1

Mediante su recurso, el demandante, BW, solicita, en esencia, por un lado, sobre la base del artículo 263 TFUE, la anulación del acuerdo de creación de un equipo conjunto de investigación (en lo sucesivo, «ECI») relativo al servicio de comunicaciones cifradas Sky ECC (en lo sucesivo, «acuerdo ECI») y de las operaciones de tratamiento, análisis e intercambio, por parte de la Agencia de la Unión Europea para la Cooperación Policial (Europol), la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) y los Estados miembros implicados en la investigación sobre ese servicio, de los datos procedentes de dicho servicio que le conciernan y, por otro lado, sobre la base del artículo 268 TFUE, la indemnización de los daños materiales y morales que alega haber sufrido por los actos y comportamientos de Europol, de Eurojust y de los citados Estados miembros.

2

El demandante es un nacional serbio, procesado y encarcelado en los Países Bajos desde el 8 de mayo de 2023 por la importación a dicho Estado miembro de 743 kilos de cocaína, interceptados el 4 de agosto de 2020 en Róterdam (Países Bajos). También está procesado en Serbia desde el otoño de 2023, en particular, por tráfico de estupefacientes.

3

Los procedimientos penales tramitados por las autoridades neerlandesas y serbias tienen su origen en unas medidas de investigación iniciadas a finales de la década de 2010 por las autoridades belgas, neerlandesas y francesas contra la «organización Sky ECC» —«ECC» significa «Elliptic Curve Cryptography» (criptografía de curva elíptica)—, sospechosa de comercializar productos y servicios de comunicaciones cifradas que tienen como objetivo específico facilitar la comisión de hechos delictivos.

4

A raíz de estas medidas de investigación nacionales, el Reino de Bélgica y el Reino de los Países Bajos emitieron, a finales de 2018, sendas decisiones de investigación conjunta solicitando a la República Francesa que hiciera una captura de pantalla de los servidores utilizados por el servicio Sky ECC ubicados en Roubaix (Francia). Este Estado miembro dio curso a tal solicitud interceptando, registrando y transcribiendo, mediante la técnica del «ataque intermediario», las comunicaciones cifradas que entraban y salían de esos servidores, incluidos ciertos datos referidos al demandante.

5

El 13 de diciembre de 2019, las autoridades belgas, francesas y neerlandesas, mediante el acuerdo ECI, que concluyeron sobre la base del artículo 13 del Convenio celebrado por el Consejo de conformidad con el artículo 34 TUE, relativo a la Asistencia Judicial en Materia Penal entre los Estados Miembros de la Unión Europea (DO 2000, C 197, p. 3), y de la Decisión Marco del Consejo, de 13 de junio de 2002, sobre equipos conjuntos de investigación (DO 2002, L 162, p. 1), crearon el ECI.

6

El acuerdo ECI establece lo siguiente:

«La creación del ECI pretende facilitar las investigaciones en curso en Bélgica, Francia y los Países Bajos relativas a los proveedores y usuarios del servicio Sky ECC y compartir los conocimientos técnicos y los recursos […]. ECI tiene como objetivo la elaboración, el desarrollo y la aplicación conjuntos de la técnica necesaria para descifrar las comunicaciones pasadas y desmantelar el servidor; la identificación y localización de los usuarios que se mueven entre los tres países y dentro de cada uno de ellos; la organización y coordinación de jornadas de acción conjunta promovidas con la finalidad de detener y procesar a los mediadores y usuarios de Sky ECC.»

7

El ECI dio lugar a que Europol y los tres Estados miembros interesados compartieran los datos brutos interceptados, que habían de ser analizados posteriormente, y los resultados de dicho análisis.

8

En el marco de esta cooperación, que aún seguía vigente cuando se celebró la vista en el presente asunto, Europol almacenó los datos en su sistema informático, efectuó cotejos, elaboró informes de inteligencia, generó gráficos de visualización de datos e interpretó conjuntos de datos multilingües.

9

Por su parte, Eurojust prestó apoyo y asesoramiento acerca de las posibilidades de cooperación judicial, organizó varias reuniones de coordinación entre las autoridades belgas, francesas y neerlandesas y Europol, y facilitó la cooperación judicial entre, por un lado, la República de Serbia y, por otro, el Reino de los Países Bajos y la República Francesa.

10

El demandante solicita, en esencia, al Tribunal General que:

11

Eurojust y Europol solicitan al Tribunal General que:

12

El Reino de España solicita al Tribunal General que declare la inadmisibilidad del recurso o, con carácter subsidiario, lo desestime por infundado y condene en costas al demandante.

13

El Reino de los Países Bajos solicita al Tribunal General que desestime el recurso y condene en costas al demandante.

14

En apoyo de sus pretensiones dirigidas indistintamente contra Europol y Eurojust, el demandante invoca los mismos cuatro motivos.

15

El primer motivo se basa, en esencia, en el carácter ilegal y desproporcionado de la recogida y tratamiento de los datos personales procedentes del servicio Sky ECC por parte de los Estados miembros interesados y por «Europol o Eurojust», desde que fueron interceptados por primera vez, en 2019, hasta que los resultados fueron compartidos por última vez con otros países.

16

En respuesta a una pregunta del Tribunal General formulada en la vista, el demandante indicó que no invocaba ningún acto o comportamiento posterior al 24 de junio de 2022, fecha en la que las autoridades francesas transmitieron a las autoridades serbias, a través de Eurojust, un enlace a un sitio de descarga seguro que ponía a disposición de ese país tercero la información relativa a determinadas conversaciones procedentes del servicio Sky ECC relacionadas con credenciales específicamente identificadas, en particular las conversaciones del demandante.

17

El segundo motivo se basa, en esencia, en la vulneración por parte de Europol y de Eurojust, respectivamente, del artículo 28 del Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a Europol y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO 2016, L 135, p. 53), del artículo 71 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de estos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión 1247/2002/CE (DO 2018, L 295, p. 39), y de los artículos 47 y 48 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), así como de los artículos 14 y 15 del Pacto Internacional de Derechos Civiles y Políticos, adoptado por la Asamblea General de las Naciones Unidas el 16 de diciembre de 1966 y que entró en vigor el 23 de marzo de 1976 (en lo sucesivo, «Pacto»), debido al carácter incompleto de los datos del servicio Sky ECC recabados, analizados y transferidos, lo que supuestamente menoscabó la facultad del demandante de defenderse ante los tribunales neerlandeses y serbios.

18

El tercer motivo se basa, en esencia, en la vulneración por parte de Europol y de Eurojust del acuerdo ECI, en la medida en que incumplieron su obligación de coordinación dirigida a evitar que el demandante sea objeto de un doble procesamiento, por los mismos hechos, en los Países Bajos y en Serbia.

19

El cuarto motivo se basa, en esencia, en la infracción por parte de Europol y de Eurojust, respectivamente, del artículo 32 del Reglamento 2016/794 y de los artículos 89 y 92 del Reglamento 2018/1725, al no haber protegido debidamente los datos personales del demandante.

20

Mediante sus pretensiones, el demandante reprocha indistintamente a Europol y a Eurojust varios comportamientos o actos ilegales que tuvieron por objeto la recogida y el tratamiento de sus datos personales, en el marco de las investigaciones penales llevadas a cabo por el Reino de Bélgica, la República Francesa y el Reino de los Países Bajos, relativas al servicio Sky ECC, y en las que participaron Europol y Eurojust.

21

Puesto que el demandante no solo critica comportamientos imputables a Europol y Eurojust, sino también comportamientos imputables a los Estados miembros que participaron en el ECI y a la República de Serbia, es preciso realizar las siguientes observaciones preliminares.

22

En primer lugar, por lo que respecta a la pretensión basada en el artículo 263 TFUE, de esta disposición se desprende expresamente que el recurso de anulación solo puede dirigirse contra actos adoptados por una institución, órgano u organismo de la Unión Europea.

23

Así pues, en el marco de un recurso interpuesto sobre la base del artículo 263 TFUE, el juez de la Unión no es competente para pronunciarse sobre la conformidad a Derecho de un acto adoptado por una autoridad nacional (sentencia de 3 de diciembre de 1992, Oleificio Borelli/Comisión, C‑97/91, EU:C:1992:491, apartado 9), sin que esta constatación pueda quedar desvirtuada por la circunstancia de que el acto de que se trate se integre en un proceso decisorio de la Unión (sentencia de 29 de enero de 2020, GAEC Jeanningros, C‑785/18, EU:C:2020:46, apartado 27).

24

Asimismo, el Tribunal General ha tenido ocasión de declarar que el control, en el marco de un recurso de anulación, de la legalidad de la comunicación a una institución de la Unión, por parte de un fiscal nacional o de las autoridades, de informaciones obtenidas en aplicación del Derecho penal nacional era una cuestión sometida, en principio, al Derecho nacional aplicable a las investigaciones que llevaban a cabo dichas autoridades nacionales, así como, en el caso de procedimientos judiciales, a la competencia de los órganos jurisdiccionales nacionales (véase, en este sentido, la sentencia de 8 de julio de 2004, Dalmine/Comisión, T‑50/00, EU:T:2004:220, apartado 86).

25

De ello se desprende que, puesto que el demandante persigue la anulación de las operaciones de interceptación efectuadas por las autoridades francesas —autorizadas por un juez francés—, la anulación del «desarrollo de estas operaciones», la anulación de la transmisión a Europol, por parte de las autoridades francesas, de los documentos y de la información obtenida en dichas operaciones, la anulación de la transmisión a Europol y a las autoridades serbias, por parte de las autoridades francesas, de los documentos y de la información pedida por las autoridades serbias en sus solicitudes de asistencia judicial, así como la anulación del procedimiento penal seguido ante los tribunales serbios, el juez de la Unión carece de competencia para conocer de tales pretensiones.

26

El juez de la Unión tampoco es competente para conocer, directamente sobre la base del artículo 263 TFUE, de la legalidad del acuerdo ECI, puesto que no es un acto de la Unión.

27

En efecto, el acuerdo ECI fue firmado y, por tanto, celebrado únicamente por tres Estados miembros, concretamente el Reino de Bélgica, la República Francesa y el Reino de los Países Bajos.

28

Esta conclusión no queda desvirtuada por el hecho de que el acuerdo ECI tenga su fundamento en un convenio celebrado por los mencionados Estados miembros en virtud del artículo 34 TUE y en una decisión marco del Consejo de la Unión Europea (véase, en este sentido, la sentencia de 17 de septiembre de 2014, Liivimaa Lihaveis, C‑562/12, EU:C:2014:2229, apartados 45 a 51).

29

Dicha conclusión tampoco queda desvirtuada por el hecho de que la creación del ECI de que se trata pudiera haber sido iniciativa de Europol o de Eurojust ni por el hecho de que, en virtud del punto 7 del acuerdo ECI, el Reino de Bélgica, la República Francesa y el Reino de los Países Bajos acordaran asociar a Europol y a Eurojust, como «participantes» en el ECI, tal como permite el artículo 13, apartado 12, del Convenio celebrado por el Consejo de conformidad con el artículo 34 TUE, relativo a la Asistencia Judicial en Materia penal entre los Estados Miembros de la Unión Europea, en relación con el considerando 9 de la Decisión Marco del Consejo, de 13 de junio de 2002, sobre equipos conjuntos de investigación, así como, por lo que respecta a Europol, el artículo 5 del Reglamento 2016/794 y, por lo que respecta a Eurojust, el artículo 8, apartado 1, letra d), del Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, sobre Eurojust y por el que se sustituye y deroga la Decisión 2002/187/JAI del Consejo (DO 2018, L 295, p. 138; corrección de errores en DO 2019, L 46, p. 18, y en DO 2023, L 159, p. 153).

