal anses for at have kompetence til at træffe foranstaltninger, såsom de anfægtede vedtagelser, der pålægger sagsøgeren at foretage en ny undersøgelse af visse aspekter af de omhandlede sager og efterfølgende vedtage nye udkast til afgørelser i denne henseende. Det skal derfor undersøges, om de argumenter, som sagsøgeren har fremført i forbindelse sin kontekstuelle og teleologiske fortolkning af forordning 2016/679, er til hinder for resultaterne af denne første analyse.

[udelades]

43

I modsætning til, hvad sagsøgeren har gjort gældende, er den procedure for samarbejde mellem de af en sag berørte tilsynsmyndigheder, der er beskrevet i artikel 60 i forordning 2016/679, og som kan indebære udløsning af den i stk. 4 omhandlede sammenhængsmekanisme, som EDPB sikrer, i denne henseende ikke en »envejsprocedure«, hvor de forskellige trin altid vil blive gennemført i samme rækkefølge som fastsat i de bestemmelser, der omhandler denne mekanisme, uden mulighed for at vende tilbage til et tidligere trin eller for midlertidig opretholdelse på samme trin. Således kan proceduren f.eks. med udgangspunkt i den situation, der er beskrevet af ansøgeren i punkt 5, hvor den ledende tilsynsmyndighed havde til hensigt at følge andre relevante tilsynsmyndigheders indsigelser mod dens udkast til afgørelse, hvilket udkast var blevet forelagt i henhold til stk. 3, og hvor den ledende tilsynsmyndighed for disse myndigheder havde forelagt et revideret udkast til afgørelse, udvikle sig på en række forskellige måder. Hvis disse myndigheder ikke gør indsigelse mod det reviderede udkast, vedtages den eller de endelige afgørelser efterfølgende direkte i overensstemmelse med stk. 6-9. I modsat fald, dvs. i tilfælde af indsigelser mod det reviderede udkast, forlænges det trin, der er omhandlet i stk. 5, såfremt den ledende tilsynsmyndighed helt eller delvist accepterer disse indsigelser, hvilket indebærer, at det er nødvendigt, at den ledende tilsynsmyndighed forelægger et nyt revideret udkast, der tager hensyn til de indsigelser, som den har accepteret. Hvis den ledende tilsynsmyndighed ikke accepterer alle eller kun nogle af indsigelserne mod det reviderede udkast, skal den i overensstemmelse med stk. 4 udløse sammenhængsmekanismen ved at henvise sagen til EDPB på grundlag af det mest fuldstændige reviderede udkast til afgørelse.

44

EDPB har i svarskriftet givet et andet eksempel, der illustrerer, at proceduren for samarbejde mellem de af en sag berørte tilsynsmyndigheder, jf. artikel 60 i forordning 2016/679, ikke nødvendigvis er »envejs«. Efter at andre berørte tilsynsmyndigheder har gjort indsigelse mod EDPB’s udkast til afgørelse, der er fremlagt i henhold til denne artikels stk. 3, kan den ledende tilsynsmyndighed selv vurdere, at det i stedet for først at fremlægge et revideret udkast til afgørelse eller udløse sammenhængsmekanismen vil være hensigtsmæssigt at gå tilbage og undersøge sagen yderligere, inden den på ny fremlægger et udkast til afgørelse i henhold til samme stk. 3. EDPB har anført, at den franske tilsynsmyndighed har gjort dette i en sag.

