Europeiska dataskyddsstyrelsen (EDPB) välkomnar EU-domstolens dom i mål T-709/21, WhatsApp Ireland mot EDPB, som fastställer att den talan om ogiltigförklaring som WhatsApp Ireland Ltd väckt mot EDPB:s bindande beslut 01/2021 inte kan tas upp till prövning. Irländska Data Protection Commission (DPC) har antagit ett slutligt beslut baserat på detta bindande beslut. Det är nu upp till den irländska domstolen att granska lagligheten av det slutliga beslutet från DPC, som är verkställbart mot WhatsApp.
Den 28 juli 2021 löste EDPB en tvist om ett utkast till beslut av DPC om WhatsApps informationsskyldigheter gentemot både användare och icke-användare av tjänsten. EDPB instruerade DPC att ändra sitt utkast till beslut om överträdelser av informationsskyldigheten och att höja sina föreslagna böter. Efter detta ålade DPC WhatsApp böter på 225 miljoner euro.
Domstolens beslut bekräftar EDPB:s ståndpunkt, nämligen att WhatsApp inte direkt berördes av EDPB:s beslut. Det faktum att EDPB-beslutet innehåller en slutgiltig analys av vissa aspekter av det slutliga beslutet innebär inte nödvändigtvis att det i sig medför en tydlig förändring av sökandens rättsliga ställning. Enligt EU-domstolen är de två villkoren för att en åtgärd direkt ska beröra andra personer än adressaterna inte uppfyllda i detta fall.
För det första har EDPB:s beslut i sig inte ändrat WhatsApps rättsliga ställning och det utgör endast en förberedande eller mellanliggande handling inför beslutet av DPC. För det andra, även om EDPB-beslutet var bindande för DPC, gav det denna myndighet ett visst utrymme för skönsmässig bedömning när det gäller innehållet i det slutliga beslutet.
WhatsApp har också ifrågasatt DPC-beslutet vid irländska domstolar och enligt EU-domstolen kan företaget i denna talan bestrida EDPB-beslutets giltighet. Det ankommer på den irländska domstolen att pröva lagligheten av DPC:s slutliga beslut och, i förekommande fall, om den hyser tvivel om EDPB-beslutets giltighet, kan den ställa en fråga om förhandsavgörande till EU-domstolen.