30

En efecto, la facultad, conferida por el artículo 5 del Reglamento 2016/794 y el artículo 8, apartado 1, letra d), del Reglamento 2018/1727 a Europol o a Eurojust, de proponer o ayudar a la creación de una ECI, al igual que a los agentes de estas de participar en una ECI, no confiere a dichas agencias el estatuto de «parte» del acuerdo por el que el Reino de Bélgica, la República Francesa y el Reino de los Países Bajos crearon el ECI en cuestión.

31

Habida cuenta de lo anterior, el Tribunal General no es competente para conocer, sobre la base del artículo 263 TFUE, de la autorización por el juez francés de las operaciones de interceptación efectuadas por las autoridades francesas, del desarrollo de estas operaciones, de la transmisión a Europol, por parte de las autoridades francesas, de los documentos y de la información obtenida en dichas operaciones, de la transmisión a Eurojust y a las autoridades serbias, por parte de las autoridades francesas, de los documentos y de la información pedida por las autoridades serbias en sus solicitudes de asistencia judicial, de la regularidad del procedimiento penal seguido ante los tribunales serbios ni del acuerdo ECI.

32

En segundo lugar, por lo que respecta a la pretensión fundada en los artículos 268 TFUE y 340 TFUE, procede recordar que el juez de la Unión es competente para conocer de una acción de indemnización basada en estas disposiciones únicamente si la ilegalidad alegada en apoyo de la pretensión indemnizatoria emana efectivamente de una institución, órgano u organismo de la Unión y no puede considerarse imputable a una autoridad nacional (véase, en este sentido, la sentencia de 16 de diciembre de 2020, Consejo/K. Chrysostomides & Co. y otros, C‑597/18 P, C‑598/18 P, C‑603/18 P y C‑604/18 P, EU:C:2020:1028, apartados 80, 106 y 107).

33

Además, cuando la responsabilidad de la Unión deriva del acto o del comportamiento de una de sus instituciones o de alguno de sus órganos u organismos, aquella es representada ante el Tribunal General por la o las instituciones, órganos u organismos a los que se imputa el hecho generador de responsabilidad (sentencia de 13 de noviembre de 1973, Werhahn Hansamühle y otros/Consejo y Comisión, 63/72 a 69/72, EU:C:1973:121, apartado 7).

34

Así pues, la responsabilidad de la Unión basada en los artículos 268 TFUE y 340 TFUE no puede exigirse a una institución, órgano u organismo de la Unión distinto de aquel al que se imputa el hecho generador de responsabilidad, salvo que el legislador de la Unión haya previsto expresamente un régimen excepcional de responsabilidad solidaria, bien entre alguna de esas instituciones o alguno de esos órganos u organismos de la Unión y uno o varios Estados miembros, o incluso uno o varios terceros países, bien entre varias instituciones, órganos u organismos de la Unión (véase, por analogía, la sentencia de 5 de marzo de 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, apartados 62 y 63).

35

En el caso de autos, es preciso señalar que ni el Reglamento 2018/1727 ni ningún otro acto invocado por el demandante establece un régimen excepcional de responsabilidad solidaria entre Eurojust y los Estados miembros o entre Eurojust y la República de Serbia.

36

Del mismo modo, en respuesta a una pregunta formulada por el Tribunal General en la vista, el demandante indicó que la pretensión indemnizatoria no se basaba en una eventual responsabilidad solidaria de Europol por los hechos de Eurojust ni tampoco de Eurojust por los hechos de Europol, sino únicamente en la responsabilidad solidaria de Europol por los hechos de los Estados miembros.

37

Pues bien, como ha declarado el Tribunal de Justicia, del considerando 57, en relación con los artículos 49, apartados 3 y 4, y 50, del Reglamento 2016/794, hay que deducir un régimen excepcional de responsabilidad solidaria de Europol por los hechos de los Estados miembros (véase, en este sentido, la sentencia de 5 de marzo de 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, apartados 62 y 63).

38

En virtud de ese régimen, una persona física puede exigir ante el juez de la Unión la responsabilidad de Europol por cualquier tratamiento ilícito de datos producido en el marco de una cooperación con arreglo al Reglamento 2016/794 entre Europol y un Estado miembro que le haya causado un perjuicio (véase, en este sentido, la sentencia de 5 de marzo de 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, apartados 62 y 63).

39

En el caso de autos, procede señalar que la cooperación relativa al servicio Sky ECC comenzó en mayo de 2019 y, como indicó Europol en respuesta a una pregunta del Tribunal General formulada en la vista, aún estaba vigente el día en que se celebró esta última.

40

Además, el demandante invoca el hecho, confirmado por Europol en respuesta a una pregunta del Tribunal General formulada en la vista, de que ciertos datos personales procedentes del servicio Sky ECC que le conciernen, por un lado, fueron intercambiados en el marco de esta cooperación entre Europol y las autoridades belgas, francesas y neerlandesas y, por otro lado, siguen en poder de Europol.

41

Habida cuenta de lo anterior, el Tribunal General no es competente para conocer de la segunda pretensión en cuanto que va dirigida a que se declare la responsabilidad de Eurojust por los hechos del Reino de Bélgica, de la República Francesa y del Reino de los Países Bajos, o incluso por los hechos de la República de Serbia, o de Europol.

42

En cambio, el Tribunal General es competente para conocer de la segunda pretensión en la medida en que va dirigida a que se declare la responsabilidad de Eurojust por sus propios comportamientos, así como la responsabilidad de Europol por comportamientos imputables tanto a ella misma como a los Estados miembros que participaron en la cooperación relativa al servicio Sky ECC.

43

En cuanto a la responsabilidad solidaria de Europol por los comportamientos imputables a las autoridades belgas, francesas o neerlandesas, por un lado, procede señalar que, habida cuenta de la fecha del último hecho reprochado por el demandante a Europol y a Eurojust —a saber, un intercambio de sus datos personales que tuvo lugar el 24 de junio de 2022—, solo es aplicable al presente litigio el régimen de responsabilidad solidaria previsto por el Reglamento 2016/794 en su versión inicial, vigente hasta el 27 de junio de 2022 (véase, en este sentido, la sentencia de 10 de septiembre de 2019, HTTS/Consejo, C‑123/18 P, EU:C:2019:694, apartado 39).

44

Por otro lado, del artículo 276 TFUE se desprende que, en el ejercicio de sus atribuciones respecto de las disposiciones de los capítulos 4 y 5 del título V de la tercera parte del Tratado FUE, relativas al espacio de libertad, seguridad y justicia, el juez de la Unión no es competente para comprobar la validez o proporcionalidad de operaciones efectuadas por la policía u otros servicios con funciones de policía en un Estado miembro.

45

Así pues, a pesar del régimen de responsabilidad solidaria establecido en el artículo 50, apartado 1, del Reglamento 2016/794, Europol no puede ser considerada responsable solidaria del eventual perjuicio derivado de tratamientos ilegales de datos personales de una persona física acaecidos con ocasión de operaciones llevadas a cabo por la policía u otros servicios con funciones de policía de un Estado miembro, aun cuando tales tratamientos se hayan producido en el marco de una cooperación basada en dicho Reglamento (véase, por analogía, la sentencia de 10 de septiembre de 2024, KS y otros/Consejo y otros, C‑29/22 P y C‑44/22 P, EU:C:2024:725, apartado 91).

46

Por consiguiente, a pesar de su competencia para conocer de la segunda pretensión en lo relativo a la responsabilidad solidaria de Europol por comportamientos imputables, en particular, a las autoridades francesas, el Tribunal General no es competente para conocer de las alegaciones del demandante basadas en los daños que supuestamente le causaron las operaciones de interceptación de sus datos personales efectuadas en el marco de las operaciones policiales llevadas a cabo por las autoridades francesas.

47

En estas circunstancias, y antes de examinar las causas de inadmisión planteadas por Europol y Eurojust, así como la fundamentación de las pretensiones formuladas por el demandante, procede identificar los comportamientos y actos reprochados por el demandante para cuyo conocimiento está facultado el juez de la Unión y determinar si son imputables a Europol o a Eurojust y, en su caso, los comportamientos o los actos que no son imputables a Europol, pero que podrían, no obstante, generar la responsabilidad de esta sobre la base del régimen excepcional de responsabilidad solidaria previsto en el artículo 50, apartado 1, del Reglamento 2016/794.

48

El demandante sostiene que son contrarios al Derecho de la Unión la recogida, el tratamiento y la transmisión de sus datos personales efectuados en el marco de las investigaciones penales relativas al servicio Sky ECC, en las que participaron las autoridades belgas, francesas y neerlandesas, así como Europol y Eurojust, y que dieron lugar a los procedimientos penales mencionados en el anterior apartado 2.

49

Más concretamente, y a la luz de los únicos elementos que ha podido conocer al consultar los expedientes relativos a los procedimientos penales incoados contra él, el demandante reprocha a «Europol o a Eurojust» el tratamiento de sus datos personales «desde que fueron interceptados por primera vez en 2019» hasta el 24 de junio de 2022, fecha en la que Eurojust remitió a las autoridades serbias un correo electrónico de las autoridades francesas que contenía un enlace a un sitio de descarga seguro que incluía, en particular, algunas de sus conversaciones procedentes del servicio Sky ECC (anterior apartado 16).

50

En este sentido, el demandante sostiene que Europol «prestó su apoyo al ejercicio de competencias de investigación en el territorio de numerosos países, dentro y fuera de la Unión». Además, alega que Europol organizó una reunión con las autoridades belgas, francesas y neerlandesas el 27 de mayo de 2019, en la que se compartieron los metadatos de más de nueve mil mensajes procedentes de usuarios del servicio Sky ECC o destinados a estos. Sostiene que, en junio de 2019, los datos obtenidos por las autoridades francesas en operaciones de interceptación fueron compartidos con las autoridades belgas y neerlandesas a través de Europol mediante su sistema de intercambio de información seguro denominado «Secure Information Exchange Network Application» (SIENA).

51

Además, aduce que Europol y Eurojust se vieron implicadas, a partir de diciembre de 2020, en una operación de recogida de las claves de descifrado de los mensajes obtenidos desde mediados de 2019, en la conservación, descifrado y transferencia de dichos mensajes, así como, en marzo de 2021, en una «operación en la que Sky ECC fue “desmantelada”». El demandante sostiene asimismo que Europol y Eurojust participaron, los días 23 y 24 de julio de 2020, en un grupo de trabajo técnico del ECI en el que se descubrieron nuevos mensajes cifrados y en las reuniones que se celebraron los días 28 de agosto de 2019, 7 de septiembre de 2020 y 11 de febrero de 2021.

52

En relación, más concretamente, con los procedimientos que se siguen en Serbia, el demandante alega que, el 6 de junio de 2022, las autoridades serbias enviaron a Eurojust una solicitud de cooperación que motivó que, el 24 de junio siguiente, las autoridades francesas transmitieran a las autoridades serbias, a través de Eurojust, datos procedentes del servicio Sky ECC que le concernían (en lo sucesivo, «transmisión de 24 de junio de 2022»). Además, en junio de 2022, Europol informó a las autoridades serbias de que sus análisis identificaban al demandante tras un «identificador Sky ECC» concreto. Por último, según el demandante, hubo otros contactos entre las autoridades serbias y Europol en relación con el grupo delictivo al que se presume que pertenece.