45

I tilfælde af, at EDPB handler i henhold til samme artikels stk. 4 og vedtager en bindende afgørelse, forekommer der ligeledes flere mulige scenarier. Hvis alle relevante aspekter af sagen er blevet tilstrækkeligt behandlet i den ledende tilsynsmyndigheds udkast til afgørelse, kan denne myndighed eller i givet fald den tilsynsmyndighed, som klagen er indgivet til, i henhold til samme artikels stk. 6-9 vedtage en eller flere endelige afgørelser, der afslutter sagen, idet der bl.a. tages hensyn til den bindende afgørelse fra EDPB. Hvis det på den anden side i den bindende afgørelse fra EDPB efter indsigelser herom er blevet fastslået, at udkastet til afgørelse fra den ledende tilsynsmyndighed ikke behandler, eller ikke i tilstrækkelig grad behandler, alle relevante aspekter af sagen, og at det derfor i givet fald er nødvendigt at genoptage undersøgelsen, kan der eventuelt vedtages en eller flere delvise endelige afgørelser af den ledende tilsynsmyndighed eller af den tilsynsmyndighed, som klagen er indgivet til, i henhold til ovennævnte bestemmelser, men den ledende tilsynsmyndighed skal samtidig afslutte sin analyse, om nødvendigt efter at have foretaget en ny undersøgelse med henblik på i overensstemmelse med samme artikels stk. 3 at forelægge et supplerende udkast til afgørelse for de øvrige berørte tilsynsmyndigheder.

46

Sagsøgeren har fremført et andet argument i forbindelse med den kontekstuelle fortolkning, hvorefter artikel 57, stk. 1, litra f), i forordning 2016/679, sammenholdt med 141. betragtning til samme forordning, hvoraf det følger, at tilsynsmyndigheden behandler klager og undersøger deres genstand i det omfang, det er hensigtsmæssigt, viser, at omfanget af den undersøgelse, der skal foretages som følge af en klage, henhører under de nationale tilsynsmyndigheders kompetence, der alene kan underkastes national domstolsprøvelse.

47

I 141. betragtning til forordning 2016/679 er følgende bl.a. anført:

»Enhver registreret bør have ret til at indgive klage til en enkelt tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted, og have adgang til effektive retsmidler [...], hvis den registrerede finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, eller hvis tilsynsmyndigheden ikke reagerer på en klage, delvist eller helt afslår eller afviser en klage eller ikke handler, hvis handling er nødvendig for at beskytte den registreredes rettigheder. Undersøgelse af en klage bør foretages i det omfang, det er passende i det specifikke tilfælde, med forbehold af domstolskontrol. [...]«

48

Artikel 57, stk. 1, litra f), i forordning 2016/679 og de betragtninger, som sagsøgeren har påberåbt sig, fører imidlertid ikke til, at spørgsmålet om, hvorvidt undersøgelsen er hensigtsmæssig, falder uden for mekanismerne for samarbejde mellem de berørte tilsynsmyndigheder og sammenhængsmekanismen inden for EDPB.

49

Artikel 57 i forordning 2016/679, der vedrører samtlige de opgaver, som tilsynsmyndighederne har, fastsætter nemlig som den første opgave i stk. 1, litra a), opgaven med at føre tilsyn med anvendelsen af forordning 2016/679 og at håndhæve denne anvendelse. I modsætning til hvad sagsøgeren i det væsentlige har gjort gældende i retsmødet, skal analysen af de betingelser, hvorunder en behandling af personoplysninger foretages, og af, om behandlingen er i overensstemmelse med denne forordning, således ikke begrænses til, hvad der er fremhævet i en klagers klage.

50

Hvis den fulde udførelse af de opgaver, der er fastsat i artikel 57, stk. 1, litra a) og f), i forordning 2016/679, og overholdelsen af denne forordning skal sikres, og hvis klager skal behandles i det omfang, det er nødvendigt, indebærer dette, at omfanget af analysen af sagen i forhold til den klage, der ligger til grund for analysen, men også i forhold til de øvrige elementer, der kan supplere den, er passende. Denne analyse skal, henset til, at den omhandlede behandling af personoplysninger er grænseoverskridende, føre til vedtagelsen af afgørelser, der er genstand for den samarbejdsprocedure, der er fastsat i denne forordnings artikel 60. Inden for rammerne af denne procedure er det kriterium, der skal opfyldes, for at et spørgsmål kan gøres til genstand for en bindende afgørelse truffet af EDPB på grundlag af den nævnte forordnings artikel 65, stk. 1, litra a), kriteriet om, hvorvidt spørgsmålet har givet anledning til en relevant og begrundet indsigelse som defineret i samme forordnings artikel 4, nr. 24). Den relevante og begrundede indsigelse vedrører ifølge sin definition aspekter, hvis analyse falder inden for rammerne af de to ovennævnte opgaver. Den omstændighed, at en relevant og begrundet indsigelse vedrører omfanget af en analyse og i givet fald omfanget af en undersøgelse, og at EDPB handler på grundlag heraf, bringer dermed på ingen måde disse opgaver i fare. Den omstændighed, at de mellemliggende afgørelser fra tilsynsmyndighederne, der følger efter en klage, kan gøres til genstand for søgsmål ved de nationale domstole, er i øvrigt ikke til hinder for, at den ledende tilsynsmyndigheds udkast til afgørelse inden for de materielle grænser, der er fastsat for den sammenhængsmekanisme, der er indført ved forordning 2016/679, kan gøres til genstand for EDPB’s kontrol.

