Arrest van het Gerecht (Tiende kamer – uitgebreid) van 29 januari 2025 (Uittreksels)

Uitspraak

Voorlopige editie

ARREST VAN HET GERECHT (Tiende kamer – uitgebreid)

29 januari 2025 (^*)

„ Bescherming van persoonsgegevens – Artikel 65, lid 1, onder a), van verordening (EU) 2016/679 – Bindend besluit waarbij een leidende toezichthoudende autoriteit wordt opgedragen de omvang van het onderzoek uit te breiden en een aanvullend ontwerpbesluit op te stellen – Bevoegdheid van het Europees Comité voor gegevensbescherming ”

In de gevoegde zaken T‑70/23, T‑84/23 en T‑111/23,

Data Protection Commission, gevestigd te Dublin (Ierland), vertegenwoordigd door D. Young, A. Bateman, R. Minch, M. Delargy, K. Donnelly, solicitors, B. Kennelly, SC, D. Fennelly, E. Synnott en R. Costello, barristers,

verzoekster,

tegen

Europees Comité voor gegevensbescherming, vertegenwoordigd door I. Vereecken, C. Foglia en M. Gufflet als gemachtigden, bijgestaan door G. Ryelandt, E. de Lophem en P. Vernet, advocaten,

verweerder,

wijst

HET GERECHT (Tiende kamer – uitgebreid),

samengesteld als volgt: O. Porchia, president, M. Jaeger, L. Madise (rapporteur), P. Nihoul en S. Verschuur, rechters,

griffier: M. Zwozdziak-Carbonne, administrateur,

gezien de stukken,

na de terechtzitting op 16 april 2024,

het navolgende

Arrest(¹)

1        Met haar beroepen krachtens artikel 263 VWEU vordert verzoekster, Data Protection Commission, de Ierse toezichthoudende autoriteit voor de bescherming van persoonsgegevens, gedeeltelijke nietigverklaring van bindende besluiten 3/2022, 4/2022 en 5/2022 van 5 december 2022 van het Europees Comité voor gegevensbescherming (hierna: „EDPB”) betreffende de geschillen tussen de betrokken toezichthoudende autoriteiten die voortvloeien uit de ontwerpbesluiten van verzoekster betreffende respectievelijk het sociale netwerk Facebook, het sociale netwerk Instagram en de berichtendienst WhatsApp, voor zover deze bindende besluiten haar gelasten nieuw onderzoek te verrichten naar de gegevensverwerking bij het gebruik van deze applicaties en op basis daarvan aanvullende ontwerpbesluiten op te stellen.

 Feiten en procedure

[omissis]

6        Na overleg met de andere betrokken toezichthoudende autoriteiten heeft verzoekster vastgesteld dat er geen consensus was over de bezwaren tegen haar ontwerpbesluiten en heeft zij zich overeenkomstig artikel 60, lid 4, van verordening 2016/679 tot het EDPB gewend in het kader van het bij die verordening ingevoerde coherentiemechanisme.

7        Na onderzoek van de drie dossiers heeft het EDPB op 5 december 2022 bindende besluiten 3/2022, 4/2022 en 5/2022 vastgesteld op grond van artikel 65, lid 1, onder a), van verordening 2016/679. In die drie bindende besluiten heeft het EDPB om te beginnen geoordeeld dat de meeste bezwaren tegen de ontwerpbesluiten van verzoekster relevant en gemotiveerd waren in de zin van artikel 4, punt 24, van verordening 2016/679, en dat het een standpunt kon innemen over de kwesties die deze bezwaren opwierpen. In dit verband heeft het EDPB een aantal van deze bezwaren die het relevant en gemotiveerd achtte, inhoudelijk onderschreven.

[omissis]

 Conclusies van partijen

15      Verzoekster verzoekt het Gerecht:

–        in zaak T‑70/23, de tweede volzin van de punten 198 en 487 van bindend besluit 3/2022 van het EDPB nietig te verklaren;

–        in zaak T‑84/23, de tweede volzin van de punten 203 en 454 van bindend besluit 4/2022 van het EDPB nietig te verklaren;

–        in zaak T‑111/23, de punten 222 en 326.8 van bindend besluit 5/2022 van het EDPB nietig te verklaren;

–        in de drie zaken, het EDPB te verwijzen in de door haar gemaakte kosten.

16      In elk van de drie zaken verzoekt het EDPB het Gerecht:

–        de beroepen te verwerpen;

–        subsidiair, de nietigverklaring van de bestreden besluiten te beperken tot de relevante delen ervan;

–        verzoekster te verwijzen in de kosten.

 In rechte

17      Verzoekster voert in de drie zaken één middel aan, namelijk dat het EDPB de grenzen van de bij artikel 65, lid 1, onder a), van verordening 2016/679 toegekende bevoegdheid heeft overschreden door haar in elk van de betrokken bindende besluiten de verplichting op te leggen, ten eerste, een nieuw onderzoek te verrichten naar aspecten die nog niet waren onderzocht en, ten tweede, op basis van de resultaten van dat nieuwe onderzoek overeenkomstig artikel 60, lid 3, van die verordening een aanvullend ontwerpbesluit in te dienen.

[omissis]

 Enig middel: onbevoegdheid van het EDPB om de bestreden bepalingen vast te stellen

[omissis]

29      Na deze precisering zij eraan herinnerd dat volgens vaste rechtspraak bij de uitlegging van een Unierechtelijke bepaling in beginsel niet enkel rekening dient te worden gehouden met de bewoordingen ervan, maar ook met de context ervan en de doelstellingen van de regeling waarvan zij deel uitmaakt (zie in die zin arrest van 29 november 2018, Mensing, C‑264/17, EU:C:2018:968, punt 24 en aldaar aangehaalde rechtspraak). In casu zijn bepaalde argumenten van verzoekster ook ontleend aan overwegingen of beginselen die verder gaan dan verordening 2016/679 zelf. Het Gerecht zal dus uitspraak doen over de omvang van de bevoegdheid van het EDPB krachtens artikel 65, lid 1, onder a), van verordening 2016/679 door, voor zover nodig, eerst de argumenten te onderzoeken die verzoekster heeft aangevoerd in het kader van een letterlijke, contextuele, teleologische en historische analyse van deze verordening, en vervolgens de argumenten die zijn ontleend aan de voorwaarden voor toekenning van een bevoegdheid aan een orgaan van de Unie, de kenmerken van de rechterlijke toetsing op nationaal niveau en de onafhankelijkheid van de met de bescherming van persoonsgegevens belaste toezichthoudende autoriteiten.