53

Europol y Eurojust niegan haber participado en algunos de los hechos mencionados por el demandante.

54

En sus escritos, Europol indica que el ECI dio lugar a que ella y los tres Estados miembros interesados compartieran los datos interceptados por las autoridades francesas con la finalidad de analizarlos y compartir los resultados de sus análisis.

55

En este sentido, Europol reconoce haber sido el destinatario de los metadatos relativos a más de nueve mil mensajes intercambiados en la reunión de 27 de mayo de 2019, mencionada por el demandante en el anterior apartado 50.

56

Europol reconoce asimismo haber recibido efectivamente, a partir del 18 de marzo de 2021, datos procedentes del servicio Sky ECC transmitidos por las autoridades francesas y haberlos analizado, para posteriormente transmitir el resultado de sus análisis a las autoridades belgas, francesas y neerlandesas, en particular en forma de análisis específicos sobre determinados países.

57

Por otra parte, Europol no niega haber participado en una reunión el 28 de agosto de 2019 en la que se sacaron a colación las consecuencias de un eventual desmantelamiento de la infraestructura del servicio Sky ECC y en un grupo de trabajo técnico del ECI organizado los días 23 y 24 de julio de 2020 en el que se descubrieron nuevos mensajes cifrados.

58

Por lo tanto, habida cuenta de que Europol no los niega e incluso los confirma, los hechos mencionados en los anteriores apartados 54 a 57 deben considerarse probados y serle imputables.

59

En cambio, en primer término, el demandante no aporta ninguna prueba ni tan siquiera un principio de prueba capaz de demostrar que Europol participara o contribuyera a las operaciones de interceptación de los datos que entraban y salían de los servidores del servicio Sky ECC ubicados en Francia.

60

Al margen de que Europol niegue tales hechos, la afirmación del demandante no se ve corroborada ni por el hecho de que Europol hubiera podido promover la reunión de 27 de mayo de 2019, o participar ella, ni por la comisión rogatoria que las autoridades serbias enviaron a sus homólogos franceses, aportada como anexo A.17 y referida al «análisis de los datos obtenidos por Europol a partir de la aplicación Sky ECC». Por el contrario, el anexo A.6 pretende demostrar que las operaciones de interceptación solo las efectuaron las autoridades francesas, lo que también confirma el anexo A.14.

61

En segundo término, aunque Europol no niega haber participado en las reuniones de los días 7 de septiembre de 2020 y 11 de febrero de 2021, es preciso señalar que el documento del rechtbank van eerste aanleg te Antwerpen (Tribunal de Primera Instancia de Amberes, Bélgica), que acompaña a la demanda en apoyo de la alegación del demandante, menciona ciertamente una reunión que iba a celebrarse el 7 de septiembre de 2020, pero solo precisa que las autoridades francesas y neerlandesas, y no Europol, participarían supuestamente en ella. De igual forma, la petición de asistencia técnica de la cour d’appel de Paris (Tribunal de Apelación de París, Francia), que acompaña a la demanda en apoyo de la alegación del demandante, no menciona ninguna reunión celebrada el 11 de febrero de 2021, y tampoco menciona a Europol.

62

En tercer término, el demandante no aporta ni la prueba ni tan siquiera un principio de prueba capaz de demostrar que Europol participara en la «jornada de acción» [del mes] de marzo de 2021 en la que Sky ECC fue “desmantelada”». Es cierto que la transcripción de la rueda de prensa del Ministerio Fiscal belga, a la que se refiere la demanda, versa sobre esta «jornada de acción», pero no menciona a Europol. Asimismo, el intercambio de correos electrónicos, que acompaña a la demanda, se limita a dejar constancia de transferencias de datos procedentes del servicio Sky ECC a través de Europol, sin demostrar que esta estuviera implicada en la citada «jornada de acción».

63

En cuarto término, el demandante no aporta ninguna prueba ni tan siquiera un principio de prueba capaz de demostrar que Europol transmitiera a las autoridades serbias la información según la cual resultaba ser la persona que se encuentra tras el identificador «DFKNBQ» del servicio Sky ECC.

64

En efecto, el anexo A.17, en el que se basa el demandante y que relaciona efectivamente su nombre con el identificador «DFKNBQ» del servicio Sky ECC y con el nombre de usuario «CHE GUEVARA», resulta ser una solicitud presentada por la Fiscalía para la Delincuencia Organizada de la República de Serbia y dirigida a obtener de las autoridades francesas la comunicación de mensajes de voz, mensajes de texto, vídeos y fotografías correspondientes, en particular, al demandante e incluidos en los servidores del servicio Sky ECC incautados por estas últimas autoridades, sin que se mencione en ningún momento a Europol.

65

Además, la Fiscalía serbia indica en dicho anexo que, «a través de [sus] acciones y de una actuación posterior del ministro del Interior de la República de Serbia, [han sido] informados de que, al analizar los datos obtenidos por Europol a partir de la aplicación Sky ECC, [el usuario del] PIN DFKNBQ [y del] nombre de usuario CHE GUEVARA [era BW]», lo cual sugiere que esta información no la facilitó Europol.

66

En quinto término, el demandante no aporta ninguna prueba ni tan siquiera un principio de prueba capaz de demostrar que Europol estuviera implicada, el 24 de junio de 2022, en la puesta a disposición de las autoridades serbias, por parte de las autoridades francesas, de los documentos y la información procedente del servicio Sky ECC que le concernían.

67

Como se desprende del anexo A.15, esos documentos y esa información, que fueron transmitidos por Eurojust a las autoridades serbias en respuesta a una solicitud de asistencia judicial de estas, fueron remitidos mediante un correo electrónico que las autoridades francesas enviaron a Eurojust y que contenía enlaces a un sitio de descarga seguro.

68

Por consiguiente, en el presente recurso, el demandante no puede invocar frente a Europol los hechos no probados a los que se hace referencia en los anteriores apartados 59 a 67.

69

A la vista de lo anterior y teniendo en cuenta la afirmación del demandante reproducida en el acta de la vista, según la cual el último acto reprochado a Europol y a Eurojust tuvo lugar el 24 de junio de 2022, procede concluir que solo han resultado probados y pueden servir de apoyo a las pretensiones del demandante dirigidas contra Europol los hechos mencionados en los anteriores apartados 55 a 57 previos a esa fecha —a saber, la recepción, el tratamiento y el intercambio, a partir del 27 de mayo de 2019, de los datos procedentes del servicio Sky ECC interceptados por las autoridades francesas y la participación en la reunión de 28 de agosto de 2019 y en el grupo de trabajo de los días 23 y 24 de julio de 2020—.

70

En sus escritos, Eurojust indica haberse visto implicada en los hechos a los que se refiere el demandante en dos aspectos.

71

Por un lado, Eurojust precisa que, en el marco del ECI relativo al servicio Sky ECC, prestó apoyo y asesoramiento acerca de las posibilidades de cooperación judicial y organizó varias reuniones de coordinación entre las autoridades belgas, francesas y neerlandesas y Europol. Estas reuniones, celebradas los días 25 de abril de 2019, 7 de septiembre de 2020 y 11 de febrero de 2021, llevaron a las autoridades de dichos Estados miembros a presentar información actualizada sobre la evolución de sus investigaciones relativas al servicio Sky ECC y a debatir sobre la mejor manera de avanzar en ellas.

72

Por otro lado, en el marco de las solicitudes de apoyo presentadas por las autoridades serbias en relación con las investigaciones penales iniciadas en Serbia contra una organización criminal —de la que supuestamente forma parte el demandante— implicada en un tráfico de estupefacientes que atraviesa, en particular, Róterdam, Eurojust precisa, primero, haber coordinado las investigaciones neerlandesas y serbias y, segundo, haber facilitado la transmisión y la ejecución de las solicitudes de asistencia judicial enviadas por las autoridades serbias a las autoridades francesas.

73

Por lo que se refiere a la cooperación entre las autoridades neerlandesas y serbias, Eurojust confirma la celebración de tres reuniones de coordinación que contaron con la participación de dichas autoridades los días 23 de mayo, 16 de noviembre y 8 de diciembre de 2022, con ocasión de las cuales intercambiaron información sobre el alcance y los progresos de sus investigaciones respectivas, así como sobre sus necesidades respectivas en materia de cooperación judicial, a saber, alcanzar un acuerdo sobre cómo seguir cooperando en el intercambio de información y de pruebas y coordinar sus estrategias procesales para evitar los conflictos de jurisdicción y las actuaciones judiciales paralelas contra los mismos sospechosos por los mismos hechos.

74

Eurojust afirma también haber facilitado la transmisión de determinadas solicitudes de asistencia judicial entre la República de Serbia y el Reino de los Países Bajos, en particular la de 7 de octubre de 2022, o incluso haber sido informada, por un lado, de que las autoridades neerlandesas habían organizado una reunión con las autoridades serbias, el 3 de mayo de 2023, con objeto de comunicar a estas últimas que se contemplaba detener al demandante y, por otro lado, de que, en esa reunión, las citadas autoridades habían llegado a un acuerdo provisional sobre una estrategia coordinada para procesarlo por el decomiso de 4 de agosto de 2020, con la finalidad de evitar su procesamiento en ambos Estados por los mismos hechos.

75

Por lo que respecta a la cooperación entre las autoridades francesas y serbias, Eurojust precisa que, en respuesta a cuatro solicitudes de asistencia judicial, transmitió al magistrado de enlace serbio, por correo electrónico, un hipervínculo, con una validez temporal limitada, a un sitio de descarga seguro al que se accedía mediante una contraseña facilitada por las autoridades francesas y con el que estas últimas ponían a disposición exclusivamente de las autoridades serbias la información relativa a determinadas conversaciones procedentes del servicio Sky ECC vinculadas con credenciales específicamente determinadas, en particular información del demandante.

76

Además, de las pruebas aportadas por el demandante se desprende que Eurojust reconoce haber efectuado la transmisión de 24 de junio de 2022 mencionada en el anterior apartado 75.

77

En cambio, en primer término, el demandante no aporta ninguna prueba ni tan siquiera un principio de prueba capaz de demostrar que Eurojust fuera invitada o asistiera a la reunión de 27 de mayo de 2019, a la que se refiere el anterior apartado 55, y que, en este contexto, hubiera sido destinataria de los metadatos relativos a los nueve mil mensajes intercambiados en dicha ocasión.

78

En efecto, en ninguno de los cinco anexos citados por el demandante en apoyo de su alegación se menciona a Eurojust, salvo de forma genérica y sin relación directa con la reunión de 27 de mayo de 2019.

79

En segundo término, el demandante no aporta ninguna prueba ni tan siquiera un principio de prueba capaz de demostrar que Eurojust asistiera al grupo de trabajo técnico de los días 23 y 24 de julio de 2020 mencionado en el anterior apartado 51.

80

Aparte del hecho de que el propio demandante admita «desconocer si estuvieron presentes colaboradores de […] Eurojust» en ese grupo de trabajo, Eurojust sostiene no haber participado en él, y el documento en el que se basa el demandante no suscita la menor duda a este respecto.

81

En tercer término, el demandante no aporta ninguna prueba ni tan siquiera un principio de prueba capaz de demostrar que Eurojust participase en el intercambio de todos los datos procedentes del servicio Sky ECC o en paquetes nacionales de datos de dicho servicio a través de SIENA, pues no se hace mención alguna de Eurojust en el documento en el que se basa el demandante.

