Zaak C-97/23 P WhatsApp Ireland v European Data Protection Board

Op 10 februari 2026 oordeelde de Grote Kamer van het Hof van Justitie in een uitspraak met potentieel verstrekkende gevolgen.

Het Hof van Justitie oordeelde dat de beslissingen en richtsnoeren van de European Data Protection Board ("EDPB”) voor beroep vatbare handelingen zijn, toetsbaar bij de bevoegde rechter. Het feit dat de zogeheten ‘EDPB Guidelines’ voor beroep vatbare handelingen kunnen zijn maakt het mogelijk om de inhoud van deze invloedrijke richtsnoeren ter discussie te stellen bij de rechter.

Case C-97/23 P - ECLI:EU:C:2026:81

In Case C-97/23 P - ECLI:EU:C:2026:81 probeert WhatsApp Ireland Ltd.'s ("Whatsapp") de nietigverklaring te eisen bij de Europese rechter van een beslissing die de EDPB op 2 september 2021 publiceerde over een lopende procedure tussen Whatsapp en de Ierse bevoegde toezichthouder, Irish Data Protection Commission (DPC), met betrekking tot de interpretatie en handhaving van transparantieverplichtingen onder de AVG.

De beslissing: “Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR’”, ook wel bekend als: EDPB Decision 01/2021.

In de zaak stelde de EDPB zich op het standpunt dat Whatsapp niet ontvankelijk was omdat de EDPB beslissingen en richtsnoeren niet vatbaar zijn voor toetsing door de rechter, immers deze richtsnoeren zijn beleid om interpretaties van de nationale toezichthouders te harmoniseren en geen wet. De EDPB is zelf geen bevoegde toezichthouder van een lidstaat met handhavingsbevoegdheden en niet zelf een uitvoerend orgaan van de EU, maar een samenwerkingsverband voor overleg voor de bevoegde toezichthouders, vond de EPDB.

Aanvankelijk oordeelde het Gerecht van het Hof van Justitie van de EU dat een poging van Whatsapp Ireland Ltd. (“Whatsapp”) om de nietigverklaring van ‘EDPB Decision 01/2021’ te eisen inderdaad niet ontvankelijk was, zoals de EDPB betoogde.

Beroep Whatsapp

Nu oordeelt de Grote Kamer van het Hof van Justitie van de EU na hoger beroep van Whatsapp dat het beroep van Whatsapp Ireland Ltd. (“Whatsapp”) tegen ‘EDPB Decision 1/2021’ alsnog ontvankelijk is. De Grote Kamer van het Hof van Justitie van de EU toetste hierbij artikel 263 Verdrag Werking van de Europese Unie (“VWEU”) waarin is bepaald:

“Iedere natuurlijke of rechtspersoon kan onder de in de eerste en tweede alinea vastgestelde voorwaarden beroep instellen tegen handelingen die tot hem gericht zijn of die hem rechtstreeks en individueel raken, alsmede tegen regelgevingshandelingen die hem rechtstreeks raken en die geen uitvoeringsmaatregelen met zich meebrengen.”

Volgens Whatsapp is zij een rechtspersoon die rechtstreeks en individueel geraakt wordt door EDPB Decision 01/2021 en mag zij dus nietigverklaring vorderen bij het Hof van Justitie van de EU.

Rechtstreeks en individueel

De Grote Kamer van het Hof van Justitie van de EU overweegt in de zaak :

“92 Thus, the admissibility of an action brought by a natural or legal person against an act which is not addressed to that person, in accordance with the fourth paragraph of Article 263 TFEU, is subject, inter alia, to the condition that that act is of direct and individual concern to that person (judgment of 3 December 2019, Iccrea Banca, C-414/18, EU:C:2019:1036, paragraph 64 and the case-law cited).

[…]

94 It must be borne in mind in that regard that, according to settled case-law, the condition that a natural or legal person must be directly concerned by the decision which that person is contesting requires that two cumulative conditions be satisfied, namely that the measure being contested, first, directly affects the legal situation of that person and, second, leaves no discretion to the addressees who are entrusted with the task of implementing it, such implementation being purely automatic and resulting solely from EU provisions without the application of other intermediate rules (judgment of 4 October 2024, Commission and Council v Front Polisario, C-779/21 P and C-799/21 P, EU:C:2024:835, paragraph 87 and the case-law cited)”

Volgens vaste jurisprudentie zijn er twee criteria om op EU-niveau een besluit van het EDPB of andere EU-instanties aan te vechten op basis van “directe en individuele betrokkenheid”, waaraan moet worden voldaan om een maatregel of actie te betwisten:

1. het besluit heeft rechtstreeks invloed op de rechtspositie van de natuurlijke of rechtspersoon, en
2. de handeling laat geen discretionaire bevoegdheid over aan de nationale adressanten van de EU-handeling, bijvoorbeeld vanwege maximum harmonisatie.

Volgens de Grote Kamer van het Hof van Justitie van de EU is de bedoeling en het effect van EDPB Decision 01/2021 om rechtsgevolgen voor Whatsapp’s rechtspositie te hebben in diens lopende procedure bij de IDPC, onder meer omdat de Ierse bevoegde toezichthouder gebonden is door EDPB beslissingen en niet de discretionaire bevoegdheid heeft om hiervan af te wijken op nationaal Iers niveau. Waartegen voor Whatsapp rechtsmiddelen open staan. In deze zaak is namelijk aan de twee cumulatieve vereisten voldaan.

EDPB Guidelines

De EDPB Guidelines worden opgesteld en gepubliceerd door de EDPB. De European Data Protection Board is aangewezen in de AVG. De EDPB bestaat uit de voorzitters van alle gegevensbeschermingsautoriteiten in de lidstaten van de EU, in Nederland is de bevoegde toezichthouder de Autoriteit Persoonsgegevens (“AP”).

De EDPB Guidelines zijn zeer belangrijke richtsnoeren voor de interpretatie en toepassing van wettelijke voorschriften uit de Algemene Verordening Gegevensbescherming (“AVG”). In de wet zijn veel verplichtingen relatief algemeen geformuleerd, immers de wet is altijd breed van toepassing. De richtsnoeren kunnen zich daarentegen op specifieke onderwerpen of sectoren richten en bevatten daarmee veel meer uitleg. Vele aan de AVG toegerekende wettelijke verplichtingen komen in werkelijkheid uit een EDPB Guideline over de interpretatie en toepassing van bepaalde wetsartikelen.

Strenge interpretatie

Voor bedrijven en organisaties kan een interpretatie in een richtsnoer van een bevoegde toezichthouder uitzonderlijk nadelig zijn. Zeker als de bevoegde toezichthouder een strengere interpretatie heeft van de wettelijke vereisten dan per se volgt uit de wettekst of jurisprudentie. In Nederland is eerder de nationale toezichthouder teruggefloten door de rechter in verband met een te strenge interpretatie van de wet in een gepubliceerd richtsnoer. Eerder schreven wij:

Commerciële belangen als AVG grondslag

Gevolgen

EDPB Guidelines en overige beslissingen door de EDPB kunnen dus toetsbaar zijn bij de Europese rechter, indien er partijen zijn die in hun belangen geraakt worden door dergelijke beslissingen in de zin van “direct and individual concern” in de zin van artikel 263 Verdrag Werking van de Europese Unie (“VWEU”) staat de gang naar de Europese rechter open. De gevolgen van deze uitspraak kunnen van zeer grote invloed zijn voor de toekomstige ontwikkeling van het privacy – en gegevensbeschermingsrecht, zelfs indien Whatsapp uiteindelijk in de hoofdzaak die zij nu mag inleiden ongelijk zou krijgen. Het is raadzaam deze ontwikkelingen goed in de gaten te houden.

Vragen?

Vraagt u zich af wat deze uitspraak voor u of uw organisatie betekent? Hebt u vragen op het gebied van privacy- of gegevensbeschermingsrecht? Hebt u vragen over de do’s en don’ts van e-privacy regels? Neem vandaag nog contact op met onze advocaten IT & privacy recht. Zij staan u graag te woord.

Vragen?

Hebt u vragen over de Data act? Zou u een exit- /continuïteitsregeling in uw IT contract willen opnemen of updaten? Neem contact op met onze IT juristen zijn staan u graag te woord.

Virtuele Juridische Afdeling

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!