 Argumenten betreffende de omvang van de bevoegdheid van het EDPB krachtens artikel 65, lid 1, onder a), van verordening 2016/679 die zijn aangevoerd in het kader van een letterlijke, contextuele, teleologische en historische analyse van die verordening

30      Verzoekster baseert zich op de bewoordingen van artikel 65, lid 1, onder a), artikel 65, lid 6, en artikel 4, punt 24, van verordening 2016/679 om te stellen dat het EDPB niet bevoegd is om een leidende toezichthoudende autoriteit met een krachtens eerstgenoemde bepaling vastgesteld bindend besluit te verplichten haar onderzoek uit te breiden en een nieuw ontwerpbesluit in te dienen waarbij conclusies zijn getrokken uit dat aanvullende onderzoek. Daartoe beroept zij zich ook op de overwegingen 126 en 136 van die verordening.

31      Artikel 65, lid 1, onder a), van verordening 2016/679 bepaalt:

„Om te zorgen voor de correcte en consequente toepassing van deze verordening in individuele gevallen, stelt het [EDPB] een bindend besluit vast [...] wanneer [...] een betrokken toezichthoudende autoriteit een relevant en gemotiveerd bezwaar heeft ingediend tegen een ontwerpbesluit van de leidende toezichthoudende autoriteit en de leidende toezichthoudende autoriteit heeft het bezwaar niet gevolgd of heeft het bezwaar afgewezen als zijnde irrelevant of ongemotiveerd. Het bindend besluit heeft betrekking op alle aangelegenheden die onderwerp van het relevante en gemotiveerde bezwaar zijn, en met name op de vraag of inbreuk op de onderhavige verordening wordt gemaakt”.

32      Artikel 4, punt 24, van verordening 2016/679 definieert een relevant en gemotiveerd bezwaar als volgt:

„[E]en bezwaar tegen een ontwerpbesluit over het bestaan van een inbreuk op deze verordening of over de vraag of de voorgenomen maatregel met betrekking tot de verwerkingsverantwoordelijke of de verwerker strookt met deze verordening, waarin duidelijk de omvang wordt aangetoond van de risico’s die het ontwerpbesluit inhoudt voor de grondrechten en de fundamentele vrijheden van betrokkenen en, indien van toepassing, voor het vrije verkeer van persoonsgegevens binnen de Unie”.

33      Artikel 65, lid 6, van verordening 2016/679 bepaalt onder meer het volgende:

„De leidende toezichthoudende autoriteit of, in voorkomend geval, de toezichthoudende autoriteit waarbij de klacht is ingediend, stelt onverwijld en uiterlijk binnen één maand na de kennisgeving door het [EDPB] een definitief besluit vast op basis van het in lid 1 van dit artikel bedoelde besluit. [...] Het definitieve besluit van de betrokken toezichthoudende autoriteiten wordt vastgesteld overeenkomstig artikel 60, leden 7, 8 en 9. Het definitieve besluit verwijst naar het in lid 1 van dit artikel bedoelde besluit en geeft aan dat genoemd besluit overeenkomstig lid 5 van dit artikel zal worden bekendgemaakt op de website van het [EDPB]. Het in lid 1 van dit artikel bedoelde besluit wordt aan het definitieve besluit gehecht.”

34      Volgens verzoekster beperken de drie in de punten 31 tot en met 33 hierboven aangehaalde bepalingen de draagwijdte van een bindend besluit van het EDPB dat wordt vastgesteld op grond van artikel 65, lid 1, onder a), van verordening 2016/679 tot de analysen die zijn verricht in het ontwerpbesluit van de leidende toezichthoudende autoriteit dat aan de andere bij het dossier betrokken toezichthoudende autoriteiten is meegedeeld. Een dergelijk bindend besluit kan namelijk slechts gevolg geven aan een relevant en gemotiveerd bezwaar, dat betrekking moet hebben op de inhoud van het ontwerpbesluit en niet op hetgeen daar niet in staat. Het rechtsgevolg van het bindende besluit is beperkt tot de wijzigingen die de bevoegde toezichthoudende autoriteit overeenkomstig artikel 65, lid 6, van dezelfde verordening binnen een maand na de kennisgeving ervan ten opzichte van het ontwerpbesluit moet aanbrengen in het definitieve besluit. Het bindende besluit kan dus enkel betrekking hebben op de juiste uitlegging van verordening 2016/679 ten opzichte van wat er in het ontwerpbesluit van de leidende toezichthoudende autoriteit staat, en de betrokken bepalingen verlenen het EDPB geen enkele bevoegdheid om deze autoriteit instructies te geven over andere aangelegenheden, bijvoorbeeld door haar te verplichten een onderzoek in te stellen of een nieuw ontwerpbesluit in te dienen.

35      Deze uitlegging is echter restrictief in het licht van de bewoordingen van de in de punten 31 tot en met 33 hierboven aangehaalde bepalingen. Er zij immers aan herinnerd dat volgens artikel 4, punt 24, van verordening 2016/679 het begrip „relevant en gemotiveerd bezwaar” een bezwaar omvat „tegen een ontwerpbesluit over het bestaan van een inbreuk op deze verordening [...], waarin duidelijk de omvang wordt aangetoond van de risico’s die het ontwerpbesluit inhoudt voor de grondrechten en de fundamentele vrijheden van betrokkenen”. Artikel 65, lid 1, onder a), van verordening 2016/679 bepaalt weliswaar dat een uit dien hoofde vastgesteld bindend besluit „betrekking [heeft] op alle aangelegenheden die onderwerp van het relevante en gemotiveerde bezwaar zijn”, maar niets staat eraan in de weg dat met een dergelijk bezwaar wordt aangevoerd dat de leidende toezichthoudende autoriteit in dit ontwerpbesluit een aspect van het dossier niet of onvoldoende heeft geanalyseerd, waardoor het onmogelijk is te weten of er met betrekking tot dat aspect sprake is van een inbreuk op die verordening. Het begrip „bezwaar tegen een ontwerpbesluit” is, anders dan verzoekster stelt, niet beperkt tot bezwaren tegen overwegingen in het ontwerpbesluit. Aangezien het bindende besluit van het EDPB betrekking moet hebben op alle aangelegenheden die het onderwerp van relevante en gemotiveerde bezwaren zijn, staat niets eraan in de weg dat, wanneer het EDPB instemt met een relevant en gemotiveerd bezwaar dat betrekking heeft op een dergelijke ontbrekende of ontoereikende analyse, dit besluit de leidende toezichthoudende autoriteit gelast om dit gebrek aan analyse te verhelpen en het tot dan toe verrichte onderzoek te verdiepen of uit te breiden, indien dit gelet op het dossier waarover het EDPB beschikt noodzakelijk blijkt. Indien namelijk naar voren komt dat het dossier ontoereikend is om de vereiste analyse volledig uit te voeren, moet het EDPB de leidende toezichthoudende autoriteit kunnen verplichten tot aanvullend onderzoek.