82

Por lo que respecta, más concretamente, a la supuesta participación de Eurojust en un intercambio de metadatos en febrero de 2022, el hecho de que, mediante el correo electrónico adjuntado por el demandante a la demanda, un experto nacional destinado en Eurojust informara a un fiscal del Land Hessen (estado federado de Hesse, Alemania) de que «las autoridades neerlandesas transmitirán a Europol, a finales de febrero de 2022, los datos geoespaciales del proveedor neerlandés con una autorización general de uso» no permite inferir que esos metadatos hubieran sido comunicados también a Eurojust.

83

En cuarto término, por idénticos motivos a los mencionados a propósito de Europol en los anteriores apartados 64 y 65, el demandante no aporta ninguna prueba ni tan siquiera un principio de prueba capaz de demostrar que Eurojust hubiese transmitido a las autoridades serbias la información según la cual resultaba ser la persona que se encuentra tras el identificador «DFKNBQ» del servicio Sky ECC.

84

Por consiguiente, en el presente recurso, el demandante no puede invocar frente a Eurojust los hechos no probados a los que se hace referencia en los anteriores apartados 77 a 83.

85

A la vista de lo anterior y teniendo en cuenta la afirmación del demandante reproducida en el acta de la vista, según la cual el último acto reprochado a Eurojust y a Europol tuvo lugar el 24 de junio de 2022, procede concluir que solo han resultado probados y pueden servir de apoyo a las pretensiones del demandante dirigidas contra Eurojust los hechos mencionados en los anteriores apartados 71 a 76 previos a esa fecha —a saber, la participación de Eurojust en las reuniones de coordinación de las autoridades belgas, francesas y neerlandesas y de Europol de los días 25 de abril de 2019, 7 de septiembre de 2020 y 11 de febrero de 2021, su participación en la reunión de coordinación de las investigaciones neerlandesa y serbia de 23 de mayo de 2022, y su comunicación a las autoridades serbias, el 24 de junio de 2022, del correo electrónico de las autoridades francesas que contenía un enlace a un sitio de descarga de datos personales del demandante—.

86

Habida cuenta de los anteriores apartados 55 a 57 y 71 a 76, debe señalarse que el demandante ha demostrado los hechos siguientes.

87

Primero, el 27 de mayo de 2019, las autoridades belgas, francesas y neerlandesas participaron en una reunión en la que los metadatos de más de nueve mil mensajes procedentes del servicio Sky ECC fueron intercambiados entre estos Estados miembros y Europol.

88

Segundo, a partir de junio de 2019, la República Francesa transmitió a Europol los datos procedentes del servicio Sky ECC, datos que esta trató después y cuyos resultados transmitió posteriormente a las autoridades belgas, francesas y neerlandesas.

89

Tercero, el 28 de agosto de 2019, las autoridades belgas, francesas y neerlandesas participaron en una reunión en la que se mencionaron las consecuencias de un eventual desmantelamiento de la infraestructura del servicio Sky ECC, así como, el 23 y 24 de julio de 2020, en un grupo de trabajo técnico del ECI en el que se descubrieron nuevos mensajes cifrados.

90

Cuarto, los días 25 de abril de 2019, 7 de septiembre de 2020 y 11 de febrero de 2021, las autoridades belgas, francesas y neerlandesas participaron en unas reuniones de coordinación en las que presentaron información actualizada sobre la evolución de sus investigaciones con respecto al servicio Sky ECC y discutieron acerca de la mejor manera de avanzar en ellas.

91

Quinto, en la reunión de 23 de mayo de 2022, las autoridades neerlandesas transmitieron a las autoridades serbias, a través de Eurojust, información sobre el alcance y los progresos de sus investigaciones respectivas, así como sobre sus necesidades en materia de cooperación judicial.

92

Sexto, el 24 de junio de 2022, las autoridades francesas transmitieron a las autoridades serbias, a través de Eurojust, un enlace a un sitio de descarga seguro que ponía a disposición de este tercer país la información relativa a determinadas conversaciones procedentes del servicio Sky ECC vinculadas con credenciales específicamente determinadas, en particular información del demandante.

93

No obstante, la facultad del demandante de invocar tales hechos, imputables a Estados miembros, en el marco de unas pretensiones de indemnización dirigidas contra Europol sobre la base del artículo 50, apartado 1, del Reglamento 2016/794, supone que esos hechos se han producido en el marco de una cooperación con arreglo al Reglamento 2016/794 (véase, en este sentido, la sentencia de 5 de marzo de 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, apartados 62 y 63) y se refieren a sus datos personales.

94

Como se ha señalado en el anterior apartado 39, la cooperación relativa al servicio Sky ECC comenzó en mayo de 2019 y los elementos aportados por Eurojust y Europol no permiten inferir que los hechos o comportamientos imputables a las autoridades belgas, francesas o neerlandesas mencionados en los anteriores apartados 87 a 92 no tuvieran relación con esa cooperación.

95

En cambio, el demandante no aporta ninguna prueba o principio de prueba capaz de demostrar que el intercambio de los metadatos de más de nueve mil mensajes que tuvo lugar el 27 de mayo de 2019, las reuniones de los días 25 de abril y 28 de agosto de 2019, 7 de septiembre de 2020, 11 de febrero de 2021 y 23 de mayo de 2022 o incluso el grupo de trabajo técnico del ECI de los días 23 y 24 de julio de 2020 condujeron a que las autoridades belgas, francesas o neerlandesas intercambiaran datos personales que le concernían, en el sentido del artículo 50, apartado 1, del Reglamento 2016/794.

96

Por consiguiente, el Tribunal General no es competente para conocer, en el marco de la pretensión indemnizatoria dirigida contra Europol y basada en el artículo 50, apartado 1, del Reglamento 2016/794, de las alegaciones basadas en los hechos o actos de las autoridades belgas, francesas o neerlandesas a los que se refiere el anterior apartado 95.

97

En cambio, las pruebas o principios de prueba aportados por el demandante permiten demostrar que, en el período comprendido entre el 27 de mayo de 2019 y el 24 de junio de 2022, ciertos datos personales que le concernían procedentes del servicio Sky ECC fueron tratados, primero, por las autoridades francesas en el marco de la transmisión a Europol de los datos interceptados en los servidores del servicio Sky ECC; segundo, por las autoridades belgas, francesas y neerlandesas en el marco de la recepción de esos datos por parte de Europol antes o después del tratamiento, y, tercero, cuando, el 24 de junio de 2022, las autoridades francesas los transmitieron, a través de Eurojust, a las autoridades serbias.

98

En consecuencia, únicamente se examinarán los hechos y comportamientos contemplados en el anterior apartado 97 en el marco de la parte de la pretensión indemnizatoria dirigida contra Europol y basada en el artículo 50, apartado 1, del Reglamento 2016/794.

99

Habida cuenta de las pretensiones planteadas por el demandante, recordadas en los anteriores apartados 14 a 19, y a pesar de que formuló los mismos cuatro motivos en apoyo de sus dos pretensiones e invocó los mismos hechos en su apoyo, procede examinar sucesivamente la pretensión fundada en el artículo 263 TFUE y relativa a la ilegalidad de determinados actos o comportamientos de Europol y de Eurojust que tuvieron lugar en el marco de la «operación Sky ECC» y, después, la pretensión indemnizatoria mediante la que solicita la concesión de una indemnización de daños y perjuicios en virtud de los artículos 268 TFUE y 340 TFUE, del artículo 50 del Reglamento 2016/794 y del artículo 46 del Reglamento 2018/1727.

100

De entrada, se debe señalar que Europol y Eurojust formulan, conjunta o separadamente, varias causas de inadmisión, basadas, en primer término, en la inadmisibilidad del recurso en su totalidad, como consecuencia de la utilización de un procedimiento inadecuado; en segundo término, en la extemporaneidad del recurso en lo que respecta a las pretensiones de anulación; en tercer término, en que los tratamientos de los datos procedentes del servicio Sky ECC y relativos al demandante no son actos impugnables, y, en cuarto término, en la inadmisibilidad de las pretensiones indemnizatorias, debido a que el demandante no ha demostrado de modo suficiente en Derecho los perjuicios alegados y ha eludido las vías legales.

101

A este respecto, procede recordar que el juez de la Unión está facultado para apreciar, en función de las circunstancias de cada caso, si la buena administración de la justicia justifica que se desestime el recurso en cuanto al fondo, sin pronunciarse previamente sobre su admisibilidad (véase, en este sentido, la sentencia de 26 de febrero de 2002, Consejo/Boehringer, C‑23/00 P, EU:C:2002:118, apartados 51 y 52).

102

En el caso de autos, el Tribunal General considera que, en aras de la economía procesal, procede examinar tan solo la causa de inadmisión basada en que los tratamientos de los datos procedentes del servicio Sky ECC y relativos al demandante no son actos impugnables, sin pronunciarse previamente sobre las demás causas de inadmisión, ya que, en cualquier caso y por las razones que se exponen a continuación, el recurso es infundado.

103

En apoyo de la primera pretensión con arreglo al artículo 263 TFUE, el demandante aduce, en particular, la ilegalidad de determinados actos o comportamientos de Europol y de Eurojust en el marco de la «operación Sky ECC», sobre la base del artículo 277 TFUE.

104

El artículo 263 TFUE permite impugnar la legalidad de los actos adoptados en particular por las agencias de la Unión, siempre que se cumplan determinados requisitos de admisibilidad.

105

Europol y Eurojust alegan que los tratamientos de los datos procedentes del servicio Sky ECC relativos al demandante no son actos impugnables, al no afectar a su situación jurídica.

106

Como se desprende del anterior apartado 58, el demandante reprocha a Europol la recepción, el tratamiento y el intercambio, a partir del 27 de mayo de 2019, de los datos del servicio Sky ECC que le concernían, que fueron interceptados por las autoridades francesas, y su participación en la reunión de 28 de agosto de 2019 y en el grupo de trabajo de los días 23 y 24 de julio de 2020.

107

Como se desprende del anterior apartado 85, el demandante reprocha a Eurojust su participación en las reuniones de coordinación entre las autoridades belgas, francesas y neerlandesas y Europol de los días 25 de abril de 2019, 7 de septiembre de 2020 y 11 de febrero de 2021, su participación en la reunión de coordinación de las investigaciones neerlandesa y serbia de 23 de mayo de 2022 y la transmisión de 24 de junio de 2022.

108

Con excepción de la transmisión de 24 de junio de 2022, todos los actos o comportamientos mencionados en los anteriores apartados 106 y 107 son actos o comportamientos de trámite, que no pueden producir efectos jurídicos obligatorios capaces de afectar a los intereses del demandante modificando de forma caracterizada la situación jurídica de este, en el sentido de la reiterada jurisprudencia del Tribunal de Justicia (véanse, en este sentido, las sentencias de11 de noviembre de 1981, IBM/Comisión, 60/81, EU:C:1981:264, apartado 9, y de 30 de noviembre de 2023, Sistem ecologica/Comisión, C‑787/22 P, no publicada, EU:C:2023:940, apartado 51).

109

Por lo que respecta a la participación de Europol y de Eurojust en las reuniones o grupos de trabajo de que se trata, suponiendo que esas reuniones y grupos hayan dado lugar al tratamiento de datos personales del demandante, es preciso advertir que solo constituyen etapas de investigaciones penales en curso y que se limitan a crear las condiciones para el desarrollo posterior de estas, sin modificar los derechos del demandante ni vulnerar ninguno de sus derechos procesales.

