Cała sprawa zaczęła się w 2018 r., po wejściu w życie RODO. Organ ochrony danych w Irlandii (DPC) – gdzie mieści się europejska siedziba spółki Meta, do której należy komunikator – otrzymał wtedy skargi dotyczące przetwarzania danych osobowych przez WhatsApp.

Czy WhatsApp naruszył RODO?

DPC wszczął dochodzenie, by sprawdzić, czy aplikacja narusza RODO, a po jego zakończeniu przedłożył projekt decyzji wszystkim pozostałym organom nadzorczym państw członkowskich, których dotyczyło przetwarzanie danych. Ponieważ nie osiągnięto w tym gronie porozumienia co do projektu decyzji, sprawa trafiła do Europejskiej Rady Ochrony Danych (EROD). Ta 28 lipca 2021 r. wydała decyzję wiążącą, polecając m.in. irlandzkiemu organowi podwyższenie zaproponowanych kar pieniężnych.

W konsekwencji 20 sierpnia 2021 r. DPC wydał ostateczną decyzję. Stwierdził naruszenie przepisów RODO i nałożył na WhatsApp karę w łącznej wysokości 225 mln euro.

WhatsApp wnosi dwie skargi

WhatsApp zaskarżył ostateczną decyzję DPC przed irlandzkim sądem. Jednocześnie zaskarżył też wiążącą decyzję EROD do sądu UE – który postanowieniem z 7 grudnia 2022 r. odrzucił skargę jako niedopuszczalną. Uznał m.in., że decyzja EROD nie wpływa bezpośrednio na sytuację prawną spółki wnoszącej odwołanie oraz że w tej decyzji irlandzkiemu organowi nadzorczemu pozostawiono pewien zakres uznania. Wobec tego nie zostały spełnione przesłanki bezpośredniego oddziaływania.

WhatsApp odwołał się od tego postanowienia do trybunału. Rzecznik generalna zwróciła uwagę, że akt może dotyczyć danego podmiotu bezpośrednio nawet wówczas, gdy wymaga środków wykonawczych – tak jak sporna decyzja EROD wymagała przyjęcia środków wykonawczych na szczeblu krajowym w postaci decyzji DPC. Jej zdaniem sąd UE popełnił więc błąd i wbrew jego ustaleniom decyzja EROD stanowi źródło zmiany sytuacji prawnej WhatsAppa, bez względu na potrzebę przyjęcia decyzji przez irlandzki organ nadzorczy.

Co na to rzecznik generalna TSUE?

Rzecznik generalna zgadza się też ze spółką wnoszącą odwołanie, że sąd UE popełnił błąd, gdy stwierdził, że irlandzki organ nadzorczy dysponował zakresem uznania i w związku z tym WhatsAppa dotyczyła bezpośrednio nie sporna decyzja, lecz jedynie ostateczna decyzja DPC.

Jak czytamy w opinii, irlandzki organ był zobowiązany przenieść na grunt swojej ostatecznej decyzji ustalenia EROD bez pozostawiania zakresu uznania co do możliwości sformułowania odmiennego wniosku. Miał też bezwarunkowy obowiązek podwyższenia kar pieniężnych i zastosowania metod obliczeniowych określonych w decyzji EROD. Mimo że to do DPC należało obliczenie kwot kar i nałożenie ich na WhatsApp, to nie miał on zakresu uznania w odniesieniu do utrzymania w mocy pierwotnie proponowanych kar ani w odniesieniu do obniżenia ich wysokości.