Différentes autorités ont à connaitre des manquements au RGPD et aux règles applicables aux données personnelles. Quand une sanction intervient, quelle décision est à contester  ? La décision du 7 décembre  2022 du Tribunal de l’Union montre que cette interrogation n’est pas dépourvue d’intérêt. 

La décision du 7 décembre 2022

Très brièvement les deux événements centraux

À compter de décembre 2018, l’autorité de contrôle irlandais a entamé d’office une enquête à caractère général sur le respect par WhatsApp, – société irlandaise -,  des obligations de transparence et d’information à l’égard des particuliers (articles 12, 13 et  14 du règlement 2016/679, le Règlement Général sur la Protection des Données).

Le 20 août 2021, l’autorité de contrôle irlandaise a adressé à WhatsApp un rappel à l’ordre d’un certain nombre d’actions à mettre en œuvre ainsi que différentes amendes administratives d’un montant cumulé de 225 millions d’euros.

Mais entre ces deux date, cette autorité irlandaise, – l’autorité de contrôle chef de file –  à échanger avec d’autres autorités de contrôle nationales (Allemagne, Hongrie, Pays-Bas, Pologne,  France, Italie et Portugal), sans que puisse être établi entre ces différentes autorités un consensus sur les mesures à prendre .

L’autorité irlandaise a alors saisi le Comité Européen de la Protection des Données, selon la procédure prévue au RGPD ( articles 64 et 64), dont la décision intervient le 28 juillet 2021.

Quelle décision WhatsApp devait contester celle d’août 2021 de l’autorité irlandaise chef de file ou celle de juillet 2021 du CEPD ?

La réponse est donnée par l’ordonnance du 7 décembre 2022 du Tribunal de l’union qui examine le recours de WhatsApp contre la décision du ….. CEPD.

• Reprenant la jurisprudence de la Cour sur les procédures conduisant à l’élaboration d’actes en plusieurs phases, l’ordonnance rappelle «  ..en principe ne constituent pas des actes attaquables les mesures intermédiaires dont l’objectif est de préparer la décision finale ».
• De plus à la décision du 2 juillet 2021 ne sont parties que les autorités de contrôle nationales et non WhatsApp !
• Comme WhatsApp bénéficie d’une voie de recours prévue par le RGPD devant le juge national de l’autorité chef de file, c’est-à-dire que WhatsApp bénéficie d’une protection juridictionnelle effective.

Le recours de WhatsApp est jugé irrecevable.

Toutefois, si WhatsApp a déjà déposé un recours contre la décision de l’autorité irlandaise, le contentieux européen n’est pas terminé, l’ordonnance précisant :

« il appartiendra le cas échéant à la juridiction irlandaise saisie, seule compétente à cet égard, de contrôler la légalité de la décision finale opposable à WhatsApp en posant une question préjudicielle en appréciation de validité à la Cour de justice de l’Union européenne en ce qui concerne la décision attaquée si elle l’estime nécessaire pour statuer sur le litige opposant WhatsApp à l’autorité de contrôle irlandaise. La juridiction irlandaise saisie pourrait, à cet égard, régler le litige qui lui est soumis soit en écartant l’exception d’illégalité qui pourrait être soulevée à l’encontre de la décision attaquée sans s’adresser à la Cour, si elle n’éprouve pas de doutes sur la validité de cette décision, soit au contraire saisir la Cour si elle éprouve de tels doutes, soit encore régler le litige indépendamment de la question de la validité de la décision attaquée compte tenu des moyens soulevés devant elle. »

.