110

Así, la participación en esas reuniones o grupos de trabajo no constituye el último término de un procedimiento especial distinto del que debe permitir a los tribunales penales de los Estados miembros interesados pronunciarse, en su caso, sobre la responsabilidad penal del demandante (véanse, en este sentido, la sentencia de 11 de noviembre de 1981, IBM/Comisión, 60/81, EU:C:1981:264, apartado 11, y el auto de 9 de septiembre de 2020, IMG/Comisión, T‑645/19, no publicado, EU:T:2020:388, apartado 48 y jurisprudencia citada).

111

En lo atinente a las transmisiones a las autoridades de los Estados miembros —que son el Reino de Bélgica, la República Francesa y el Reino de los Países Bajos—, por parte de Europol, de datos personales del demandante procedentes del servicio Sky ECC, dichas transmisiones no se diferencian de las transmisiones a los Estados miembros, por parte de la Oficina Europea de Lucha contra el Fraude (OLAF), de sus informes finales y de información, que, según jurisprudencia reiterada, no son actos impugnables (véanse, en este sentido, las sentencias de 30 de noviembre de 2023, Sistem ecologica/Comisión, C‑787/22 P, no publicada, EU:C:2023:940, apartados 55, 56, 60, 66 y 67; de 12 de septiembre de 2007, Nikolaou/Comisión, T‑259/03, no publicada, EU:T:2007:254, apartados 244 y 245 y jurisprudencia citada, y de 20 de mayo de 2010, Comisión/Violetti y otros, T‑261/09 P, EU:T:2010:215, apartado 47 y jurisprudencia citada).

112

Por consiguiente, sin que proceda determinar si, desconociendo la forma que revisten los diversos comportamientos reprochados por el demandante a Europol y a Eurojust, la participación de estas en las reuniones o en el grupo de trabajo mencionados en los anteriores apartados 106 y 107 y las transmisiones por parte de Europol de datos personales del demandante procedentes del servicio Sky ECC a las autoridades belgas, francesas y neerlandesas pueden ser calificadas de «actos» en el sentido del artículo 263 TFUE, ninguna de ellas presenta, en cualquier caso, carácter impugnable.

113

En cambio, por lo que respecta a la transmisión de 24 de junio de 2022, debe reconocérsele el carácter de acto impugnable.

114

Es cierto que de la jurisprudencia recordada en el anterior apartado 111 se desprende que la transmisión por la OLAF de informes finales y de información a los Estados miembros no constituye un acto impugnable.

115

No obstante, tanto el Tribunal de Justicia como el Tribunal General han tenido ocasión de considerar, para descartar el carácter impugnable de las transmisiones de la OLAF, que la parte demandante dispusiera de otras vías para controlar la legalidad de esas decisiones de transmisión (véase la sentencia de 20 de mayo de 2010, Comisión/Violetti y otros, T‑261/09 P, EU:T:2010:215, apartado 48 y jurisprudencia citada), incluida la del procedimiento prejudicial [véase, en este sentido, el auto de 19 de abril de 2005, Tillack/Comisión, C‑521/04 P(R), EU:C:2005:240, apartado 39].

116

Pues bien, la transmisión de 24 de junio de 2022 tuvo lugar entre una agencia de la Unión y las autoridades no de un Estado miembro, sino de un país tercero, en este caso la República de Serbia.

117

Así, al no poder impugnarse en el presente recurso, la legalidad de la transmisión de 24 de junio de 2022 a la luz del Derecho de la Unión ya no podrá ser objeto de impugnación y los datos personales que contiene podrán considerarse legalmente transmitidos a las autoridades serbias, sin que el demandante pueda obtener posteriormente de los tribunales de ese país tercero, bien una apreciación de la validez de dicha transmisión con arreglo al Derecho de la Unión, bien el planteamiento al Tribunal de Justicia de una cuestión prejudicial para la apreciación de su validez.

118

En este sentido, la transmisión de 24 de junio de 2022 constituye el último término de un procedimiento especial mediante el cual Eurojust transmite a las autoridades de un país tercero que lo han solicitado datos personales de una persona identificada.

119

Además, solo el reconocimiento del carácter impugnable de la transmisión de 24 de junio de 2022 puede garantizar el control efectivo, por parte de una autoridad judicial u otro órgano independiente, de la transferencia de datos personales interceptados y de su uso para fines distintos de los del procedimiento penal para el que fueron inicialmente recabados (véase, en este sentido, TEDH, sentencia de 1 de abril de 2025, Ships Waste Oil Collector B. V. y otros c. Países Bajos, CE:ECHR:2025:0401JUD000279916, §§ 160 y 183 y jurisprudencia citada).

120

A este respecto, resulta indiferente la circunstancia, mencionada por Eurojust, de que el demandante podría interponer un recurso ante los tribunales franceses o de que pueda acudir al Tribunal Europeo de Derechos Humanos (en lo sucesivo, «TEDH») tras una eventual condena por los tribunales penales serbios.

121

Por un lado, los tribunales franceses no pueden conocer de un recurso de anulación dirigido contra el acto de una agencia de la Unión.

122

Por otro lado, al no haberse adherido la Unión al Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950 (en lo sucesivo, «CEDH»), el TEDH no puede declarar un incumplimiento de dicho Convenio por parte de la Unión, especialmente en el marco de un recurso interpuesto contra un país tercero.

123

Habida cuenta de lo anterior, procede estimar la causa de inadmisión formulada por Europol y Eurojust y constatar el carácter no impugnable de los actos o comportamientos criticados por el demandante, salvo en lo que respecta a la transmisión de 24 de junio de 2022.

124

Es preciso señalar que el demandante no acredita las razones por las que considera que la transmisión de 24 de junio de 2022 dio lugar a un tratamiento ilícito de sus datos personales.

125

En primer lugar, el artículo 45, apartado 2, letra b), del Reglamento 2018/1727 dispone que de la exactitud de tales datos personales operativos es responsable el Estado miembro que facilitó los datos a Eurojust cuando, como en el caso de autos, los datos presentados no se han modificado durante el tratamiento de los datos por Eurojust, extremo que el demandante no ha cuestionado.

126

En segundo lugar, por lo que respecta a la puesta a disposición de las autoridades serbias, por parte de las autoridades francesas y a través de Eurojust, de las conversaciones del demandante, se ha de señalar que, por un lado, ningún elemento permite considerar que ese tratamiento de datos personales no fuera leal, lícito y realizado con fines determinados, explícitos y legítimos, en el sentido del artículo 71, apartado 1, letras a) y b), del Reglamento 2018/1725.

127

En primer término, ese tratamiento entraba en el cumplimiento de las funciones de Eurojust y era necesario para cumplirlas. En segundo término, de ningún elemento de los autos se desprende que los datos personales del demandante hayan sido tratados para fines distintos de dichas funciones. En tercer término, el referido tratamiento se efectuó a petición de las autoridades francesas y ejecutando solicitudes de asistencia judicial previas. En cuarto término, la transferencia de los datos personales del demandante a las autoridades serbias tenía como fundamento el artículo 56, apartado 2, letra b), del Reglamento 2018/1727 y el acuerdo de cooperación que permite el intercambio de datos personales operativos celebrado entre Eurojust y la República de Serbia el 12 de noviembre de 2019.

128

Por otro lado, la puesta a disposición de las autoridades serbias, por parte de las autoridades francesas y a través de Eurojust, de las conversaciones del demandante también fue proporcionada y suficientemente segura, en el sentido del artículo 71, apartado 1, letras c), d) y e), del Reglamento 2018/1725. En efecto, adoptó la forma de la puesta a disposición de un enlace a un sitio de descarga seguro accesible mediante una contraseña facilitada por las autoridades francesas, y nada permite cuestionar la afirmación de Eurojust de que no accedió a los datos de que se trata ni los descargó, almacenó o copió en sus propios sistemas informáticos.

129

Por otra parte, por lo que respecta a la alegación del demandante basada en la infracción de los artículos 47 y 48 de la Carta, así como del artículo 6 del CEDH y de los artículos 14 y 15 del Pacto, el referido demandante no explica de qué modo la transmisión de 24 de junio de 2022 infringió, el día de la transmisión, dichas disposiciones, en particular al no existir ninguna resolución de los tribunales neerlandés o serbio que declarase en esa fecha su culpabilidad sobre la base de los datos transmitidos.

130

Por consiguiente, procede desestimar por infundadas las pretensiones de anulación de la transmisión de 24 de junio de 2022.

131

Con arreglo al artículo 277 TFUE, aunque haya expirado el plazo previsto en el párrafo sexto del artículo 263 TFUE, cualquiera de las partes de un litigio en el que se cuestione un acto de alcance general adoptado por una institución, órgano u organismo de la Unión podrá recurrir ante el juez de la Unión alegando la inaplicabilidad de dicho acto por los motivos previstos en el párrafo segundo del artículo 263 TFUE.

132

Pues bien, ninguno de los actos o comportamientos reprochados por el demandante a Europol o a Eurojust presenta las características de un acto de alcance general.

133

En consecuencia, procede desestimar el motivo basado en el artículo 277 TFUE.

134

Para que se genere la responsabilidad extracontractual de la Unión, en virtud del artículo 340 TFUE, párrafo segundo, es necesario que concurra un conjunto de requisitos, a saber, la existencia de una infracción suficientemente caracterizada de una norma jurídica que tenga por objeto conferir derechos a los particulares, la realidad del daño y la existencia de una relación de causalidad entre el incumplimiento de la obligación que incumbe al autor del acto y el daño sufrido por los perjudicados (véase la sentencia de 5 de marzo de 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, apartado 117 y jurisprudencia citada).

135

En el supuesto de que no se cumpla alguno de esos requisitos, deberá desestimarse el recurso en su totalidad, sin que sea necesario examinar los demás requisitos de la responsabilidad extracontractual de la Unión. Además, el juez de la Unión no está obligado a examinar estos requisitos en un orden determinado (véase la sentencia de 13 de diciembre de 2018, Unión Europea/Kendrion, C‑150/17 P, EU:C:2018:1014, apartado 118 y jurisprudencia citada).

136

No obstante, cuando el legislador de la Unión ha establecido un régimen excepcional de responsabilidad solidaria entre una agencia de la Unión y uno o varios Estados miembros, el Tribunal de Justicia ha declarado que, en el ámbito de ese régimen excepcional, la generación de la responsabilidad de esa agencia no exige demostrar que el daño cuya reparación se solicita sea imputable a dicha agencia, siempre que lo sea al menos a alguno de esos Estados miembros (véase, en este sentido, la sentencia de 5 de marzo de 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, apartados 125 y 132).

137

En estas circunstancias, procede examinar por separado los actos o comportamientos de los que Europol —única sometida a ese régimen excepcional de responsabilidad solidaria con los Estados miembros— y Eurojust pueden ser respectivamente consideradas responsables.

138

Mediante su primera alegación de perjuicio, presentada en el marco de su primer motivo, el demandante reprocha a Europol y a los Estados miembros interesados haber tratado los datos procedentes del servicio Sky ECC —incluidos los suyos— de manera ilícita y desleal y haber infringido por ello, en particular, el artículo 28, apartado 1, letra a), del Reglamento 2016/794.

139

Sostiene que, por su carácter indiferenciado, el tratamiento inicial de los datos procedentes del servicio Sky ECC no era ni necesario, en el sentido del artículo 18, apartado 1, del Reglamento 2016/794, ni proporcionado, en el sentido de su artículo 28, apartado 1, letra c), al no existir presunciones suficientes de que todos los usuarios del servicio Sky ECC estuvieran implicados en unos hechos sometidos al Derecho penal.

