CJEU: Dovoljena pritožba zoper odločbo EDPB
Sodišče Evropske unije je odločilo, da odločitev Evropskega odbora za varstvo podatkov ni le procesna odločitev, ampak temveč akt organa EU, ki ima pravne učinke do tretjih oseb in kot takšen lahko predmet sodnega nadzora.
Novica je bila objavljena 10. 2. 2026.
Sodišče Evropske unije je v zadevi C-97/23 P, ki izhaja iz postopka proti družbi WhatsApp Ireland Ltd, pomembno poseglo v razumevanje procesnega položaja upravljavcev v čezmejnih postopkih po Splošni uredbi o varstvu podatkov. Presodilo je, da je zavezujoča odločitev European Data Protection Board, sprejeta na podlagi 65. člena GDPR, akt organa EU, ki je lahko predmet neposredne tožbe za razglasitev ničnosti pred sodišči EU.
Gre za pomembno procesno vprašanje, ki presega konkretni primer in vpliva na celoten mehanizem enotne kontaktne točke ter na razmerje med nacionalnimi nadzornimi organi in EDPB.
Ozadje: od 30 do 225 milijonov evrov
Postopek se je začel pri irskem nadzornem organu kot vodilnem nadzornem organu v smislu 56. člena GDPR. V osnutku odločbe je bila zaradi kršitev načela transparentnosti in obveznosti obveščanja posameznikov predlagana globa v višini 30 milijonov evrov.
Ker so drugi zadevni nadzorni organi podali relevantne in utemeljene ugovore, je bil sprožen postopek reševanja sporov po 65. členu GDPR. EDPB je sprejel zavezujočo odločitev, s katero je zahteval spremembo pravne presoje in zvišanje globe na 225 milijonov evrov. Irski nadzorni organ je moral končno odločbo prilagoditi tej zavezujoči odločitvi.
Družba WhatsApp je nato skušala neposredno izpodbijati odločitev EDPB pred Splošnim sodiščem EU, vendar je bilo to sprva zavrnjeno z obrazložitvijo, da naj bi šlo za vmesni akt, ki ni samostojno izpodbojen.
Ključna ugotovitev Sodišča
Sodišče Evropske unije je to stališče zavrnilo. Presodilo je, da zavezujoča odločitev EDPB ni zgolj interni ali procesni korak, temveč akt organa EU, ki ima pravne učinke do tretjih oseb.
Čeprav je formalni naslovnik odločbe nacionalni nadzorni organ, takšna odločitev določa vsebinske elemente končne odločbe, vključno z ugotovitvijo kršitev in parametri za izrek upravne globe po 83. členu GDPR. Nacionalni organ pri teh elementih nima diskrecije. Sodišče je zato ugotovilo, da je bila odločitev EDPB neposredno relevantna za pravni položaj WhatsAppa in da je povzročila jasno spremembo njegove pravne situacije.
Na tej podlagi je CJEU razveljavilo sklep Splošnega sodišča o nedopustnosti tožbe in zadevo vrnilo v ponovno odločanje, kjer bo moralo sodišče vsebinsko presoditi zakonitost zavezujoče odločitve EDPB.
Kaj to pomeni za sistem izvrševanja GDPR
Sodba ima več praktičnih posledic.
Prvič, potrjuje, da so zavezujoče odločitve EDPB podvržene sodnemu nadzoru na ravni EU. To krepi pravico do učinkovitega pravnega sredstva iz 47. člena Listine EU o temeljnih pravicah in jasno postavlja EDPB v okvir odgovornosti, ki velja za druge organe EU.
Drugič, odpira možnost, da bodo upravljavci v čezmejnih postopkih izpodbijali tako končno odločbo nacionalnega nadzornega organa pred nacionalnimi sodišči kot tudi zavezujočo odločitev EDPB pred sodišči EU. To lahko vpliva na trajanje postopkov in na procesno strategijo v primerih z visokimi globami.
Tretjič, sodba ima pomen za razumevanje delitve pristojnosti v sistemu enotne kontaktne točke. Če EDPB z zavezujočo odločitvijo dejansko določi ključne elemente končne odločbe, je logično, da mora biti tak akt odprt za neposredno presojo zakonitosti.
Sodba CJEU predstavlja jasen signal, da v sistemu izvrševanja GDPR noben zavezujoč akt organa EU ne ostane zunaj sodnega nadzora. To prispeva k pravni predvidljivosti in hkrati povečuje kompleksnost postopkov, s katerimi se bodo morali upravljavci in njihovi DPO soočati v praksi.
Odločitev sodišča je dostopna tukaj.
Vir: CJEU
Naslovna fotografija: Pexels
