1.

Le présent pourvoi soulève la question récurrente de l’interprétation et de l’application des conditions de recevabilité d’un recours en annulation formé par des parties requérantes ayant le statut de personnes physiques ou morales. Plus précisément, la présente affaire traite de la notion d’« acte attaquable » aux fins de l’article 263, premier alinéa, TFUE, et de la notion d’« affectation directe » au sens de l’article 263, quatrième alinéa, TFUE.

2.

Cette question se pose dans le contexte du mécanisme de contrôle de la cohérence instauré par le règlement (UE) 2016/679 ( 2 ). Ce mécanisme consiste en une procédure complexe à laquelle participent les autorités de contrôle nationales et le Comité européen de la protection des données (CEPD).

3.

Dans l’ordonnance attaquée, le Tribunal de l’Union européenne a conclu à l’irrecevabilité du recours formé par WhatsApp Ireland Ltd (ci-après « WhatsApp » ou la « requérante ») contre la décision contraignante 1/2021 (ci-après la « décision litigieuse ») ( 3 ) adoptée par le CEPD dans le cadre de ce mécanisme ( 4 ). Cette conclusion est à l’origine du présent pourvoi ( 5 ).

4.

Au-delà du pourvoi introduit dans la présente affaire, la Cour a l’occasion d’exposer, de façon plus générale, les modalités d’application des règles relatives à la recevabilité des recours en annulation dans le contexte des procédures complexes.

5.

La présente affaire trouve son origine dans le mécanisme de contrôle de la cohérence institué par le RGPD. Plus précisément, elle concerne la partie de ce mécanisme régie par l’article 65 du RGPD qui habilite le CEPD à adopter des décisions contraignantes pour régler certains types de litiges opposant des autorités de contrôle nationales lorsqu’elles mettent en œuvre les règles du RGPD.

6.

Le mécanisme de contrôle de la cohérence est l’une des nombreuses « procédures administratives complexes » mises en place par le droit dérivé de l’Union ( 6 ).

7.

Ces termes sont utilisés pour décrire les procédures dans lesquelles la décision se forme en plusieurs étapes et auxquelles participent à la fois des institutions ou organes de l’Union et des institutions ou organes nationaux ( 7 ).

8.

L’une des questions juridiques soulevées par les procédures administratives complexes est celle de savoir comment identifier les « actes attaquables » parmi les actes adoptés par de multiples acteurs au cours de ces procédures et, ensuite, devant quelles juridictions ces actes devraient être attaqués ( 8 ).

9.

C’est dans ce contexte qu’il convient d’inscrire le présent pourvoi. Selon la requérante, le Tribunal a conclu à tort que la décision litigieuse, adoptée dans le cadre du mécanisme de contrôle de la cohérence, n’était pas un acte attaquable devant les juridictions de l’Union.

10.

La mission de contrôler et de veiller à l’application des règles du RGPD est confiée aux différentes autorités de contrôle des États membres sur leurs territoires respectifs ( 9 ).

11.

Afin de remédier à l’éventuelle fragmentation de la mise en œuvre de la réglementation de la protection des données dans l’Union pouvant résulter d’un tel système « décentralisé », le RGPD prévoit une coopération entre les autorités de contrôle nationales ( 10 ).

12.

Lorsqu’une opération de traitement de données a une dimension transfrontalière, l’autorité dont relève le sous-traitant ou le responsable du traitement en cause – l’autorité de contrôle chef de file – est tenue de communiquer aux autorités de contrôle concernées des autres États membres son projet de décision tendant à la mise en œuvre des règles du RGPD à l’égard du sous-traitant ou du responsable du traitement relevant de sa compétence.

13.

Si ces autres autorités adhèrent à l’interprétation du RGPD et aux mesures d’exécution proposées par l’autorité de contrôle chef de file, celle-ci peut adopter sa décision finale qui revêt un caractère contraignant à l’égard du responsable du traitement ou du sous-traitant en cause.

14.

En revanche, si ces autres autorités de contrôle concernées formulent des objections pertinentes et motivées, et si l’autorité de contrôle chef de file ne suit pas ces objections ou considère qu’elles ne sont pas pertinentes ou motivées, celle-ci doit soumettre la question au CEPD pour qu’il statue ( 11 ).

15.

Le CEPD tranche le litige opposant les autorités de contrôle nationales concernées et règle l’affaire en question par la voie d’une décision contraignante ( 12 ).

16.

En vertu de l’article 65, paragraphe 2, du RGPD, cette décision est adressée à l’autorité de contrôle chef de file ainsi qu’à toutes les autres autorités de contrôle concernées et elle est contraignante à leur égard ( 13 ). La décision est également publiée sur le site Internet du CEPD ( 14 ).

17.

Dans les délais impartis ( 15 ) et sur la base de la décision contraignante du CEPD, l’autorité de contrôle chef de file est tenue d’adopter sa décision finale ( 16 ), qui est ensuite notifiée au responsable du traitement ou au sous-traitant en cause.

18.

WhatsApp est une société fournissant des services d’appel et de messagerie par Internet (ci-après le « service de messagerie »).

19.

Pour créer un compte auprès de cette société afin d’utiliser ce service de messagerie, l’utilisateur doit accepter ses conditions d’utilisation et sa politique de confidentialité ( 17 ).

20.

Le 24 mai 2018, WhatsApp a modifié sa politique de confidentialité pour tenir compte des changements apportés par le RGPD qui devait s’appliquer à partir du 25 mai 2018 ( 18 ). Les utilisateurs existants se sont vu offrir la possibilité d’accepter ces modifications ou de cesser d’utiliser le service de messagerie de la requérante.

21.

Par la suite, l’Irish Data Protection Commission (Commission de protection des données, Irlande, ci-après l’« autorité de contrôle irlandaise ») a reçu plusieurs plaintes de personnes concernées en rapport avec les activités de traitement de données de la requérante ( 19 ).

22.

En décembre 2018, après avoir procédé à un examen préliminaire des plaintes, l’autorité de contrôle irlandaise a ouvert une enquête afin de déterminer si WhatsApp avait respecté les obligations de transparence que lui imposent les articles 12 à 14 du RGPD en matière de fourniture d’informations aux utilisateurs et aux non utilisateurs de son service de messagerie et en matière de transparence de ces informations ( 20 ).

23.

Dès lors que le service de messagerie de WhatsApp implique un traitement transfrontalier dans l’ensemble de l’Union, l’autorité de contrôle irlandaise a, dans le respect des obligations qui lui incombent en vertu du RGPD, communiqué son projet de décision aux autres autorités de contrôle nationales concernées ( 21 ).

24.

En réponse à cette communication, l’autorité de contrôle irlandaise a reçu des objections des autorités de contrôle allemande (au niveau fédéral), hongroise, néerlandaise, polonaise, française, italienne, portugaise et de l’État fédéré allemand de Bade-Wurtemberg ( 22 ). Des commentaires sur ce projet ont, en outre, été reçus des autorités de contrôle autrichienne, néerlandaise, danoise, polonaise, belge, française et de l’État fédéré allemand de Hambourg ( 23 ).

25.

Étant donné que plusieurs autorités de contrôle ont formulé des objections pertinentes et motivées à l’égard du projet de décision et que l’autorité de contrôle irlandaise n’a pas suivi ces objections, celle-ci les a transmises au CEPD pour qu’il statue ( 24 ).

26.

Le 28 juillet 2021, le CEPD a adopté la décision litigieuse et il l’a ensuite notifiée à l’autorité de contrôle irlandaise ainsi qu’aux autres autorités de contrôle concernées ( 25 ).

27.

Dans la décision litigieuse, le CEPD ordonne à l’autorité de contrôle irlandaise de modifier plusieurs constatations opérées dans le projet de décision et d’augmenter le montant des amendes qui y étaient proposées.

28.

En substance, la décision litigieuse oblige l’autorité de contrôle irlandaise à constater que les « données faisant l’objet d’un hachage avec perte » (« lossy hashed data ») ( 26 ) sont des données à caractère personnel au sens de l’article 4, point 1, du RGPD ( 27 ) et que la requérante a enfreint les règles de transparence énoncées à l’article 5, paragraphe 1, sous a), à l’article 13, paragraphe 1, sous d), et paragraphe 2, sous e), ainsi qu’à l’article 14 de ce règlement ( 28 ).

29.