140

Además, el demandante aduce que el tratamiento posterior de los datos procedentes del servicio Sky ECC infringió el artículo 28, apartado 1, letra b), del Reglamento 2016/794, en la medida en que versaba sobre unos datos que no estaban relacionados exclusivamente con infracciones penales y que habían sido recabados de manera indiferenciada y sin fines determinados, explícitos y legítimos.

141

Habida cuenta de estos argumentos, la primera alegación de perjuicio debe interpretarse en el sentido de que alude a tratamientos incorrectos de datos tanto por parte de Europol como por parte del Reino de Bélgica, de la República Francesa y del Reino de los Países Bajos, estos últimos sometidos al régimen excepcional de responsabilidad solidaria contemplado en el artículo 50, apartado 1, del Reglamento 2016/794.

142

Así pues, para examinar esta primera alegación de perjuicio, procede considerar no solo los actos o comportamientos de Europol, a la luz del régimen de responsabilidad derivado del artículo 49 del Reglamento 2016/794, sino también los de los tres Estados miembros interesados, en vista del régimen excepcional de responsabilidad solidaria contemplado en el artículo 50, apartado 1, de dicho Reglamento.

143

Mediante su segunda alegación de perjuicio, presentada en el marco de su segundo motivo, a pesar de que, en el apartado 68 de la demanda, se haga mención al artículo 28 del Reglamento 2016/794, el demandante aduce, en esencia, únicamente una vulneración del derecho a un proceso equitativo por la imposibilidad de verificar el carácter «utilizable» de los datos procedentes del servicio Sky ECC en los procesos penales nacionales que siguieron a las investigaciones en las que participó Europol.

144

Así pues, en su segundo motivo, el demandante no cuestiona la conformidad a la ley del tratamiento de sus datos personales, en el sentido del artículo 28 del Reglamento 2016/794 —único argumento que cabe a efectos de una impugnación en el ámbito del régimen excepcional de responsabilidad solidaria resultante del artículo 50, apartado 1, de dicho Reglamento—.

145

En estas circunstancias, para examinar esta segunda alegación de perjuicio, se deben considerar únicamente los actos o comportamientos de Europol a la luz del régimen de responsabilidad derivado del artículo 49 del Reglamento 2016/794.

146

Mediante su tercera alegación de perjuicio, formulada en su tercer motivo, el demandante denuncia la existencia de una duplicidad de actuaciones judiciales por los mismos hechos, seguidas en su contra por las autoridades penales neerlandesas y serbias.

147

El demandante sostiene, en esencia, que, en particular, Europol incumplió la exigencia de coordinación óptima del acuerdo ECI, privándole de este modo de la posibilidad de defenderse correctamente e infringiendo los artículos 47 y 48 de la Carta, el artículo 6 del CEDH y los artículos 14 y 15 del Pacto.

148

Si bien es cierto que, en el caso de autos, Europol puso a disposición de las autoridades neerlandesas información que tenía en su poder y que había tratado y que las autoridades francesas transmitieron esa información a las autoridades serbias, no es menos cierto que, mediante su tercera alegación de perjuicio, el demandante no reprocha a Europol un eventual «tratamiento incorrecto de datos» en el sentido del artículo 50, apartado 1, del Reglamento 2016/794, sino únicamente un incumplimiento de las obligaciones que le incumben en virtud del acuerdo ECI.

149

En consecuencia, para examinar esta tercera alegación de perjuicio, procede considerar únicamente los actos o comportamientos de Europol, a la luz del régimen de responsabilidad derivado del artículo 49 del Reglamento 2016/794.

150

Mediante su cuarta alegación de perjuicio, formulada en su cuarto motivo, el demandante aduce un tratamiento disconforme y no suficientemente seguro de sus datos procedentes del servicio Sky ECC por parte de Europol y de Eurojust, como confirmó en respuesta a una pregunta del Tribunal General en la vista.

151

Sus argumentos se basan en el artículo 32 del Reglamento 2016/794 y en los artículos 89, 91 y 92 del Reglamento 2018/1725.

152

Pues bien, para los hechos que alega el demandante —a saber, hechos anteriores al 24 de junio de 2022—, con arreglo al artículo 2 del Reglamento 2018/1725, solo resultaba aplicable a Europol ratione temporis el artículo 32 del Reglamento 2016/794.

153

En estas circunstancias, para examinar esta cuarta alegación de perjuicio, procede considerar únicamente los actos o comportamientos de Europol y solamente a la luz del artículo 32 del Reglamento 2016/794.

154

Como se ha señalado en los anteriores apartados 138 a 142, en su primera alegación de perjuicio, el demandante aduce daños derivados del incorrecto tratamiento de sus datos procedentes del servicio Sky ECC tanto por Europol como por el Reino de Bélgica, la República Francesa y el Reino de los Países Bajos.

155

Según el demandante, los datos procedentes del servicio Sky ECC —incluidos los suyos— fueron objeto de un tratamiento indiferenciado, contrario a los artículos 17, 18, 28 y 38 del Reglamento 2016/794, a los artículos 7, 8, 10 a 12, 51 y 52 de la Carta, al artículo 8 del CEDH y al artículo 17 del Pacto.

156

Aduce el demandante que estos datos fueron tratados inicialmente por los Estados miembros interesados violando los principios de necesidad y proporcionalidad, al no concurrir una presunción fundada de que todos los usuarios del servicio Sky ECC estuvieran implicados en algún hecho penal. Por este motivo, dicha recogida infringe la jurisprudencia del TEDH, que solo excepcionalmente permite la recogida indiferenciada de datos. Asimismo, sostiene que la recogida y el tratamiento de los metadatos solo pueden efectuarse con autorización judicial y en el ámbito de la seguridad nacional o de la lucha contra los delitos graves, lo que no sucede en el caso de autos.

157

Pues bien, para el demandante, de conformidad con el artículo 17, apartado 1, letra a), del Reglamento 2016/794, Europol solo puede tratar datos que los Estados miembros hayan tratado de conformidad con su Derecho nacional, lo que no sucedió en el caso de autos.

158

Según el demandante, con posterioridad, esos datos fueron tratados por Europol sin ninguna finalidad legítima, puesto que algunas de las conversaciones conservadas no tenían relación con ningún delito. Además, fueron tratados de manera desleal e ilícita.

159

En este sentido, el demandante reprocha a Europol haber infringido el punto 32, letras h), i), p) y q), de la Recomendación del Parlamento de 15 de junio de 2023 al Consejo y a la Comisión a raíz del examen de las alegaciones de infracción y de mala administración en la aplicación del Derecho de la Unión en relación con el uso del programa espía de vigilancia Pegasus y otros programas equivalentes [2023/2500 (RSP)], en la medida en que no suprimió los datos no pertinentes, conservó los datos en cuestión más allá de un período determinado y no notificó a las personas espiadas ni a las no afectadas.

160

Sostiene que tales infracciones se ven confirmadas por la reciente condena a Europol por parte del Supervisor Europeo de Protección de Datos (SEPD) en relación con el almacenamiento y la supresión de los conjuntos de datos no categorizados (EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation, Cases 2019‑0370 & 2021‑0699, 21 de diciembre de 2021).

161

Europol arguye que esta alegación de perjuicio carece de fundamento.

162

De entrada, procede señalar que Europol sostiene erróneamente que no puede ser considerada responsable de los actos o comportamientos de los Estados miembros y que el Tribunal General no puede apreciar su legalidad.

163

Si bien es cierto que, en virtud del artículo 276 TFUE, el juez de la Unión no es competente para comprobar la validez o la proporcionalidad de operaciones llevadas a cabo por la policía u otros servicios con funciones de policía de un Estado miembro, ni siquiera en el marco de recursos basados en los artículos 268 TFUE y 340 TFUE (véanse los anteriores apartados 44 a 46), no es menos cierto que, al margen de esas operaciones específicas, el régimen excepcional de responsabilidad solidaria establecido por el artículo 50, apartado 1, del Reglamento 2016/794 conlleva implícita pero forzosamente que Europol pueda ser considerada responsable de actos o comportamientos de los Estados miembros.

164

De ello resulta forzosamente también que, en los recursos indemnizatorios basados en el artículo 50, apartado 1, del Reglamento 2016/794, el Tribunal General está facultado para apreciar la legalidad de los actos o comportamientos de los Estados miembros distintos de aquellos mediante los cuales sus servicios de policía u otros servicios con funciones de policía han recabado los datos de que se trate, ya sea sobre la base del Derecho de la Unión y, en particular, del Reglamento 2016/794 (véase, en este sentido, la sentencia de 5 de marzo de 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, apartado 121), ya sea sobre la base del Derecho nacional del Estado interesado.

165

En primer término, por lo que respecta al tratamiento de los datos recabados por las autoridades francesas, el demandante se limita a indicar que algunos datos fueron tratados pese a no tener relación alguna con ningún delito y que, por ello, su tratamiento infringe el artículo 30, apartado 1, del Reglamento 2016/794, relativo al tratamiento de datos personales de las víctimas de delitos, de los testigos u otras personas que pudieran facilitar información sobre delitos y de los menores de dieciocho años.

166

No obstante, es preciso señalar que el demandante resulta ser una persona mayor de edad que, con arreglo al Derecho nacional del Estado miembro en cuestión, era sospechosa de haber cometido un delito o de haber participado en un delito comprendido en las competencias de Europol, a saber, un delito de tráfico de estupefacientes, contemplado en el artículo 3, apartado 1, del Reglamento 2016/794.

167

Por consiguiente, el demandante no puede invocar válidamente el artículo 30, apartado 1, del Reglamento 2016/794.

168

Por lo demás, el demandante no aporta ningún elemento que permita dudar de que el tratamiento de los datos procedentes del servicio Sky ECC por parte de las autoridades nacionales implicadas, antes de su transmisión a Europol, se efectuó con los fines legítimos para los que habían sido recabados, a saber, la elaboración de análisis estratégicos o temáticos y de análisis operativos, en el sentido del artículo 18, apartado 2, letras b) y c), del Reglamento 2016/794, en el contexto de la ejecución de las decisiones de investigación conjunta mencionadas en el anterior apartado 4 y del ECI.

169

En segundo término, el demandante no aporta ningún elemento capaz de demostrar que las transmisiones a Europol de los datos recabados por las autoridades francesas se realizaron violando los principios contemplados en el artículo 28, apartado 1, del Reglamento 2016/794.

170

En tercer término, por lo que respecta a la actividad de Europol en cuanto a los datos del demandante, nada indica que la recepción, el tratamiento y la posterior transmisión del resultado del análisis de esos datos a los Estados miembros interesados se hubiesen efectuado violando los principios expuestos en el artículo 28, apartado 1, del Reglamento 2016/794.

171

En primer lugar, todas estas operaciones se llevaron a cabo en un marco definido que perseguía unos fines determinados, explícitos y legítimos, a saber, una operación específica relativa al servicio Sky ECC, que tenía como fin, en particular, la identificación, con vistas al ejercicio de acciones penales, de sus usuarios, que se servía además de un ECI que tenía el mismo objetivo y que había sido creado por el Reino de Bélgica, la República Francesa y el Reino de los Países Bajos por medio de un convenio específico que identificaba expresamente sus objetivos y al que estaba asociada Europol (véanse los anteriores apartados 3 a 6).

