Arrêt de la Cour (grande chambre) du 10 février 2026.#WhatsApp Ireland Ltd contre Comité européen de la protection des données.#Pourvoi – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 63 – Mécanisme de contrôle de la cohérence – Article 65 – Règlement des litiges par le Comité européen de la protection des données – Décision contraignante – Recours en annulation – Article 263, premier alinéa, TFUE – Acte attaquable – Article 263, quatrième alinéa, TFUE – Condition selon laquelle le requérant doit être directement concerné par la mesure faisant l’objet de son recours.#Affaire C-97/23 P.

Affaire C‑97/23 P

WhatsApp Ireland Ltd

contre

Comité européen de la protection des données

Arrêt de la Cour (grande chambre) du 10 février 2026

« Pourvoi – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 63 – Mécanisme de contrôle de la cohérence – Article 65 – Règlement des litiges par le Comité européen de la protection des données – Décision contraignante – Recours en annulation – Article 263, premier alinéa, TFUE – Acte attaquable – Article 263, quatrième alinéa, TFUE – Condition selon laquelle le requérant doit être directement concerné par la mesure faisant l’objet de son recours »

1. Recours en annulation – Délais – Point de départ – Publication ou notification – Date de prise de connaissance de l’acte – Caractère subsidiaire – Publication sur le site Internet de l’auteur de l’acte

   (Art. 263, 6e al., TFUE ; règlement du Parlement européen et du Conseil 2016/679, considérant 143, 3e phrase, et art. 65, § 5, 3e phrase)

   (voir points 44-48)

2. Recours en annulation – Actes susceptibles de recours – Notion – Actes produisant des effets juridiques obligatoires à l’égard de tiers – Décision contraignante du Comité européen de la protection des données relative à un litige entre autorités de contrôle – Décision constituant un acte d’un organe de l’Union européenne destiné à produire des effets juridiques à l’égard de tiers et exprimant sa position définitive – Acte attaquable

   [Art. 263, 1er al., TFUE ; règlement du Parlement européen et du Conseil 2016/679, art. 58, 60, 65, § 1, a), 2 et 6, et 68, § 1]

   (voir points 64-78)

3. Recours en annulation – Personnes physiques ou morales – Actes les concernant directement et individuellement – Affectation directe – Critères – Modification caractérisée de la situation juridique de la partie requérante – Absence de pouvoir d’appréciation des destinataires de l’acte – Décision contraignante du Comité européen de la protection des données relative à un litige entre autorités de contrôle – Décision ayant des effets directs sur la situation juridique du requérant – Décision ne laissant aucun pouvoir d’appréciation à ses destinataires – Recevabilité

   [Art. 263, 4e al., TFUE ; règlement du Parlement européen et du Conseil 2016/679, art. 56, 58, 60, 65, 70, § 1, a), et 83]

   (voir points 90-110, 118)

Résumé

Saisie d’un pourvoi introduit par WhatsApp Ireland Ltd (ci-après « WhatsApp »), la Cour, siégeant en grande chambre, annule l’ordonnance du Tribunal dans l’affaire WhatsApp Ireland/Comité européen de la protection des données ( 1 ).

La Cour se prononce, pour la première fois, sur les voies de recours ouvertes à une entreprise à l’égard d’une décision contraignante prise par le Comité européen de la protection des données (ci-après le « Comité ») en vertu du règlement général sur la protection des données ( 2 ), dans le contexte du mécanisme de contrôle de la cohérence institué par ce règlement. Dans ce cadre, se prononçant sur les conditions de recevabilité du recours en annulation formé par WhatsApp, la Cour précise la portée de la notion d’« acte attaquable », au titre de l’article 263, premier alinéa, TFUE, et de la condition selon laquelle le requérant doit être directement concerné par la mesure faisant l’objet de son recours, au titre de l’article 263, quatrième alinéa, TFUE.

À la suite de l’entrée en vigueur du RGPD, la Data Protection Commission (Autorité de protection des données, Irlande, ci-après l’« autorité de contrôle irlandaise ») a reçu des plaintes d’utilisateurs et de non-utilisateurs de la messagerie « WhatsApp » concernant le traitement de données à caractère personnel par cette entreprise. Dans ce contexte, cette autorité de contrôle, en sa qualité d’autorité de contrôle chef de file ( 3 ), a ouvert une enquête portant sur le respect, par WhatsApp, des obligations de transparence et d’information à l’égard des particuliers prévues par le RGPD.

