EDPB:s beslut är en rättsakt som kan tas upp till prövning
EU-domstolen slår fast att Europeiska dataskyddsstyrelsens (EDPB) bindande beslut, i vilket styrelsen löser en tvist mellan nationella tillsynsmyndigheter angående frågan om WhatsApp har åsidosatt GDPR, är en rättsakt som kan överklagas och som direkt berör WhatsApp. Domstolen upphäver därför tribunalens beslut om att avvisa WhatsApps talan mot EDPB:s beslut och återförvisar målet för prövning i sak.
Bakgrund
Den irländska tillsynsmyndigheten inledde i december 2018 en utredning om WhatsApp Ireland Ltd:s (WhatsApp) iakttagande i allmänhet av de öppenhets- och informationsskyldigheter gentemot enskilda som anges i artiklarna 12–14 i GDPR (förordning [EU] 2016/679). I december 2020 lade den irländska tillsynsmyndigheten fram ett utkast till beslut. Ett antal tillsynsmyndigheter framförde då invändningar. Den irländska tillsynsmyndigheten beslutade att avslå samtliga invändningar som det inte gick att nå enighet om och hänsköt frågan till EDPB för att den skulle avgöra tvisten rörande de punkter som invändningarna avsåg. Den 28 juli 2021 antog EDPB det omtvistade beslutet med stöd av artikel 65.2 GDPR. Den 20 augusti 2021 antog den irländska myndigheten ett slutligt beslut som var riktat till WhatsApp där den irländska tillsynsmyndigheten fastslog att WhatsApp hade åsidosatt principen om öppenhet och öppenhetsskyldigheterna. WhatsApp väckte talan vid tribunalen om ogiltigförklaring av EDPB:s beslut. Tribunalen avvisade talan eftersom den ansåg att det omtvistade beslutet inte hade någon självständig rättsverkan gentemot WhatsApp och att inget av villkoren för att WhatsApp skulle anses vara direkt berört av den åtgärd som var föremål för dess talan var uppfyllt. WhatsApp överklagade tribunalens beslut.
Gällande rätt
Enligt artikel 263 första stycket i fördraget om Europeiska unionens funktionssätt (FEUF) ska Europeiska unionens domstol bland annat granska lagenligheten av sådana akter antagna av unionens organ eller byråer som är avsedda att ha rättsverkan i förhållande till tredje man.
Enligt artikel 263 fjärde stycket FEUF får alla fysiska eller juridiska personer på de villkor som anges i första och andra styckena i artikeln väcka talan mot en akt som är riktad till dem eller som direkt och personligen berör dem samt mot en regleringsakt som direkt berör dem och som inte medför genomförandeåtgärder.
Enligt artikel 263 sjätte stycket FEUF ska talan som avses i artikeln väckas inom två månader från den dag då åtgärden offentliggjordes eller delgavs klaganden eller, om så inte skett, från den dag då denne fick kännedom om åtgärden, allt efter omständigheterna.
EU-domstolen
Domstolen konstaterar att en ogiltigförklaring enligt artikel 263 FEUF enligt fast rättspraxis kan väckas mot alla åtgärder, oavsett form, som antas av institutionerna och som är avsedda att ha bindande rättsverkningar. Domstolen konstaterar att det framgår av lydelsen i artiklarna 65.1 a, 65.2 och 68.1 GDPR att det omtvistade beslutet är en rättsakt från ett unionsorgan som är bindande i förhållande till tredje man, det vill säga den ansvariga tillsynsmyndigheten och samtliga berörda tillsynsmyndigheter somrättsakten är riktad till. I enlighet med artikel 65.6 GDPR ska den ansvariga tillsynsmyndigheten anta sitt slutliga beslut på grundval av EDPB:s beslut. I det slutliga beslutet ska det också hänvisas till EDPB:s beslut, som ska bifogas till det slutliga beslutet. Domstolen slår fast att det omtvistade beslutet inte kan kvalificeras som en mellankommande rättsakt mot vilken det inte går att väcka talan. Detta eftersom det behöriga unionsorganets, det vill säga EDPB:s, ställningstagande, slutgiltigt slås fast i beslutet och alla frågor som EDPB har att avgöra därmed är uttömda. Mot bakgrund av detta fastslår domstolen att beslutet utgör en rättsakt mot vilken talan kan väckas och att tribunalen har gjort sig skyldig till felaktig rättstillämpning avseende den frågan. Enligt domstolen blandade tribunalen ihop de krav som följer av första respektive fjärde stycket i artikel 263 FEUF. Tribunalen formulerade ett felaktigt kriterium, grundat på att den aktuella rättsakten inte kan göras gällande direkt mot WhatsApp och genom att kvalificera det omtvistade beslutet som en mellankommande åtgärd utan självständiga rättsverkningar.
För att villkoret att en fysisk eller juridisk person ska vara direkt berörd av beslutet konstaterar domstolen att två kumulativa kriterier måste vara uppfyllda. För det första måste den omtvistade åtgärden ha direkt inverkan på personens rättsliga ställning. För det andra får den inte lämna något utrymme för skönsmässig bedömning för dem som den riktar sig till, och som ska genomföra den. Det innebär att genomförandet ska ha en rent automatisk karaktär och följa enbart av unionslagstiftningen, utan att några mellankommande regler tillämpas.
Domstolen konstaterar att det faktum att den angripna rättsakten inte direkt kan göras gällande mot klaganden samt den omständigheten att rättsakten inte utgör det sista steget i ett förfarande som består av flera handläggningssteg, inte utgör hinder för att sökanden kan anses vara direkt berörd av rättsakten när den som rättsakten är riktad till inte har något utrymme för skönsmässig bedömning. Tribunalen gjorde sig alltså enligt domstolen skyldig till felaktig rättstillämpning när den bedömde att WhatsApp inte kunde vara direkt berört av det omtvistade beslutet på grund av att det inte kunde göras gällande mot WhatsApp och inte utgjorde det sista skedet i det förfarandet.
Domstolen finner att det första villkoret, att den omtvistade åtgärden ska ha en direkt inverkan på WhatsApps rättsliga ställning, är uppfyllt. Beslutet ändrar WhatsApps rättsliga ställning eftersom WhatsApp på grund av EDPB:s ingripande i synnerhet blir tvungen att ändra sitt avtalsförhållande med användarna av den meddelandetjänst som bolaget tillhandahåller. Av detta följer enligt domstolen att det finns ett direkt samband mellan beslutet och dess verkningar på WhatsApps ställning.
Domstolen finner även att det andra villkoret, att rättsakten inte får lämna något utrymme för skönsmässig bedömning för dem som den riktar sig till, och som ska genomföra den, är uppfyllt. Detta eftersom det omtvistade beslutet är bindande för den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna. Myndigheterna får inte avvika från EDPB:s ställningstagande. Domstolen fastslår att båda villkoren är uppfyllda och att WhatsApp därför är direkt berört av det omtvistade beslutet. Eftersom tribunalen inte har prövat talan i sak återförvisar domstolen målet till tribunalen.
Referat av EU-domstolen 2026-02-10, mål nr C-97/23 P.
Ursprungligen publicerad i JP ITnet.
Ny praxis och lagändringar kan ha tillkommit sedan texten skrevs. De senaste uppdateringarna och hur dessa påverkat rättsområdet hittar du alltid i relevant informationstjänst.
Publicerad 4 maj 2026
Amanda Isaksson
Jurist, redaktör