172

En segundo lugar, nada indica que el tratamiento de los datos del demandante por parte de Europol no fuera adecuado, pertinente y no excesivo con arreglo al objetivo de identificación de los usuarios del servicio Sky ECC, en particular, con vistas a ejercer acciones penales contra ellos.

173

A este respecto, la circunstancia de que Europol pudiera ser destinataria de la decisión del SEPD mencionada en el anterior apartado 160 es indiferente. En efecto, el demandante no sostiene ni, a fortiori, demuestra que sus datos estuvieran comprendidos en el ámbito de aplicación de esa decisión, esto es, los datos no categorizados en poder de Europol.

174

Por el contrario, de los elementos de que dispone el Tribunal General se desprende que los datos del demandante habían sido asociados a una investigación específica relativa al servicio Sky ECC, destinada, en particular, a identificar a sus usuarios (véanse los anteriores apartados 4 a 6), que Europol había relacionado el nombre del demandante con su identificador del servicio Sky ECC y con su nombre de usuario, por lo que pudo identificar sus conversaciones (véanse los anteriores apartados 64 y 65), y que también había constituido paquetes nacionales de datos (véase el anterior apartado 81).

175

En tercer lugar, de los autos no se desprende que los datos relativos al demandante tratados por Europol fueran inexactos ni tampoco que no gozaran de una seguridad adecuada, habida cuenta de que esos datos solo se transmitieron a los Estados o a las agencias directa o indirectamente implicadas en el ECI y únicamente se utilizaron para los procesos penales incoados por el Reino de los Países Bajos y la República de Serbia contra el demandante.

176

En cuarto lugar, nada indica que los datos del demandante, cuyas causas penales seguían pendientes el día en que se interpuso el presente recurso, se hayan conservado durante un período superior al necesario, en particular, para el buen desarrollo de dichas actuaciones.

177

En quinto lugar, el demandante no puede alegar válidamente que no pudo acceder a sus datos, dado que, de conformidad con el considerando 41 del Reglamento 2016/794 —al que hay que reconocer un importante valor interpretativo— (véase, en este sentido, la sentencia de 5 de marzo de 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, apartado 59), Europol puede denegar el acceso a los datos personales de una persona para desempeñar adecuadamente sus tareas, proteger la seguridad y el orden público, prevenir delitos o garantizar que una investigación nacional no se vea comprometida.

178

En cuarto término, de los elementos puestos a disposición del Tribunal General no se desprende en modo alguno que Europol violara los principios relativos al tratamiento de datos personales en las reuniones de los días 27 de mayo y 28 de agosto de 2019 ni tampoco en el grupo de trabajo de los días 23 y 24 de julio de 2020, en el que se descubrieron nuevos mensajes (véanse los anteriores apartados 55 y 57).

179

Es evidente que tales encuentros estaban comprendidos en las funciones atribuidas a Europol a las que se refiere, en particular, el artículo 4, apartado 1, letra c), del Reglamento 2016/794, muy especialmente en la situación del caso de autos, en la que Europol participaba en un ECI, como está previsto en el artículo 4, apartado 1, letra d), de dicho Reglamento.

180

En quinto término, ningún elemento permite concluir que el Reino de Bélgica, la República Francesa o el Reino de los Países Bajos cometieran irregularidades en la recepción de los datos que les había transmitido Europol.

181

En sexto término, nada indica que Europol haya tenido en su poder en algún momento la información transmitida por las autoridades neerlandesas a las autoridades serbias, lo cual excluye que haya podido incurrir en alguna responsabilidad solidaria.

182

En séptimo término, nada indica que la transmisión de 24 de junio de 2022 sea contraria al artículo 28 del Reglamento 2016/794.

183

Por otra parte, y por motivos similares a los mencionados en los anteriores apartados 171 a 182, no cabe reprochar a Europol ni al Reino de Bélgica, a la República Francesa o al Reino de los Países Bajos ninguna infracción de los artículos 7, 8, 10 a 12, 51 y 52 de la Carta, del artículo 8 del CEDH y del artículo 17 del Pacto.

184

A este respecto, también hay que recordar que el artículo 52, apartado 1, de la Carta prevé la posibilidad de que sean objeto de limitaciones los derechos que garantiza —incluidos el derecho al respeto de la vida privada y familiar, la protección de datos de carácter personal, la libertad de pensamiento, de conciencia y de religión, la libertad de expresión y de información, la libertad de reunión y de asociación—, a condición de que tales limitaciones estén establecidas por la ley, respeten el contenido esencial de los derechos y libertades en cuestión y, con sujeción al principio de proporcionalidad, sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás [véase la sentencia de 4 de octubre de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acceso a los datos personales almacenados en un teléfono móvil),C‑548/21, EU:C:2024:830, apartado 119 y jurisprudencia citada].

185

Además, la lucha contra la delincuencia grave —en la que está incluida la lucha contra el tráfico de estupefacientes— puede justificar las injerencias graves en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta, como las que supone la conservación de los datos de tráfico y de los datos de localización (véase, en este sentido, la sentencia de 7 de septiembre de 2023, Lietuvos Respublikos generalinė prokuratūra, C‑162/22, EU:C:2023:631, apartado 37).

186

Por último, en la medida en que el demandante invoca la recomendación del Parlamento Europeo mencionada en el anterior apartado 159, basta con declarar que este documento carece de efecto jurídico vinculante.

187

Habida cuenta de lo anterior, el demandante no ha demostrado ninguna infracción suficientemente caracterizada de una norma jurídica que tenga por objeto conferirle derechos.

188

Al no concurrir este requisito para generar la responsabilidad de Europol sobre la base del artículo 50, apartado 1, del Reglamento 2016/794, no procede examinar los demás requisitos para establecer su responsabilidad por tal concepto (véase, en este sentido, la sentencia de 13 de diciembre de 2018, Unión Europea/Kendrion,C‑150/17 P, EU:C:2018:1014, apartado 118).

189

Por tanto, se ha de desestimar por infundada la alegación de perjuicio planteada por el demandante respecto de Europol y basada en el artículo 50, apartado 1, del Reglamento 2016/794.

190

El demandante alega que ha sufrido un perjuicio como consecuencia de la vulneración de su derecho a un proceso penal equitativo, garantizado por los artículos 47 y 48 de la Carta y por los artículos 14 y 15 del Pacto, derivado de la imposibilidad de comprobar la veracidad, autenticidad, fiabilidad y legalidad de los datos tratados y transferidos en el marco de la cooperación relativa al servicio Sky ECC o, cuando menos, de la ausencia de garantías formales y materiales.

191

Aduce que el «principio (deseado), más o menos absoluto, de confianza interestatal» y los «métodos (de investigación) secreta (de Estado)» imposibilitan, en los procedimientos penales nacionales, el control formal y material como pruebas de los datos procedentes del servicio Sky ECC, aun cuando esos datos sean incompletos y hayan sido recabados y tratados por ello de manera desleal, ilícita, inadecuada y contraria al uso al que se destinan las pruebas en materia penal.

192

Europol alega que esta alegación de perjuicio carece de fundamento.

193

En la medida en que el demandante sostiene, en esencia, que los procedimientos penales tanto neerlandés como serbio no le permiten impugnar la admisibilidad o la fuerza probatoria de los datos procedentes del servicio Sky ECC utilizados en tales procedimientos, hay que comenzar desestimando esta alegación, al no existir responsabilidad solidaria de Europol por los hechos de un Estado miembro, en lo que atañe a actos o comportamientos distintos de los tratamientos incorrectos de datos, ni por los de un país tercero.

194

Asimismo, si bien, mediante la presente alegación de perjuicio, el demandante aduce la ilicitud del tratamiento de sus datos, tal argumento ya ha sido desestimado en el anterior apartado 187.

195

Por ello, procede desestimar la alegación de perjuicio invocada por el demandante, basada en que Europol infringió los artículos 47 y 48 de la Carta y los artículos 14 y 15 del Pacto.

196

Mediante su tercer motivo, el demandante alega que Europol le causó un perjuicio al no cumplir su obligación de coordinar los procedimientos penales, establecida, no obstante, por el acuerdo ECI, a pesar de que estuvo implicada en el intercambio de sus datos a efectos de los procedimientos seguidos contra él.

197

El demandante aduce que este incumplimiento lo llevó a tener que defenderse en los Países Bajos y en Serbia, estando encarcelado al mismo tiempo en los Países Bajos, lo que afectó a su defensa en Serbia e infringió los artículos 47 y 48 de la Carta, el artículo 6 del CEDH y los artículos 14 y 15 del Pacto.

198

Europol alega que esta alegación de perjuicio carece de fundamento.

199

A este respecto, basta con indicar que la argumentación del demandante procede de una interpretación errónea del pasaje del acuerdo ECI que invoca.

200

En el título «9.1 Acuerdos sobre la utilización de los datos digitales procedentes de la escucha de servidores — Intercambios de información con países que no forman parte del ECI», el acuerdo ECI establece que, «cuando […] usuarios de distintos países del ECI o de países que no forman parte del ECI puedan verse implicados en hechos similares o relacionados, las partes del ECI interesadas se pondrán de acuerdo sin demora, en su caso también con los países que no forman parte del ECI ni de Europol».

201

Así pues, además de que la concertación con Europol sobre el uso de los datos digitales procedentes de la escucha de servidores solo es facultativa, es preciso señalar que, habida cuenta del título en el que se encuentra el pasaje que menciona el demandante, tal concertación se refiere al uso de esos datos y no a los procedimientos penales que los Estados miembros parte en el acuerdo ECI, o incluso países que no son parte en él, podrían incoar en virtud de dichos datos.

202

Tampoco cabe oponer a Europol ninguna obligación de coordinación de los procedimientos a nivel nacional, puesto que el Reglamento 2016/794 —en particular, su artículo 4, apartado 1— en modo alguno la faculta para decidir incoar procedimientos contra un individuo identificado en un país determinado ni tan siquiera para coordinar los procedimientos incoados en varios de esos países.

203

Por ello, Europol no puede ser considerada responsable de infracciones de los artículos 47 y 48 de la Carta, del artículo 6 del CEDH y de los artículos 14 y 15 del Pacto, las cuales, cuando se interpuso el presente recurso, resultaban totalmente hipotéticas, dado que los procedimientos penales incoados contra el demandante seguían pendientes.

204

En consecuencia, procede desestimar la alegación de perjuicio invocada por el demandante basada en la infracción por Europol del acuerdo ECI, así como de los artículos 47 y 48 de la Carta, del artículo 6 del CEDH y de los artículos 14 y 15 del Pacto.

205

Mediante su cuarto motivo, el demandante alega que, aun suponiendo que la recogida y el tratamiento de sus datos personales hubieran resultado lícitos y leales, Europol le causó un perjuicio al incumplir su obligación de garantizar un nivel de seguridad adecuado de sus datos, infringiendo así el artículo 32 del Reglamento 2016/794.

206

Europol arguye que esta alegación de perjuicio carece de fundamento.

207

Es preciso señalar que los argumentos del demandante basados en el incumplimiento por parte de Europol de su obligación de adoptar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo no están respaldadas por ninguna prueba o principio de prueba.

208

El demandante no demuestra que, como consecuencia de tal incumplimiento, sus datos personales hubieran sido objeto, en particular, de divulgación, modificación o acceso no autorizados o de cualquier otra forma de tratamiento no autorizado.