À l’issue de cette enquête, dans le cadre de la coopération instituée par le RGPD, l’autorité de contrôle irlandaise a présenté aux autres autorités de contrôle concernées par le traitement de données à caractère personnel en cause un projet de décision en vue d’obtenir leur avis. Dès lors qu’un consensus sur ce projet ne s’est pas dégagé, l’autorité de contrôle irlandaise a saisi le Comité afin qu’il règle le litige entre les autorités de contrôle concernées ( 4 ). Ce dernier a adopté, le 28 juillet 2021, la décision contraignante 1/2021 (ci-après la « décision litigieuse »), dans laquelle il a pris position sur les questions ayant fait l’objet d’objections pertinentes et motivées de certaines des autorités de contrôle concernées. Sur la base de cette décision contraignante, portant notamment sur un constat de méconnaissance de certaines dispositions du RGPD, sur la qualification de données soumises à une compression avec perte en tant que données à caractère personnel, ainsi que sur la nécessité de rehausser le montant des amendes envisagées dans le projet de décision initial, l’autorité de contrôle irlandaise a adopté, le 20 août 2021, une décision finale. Cette autorité y a constaté que WhatsApp avait méconnu certaines dispositions du RGPD et lui a imposé, notamment, des amendes d’un montant cumulé de 225 millions d’euros.

WhatsApp a attaqué cette décision finale devant une juridiction irlandaise et a parallèlement demandé au Tribunal l’annulation de la décision litigieuse, au titre de l’article 263 TFUE.

Par l’ordonnance attaquée, le Tribunal a rejeté le recours en annulation comme étant irrecevable. Tout en reconnaissant que WhatsApp était individuellement concernée par la décision litigieuse, le Tribunal a notamment jugé que cette décision ne constituait pas un acte attaquable et que WhatsApp n’était pas directement concernée par ladite décision.

Appréciation de la Cour

En premier lieu, la Cour se prononce sur le caractère prétendument tardif du recours en première instance, qui a été soulevé par le Comité.

Elle rappelle que, aux termes de l’article 263, sixième alinéa, TFUE, les recours en annulation doivent être formés dans un délai de deux mois à compter, suivant le cas, de la publication de l’acte, de sa notification au requérant ou, à défaut, du jour où celui-ci en a eu connaissance. Le délai de recours en annulation commence à courir, à titre principal, à compter de la publication de l’acte ou de la notification de celui-ci au requérant, ces deux critères principaux étant placés sur un pied d’égalité en ce sens qu’aucun de ces deux critères n’est subsidiaire par rapport à l’autre. En revanche, le critère de la date de prise de connaissance de l’acte attaqué présente un caractère subsidiaire par rapport à ceux de la publication ou de la notification de cet acte.

La Cour relève que, dans le cas d’espèce, la décision litigieuse n’a pas été notifiée à WhatsApp, mais a fait l’objet d’une publication sur le site Internet du Comité ( 5 ). À cet égard, elle précise que la notion de « publication » ne vise pas exclusivement une publication au Journal officiel de l’Union européenne et doit, au contraire, être interprétée de manière large. Relève de cette notion, notamment, une publication sur le site Internet d’une institution, d’un organe ou d’un organisme de l’Union lorsque celle-ci est prévue par le droit dérivé.

Partant, le délai du recours, qui devait être calculé à compter de la publication de la décision litigieuse sur le site Internet du Comité, n’a pas été méconnu en l’espèce.

En deuxième lieu, la Cour apporte des précisions sur la notion d’« acte attaquable » au titre de l’article 263, premier alinéa, TFUE, en vertu duquel le juge de l’Union contrôle, notamment, la légalité des actes des organes ou organismes de l’Union destinés à produire des effets juridiques à l’égard des tiers.

La Cour souligne notamment que le caractère attaquable d’un acte doit être apprécié objectivement, en fonction de la substance de celui-ci, et non en fonction de la partie requérante. Ainsi, le tiers à l’égard duquel l’acte visé produit des effets juridiques ne doit pas nécessairement être la partie requérante. En effet, revêt la qualité de tiers toute personne physique ou morale distincte de l’auteur de cet acte. Dès lors, il n’est pas besoin de vérifier si un acte produit des effets de nature à affecter la situation juridique de la partie requérante, cette vérification n’étant pertinente que dans le cadre de l’examen du respect des conditions énoncées à l’article 263, quatrième alinéa, TFUE.

En outre, la Cour indique que, en présence d’actes dont l’élaboration s’effectue en plusieurs étapes procédurales, ne constitue, en principe, un acte attaquable que la mesure qui fixe définitivement la position de l’institution, de l’organe ou de l’organisme de l’Union compétent, à l’exclusion des mesures intermédiaires dont l’objectif est de préparer cette mesure définitive et qui ne produisent pas d’effets juridiques autonomes à l’égard des tiers.

