Le 10 février dernier, la grande chambre de la CJUE a annulé l’ordonnance du Tribunal de l'UE qui avait jugé irrecevable le recours de WhatsApp contre la décision contraignante n° 1/2021 de l'EDPB. Au sens de l'article 263 TFUE, la Cour qualifie cette décision du Comité d’acte attaquable et déclare WhatsApp directement concernée, renvoyant l’affaire au Tribunal pour examen au fond.
Dans l’affaire, le Comité, saisi au titre de l’article 65 RGPD dans le cadre du mécanisme de cohérence, avait tranché des objections d’autorités nationales sur le projet de décision de la Data Protection Commission (DPC, autorité irlandaise de protection des données) relatif aux obligations d’information et de transparence de WhatsApp. Il avait notamment : constaté des violations supplémentaires des articles 13 et du principe de transparence de l’article 5, qualifié comme données personnelles des éléments issus du « lossy hashing » concernant des non‑utilisateurs, réduit de six à trois mois le délai de mise en conformité, et enjoint d’augmenter le niveau des amendes. La DPC a ensuite adopté la décision finale contre WhatsApp (225 M€), jointe à la décision du Comité.
Premièrement, une décision contraignante de l’EDPB au titre de l’article 65 du RGPD est un acte d’un organe de l’Union destiné à produire des effets juridiques à l’égard de tiers (les autorités de contrôle concernées qu’elle lie) et fixe la position définitive de l’EDPB sur les questions soumises ; elle n’est donc pas un simple acte préparatoire insusceptible de recours.
Deuxièmement, le responsable de traitement visé peut être « directement concerné » au sens de l’article 263, quatrième alinéa, du TFUE lorsque la décision de l'EDPB lie sans marge les autorités nationales sur des constats de violation, des qualifications de données ou l’obligation de relever les sanctions, et modifie de façon caractérisée sa situation juridique.
Ainsi, certains responsables de traitement peuvent contester directement devant le juge de l’Union des décisions contraignantes de l'EDPB ; en cas de contentieux parallèles, les juridictions nationales doivent se coordonner avec les juridictions de l’Union pour éviter des contradictions, en sursoyant à statuer ou en recourant, le cas échéant, au renvoi préjudiciel sur la validité de la décision de l'EDPB.
Source : CJUE, grande chambre, 10 février 2026, C‑97/23 P, WhatsApp Ireland/EDPB, publié au recueil
Découvrir les actualités :
- du département Propriété intellectuelle & Nouvelles Technologies