209

A este respecto, es preciso indicar que el argumento del demandante basado en la divulgación por Europol de su nombre en la prensa no está corroborado por ninguna prueba.

210

El mero temor no fundamentado del demandante de que se hubieran podido vulnerar sus datos personales no basta para acreditar que Europol incumpliera sus obligaciones derivadas del artículo 32 del Reglamento 2016/794.

211

En consecuencia, procede desestimar la alegación de perjuicio aducida por el demandante basada en la infracción por parte de Europol del artículo 32 del Reglamento 2016/794 y, en consecuencia, las pretensiones indemnizatorias, en la medida en que se dirigen contra Europol.

212

Mediante su primer motivo, el demandante alega que sufrió un perjuicio como consecuencia del tratamiento de sus datos personales infringiendo los artículos 71 y 72 del Reglamento 2018/1725, los artículos «(9 y) 26, y 27 del Reglamento 2018/1727», los artículos 7, 8 y 10 a 12 de la Carta, en relación con sus artículos 51 y 52, el artículo 8 del CEDH y el artículo 17 del Pacto.

213

En apoyo de su argumentación, el demandante sugiere remitirse mutatis mutandis a las críticas formuladas contra Europol mencionadas en los anteriores apartados 154 a 160. Añade que Eurojust también violó el secreto profesional de los abogados.

214

Eurojust alega que esta alegación de perjuicio carece de fundamento.

215

Con carácter preliminar, procede desestimar los argumentos del demandante que pueden entenderse en el sentido de que critican, sobre la base de la vulneración de sus datos personales, actos o comportamientos de Eurojust relativos a datos distintos de sus datos personales.

216

En efecto, para que pueda generarse la responsabilidad de la Unión, el demandante debe demostrar que el perjuicio cuya reparación solicita le afecta personalmente (auto de 3 de septiembre de 2021, Löning/Comisión, C‑176/21 P, no publicado, EU:C:2021:697, apartado 19).

217

Por tanto, deben rechazarse las críticas del demandante relativas a la prestación de apoyo y asesoramiento en materia de cooperación judicial destinada al Reino de Bélgica, a la República Francesa, al Reino de los Países Bajos y a Europol en tres reuniones organizadas los días 25 de abril de 2019, 7 de septiembre de 2020 y 11 de febrero de 2021 (anterior apartado 71) y las críticas relativas a la coordinación de las investigaciones neerlandesa y serbia con ocasión de la reunión organizada el 23 de mayo de 2022 (anterior apartado 73), respecto de las cuales el demandante no alega ni, a fortiori, demuestra que motivaran el tratamiento de sus datos personales.

218

Lo mismo sucede con la alegación basada en la violación por parte de Eurojust del secreto profesional del abogado.

219

Es cierto que el demandante hace referencia a la denuncia de un abogado del Colegio de Abogados de Róterdam relativa al tratamiento de sus datos procedentes del servicio Sky ECC. No obstante, en modo alguno indica que ese abogado haya sido o sea su representante ni que la información supuestamente tratada por Eurojust se refiriera a su defensa y que, por ello, Eurojust hubiese menoscabado su derecho a ser asesorado por un abogado en un procedimiento judicial, derecho consagrado por el artículo 47, párrafo segundo, de la Carta (véase, en este sentido, la sentencia de 8 de diciembre de 2022, Orde van Vlaamse Balies y otros, C‑694/20, EU:C:2022:963, apartado 53).

220

Por lo que respecta a la transmisión de 24 de junio de 2022, como se ha señalado en los anteriores apartados 124 a 130, el demandante no acredita las razones por las que considera que dio lugar a un tratamiento ilícito de sus datos personales.

221

A mayor abundamiento, en lo relativo al argumento de la infracción de los artículos 47 y 48 de la Carta, así como del artículo 6 del CEDH y de los artículos 14 y 15 del Pacto, el demandante no explica por qué un eventual tratamiento ilícito de sus datos personales supone la vulneración de estas disposiciones.

222

Habida cuenta de lo anterior, procede desestimar la alegación de perjuicio planteada por el demandante y basada en el tratamiento ilícito de sus datos personales y en la infracción de los artículos 47 y 48 de la Carta, del artículo 6 del CEDH y de los artículos 14 y 15 del Pacto.

223

Mediante su segundo motivo, el demandante sostiene que Eurojust le causó un perjuicio como consecuencia de la vulneración de su derecho a un proceso penal equitativo, garantizado por los artículos 47 y 48 de la Carta y por los artículos 14 y 15 del Pacto, derivado de la imposibilidad de comprobar la veracidad, autenticidad, fiabilidad y legalidad de los datos tratados y transferidos en el marco de la cooperación relativa al servicio Sky ECC o, cuando menos, de la ausencia de garantías formales y materiales.

224

En apoyo de su tesis, el demandante formula los mismos argumentos que los expuestos en el anterior apartado 191.

225

Eurojust arguye que esta alegación de perjuicio carece de fundamento.

226

En el contexto del segundo motivo, referido únicamente al régimen de las pruebas utilizadas en los procesos penales nacionales seguidos contra el demandante, debe observarse que Eurojust se limitó a llevar a cabo la transmisión de 24 de junio de 2022.

227

Pues bien, las pretensiones de anulación de la transmisión de 24 de junio de 2022, basadas en los mismos argumentos, ya han sido desestimadas en los anteriores apartados 128 a 130.

228

Por otra parte, el demandante no hace referencia a ningún elemento o argumento para demostrar que, después de esa transmisión, se hubiese producido alguna vulneración de su derecho a la tutela judicial efectiva.

229

En cualquier caso, procede recordar que el artículo 52, apartado 1, de la Carta prevé la posibilidad de que sean objeto de limitaciones los derechos que garantiza —incluido el derecho a la tutela judicial efectiva— en las condiciones recordadas en el anterior apartado 184.

230

Habida cuenta de lo anterior, procede desestimar la alegación de perjuicio aducida por el demandante basada en la infracción por parte de Eurojust de los artículos 47 y 48 de la Carta o de los artículos 14 y 15 del Pacto.

231

Mediante su tercer motivo, el demandante alega que Eurojust le causó un perjuicio al no cumplir su obligación de coordinar los procedimientos penales, establecida, no obstante, en el artículo 4, apartado 1, letra b), del Reglamento 2018/1727 y en el acuerdo ECI, a pesar de que estuvo implicada en el intercambio de sus datos a efectos de los procedimientos que se siguen contra él.

232

Según el demandante, este incumplimiento lo llevó a tener que defenderse en los Países Bajos y en Serbia, estando encarcelado al mismo tiempo en los Países Bajos, lo que afectó a su defensa en Serbia e infringió los artículos 47 y 48 de la Carta, el artículo 6 del CEDH y los artículos 14 y 15 del Pacto.

233

Eurojust sostiene que esta alegación de perjuicio carece de fundamento.

234

Es preciso recordar al respecto que, como ya se ha indicado en los anteriores apartados 199 a 201, la concertación que prevé el acuerdo ECI versa sobre el uso de los datos recabados por los Estados interesados y no sobre los procedimientos penales que los Estados miembros parte en el acuerdo ECI, o incluso países que no son parte en él, podrían incoar sobre la base de dichos datos.

235

Además, procede señalar que el artículo 4, apartado 1, letra b), del Reglamento 2018/1727 dispone que Eurojust «asistirá a las autoridades competentes de los Estados miembros para garantizar la mejor coordinación posible de las investigaciones y procesos penales».

236

De ello se desprende, como sostiene acertadamente Eurojust, que, en el marco de esta función operativa de coordinación de las investigaciones y de los procesos penales, únicamente tiene una obligación de medios y que la decisión de incoar procedimientos penales contra una persona corresponde únicamente a las autoridades nacionales implicadas, como confirma el artículo 85 TFUE, que constituye la base jurídica del Reglamento 2018/1727.

237

Así, Eurojust no puede ser considerada responsable de elecciones procesales que son de la exclusiva competencia y responsabilidad de los Estados interesados.

238

Habida cuenta de lo anterior, procede desestimar la alegación de perjuicio expuesta por el demandante basada en la infracción por parte de Eurojust del acuerdo ECI, del artículo 4, apartado 1, letra b), del Reglamento 2018/1727, así como de los artículos 47 y 48 de la Carta, del artículo 6 del CEDH y de los artículos 14 y 15 del Pacto.

239

Mediante su cuarto motivo, el demandante sostiene que, aun suponiendo que la recogida y el tratamiento de sus datos personales hubieran resultado lícitos y leales, en primer lugar, Eurojust le causó un perjuicio al incumplir su obligación de garantizar un nivel de seguridad adecuado de sus datos, infringiendo el artículo 91 del Reglamento 2018/1725.

240

Además, según el demandante, habida cuenta del carácter novedoso de las modalidades de obtención de los datos del servicio Sky ECC —a saber, el recurso a la técnica del «ataque intermedio»—, Eurojust incumplió su obligación de efectuar una evaluación de impacto previa de la protección de datos del demandante, prevista en el artículo 89 del Reglamento 2018/1725.

241

Por último, el demandante reprocha a Eurojust haber incumplido su obligación de notificar al SEPD la vulneración de sus datos personales, contrariamente a lo dispuesto por el artículo 92 del Reglamento 2018/1725.

242

Eurojust alega que esta alegación de perjuicio carece de fundamento.

243

Para comenzar, los argumentos del demandante, basados en el incumplimiento por parte de Eurojust de su obligación de adoptar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, deben rechazarse por motivos similares a los expuestos en los anteriores apartados 207 a 210.

244

A continuación, el demandante no explica las razones por las que Eurojust incumplió supuestamente su obligación de llevar a cabo una evaluación de impacto previa a la transmisión a las autoridades serbias del enlace facilitado por las autoridades francesas a un sitio seguro, accesible mediante una contraseña, que contenía sus conversaciones del servicio Sky ECC (anterior apartado 75).

245

Tal transmisión, que no parece indicar en absoluto que presentara un riesgo específico para los derechos y libertades del demandante o, cuando menos, un riesgo superior a otros modos de transmisión, no justificaba la realización de la evaluación de impacto previa prevista en el artículo 89 del Reglamento 2018/1725.

246

Por último, al no haber demostrado, de algún modo, que Eurojust vulneró sus datos personales, el demandante no puede reprocharle haber incumplido su obligación, establecida en el artículo 92 del Reglamento 2018/1725, de notificar al SEPD tal vulneración.

247

A la vista de lo anterior, procede desestimar la alegación de perjuicio formulada por el demandante basada en la infracción de los artículos 89, 91 y 92 del Reglamento 2018/1725 y, en consecuencia, las pretensiones de indemnización, en la medida en que se dirigen contra Eurojust.

248

Habida cuenta de cuanto antecede, procede desestimar el recurso en su totalidad, sin que sea necesario pronunciarse sobre las demás causas de inadmisión formuladas por Europol y Eurojust.

249

A tenor del artículo 134, apartado 1, del Reglamento de Procedimiento del Tribunal General, la parte que haya visto desestimadas sus pretensiones será condenada en costas, si así lo hubiera solicitado la otra parte. Al haber sido desestimadas las pretensiones formuladas por el demandante, procede condenarlo en costas, conforme a lo solicitado por Europol y Eurojust. Por otra parte, con arreglo al artículo 138, apartado 1, del Reglamento de Procedimiento, el Reino de Bélgica, el Reino de España y el Reino de los Países Bajos cargarán con sus propias costas.

En virtud de todo lo expuesto,

EL TRIBUNAL GENERAL (Sala Quinta)

decide: