La Cour de justice de l'Union européenne a jugé qu'une décision contraignante du Comité européen de la protection des données (CEPD) constitue un acte susceptible de recours en annulation devant les juridictions de l'Union.

L'affaire trouve son origine dans la décision contraignante 1/2021 du CEPD, laquelle constatait des violations du RGPD par WhatsApp Ireland Ltd et obligeait l'autorité de contrôle irlandaise à modifier les mesures correctrices envisagées, aboutissant à une amende de 225 000 000 €. WhatsApp avait introduit un recours en annulation contre cette décision, que le Tribunal avait rejeté comme irrecevable le 7 décembre 2022 au motif qu'il ne s'agissait pas d'un acte attaquable. Saisie d'un pourvoi, la Cour a annulé l'ordonnance du Tribunal, affirmant qu'une décision du CEPD est un acte contraignant d'un organe de l'Union qui produit des effets juridiques et fixe définitivement sa position. L'affaire est donc renvoyée au Tribunal pour un examen au fond.