51

De argumenter, som sagsøgeren har fremført i forbindelse med den kontekstuelle fortolkning, gør det således ikke muligt at støtte sagsøgerens synspunkt om, at EDPB ikke havde kompetence til at vedtage de anfægtede vedtagelser.

52

Tværtimod bekræfter den overordnede sammenhæng for den forpligtelse til samarbejde mellem de af en sag berørte tilsynsmyndigheder, der er fastsat i forordning 2016/679, at EDPB har kompetence i denne henseende. Forordningens artikel 60, stk. 1, bestemmer nemlig bl.a., at »[d]en ledende tilsynsmyndighed samarbejder i henhold til denne artikel med de andre berørte tilsynsmyndigheder med henblik på at nå til enighed«. Samme forordnings artikel 60, stk. 3, præciserer, at »[d]en ledende tilsynsmyndighed underretter straks de andre berørte tilsynsmyndigheder om sagens relevante oplysninger«, og at den »forelægger straks de andre berørte tilsynsmyndigheder et udkast til afgørelse med henblik på deres udtalelse og tager behørigt hensyn til deres synspunkter«.

53

Det følger heraf, at samarbejdet mellem de berørte tilsynsmyndigheder især vedrører analysen af sagen som helhed og udarbejdelsen af afgørelsen, og at den ledende tilsynsmyndighed skal søge at opnå enighed med de andre berørte tilsynsmyndigheder i denne henseende. Der er intet i de ovennævnte bestemmelser, der gør det muligt at udelukke spørgsmålet om omfanget af den analyse, der skal foretages, eller i givet fald spørgsmålet om omfanget af den undersøgelse, der skal gennemføres, fra denne samarbejdsforpligtelse. I dom af 15. juni 2021, Facebook Ireland m.fl. (C-645/19, EU:C:2021:483, præmis 63 og 64), mindede Domstolen om, at der ikke kan ses bort fra en nødvendig dialog og loyalt og effektivt samarbejde mellem de tilsynsmyndigheder, der er berørt af en sag.

54

Det følger af præmis 41-53 ovenfor, at den undersøgelse af sammenhængen, der er fastsat i bestemmelserne i forordning 2016/679, bekræfter den ordlydsfortolkning, der er foretaget ovenfor.

55

Ud fra en formålsfortolkning har sagsøgeren indledningsvis gjort gældende, at det er uforeneligt med formålet med den »ét-steds«-ordning, som lovgiver tilsigtede med vedtagelsen af forordning 2016/679, at indrømme EDPB beføjelse til at pålægge en ledende tilsynsmyndighed at udarbejde et udkast til en supplerende afgørelse og forudgående at udvide omfanget af sin undersøgelse med henblik herpå. Oprettelsen af en enkelt tilsynsmyndighed for berørte parter har bl.a. haft til formål at undgå overflødige udgifter og urimelige ulemper, således som det fremgår af 129. betragtning til denne forordning. En genoptagelse af en undersøgelse blot på grund af uenighed mellem tilsynsmyndighederne ville være i strid med dette mål, da det ville påtvinge klagerne og de berørte virksomheder udgifter og ulemper i forbindelse med en genoptagelse af undersøgelsen, når dette trin burde have været afsluttet.