36      Tevens dient te worden vastgesteld dat de formulering van de drie bepalingen waarnaar in de punten 31 tot en met 33 hierboven wordt verwezen, in hun geheel beschouwd, de draagwijdte van een bindend besluit niet beperkt tot louter wijzigingen die onmiddellijk aan te brengen zijn in het door de leidende toezichthoudende autoriteit voorgelegde ontwerpbesluit met het oog op de vaststelling van een definitief besluit onder de voorwaarden van artikel 65, lid 6, van verordening 2016/679, dat wil zeggen enkel tot wijzigingen die betrekking hebben op de inhoud van het ontwerpbesluit en niet op hetgeen daar niet in staat. Anders dan verzoekster stelt, beoogt deze laatste bepaling in dit verband enkel de wijze van vaststelling van het definitieve besluit te verduidelijken wanneer een dergelijk besluit onmiddellijk kan volgen op een bindend besluit van het EDPB, met name wanneer er geen behoefte is aan een nieuw onderzoek of aan een bredere of meer diepgaande analyse van bepaalde aspecten van de zaak. Het gaat niet om een bepaling inzake de mogelijke inhoud van een bindend besluit, waarbij die inhoud wordt bepaald door de rechtsgrondslag op grond waarvan dat besluit wordt vastgesteld, in casu artikel 65, lid 1, onder a), van verordening 2016/679, dat zelf moet worden gelezen in samenhang met artikel 4, punt 24, van die verordening wat de definitie van het begrip „relevant en gemotiveerd bezwaar” betreft. In dit verband moet worden benadrukt dat artikel 65, lid 1, van verordening 2016/679 voorziet in verschillende soorten bindende besluiten van het EDPB die niet noodzakelijkerwijs de daaropvolgende en onmiddellijke vaststelling van een definitief besluit door een toezichthoudende autoriteit impliceren.

[omissis]

38      Anders dan verzoekster stelt, kan aan de letterlijke analyse – in de punten 35 en 36 hierboven – van de in de punten 31 tot en met 33 hierboven aangehaalde drie bepalingen niet worden afgedaan door de bewoordingen van de overwegingen 126 en 136 van verordening 2016/679. Door in overweging 126 te stellen dat „[h]et besluit [...] gezamenlijk door de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten [dient] te worden goedgekeurd”, onttrekt de wetgever namelijk geenszins de vraag naar de omvang van de analyse die een dergelijk besluit in een bepaald geval moet bestrijken, aan de beoordeling van andere betrokken toezichthoudende autoriteiten dan de leidende toezichthoudende autoriteit; wel integendeel, aangezien „het besluit” niet alleen gestalte krijgt door de daarin vervatte beoordelingen, maar ook door de omvang van de aspecten waarop het betrekking heeft. Indien er op dit punt geen consensus bestaat tussen de betrokken toezichthoudende autoriteiten en het EDPB hieromtrent wordt ingeschakeld, sluit de formulering van die overweging dus niet uit dat het EDPB kan opleggen dat de analyse en, indien nodig, het onderzoek worden uitgebreid. Evenzo staat in overweging 136 van verordening 2016/679 te lezen dat het EDPB „[i]n welomschreven gevallen waarin er tussen toezichthoudende autoriteiten, met name in de procedure voor samenwerking tussen de leidende toezichthoudende autoriteit en de betrokken toezichthoudende autoriteiten, meningsverschillen over de zaak bestaan, met name over de vraag of er sprake is van een inbreuk op deze verordening, [...] juridisch bindende besluiten [dient] uit te vaardigen”. Anders dan verzoekster stelt, is de omvang van het onderzoek geen procedurele kwestie, maar heeft deze betrekking op de grond van de zaak, aangezien hierbij de reikwijdte wordt bepaald van wat onderzocht dient te worden om te beoordelen of de betrokken gegevensverwerking in overeenstemming is met verordening 2016/679.

39      In dit verband kan nu reeds een ander argument van verzoekster worden afgewezen, volgens hetwelk de in punt 35 hierboven gegeven uitlegging van het begrip „relevant en gemotiveerd bezwaar” het EDPB de mogelijkheid zou bieden om de leidende toezichthoudende autoriteit bevelen te geven met betrekking tot alle bevoegdheden waarover die autoriteit beschikt, op de enkele voorwaarde dat de door een betrokken toezichthoudende autoriteit opgeworpen kwestie als relevant en gemotiveerd bezwaar in de aldus aanvaarde zin wordt aangemerkt. Zoals in artikel 4, punt 24, van verordening 2016/679 is bepaald, kan een relevant en gemotiveerd bezwaar tegen een ontwerpbesluit van de leidende toezichthoudende autoriteit alleen betrekking hebben op een aspect dat verband houdt met de vraag of die verordening wordt nageleefd, dan wel of de voorgenomen corrigerende maatregelen ten aanzien van de verwerkingsverantwoordelijke of de verwerker zelf stroken met deze verordening. Een dergelijk bezwaar kan dus uitsluitend betrekking hebben op de grond van de zaak en op de bevoegdheid tot het nemen van definitieve besluiten van de leidende toezichthoudende autoriteit, die met name is neergelegd in artikel 58, lid 2, van die verordening en ook betrekking heeft op de grond van de zaak. Bijgevolg kan een dergelijk bezwaar geen betrekking hebben op het eigenlijke verloop van het onderzoek (in tegenstelling tot de omvang van het onderzoek), dat is gebaseerd op de onderzoeksbevoegdheden van de toezichthoudende autoriteiten als bedoeld in artikel 58, lid 1, van verordening 2016/679.

40      De letterlijke analyse van artikel 65, lid 1, onder a), van verordening 2016/679, waarbij rekening wordt gehouden met de bewoordingen van artikel 4, punt 24, artikel 65, lid 6, en de overwegingen 126 en 136 van die verordening, pleit dus voor de bevoegdheid van het EDPB om bepalingen zoals de bestreden bepalingen vast te stellen, die verzoekster opdragen een nieuw onderzoek in te stellen naar bepaalde aspecten van de betrokken dossiers en vervolgens nieuwe ontwerpbesluiten ter zake vast te stellen. Nagegaan dient te worden of de argumenten die verzoekster in het kader van haar contextuele en teleologische uitlegging van verordening 2016/679 heeft aangevoerd, de uitkomst van deze eerste analyse kunnen weerleggen.

[omissis]

43      Anders dan verzoekster stelt, is de in artikel 60 van verordening 2016/679 beschreven procedure van samenwerking tussen de toezichthoudende autoriteiten die betrokken zijn bij een bepaald dossier, welke procedure kan inhouden dat het in lid 4 van dit artikel bedoelde coherentiemechanisme van het EDPB in werking treedt, geen „eenrichtingsprocedure” waarin de fasen elkaar altijd opvolgen in de volgorde van de bepalingen ter zake, zonder mogelijkheid om terug te keren naar een eerdere fase of tijdelijk in dezelfde fase te blijven. Zo kan de procedure, uitgaande van de door verzoekster naar voren gebrachte situatie als bedoeld in lid 5, waarin de leidende toezichthoudende autoriteit voornemens was de bezwaren van andere betrokken toezichthoudende autoriteiten tegen haar op grond van lid 3 ingediende ontwerpbesluit te honoreren en waarin zij aan die autoriteiten een herzien ontwerpbesluit heeft voorgelegd, op verschillende manieren worden voortgezet. Indien deze autoriteiten geen bezwaar maken tegen het herziene ontwerp, worden een of meerdere definitieve besluiten vervolgens rechtstreeks vastgesteld overeenkomstig de leden 6 tot en met 9. In het tegenovergestelde geval, namelijk bij bezwaren tegen het herziene ontwerp, wordt, indien de leidende toezichthoudende autoriteit deze geheel of gedeeltelijk aanvaardt, de in lid 5 bedoelde fase herhaald, waarbij de leidende toezichthoudende autoriteit een nieuw herzien ontwerp moet indienen waarin rekening wordt gehouden met de bezwaren die zij heeft aanvaard. Indien de leidende toezichthoudende autoriteit de bezwaren tegen het herziene ontwerp geheel of gedeeltelijk afwijst, dient zij overeenkomstig lid 4 het coherentiemechanisme in werking te stellen door de zaak aan het EDPB voor te leggen op basis van het verst gevorderde herziene ontwerpbesluit.

44      Het EDPB geeft in zijn verweerschrift een ander voorbeeld waaruit blijkt dat de in artikel 60 van verordening 2016/679 bedoelde procedure van samenwerking tussen de toezichthoudende autoriteiten die betrokken zijn bij een bepaald dossier, niet noodzakelijkerwijs „eenrichtingsverkeer” is. Naar aanleiding van bezwaren van andere betrokken toezichthoudende autoriteiten met betrekking tot haar op grond van lid 3 van dat artikel voorgelegde ontwerpbesluit, kan de leidende toezichthoudende autoriteit zelf overwegen dat, in plaats van onmiddellijk een herzien ontwerpbesluit voor te leggen of het coherentiemechanisme in werking te stellen, het passend is om op haar stappen terug te keren en de zaak verder te onderzoeken alvorens opnieuw een ontwerpbesluit in te dienen krachtens dat lid 3. Het EDPB wijst erop dat de Franse toezichthoudende autoriteit dit reeds heeft gedaan.

45      Wanneer het EDPB op grond van artikel 60, lid 4, van verordening 2016/679 optreedt en een bindend besluit vaststelt, zijn er ook verschillende hypothesen denkbaar. Indien alle relevante aspecten van de zaak voldoende aan bod zijn gekomen in het ontwerpbesluit van de leidende toezichthoudende autoriteit, kan die autoriteit of, in voorkomend geval, de toezichthoudende autoriteit waarbij het bezwaar is gemaakt, overeenkomstig de leden 6 tot en met 9 van dat artikel een of meer definitieve besluiten vaststellen om de zaak af te sluiten, waarbij in het bijzonder rekening wordt gehouden met het bindende besluit van het EDPB. Indien daarentegen in het bindende besluit van het EDPB, na bezwaren in die zin, wordt geoordeeld dat het ontwerpbesluit van de leidende toezichthoudende autoriteit niet of onvoldoende ingaat op alle relevante aspecten van het geval en, in voorkomend geval, dat een heropening van het onderzoek derhalve noodzakelijk is, dan kunnen eventueel een of meer gedeeltelijke definitieve besluiten worden vastgesteld door de leidende toezichthoudende autoriteit of de toezichthoudende autoriteit waarbij het bezwaar is gemaakt, overeenkomstig bovengenoemde bepalingen, maar moet de leidende toezichthoudende autoriteit tegelijkertijd haar analyse aanvullen, na in voorkomend geval een nieuw onderzoek te hebben verricht, teneinde overeenkomstig lid 3 van die bepaling een aanvullend ontwerpbesluit voor te leggen aan de andere betrokken toezichthoudende autoriteiten.

46      In het kader van de contextuele uitlegging voert verzoekster een tweede argument aan, volgens hetwelk artikel 57, lid 1, onder f), van verordening 2016/679 – dat bepaalt dat de toezichthoudende autoriteit klachten behandelt en de inhoud van de klacht onderzoekt in de mate waarin dat gepast is –, gelezen in het licht van overweging 141 ervan, aantoont dat de omvang van het naar aanleiding van een klacht te verrichten onderzoek ter beoordeling is van de nationale toezichthoudende autoriteiten, onder het enkele voorbehoud van nationale rechterlijke toetsing.  

47      Overweging 141 van verordening 2016/679 luidt met name als volgt:

„Iedere betrokkene dient het recht te hebben om een klacht in te dienen bij één enkele toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, en een doeltreffende voorziening in rechte in te stellen [...] indien hij meent dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening of indien de toezichthoudende autoriteit niet optreedt naar aanleiding van een klacht, een klacht gedeeltelijk of geheel verwerpt of afwijst, of indien deze niet optreedt wanneer zulk optreden noodzakelijk is ter bescherming van de rechten van de betrokkene. Het onderzoek dat naar aanleiding van een klacht wordt uitgevoerd, gaat niet verder dan in het specifieke geval passend is en kan worden onderworpen aan rechterlijke toetsing. [...]”

48      Artikel 57, lid 1, onder f), van verordening 2016/679 en het betoog van verzoekster leiden er echter niet toe dat de vraag of de omvang van het onderzoek passend is, wordt onttrokken aan de mechanismen van samenwerking tussen de betrokken toezichthoudende autoriteiten en van toezicht op de coherentie door het EDPB.

49      Artikel 57 van verordening 2016/679, dat betrekking heeft op alle taken van de toezichthoudende autoriteiten, voorziet immers in lid 1, onder a), als eerste taak in het monitoren en handhaven van de toepassing van deze verordening. Anders dan verzoekster ter terechtzitting in wezen heeft aangevoerd, mag het onderzoek van de voorwaarden waaronder een verwerking van persoonsgegevens wordt verricht en van de overeenstemming ervan met die verordening dus niet worden beperkt tot wat een klager in zijn klacht naar voren brengt.