S’agissant du contenu de la décision litigieuse, la Cour observe que cette décision est un acte émanant d’un organe de l’Union qui présente un caractère contraignant à l’égard de tiers. En effet, elle lie l’autorité de contrôle chef de file, qui doit adopter sa décision finale sur la base de cette décision contraignante, et toutes les autorités de contrôle concernées, qui en sont les destinataires et qui sont des tiers par rapport au Comité.

En outre, en ce qui concerne le contexte de l’adoption de la décision litigieuse, la Cour relève que, même si cette décision a été élaborée dans le cadre d’un processus impliquant plusieurs étapes procédurales et a précédé l’adoption d’un autre acte par l’autorité de contrôle irlandaise, ladite décision fixe toutefois définitivement la position du Comité et épuise toutes les questions que celui-ci est appelé à trancher.

La Cour en conclut que, bien qu’elle ne constitue pas la dernière étape de la procédure de contrôle de la cohérence prévue par le RGPD, la décision litigieuse ne saurait être qualifiée de mesure intermédiaire insusceptible de recours.

Elle ajoute que, dès lors que la décision du Comité produit des effets juridiques obligatoires à l’égard de tiers, sont sans incidence les circonstances que la portée de la décision finale de l’autorité de contrôle nationale englobe des questions qui ne relèveraient pas de la saisine ou de la compétence du Comité et que la décision litigieuse n’est pas opposable à des entités autres que ses destinataires, cette dernière circonstance ne se rapportant ni à la substance de la décision litigieuse ni à ses effets juridiques obligatoires au regard de critères objectifs.

Ainsi, la Cour constate que la décision litigieuse constitue un acte attaquable et que le Tribunal a commis une erreur de droit, d’une part, en opérant une confusion entre les exigences résultant, respectivement, des premier et quatrième alinéas de l’article 263 TFUE et, d’autre part, en formulant un critère erroné, relatif à l’absence d’opposabilité directe de l’acte en cause à l’égard de WhatsApp, et en qualifiant la décision litigieuse de mesure intermédiaire dénuée d’effets juridiques autonomes.

En troisième et dernier lieu, la Cour rappelle que la recevabilité d’un recours introduit par une personne physique ou morale contre un acte dont elle n’est pas le destinataire, au titre de l’article 263, quatrième alinéa, TFUE, est subordonnée, notamment, à la condition que cet acte la concerne directement et individuellement.

À cet égard, la Cour précise que l’absence d’opposabilité directe de l’acte attaqué à l’égard de la partie requérante de même que la circonstance que cet acte ne constitue pas la dernière étape d’une procédure composite ne font pas obstacle à ce que cette partie puisse être directement concernée par ledit acte, lorsque le destinataire du même acte ne dispose d’aucun pouvoir d’appréciation. Par conséquent, elle constate que le Tribunal a commis une erreur de droit en considérant que WhatsApp ne saurait être directement concernée par la décision litigieuse au motif que cette dernière n’aurait pas un caractère opposable à WhatsApp et ne constituerait pas l’ultime étape de la procédure prévue par le RGPD.

Dans ce contexte, la Cour rappelle, en effet, que la condition selon laquelle une personne physique ou morale doit être directement concernée par la décision faisant l’objet de son recours requiert que deux conditions soient cumulativement satisfaites, à savoir que la mesure contestée, d’une part, produise directement des effets sur la situation juridique de cette personne et, d’autre part, ne laisse aucun pouvoir d’appréciation aux destinataires chargés de sa mise en œuvre.

S’agissant du respect de la première condition, la Cour relève qu’il convient d’apprécier si l’acte attaqué est la source d’une modification caractérisée de la situation de la partie requérante, en s’attachant à la substance de l’acte et en appréciant les effets de celui-ci au regard de critères objectifs. En l’espèce, la Cour constate que, le Comité ayant décidé notamment que WhatsApp avait méconnu certaines dispositions du RGPD, la décision litigieuse modifie la situation juridique de cette entreprise, celle-ci étant en particulier amenée, en raison de l’intervention du Comité, à modifier sa relation contractuelle avec les utilisateurs du service de messagerie fourni par elle. Partant, il existe un lien direct entre cette décision et ses effets sur la situation de WhatsApp.

Quant à la seconde condition, la Cour précise que l’existence d’une marge d’appréciation doit notamment être écartée s’il est établi que les dispositions de l’acte visées par le recours ont eu pour conséquence directe de soumettre la partie requérante à des obligations dont le résultat ne pouvait être modifié par l’entité chargée de mettre subséquemment en œuvre cet acte. Dans ce contexte, la Cour rappelle que la décision litigieuse lie l’autorité de contrôle chef de file et les autorités de contrôle concernées, celles-ci ne pouvant pas s’écarter de la position retenue par le Comité dans cette décision. En effet, ladite décision tranche les questions de droit faisant l’objet de la saisine de celui-ci et lie inconditionnellement ces autorités, s’agissant en particulier du constat de violation de certaines dispositions du RGPD, de la qualification des données soumises à une compression avec perte en tant que données à caractère personnel ainsi que de l’obligation de rehausser le montant des amendes envisagées. Lesdites autorités n’ont pas la possibilité de modifier le résultat des appréciations portées, pour ce qui est de ces questions, par le Comité.

La Cour ajoute que, dans ce contexte, il importe peu que la portée de la décision finale s’étende à des questions ne relevant pas de la saisine du Comité, à savoir à des aspects qui n’ont pas fait l’objet d’objections pertinentes et motivées ou à des questions ne relevant pas de la compétence de cet organe, telles que, notamment, la fixation du montant précis de l’amende à infliger au responsable du traitement ou à un sous-traitant, laquelle incombe à l’autorité de contrôle saisie en vertu du RGPD.

Enfin, la Cour observe que, s’il existe, certes, un lien d’interdépendance entre la décision litigieuse et la décision finale, il n’en demeure pas moins que celles-ci constituent des actes distincts et que la portée de la décision litigieuse est bien délimitée. Dans ces conditions, ce lien d’interdépendance n’est pas de nature à faire obstacle au constat que WhatsApp est directement concernée par la décision litigieuse.

La Cour relève que, si l’introduction simultanée d’un recours en annulation devant le juge de l’Union, sur le fondement de l’article 263 TFUE, à l’égard de la décision contraignante du Comité, et devant le juge national, à l’égard de la décision finale adoptée par l’autorité de contrôle nationale, donne lieu, certes, à deux procédures parallèles, cette situation n’a pas pour conséquence que les effets de la décision du Comité devraient être considérés comme étant indirects, en l’espèce, par rapport à WhatsApp. En effet, d’une part, lorsque la solution du litige pendant devant la juridiction nationale dépend de la validité de la décision d’un organe de l’Union, il résulte de l’obligation de coopération loyale que la juridiction nationale devrait, afin d’éviter de prendre une décision allant à l’encontre de celle de cet organe, surseoir à statuer jusqu’à ce qu’une décision définitive sur le recours en annulation soit prononcée par les juridictions de l’Union, sauf si elle considère que, dans les circonstances de l’espèce, il est justifié de déférer une question préjudicielle à la Cour sur la validité de la décision dudit organe. D’autre part, le principe de bonne administration de la justice peut justifier, en cas de saisine concomitante du Tribunal, dans le cadre d’un recours en annulation, et de la Cour, dans le cadre d’un renvoi préjudiciel, que la Cour, si elle le considère approprié, suspende ( 6 ) la procédure pendante devant elle au profit de celle introduite devant le Tribunal.

Par conséquent, la Cour conclut que WhatsApp est directement concernée par la décision litigieuse.

Partant, eu égard aux erreurs de droit commises par le Tribunal, la Cour annule l’ordonnance attaquée. En outre, la Cour constate que, les conditions consacrées à l’article 263 TFUE étant remplies, et en l’absence de tout autre motif d’irrecevabilité, le recours en annulation formé par WhatsApp est recevable. Cependant, le litige n’étant pas en état d’être jugé sur le fond, la Cour renvoie l’affaire au Tribunal afin que celui-ci statue à cet égard.

( 1 ) Ordonnance du 7 décembre 2022, WhatsApp Ireland/Comité européen de la protection des données (T‑709/21, ci-après l’« ordonnance attaquée », EU:T:2022:783).

( 2 ) Article 65, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

( 3 ) En vertu de l’article 56, paragraphe 1, du RGPD, qui confère notamment la compétence pour agir à l’autorité de contrôle de l’établissement principal du responsable du traitement dans le cas du traitement transfrontalier effectué par ce dernier.

( 4 ) Conformément aux dispositions de l’article 60, paragraphe 4, et de l’article 65, paragraphe 1, sous a), du RGPD.

( 5 ) Comme le prévoit l’article 65, paragraphe 5, troisième phrase, du RGPD.

( 6 ) En vertu de l’article 54, troisième alinéa, du statut de la Cour de justice de l’Union européenne.