Processo T‑1180/23

contra

Agência da União Europeia para a Cooperação Policial
e
Agência da União Europeia para a Cooperação Judiciária Penal

Acórdão do Tribunal Geral (Quinta Secção) de 25 de fevereiro de 2026

«Cooperação entre as autoridades policiais e outros serviços policiais dos Estados‑Membros — Serviço de comunicações encriptadas Sky ECC — Tratamentos alegadamente ilícitos de dados pessoais — Recurso de anulação — Ato irrecorrível — Ato preparatório — Admissibilidade — Tratamento de dados pessoais por Estados—Membros e sua transferência para a Europol — Transferência de dados pessoais pela Europol para um Estado‑Membro — Transferência de dados pessoais da Eurojust para um país terceiro — Responsabilidade extracontratual — Artigo 50.o do Regulamento (UE) 2016/794 — Responsabilidade solidária da Europol e dos Estados—Membros por tratamentos ilícitos de dados — Violação suficientemente caracterizada de uma norma jurídica que confere direitos aos particulares — Realidade do dano — Regulamento (UE) 2018/1727 — Coordenação insuficiente de ações penais pela Eurojust entre um Estado‑Membro e um país terceiro — Artigos 71.°, 72.°, 89.°, 91.° e 92.° do Regulamento 2018/1725»

Recurso de anulação — Competência do juiz da União — Pedido de anulação de atos que configuram tratamento de dados pessoais, praticados pelas autoridades nacionais no âmbito de processos penais, bem como de atos de envio de documentos e de informações por essas autoridades à Europol ou à Eurojust — Exclusão

(Artigo 263.o TFUE)

(cf. n.os 23‑25)
Recurso de anulação — Competência do juiz da União — Pedido de anulação de um acordo que cria uma Equipa de Investigação Conjunta (EIC) — Exclusão

(Artigo 34.o TUE; artigo 263.o TFUE)

(cf. n.os 26‑31)
Ação de indemnização — Objeto — Reparação do dano resultante de um tratamento ilícito de dados pessoais — Ação intentada contra a Eurojust por factos dos Estados—Membros ou da Europol — Incompetência do juiz da União

(Artigos 268.° e 340.° TFUE; Regulamento 2018/1727 do Parlamento Europeu e do Conselho)

(cf. n.os 33‑35, 41)
Ação de indemnização — Objeto — Reparação do dano resultante de um tratamento ilícito de dados pessoais — Ação intentada contra a Europol por facto dos Estados—Membros — Competência do juiz da União — Limite — Incompetência em caso de dano resultante de operações realizadas pela polícia ou por outros serviços responsáveis pela aplicação da lei num Estado‑Membro

(Artigos 268.°, 276.° e 340.° TFUE; Regulamento 2016/794 do Parlamento Europeu e do Conselho, considerando 57, artigo 49.o, n.os 3 e 4, e artigo 50.o)

(cf. n.os 37, 38, 42‑46)
Responsabilidade extracontratual — Responsabilidade solidária da União e dos Estados—Membros — Regulamento 2016/794 — Responsabilidade pelo tratamento ilícito de dados pessoais — Responsabilidade solidária da Europol e do Estado‑Membro em causa — Critérios — Prova da imputabilidade do tratamento ilícito à Europol ou ao Estado‑Membro em causa

(Artigo 340.o, 2.° parágrafo, TFUE; Regulamento 2016/794 do Parlamento Europeu e do Conselho, artigo 50.o, n.o 1)

(cf. n.os 93, 136)
Recurso de anulação — Atos recorríveis — Conceito — Atos que produzem efeitos jurídicos vinculativos — Atos preparatórios — Exclusão — Participação da Europol ou da Eurojust em reuniões ou grupos de trabalho — Exclusão

(Artigo 263.o TFUE)

(cf. n.os 108‑110)
Recurso de anulação — Atos recorríveis — Conceito — Atos que produzem efeitos jurídicos vinculativos — Envio por uma agência da União de dados pessoais provenientes do serviço de comunicações encriptadas Sky ECC — Envio a um Estado‑Membro — Exclusão — Envio a um país terceiro — Inclusão — Requisito

(Artigo 263.o TFUE)

(cf. n.os 111‑123)
Responsabilidade extracontratual — Pressupostos — Regulamento 2016/794 — Responsabilidade pelo tratamento ilícito de dados pessoais — Natureza da referida responsabilidade — Responsabilidade solidária da Europol e do Estado‑Membro em causa — Alcance — Apreciação da legalidade dos atos ou condutas dos Estados—Membros que não sejam a recolha de dados durante operações realizadas pela polícia ou por outros serviços responsáveis pela aplicação da lei num Estado‑Membro — Apreciação com base no direito da União ou no direito nacional em causa

(Artigos 268.°, 276.° e 340.°, 2.° parágrafo, TFUE; Regulamento 2016/794 do Parlamento Europeu e do Conselho, artigo 50.o, n.o 1)

(cf. n.os 141, 142, 162‑164)

Resumo

Negando provimento ao recurso de anulação, que inclui um pedido de indemnização, interposto por BW contra a Agência da União Europeia para a Cooperação Policial (Europol) e a Agência da União Europeia para a Cooperação Judiciária Penal (Eurojust) no contexto de uma cooperação policial e judiciária entre vários Estados—Membros, o Tribunal Geral, pela primeira vez desde o Acórdão Kočner/Europol ( 1 ), dá indicações precisas sobre o alcance do regime de responsabilidade solidária, nomeadamente à luz dos limites que resultam do artigo 276.o TFUE. Além disso, o Tribunal Geral considera que os envios de dados pessoais pela Eurojust para um Estado‑Membro não constituem atos recorríveis na aceção do artigo 263.o TFUE, reconhecendo, em contrapartida, o caráter impugnável de um envio desse tipo de dados para um país terceiro, na ausência de qualquer outro meio de fiscalização jurisdicional efetiva.

BW, o recorrente, é um cidadão sérvio contra quem foi instaurado um processo penal nos Países Baixos, onde se encontra preso desde maio de 2023 pela importação de cocaína, correndo igualmente contra si na Sérvia, desde o outono de 2023, um processo penal por atos suscetíveis de consubstanciar tráfico de estupefacientes

Os processos penais instaurados pelas autoridades neerlandesas e sérvias têm origem em diligências de investigação efetuadas no final da década de 2010 a 2020 pelas autoridades belgas, neerlandesas e francesas contra a «Organização Sky ECC», significando «ECC»«Elliptic Curve Cryptography» (criptografia por curva elíptica), suspeita de comercializar produtos e serviços de comunicações encriptadas especificamente destinados a facilitar a prática de factos criminalmente puníveis.

Na sequência dessas diligências de investigação, a Bélgica e os Países Baixos emitiram, no final de 2018, decisões de investigação comum, tendo pedido à França que criasse uma imagem dos servidores utilizados pelo serviço Sky ECC e situados nesse Estado. A França deu seguimento a esse pedido, tendo procedido à interceção, registo e transcrição das comunicações encriptadas que entravam e saíam desses servidores, incluindo os dados relativos a BW.

Em 2019, através de um Acordo de Equipa de Investigação Conjunta (a seguir «Acordo EIC») ( 2 ) celebrado entre si, as autoridades belgas, francesas e neerlandesas criaram uma equipa de investigação conjunta (a seguir «EIC»). Esta equipa levou à partilha, entre a Europol e os três Estados—Membros em causa, dos dados brutos intercetados, que deviam em seguida ser analisados, bem como dos resultados dessa análise.

No âmbito dessa cooperação, a Europol armazenou os dados no seu sistema informático, procedeu ao cruzamento de dados, elaborou relatórios de informações, gerou gráficos de visualização dos dados e interpretou conjuntos de dados multilingues. Por sua vez, a Eurojust prestou apoio e aconselhamento sobre as possibilidades de cooperação judiciária, organizou várias reuniões de coordenação entre as autoridades nacionais em causa e a Europol e facilitou a cooperação judiciária entre, por um lado, a Sérvia e, por outro, os Países Baixos e a França.

Neste contexto, BW pediu ao Tribunal Geral a anulação do Acordo EIC, dos atos praticados pela Europol e pela Eurojust com base no mesmo, bem como dos atos de tratamento, análise e partilha dos dados do servidor Sky ECC que lhe dizem respeito, praticados por estas e pelos Estados—Membros em causa. Além disso, pediu que a Europol e a Eurojust fossem condenadas a pagar‑lhe uma indemnização pelos danos patrimoniais e não patrimoniais que considera ter sofrido.

Apreciação do Tribunal Geral

Desde logo, no que diz respeito à questão da competência, o Tribunal Geral declara‑se, em primeiro lugar, incompetente para conhecer, com fundamento no artigo 263.o TFUE, da autorização dada pelo juiz francês para as operações de interceção efetuadas pelas autoridades francesas, do desenrolar dessas operações, do envio à Europol, pelas autoridades francesas, dos documentos e informações obtidas por ocasião destas últimas, do envio à Eurojust e às autoridades sérvias, pelas autoridades francesas, dos documentos e informações solicitadas pelas autoridades sérvias no âmbito dos seus pedidos de auxílio judiciário, da regularidade do processo penal instaurado nos tribunais sérvios e do Acordo EIC.

No que respeita, mais concretamente, a esse acordo, o Tribunal Geral salienta que o juiz da União é igualmente incompetente para conhecer, diretamente com fundamento no artigo 263.o TFUE, da sua legalidade, uma vez que não constitui um ato da União. Com efeito, o Acordo EIC foi assinado e, portanto, celebrado apenas por três Estados—Membros. Esta conclusão não é posta em causa nem pelo facto de esse acordo ter o seu fundamento numa convenção celebrada por esses Estados‑Membros ao abrigo do artigo 34.o TUE, bem como numa decisão‑quadro do Conselho da União Europeia, nem pela criação da EIC em causa por iniciativa da Europol ou da Eurojust, nem ainda pela decisão da Bélgica, da França e dos Países Baixos, tomada ao abrigo do Acordo EIC, de associar a Europol e a Eurojust enquanto «participantes» na EIC. Neste âmbito, o Tribunal Geral especifica que a faculdade conferida à Europol ou à Eurojust de proporem ou apoiarem a criação de uma EIC, bem como aos seus agentes de participarem numa EIC ( 3 ), não confere a essas agências o estatuto de «parte» no acordo pelo qual os três Estados—Membros criaram a EIC em causa.

Em segundo lugar, o Tribunal Geral declara‑se incompetente para conhecer do pedido do recorrente para que seja declarada a responsabilidade da Eurojust por ato da Bélgica, da França e dos Países Baixos ou ainda da Sérvia, ou mesmo por ato da Europol. Deduz esta solução, nomeadamente, pelo facto de a responsabilidade da União com fundamento nos artigos 268.° e 340.° TFUE não poder ser invocada contra uma instituição, um órgão ou um organismo da União distinto daquela ou daquele a quem é imputado o facto gerador da responsabilidade, salvo se o legislador da União tiver expressamente previsto um regime derrogatório de responsabilidade solidária quer entre uma dessas instituições ou um desses órgãos ou organismos da União e um ou vários Estados—Membros, ou mesmo um ou vários países terceiros, quer entre várias instituições, órgãos ou organismos da União. O mesmo Tribunal constata que, no caso em apreço, nenhum ato prevê um regime derrogatório de responsabilidade solidária entre a Eurojust e os Estados—Membros ou entre a Eurojust e a Sérvia.

Todavia, o Tribunal Geral é competente para conhecer do pedido destinado a que seja declarada a responsabilidade da Eurojust pela sua própria conduta e a responsabilidade da Europol por condutas imputáveis tanto a ela própria como aos Estados—Membros que participaram na cooperação relativa ao serviço Sky ECC.

Ora, apesar da competência de que dispõe para conhecer do pedido referente à responsabilidade solidária da Europol por condutas imputáveis, nomeadamente, às autoridades francesas, o Tribunal Geral refere precisamente que é incompetente para conhecer das alegações do recorrente relativas a danos que lhe foram causados devido às operações de interceção dos seus dados pessoais, ocorridas no âmbito das operações policiais levadas a cabo por essas autoridades. A este respeito, apesar do regime de responsabilidade solidária previsto no Regulamento relativo à Europol, esta agência não pode ser considerada solidariamente responsável por eventuais danos decorrentes de tratamentos ilegais de dados pessoais de uma pessoa singular ocorridos durante operações levadas a cabo pela polícia ou por outros serviços policiais de um Estado‑Membro, mesmo que esses tratamentos tenham ocorrido no âmbito de uma cooperação baseada neste regulamento. Cm efeito, resulta do artigo 276.o TFUE que, no exercício das suas atribuições relativamente à cooperação judiciária penal e à cooperação policial, o Tribunal de Justiça da União Europeia não é competente para fiscalizar a validade ou a proporcionalidade de operações efetuadas pelos serviços de polícia ou por outros serviços responsáveis pela aplicação da lei num Estado‑Membro.

No que respeita, em segundo lugar, ao pedido de anulação, o Tribunal Geral, ao pronunciar‑se sobre a sua admissibilidade, constata o caráter não impugnável dos atos e condutas criticados pelo recorrente, salvo no que respeita ao envio pela Eurojust às autoridades sérvias, em 24 de junho de 2022, de uma mensagem de correio eletrónico das autoridades francesas que incluía uma hiperligação para uma página de download seguro que continha, nomeadamente, algumas das conversas que manteve e foram provenientes do serviço Sky ECC.

No que respeita a este envio, o Tribunal Geral sublinha que, embora resulte da jurisprudência relativa ao envio de relatórios finais e de informações aos Estados—Membros pelo Organismo Europeu de Luta Antifraude (OLAF), aplicável por analogia ao caso em apreço, que esse envio não constitui um ato impugnável, o Tribunal de Justiça e o próprio Tribunal Geral tiveram, todavia, oportunidade de tomar em consideração, para afastar o caráter impugnável dos envios feitos pelo OLAF, o facto de o recorrente ter à sua disposição outras vias para garantir o controlo da legalidade dessas decisões de envio, incluindo a via do pedido de decisão prejudicial. Ora, o Tribunal Geral observa que a comunicação de dados de 24 de junho de 2022 ocorreu entre uma agência da União e as autoridades de um país terceiro, no caso em apreço a Sérvia. Assim, não podendo ser contestada no âmbito do presente recurso, a legalidade dessa comunicação de dados à luz do direito da União já não poderá ser objeto de contestação e os dados pessoais nela contidos poderão ser considerados legalmente enviados às autoridades sérvias, sem que, em seguida, o recorrente possa obter dos órgãos jurisdicionais desse país terceiro, quer uma apreciação da validade da referida comunicação à luz do direito da União, quer o reenvio de uma questão prejudicial ao Tribunal de Justiça para apreciação da sua validade. Neste sentido, a referida comunicação de dados constitui o termo final de um procedimento especial através do qual a Eurojust comunica às autoridades de um país terceiro e a seu pedido os dados pessoais de uma pessoa identificada.

O Tribunal Geral acrescenta que o reconhecimento do caráter impugnável da comunicação de dados de 24 de junho de 2022 é o único capaz de garantir a fiscalização efetiva, por uma autoridade judiciária ou outro órgão independente, da transferência de dados pessoais intercetados e da sua utilização para fins diferentes dos da instância penal para a qual foram inicialmente recolhidos. É indiferente o facto de o recorrente poder interpor um recurso para os tribunais franceses ou poder recorrer ao Tribunal Europeu dos Direitos Humanos na sequência de uma eventual condenação pelos tribunais criminais sérvios. Por um lado, os tribunais franceses não podem ser chamados a conhecer de um recurso de anulação de um ato de uma agência da União. Por outro lado, na falta de adesão da União à Convenção para a Proteção dos Direitos do Homem e das Liberdades Fundamentais, o referido Tribunal Europeu dos Direitos Humanos não pode declarar uma violação desta Convenção por parte da União, especialmente no âmbito de um recurso interposto contra um país terceiro.

Todavia, o Tribunal Geral julga improcedente o pedido de anulação da comunicação de dados de 24 de junho de 2022, uma vez que o recorrente não demonstrou as razões pelas quais essa comunicação deu lugar a um tratamento ilícito dos seus dados pessoais.

Em terceiro lugar, no que respeita ao pedido de indemnização do recorrente, o Tribunal Geral considera que o primeiro dano invocado visa alegações de tratamentos incorretos de dados tanto pela Europol como pelos três Estados—Membros em causa, os quais estão abrangidos pelo regime derrogatório de responsabilidade solidária previsto no Regulamento relativo à Europol ( 4 ), e toma assim em consideração não só os atos e condutas da Europol, ao abrigo do regime de responsabilidade geral que lhe incumbe por força deste regulamento ( 5 ), mas também os dos três Estados—Membros em causa, o âmbito do referido regime derrogatório de responsabilidade solidária.

O Tribunal Geral acrescenta que a Europol não tem razão quando sustenta não poder ser responsabilizada pelos atos ou condutas dos Estados—Membros e que o Tribunal Geral não pode apreciar a legalidade destes. Embora seja verdade que, por força do artigo 276.o TFUE, o Tribunal de Justiça da União Europeia não é competente para fiscalizar a validade ou a proporcionalidade de operações efetuadas pelos serviços de polícia ou por outros serviços responsáveis pela aplicação da lei num Estado‑Membro, incluindo no âmbito das ações com fundamento nos artigos 268.° e 340.° TFUE, também é certo que, fora destas operações específicas, o regime derrogatório de responsabilidade solidária previsto no Regulamento relativo à Europol implica, implícita mas necessariamente, que a Europol possa ser responsabilizada pelos atos ou condutas dos Estados—Membros. Daqui decorre também necessariamente que, no âmbito de ações de indemnização baseadas nesse regime derrogatório, o Tribunal Geral está habilitado a apreciar a legalidade dos atos ou condutas dos Estados—Membros que não aqueles através das quais os seus serviços de polícia ou outros serviços responsáveis pela aplicação da lei procederam à recolha dos dados em causa, seja com fundamento no direito da União, seja com fundamento no direito nacional do Estado em causa.

Quanto ao segundo dano, que visa, em substância, apenas a violação do direito a um processo equitativo por impossibilidade de verificar o caráter «utilizável» dos dados provenientes do serviço Sky ECC nos processos penais nacionais instaurados na sequência das investigações em que a Europol participou, o Tribunal Geral declara que o recorrente não contesta a licitude do tratamento dos seus dados pessoais, na aceção do artigo 28.o do Regulamento relativo à Europol — único argumento suscetível de consubstanciar uma contestação no âmbito do regime derrogatório de responsabilidade solidária previsto neste regulamento. Assim, para efeitos da análise deste dano, o Tribunal Geral toma em consideração apenas os atos ou condutas da Europol ao abrigo do regime de responsabilidade geral decorrente do referido regulamento.

Quanto ao terceiro dano, relativo à alegada existência de duplo procedimento penal pelos mesmos factos, instaurado contra si pelas autoridades penais neerlandesas e sérvias, o Tribunal Geral precisa que, relativamente a este dano, o recorrente acusa a Europol unicamente de não cumprir as obrigações que para si são decorrentes do Acordo EIC. Assim, toma em consideração apenas os atos ou condutas da Europol, ao abrigo do regime de responsabilidade geral decorrente do Regulamento relativo à Europol.

Ora, o Tribunal Geral julga improcedentes os pedidos relativos aos três danos.

( 1 ) Acórdão de 5 de março de 2024Kočner/Europol (C‑755/21 P, EU:C:2024:202).

( 2 ) Este acordo foi celebrado com base no artigo 13.o da Convenção elaborada pelo Conselho em conformidade com o artigo 34.o TUE, relativa ao auxílio judiciário mútuo em matéria penal entre os Estados—Membros da União Europeia (JO 2000, C 197, p. 3) e da Decisão‑Quadro do Conselho, de 13 de junho de 2002, relativa às equipas de investigação conjuntas (JO 2002, L 162, p. 1).

( 3 ) Conferida, respetivamente, pelo artigo 5.o do Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, relativo à Europol e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (JO 2016, L 135, p. 53; a seguir «Regulamento Europol»), e o artigo 8.o, n.o 1, alínea d), do Regulamento (UE) 2018/1727 do Parlamento Europeu e do Conselho, de 14 de novembro de 2018, que cria a Eurojust e que substitui e revoga a Decisão 2002/187/JAI do Conselho (JO 2018, L 295, p. 138).

( 4 ) Artigo 50.o, n.o 1, do Regulamento relativo à Europol.

( 5 ) Responsabilidade geral da Europol prevista no artigo 49.o do Regulamento relativo à Europol.