50      Bovenal impliceert het volledig uitvoeren van de in artikel 57, lid 1, onder a) en f), van verordening 2016/679 genoemde taken – die erin bestaan de toepassing van deze verordening te handhaven en klachten te behandelen in de mate waarin dat gepast is – dat het dossier in geschikte mate wordt geanalyseerd in het licht van de klacht die eraan ten grondslag ligt, maar ook in het licht van de andere elementen die deze kunnen aanvullen. Wanneer de betrokken verwerking van persoonsgegevens grensoverschrijdend is, moet deze analyse leiden tot de vaststelling van besluiten waarvoor de samenwerkingsprocedure van artikel 60 van die verordening geldt. In het kader van deze procedure is het criterium waaraan moet worden voldaan opdat een aangelegenheid voorwerp kan zijn van een bindend besluit van het EDPB op grond van artikel 65, lid 1, onder a), van die verordening, dat er ter zake een relevant en gemotiveerd bezwaar is ingediend, zoals gedefinieerd in artikel 4, punt 24, van die verordening. Een relevant en gemotiveerd bezwaar heeft volgens de definitie ervan betrekking op aspecten waarvan de analyse wel degelijk onder de twee bovengenoemde taken valt. Dat een relevant en gemotiveerd bezwaar betrekking heeft op de omvang van de analyse en, in voorkomend geval, de omvang van het onderzoek, en dat het EDPB hieraan gevolg geeft, doet dan ook geen afbreuk aan deze taken. Bovendien belet het feit dat tegen tussentijdse besluiten van de toezichthoudende autoriteiten naar aanleiding van een klacht beroep kan worden ingesteld bij nationale rechterlijke instanties, niet dat het ontwerpbesluit van de leidende toezichthoudende autoriteit aan toezicht door het EDPB kan worden onderworpen, binnen de materiële grenzen van het in verordening 2016/679 neergelegde coherentiemechanisme.

51      Verzoeksters argumenten in het kader van de contextuele uitlegging bieden dus geen steun voor haar standpunt dat het EDPB onbevoegd was om de bestreden bepalingen vast te stellen.

52      Integendeel, de in verordening 2016/679 neergelegde algemene context van de verplichting tot samenwerking tussen de toezichthoudende autoriteiten die betrokken zijn bij een bepaald dossier, bevestigt de bevoegdheid van het EDPB in dit opzicht. Artikel 60, lid 1, van die verordening bepaalt immers met name dat „[d]e leidende toezichthoudende autoriteit [...] overeenkomstig dit artikel [samenwerkt] met de andere betrokken toezichthoudende autoriteiten teneinde tot een consensus proberen te komen”. Artikel 60, lid 3, van deze verordening preciseert dat „[d]e leidende toezichthoudende autoriteit [...] onverwijld alle relevante informatie over de aangelegenheid [meedeelt] aan de andere betrokken toezichthoudende autoriteiten” en dat zij „onverwijld te hunner beoordeling een ontwerpbesluit [voorlegt] en [...] naar behoren rekening [houdt] met hun standpunten”.

53      Hieruit volgt dat de samenwerking tussen de betrokken toezichthoudende autoriteiten met name ziet op de analyse van het geval in zijn geheel en op de opstelling van het besluit, en dat de leidende toezichthoudende autoriteit moet proberen de instemming te verkrijgen van de andere betrokken toezichthoudende autoriteiten. Niets in bovengenoemde bepalingen laat toe de kwestie van de omvang van de uit te voeren analyse of, in voorkomend geval, de kwestie van de omvang van het uit te voeren voorafgaand onderzoek, van deze verplichting tot samenwerking uit te sluiten. In het arrest van 15 juni 2021, Facebook Ireland e.a. (C‑645/19, EU:C:2021:483, punten 63 en 64), heeft het Hof eraan herinnerd dat dialoog en loyale en doeltreffende samenwerking tussen de toezichthoudende autoriteiten die betrokken zijn bij een zaak, noodzakelijk zijn.

54      Uit de punten 41 tot en met 53 hierboven volgt dat het onderzoek van de context die voortvloeit uit de bepalingen van verordening 2016/679, de hierboven verrichte letterlijke analyse bevestigt.

55      In het kader van een teleologische uitlegging betoogt verzoekster om te beginnen dat de toekenning aan het EDPB van de bevoegdheid om een leidende toezichthoudende autoriteit te verplichten een aanvullend ontwerpbesluit op te stellen en daartoe vooraf de omvang van zijn onderzoek uit te breiden, onverenigbaar is met de doelstellingen van het door de wetgever met de vaststelling van verordening 2016/679 beoogde „eenloketsysteem”. De oprichting van één enkele toezichthoudende autoriteit voor de belanghebbenden heeft met name tot doel overbodige kosten en buitensporige ongemakken te vermijden, zoals blijkt uit overweging 129 van deze verordening. Het heropenen van een onderzoek louter op grond van een meningsverschil tussen de toezichthoudende autoriteiten zou in strijd zijn met dit doel, aangezien de klagers en de betrokken ondernemingen dan geconfronteerd worden met de kosten en het ongemak van het heropenen van het onderzoek, terwijl die fase eigenlijk al afgerond had moeten zijn.

56      Zonder dat uitspraak hoeft te worden gedaan over de bedoelingen van de wetgever, kan evenwel worden volstaan met de vaststelling dat een eenloketsysteem beantwoordt aan een doelstelling van procedurele vereenvoudiging die niet kan prevaleren boven de wezenlijke doelstelling van verordening 2016/679, namelijk de eerbiediging van het grondrecht van natuurlijke personen op bescherming van hun persoonsgegevens. In de eerste overweging van de verordening wordt eraan herinnerd dat artikel 8, lid 1, van het Handvest van de grondrechten en artikel 16, lid 1, VWEU bepalen dat eenieder recht heeft op bescherming van zijn persoonsgegevens. Een uitbreiding van het onderzoek, op verzoek van ten minste de helft van de toezichthoudende autoriteiten in het kader van het EDPB, is, anders dan verzoekster stelt, niet bedoeld om de taak van de persoon die een klacht heeft ingediend of die van de verwerkingsverantwoordelijke tegen wie de klacht is gericht, te bemoeilijken, maar vormt een maatregel om hun respectieve rechten te verdedigen. Overigens kunnen de door verzoekster genoemde nadelen worden vermeden door een onderzoek en een analyse door de leidende toezichthoudende autoriteit die onmiddellijk alle aspecten omvatten die nodig zijn voor een volledig definitief besluit over het betrokken geval.

57      Verzoeksters argument dat de heropening van een onderzoek de definitieve beslechting van de reeds geanalyseerde en afgehandelde aspecten vertraagt, moet eveneens worden afgewezen.

58      Zoals verzoekster in casu overigens heeft gedaan, moet de bevoegde autoriteit in een dergelijke situatie immers integendeel binnen de in artikel 65, lid 6, van verordening 2016/679 gestelde termijn een definitief besluit nemen over de materiële aspecten die zijn geanalyseerd en beslecht na een bindend besluit van het EDPB. Dit belet de bevoegde autoriteit niet om nader onderzoek te verrichten en aspecten van de zaak te analyseren die nog niet zijn onderzocht.

59      Verzoekster voert nog aan dat het feit dat het EDPB niet tussenkomt bij de bepaling van de omvang van de analyse waartoe een zaak aanleiding moet geven – wat een voorafgaande of procedurele kwestie is – niet belet dat het mechanisme van samenwerking tussen de toezichthoudende autoriteiten functioneert.

