WhatsApp-domen öppnar snabbfil till EU-domstolen – C-97/23

Den 10 februari 2026 publicerades EU-domstolens avgörande i mål C-97/23 P, WhatsApp Ireland mot Europeiska dataskyddsstyrelsen (EDPB). I domen fastslår EU-domstolen att ett bindande beslut från EDPB avseende en överträdelse av dataskyddsförordningen (GDPR) utgör en rättsakt som kan angripas direkt vid EU-domstolen.

Bakgrund

Efter GDPR:s ikraftträdande mottog den irländska dataskyddsmyndigheten (DPC) flertalet klagomål angående WhatsApps behandling av personuppgifter. I december 2018 inledde myndigheten en utredning av företagets efterlevnad av transparens- och informationsskyldigheter enligt artikel 12–14 i GDPR. Enligt GDPR:s samarbetsmekanism var andra dataskyddsmyndigheter i EU emellertid inte överens med DPC:s bedömning. Ärendet eskalerades därför till EDPB, som i juli 2021 fattade ett bindande beslut om att den irländska dataskyddsmyndigheten skulle ompröva sina slutsatser och höja bötesbeloppet från ca 30–50 miljoner euro till 225 miljoner euro.

WhatsApp begärde hos tribunalen att det omtvistade beslutet skulle ogiltigförklaras enligt artikel 263 i fördraget om Europeiska unionens funktionssätt (FEUF). Tribunalen avvisade talan med hänvisning till att det omtvistade beslutet inte var en rättsakt mot vilken talan kan väckas. Detta då beslutet enbart var en förberedande eller mellanliggande rättsakt i ett förfarande som skulle avslutas med att den nationella tillsynsmyndigheten antog ett slutligt beslut. Tribunalen menade att WhatsApp därför enbart kunde angripa den irländska dataskyddsmyndighetens beslut, varvid EDPB:s beslut kunde åberopas som grund, inför nationell domstol.

EU-domstolens bedömning

EU-domstolen konstaterade att tribunalen hade gjort sig skyldig till felaktig rättstillämpning och påtalade, med hänvisning till rättspraxis, att en talan om ogiltigförklaring kan användas för alla åtgärder som tagits av ett EU-organ, oberoende av dess natur eller form, under förutsättning att de är avsedda att ha bindande rättsliga verkningar. Dessa verkningar fastställs mot bakgrund av ett objektivt test, vilket utesluter mellanliggande rättsakter vars syfte är att förbereda den slutgiltiga åtgärden och som inte har några självständiga rättsliga verkningar gentemot tredje part. EDPB:s beslut är bindande för den berörda tillsynsmyndigheten, vilken är fristående från EDPB och måste fatta sitt slutgiltiga beslut på grundval av EDPB:s beslut. Domstolen poängterade att även om det omtvistade beslutet är en del av en flerstegsprocess och föregick den irländska dataskyddsmyndighetens slutgiltiga beslut kan det, i motsats till vad tribunalen anförde, inte betraktas som en mellanliggande rättsakt mot vilken det inte går att väcka talan.

Domstolen anförde vidare att för att en åtgärd ska kunna angripas måste den juridiska eller fysiska personen vara direkt berörd av det omtvistade beslutet. Detta innebär att två kumulativa villkor måste vara uppfyllda: dels att beslutet direkt inverkar på personens rättsliga ställning, dels att det inte lämnas något utrymme för skönsmässig bedömning för dem beslutet riktar sig mot. Rättsaktens materiella innehåll och verkningar ska bedömas mot bakgrund av kriterier som rättsaktens innehåll, i det sammanhang vilket den antogs och det beslutande organets befogenheter.

EU-domstolen ansåg att EDPB:s bindande beslut var av direkt betydelse för WhatsApp eftersom det förändrade företagets rättsliga ställning och inte lämnade något utrymme för den irländska tillsynsmyndigheten att fatta egna beslut. Med andra ord var EDPB:s beslut i praktiken avgörande för utfallet. Målet har nu återförvisats till tribunalen för prövning i sak.

Vad innebär detta?

Avgörandet innebär att företag som berörs av EDPB:s beslut enligt artikel 65 GDPR nu har möjlighet att väcka direkttalan vid EU-domstolen, i stället för att invänta nationella tillsynsmyndigheters slutgiltiga beslut och därefter överklaga dessa vid nationell domstol. Domen klargör således att EDPB:s bindande beslut inte utgör enbart rådgivande yttranden, utan självständiga rättsakter som kan angripas direkt på EU-nivå.

Denna artikel är skriven av Thesis Trainee Elsa Berkes.