S’agissant des constatations d’ordre procédural et des amendes, la décision litigieuse exige de réduire à trois mois, au lieu de six mois, le délai de mise en conformité imparti à la requérante et conclut que l’autorité de contrôle irlandaise a fait une interprétation erronée du critère relatif au quantum des amendes et qu’il y a lieu d’augmenter le montant des amendes envisagées par cette autorité ( 29 ).

30.

Se conformant à ces instructions, l’autorité de contrôle irlandaise a modifié son projet de décision et adopté la décision nationale finale le 20 août 2021 ( 30 ).

31.

Le 1er novembre 2021, la requérante a introduit un recours devant le Tribunal aux fins de l’annulation de la décision litigieuse.

32.

Le 7 décembre 2022, le Tribunal a rendu l’ordonnance attaquée par laquelle il a rejeté le recours de la requérante comme irrecevable.

33.

Dans cette ordonnance, le Tribunal a considéré, en substance, que la décision litigieuse ne constituait pas un acte attaquable aux fins de l’article 263, premier alinéa, TFUE et que la requérante n’était pas directement concernée par cette décision au sens de l’article 263, quatrième alinéa, TFUE.

34.

L’ordonnance attaquée est structurée de la manière suivante :

35.

Par son pourvoi déposé le 17 février 2023, la requérante demande à la Cour d’annuler l’ordonnance attaquée, de déclarer le recours recevable, de renvoyer l’affaire devant le Tribunal pour qu’il statue sur le fond et de condamner le CEPD aux dépens.

36.

Le gouvernement allemand est intervenu au soutien du CEPD.

37.

Une audience s’est tenue le 26 novembre 2024 au cours de laquelle la requérante et le CEPD ont présenté des arguments oraux.

38.

La requérante invoque deux moyens de pourvoi. Par son premier moyen de pourvoi, elle soutient que le Tribunal a fait une interprétation erronée de la notion d’« acte attaquable », telle qu’elle ressort du premier alinéa de l’article 263 TFUE, et de la notion d’« affectation directe » découlant du quatrième alinéa de cet article. Cette erreur a conduit à l’application erronée de l’article 263 TFUE dans la présente affaire, de sorte que le Tribunal a considéré à tort que la décision litigieuse n’était pas un acte attaquable par la requérante. Par son second moyen de pourvoi, la requérante fait valoir que le Tribunal a fait une interprétation et une application erronées de l’article 65, paragraphe 1, du RGPD en ce qui concerne la décision litigieuse.

39.

Dans les présentes conclusions, je proposerai à la Cour de conclure que le Tribunal a mal appliqué l’analyse requise en vertu de l’article 263, premier et quatrième alinéas, TFUE au mécanisme de contrôle de la cohérence institué par le RGPD. Il y a donc lieu d’accueillir le premier moyen de pourvoi et d’annuler l’ordonnance attaquée. Par conséquent, il n’est pas nécessaire d’examiner le second moyen de pourvoi.

40.

Cependant, au-delà du contexte immédiat du présent pourvoi, j’observe que la présente affaire soulève également une question de nature plus horizontale : celle des étapes d’analyse à suivre pour apprécier la recevabilité d’un recours en annulation d’un acte adopté dans le cadre d’une procédure complexe.

41.

Les procédures complexes varient considérablement, chacune étant spécifiquement conçue par l’acte de droit dérivé de l’Union qui l’a instaurée pour remplir l’objectif qu’elle poursuit dans un domaine donné du processus décisionnel administratif fondé sur le droit de l’Union.

42.

À défaut de bien comprendre les étapes d’analyse à suivre pour apprécier la recevabilité des recours en annulation formés par des personnes physiques ou morales contre des actes adoptés dans de telles procédures, il se peut que, dans de futures affaires traitant des différents types de procédures complexes, le Tribunal refuse à nouveau, de manière injustifiée, l’accès aux juridictions de l’Union à ces personnes.

43.

Les conditions régissant l’article 263 TFUE restent toutefois identiques malgré ces structures différentes. Par conséquent, les règles générales applicables à la recevabilité des recours formés par des personnes physiques ou morales contre des actes adoptés dans le cadre d’une procédure complexe devraient s’appliquer de la même manière – en suivant les mêmes étapes d’analyse – à toutes ces procédures complexes, tout en tenant compte des spécificités de chacune d’entre elles.

44.

Ainsi que je tenterai de le démontrer dans mon appréciation, le Tribunal, inspiré par les particularités du mécanisme de contrôle de la cohérence du RGPD, a intégré des étapes superflues (et trompeuses) dans son analyse des conditions de recevabilité au titre de l’article 263 TFUE. À mon sens, par exemple, se demander si la décision litigieuse constitue un acte intermédiaire dans cette procédure s’écarte de la question pertinente visant à déterminer s’il s’agit d’un acte définitif et contraignant, cette question étant la seule qu’il convient de se poser aux fins de l’analyse requise au titre de l’article 263, premier alinéa, TFUE. De même, vérifier si la décision litigieuse est directement opposable à la requérante s’écarte de la question d’analyse visant à apprécier si cette décision affecte en elle-même la situation juridique de la requérante, comme l’exige l’article 263, quatrième alinéa, TFUE.

45.

Lorsqu’elle motive sa déclaration de recevabilité ou d’irrecevabilité dans une affaire, la Cour se réfère souvent aux particularités de la procédure complexe en cause dans cette affaire et il n’est pas rare qu’elle fasse la distinction entre ces particularités et les caractéristiques d’une autre procédure à l’égard de laquelle elle est parvenue à une conclusion différente ( 31 ). Ces justifications avancées par la Cour ne sauraient être généralisées ni transposées mécaniquement à de nouvelles affaires ( 32 ).

46.

Dans son analyse, le Tribunal s’est fondé sur plusieurs arrêts de la Cour, notamment l’arrêt IBM ( 33 ) et l’arrêt Deutsche Post ( 34 ).

47.

Je suggérerai à la Cour de réexaminer quelques-uns de ces arrêts et de préciser que certaines déclarations qui y figurent ne visaient pas à ajouter d’autres conditions à celles prévues par le traité FUE. Elles entendaient plutôt clarifier l’application des règles du traité dans la situation spécifique qui se présentait dans ces affaires. Reproduire automatiquement dans des arrêts ultérieurs, qui résultent de circonstances différentes, des déclarations formulées par la Cour dans des affaires précédentes pourrait conduire – comme en l’espèce – le Tribunal à tirer une conclusion erronée sur la recevabilité d’un recours en annulation.

48.

La présente affaire est donc l’occasion pour la Cour de préciser à nouveau les étapes d’analyse nécessaires et suffisantes pour déterminer si une personne peut introduire un recours direct en annulation.

49.

À cet égard, je considère qu’il importe que la Cour fasse une distinction nette entre les deux étapes de l’analyse des conditions de recevabilité au titre de l’article 263 TFUE : d’une part, l’examen de la question de savoir si un acte est attaquable aux fins de l’article 263, premier alinéa, TFUE, et, d’autre part, dans l’hypothèse où l’acte est attaquable, l’appréciation visant à déterminer si un requérant donné, personne physique ou morale, peut contester cet acte en vertu de l’article 263, quatrième alinéa, TFUE.

50.

Eu égard à ce qui précède, je structurerai mon analyse de la manière suivante. Je commencerai par la question préliminaire visant à déterminer si le recours qui sous-tend le pourvoi a été introduit hors délai ou non (A). J’examinerai ensuite le fond du pourvoi et exposerai les raisons pour lesquelles je considère que la Cour devrait annuler l’ordonnance attaquée. Conformément à la structure du premier moyen de pourvoi, je préciserai d’abord que le Tribunal a confondu les conditions du caractère attaquable de la décision litigieuse avec celles de l’affectation directe de la requérante. C’est sur ce fondement que j’estime que le Tribunal a conclu à tort que la décision litigieuse n’était pas un acte attaquable (B). J’indiquerai ensuite que le Tribunal a également commis une erreur de droit en considérant que la décision litigieuse ne concernait pas directement la requérante (C). Enfin, je démontrerai que, contrairement à ce qu’a jugé le Tribunal, la logique du système des voies de recours juridictionnelles, tel qu’il a été conçu par les traités et interprété par la Cour, exige de trancher la question de la validité de la décision litigieuse par la voie d’un recours direct formé devant les juridictions de l’Union (D).

51.

Dans son mémoire en réponse, le CEPD fait valoir que le recours de la requérante a été introduit hors délai ( 35 ). Il se réfère à une lettre du 16 août 2021, versée au dossier de la Cour, dont il ressort que l’autorité de contrôle irlandaise avait déjà informé la requérante du « contenu pertinent » de la décision litigieuse le 13 août 2021, avant que le CEPD ne la publie sur son site Internet. Le CEPD soutient donc que le délai pour introduire un recours en annulation a expiré le « 25 octobre 2021 au plus tard », c’est-à-dire avant le 1er novembre 2021, date de dépôt de la requête devant le Tribunal.

52.

Je considère que cet argument devrait être rejeté.

53.

Il ressort clairement de la jurisprudence que la référence, figurant à l’article 263, sixième alinéa, TFUE, au jour où la partie requérante a eu connaissance de l’acte présente un caractère subsidiaire par rapport aux critères de la publication ou de la notification de cet acte ( 36 ).

54.

En l’espèce, la décision litigieuse n’a pas été notifiée à la requérante. Le CEPD a seulement l’obligation de notifier sa décision à l’autorité de contrôle chef de file irlandaise et aux autorités de contrôle nationales concernées ( 37 ).

55.

Il convient donc d’examiner si la décision litigieuse a été publiée au sens de l’article 263, sixième alinéa, TFUE.

56.

L’article 263 TFUE n’assortit d’aucune condition spécifique l’acte de publication.

57.

Néanmoins, la Cour ayant privilégié une interprétation des délais prévus par les traités qui ne restreint pas indûment le droit à un recours juridictionnel effectif ( 38 ), la notion de « publication » doit recevoir une interprétation large ( 39 ).

58.

À cet égard, la Cour a déjà eu l’occasion de juger que la publication sur un site Internet, lorsqu’elle est requise par le droit dérivé de l’Union, satisfaisait à l’exigence de « publication » prévue à l’article 263, sixième alinéa, TFUE ( 40 ).

59.

En l’espèce, la publication des décisions contraignantes du CEPD, comme la décision litigieuse, est requise par la troisième phrase de l’article 65, paragraphe 5, du RGPD.

60.

Dès lors que la requérante a contesté la décision litigieuse dans le délai applicable à compter de sa date de publication sur le site Internet du CEPD (le 2 septembre 2021), le fait qu’elle ait pu également avoir connaissance du contenu pertinent de cette décision avant sa publication obligatoire n’a aucune incidence sur la recevabilité du présent recours en annulation ( 41 ).

61.

Eu égard à ce qui précède, il n’y a pas lieu de déterminer le moment précis auquel la requérante a eu connaissance du contenu de la décision litigieuse.

62.

Je propose donc à la Cour de rejeter l’argument du CEPD tiré de ce que le recours aurait été introduit hors délai devant le Tribunal.

63.

Par ses premier et deuxième arguments avancés dans le cadre du premier moyen de pourvoi, la requérante fait valoir que, contrairement à ce qu’a jugé le Tribunal, pour déterminer si un acte est attaquable, il n’est pas nécessaire d’examiner si cet acte modifie de façon caractérisée la situation juridique de la requérante.

64.

Je partage l’avis de la requérante. La question de savoir si un acte est attaquable diffère de celle de savoir si une partie requérante donnée, personne physique ou morale, peut contester cet acte, pour autant qu’il soit attaquable.

65.

La question du caractère attaquable d’un acte relève de l’analyse à effectuer au titre de l’article 263, premier alinéa, TFUE. Elle requiert une méthode d’examen distincte et séparée qui soulève des questions différentes de celles permettant d’apprécier si un acte affecte la situation juridique de la requérante (qui découlent de l’article 263, quatrième alinéa, TFUE).

66.

Cette conclusion résulte du texte, de la structure et de la genèse de l’article 263 TFUE [sous a)] et est conforme à la jurisprudence de la Cour [sous b)].

67.

Plusieurs raisons justifient de distinguer la question de savoir si la décision litigieuse est un acte dont la validité peut être soumise à l’appréciation des juridictions de l’Union de celle de savoir si cet acte affecte la situation juridique de la requérante.

68.

Premièrement, la détermination du type d’acte attaquable devant les juridictions de l’Union relève de l’article 263, premier alinéa, TFUE. Cette détermination ne tient pas compte de la personne qui introduit le recours.

69.

Par conséquent, la réponse à la question de savoir si un acte est attaquable doit être identique, que le recours en annulation ait été introduit par un requérant privilégié (dont la liste figure au deuxième alinéa de l’article 263, TFUE), par un requérant semi-privilégié (dont la liste est établie au troisième alinéa de cet article) ou par un requérant non privilégié (tel que mentionné au quatrième alinéa dudit article).

70.

Deuxièmement, pour déterminer si un acte est attaquable, il convient d’apprécier s’il est de nature à produire des effets de droit obligatoires à l’égard d’un tiers ( 42 ). Ce tiers ne doit pas nécessairement être le même que celui qui introduit le recours en annulation en cause.

71.

Ainsi que je l’exposerai ci-dessous, cette exigence découle du libellé actuel de l’article 263, premier alinéa, TFUE, tel qu’il résulte de plusieurs modifications ainsi que de la jurisprudence qui a été l’une des principales forces motrices à l’origine de ces modifications.

72.

Dans sa version actuelle, l’article 263, premier alinéa, TFUE qualifie d’actes attaquables 1°) les actes législatifs, 2°) les actes du Conseil de l’Union européenne, de la Commission et de la BCE, autres que les recommandations et les avis, et 3°) les actes du Parlement européen et du Conseil européen, ainsi que des organes ou organismes de l’Union, destinés à produire des effets juridiques à l’égard des tiers.

73.

La version originale du traité CEE n’énumérait pas les actes susceptibles d’un recours et ne faisait que les définir de manière négative, s’agissant des « actes du Conseil et de la Commission, autres que les recommandations ou avis » ( 43 ).

74.

Dès lors que le traité définit les recommandations et les avis comme des actes qui ne lient pas ( 44 ), la Cour a conclu que tous les actes (des institutions et autres organes de l’Union), indépendamment de leur forme ou de leur nom, destinés à produire des effets juridiques obligatoires étaient des actes attaquables ( 45 ).

75.

Si l’acte est dépourvu d’effet juridique obligatoire, le recours est irrecevable, qu’il ait été introduit par un requérant privilégié ou par un requérant non privilégié ( 46 ).

76.

Il n’y a donc pas lieu d’examiner la question subséquente visant à déterminer si l’acte affecte la situation juridique de la requérante au sens de l’article 263, quatrième alinéa, TFUE ( 47 ).

77.

Il découle de la jurisprudence et des termes de l’article 263, premier alinéa, TFUE qu’un acte est juridiquement contraignant s’il est destiné à produire des effets juridiques à l’égard des tiers. De quoi s’agit-il ?

78.

Pour être considéré comme ayant des effets juridiques à l’égard des tiers, un acte doit produire des effets juridiques en dehors de l’institution ou de l’organe qui l’a adopté. Si l’acte crée seulement des obligations d’ordre « interne », en ce sens qu’elles incombent à l’institution qui l’a adopté, et non des obligations d’ordre « externe », c’est-à-dire pour les tiers, cet acte ne constitue pas un acte attaquable ( 48 ).

79.

Le tiers à l’égard duquel l’acte produit des effets juridiques obligatoires ne doit pas nécessairement être le requérant ( 49 ).

80.

La Cour a, en outre, précisé qu’un acte ne produisait des effets en dehors de l’institution que si, par celui-ci, l’institution qui l’a adopté a exprimé sa position définitive ( 50 ).

81.

Une position est définitive lorsque l’institution ou l’organe qui a adopté l’acte ne peut plus le modifier, en ce sens qu’il ne peut écarter les effets juridiques qui en découlent qu’en le révoquant ( 51 ). Si l’acte final n’a pas été révoqué par son auteur, le seul moyen d’en écarter les effets juridiques est de le faire invalider dans le cadre d’une procédure juridictionnelle.

82.

Eu égard à ce qui précède, cela signifie, en l’espèce, que, pour déterminer si la décision litigieuse constitue un acte attaquable, il était nécessaire et suffisant que le Tribunal constate que cette décision exprimait la position définitive du CEPD et imposait une obligation à une personne extérieure à cet organe : dans la présente affaire, l’autorité de contrôle irlandaise.

83.

À cette fin, il n’était pas nécessaire d’apprécier si l’acte modifiait ou non également de façon caractérisée la situation juridique de la requérante. Cette question se rapporte à l’affectation directe et non au caractère attaquable d’un acte ( 52 ).

84.

La jurisprudence invoquée par le Tribunal suggère-t-elle une conclusion différente ?

85.

Au point 41 de l’ordonnance attaquée, le Tribunal indique qu’il doit examiner « la question de savoir si la décision attaquée produit des effets juridiques modifiant de façon caractérisée la situation juridique de WhatsApp et si elle la concerne directement, au sens de l’article 263, quatrième alinéa, TFUE » ( 53 ).

86.

La conclusion du Tribunal selon laquelle, d’une part, la question de la modification caractérisée de la situation juridique de WhatsApp par la décision litigieuse et, d’autre part, celle de l’affectation directe de la requérante par cette décision doivent être analysées séparément semble fondée sur la jurisprudence qu’il cite, et notamment sur les arrêts IBM et Deutsche Post ( 54 ).

87.

Je vais donc examiner ces arrêts.

88.

Au point 9 de l’arrêt IBM, la Cour précise que « constituent des actes ou décisions susceptibles de faire l’objet d’un recours en annulation au sens de l’article 173 les mesures produisant des effets juridiques obligatoires de nature à affecter les intérêts du requérant, en modifiant de façon caractérisée la situation juridique de celui-ci » ( 55 ).

89.

Ces termes, répétés dans bon nombre d’arrêts ultérieurs tant par la Cour ( 56 ) que par le Tribunal ( 57 ), ont été interprétés, et pourraient continuer de l’être, en ce sens qu’ils suggèrent que la question du caractère attaquable d’un acte aux fins de l’article 263, premier alinéa, TFUE englobe la question de savoir si cet acte affecte la situation juridique du requérant ( 58 ). Il semble également que le Tribunal ait compris le point 9 de l’arrêt IBM en ce sens (voir point 86 des présentes conclusions).

90.

Il s’agit, selon moi, d’une compréhension erronée (ou dépourvue d’effet utile) de ce point de l’arrêt IBM.

91.

À mon avis, dans le point 9 de cet arrêt, la Cour énonce – en une seule phrase – toutes les conditions qu’il faut nécessairement remplir pour qu’un requérant non privilégié puisse avoir accès aux juridictions de l’Union : d’une part, les conditions qui découlent de l’article 263, premier alinéa, TFUE et, d’autre part, celles qui relèvent de l’article 263, quatrième alinéa, TFUE.

92.

Par cette phrase, la Cour n’intègre pas la question des effets de l’acte sur le requérant dans l’appréciation du respect des conditions prévues à l’article 263, premier alinéa, TFUE. En effet, un acte peut toujours être qualifié d’attaquable en général alors même qu’il ne peut pas être attaqué, dans une situation spécifique, par un requérant non privilégié parce qu’il ne modifie pas de façon caractérisée sa situation juridique.

93.

À mon avis, dans les points suivants de l’arrêt Deutsche Post, la Cour a tenté de dissiper la confusion créée par la phrase issue de l’arrêt IBM, répétée à plusieurs reprises :

94.

Selon moi, dans l’arrêt Deutsche Post, la Cour entendait préciser que le point 9 de l’arrêt IBM vise la situation dans laquelle un requérant non privilégié est le destinataire de l’acte attaqué. En effet, dans une telle situation, pour déterminer si un acte produit des effets de droit obligatoires à l’égard de tiers, il faut nécessairement apprécier s’il produit des effets à l’égard du requérant en tant que destinataire de cet acte. Dans un tel cas de figure, la question de savoir si un acte produit des effets de droit obligatoires et celle de savoir s’il modifie la situation juridique du requérant sont identiques.

95.

Toutefois, lorsque le requérant non privilégié n’est pas le destinataire de l’acte en cause, la question de savoir si cet acte modifie de façon caractérisée sa situation juridique relève de l’affectation directe qu’il convient d’examiner au titre du quatrième alinéa de l’article 263 TFUE, et non au titre du premier alinéa de cet article.

96.

En fait, les termes, souvent cités de manière inexacte, indiquant que la question de savoir si l’acte produit des effets juridiques apportant une modification caractérisée « se chevauche » avec la condition de l’affectation directe de l’article 263, quatrième alinéa, TFUE expriment l’interprétation de la Cour selon laquelle l’affectation directe doit faire l’objet d’une appréciation distincte, outre celle des éventuels effets de droit obligatoires produits par l’acte.

97.

Dans sa jurisprudence plus récente, la Cour, après avoir cité le point 38 de l’arrêt Deutsche Post, poursuit généralement par l’analyse visant à déterminer si l’acte en cause concerne directement le requérant non privilégié qui n’en est pas le destinataire ( 61 ).

98.

Partant, l’arrêt IBM, tel qu’il a été précisé par l’arrêt Deutsche Post, ne saurait être interprété en ce sens qu’il fusionne les conditions posées aux premier et quatrième alinéas de l’article 263 TFUE dans les situations où l’acte a pour destinataire une personne autre que le requérant.

99.

Cela signifie que, dans une telle situation, lorsque le destinataire de l’acte n’est pas le requérant, la condition selon laquelle cet acte doit être juridiquement obligatoire est distincte de celle exigeant que ledit acte modifie de façon caractérisée la situation juridique du requérant.

100.

En l’occurrence, pour évaluer la recevabilité du recours introduit par une partie requérante, il ne suffit pas que l’acte en cause produise des effets de droit obligatoires à l’égard de son destinataire ou d’une autre personne ; il convient également que la Cour examine si cet acte affecte la situation juridique de cette partie requérante. C’est ce qu’exige la condition de recevabilité supplémentaire découlant de l’article 263, quatrième alinéa, TFUE.

101.

Dans son arrêt Deutsche Post, la Cour a précisément suivi cette approche et constaté, en deux étapes distinctes, dans un premier temps, que l’acte était juridiquement obligatoire et, seulement dans un second temps, que cet acte concernait directement le requérant non privilégié. Il importe également de relever que, dans le cadre de l’examen visant à déterminer si l’acte était juridiquement obligatoire, la Cour a jugé qu’il était indifférent de savoir si cet acte revêtait un caractère préparatoire dans la procédure plus large au cours de laquelle il a été adopté ( 62 ). Selon la Cour, ce qui importait, aux fins de cette analyse, était que la décision produise des effets juridiques autonomes de sorte qu’elle pouvait faire l’objet d’un recours en annulation ( 63 ). Ce n’est qu’après avoir établi que le Tribunal avait commis une erreur de droit en considérant que l’acte attaqué n’était pas juridiquement obligatoire en raison de son caractère préparatoire ( 64 ) que la Cour a abordé la seconde étape de l’analyse et conclu que cet acte concernait aussi directement et individuellement le requérant non privilégié en cause, Deutsche Post AG en l’occurrence ( 65 ).

102.

Par conséquent, à mon sens, les trois points de l’arrêt Deutsche Post cités au point 93 des présentes conclusions visent précisément à dissiper l’éventuelle confusion découlant de l’arrêt IBM et à distinguer l’analyse du caractère juridiquement obligatoire de l’acte attaqué de celle visant à déterminer si cet acte affecte la situation juridique du requérant.

103.

Dans la présente affaire, le Tribunal n’a pas fait la distinction entre ces deux étapes de l’analyse. Ayant considéré que la décision litigieuse n’affectait pas, en elle-même, la situation juridique de la requérante, il a conclu à tort que cette décision n’était pas un acte attaquable. Dans cette analyse, le Tribunal ne s’est pas concentré sur la question de savoir si la décision litigieuse produisait des effets de droit obligatoires à l’égard des tiers. Au lieu de cela, il s’est attaché à déterminer si cette décision devait être considérée comme intermédiaire du point de vue de la requérante ( 66 ). Ce faisant, le Tribunal a commis une erreur semblable à celle qu’il avait commise de nombreuses années auparavant dans son ordonnance du 14 juillet 2010, Deutsche Post/Commission ( 67 ), annulée par la Cour dans son arrêt Deutsche Post.

104.

À mes yeux, la question de savoir si un acte est « intermédiaire » ou « préparatoire » est superflue et complique indûment l’analyse requise au titre du premier et du quatrième alinéa de l’article 263 TFUE. Ainsi qu’il ressort de la présente affaire, se fonder de façon dogmatique sur ces notions peut, en fait, conduire à une conclusion erronée sur la recevabilité d’un recours en annulation. Je vais à présent examiner ce point.

105.

Au point 42 de l’ordonnance attaquée, le Tribunal a considéré comme pertinents aux fins de l’appréciation de la recevabilité 1°) le fait que la décision litigieuse constitue un acte « préparatoire » ou « intermédiaire » dans une procédure qui doit se clore par la décision finale d’une autorité de contrôle nationale, et 2°) le fait que la décision litigieuse n’est pas directement opposable à la requérante.

106.

Aucun de ces deux éléments – à savoir la nature « préparatoire » ou « intermédiaire » de l’acte et son caractère directement opposable à la requérante – n’est pertinent pour déterminer si cet acte est attaquable aux fins de l’article 263, premier alinéa, TFUE.

107.

Ces éléments sont également dénués de pertinence pour apprécier si l’acte concerne directement la requérante au sens de l’article 263, quatrième alinéa, TFUE (j’examinerai cette question à la section C des présentes conclusions).

108.

De même, la question de savoir si l’acte en cause est « final », en ce sens qu’il clôt une procédure complexe donnée, ou s’il doit être suivi par un « autre » acte du même organe ou d’un organe différent est également sans incidence sur le caractère attaquable de cet acte. En effet, comme je l’ai indiqué au point 78 des présentes conclusions, la question pertinente pour l’appréciation du caractère attaquable d’un acte est de savoir si cet acte a des effets juridiques autonomes – qu’il ne peut produire que s’il est définitif ou final du point de vue de l’institution ou de l’organe qui l’a adopté.

109.

Dans l’ordonnance attaquée, le Tribunal s’est fondé sur le point 10 de l’arrêt IBM pour conclure à l’existence d’un principe selon lequel les actes intermédiaires ne sont pas attaquables ( 68 ). Ayant établi ce principe, il a précisé que la possibilité d’attaquer un acte intermédiaire était une exception pouvant être invoquée lorsque cet acte produit des effets juridiques autonomes ( 69 ).

110.

Toutefois, au point 10 de l’arrêt IBM, la Cour a jugé que, « en principe, ne constituent un acte attaquable que les mesures qui fixent définitivement la position de la Commission ou du Conseil au terme de cette procédure » ( 70 ). Elle a ainsi précisé que, pour apprécier le caractère attaquable d’un acte, il fallait s’attacher à déterminer si l’acte en cause exprimait la position définitive de l’institution, du point de vue de celle-ci.

111.

L’arrêt IBM n’a donc pas révélé l’existence d’un principe selon lequel les actes intermédiaires ne sont pas attaquables.

112.

Par ailleurs, l’arrêt IBM ne concernait même pas une procédure complexe, mais bien une procédure conduite exclusivement par la Commission. Dans le contexte de cette procédure, la Cour a évalué la pertinence des différentes phases de la procédure interne de la Commission pour conclure que la lettre attaquée dans cette affaire n’exprimait pas la position définitive de cette institution ( 71 ).

113.

Par conséquent, les termes « intermédiaire » ou « préparatoire » ne peuvent être pertinents que s’ils sont utilisés par opposition aux termes « définitif » ou « final » dans le cadre de la procédure interne d’une institution ou d’un organe ( 72 ).

114.

Si l’on devait considérer qu’un acte est « intermédiaire », et donc « non attaquable », du seul fait de la place qu’il occupe dans la procédure complexe au cours de laquelle, du point de vue du requérant, un autre acte lui sera adressé, un individu ne pourrait jamais attaquer le véritable acte qui affecte sa situation juridique et qui le concerne ainsi directement. Une telle situation serait contraire à l’article 263, quatrième alinéa, TFUE.

115.

Par conséquent, l’accent mis en l’espèce par le Tribunal sur le caractère « intermédiaire » ou « préparatoire » de la décision litigieuse s’écarte de la seule question pertinente qu’il convient de se poser au titre de l’article 263, premier alinéa, TFUE : la position du CEPD, telle qu’elle est exprimée dans la décision litigieuse, constitue-t-elle la position définitive de cet organe, en particulier une position obligatoire à l’égard d’un tiers, indépendamment du fait qu’un autre acte suivra pour « clore » la procédure mise en place par le mécanisme de contrôle de la cohérence du RGPD ?

116.

En l’espèce, la décision litigieuse est l’acte du CEPD. Par cette décision, celui-ci a adopté sa position définitive sur la question de savoir, d’une part, si les données faisant l’objet d’un hachage avec perte, telles qu’elles sont utilisées par la requérante, constituent des « données à caractère personnel » au sens du RGPD et, d’autre part, si la requérante a enfreint les règles de transparence établies par le RGPD. Ces deux constatations définitives ont pour effet juridique d’obliger l’autorité de contrôle irlandaise, en sa qualité d’autorité de contrôle chef de file, à modifier son projet de décision (dans lequel elle proposait auparavant de conclure en sens contraire). Par la décision litigieuse, le CEPD oblige également cette autorité à réduire le délai de mise en conformité applicable et lui adresse des instructions contraignantes sur les modalités de calcul des amendes en cause. Ces instructions entraîneront l’augmentation de ces amendes par rapport à celles que l’autorité de contrôle irlandaise entendait infliger. Ces conclusions sont finales du point de vue du CEPD, en ce sens qu’elles fixent la position définitive de cet organe sur les questions qui lui ont été soumises. Elles créent donc une obligation ( 73 ) pour l’autorité de contrôle irlandaise et cette obligation ne peut être écartée que si le CEPD révoque sa décision ou si les juridictions de l’Union annulent cette décision.

117.

Étant donné que ladite décision est finale et qu’elle produit des effets de droit obligatoires en dehors de l’organe qui l’a adoptée, c’est-à-dire à l’égard de l’autorité de contrôle irlandaise, le Tribunal aurait dû conclure que la décision litigieuse remplissait les conditions de l’article 263, premier alinéa, TFUE, de sorte qu’il y avait lieu de la qualifier d’acte attaquable.

118.

Le deuxième élément superflu introduit par le Tribunal dans son analyse est le caractère directement opposable de la décision du CEPD à WhatsApp.

119.

Je peux être brève sur ce point : la détermination du caractère attaquable d’un acte ne dépendant pas de la question de savoir si ou comment cet acte modifie la situation juridique de la requérante, l’éventuel caractère directement opposable de la décision litigieuse à WhatsApp ne peut pas être pertinent pour l’analyse requise au titre de l’article 263, premier alinéa, TFUE. En outre, ainsi que je l’indiquerai dans les considérations qui suivent, le caractère directement opposable à la requérante n’est pas non plus un critère pertinent pour déterminer si la décision du CEPD la concerne directement.

120.

Pour déterminer si l’acte d’une institution ou d’un organe de l’Union est attaquable devant les juridictions de celle-ci aux fins de l’article 263, premier alinéa, TFUE, il convient d’apprécier si cet acte exprime la position définitive de cette institution ou de cet organe produisant des effets de droit obligatoires à l’égard d’une personne extérieure à ladite institution ou audit organe.

121.

Pour que l’acte soit attaquable devant les juridictions de l’Union, le tiers à l’égard duquel cet acte produit des effets de droit obligatoires ne doit pas nécessairement être le même que celui qui a introduit le recours en annulation.

122.

La question de la qualité pour agir de la personne qui a introduit le recours contre l’acte attaquable doit s’apprécier au regard du quatrième alinéa de l’article 263 TFUE, et non au regard du premier alinéa de cet article.

123.

Pour évaluer le caractère attaquable d’un acte, il est indifférent que cet acte constitue une étape « intermédiaire » dans une procédure complexe.

124.

En s’attachant à la circonstance que la décision litigieuse n’était pas la décision finale adoptée dans le cadre du mécanisme de contrôle de la cohérence instauré par le RGPD, au lieu d’examiner si cette décision était la décision finale ou définitive du CEPD qui produit des effets de droit obligatoires à l’égard de l’autorité de contrôle irlandaise, le Tribunal a fait une appréciation erronée, dans l’ordonnance attaquée, des conditions posées à l’article 263, premier alinéa, TFUE.

125.

Je propose donc à la Cour de faire droit aux deux premiers arguments avancés dans le cadre du premier moyen de pourvoi.

126.

Par ses troisième et quatrième arguments invoqués dans le cadre du premier moyen de pourvoi, la requérante soutient que le Tribunal a commis une erreur en concluant que la décision litigieuse ne la concernait pas directement.

127.

Selon la requérante, bien que le Tribunal ait correctement exposé la jurisprudence de la Cour exigeant le respect de deux conditions pour établir l’affectation directe d’une personne physique ou morale par un acte dont elle n’est pas destinataire ( 74 ), le Tribunal a toutefois fait une application erronée de cette jurisprudence.

128.

Conformément à la jurisprudence citée par le Tribunal, « la condition selon laquelle une personne physique ou morale doit être directement concernée par la mesure faisant l’objet de son recours requiert que deux conditions soient cumulativement satisfaites, à savoir que cette mesure, d’une part, produise directement des effets sur la situation juridique de cette personne et, d’autre part, ne laisse aucun pouvoir d’appréciation aux destinataires chargés de sa mise en œuvre, celle-ci ayant un caractère purement automatique et découlant de la seule réglementation de l’Union, sans application d’autres règles intermédiaires » ( 75 ).

129.

La qualification de ces deux critères de « cumulatifs » résulte de la jurisprudence dans laquelle l’acte attaqué nécessitait des mesures d’exécution ( 76 ).

130.

Dans une telle situation, l’acte attaqué ne pouvait affecter directement la situation juridique du requérant que si l’organe d’exécution ne disposait d’aucun pouvoir d’appréciation quant à la question de savoir si et comment il devait mettre en œuvre cet acte ( 77 ).

131.

C’est la situation qui se présente en l’espèce. La décision litigieuse, qui concerne la requérante, est adressée à l’autorité de contrôle irlandaise, et non à la requérante. Cette décision impose à l’autorité de contrôle irlandaise de modifier son projet de décision aux fins de l’adoption de la décision finale, adressée à la requérante, de telle sorte que cette décision finale mette en œuvre les constatations opérées dans la décision litigieuse. Partant, la question de savoir si cette autorité disposait d’un pouvoir d’appréciation après l’adoption de la décision litigieuse par le CEPD est pertinente pour apprécier l’affectation directe de la requérante.

132.

Dans ce contexte, la requérante fait valoir que le Tribunal a fait une interprétation erronée de l’article 263, quatrième alinéa, TFUE à deux égards. D’une part, dans son examen de la première condition de l’affectation directe, le Tribunal a appliqué les critères de l’« opposabilité » et de l’« ultime étape de la procédure », alors qu’aucun de ceux-ci n’est pertinent pour établir l’affectation directe. D’autre part, dans son analyse de la seconde condition de l’affectation directe, le Tribunal a fait une application erronée du critère du pouvoir d’appréciation dans le contexte de la décision litigieuse.

133.

Je souscris au point de vue de la requérante sur ces deux points.

134.

La première interprétation erronée que la requérante reproche au Tribunal est celle par laquelle il a conclu, au point 52 de l’ordonnance attaquée, que la condition exigeant que la décision litigieuse affecte directement la situation juridique de WhatsApp n’était pas remplie parce que cette décision ne lui était pas opposable.

135.

La condition de l’« opposabilité » n’est pas mentionnée à l’article 263, quatrième alinéa, TFUE et ne ressort pas non plus de la jurisprudence de la Cour.

136.

Cela est dû à une bonne raison. Dans la plupart des situations nécessitant une mesure d’exécution, que ce soit au niveau de l’Union ou au niveau national, la décision de l’Union mise en œuvre n’est, en soi, pas opposable aux personnes physiques ou morales, quand bien même ces personnes sont les destinataires prévus de cette décision. La raison même pour laquelle une mesure d’exécution est souvent requise tient au fait que l’acte de l’Union en cause ne peut pas, en lui-même, « atteindre » le requérant. Dans ces situations, seule la mesure d’exécution est opposable à la personne physique ou morale.

137.

Si le caractère « directement opposable » d’un acte à l’égard d’une personne physique ou morale devait conditionner l’affectation directe, les requérants non privilégiés ne pourraient pratiquement jamais attaquer un acte de l’Union nécessitant des mesures d’exécution.

138.

En fait, s’agissant de la question de l’affectation directe, il est sans incidence que seule soit opposable à une personne physique ou morale la mesure d’exécution en cause, et non l’acte dont elle conteste la validité devant les juridictions de l’Union. Si la mesure d’exécution est la simple reproduction de l’acte visé par le recours, parce que l’organe d’exécution ne dispose d’aucune marge de manœuvre quant à la question de savoir s’il doit adopter une décision et comment il doit la formuler, il est clair que l’acte attaqué est la véritable raison de la modification de la situation juridique de la requérante.

139.

En l’espèce, cela signifie que le Tribunal a commis une erreur en prenant en considération le caractère opposable de la décision litigieuse à la requérante en tant qu’élément pertinent pour apprécier si cette décision la concerne directement.

140.

Au même point 52 de l’ordonnance attaquée, le Tribunal a jugé que la requérante n’était pas directement concernée par la décision litigieuse au motif que celle-ci n’était pas l’ultime étape de la procédure prévue par le mécanisme de contrôle de la cohérence du RGPD et, au contraire, qu’elle nécessitait des mesures d’exécution au niveau national.

141.

Il découle déjà des commentaires qui précèdent qu’une personne peut être directement concernée par un acte alors même que cet acte comporte des mesures d’exécution ( 78 ).

142.

La seconde condition de l’affectation directe, telle qu’elle ressort de la jurisprudence de la Cour (voir point 128 des présentes conclusions) mentionnée par le Tribunal en tant que droit applicable dans l’ordonnance attaquée ( 79 ), serait vidée de son sens si l’on devait conclure à l’absence d’affectation directe lorsque l’acte attaqué comporte des mesures d’exécution.

143.

Cette interprétation méconnaît, par ailleurs, la distinction entre la condition exigeant qu’un acte réglementaire ne comporte pas de mesures d’exécution et la condition de l’affectation directe, qui doivent toutes deux être remplies pour établir la qualité pour agir d’un requérant non privilégié en vertu de l’article 263, quatrième alinéa, TFUE ( 80 ).

144.

Le Tribunal a donc commis une erreur en considérant qu’il était pertinent, pour apprécier si la requérante était directement concernée par la décision litigieuse, que l’autorité de contrôle irlandaise doive adopter une décision mettant en œuvre la décision litigieuse.

145.

Le Tribunal a tenté de distinguer la présente situation des situations qui se produisent dans le domaine des aides d’État, dans lesquelles la Commission conclut à l’incompatibilité de l’aide avec le marché intérieur et ordonne à l’État membre concerné de la récupérer ( 81 ). Dans de telles situations, la Cour a jugé que les destinataires de l’aide étaient directement concernés par la décision pertinente de la Commission, quand bien même cette décision devait être mise en œuvre par l’État membre en cause et ne pouvait être appliquée que sur la base des mesures d’exécution concernées ( 82 ).

146.

Je ne peux que souscrire à l’analyse de la requérante selon laquelle le Tribunal s’est fondé à tort sur ces arrêts pour distinguer la présente situation et conclure que WhatsApp n’était pas directement concernée par la décision litigieuse ( 83 ).

147.

Au contraire, ces arrêts amènent plutôt à conclure que WhatsApp est directement concernée par la décision litigieuse. Cette décision est source d’une modification de la situation juridique de la requérante, en dépit du fait que l’autorité de contrôle irlandaise doive adopter une décision « d’exécution ». En substance, la logique est donc précisément celle qui a été suivie par la Cour dans la jurisprudence citée par le Tribunal au point 64 de l’ordonnance attaquée.

148.

De même, je considère que le Tribunal a commis une erreur en considérant que la décision litigieuse n’était pas analogue aux décisions de la Commission ordonnant la récupération d’une aide au motif que la décision litigieuse n’achevait pas la procédure en cause au niveau national ( 84 ). Au contraire, en tant qu’elle concerne les questions tranchées par le CEPD par la voie de la décision litigieuse, la procédure régissant le mécanisme de contrôle de la cohérence était, en fait, terminée dès lors que l’autorité de contrôle irlandaise ne pouvait pas modifier les constatations formulées dans cette décision. La circonstance que cette autorité puisse être amenée à statuerégalement sur certains points supplémentaires qui n’ont pas été couverts par la décision litigieuse ne change rien au « caractère définitif » des constatations opérées dans la décision litigieuse sur les questions qu’elle a tranchées.

149.

À l’examen des observations qui précèdent, il me paraît clair que la décision litigieuse affecte la situation juridique de la requérante dès lors que, dans cette décision, le CEPD constate, d’une part, que la procédure de hachage avec perte de la requérante comporte des données à caractère personnel et, d’autre part, que la pratique de WhatsApp enfreint certaines règles de transparence imposées par le RGPD aux responsables du traitement.

150.

À elle seule, cette dernière constatation impose à la requérante une obligation juridique de modifier sa pratique. Il s’agit, en outre, du fondement juridique sur lequel l’autorité de contrôle irlandaise inflige des amendes plus élevées à la requérante. Sans la décision litigieuse, cette autorité ne pourrait pas le faire. Ce n’est que parce qu’elle était tenue de le faire en vertu de la décision litigieuse que ladite autorité a inclus ces constatations dans sa décision finale. À mes yeux, cela montre très clairement que la véritable origine de la modification de la situation juridique de la requérante est la décision litigieuse, et non, comme le Tribunal le conclut à tort, la décision de l’autorité de contrôle irlandaise.

151.

Si un acte visé par un recours en annulation requiert des mesures d’exécution, cet acte concernera directement la requérante seulement si l’organe qui adopte ces mesures d’exécution ne dispose d’aucun pouvoir d’appréciation et doit plutôt mettre en œuvre automatiquement les constatations opérées dans la décision attaquée.

152.

En l’espèce, cela signifie que la décision litigieuse concernera directement WhatsApp si l’autorité de contrôle irlandaise ne dispose d’aucun pouvoir d’appréciation quant à la question de savoir si ou comment elle doit mettre en œuvre cette décision.

153.

Dans l’ordonnance attaquée, le Tribunal a estimé que l’autorité de contrôle irlandaise disposait d’une marge d’appréciation, de sorte que la requérante n’était pas directement concernée par la décision litigieuse, mais uniquement par la décision finale de cette autorité ( 85 ).

154.

Je souscris à l’analyse de la requérante selon laquelle, ici aussi, le Tribunal a commis une erreur d’appréciation.

155.

Premièrement, la conclusion du CEPD indiquant, d’une part, que le hachage avec perte constitue un traitement de données à caractère personnel et, d’autre part, que la requérante, en qualité de responsable du traitement, a manqué aux obligations qui lui incombent en vertu des articles 5, 13 et 14 du RGPD a dû être transposée dans la décision finale de l’autorité de contrôle irlandaise, de sorte que celle-ci ne disposait d’aucune marge d’appréciation l’autorisant à conclure en sens contraire.

156.

Deuxièmement, la décision litigieuse a imposé à l’autorité de contrôle irlandaise une obligation inconditionnelle d’augmenter les amendes et de recourir aux méthodes de calcul figurant dans la décision du CEPD, quand bien même il appartenait à cette autorité de procéder au calcul final du montant de ces amendes ainsi qu’à l’infliction finale de celles-ci. Cela signifie qu’aucune marge d’appréciation n’a été laissée à ladite autorité, en qualité d’« organe d’exécution », pour maintenir ou réduire les amendes initiales ( 86 ).

157.

Par conséquent, s’agissant de ces deux éléments de la décision litigieuse, l’autorité de contrôle irlandaise ne disposait d’aucun pouvoir d’appréciation quant à la question de savoir si ou comment elle devait statuer à l’égard de la requérante.

158.

Il s’ensuit que le Tribunal a commis une erreur en jugeant que l’autorité de contrôle irlandaise disposait d’un pouvoir d’appréciation sur ces éléments ( 87 ).

159.

En vertu de l’article 65, paragraphe 1, sous a), du RGPD, le CEPD ne statue que sur les aspects de l’application du RGPD qui ont été visés par des objections d’autres autorités de contrôle et qui n’ont pas été réglés entre les autorités de contrôle participantes. Par conséquent, l’autorité de contrôle irlandaise dispose effectivement d’un pouvoir d’appréciation pour statuer sur les questions qui n’ont pas été soumises au CEPD, mais qui font néanmoins partie de la décision nationale finale ( 88 ).

160.

Cette constatation a-t-elle une incidence sur l’affectation directe de la requérante par la décision litigieuse ?

161.

Dans l’ordonnance attaquée, le Tribunal a estimé que la portée limitée de la décision litigieuse était pertinente dès lors que la décision finale de l’autorité de contrôle irlandaise constituait un tout dont on ne pouvait pas détacher les parties à l’égard desquelles cette autorité ne dispose et ne disposait d’aucune marge d’appréciation ( 89 ).

162.

À mes yeux, et en accord, ici aussi, avec la position de la requérante, cette circonstance n’a aucune incidence sur la question de l’affectation directe de WhatsApp par la décision litigieuse.

163.

Pour apprécier l’affectation directe, il convient de partir de la substance de l’acte attaqué ( 90 ). À cet égard, il suffit que le contenu de la décision litigieuse, qui affecte la situation juridique de la requérante, n’ait laissé aucune marge d’appréciation à l’autorité de contrôle irlandaise sur ces points, quand bien même la décision finale traitait également d’autres questions.

164.

En fait, ainsi que je l’exposerai dans la partie suivante des présentes conclusions, si la requérante n’avait pas contesté la décision litigieuse devant le Tribunal, elle n’aurait plus pu faire valoir l’invalidité de cette décision dans le cadre de son recours introduit contre la décision finale de l’autorité de contrôle irlandaise devant les juridictions irlandaises compétentes.

165.

En effet, comme la requérante l’a indiqué à l’audience, une telle procédure est pendante devant les juridictions irlandaises. La requérante y sollicite l’annulation de la décision finale de l’autorité de contrôle irlandaise également en ce qui concerne les aspects de cette décision qui n’ont pas été traités dans la décision litigieuse. Elle a néanmoins introduit, en même temps, un recours devant le Tribunal contre la décision du CEPD afin de garantir son droit d’exciper de l’invalidité des parties de la décision de l’autorité de contrôle irlandaise à l’égard desquelles cette dernière ne disposait d’aucun pouvoir d’appréciation.

166.

Partant, le Tribunal a également commis une erreur en concluant que la requérante n’était pas directement concernée par la décision litigieuse au motif que l’autorité de contrôle irlandaise disposait d’une marge d’appréciation pour la « mettre en œuvre » dès lors que la décision finale nationale traitait aussi d’aspects qui n’avaient pas été couverts par la décision litigieuse.

167.

Le Tribunal a mal appliqué les conditions d’appréciation de l’affectation directe au titre de l’article 263, quatrième alinéa, TFUE.

168.

Premièrement, il a fondé son appréciation sur des conditions inexistantes selon lesquelles 1°) l’acte attaqué doit être directement opposable à la partie requérante dans les procédures d’annulation, et 2°) cet acte ne doit pas comporter de mesures d’exécution.

169.

Deuxièmement, le Tribunal a commis une erreur d’appréciation en considérant que la décision litigieuse laissait une marge d’appréciation à l’autorité chargée de sa mise en œuvre, en l’espèce l’autorité de contrôle irlandaise.

170.

Enfin, le Tribunal a commis une erreur en concluant que la circonstance que certaines parties de la décision finale de l’autorité de contrôle irlandaise n’avaient pas été couvertes par la décision litigieuse avait une incidence sur la question de la marge de manœuvre laissée par la décision litigieuse à cette autorité.

171.

Je suggère donc à la Cour de faire droit aux troisième et quatrième arguments avancés dans le cadre du premier moyen de pourvoi.

172.

Par son cinquième argument avancé dans le cadre du premier moyen de pourvoi, la requérante soutient que le Tribunal a dénaturé les exigences procédurales du système des voies de recours juridictionnelles de l’Union.

173.

Dans l’ordonnance attaquée, le Tribunal a considéré que, dans la procédure prévue par le mécanisme de contrôle de la cohérence, une procédure juridique contre la décision finale de l’autorité de contrôle nationale devait être engagée devant les juridictions nationales compétentes. Selon le Tribunal, la logique du système complet des voies de recours juridictionnelles amène à conclure que la juridiction nationale est le for approprié ( 91 ), qui introduira ensuite la procédure préjudicielle devant la Cour en ce qui concerne la validité de la partie de la décision nationale dictée par la décision pertinente du CEPD.

174.

L’on peut reconnaître une certaine validité à la position du Tribunal exigeant la concentration des recours devant une seule juridiction. La solution qu’il propose remédierait, en fait, aux inconvénients procéduraux actuels qui imposent effectivement à la partie requérante d’introduire deux recours distincts, l’un devant le Tribunal et l’autre devant la juridiction nationale, si elle souhaite assurer la sauvegarde effective de tous les droits qu’elle tire du droit de l’Union. Ce n’est, en effet, pas la manière la plus efficace de protéger les droits d’une personne.

175.

C’est précisément ce qu’a fait la requérante en l’espèce : elle a introduit deux recours, l’un devant le Tribunal et l’autre devant les juridictions irlandaises compétentes. Cependant, du moins dans sa structure actuelle, le système de la protection juridictionnelle de l’Union ne prévoit pas d’autre solution, ainsi que je l’exposerai dans les considérations qui suivent.

176.

Premièrement, comme on le sait, les juridictions nationales n’ont pas le pouvoir d’invalider les actes des institutions et autres organes de l’Union. Par conséquent, si elles considèrent qu’un acte de l’Union est invalide, elles doivent engager une procédure préjudicielle devant la Cour et obtenir de celle-ci la confirmation de cette invalidité ( 92 ).

177.

Deuxièmement, une juridiction nationale ne peut pas remettre en cause la validité d’un acte de l’Union si la partie qui en invoque l’invalidité remplit les conditions de qualité pour agir prévues à l’article 263, quatrième alinéa, TFUE, mais n’a pas contesté cet acte devant les juridictions de l’Union dans le délai imparti par l’article 263, sixième alinéa, TFUE. C’est ce qui ressort de l’arrêt du 9 mars 1994, TWD Textilwerke Deggendorf ( 93 ), ces considérations ayant été confirmées dans des arrêts ultérieurs, et notamment dans l’arrêt du 25 juillet 2018, Georgsmarienhütte e.a. ( 94 ), commenté par les parties à la présente procédure.

178.

Dans cet arrêt, la Cour a jugé que, « dès lors qu’un justiciable qui entend contester un acte de l’Union a sans aucun doute qualité pour agir au titre de l’article 263, quatrième alinéa, TFUE, il est tenu de faire usage de la voie de droit prévue par cette disposition en introduisant un recours devant le Tribunal » ( 95 ). Si une personne avait l’occasion de former un recours en annulation dans le délai prévu à l’article 263, sixième alinéa, TFUE, mais ne l’a pas fait, la juridiction nationale ne peut pas accepter l’exception d’invalidité de l’acte de l’Union soulevée par cette personne et doit considérer l’acte attaqué comme définitif à l’égard de celle-ci ( 96 ). Si, dans une telle situation, la Cour a été saisie par une juridiction nationale dans le cadre d’une procédure préjudicielle, elle devrait rejeter le renvoi préjudiciel comme irrecevable dès lors qu’elle apporterait à la question une réponse que la juridiction de renvoi ne pourrait pas utiliser.

179.

L’arrêt du 3 décembre 2019, Iccrea Banca ( 97 ), constitue un exemple récent dans le domaine des procédures complexes. Dans cet arrêt, la Cour a jugé irrecevable une partie du renvoi préjudiciel du Tribunale amministrativo regionale per il Lazio (tribunal régional administratif pour le Latium, Italie) devant lequel une banque, Iccrea Banca, avait contesté le calcul du montant de sa contribution au Fonds de résolution unique. La Cour a considéré que cette banque était directement et individuellement concernée par une décision du CRU, qui constituait le fondement de la détermination du montant de ces contributions, mais qu’elle n’avait pas contesté cette décision par la voie d’un recours en annulation devant le Tribunal ( 98 ). Iccrea Banca n’avait donc plus la possibilité d’exciper indirectement de l’invalidité de la décision du CRU devant la juridiction nationale, de sorte que la Cour a dû rejeter le renvoi préjudiciel comme irrecevable sur ce point.

180.

Si l’on applique cette jurisprudence à la présente situation, dans laquelle WhatsApp avait qualité pour agir contre la décision litigieuse devant le Tribunal, il est clair que WhatsApp ne pourrait pas faire valoir l’invalidité de cette décision devant la juridiction nationale si elle n’avait pas également contesté directement ladite décision devant le Tribunal dans le délai imparti par l’article 263, sixième alinéa, TFUE ( 99 ).

181.

Par conséquent, étant donné, d’une part, que la requérante est directement concernée par la décision litigieuse et, d’autre part, comme le Tribunal l’a lui-même constaté, que cette décision la concerne individuellement ( 100 ), le recours dirigé contre ladite décision doit être formé devant les juridictions de l’Union, et non devant les juridictions nationales.

182.

Le considérant 143 du RGPD confirme que, pour assurer la bonne organisation du contrôle juridictionnel dans une situation telle que celle de l’espèce, il convient d’introduire un recours en annulation devant le Tribunal ( 101 ). Même si ce considérant n’a pas force obligatoire, ainsi que le fait valoir à juste titre le CEPD, il décrit néanmoins les conséquences qui s’attachent à l’application des normes obligatoires du traité concernant l’organisation des procédures juridictionnelles.

183.

Enfin, outre les arguments qui précèdent, j’ajouterais que le recours direct devant le Tribunal, dans le cadre duquel l’organe de l’Union, auteur de la décision attaquée, est partie à la procédure, est à mes yeux le moyen le plus approprié de statuer sur la validité de cette décision. En effet, le rôle que cet organe peut jouer dans la procédure devant la juridiction nationale dépendra des règles procédurales nationales pertinentes, de sorte qu’il pourrait se voir refuser l’accès aux débats entourant son propre acte ( 102 ).

184.

Dans l’ordonnance attaquée, le Tribunal a également exprimé ses préoccupations quant à d’éventuelles divergences entre la décision au niveau de l’Union et la décision au niveau national, lesquelles peuvent résulter des recoupements entre les procédures juridictionnelles ( 103 ).

185.

Cette question n’est pas nouvelle. Ainsi que la Cour l’a indiqué dans son arrêt du 14 décembre 2000, Masterfoods et HB, lorsque la validité d’un acte de l’Union est mise en cause à la fois devant les juridictions nationales et devant les juridictions de l’Union, les juridictions nationales sont tenues, en vertu du principe de coopération loyale, de s’abstenir de prendre une décision risquant d’entrer en conflit avec une décision existante ou future des juridictions de l’Union ( 104 ). Ainsi, lorsqu’un recours en annulation est pendant devant le Tribunal et qu’une question de validité est soulevée par la voie d’un recours parallèle introduit dans le cadre d’une procédure nationale, le partage des compétences entre les juridictions de l’Union et les juridictions nationales peut imposer à ces dernières de surseoir à statuer ( 105 ). En l’espèce, il semble que ce soit la décision qui a été prise par les juridictions irlandaises compétentes ( 106 ).

186.

Si la juridiction nationale a introduit la procédure préjudicielle devant la Cour en dépit du recours en annulation pendant devant le Tribunal, la Cour peut, en vertu de l’article 54 du statut de la Cour de justice de l’Union européenne et du principe de bonne administration, suspendre la procédure devant elle au profit de ce recours en annulation ( 107 ).

187.

La logique du système de protection juridictionnelle établi par les traités n’oblige pas à conclure à l’irrecevabilité du recours en annulation introduit par la requérante devant le Tribunal.

188.

Je suggère donc à la Cour de faire droit également au cinquième argument avancé dans le cadre du premier moyen de pourvoi.

189.

Eu égard à l’ensemble des arguments qui précèdent, je propose à la Cour d’accueillir le premier moyen de pourvoi de la requérante.

190.

En vertu de l’article 61 du statut de la Cour de justice de l’Union européenne, la Cour peut statuer elle-même définitivement sur le litige lorsque celui-ci est en état d’être jugé.

191.

Cette condition est remplie dans la présente affaire en tant qu’elle concerne la recevabilité du recours direct introduit devant le Tribunal.

192.

Premièrement, la décision litigieuse constitue un acte attaquable aux fins de l’article 263, premier alinéa, TFUE. Deuxièmement, la requérante est directement concernée par cette décision au sens de l’article 263, quatrième alinéa, TFUE. Troisièmement, ladite décision concerne individuellement la requérante, ainsi que le Tribunal l’a lui-même constaté dans l’ordonnance attaquée ( 108 ). Il s’ensuit que les conditions prévues aux premier et quatrième alinéas de l’article 263 TFUE sont remplies. Le recours est donc recevable.

193.

Toutefois, le Tribunal n’ayant pas examiné le fond du recours introduit devant lui, lequel appelle une appréciation détaillée en droit et en fait, le litige n’est pas en état d’être jugé sur le fond par la Cour.

194.

Partant, il y a lieu de renvoyer l’affaire devant le Tribunal et de réserver les dépens.

195.

Je propose à la Cour :