60      Het samenwerkingsmechanisme botst echter op zijn grenzen wanneer de betrokken toezichthoudende autoriteiten niet tot een consensus komen. Het is in deze situatie, die uitdrukkelijk wordt geregeld in artikel 60, lid 4, van verordening 2016/679, dat de kwestie waarover geen consensus kan worden bereikt door de leidende toezichthoudende autoriteit moet worden voorgelegd aan het coherentiemechanisme, wat leidt tot een bindend besluit van het EDPB, zoals in die bepaling is aangegeven.

61      Ten slotte voert verzoekster aan dat een dergelijk gebrek aan consensus kan worden opgelost door een beroep te doen op nationale rechterlijke toetsing. Zij herinnert eraan dat uit artikel 58, lid 4, en overweging 141 van verordening 2016/679 blijkt dat het onderzoek aan een doeltreffende rechterlijke toetsing wordt onderworpen.

62      Indien het EDPB een probleem dat verband houdt met de omvang van de door de leidende toezichthoudende autoriteit verrichte analyse niet zou kunnen oplossen, kan de nationale rechter in dat verband inderdaad interveniëren. Verordening 2016/679 bepaalt echter dat de problemen die in het kader van een relevant en gemotiveerd bezwaar van een betrokken toezichthoudende autoriteit in de zin van artikel 4, punt 24, van die verordening aan de orde worden gesteld, worden opgelost in het kader van de mechanismen van samenwerking en, in voorkomend geval, van toezicht op de coherentie tussen toezichthoudende autoriteiten. Zoals hierboven is vastgesteld, kan een probleem met betrekking tot de omvang van de analyse en, in voorkomend geval, van het onderzoek door de leidende toezichthoudende autoriteit een relevant en gemotiveerd bezwaar in bovengenoemde zin doen rijzen. Bijgevolg kan de mogelijkheid om een dergelijk probleem aan de nationale rechter voor te leggen, wat overigens niet noodzakelijkerwijs gemakkelijk is voor een klager die in een andere staat woont dan de leidende toezichthoudende autoriteit, niet impliceren dat de aanhoudende meningsverschillen tussen de betrokken toezichthoudende autoriteiten over kwesties waarover relevante en gemotiveerde bezwaren zijn geuit, niet binnen het EDPB kunnen worden opgelost.

63      Uit de punten 55 tot en met 62 hierboven volgt dat het onderzoek van de doelstellingen van verordening 2016/679 eveneens de hierboven verrichte letterlijke analyse bevestigt.

[omissis]

 Argumenten inzake de voorwaarden voor toekenning van een bevoegdheid aan een orgaan van de Unie, de kenmerken van de rechterlijke toetsing op nationaal niveau en de onafhankelijkheid van de met de bescherming van persoonsgegevens belaste toezichthoudende autoriteiten

65      In de eerste plaats is verzoekster in essentie van mening dat de beginselen inzake toekenning van een bevoegdheid aan een orgaan van de Unie eraan in de weg staan dat verordening 2016/679 wordt uitgelegd in de in de voorgaande analysen aangegeven zin, namelijk dat daarbij de litigieuze bevoegdheid aan het EDPB wordt toegekend.

66      Verzoekster verwijst naar artikel 5 VEU om eraan te herinneren dat de Unie slechts kan handelen binnen de grenzen van de haar toegedeelde bevoegdheden. Dit beginsel is van toepassing op de instellingen en organen van de Unie, waaronder het EDPB. Bovendien vallen laatstgenoemden onder de „Meroni-doctrine” die voortvloeit uit het arrest van 13 juni 1958, Meroni/Hoge Autoriteit (9/56, EU:C:1958:7), en die van toepassing is op de organen van de Unie, zoals het Hof heeft geoordeeld met betrekking tot de Europese Autoriteit voor effecten en markten (ESMA) in het arrest van 22 januari 2014, Verenigd Koninkrijk/Parlement en Raad (C‑270/12, EU:C:2014:18, punten 53 en 54). Volgens deze doctrine moeten de aan de organen van de Unie verleende bevoegdheden nauwkeurig omkaderd zijn en kunnen zij door de rechter worden getoetst aan de voor het betrokken orgaan vastgelegde doelstellingen. In het bijzonder is in punt 45 van laatstgenoemd arrest vastgesteld dat de in die zaak aan de orde zijnde bevoegdheid van ESMA – die uiteindelijk door het Hof is bevestigd – was onderworpen aan verschillende criteria en voorwaarden, die de speelruimte van die autoriteit beperkten. In het arrest van 15 juli 2021, FBF (C‑911/19, EU:C:2021:599, punten 67 en 75), betreffende de Europese Bankautoriteit (EBA), heeft het Hof gepreciseerd dat de Uniewetgever uitdrukkelijk moet voorzien in een bevoegdheid van een orgaan van de Unie en dat deze bevoegdheid nauwgezet door de rechter moet worden getoetst.

67      Deze in de rechtspraak toegepaste beginselen gelden met name voor het EDPB, dat bij artikel 68 van verordening 2016/679 is ingesteld als orgaan van de Unie.

68      Om te beginnen moet dus worden nagegaan of op basis van de uitlegging die eerder in het onderhavige arrest is gegeven, kan worden geoordeeld dat de uitoefening van de bevoegdheid van het EDPB, wanneer het een leidende toezichthoudende autoriteit verplicht haar analyse en, in voorkomend geval, haar onderzoek uit te breiden, „onderworpen [is] aan verschillende criteria en voorwaarden, die [zijn] speelruimte [...] beperken”, zoals het Hof heeft vastgesteld met betrekking tot de bevoegdheid van ESMA die werd betwist in de zaak die heeft geleid tot het arrest van 22 januari 2014, Verenigd Koninkrijk/Parlement en Raad (C‑270/12, EU:C:2014:18).

69      In dit verband volgt uit artikel 65, lid 1, onder a), van verordening 2016/679, gelezen in samenhang met artikel 4, punt 24, van die verordening, dat deze bevoegdheid om een leidende toezichthoudende autoriteit te verplichten haar analyse en, in voorkomend geval, haar onderzoek uit te breiden, slechts kan worden uitgeoefend nadat een betrokken toezichthoudende autoriteit een relevant en gemotiveerd bezwaar heeft ingediend tegen het ontwerpbesluit van de leidende toezichthoudende autoriteit in kwestie, waarbij dat bezwaar betrekking heeft op het gebrek aan analyse van een aspect van de vraag „over het bestaan van een inbreuk op [...] verordening [2016/679] of over de vraag of de voorgenomen maatregel met betrekking tot de verwerkingsverantwoordelijke of de verwerker strookt met deze verordening” en waarin „duidelijk de omvang wordt aangetoond van de risico’s die het ontwerpbesluit inhoudt voor de grondrechten en de fundamentele vrijheden van betrokkenen en, indien van toepassing, voor het vrije verkeer van persoonsgegevens binnen de Unie”.

70      Bovendien is krachtens artikel 65, leden 2 en 3, van verordening 2016/679 voor de uitoefening van bovengenoemde bevoegdheid vereist dat binnen het EDPB een tweederdemeerderheid, of in bepaalde omstandigheden ten minste de helft van zijn leden – waarbij bij staking van stemmen de stem van de voorzitter beslissend is – dit relevante en gemotiveerde bezwaar en de daaraan te geven gevolgen in wezen heeft goedgekeurd. Het is dus noodzakelijk dat een aanzienlijk aantal toezichthoudende autoriteiten bevestigen dat een belangrijk aspect van de zaak in kwestie niet of onvoldoende is geanalyseerd, en het eens zijn over de gevolgen die daaraan moeten worden gegeven door de leidende toezichthoudende autoriteit om dit te verhelpen. In dit verband moet rekening worden gehouden met het feit dat het EDPB zelf bestaat uit een groot aantal onafhankelijke autoriteiten met een specialisatie op dit gebied, en dus met het feit dat een eensgezinde meerderheidsopvatting van deze autoriteiten binnen het EDPB waarborgen biedt voor de uitoefening van die bevoegdheid. Bovendien laat het begrip „relevant en gemotiveerd bezwaar”, dat in punt 69 hierboven in herinnering is gebracht, weliswaar ruimte voor een beoordelingsmarge, in het bijzonder om te bepalen of er sprake is van een inbreuk op verordening 2016/679 door de betrokken verwerkingsverantwoordelijke of de verwerker dan wel of dat aspect moet worden onderzocht om dat te weten te komen, maar al deze vragen verwijzen naar specifieke rechtsregels die in die verordening zijn vastgesteld, waardoor er geen „ruime discretionaire bevoegdheid” kan worden uitgeoefend.

71      Samenvattend moet met betrekking tot de kwestie van de afbakening van de door verzoekster betwiste bevoegdheid van het EDPB dus worden vastgesteld, ten eerste, dat deze bevoegdheid slechts wordt uitgeoefend wanneer duidelijk is vastgesteld dat de analyse van de leidende toezichthoudende autoriteit bij de behandeling van het geval ontoereikend is en dit belangrijke gevolgen kan hebben, zoals blijkt uit de definitie van een relevant en gemotiveerd bezwaar in artikel 4, punt 24, van verordening 2016/679, en, ten tweede, dat deze bevoegdheid voortvloeit uit de collectieve beoordeling door de toezichthoudende autoriteiten waaruit het EDPB bestaat, waarbij het EDPB tussenkomt onder de in punt 70 hierboven uiteengezette voorwaarden.

72      Wat de vraag betreft of de wetgever „uitdrukkelijk” in de betrokken bevoegdheid heeft voorzien, moet worden beklemtoond dat het bijwoord „uitdrukkelijk” alsmede de bijwoorden „nadrukkelijk” en „duidelijk”, die synoniemen zijn, betekenen dat er geen twijfel bestaat over de draagwijdte van wat wordt uitgedrukt. Uit de hierboven gegeven letterlijke, contextuele en teleologische uitlegging volgt dat er geen twijfel bestaat over het feit dat het EDPB over de betwiste bevoegdheid beschikt en dat de wetgever er dus uitdrukkelijk in heeft voorzien. Opgemerkt kan worden dat in het arrest van 15 juli 2021, FBF (C‑911/19, EU:C:2021:599), dat betrekking had op de EBA en waarbij werd betwist dat deze autoriteit bevoegd was om de litigieuze richtsnoeren vast te stellen, die richtsnoeren „producttoezicht- en -governanceregelingen voor retailbanken” betroffen. In geen van de teksten die op deze autoriteit van toepassing waren, werd met zoveel woorden bepaald dat zij ter zake richtsnoeren kon vaststellen. Op basis van een analyse van deze teksten in hun geheel beschouwd, dat wil zeggen van de verordening tot oprichting van de EBA, die in het algemeen voorzag in haar bevoegdheid om richtsnoeren voor bepaalde doeleinden vast te stellen, en van verschillende richtlijnen betreffende financiële instellingen en producten, heeft het Hof geoordeeld dat de litigieuze richtsnoeren onder die bevoegdheid vielen.

73      Bovendien moet worden vastgesteld dat de uitoefening van de bevoegdheid van het EDPB om een leidende toezichthoudende autoriteit te verplichten haar analyse en, indien nodig, haar onderzoek uit te breiden, wel degelijk aan rechterlijke toetsing is onderworpen. Het is juist dat verzoekster er in casu voor heeft gekozen om de bestreden bepalingen uitsluitend op grond van de onbevoegdheid van het EDPB aan te vechten, zonder de concrete beoordeling door dit orgaan van de bezwaren van bepaalde toezichthoudende autoriteiten tegen haar ontwerpbesluiten ter discussie te stellen, waarbij die beoordeling heeft geleid tot de vaststelling van die bepalingen. Binnen de grenzen van de middelen die voor hem worden aangevoerd, is de Unierechter evenwel in staat om de materiële rechtmatigheid van dergelijke bepalingen te toetsen in het licht van de omstandigheden van het geval. Hij zou met name in eerste instantie kunnen nagaan of het EDPB, door dergelijke bepalingen vast te stellen, inderdaad gevolg heeft gegeven aan een relevant en gemotiveerd bezwaar van een toezichthoudende autoriteit in de zin van artikel 4, punt 24, van verordening 2016/679. In tweede instantie zou hij kunnen nagaan of dergelijke bepalingen waarbij de toezichthoudende autoriteiten instructies worden gegeven, rechtmatig zijn.

74      Een dergelijke rechterlijke toetsing is „nauwgezet” in de zin van het arrest van 15 juli 2021, FBF (C‑911/19, EU:C:2021:599, punt 67). De met de rechtmatigheidstoetsing belaste rechter is namelijk in het algemeen gebonden aan zijn ambt en aan de procesregels, en zijn toezicht is noodzakelijkerwijs nauwgezet indien hij zijn ambt in het kader van die regels volledig vervult. Wat de vragen ten gronde betreft, verricht de met de rechtmatigheidstoetsing belaste rechter afhankelijk van de beoordelingsmarge waarover de auteur van de bestreden handeling al dan niet beschikt, een normale toetsing (in beginsel wat de juridische aspecten, de vaststelling van de feiten en de gevallen van gebonden bevoegdheid betreft) dan wel een beperkte toetsing (in beginsel met betrekking tot ingewikkelde technische aspecten of wanneer de autoriteit over een beoordelingsmarge beschikt, waarbij de rechter enkel optreedt tegen kennelijke beoordelingsfouten) [zie in die zin en naar analogie met betrekking tot de toetsing door de nationale rechter van besluiten van nationale autoriteiten inzake de bescherming van persoonsgegevens, arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden), C‑26/22 en C‑64/22, EU:C:2023:958, punten 68 en 69].

75      Uit de punten 67 tot en met 74 hierboven volgt dat de voorwaarden voor toekenning van een bevoegdheid aan een orgaan van de Unie niet in de weg staan aan de eerder in dit arrest verrichte analyse.

76      In de tweede plaats voert verzoekster verschillende redenen aan om aan te tonen dat de nationale rechterlijke instanties het „passende forum” vormen om betwistingen in verband met het onderzoek te behandelen, met andere woorden dat zij het best geplaatst zijn om dit te doen.

77      Zoals in punt 62 hierboven is uiteengezet, heeft de Uniewetgever er echter voor gekozen dat aanhoudende meningsverschillen tussen de betrokken toezichthoudende autoriteiten over de omvang van de analyse van een zaak en, in voorkomend geval, de omvang van het onderzoek dat daartoe wordt verricht, worden beslecht in het kader van het coherentiemechanisme binnen het EDPB. Bijgevolg zijn de argumenten waarmee verzoekster beoogt aan te tonen dat de nationale rechterlijke instanties het „passende forum” vormen om betwistingen in verband met het onderzoek te behandelen, niet ter zake dienend.

78      Hieraan dient te worden toegevoegd dat, aangezien zowel de nationale rechter als het EDPB kan worden verzocht zich uit te spreken over de omvang van de analyse en van het onderzoek, op het gebied van de toepassing van de mededingingsregels van de artikelen 101 en 102 VWEU, waar de verantwoordelijkheden om een beleid van de Unie uit te voeren ook tussen het nationale niveau en het niveau van de Unie worden gedeeld, in de rechtspraak van het Hof een aantal beginselen zijn ontwikkeld om het optreden te coördineren van de nationale rechters en van de instantie van de Unie die belast is met het waarborgen van de coherentie bij de toepassing van het betrokken beleid, te weten de Commissie (arresten van 28 februari 1991, Delimitis, C‑234/89, EU:C:1991:91, en 14 december 2000, Masterfoods en HB, C‑344/98, EU:C:2000:689). Het is weliswaar niet uitgesloten dat een nationale rechter er op grond van deze beginselen de voorkeur aan geeft zijn uitspraak aan te houden in afwachting van een beslissing van de bevoegde instantie van de Unie of dat hij, wanneer die beslissing is genomen, daardoor gebonden kan zijn, tenzij hij twijfelt aan de geldigheid ervan en het Hof in het kader van een prejudiciële verwijzing om zijn beoordeling dienaangaande verzoekt, maar deze situaties zijn inherent aan een dergelijke verdeling van de verantwoordelijkheden en aan de noodzaak om in de gehele Unie de coherentie bij de toepassing van het betrokken beleid te verzekeren.

79      Hieraan moet ook worden toegevoegd dat, anders dan verzoekster in de derde plaats stelt, een bindend besluit van het EDPB, dat is vastgesteld op grond van artikel 65, lid 1, onder a), van verordening 2016/679 en waarbij haar wordt gelast haar analyse en onderzoek uit te breiden, niet afdoet aan haar vermogen om prioriteiten te stellen bij de uitvoering van haar verschillende taken als onafhankelijke autoriteit, wat uitsluitend door de nationale rechter kan worden getoetst. Een dergelijk besluit doet evenmin – meer in het algemeen – afbreuk aan haar onafhankelijkheid, die is neergelegd in artikel 39 VEU, artikel 16, lid 2, VWEU en artikel 8, lid 3, van het Handvest van de grondrechten.

80      Ten eerste is de leidende toezichthoudende autoriteit, of zij nu op eigen initiatief – in de fase van samenwerking tussen de betrokken toezichthoudende autoriteiten na interventies daartoe van dergelijke autoriteiten – dan wel na een dergelijk bindend besluit ertoe wordt gebracht haar analyse of onderzoek van een zaak aan te vullen, niet verplicht om alle andere zaken on hold te zetten en aan de betreffende zaak voorrang te geven boven haar andere taken. Zij kan bijvoorbeeld aankondigen dat een eerste ontwerpbesluit of een eerste besluit dat zij zal hebben vastgesteld, slechts een deel van de door die zaak opgeworpen kwesties behandelt en dat zij haar analyse en onderzoek in een later stadium zal voortzetten.

81      Enkel in de in artikel 66 van verordening 2016/679 bedoelde omstandigheden, waarin een andere betrokken toezichthoudende autoriteit van mening is dat er dringend moet worden opgetreden om de rechten en vrijheden van betrokkenen te beschermen, kan een dringend bindend besluit van het EDPB de leidende toezichthoudende autoriteit verplichten om de volgorde van haar prioriteiten voor de behandeling van een zaak onverwijld te herzien. De wetgever heeft dus slechts in uitzonderlijke gevallen in deze mogelijkheid voorzien. Bindende besluiten 3/2022, 4/2022 en 5/2022 zijn namelijk niet op basis van dat artikel 66 vastgesteld, zodat zij verzoekster geen rangorde tussen haar verschillende taken oplegden.

82      Ten tweede voorzien de door verzoekster aangevoerde bepalingen van primair recht niet in absolute onafhankelijkheid – in de zin van het ontbreken van enige controle – van de autoriteiten van de lidstaten die in de eerste plaats belast zijn met het toezicht op de regels inzake de bescherming van persoonsgegevens. Deze bepalingen geven enkel aan dat het toezicht op de naleving van die regels is toevertrouwd aan onafhankelijke autoriteiten, hetgeen dus geenszins in de weg staat aan een systeem van wederzijds toezicht tussen onafhankelijke autoriteiten, zoals de mechanismen van samenwerking en toezicht op de coherentie waarin verordening 2016/679 voorziet, en uiteraard evenmin aan rechterlijke toetsing van de besluiten van de verschillende betrokken autoriteiten. Wat belangrijk is, is dat de organen die toezicht houden op de toezichthoudende autoriteiten zelf onafhankelijk zijn. Dit is het geval voor het EDPB, dat bestaat uit de toezichthoudende autoriteiten van de lidstaten en de Europese Toezichthouder voor gegevensbescherming, die zelf onafhankelijk is ten opzichte van de instellingen en andere entiteiten van de Unie waarop hij toezicht houdt.

[omissis]

 Kosten

84      Volgens artikel 134, lid 1, van het Reglement voor de procesvoering wordt de in het ongelijk gestelde partij verwezen in de kosten, voor zover dat is gevorderd. Aangezien verzoekster in het ongelijk is gesteld, dient zij overeenkomstig de vordering van het EDPB te worden verwezen in de kosten.

HET GERECHT (Tiende kamer – uitgebreid),

rechtdoende, verklaart:

1)      De beroepen in de zaken T‑70/23, T‑84/23 en T‑111/23 worden verworpen.

2)      Data Protection Commission wordt verwezen in de kosten.

Uitgesproken ter openbare terechtzitting te Luxemburg op 29 januari 2025.

ondertekeningen