56

Uden at det er nødvendigt at kommentere lovgivers intentioner, er det imidlertid tilstrækkeligt at bemærke, at en »ét-steds«-ordning opfylder et forenklingsformål af proceduremæssig karakter, som ikke kan gå forud for det væsentlige formål med forordning 2016/679 om at sikre respekten for fysiske personers grundlæggende ret til beskyttelse af deres personoplysninger. Første betragtning til denne forordning minder om, at det i artikel 8, stk. 1, i chartret om grundlæggende rettigheder og artikel 16, stk. 1, TEUF fastsættes, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende. En udvidelse af undersøgelsen, som mindst halvdelen af tilsynsmyndighederne inden for EDPB nødvendigvis skal have anmodet om, har i modsætning til, hvad sagsøgeren har gjort gældende, ikke til formål at komplicere opgaven for en person, der har indgivet en klage, eller for den dataansvarlige, som klagen er rettet mod, men udgør en foranstaltning til at forsvare deres respektive rettigheder. En undersøgelse og analyse foretaget af den ledende tilsynsførende, der fra starten dækker alle de aspekter, der er nødvendige for at træffe en fuldstændig endelig afgørelse i den pågældende sag, gør det i øvrigt muligt at undgå de ulemper, som sagsøgeren har nævnt.

57

Sagsøgerens argument om, at genoptagelsen af en undersøgelse forsinker den endelige behandling af aspekter, der allerede er blevet analyseret og afgjort, må ligeledes forkastes.

58

Som sagsøgeren i øvrigt har gjort det i den foreliggende sag, skal den kompetente myndighed i en sådan situation derimod træffe en endelig afgørelse om de materielle aspekter, der er analyseret og afgjort i en bindende afgørelse fra EDPB inden for den frist, der er fastsat i artikel 65, stk. 6, i forordning 2016/679. Dette er ikke til hinder for, at EDPB foretager en supplerende undersøgelse og analyserer de aspekter af sagen, der endnu ikke er blevet undersøgt.

59

Sagsøgeren har endvidere anført, at den omstændighed, at EDPB ikke er med til at fastlægge omfanget af den analyse, som en sag bør give anledning til, idet der er tale om et forudgående eller proceduremæssigt skridt, ikke er til hinder for, at samarbejdsmekanismen mellem tilsynsmyndighederne kan fungere.

60

Samarbejdsmekanismen er imidlertid afgrænset i tilfælde, hvor de berørte tilsynsmyndigheder ikke når til enighed. Det er i denne situation, der udtrykkeligt er fastsat i artikel 60, stk. 4, i forordning 2016/679, at den ledende tilsynsmyndighed uden forudgående samtykke skal forelægge et spørgsmål for sammenhængsmekanismen, hvilket vil føre til en bindende afgørelse fra EDPB, således som det fremgår af denne bestemmelse.

61

Endelig har sagsøgeren gjort gældende, at en sådan mangel på enighed kan løses gennem en national domstolsprøvelse. Kommissionen har anført, at det fremgår af artikel 58, stk. 4, i forordning 2016/679 og 141. betragtning hertil, at undersøgelsen er underlagt en effektiv domstolsprøvelse.

62

Hvis EDPB ikke kan løse et problem vedrørende omfanget af den analyse, der er blevet foretaget af den ledende tilsynsmyndighed, vil den nationale domstol ganske vist kunne gribe ind i denne henseende. Forordning 2016/679 fastsætter imidlertid, at spørgsmål, der rejses i forbindelse med en relevant og begrundet indsigelse fra en berørt tilsynsmyndighed, jf. den nævnte forordnings artikel 4, nr. 24), skal løses tilsynsmyndigherderne imellem inden for rammerne af samarbejdsmekanismerne og, hvor det er relevant, inden for rammerne af sammenhængsmekanismen. Som det er blevet undersøgt ovenfor, kan et problem vedrørende omfanget af analysen og, hvor det er relevant, af den undersøgelse, der udføres af den ledende tilsynsmyndighed, imidlertid give anledning til en relevant og begrundet indsigelse i ovennævnte forstand. Den mulighed for at anlægge sag ved en nationale ret vedrørende et problem af denne art, som i øvrigt ikke nødvendigvis vil være let for en klager, der er bosiddende i en anden stat end den ledende tilsynsmyndighed, bevirker dermed ikke, at en vedvarende uenighed mellem de berørte tilsynsmyndigheder om spørgsmål, der har været genstand for relevante og begrundede indsigelser, ikke kan løses inden for EDPB.

63

Det følger af præmis 55-62 ovenfor, at undersøgelsen af formålene med forordning 2016/679 ligeledes bekræfter den ordlydsfortolkning, der er foretaget ovenfor.

[udelades]

65

Sagsøgeren har for det første i det væsentlige gjort gældende, at principperne for tildeling af kompetence til et EU-organ ikke gør det muligt at fortolke forordning 2016/679 i den forstand, der er omhandlet i de foregående analyser, nemlig således, at denne forordning tildeler EDPB den omtvistede kompetence.

66

Sagsøgeren har henvist til artikel 5 TEU for at minde om, at Unionen kun kan handle inden for rammerne af de kompetencer, som den er blevet tildelt. Dette princip gælder for såvel EU’s institutioner som EU’s organer, såsom EDPB. De sidstnævnte er endvidere underlagt den »Meroni-doktrin«, der følger af dom af 13. juni 1958, Meroni mod Den Høje Myndighed (9/56, EU:C:1958:7), der finder anvendelse på EU-organer, således som fastslået af Domstolen vedrørende Den Europæiske Værdipapir- og Markedstilsynsmyndighed (ESMA) i dom af 22. januar 2014, Det Forenede Kongerige mod Parlamentet og Rådet (C-270/12, EU:C:2014:18, præmis 53 og 54). Denne doktrin kræver, at EU-organernes beføjelser afgrænses præcist og kan underkastes domstolskontrol i lyset af de mål, der er fastsat for det pågældende organ. I den anden ovennævnte doms præmis 45 blev det navnlig fastslået, at ESMA’s beføjelser, der blev drøftet i denne sag, og som Domstolen i sidste ende bekræftede, var reguleret af visse kriterier og betingelser, som begrænser ESMA’s spillerum. I dom af 15. juli 2021, FBF (C-911/19, EU:C:2021:599, præmis 67 og 75), vedrørende Den Europæiske Banktilsynsmyndighed (EBA) præciserede Domstolen, at lovgiver udtrykkeligt skal fastsætte en beføjelse for et EU-organ, og at denne beføjelse skal kunne gøres til genstand for en nøje domstolsprøvelse.

67

Disse i retspraksis anvendte princippet vedrører således EDPB, der blev oprettet som et EU-organ som omhandlet i artikel 68 i forordning 2016/679.

68

Det skal derfor først efterprøves, om den fortolkning, der tidligere er anlagt i nærværende dom, gør det muligt at fastslå, at EDPB’s udøvelse af sin beføjelse, når EDPB pålægger en ledende tilsynsmyndighed at udvide sin analyse og i givet fald sin undersøgelse, »er reguleret af visse kriterier og betingelser, som begrænser [EDPB’s] spillerum«, således som Domstolen fastslog for så vidt angår ESMA’s beføjelse, der var anfægtet i den sag, der gav anledning til dom af 22. januar 2014, Det Forenede Kongerige mod Parlamentet og Rådet (C-270/12, EU:C:2014:18).

69

I denne henseende bemærkes, således som det følger af artikel 65, stk. 1, litra a), i forordning 2016/679, sammenholdt med nævnte forordnings artikel 4, nr. 24), at denne beføjelse til at pålægge en ledende tilsynsmyndighed at udvide sin analyse og i givet fald sin undersøgelse først kan gennemføres, efter at en berørt tilsynsmyndighed har fremsat en relevant og begrundet indsigelse mod den ledende tilsynsmyndigheds udkast til afgørelse vedrørende den omhandlede sags manglende analyse af et aspekt af spørgsmålet om, »hvorvidt der foreligger en overtrædelse af [...] forordning [2016/679], eller hvorvidt en planlagt foranstaltning i forbindelse med den dataansvarlige eller databehandleren overholder denne forordning«, og som »klart påviser betydningen af de risici, som udkastet til afgørelse udgør for registreredes grundlæggende rettigheder og frihedsrettigheder og, hvis det er relevant, for den frie udveksling af personoplysninger i Unionen«.

70

I henhold til artikel 65, stk. 2 og 3, i forordning 2016/679 forudsætter udøvelsen af ovennævnte beføjelse desuden i det væsentlige, at den relevante og begrundede indsigelse og de virkninger, som den skal have, er godkendt af et flertal på to tredjedele eller med simpelt flertal blandt EDPB’s medlemmer og i visse tilfælde af formanden. Det er derfor nødvendigt, at et betydeligt antal tilsynsmyndigheder bekræfter, at analysen af et vigtigt aspekt af den pågældende sag er mangelfuld eller utilstrækkelig, og at de bliver enige om, hvilke foranstaltninger den ledende tilsynsmyndighed skal træffe for at afhjælpe situationen. Der skal i denne henseende tages hensyn til, at EDPB selv er sammensat af et stort antal uafhængige myndigheder, der er specialiseret på dette område, og at en konvergerende flertalsudtalelse fra disse myndigheder inden for EDPB følgelig giver garantier for udøvelsen af denne beføjelse. Selv om begrebet »relevant og begrundet indsigelse«, der er nævnt i præmis 69 ovenfor, ganske vist giver plads til en skønsmargen, herunder navnlig med henblik på at afgøre, om den pågældende dataansvarlige eller databehandler har overtrådt forordning 2016/679, eller om et bestemt aspekt skal undersøges for at afgøre dette, henviser disse spørgsmål alle til præcise retsregler, der er fastsat i nævnte forordning, og som ikke giver mulighed for at udøve et »vidt skøn«.

71

For så vidt angår spørgsmålet om grænserne for EDPB’s beføjelser som sagsøgeren har anfægtet, skal det hermed sammenfattende bemærkes dels, at EDPB kun kan udøve denne beføjelse i tilfælde af en klart påvist mangel i den ledende tilsynsmyndigheds analyse i forbindelse med behandlingen af sagen, der kan have betydelige konsekvenser, således som det fremgår af definitionen af den relevante og begrundede indsigelse i artikel 4, nr. 24), i forordning 2016/679, dels, at denne beføjelse følger af den samlede vurdering, der foretages af de tilsynsmyndigheder, der udgør EDPB, og på de betingelser, der er beskrevet i punkt 70 ovenfor.

72

Hvad angår spørgsmålet om, hvorvidt lovgiver »udtrykkeligt« har fastsat den omhandlede beføjelse, skal det bemærkes, at adverbiet »udtrykkeligt« og adverbierne »udtrykkeligt« og »klart«, som er synonymer og henviser til henholdsvis adjektiverne »udtrykkelig«, »udtrykkelig« og »klar«, indebærer, at der ikke er nogen tvivl om rækkevidden af det anførte. Det følger imidlertid af den fortolkning af ordlyd, kontekst og formål, der er foretaget ovenfor, at der ikke er tvivl om, at EDPB råder over den anfægtede kompetence, og at denne kompetence derfor udtrykkeligt er fastsat af lovgiver. Det skal bemærkes, at i dom af 15. juli 2021, FBF (C-911/19, EU:C:2021:599), der berørte EBA, vedrørte de af denne myndighed udstukne retningslinjer – som det var omtvistet, om den havde beføjelse til at vedtage – »retningslinjer for produktudviklings- og produktstyringsprocesser«. Ingen af de bestemmelser, der fandt anvendelse på denne myndighed, angav med en klar ordlyd, at den kunne vedtage retningslinjer om sådanne proesser. Det var på grundlag af en samlet analyse af disse bestemmelser, dvs. forordningen om oprettelse af EBA, der overordnet fastsatte EBA’s kompetence til at vedtage retningslinjer til visse formål, og forskellige direktiver vedrørende finansielle institutioner og produkter, at Domstolen fastslog, at de omtvistede retningslinjer henhørte under denne kompetence.

73

Det skal desuden fastslås, at udøvelsen af EDPB’s beføjelse til at pålægge en ledende tilsynsmyndighed at udvide sin analyse og om nødvendigt sin undersøgelse er underlagt domstolskontrol. I den foreliggende sag valgte sagsøgeren ganske vist at anfægte de anfægtede vedtagelser udelukkende med henvisning til EDPB’s manglende kompetence uden at sætte spørgsmålstegn ved EDPB’s konkrete vurdering af visse tilsynsmyndigheders indsigelser mod EDPB’s udkast til afgørelse, hvilken vurdering førte til vedtagelsen af disse vedtagelser. Unionens retsinstanser er imidlertid inden for rammerne af de anbringender, der gøres gældende for dem, i stand til at efterprøve den materielle lovlighed af sådanne vedtagelser på grundlag af omstændighederne i den konkrete sag. De kan navnlig i første omgang efterprøve, om EDPB ved at vedtage vedtagelser af denne art faktisk har fulgt op på en relevant og begrundet indsigelse fra en tilsynsmyndighed som omhandlet i artikel 4, nr. 24), i forordning 2016/679. De kan dernæst efterprøve lovligheden af selve indholdet af sådanne vedtagelser, der indeholder instrukser til tilsynsmyndighederne.

74

Denne form for domstolsprøvelse er »streng« som omhandlet i dommen i sag C-911/19, FBF (EU:C:2021:599, præmis 67). Dette skyldes nemlig, at den ret, der påkender lovligheden, generelt er bundet af sit embede og retsplejereglerne, og dens kontrol er nødvendigvis grundig, hvis den fuldt ud varetager sine opgaver inden for rammerne af disse regler. Med hensyn til realitetsspørgsmålene er det på grundlag af den skønsmargen, som ophavsmanden til den anfægtede retsakt eventuelt råder over, at den ret, der påkender lovligheden, enten udøver en normal kontrol (principielt af retlige aspekter, af fastlæggelsen af de faktiske omstændigheder og af en bunden kompetence) eller en begrænset prøvelse (principielt af komplekse tekniske aspekter, eller når myndigheden råder over en skønsmargen, i hvilke tilfælde retsinstansen kun sanktionerer et åbenbart urigtigt skøn) (jf. i denne retning og analogt for så vidt angår den nationale rets prøvelse af de nationale myndigheders afgørelser om beskyttelse af personoplysninger dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 68 og 69).

75

Det følger af præmis 67-74 ovenfor, at betingelserne for tildeling af kompetence til et EU-organ ikke er til hinder for den analyse, der er foretaget ovenfor i nærværende dom.

76

For det andet har sagsøgeren fremført forskellige grunde for at godtgøre, at de nationale retter er det »passende forum« til at behandle indsigelser mod undersøgelsen, dvs. at de er bedst egnede til at gøre dette.

77

Som anført i præmis 62 ovenfor har EU-lovgiver imidlertid valgt, at vedvarende uenighed mellem de berørte tilsynsmyndigheder vedrørende omfanget af analysen af en sag og i givet fald omfanget af den undersøgelse, der foretages vedrørende denne sag, skal afgøres inden for rammerne af sammenhængsmekanismen inden for EDPB. Sagsøgerens argumenter med henblik på at godtgøre, at de nationale retter udgør et »passende forum« til at behandle indsigelser i forbindelse med undersøgelsen, er følgelig irrelevante.

78

For så vidt som såvel den nationale ret som EDPB kan anmodes om at udtale sig om omfanget af analysen og undersøgelsen, skal det tilføjes, at der inden for anvendelsesområdet for konkurrencereglerne i artikel 101 TEUF og 102 TEUF, hvor ansvaret også er delt mellem nationalt plan og EU-plan for at gennemføre en EU-politik, er blevet udviklet en række principper i Domstolens praksis med henblik på at koordinere de nationale dommeres indsats og indsatsen fra den EU-enhed, der skal sikre sammenhængen i gennemførelsen af den pågældende politik, dvs. Kommissionen (dom af 28.2.1991, Delimitis, C-234/89, EU:C:1991:91, og af 14.12.2000, Masterfoods og HB, C-344/98, EU:C:2000:689). Selv om det ikke kan udelukkes, at en national ret i medfør af disse principper kan anse det for hensigtsmæssigt at udsætte sagen, indtil den kompetente EU-enhed har truffet en afgørelse, eller at denne ret, når en afgørelse er truffet, kan være bundet af den, medmindre den er i tvivl om dens gyldighed og inden for rammerne af en præjudiciel afgørelse anmode Domstolen om en vurdering heraf, er sådanne situationer en naturlig følge af en sådan ansvarsfordeling og af behovet for at sikre en ensartet anvendelse af den pågældende politik i hele EU.

79

Det skal ligeledes tilføjes, at i modsætning til, hvad sagsøgeren har gjort gældende, rejser en bindende afgørelse fra EDPB, der er vedtaget på grundlag af artikel 65, stk. 1, litra a), i forordning 2016/679, og som pålægger sagsøgeren at udvide sin analyse og undersøgelse, ikke tvivl om vedkommendes evne til at prioritere udførelsen af sine forskellige opgaver som uafhængig myndighed, hvilken opgave det alene tilkommer den nationale ret at efterprøve. Den rejser heller ikke overordnet set tvivl om EDPB’s uafhængighed i henhold til artikel 39 TEU, artikel 16, stk. 2, TEUF og artikel 8, stk. 3, i chartret om grundlæggende rettigheder.

80

For det første er den ledende tilsynsmyndighed, hvad enten det sker på eget initiativ, i samarbejdsfasen mellem de berørte tilsynsmyndigheder efter anmodning herom fra dens samarbejdspartnere eller efter en sådan bindende afgørelse, ikke forpligtet til at prioritere at gennemføre sin analyse og undersøgelse af en sag forud for alle andre opgaver, der så må udsættes. EDPB kan f.eks. meddele, at et første udkast til afgørelse eller en første afgørelse, som den har vedtaget, kun behandler en del af de spørgsmål, der er rejst i den pågældende sag, og at den vil fortsætte sin analyse og undersøgelse på et senere tidspunkt.

81

Det er kun under de omstændigheder, der er fastsat i artikel 66 i forordning 2016/679, hvor en anden berørt tilsynsmyndighed er af den opfattelse, at det er nødvendigt at handle omgående for at beskytte registreredes rettigheder og frihedsrettigheder, at en hurtig bindende afgørelse fra EDPB kan forpligte den ledende tilsynsmyndighed til straks at revidere prioriteringsrækkefølgen for at behandle en sag. Lovgiver har således kun fastsat denne mulighed for undtagelsestilfælde. De bindende afgørelser nr. 3/2022, nr. 4/2022 og nr. 5/2022 blev ikke vedtaget på grundlag af nævnte artikel 66 og pålagde følgelig ikke sagsøgeren en prioritetsrækkefølge mellem dens forskellige opgaver.

82

For det andet indebærer bestemmelserne i den primære ret, som sagsøgeren har påberåbt sig, ikke en absolut uafhængighed i den forstand, at de myndigheder i medlemsstaterne, der har hovedansvaret for at sikre anvendelsen af reglerne om beskyttelse af personoplysninger, ikke har nogen form for kontrol. Disse bestemmelser angiver blot, at kontrollen med overholdelsen af de nævnte bestemmelser er overladt til uafhængige myndigheder, hvilket således på ingen måde er til hinder for en ordning med gensidig kontrol mellem uafhængige myndigheder, såsom de samarbejds- og sammenhængsmekanismer, der er fastsat i forordning 2016/679, eller naturligvis en domstolsprøvelse af afgørelser truffet af de forskellige involverede myndigheder. Det vigtige er, at inspektørerne selv er uafhængige. Dette er tilfældet med EDPB, der består af medlemsstaternes tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse, som selv er uafhængig af de EU-institutioner og andre enheder, som den fører tilsyn med.

[udelades]

84

I henhold til procesreglementets artikel 134, stk. 1, pålægges det den tabende part at betale sagsomkostningerne, hvis der er nedlagt påstand herom. Da sagsøgeren har tabt sagen, bør det pålægges denne at betale sagsomkostningerne i overensstemmelse med EDPB’s påstand herom.

På grundlag af disse præmisser

udtaler og bestemmer

RETTEN (Tiende Udvidede Afdeling):