1

Prin acțiunea formulată, reclamantul, BW, solicită în esență, pe de o parte, în temeiul articolului 263 TFUE, anularea Acordului de instituire a unei echipe comune de anchetă (denumită în continuare „ECA”) privind serviciul de comunicații criptate Sky ECC (denumit în continuare „Acordul ECA”), precum și a operațiunilor de prelucrare, de analiză și de partajare a datelor provenite de la serviciul menționat efectuate de Agenția Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol), de Agenția Uniunii Europene pentru Cooperare în Materie de Justiție Penală (Eurojust), precum și de statele membre implicate în ancheta privind acest serviciu și, pe de altă parte, în temeiul articolului 268 TFUE, repararea prejudiciilor material și moral pe care le‑ar fi suferit ca urmare a actelor și a comportamentelor Europol, Eurojust și ale statelor membre menționate.

2

Reclamantul este un resortisant sârb, urmărit penal și arestat în Țările de Jos de la data de 8 mai 2023 pentru introducerea pe teritoriul acestui stat membru a 743 de kilograme de cocaină, depistate la 4 august 2020 la Rotterdam (Țările de Jos). Acesta este urmărit penal și în Serbia din toamna anului 2023 pentru, printre altele, mai multe fapte de trafic de stupefiante.

3

Urmăririle penale desfășurate de autoritățile neerlandeze și sârbe au pornit de la măsurile de investigație inițiate la sfârșitul anilor 2010 de către autoritățile belgiene, neerlandeze și franceze împotriva „organizației Sky ECC”, „ECC însemnând „Elliptic Curve Cryptography” (criptografie prin curbă eliptică), suspectată de comercializarea de produse și de servicii de comunicații criptate care vizează cu precădere înlesnirea săvârșirii unor infracțiuni.

4

În urma acestor măsuri de investigație la nivel național, Regatul Belgiei și Regatul Țărilor de Jos au adoptat, la sfârșitul anului 2018, decizii comune de anchetă prin care au solicitat Republicii Franceze să creeze o imagine a serverelor utilizate de serviciul Sky ECC situate în Roubaix (Franța). Acest stat membru a dat curs cererii respective procedând, prin intermediul tehnicii „atacului de tip «man‑in‑the‑middle»”, la interceptarea, înregistrarea și transcrierea comunicațiilor criptate intrate în și ieșite din aceste servere, inclusiv ale datelor referitoare la reclamant.

5

La 13 decembrie 2019, ECA a fost înființată de autoritățile belgiene, franceze și neerlandeze prin Acordul ECA, încheiat între ele în temeiul articolului 13 din Convenția stabilită de Consiliu în conformitate cu articolul 34 din Tratatul privind Uniunea Europeană, referitor la asistența judiciară reciprocă în materie penală între statele membre ale Uniunii Europene (JO 2000, C 197, p. 3) și al Deciziei‑cadru a Consiliului din 13 iunie 2002 privind echipele comune de anchetă (JO 2002, L 162, p. 1, Ediție specială, 19/vol. 3, p. 249).

6

Acordul ECA prevede următoarele:

„Înființarea ECA vizează înlesnirea investigațiilor în curs de desfășurare în Belgia, Franța și Țările de Jos cu privire la furnizorul (furnizorii) și utilizatorii serviciului Sky ECC, precum și partajarea cunoștințelor tehnice și a resurselor […]. Obiectivul ECA este de a elabora, de a dezvolta și de a pune în aplicare în comun tehnica necesară în vederea decriptării comunicațiilor anterioare și a destructurării serverului; de a identifica și de a localiza utilizatorii care se mișcă în și între cele trei țări; de a institui și de a coordona o zi sau câteva zile de acțiune comună întreprinsă/e pentru stoparea și pentru urmărirea în justiție a facilitatorilor și a utilizatorilor Sky ECC.” [traducere neoficială]

7

ECA a condus la partajarea între Europol și cele trei state membre în cauză a unor date brute interceptate care trebuiau apoi analizate, precum și a rezultatelor acestei analize.

8

În cadrul acestei cooperări, încă în curs și în ziua desfășurării ședinței de judecată în prezenta cauză, Europol a stocat datele în sistemul său informatic, a efectuat verificări încrucișate, a prezentat rapoarte informative, a generat grafice de vizualizare a datelor și a interpretat seturi de date multilingve.

9

La rândul său, Eurojust a oferit sprijin și consiliere cu privire la posibilitățile de cooperare judiciară și a organizat mai multe reuniuni de coordonare între autoritățile belgiene, franceze și neerlandeze și Europol și a înlesnit cooperarea judiciară între Republica Serbia, pe de o parte, și Regatul Țărilor de Jos și Republica Franceză, pe de altă parte.

10

Reclamantul solicită în esență Tribunalului:

11

Eurojust Europol solicită Tribunalului:

12

Regatul Spaniei solicită Tribunalului respingerea acțiunii ca inadmisibilă sau, cu titlu subsidiar, ca nefondată și obligarea reclamantului la plata cheltuielilor de judecată.

13

Regatul Țărilor de Jos solicită Tribunalului respingerea acțiunii și obligarea reclamantului la plata cheltuielilor de judecată.

14

În susținerea capetelor sale de cerere, îndreptate fără distincție împotriva Europol și a Eurojust, reclamantul invocă aceleași patru motive.

15

Primul motiv este întemeiat în esență pe caracterul nelegal și disproporționat al colectării și al prelucrării datelor cu caracter personal rezultate din serviciul Sky ECC de către statele membre interesate și de către „Europol și/sau Eurojust”, de la prima lor interceptare în anul 2019 până la ultima partajare a rezultatelor cu alte țări.

16

Ca răspuns la o întrebare adresată de Tribunal în ședință, reclamantul a arătat că nu se prevalează de niciun act sau comportament ulterior datei de 24 iunie 2022, dată la care autoritățile franceze au transmis autorităților sârbe, prin intermediul Eurojust, un link către un site de descărcare securizat care punea la dispoziția acestei țări terțe informațiile privind anumite conversații rezultate din serviciul Sky ECC care aveau legătură cu identificatori de conexiune identificați în mod specific, printre care figurau discuțiile reclamantului.

17

Al doilea motiv este întemeiat în esență pe încălcarea de către Europol și Eurojust a articolului 28 din Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului din 11 mai 2016 privind Europol și de înlocuire și de abrogare a Deciziilor 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI și 2009/968/JAI ale Consiliului (JO 2016, L 135, p. 53) și, respectiv, pe încălcarea articolului 71 din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO 2018, L 295, p. 39) și a articolelor 47 și 48 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), precum și a articolelor 14 și 15 din Pactul internațional cu privire la drepturile civile și politice, adoptat de Adunarea Generală a Organizației Națiunilor Unite la 16 decembrie 1966 și intrat în vigoare la23 martie 1976 (denumit în continuare „pactul”), dat fiind caracterul incomplet al datelor serviciului Sky ECC colectate, analizate și transferate, ceea ce ar fi adus atingere posibilității reclamantului de a se apăra în fața instanțelor neerlandeze și sârbe.

18

Al treilea motiv este întemeiat în esență pe încălcarea Acordului ECA de către Europol și Eurojust, prin faptul că acestea nu și‑au îndeplinit obligația de coordonare al cărei scop este să se evite ca reclamantul să facă obiectul unei urmăriri penale pentru aceleași fapte atât în Țările de Jos, cât și în Serbia.

19

Al patrulea motiv este întemeiat în esență pe încălcarea de către Europol și Eurojust a articolului 32 din Regulamentul 2016/794 și, respectiv, a articolelor 89 și 92 din Regulamentul 2018/1725 pentru faptul că nu au protejat în mod corespunzător datele cu caracter personal ale reclamantului.

20

Prin capetele de cerere formulate, reclamantul reproșează deopotrivă Europol și Eurojust mai multe comportamente sau acte nelegale care au avut ca obiect colectarea și prelucrarea datelor sale cu caracter personal, survenite în cadrul anchetelor penale referitoare la serviciul Sky ECC desfășurate de Regatul Belgiei, de Republica Franceză și de Regatul Țărilor de Jos și în care au fost implicate Europol și Eurojust.

21

Întrucât reclamantul critică nu doar comportamente care sunt imputabile Europol și Eurojust, ci și comportamente care sunt imputabile statelor membre participante la ECA, precum și Republicii Serbia, trebuie făcute următoarele observații introductive.

22

În primul rând, în ceea ce privește capătul de cerere întemeiat pe articolul 263 TFUE, reiese în mod expres din această dispoziție că acțiunea în anulare nu poate fi îndreptată decât împotriva actelor adoptate de o instituție, de un organ, de un oficiu sau de o agenție a Uniunii Europene.

23

Așadar, în cadrul unei acțiuni introduse în temeiul articolului 263 TFUE, instanța Uniunii nu este competentă să se pronunțe cu privire la legalitatea unui act adoptat de o autoritate națională (Hotărârea din 3 decembrie 1992, Oleificio Borelli/Comisia,C‑97/91, EU:C:1992:491, punctul 9), iar această constatare nu poate fi infirmată de faptul că actul în cauză se înscrie într‑un proces decizional al Uniunii (Hotărârea din 29 ianuarie 2020, GAEC Jeanningros,C‑785/18, EU:C:2020:46, punctul 27).

24

De asemenea, Tribunalul a avut ocazia să statueze că, într‑o acțiune în anulare, controlul legalității transmiterii de către un procuror național sau de către autorități către o instituție a Uniunii a informațiilor obținute în aplicarea dreptului penal național este o chestiune care, în principiu, intră sub incidența dreptului național care reglementează desfășurarea anchetelor efectuate de autoritățile naționale menționate, iar în cazul contenciosului judiciar, în competența instanțelor naționale (a se vedea în acest sens Hotărârea din 8 iulie 2004, Dalmine/Comisia,T‑50/00, EU:T:2004:220, punctul 86).

25

Rezultă că, în măsura în care reclamantul urmărește anularea operațiunilor de interceptare efectuate de autoritățile franceze – cu autorizarea unei instanțe franceze –, anularea „derulării acestor operațiuni”, anularea transmiterii de către autoritățile franceze către Europol a documentelor și a informațiilor obținute cu ocazia acestor operațiuni, anularea transmiterii de către autoritățile franceze către Eurojust și către autoritățile sârbe a documentelor și a informațiilor solicitate de autoritățile sârbe în cererile sale de asistență judiciară, precum și anularea procedurii penale desfășurate în fața instanțelor sârbe, instanța Uniunii nu este competentă să se pronunțe asupra acestora.

26

Instanța Uniunii nu este competentă să se pronunțe, direct în temeiul articolului 263 TFUE, nici cu privire la legalitatea Acordului ECA, din moment ce acesta nu este un act al Uniunii.

27

Astfel, Acordul ECA a fost semnat și deci încheiat numai de trei state membre, și anume Regatul Belgiei, Republica Franceză și Regatul Țărilor de Jos.

28

Această concluzie nu poate fi repusă în discuție de faptul că Acordul ECA își are temeiul într‑o convenție încheiată de aceste state membre în temeiul articolului 34 TUE, precum și într‑o decizie‑cadru a Consiliului Uniunii Europene (a se vedea în acest sens Hotărârea din 17 septembrie 2014, Liivimaa Lihaveis,C‑562/12, EU:C:2014:2229, punctele 45-51).

29

Concluzia menționată nu poate fi infirmată nici de faptul că înființarea ECA a putut avea loc la inițiativa Europol sau a Eurojust și nici de faptul că, în temeiul punctului 7 din Acordul ECA, Regatul Belgiei, Republica Franceză și Regatul Țărilor de Jos au convenit ca Europol și Eurojust să fie asociați la ECA în calitate de „participanți”, astfel cum permite articolul 13 alineatul (12) din convenția stabilită de Consiliu în conformitate cu articolul 34 din Tratatul privind Uniunea Europeană, referitor la asistența judiciară reciprocă în materie penală între statele membre ale Uniunii Europene coroborat cu considerentul (9) al Deciziei‑cadru a Consiliului din 13 iunie 2002 privind echipele comune de anchetă, precum și, în ceea ce privește Europol, cu articolul 5 din Regulamentul 2016/794 și, în ceea ce privește Eurojust, cu articolul 8 alineatul (1) litera (d) din Regulamentul (UE) 2018/1727 al Parlamentului European și al Consiliului din 14 noiembrie 2018 privind Eurojust și de înlocuire și de abrogare a Deciziei 2002/187/JAI a Consiliului (JO 2018, L 295, p. 138).

30

Astfel, posibilitatea acordată Europol sau Eurojust, prin articolul 5 din Regulamentul 2016/794 și prin articolul 8 alineatul (1) litera (d) din Regulamentul 2018/1727, de a propune sau de a ajuta la înființarea unei ECA, ca și agenților acestora de a lua parte la o ECA, nu conferă acestor agenții statutul de „parte” la acordul prin care Regatul Belgiei, Republica Franceză și Regatul Țărilor de Jos au înființat ECA în cauză.

31

Având în vedere cele ce precedă, Tribunalul nu este competent să se pronunțe, în temeiul articolului 263 TFUE, asupra autorizării de către instanța franceză a operațiunilor de interceptare realizate de autoritățile franceze, asupra desfășurării acestor operațiuni, asupra transmiterii de către autoritățile franceze către Europol a documentelor și a informațiilor obținute cu ocazia acestor operațiuni, asupra transmiterii de către autoritățile franceze către Eurojust și către autoritățile sârbe a documentelor și a informațiilor solicitate de autoritățile sârbe în cadrul cererilor sale de asistență judiciară reciprocă, asupra legalității procedurii penale derulate în fața instanțelor sârbe și nici asupra Acordului ECA.

32

În al doilea rând, în ceea ce privește capătul de cerere întemeiat pe articolele 268 și 340 TFUE, trebuie amintit că instanța Uniunii este competentă să soluționeze o acțiune în despăgubire întemeiată pe aceste dispoziții numai dacă nelegalitatea invocată în susținerea cererii de despăgubire provine într‑adevăr de la o instituție, de la un organ, de la un oficiu sau de la o agenție a Uniunii și nu poate fi considerată imputabilă unei autorități naționale (a se vedea în acest sens Hotărârea din 16 decembrie 2020, Consiliul/K. Chrysostomides & Co. ș.a., C‑597/18 P, C‑598/18 P, C‑603/18 P și C‑604/18 P, EU:C:2020:1028, punctele 80, 106 și 107).

33

În plus, atunci când răspunderea Uniunii este angajată în temeiul unui act sau al unui comportament al uneia dintre instituțiile sale ori al unuia dintre organele, oficiile sau agențiile sale, aceasta este reprezentată în fața Tribunalului de instituția sau de instituțiile, organele, oficiile sau agențiile cărora li se reproșează faptul generator al răspunderii (Hotărârea din 13 noiembrie 1973, Werhahn Hansamühle ș.a./Consiliul și Comisia, 63/72-69/72, EU:C:1973:121, punctul 7).

34

Astfel, răspunderea Uniunii în temeiul articolelor 268 și 340 TFUE nu poate fi pusă în sarcina unei instituții, a unui organ, a unui oficiu sau a unei agenții a Uniunii separat de cea sau de cel căreia/căruia îi este reproșat faptul generator de răspundere, cu excepția cazului în care legiuitorul Uniunii a prevăzut în mod expres un regim derogatoriu de răspundere solidară fie între una dintre aceste instituții sau unul/una dintre aceste organe, oficii sau agenții ale Uniunii și unul sau mai multe state membre, sau chiar una sau mai multe țări terțe, fie între mai multe instituții, organe, oficii sau agenții ale Uniunii (a se vedea prin analogie Hotărârea din 5 martie 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punctele 62 și 63).

35

În speță, trebuie să se constate că nici Regulamentul 2018/1727, nici vreun alt act de care reclamantul s‑a prevalat nu prevede un regim derogatoriu de răspundere solidară între Eurojust și statele membre sau între Eurojust și Republica Serbia.

36

Totodată, ca răspuns la o întrebare a Tribunalului adresată în ședință, reclamantul a arătat că acest capăt de cerere în despăgubire nu se întemeiază pe o eventuală răspundere solidară a Europol pentru faptele Eurojust sau chiar a Eurojust pentru faptele Europol, ci numai pe răspunderea solidară a Europol pentru faptele statelor membre.

37

Or, astfel cum a statuat Curtea, din interpretarea coroborată a considerentului (57) cu articolul 49 alineatele (3) și (4) și cu articolul 50 din Regulamentul 2016/794 trebuie să se deducă un regim derogatoriu de răspundere solidară a Europol pentru faptele statelor membre (se vedea în acest sens Hotărârea din 5 martie 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punctele 62 și 63).

38

În temeiul acestui regim, o persoană fizică poate angaja răspunderea Europol în fața instanței Uniunii pentru orice prelucrare ilegală de date care a avut loc în cadrul unei cooperări întemeiate pe Regulamentul 2016/794 între aceasta și un stat membru și care i‑a cauzat un prejudiciu (a se vedea în acest sens Hotărârea din 5 martie 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punctele 62 și 63).

39

În speță, trebuie să se constate că cooperarea referitoare la serviciul Sky ECC a început în cursul lunii mai 2019 și era încă desfășurare la data ședinței, astfel cum a arătat Europol ca răspuns la o întrebare a Tribunalului adresată în ședință.

40

În plus, reclamantul se prevalează de faptul, pe care Europol l‑a confirmat ca răspuns la o întrebare a Tribunalului adresată în ședință, că datele cu caracter personal provenite din serviciul Sky ECC și care îl priveau, pe de o parte, au fost schimbate în cadrul acestei cooperări survenite între Europol și autoritățile belgiene, franceze și neerlandeze și, pe de altă parte, rămân în mâinile Europol.

41

Având în vedere cele de mai sus, Tribunalul nu este competent să se pronunțe cu privire la al doilea capăt de cerere prin care se urmărește să se constate răspunderea Eurojust pentru faptele Regatului Belgiei, ale Republicii Franceze și ale Regatului Țărilor de Jos sau chiar ale Republicii Serbia sau chiar ale Europol.

42

În schimb, Tribunalul este competent să se pronunțe cu privire la al doilea capăt de cerere în măsura în care urmărește să se constate răspunderea Eurojust pentru propriile comportamente, precum și răspunderea Europol pentru comportamente imputabile atât ei înseși, cât și statelor membre care au participat la cooperarea referitoare la serviciul Sky ECC.

43

În ceea ce privește răspunderea solidară a Europol pentru comportamentele imputabile autorităților belgiene, franceze sau neerlandeze, pe de o parte, trebuie arătat că, ținând seama de data ultimei fapte reproșate de reclamant Europol și Eurojust – și anume un schimb de date cu caracter personal care a avut loc la 24 iunie 2022 –, se aplică în prezentul litigiu doar regimul răspunderii solidare prevăzut de Regulamentul 2016/794 în versiunea sa inițială, în vigoare până la 27 iunie 2022 (a se vedea în acest sens Hotărârea din 10 septembrie 2019, HTTS/Consiliul,C‑123/18 P, EU:C:2019:694, punctul 39).

44

Pe de altă parte, din articolul 276 TFUE reiese că, în exercitarea atribuțiilor sale privind dispozițiile capitolelor 4 și 5 din titlul V din partea a treia din Tratatul FUE, referitoare la spațiul de libertate, securitate și justiție, instanța Uniunii nu este competentă să verifice validitatea sau proporționalitatea operațiunilor desfășurate de poliție sau de alte servicii de aplicare a legii într‑un stat membru.

45

Astfel, în pofida regimului răspunderii solidare prevăzut la articolul 50 alineatul (1) din Regulamentul 2016/794, Europol nu poate fi considerat solidar responsabil pentru eventualul prejudiciu care decurge din prelucrările ilegale ale datelor cu caracter personal ale unei persoane fizice care au avut loc cu ocazia unor operațiuni efectuate de poliție sau de alte servicii de aplicare a legii ale unui stat membru, chiar dacă aceste prelucrări au survenit în cadrul unei cooperări întemeiate pe acest regulament (a se vedea prin analogie Hotărârea din 10 septembrie 2024, KS ș.a./Consiliul ș.a.,C‑29/22 P și C‑44/22 P, EU:C:2024:725, punctul 91).

46

În pofida competenței sale de a se pronunța cu privire la al doilea capăt de cerere privind răspunderea solidară a Europol pentru comportamente imputabile în special autorităților franceze, Tribunalul nu este deci competent să se pronunțe cu privire la susținerile reclamantului întemeiate pe prejudiciile care i‑ar fi fost cauzate prin operațiunile de interceptare a datelor sale cu caracter personal survenite în cadrul operațiunilor polițienești desfășurate de autoritățile franceze.

47

În aceste condiții și înainte de a examina cauzele de inadmisibilitate invocate de Europol și de Eurojust, precum și temeinicia capetelor de cerere prezentate de reclamant, este necesar să se identifice comportamentele și actele reproșate de reclamant cu privire la care instanța Uniunii este abilitată să se pronunțe și să se stabilească dacă ele sunt imputabile Europol sau Eurojust și, dacă este cazul, comportamentele sau actele care nu sunt imputabile Europol, dar care ar putea conduce totuși la angajarea răspunderii acesteia în temeiul regimului derogatoriu de răspundere solidară prevăzut la articolul 50 alineatul (1) din Regulamentul 2016/794.

48

Reclamantul susține că sunt contrare dreptului Uniunii colectarea, prelucrarea și transmiterea, survenite în cadrul anchetelor penale referitoare la serviciul Sky ECC, ale datelor sale cu caracter personal la care au participat autoritățile belgiene, franceze și neerlandeze, precum și Europol și Eurojust și care au condus la declanșarea urmăririlor penale menționate la punctul 2 de mai sus.

49

Mai precis, și în lumina exclusiv a elementelor de care a putut lua cunoștință cu ocazia consultării dosarelor referitoare la procedurile penale inițiate împotriva sa, reclamantul reproșează „Europol și/sau Eurojust” prelucrarea datelor sale cu caracter personal „de la prima lor interceptare în anul 2019” până la data de 24 iunie 2022, data transmiterii de către Eurojust către autoritățile sârbe a unui e‑mail al autorităților franceze care conține un link către un site de descărcare securizat care conține în special unele dintre conversațiile sale provenite de la serviciul Sky ECC (punctul 16 de mai sus).

50

În acest sens, reclamantul susține că Europol „a sprijinit efectuarea unor anchete pe teritoriul a numeroase țări, în interiorul și în afara Uniunii”. În plus, Europol ar fi organizat o reuniune cu autoritățile belgiene, franceze și neerlandeze la 27 mai 2019, ocazie cu care au fost partajate metadatele a peste 9000 de mesaje provenind de la sau adresate unor utilizatori ai serviciului Sky ECC. În luna iunie 2019, datele obținute de autoritățile franceze cu ocazia operațiunilor de interceptare ar fi fost partajate prin intermediul Europol cu autoritățile belgiene și neerlandeze cu ajutorul sistemului său securizat de schimb de informații intitulat „Secure Information Exchange Network Application” [aplicația de rețea pentru schimbul securizat de informații (SIENA)].

51

Mai mult, Europol și Eurojust ar fi fost implicate, începând din luna decembrie 2020, într‑o operațiune de colectare a cheilor de decriptare a mesajelor obținute de la mijlocul anului 2019 în cadrul conservării, decriptării și transferului acestor mesaje, precum și, în luna martie a anului 2021, în cadrul unei „operațiuni în cursul căreia Sky ECC a fost «doborât»”. Reclamantul susține de asemenea că Europol și Eurojust au participat, în 23 și 24 iulie 2020, la un grup de lucru tehnic al ECA în cadrul căruia au fost descoperite noi mesaje criptate, precum și la reuniuni care au avut loc la data de 28 august 2019, 7 septembrie 2020 și 11 februarie 2021.

52

În legătură îndeosebi cu urmăririle penale în care este implicat în Serbia, reclamantul arată că Eurojust a primit la 6 iunie 2022 o cerere de cooperare din partea autorităților sârbe în urma căreia autoritățile franceze au transmis autorităților sârbe, în ziua de 24 iunie, prin intermediul Eurojust, date provenite de la serviciul Sky ECC care îl vizau (denumită în continuare „transmiterea din 24 iunie 2022”). În plus, în luna iunie 2022, Europol a informat autoritățile sârbe că analizele sale îl identificau pe reclamant a fi în spatele unui anume „identificator Sky ECC”. În sfârșit, între autoritățile sârbe și Europol au avut loc și alte contacte în legătură cu grupul infracțional la care se prezuma că aderase reclamantul.

53

Europol și Eurojust contestă că ar fi luat parte la unele dintre faptele evocate de reclamant.

54

În înscrisurile sale, Europol arată că ECA a condus la partajarea între ea și cele trei state membre în cauză a datelor interceptate de autoritățile franceze în scopul analizării, precum și la partajarea rezultatelor acestor analize.

55

În acest sens, Europol recunoaște că, în cadrul reuniunii din 27 mai 2019, evocată de reclamant la punctul 50 de mai sus, a fost destinatara metadatelor referitoare la peste 9000 de mesaje schimbate.

56

Europol mai arată că, începând cu 18 martie 2021, a primit efectiv date provenite de la serviciul Sky ECC transmise de autoritățile franceze și le‑a analizat, apoi a transmis rezultatul analizelor sale autorităților belgiene, franceze și neerlandeze, în special sub forma unor analize specifice anumitor țări.

57

Pe de altă parte, Europol nu contestă că a participat la 28 august 2019 la o reuniune în care au fost evocate consecințele unei eventuale destructurări a infrastructurii serviciului Sky ECC, precum și la un grup de lucru tehnic al ECA, organizat la 23 și 24 iulie 2020, ocazie cu care au fost descoperite noi mesaje criptate.

58

În măsura în care nu sunt contestate de Europol, ci, dimpotrivă, sunt confirmate, faptele evocate la punctele 54-57 de mai sus trebuie să fie, așadar, considerate ca fiind dovedite și imputabile acestuia.

59

În schimb, în primul rând, reclamantul nu furnizează nicio probă și nici măcar un început de probă de natură să demonstreze că Europol a participat sau a contribuit la operațiunile de interceptare a datelor care intră și ies din serverele serviciului Sky ECC situate în Franța.

60

Pe lângă contestarea de către Europol a acestor fapte, susținerea reclamantului nu se coroborează nici cu faptul că Europol a putut participa sau avea inițiativa reuniunii din 27 mai 2019, nici cu comisia rogatorie adresată de autoritățile sârbe omologilor lor francezi, depusă în anexa A.17 și care viza „analiza datelor obținute de Europol pe baza aplicației Sky ECC”. Dimpotrivă, anexa A.6 tinde să demonstreze că operațiunile de interceptare au fost efectuate numai de autoritățile franceze, fapt confirmat și de anexa A.14.

61

În al doilea rând, chiar dacă Europol nu contestă că a participat la reuniunile din 7 septembrie 2020 și din 11 februarie 2021, trebuie totuși să se constate că documentul provenit de la rechtbank van eerste aanleg te Antwerpen (Tribunalul de Primă Instanță din Antwerpen, Belgia), anexat la cererea introductivă în susținerea afirmației reclamantului, menționează, desigur, o reuniune care urma să aibă loc la 7 septembrie 2020, dar precizează numai că autoritățile franceze și neerlandeze, iar nu Europol, ar trebui să participe la aceasta. Nici cererea de asistență tehnică a cour d’appel de Paris (Curtea de Apel din Paris, Franța), anexată la cererea introductivă în susținerea afirmației reclamantului, nu evocă nicio reuniune care să se fi desfășurat la 11 februarie 2021 și nici însăși Europolul.

62

În al treilea rând, reclamantul nu aduce nicio dovadă și nici măcar un început de probă de natură să demonstreze că Europol ar fi participat la „«ziua de acțiune» [din luna] martie 2021 în cursul căreia Sky ECC a fost «doborâtă»”. Astfel, transcrierea conferinței de presă a Ministerului Public belgian, vizată în cererea introductivă, privește, desigur, această „zi de acțiune”, dar nu menționează Europolul. Și schimbul de e‑mailuri, anexat la cererea introductivă, se limitează să menționeze transferuri de date provenite din serviciul Sky ECC prin intermediul Europol, fără a demonstra implicarea acesteia din urmă în „ziua de acțiune” menționată.

63

În al patrulea rând, reclamantul nu aduce nicio probă și nici măcar un început de probă de natură să demonstreze că Europol a transmis autorităților sârbe informația că el se dovedea a fi persoana aflată în spatele identificatorului „DFKNBQ” al serviciului Sky ECC.

64

Astfel, anexa A.17, de care se prevalează reclamantul și care pune efectiv numele său în legătură cu identificatorul „DFKNBQ” al serviciului Sky ECC, precum și cu numele de utilizator „CHE GUEVARA”, se dovedește a fi o cerere prezentată de Parchetul pentru crimă organizată din Republica Serbia prin care se solicită autorităților franceze comunicarea mesajelor vocale, a mesajelor text, a materialelor video și a fotografiilor aparținând în special reclamantului și aflate pe serverele serviciului Sky ECC confiscate de aceste ultime autorități, fără menționarea în vreun fel a Europol.

65

În plus, Parchetul sârb arată în cuprinsul cererii că, „prin acțiunile [proprii] și prin munca ulterioară a Ministerului de Interne al Republicii Serbia, [au] fost informați că, în cadrul analizei datelor obținute de Europol pe baza aplicației Sky ECC, [utilizatorul] PIN‑ului DFKNBQ [și al] numelui de utilizator CHE GUEVARA [era BW]”, ceea ce tinde să stabilească faptul că această informație nu a fost furnizată de Europol.

66

În al cincilea rând, reclamantul nu aduce nicio probă și nici măcar un început de probă de natură să demonstreze că Europol ar fi fost implicată în punerea la dispoziția autorităților sârbe, la 24 iunie 2022, de către autoritățile franceze a documentelor și a informațiilor provenite din serviciul Sky ECC care îl privesc.

67

Astfel cum reiese din anexa A.15, transmiterea acestor documente și a acestor informații de către Eurojust autorităților sârbe, în urma unei cereri de asistență judiciară reciprocă a acestora, a fost făcută prin redirecționarea către acestea din urmă a unui e‑mail adresat Eurojust de autoritățile franceze și care conținea linkuri către un site de descărcare securizat.

68

În consecință, în prezenta acțiune, reclamantul nu se poate prevala împotriva Europol de faptele nedovedite evocate la punctele 59-67 de mai sus.

69

Având în vedere cele ce precedă și ținând seama de afirmația reclamantului, consemnată în procesul‑verbal al ședinței, că ultimul act reproșat Europol și Eurojust a avut loc la 24 iunie 2022, este necesar să se constate că sunt dovedite și pot susține concluziile reclamantului formulate împotriva Europol doar faptele menționate la punctele 55-57 de mai sus și anterioare acestei date – și anume primirea, prelucrarea și partajarea, începând cu data de 27 mai 2019, a datelor provenite de la serviciul Sky ECC interceptate de autoritățile franceze, precum și participarea la reuniunea din 28 august 2019 și la grupul de lucru din 23 și 24 iulie 2020.

70

În înscrisurile sale, Eurojust arată că a fost implicată în două rânduri în faptele avute în vedere de reclamant.

71

Pe de o parte, Eurojust precizează că, în cadrul ECA privind serviciul Sky ECC, a furnizat sprijin și consiliere cu privire la posibilitățile de cooperare judiciară și că a organizat mai multe reuniuni de coordonare între autoritățile belgiene, franceze și neerlandeze, precum și Europol. Aceste reuniuni, care au avut loc la 25 aprilie 2019, la 7 septembrie 2020 și la 11 februarie 2021, au determinat autoritățile acestor state membre să prezinte informații actualizate cu privire la evoluția anchetelor lor privind serviciul Sky ECC și să discute despre cea mai bună modalitate de a avansa în anchete.

72

Pe de altă parte, în cererile de sprijin formulate de autoritățile sârbe în legătură cu unele anchete penale inițiate în Serbia împotriva unei organizații criminale – din care reclamantul ar face parte – implicată într‑un trafic de stupefiante care tranzitează în special Rotterdamul, Eurojust precizează că, pe de o parte, a coordonat anchete neerlandeze și sârbe și, pe de altă parte, a înlesnit transmiterea și executarea cererilor de asistență judiciară reciprocă pe care autoritățile sârbe le‑au adresat autorităților franceze.

73

În ceea ce privește cooperarea dintre autoritățile neerlandeze și sârbe, Eurojust confirmă că au avut loc trei reuniuni de coordonare cu participarea acestor autorități, la 23 mai, la 16 noiembrie și la 8 decembrie 2022, ocazie cu care au făcut schimb de informații cu privire la întinderea și la stadiul anchetelor lor respective, precum și cu privire la nevoile lor respective în materie de cooperare judiciară, și anume să se ajungă la un acord cu privire la modul de continuare a cooperării lor în materie de schimb de informații și de probe, precum și să își coordoneze strategiile de urmărire penală în vederea prevenirii conflictelor de competență și a urmăririlor penale paralele a acelorași suspecți pentru aceleași fapte.

74

Eurojust mai arată că a înlesnit transferul anumitor cereri de asistență judiciară între Republica Serbia și Regatul Țărilor de Jos, în special cea din 7 octombrie 2022, și de asemenea că a fost informată, pe de o parte, cu privire la organizarea de către autoritățile neerlandeze a unei reuniuni cu autoritățile sârbe, la 3 mai 2023, destinată informării acestora din urmă cu privire la arestarea preconizată a reclamantului, și, pe de altă parte, cu privire la faptul că, în cursul acelei reuniuni, aceste autorități au ajuns la un acord provizoriu cu privire la o strategie coordonată de urmărire penală a acestuia pentru confiscarea din 4 august 2020 pentru a se evita urmărirea sa penală în cele două state pentru aceleași fapte.

75

În ceea ce privește cooperarea dintre autoritățile franceze și sârbe, Eurojust precizează că, în urma a patru cereri de asistență judiciară reciprocă, a transmis magistratului sârb de legătură printr‑un e‑mail un hiperlink cu o durată de valabilitate limitată către un site de descărcare securizat printr‑o parolă, furnizat de autoritățile franceze, prin care acestea din urmă puneau la dispoziția exclusiv a autorităților sârbe informațiile privind anumite discuții provenite din serviciul Sky ECC și legate de identificatori de conexiune determinați în mod specific, printre care figurau cele ale reclamantului.

76

În plus, din elementele de probă furnizate de reclamant reiese că transmiterea din 24 iunie 2022, menționată la punctul 75 de mai sus, este recunoscută de Eurojust.

77

În schimb, în primul rând, reclamantul nu furnizează nicio probă și nici măcar un început de probă de natură să demonstreze că Eurojust a fost invitată sau a asistat la reuniunea din 27 mai 2019, menționată la punctul 55 de mai sus, și că a fost, în acest context, destinatară a metadatelor referitoare la cele 9000 mesaje schimbate cu această ocazie.

78

Astfel, în niciuna dintre cele cinci anexe invocate de reclamant în susținerea afirmației sale nu este menționată Eurojust, cu excepția unui mod cu totul general și fără legătură directă cu reuniunea din 27 mai 2019.

79

În al doilea rând, reclamantul nu furnizează nicio probă și nici măcar un început de probă de natură să demonstreze că Eurojust a asistat la grupul de lucru tehnic din 23 și 24 iulie 2020, menționat la punctul 51 de mai sus.

80

Pe lângă faptul că reclamantul recunoaște chiar el că „nu [a dat atenție] dacă erau prezenți colaboratori ai […] Eurojust” la acest grup de lucru, Eurojust susține că nu a participat la acesta, iar documentul pe care se întemeiază reclamantul nu lasă nici cea mai mică posibilitate de îndoială în această privință.

81

În al treilea rând, reclamantul nu furnizează nicio probă și nici măcar un început de probă de natură să demonstreze că Eurojust a participat la schimbul tuturor datelor provenite din serviciul Sky ECC sau la pachete naționale de informații ale serviciului menționat prin intermediul SIENA, Eurojust nefiind menționată în documentul pe care se întemeiază reclamantul.

82

În ceea ce privește, mai exact, pretinsa participare a Eurojust la un schimb de metadate în cursul lunii februarie 2022, faptul că, prin e‑mailul anexat de reclamant la cererea introductivă, un expert național detașat la Eurojust informează un procuror al Land Hessen (landul Hessen, Germania) despre faptul că „geodatele furnizorului neerlandez vor fi transmise Europol de autoritățile neerlandeze la sfârșitul lunii februarie 2022 cu o autorizare generală de utilizare” nu permite să se deducă faptul că și aceste metadate au fost comunicate Eurojust.

83

În al patrulea rând, pentru aceleași motive precum cele evocate cu privire la Europol la punctele 64 și 65 de mai sus, reclamantul nu furnizează nicio probă și nici măcar un început de probă de natură să demonstreze că Eurojust ar fi transmis autorităților sârbe informația potrivit căreia se dovedea a fi persoana care se afla în spatele identificatorului „DFKNBQ” din cadrul serviciului Sky ECC.

84

Prin urmare, în prezenta acțiune, reclamantul nu poate să se prevaleze împotriva Eurojust de faptele nedovedite menționate la punctele 77-83 de mai sus.

85

Având în vedere cele de mai sus și ținând seama de afirmația reclamantului, consemnată în procesul‑verbal de ședință, că ultimul act reproșat Eurojust și Europol a survenit la 24 iunie 2022, este necesar să se constate că numai faptele menționate la punctele 71-76 de mai sus și anterioare acestei date – și anume participarea Eurojust la reuniunile de coordonare ale autorităților belgiene, franceze și neerlandeze, precum și a Europol din 25 aprilie 2019, din 7 septembrie 2020 și din 11 februarie 2021, participarea sa la reuniunea de coordonare a anchetelor neerlandeză și sârbă din 23 mai 2022, transmiterea de către aceasta, la 24 iunie 2022, autorităților sârbe a e‑mailului autorităților franceze care conținea un link către un site de descărcare a datelor cu caracter personal ale reclamantului – sunt dovedite și pot susține concluziile reclamantului îndreptate împotriva Eurojust.

86

Ținând seama de punctele 55-57 și 71-76 de mai sus, trebuie să se constate că reclamantul a dovedit faptele prezentate în continuare.

87

În primul rând, la 27 mai 2019, autoritățile belgiene, franceze și neerlandeze au participat la o reuniune în care metadatele a peste 9000 de mesaje provenite de la serviciul Sky ECC au făcut obiectul unui schimb între aceste state membre și Europol.

88

În al doilea rând, începând din luna iunie 2019, Republica Franceză a transmis Europol datele provenite din serviciul Sky ECC, care au fost prelucrate apoi de Europol, rezultatele prelucrării fiind transmise ulterior de aceasta autorităților belgiene, franceze și neerlandeze.

89

În al treilea rând, autoritățile belgiene, franceze și neerlandeze au participat la 28 august 2019 la o reuniune în care au fost evocate consecințele unei eventuale destructurări a infrastructurii serviciului Sky ECC, dar și la un grup de lucru tehnic al ECA, la 23 și 24 iulie 2020, în cadrul căruia au fost descoperite noi mesaje criptate.

90

În al patrulea rând, la 25 aprilie 2019, la 7 septembrie 2020 și la 11 februarie 2021, autoritățile belgiene, franceze și neerlandeze au participat la reuniuni de coordonare, ocazie cu care au prezentat informații actualizate despre evoluția anchetelor lor în privința serviciului Sky ECC și au discutat despre cea mai bună modalitate de a progresa în anchete.

91

În al cincilea rând, cu ocazia reuniunii din 23 mai 2022, autoritățile neerlandeze au transmis autorităților sârbe, prin intermediul Eurojust, informații cu privire la domeniul de aplicare și la stadiul anchetelor lor respective, precum și cu privire la nevoile lor în materie de cooperare judiciară.

92

În al șaselea rând, la 24 iunie 2022, autoritățile franceze au transmis prin Eurojust autorităților sârbe un link către un site de descărcare securizat prin care erau puse la dispoziția acestei țări terțe informațiile privind anumite conversații provenite din serviciul Sky ECC și legate de identificatori de conectare determinați în mod specific, printre care se numărau cele ale reclamantului.

93

Cu toate acestea, posibilitatea reclamantului de a se prevala de astfel de fapte imputabile unor state membre în solicitări de despăgubire formulate împotriva Europol în temeiul articolului 50 alineatul (1) din Regulamentul 2016/794 presupune ca aceste fapte să fi survenit în cadrul unei cooperări bazate pe Regulamentului 2016/794 (a se vedea în acest sens Hotărârea din 5 martie 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punctele 62 și 63) și să privească datele sale cu caracter personal.

94

Astfel cum s‑a arătat la punctul 39 de mai sus, cooperarea referitoare la serviciul Sky ECC a început în luna mai 2019, iar elementele furnizate de Eurojust și de Europol nu permit să se deducă faptul că faptele sau comportamentele imputabile autorităților belgiene, franceze sau neerlandeze, menționate la punctele 87-92 de mai sus, nu aveau legătură cu această cooperare.

95

În schimb, reclamantul nu furnizează nicio probă și nici măcar un început de probă de natură să demonstreze că schimbul de metadate din peste 9000 de mesaje care a avut loc la 27 mai 2019, reuniunile din 25 aprilie și din 28 august 2019, din 7 septembrie 2020, din 11 februarie 2021 și din 23 mai 2022 sau chiar grupul de lucru tehnic al ECA din 23 și 24 iulie 2020 au prilejuit efectuarea de către autoritățile belgiene, franceze sau olandeze a unui schimb de date cu caracter personal care îl privesc, în sensul articolului 50 alineatul (1) din Regulamentul 2016/794.

96

Prin urmare, Tribunalul nu este competent să se pronunțe, în cadrul capătului de cerere în despăgubire îndreptat împotriva Europol și întemeiat pe articolul 50 alineatul (1) din Regulamentul 2016/794, cu privire la afirmațiile care se întemeiază pe faptele sau pe actele autorităților belgiene, franceze sau neerlandeze menționate la punctul 95 de mai sus.

97

În schimb, elementele de probă sau începuturile de probă furnizate de reclamant permit să se stabilească faptul că, în perioada cuprinsă între 27 mai 2019 și 24 iunie 2022, datele cu caracter personal care îl privesc și provenite din serviciul Sky ECC au fost prelucrate, în primul rând, de autoritățile franceze în cadrul transmiterii către Europol a datelor interceptate pe serverele serviciului Sky ECC, în al doilea rând, de autoritățile belgiene, franceze și neerlandeze în cadrul primirii acestor date de la Europol înainte sau după prelucrare și, în al treilea rând, cu ocazia transmiterii lor, la 24 iunie 2022, de către autoritățile franceze, prin intermediul Eurojust, autorităților sârbe.

98

În consecință, numai faptele și comportamentele menționate la punctul 97 de mai sus vor fi examinate în cadrul acelei părți a capătului de cerere în despăgubire formulat împotriva Europol și întemeiate pe articolul 50 alineatul (1) din Regulamentul 2016/794.

99

Ținând seama de capetele de cerere formulate de reclamant, amintite la punctele 14-19 de mai sus, și în pofida faptului că acesta a formulat patru motive identice în susținerea celor două capete de cerere și s‑a prevalat de aceleași fapte în susținerea lor, trebuie să se examineze succesiv capătul de cerere întemeiat pe articolul 263 TFUE și întemeiat pe nelegalitatea anumitor acte sau comportamente ale Europol și ale Eurojust survenite în cadrul „operațiunii Sky ECC” și apoi capătul de cerere în despăgubire prin care solicită acordarea de daune interese în temeiul articolelor 268 și 340 TFUE, al articolului 50 din Regulamentul 2016/794 și al articolului 46 din Regulamentul 2018/1727.

100

De la bun început, trebuie arătat că Europol și Eurojust invocă, împreună sau separat, mai multe cauze de inadmisibilitate, întemeiate, în primul rând, pe inadmisibilitatea acțiunii în ansamblul său ca urmare a unui abuz de procedură, în al doilea rând, pe tardivitatea acțiunii în ceea ce privește concluziile în anulare, în al treilea rând, pe faptul că prelucrările datelor provenite din serviciul Sky ECC și referitoare la reclamant nu constituie acte atacabile, în al patrulea rând, pe inadmisibilitatea concluziilor în despăgubire ca urmare a faptului că reclamantul nu a dovedit corespunzător cerințelor legale prejudiciile invocate și că a eludat căile legale.

101

În această privință, trebuie amintit că instanța Uniunii are dreptul să aprecieze, potrivit împrejurărilor fiecărei spețe, dacă buna administrare a justiției justifică respingerea pe fond a acțiunii, fără a se pronunța în prealabil cu privire la admisibilitate (a se vedea în acest sens Hotărârea din 26 februarie 2002, Consiliul/Boehringer,C‑23/00 P, EU:C:2002:118, punctele 51 și 52).

102

În speță, Tribunalul consideră că este necesar, din motive de economie a procedurii, să examineze numai cauza de inadmisibilitate întemeiată pe faptul că prelucrările datelor provenite din serviciul Sky ECC și care îl privesc pe reclamant nu constituie acte atacabile, fără a se pronunța în prealabil cu privire la celelalte cauze de inadmisibilitate, acțiunea fiind, în orice caz și pentru motivele prezentate în continuare, nefondată.

103

În susținerea primului capăt de cerere întemeiat pe articolul 263 TFUE, reclamantul invocă în mod deosebit nelegalitatea anumitor acte sau comportamente ale Europol și Eurojust în cadrul „operațiunii Sky ECC” în temeiul articolului 277 TFUE.

104

Articolul 263 TFUE permite contestarea legalității actelor adoptate, printre altele, de agențiile Uniunii, sub rezerva respectării anumitor condiții de admisibilitate.

105

Europol și Eurojust susțin că prelucrarea datelor provenite din serviciul Sky ECC și referitoare la reclamant nu constituie acte atacabile întrucât situația sa juridică nu este afectată.

106

După cum reiese din cuprinsul punctului 58 de mai sus, reclamantul reproșează Europol primirea, prelucrarea și partajarea, începând cu 27 mai 2019, a datelor serviciului Sky ECC care îl privesc interceptate de autoritățile franceze, precum și participarea sa la reuniunea din 28 august 2019 și la grupul de lucru din 23 și 24 iulie 2020.

107

Astfel cum reiese din cuprinsul punctului 85 de mai sus, reclamantul reproșează Eurojust participarea sa la reuniunile de coordonare dintre autoritățile belgiene, franceze și neerlandeze, precum și Europol din 25 aprilie 2019, din 7 septembrie 2020 și din 11 februarie 2021, participarea sa la reuniunea de coordonare a anchetelor neerlandeză și sârbă din 23 mai 2022, precum și transmiterea din 24 iunie 2022.

108

Cu excepția transmiterii din 24 iunie 2022, toate actele sau comportamentele menționate la punctele 106 și 107 de mai sus constituie acte sau comportamente de natură pregătitoare, care nu pot produce efecte juridice obligatorii de natură să afecteze interesele reclamantului prin modificarea într‑un mod distinct a situației juridice a acestuia, în sensul jurisprudenței constante a Curții (a se vedea în acest sens Hotărârea din 11 noiembrie 1981, IBM/Comisia,60/81, EU:C:1981:264, punctul 9, și Hotărârea din 30 noiembrie 2023, Sistem ecologica/Comisia, C‑787/22 P, nepublicată, EU:C:2023:940, punctul 51).

109

În ceea ce privește participarea Europol și a Eurojust la reuniunile sau la grupurile de lucru în cauză, presupunând că aceste reuniuni și grupuri au determinat prelucrarea datelor cu caracter personal ale reclamantului, trebuie să se constate că acestea nu constituie decât etape ale anchetelor penale în curs și se limitează la crearea condițiilor de desfășurare ulterioară a acestora, fără a modifica drepturile reclamantului și fără a aduce atingere vreunuia dintre drepturile sale procedurale.

110

Astfel, participarea la aceste reuniuni sau grupuri de lucru nu constituie etapa ultimă a unei proceduri speciale distincte de cea care trebuie să permită instanțelor penale ale statelor membre în cauză să se pronunțe eventual cu privire la răspunderea penală a reclamantului (a se vedea în acest sens Hotărârea din 11 noiembrie 1981, IBM/Comisia,60/81, EU:C:1981:264, punctul 11, și Ordonanța din 9 septembrie 2020, IMG/Comisia, T‑645/19, nepublicată, EU:T:2020:388, punctul 48 și jurisprudența citată).

111

În ceea ce privește transmiterile de către Europol ale datelor cu caracter personal ale reclamantului provenite din serviciul Sky ECC autorităților din cele trei state membre, Regatul Belgiei, Republica Franceză și Regatul Țărilor de Jos, acestea nu se disting de transmiterile de către Oficiul European de Luptă Antifraudă (OLAF) ale rapoartelor sale finale și ale informațiilor către statele membre, care, potrivit unei jurisprudențe constante, nu sunt acte atacabile (a se vedea în acest sens Hotărârea din 30 noiembrie 2023, Sistem ecologica/Comisia, C‑787/22 P, nepublicată, EU:C:2023:940, punctele 55, 56, 60, 66 și 67, Hotărârea din 12 septembrie 2007, Nikolaou/Comisia, T‑259/03, nepublicată, EU:T:2007:254, punctele 244 și 245 și jurisprudența citată, și Hotărârea din 20 mai 2010, Comisia/Violetti ș.a.,T‑261/09 P, EU:T:2010:215, punctul 47 și jurisprudența citată).

112

Prin urmare, fără a fi necesar să se stabilească dacă, în lipsa formalizării diverselor comportamente reproșate de reclamant Europol și Eurojust, participarea acestora din urmă la reuniunile sau la grupul de lucru menționate la punctele 106 și 107 de mai sus, precum și transmiterea de către Europol a datelor cu caracter personal ale reclamantului provenite din serviciul Sky ECC autorităților belgiene, franceze și neerlandeze pot fi calificate drept „acte” în sensul articolului 263 TFUE, ele nu sunt oricum atacabile.

113

În schimb, în ceea ce privește transmiterea din 24 iunie 2022, trebuie să se recunoască faptul că aceasta reprezintă un act atacabil.

114

Reiese, este adevărat, din jurisprudența amintită la punctul 111 de mai sus că transmiterea de către OLAF de rapoarte finale și de informații către statele membre nu constituie un act atacabil.

115

Cu toate acestea, pentru a înlătura caracterul atacabil al transmiterilor OLAF, atât Curtea, cât și Tribunalul au avut ocazia să ia în considerare faptul că reclamantul avea la dispoziție și alte căi pentru asigurarea controlului de legalitate a acestor decizii de transmitere (a se vedea Hotărârea din 20 mai 2010, Comisia/Violetti ș.a.,T‑261/09 P, EU:T:2010:215, punctul 48 și jurisprudența citată), inclusiv cea din procedura preliminară [a se vedea în acest sens Ordonanța din 19 aprilie 2005, Tillack/Comisia,C‑521/04 P(R), EU:C:2005:240, punctul 39].

116

Or, transmiterea din 24 iunie 2022 nu a avut loc între o agenție a Uniunii și autoritățile unui stat membru, ci autoritățile unei țări terțe, mai precis Republica Serbia.

117

Așadar, neexistând posibilitatea de a o contesta în prezenta acțiune, legalitatea transmiterii din 24 iunie 2022 în raport cu dreptul Uniunii nu va mai putea face obiectul unei contestații, iar datele cu caracter personal pe care le conține vor putea fi considerate legal transmise autorităților sârbe, fără ca reclamantul să poată obține ulterior de la instanțele din această țară terță o apreciere a validității transmiterii respective în raport cu dreptul Uniunii sau o sesizare a Curții cu o întrebare preliminară referitoare la aprecierea validității sale.

118

În acest sens, transmiterea din 24 iunie 2022 constituie ultima etapă a unei proceduri speciale prin care Eurojust transmite autorităților unei țări terțe, la cererea acestora, date cu caracter personal ale unei persoane identificate.

119

În plus, recunoașterea caracterului atacabil al transmiterii din 24 iunie 2022 este singura în măsură să garanteze controlul efectiv de către o autoritate judiciară sau de către un alt organ independent al transferului de date cu caracter personal interceptate și al utilizării lor în alte scopuri decât cele urmărite de instanța penală pentru care au fost colectate inițial (a se vedea în acest sens Curtea EDO, 1 aprilie 2025, Ships Waste Oil Collector B. V. ș.a. împotriva Țărilor de Jos, CE:ECHR:2025:0401JUD000279916, § 160 și 183 și jurisprudența citată).

120

În această privință, faptul, evocat de Eurojust, că reclamantul ar putea sesiza instanțele franceze cu o acțiune sau că poate sesiza Curtea Europeană a Drepturilor Omului (denumită în continuare „Curtea EDO”) după o eventuală condamnare de către instanțele penale sârbe este irelevant.

121

Pe de o parte, instanțele franceze nu pot fi sesizate cu o acțiune în anulare îndreptată împotriva unui act al unei agenții a Uniunii.

122

Pe de altă parte, în lipsa aderării Uniunii la Convenția pentru apărarea drepturilor omului și a libertăților fundamentale, semnată la Roma la 4 noiembrie 1950 (denumită în continuare „CEDO”), Curtea EDO nu poate constata o încălcare de către Uniune a acestei convenții, mai ales în cadrul unei acțiuni introduse împotriva unei țări terțe.

123

Având în vedere cele ce precedă, este necesar să se admită cauza de inadmisibilitate invocată de Europol și de Eurojust și să se constate caracterul neatacabil al actelor sau al comportamentelor criticate de reclamant, cu excepția transmiterii din 24 iunie 2022.

124

Trebuie să se constate că reclamantul nu demonstrează motivele pentru care transmiterea din 24 iunie 2022 ar fi condus la o prelucrare ilegală a datelor sale cu caracter personal.

125

În primul rând, articolul 45 alineatul (2) litera (b) din Regulamentul 2018/1727 prevede că responsabilitatea pentru exactitatea datelor operaționale cu caracter personal aparține statului membru care a furnizat datele agenției Eurojust în cazul în care, precum în speță, datele furnizate nu au fost modificate în cursul prelucrării efectuate de Eurojust, aspect necontestat de reclamant.

126

În al doilea rând, trebuie să se constate că, în ceea ce privește punerea la dispoziția autorităților sârbe de către autoritățile franceze prin intermediul Eurojust a conversațiilor reclamantului, pe de o parte, niciun element nu permite să se considere că această prelucrare a datelor cu caracter personal nu era echitabilă, legală și efectuată într‑un scop determinat, explicit și legitim în sensul articolului 71 alineatul (1) literele (a) și (b) din Regulamentul 2018/1725.

127

Primo, această prelucrare intra în sfera sarcinilor Eurojust și era necesară pentru îndeplinirea acestor sarcini. Secundo, nu reiese din niciun element din dosar că datele cu caracter personal ale reclamantului ar fi fost prelucrate în alte scopuri decât aceste sarcini. Tertio, prelucrarea menționată a fost efectuată la cererea autorităților franceze și în executarea cererilor prealabile de asistență judiciară. Quarto, transferul datelor cu caracter personal ale reclamantului către autoritățile sârbe avea ca temei articolul 56 alineatul (2) litera (b) din Regulamentul 2018/1727 și Acordul de cooperare care permitea schimbul de date operaționale cu caracter personal, încheiat între Eurojust și Republica Serbia la 12 noiembrie 2019.

128

Pe de altă parte, punerea la dispoziția autorităților sârbe de către autoritățile franceze prin intermediul Eurojust a conversațiilor reclamantului era de asemenea proporțională și suficient de securizată, în sensul articolului 71 alineatul (1) literele (c), (d) și (e) din Regulamentul 2018/1725. Astfel, aceasta a luat forma unei puneri la dispoziție a unui link către un site de descărcare securizat printr‑o parolă furnizată de autoritățile franceze și nimic nu permite punerea la îndoială a afirmației Eurojust potrivit căreia s‑a abținut să acceseze datele în cauză și nu le‑a descărcat, stocat sau copiat în propriile sisteme informatice.

129

Pe de altă parte, în ceea ce privește afirmația reclamantului întemeiată pe încălcarea articolelor 47 și 48 din cartă, precum și a articolului 6 din CEDO și a articolelor 14 și 15 din pact, acesta nu explică în ce mod transmiterea din 24 iunie 2022 implica, la data acestei transmiteri, încălcarea acestor dispoziții, în special în lipsa unei hotărâri a instanțelor neerlandeze sau sârbe prin care să se constate la această dată vinovăția sa în temeiul datelor transmise.

130

Prin urmare, concluziile în anularea transmiterii din 24 iunie 2022 trebuie respinse ca nefondate.

131

Potrivit articolului 277 TFUE, în pofida expirării termenului prevăzut la articolul 263 al șaselea paragraf TFUE, în cazul unui litigiu privind un act cu caracter general adoptat de o instituție, de un organ, de un oficiu sau de o agenție a Uniunii, orice parte se poate prevala de motivele de drept prevăzute la articolul 263 al doilea paragraf TFUE pentru a invoca în fața Curții de Justiție a Uniunii Europene inaplicabilitatea acestui act.

132

Or, niciunul dintre actele sau comportamentele reproșate de reclamant Europol sau Eurojust nu prezintă caracteristicile unui act cu aplicabilitate generală.

133

În consecință, motivul întemeiat pe articolul 277 TFUE trebuie respins.

134

Angajarea răspunderii extracontractuale a Uniunii în temeiul articolului 340 al doilea paragraf TFUE depinde de îndeplinirea unui ansamblu de condiții, și anume existența unei încălcări suficient de grave a unei norme de drept care conferă drepturi particularilor, caracterul real al prejudiciului și existența unei legături de cauzalitate între încălcarea obligației ce revine autorului actului și prejudiciul suferit de persoanele vătămate (a se vedea Hotărârea din 5 martie 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punctul 117 și jurisprudența citată).

135

În cazul în care una dintre aceste condiții nu este îndeplinită, acțiunea trebuie respinsă în întregime, fără a fi necesară examinarea celorlalte condiții ale răspunderii extracontractuale a Uniunii. În plus, instanța Uniunii nu este obligată să examineze aceste condiții într‑o ordine determinată (a se vedea în acest sens Hotărârea din 13 decembrie 2018, Uniunea Europeană/Kendrion,C‑150/17 P, EU:C:2018:1014, punctul 118 și jurisprudența citată).

136

Cu toate acestea, atunci când legiuitorul Uniunii a prevăzut un regim derogatoriu de răspundere solidară între o agenție a Uniunii și unul sau mai multe state membre, Curtea a statuat că angajarea răspunderii acestei agenții în aplicarea acestui regim derogatoriu nu impune să se demonstreze că prejudiciul solicitat era imputabil agenției, din moment ce el era imputabil cel puțin unuia sau mai multora dintre aceste state membre (a se vedea în acest sens Hotărârea din 5 martie 2024, Kočner/Europol,C‑755/21 P EU:C:2024:202, punctele 125 și 132).

137

În aceste condiții, trebuie examinate separat actele sau comportamentele pentru care se poate angaja răspunderea Europol – singura supusă unui astfel de regim derogatoriu de răspundere solidară cu statele membre – și, respectiv, a Eurojust.

138

Prin intermediul primului capăt de cerere referitor la prejudiciu, prezentat în cadrul primului motiv, reclamantul reproșează Europol și statelor membre în cauză că au prelucrat datele provenite din serviciul Sky ECC – inclusiv datele proprii – într‑un mod neconform cu dispozițiile legale și incorect și că au încălcat din acest motiv în special articolul 28 alineatul (1) litera (a) din Regulamentul 2016/794.

139

Dat fiind caracterul său nediferențiat, prelucrarea inițială a datelor provenite din serviciul Sky ECC nu ar fi fost nici necesară, în sensul articolului 18 alineatul (1) din Regulamentul 2016/794, nici proporțională, în sensul articolului 28 alineatul (1) litera (c) din acesta, în lipsa unor prezumții suficiente de implicare a tuturor utilizatorilor serviciului Sky ECC în fapte care intră sub incidența dreptului penal.

140

În plus, prelucrarea ulterioară a datelor provenite din serviciul Sky ECC ar fi încălcat articolul 28 alineatul (1) litera (b) din Regulamentul 2016/794 prin faptul că ar fi privit date care nu erau exclusiv legate de săvârșirea unor infracțiuni și care fuseseră colectate în mod nediferențiat și fără scopuri specificate, explicite și legitime.

141

Având în vedere această argumentație, primul capăt de cerere privind prejudiciul trebuie interpretat în sensul că vizează acuzații de prelucrare incorectă a datelor atât de Europol, cât și de Regatul Belgiei, de Republica Franceză și de Regatul Țărilor de Jos, acestea din urmă intrând sub incidența regimului derogatoriu de răspundere solidară prevăzut la articolul 50 alineatul (1) din Regulamentul 2016/794.

142

Astfel, la examinarea acestui prim capăt de cerere privind prejudiciul, trebuie să se ia în considerare atât actele sau comportamentele Europol, în temeiul regimului de răspundere care decurge din articolul 49 din Regulamentul 2016/794, cât și actele celor trei state membre în cauză, în temeiul regimului derogatoriu de răspundere solidară prevăzut la articolul 50 alineatul (1) din acest regulament.

143

Prin intermediul celui de al doilea capăt de cerere privind prejudiciul, formulat în cadrul celui de al doilea motiv, în pofida menționării, la punctul 68 din cererea introductivă, a articolului 28 din Regulamentul 2016/794, reclamantul invocă în esență numai o încălcare a dreptului la un proces echitabil din cauza imposibilității de a verifica caracterul „utilizabil” al datelor provenite din serviciul Sky ECC în procedurile penale naționale care au urmat anchetelor la care a participat Europol.

144

Astfel, în cadrul celui de al doilea motiv, reclamantul nu contestă că datele sale cu caracter personal au fost prelucrate în conformitate cu dispozițiile legale în sensul articolului 28 din Regulamentul 2016/794 – singurul argument de natură să conducă la aplicarea regimului derogatoriu de răspundere solidară rezultat din articolul 50 alineatul (1) din acest regulament în privința unei contestații.

145

În aceste condiții, la examinarea celui de al doilea capăt de cerere privind prejudiciul, este necesar să se ia în considerare numai actele sau comportamentele Europol în temeiul regimului de răspundere care decurge din articolul 49 din Regulamentul 2016/794.

146

Prin intermediul celui de al treilea capăt de cerere privind prejudiciul, formulat în cadrul celui de al treilea motiv, reclamantul se plânge de existența unei duble urmăriri penale pentru aceleași fapte, începute împotriva sa de autoritățile penale neerlandeze și sârbe.

147

Reclamantul susține în esență că, printre altele, Europol a încălcat cerința de coordonare optimă impusă de Acordul ECA, privându‑l astfel de posibilitatea de a‑și asigura în mod corect apărarea, cu încălcarea articolelor 47 și 48 din cartă, a articolului 6 din CEDO și a articolelor 14 și 15 din pact.

148

Deși, desigur, unele informații deținute și prelucrate de Europol au fost puse, în speță, la dispoziția autorităților neerlandeze de către aceasta și au fost transmise autorităților sârbe de autoritățile franceze, totuși, prin al treilea capăt de cerere privind prejudiciul, reclamantul nu reproșează Europol o eventuală „prelucrare incorectă a datelor” în sensul articolului 50 alineatul (1) din Regulamentul 2016/794, ci doar o neîndeplinire de către aceasta a obligațiilor sale care decurg din Acordul ECA.

149

În consecință, la examinarea acestui al treilea capăt de cerere privind prejudiciul, trebuie luate în considerare numai actele sau comportamentele Europol în temeiul regimului de răspundere care decurge din articolul 49 din Regulamentul 2016/794.

150

Prin intermediul celui de al patrulea capăt de cerere privind prejudiciul, formulat în cadrul celui de al patrulea motiv, reclamantul invocă o prelucrare insuficient de securizată și neconformă a datelor sale provenite din serviciul Sky ECC de către Europol și Eurojust, astfel cum a confirmat reclamantul în răspunsul la o întrebare a Tribunalului în ședință.

151

Afirmațiile sale se întemeiază pe articolul 32 din Regulamentul 2016/794, precum și pe articolele 89, 91 și 92 din Regulamentul 2018/1725.

152

Or, pentru faptele de care se prevalează reclamantul – și anume fapte anterioare datei de 24 iunie 2022 –, doar articolul 32 din Regulamentul 2016/794 era aplicabil ratione temporis Europol, în temeiul articolului 2 din Regulamentul 2018/1725.

153

În aceste condiții, la examinarea celui de al patrulea capăt de cerere privind prejudiciul, trebuie luate în considerare numai actele sau comportamentele Europol, iar aceasta numai în lumina articolului 32 din Regulamentul 2016/794.

154

Astfel cum s‑a arătat la punctele 138-142 de mai sus, în cadrul primului capăt de cerere privind prejudiciul, reclamantul invocă prejudicii care decurg din caracterul incorect al prelucrării datelor sale provenite din serviciul Sky ECC efectuate atât de Europol, cât și de Regatul Belgiei, de Republica Franceză și de Regatul Țărilor de Jos.

155

Potrivit reclamantului, datele provenite din serviciul Sky ECC – inclusiv ale sale – au făcut obiectul unei prelucrări nediferențiate, contrară articolelor 17, 18, 28 și 38 din Regulamentul 2016/794, articolelor 7, 8, 10-12, 51 și 52 din cartă, articolului 8 din CEDO și articolului 17 din pact.

156

Aceste date ar fi fost prelucrate inițial de statele membre în cauză cu încălcarea principiilor necesității și proporționalității, dată fiind inexistența unei prezumții întemeiate pe implicarea tuturor utilizatorilor serviciului Sky ECC în săvârșirea vreunei fapte penale. Procedând astfel, colectarea ar încălca jurisprudența Curții EDO, care nu permite colectarea nediferențiată a datelor decât în mod excepțional. Nici colectarea și prelucrarea metadatelor nu ar putea fi efectuate decât pe baza unei autorizații judiciare și în domeniul securității naționale sau al combaterii formelor grave de criminalitate, ceea ce nu ar fi cazul în speță.

157

Or, conform articolului 17 alineatul (1) litera (a) din Regulamentul 2016/794, Europol nu ar putea prelucra decât datele prelucrate de statele membre în conformitate cu dreptul lor național, situație care nu s‑ar regăsi în speță.

158

Ulterior, aceste date ar fi fost prelucrate de Europol fără un scop legitim, în măsura în care anumite discuții stocate nu aveau legătură cu vreo infracțiune. De asemenea, acestea ar fi fost prelucrate într‑un mod incorect și neconform cu dispozițiile legale.

159

În acest sens, Europol ar fi încălcat punctul 32 literele (h), (i), (p) și (q) din Recomandarea Parlamentului din 15 iunie 2023 adresată Consiliului și Comisiei în urma anchetei privind acuzațiile de încălcare și de administrare defectuoasă în aplicarea dreptului Uniunii cu ocazia utilizării Pegasus și a programelor informatice spion de supraveghere echivalente [2023/2500 (RSP)], întrucât nu ea ar fi șters datele irelevante, ar fi păstrat datele în cauză după o perioadă specifică și nu ar fi notificat persoanele vizate și nevizate.

160

Aceste încălcări ar fi confirmate de recenta condamnare a Europol de către Autoritatea Europeană pentru Protecția Datelor (AEPD) în legătură cu stocarea și ștergerea seturilor de date care nu fac obiectul unei clasificări pe categorii (EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation, cazurile 2019‑0370 și 2021‑0699, 21 decembrie 2021).

161

Europol arată că acest motiv de prejudiciu este nefondat.

162

De la bun început, trebuie arătat că Europol susține în mod eronat că nu poate fi considerată răspunzătoare pentru actele sau comportamentele statelor membre și că Tribunalul nu se poate pronunța asupra legalității lor.

163

Deși, desigur, în temeiul articolului 276 TFUE, instanța Uniunii nu este competentă să verifice validitatea sau proporționalitatea operațiunilor desfășurate de poliție sau de alte servicii de aplicare a legii într‑un stat membru, inclusiv în acțiuni întemeiate pe articolele 268 și 340 TFUE (a se vedea punctele 44-46 de mai sus), totuși, în afara acestor operațiuni specifice, regimul derogatoriu de răspundere solidară prevăzut la articolul 50 alineatul (1) din Regulamentul 2016/794 implică în mod implicit, dar necesar că Europol poate fi considerată răspunzătoare pentru actele sau comportamentele statelor membre.

164

Rezultă de aici în mod la fel de necesar că, în cadrul acțiunilor în despăgubire întemeiate pe articolul 50 alineatul (1) din Regulamentul 2016/794, Tribunalul este abilitat să aprecieze legalitatea actelor sau a comportamentelor altor state membre, dar nu legalitatea actelor sau a comportamentelor prin care serviciile lor de poliție sau alte servicii de aplicare a legii au colectat datele în cauză, fie în temeiul dreptului Uniunii, în special al Regulamentului 2016/794 (a se vedea în acest sens Hotărârea din 5 martie 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punctul 121), fie în temeiul dreptului național al statului în cauză.

165

În primul rând, în ceea ce privește prelucrarea datelor colectate de autoritățile franceze, reclamantul se limitează să arate că anumite date ar fi fost prelucrate, deși nu aveau legătură cu vreo infracțiune și că, din acest motiv, prelucrarea lor ar încălca articolul 30 alineatul (1) din Regulamentul 2016/794 privind prelucrarea datelor cu caracter personal referitoare la victime ale infracțiunilor, la martori sau la alte persoane care pot furniza informații cu privire la infracțiuni sau referitoare la persoane cu vârsta sub 18 ani.

166

Cu toate acestea, trebuie să se constate că reclamantul se dovedește a fi o persoană majoră care, în raport cu dreptul național al statului membru în cauză, era suspectată de săvârșirea unei infracțiuni sau de participarea la o infracțiune care intră în sfera de competență a Europol, și anume traficul de stupefiante prevăzut la articolul 3 alineatul (1) din Regulamentul 2016/794.

167

Prin urmare, reclamantul nu se poate prevala în mod util de articolul 30 alineatul (1) din Regulamentul 2016/794.

168

În rest, reclamantul nu prezintă niciun element care să permită punerea la îndoială a faptului că prelucrarea datelor provenite din serviciul Sky ECC în special de către autoritățile naționale în cauză, înainte de a fi transmise Europol, ar fi fost realizată în scopurile legitime pentru care fuseseră colectate, și anume efectuarea unor analize de natură strategică sau tematică, precum și a unor analize operaționale, în sensul articolului 18 alineatul (2) literele (b) și (c) din Regulamentul 2016/794, în contextul executării deciziilor de anchetă comună menționate la punctul 4 de mai sus și ale ECA.

169

În al doilea rând, reclamantul nu prezintă niciun element de natură să demonstreze că transmiterea datelor colectate de autoritățile franceze către Europol ar fi fost realizată cu încălcarea principiilor menționate la articolul 28 alineatul (1) din Regulamentul 2016/794.

170

În al treilea rând, în ceea ce privește activitatea Europol în legătură cu datele reclamantului, nimic nu indică faptul că primirea, prelucrarea și transmiterea ulterioară a rezultatului analizei acestor date către statele membre în cauză ar fi avut loc cu încălcarea principiilor enunțate la articolul 28 alineatul (1) din Regulamentul 2016/794.

171

Primo, toate aceste operațiuni au fost efectuate într‑un cadru definit care urmărește scopuri specificate, explicite și legitime, și anume o operațiune specifică referitoare la serviciul Sky ECC, care vizează îndeosebi identificarea utilizatorilor săi în vederea efectuării urmăririi penale, prin intermediul unei ECA având același obiectiv și creată printr‑o convenție specifică ale cărei obiective sunt identificate în mod expres de Regatul Belgiei, de Republica Franceză, precum și de Regatul Țărilor de Jos și la care Europol era asociată (a se vedea punctele 3-6 de mai sus).

172

Secundo, nimic nu indică faptul că prelucrarea datelor reclamantului de către Europol ar fi fost inadecvată, irelevantă sau excesivă în raport cu obiectivul de identificare a utilizatorilor serviciului Sky ECC în special în vederea urmăririi penale a acestora.

173

În această privință, faptul că Europol a putut fi destinatarul deciziei AEPD menționate la punctul 160 de mai sus este irelevant. Astfel, reclamantul nu susține și a fortiori nici nu demonstrează că datele sale intrau în domeniul de aplicare al acestei decizii, și anume datele deținute de Europol și care nu fac obiectul unei clasificări pe categorii.

174

Dimpotrivă, din elementele aflate la dispoziția Tribunalului reiese că datele reclamantului fuseseră asociate unei anchete specifice referitoare la serviciul Sky ECC care viza în special identificarea utilizatorilor săi (a se vedea punctele 4-6 de mai sus), că Europol a stabilit legătura dintre numele reclamantului și identificatorul său de serviciu Sky ECC, dar și numele său de utilizator și a putut astfel să identifice conversațiile acestuia (a se vedea punctele 64 și 65 de mai sus) și că constituise de asemenea pachete naționale (a se vedea punctul 81 de mai sus).

175

Tertio, din dosar nu reiese că datele care îl privesc pe reclamant și prelucrate de Europol ar fi avut un caracter inexact sau chiar că nu ar fi beneficiat de o securitate adecvată, dat fiind că aceste date nu au fost transmise decât statelor sau agențiilor implicate direct sau indirect în ECA și au fost utilizate numai în scopul efectuării urmăririlor penale inițiate de Regatul Țărilor de Jos și de Republica Serbia împotriva reclamantului.

176

Quarto, nimic nu indică faptul că datele reclamantului, în privința căruia procedurile penale erau încă în curs la data introducerii prezentei acțiuni, ar fi fost păstrate pentru o perioadă mai lungă decât era necesar în special pentru buna desfășurare a acestor proceduri.

177

Quinto, reclamantul nu se poate prevala în mod valabil de faptul că nu a putut avea acces la datele sale, din moment ce, în conformitate cu considerentul (41) al Regulamentului 2016/794 – căruia trebuie să i se recunoască o valoare interpretativă importantă (a se vedea în acest sens Hotărârea din 5 martie 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punctul 59) –, Europol poate refuza accesul la datele cu caracter personal ale unei persoane pentru a‑și îndeplini sarcinile în mod corespunzător, pentru a proteja securitatea și ordinea publică, pentru a preveni criminalitatea sau pentru a garanta că o anchetă națională nu va fi compromisă.

178

În al patrulea rând, nu reiese deloc din elementele puse la dispoziția Tribunalului că Europol ar fi încălcat principiile referitoare la prelucrarea datelor cu caracter personal cu ocazia reuniunilor din 27 mai și din 28 august 2019 sau a grupului de lucru din 23 și 24 iulie 2020, când au fost descoperite noi mesaje (a se vedea punctele 55 și 57 de mai sus).

179

Aceste întâlniri făceau în mod evident parte din atribuțiile încredințate Europol și avute în vedere în special la articolul 4 alineatul (1) litera (c) din Regulamentul 2016/794, îndeosebi în situația din speță, în care Europol participa la o ECA, astfel cum prevede articolul 4 alineatul (1) litera (d) din acest regulament.

180

În al cincilea rând, niciun element nu permite să se concluzioneze că Regatul Belgiei, Republica Franceză sau Regatul Țărilor de Jos ar fi săvârșit nereguli la primirea datelor care le fuseseră transmise de Europol.

181

În al șaselea rând, nimic nu indică faptul că informațiile transmise de autoritățile neerlandeze autorităților sârbe ar fi fost vreodată în posesia Europol, fapt care exclude orice răspundere solidară a acestuia.

182

În al șaptelea rând, în ceea ce privește transmiterea din 24 iunie 2022, nimic nu indică faptul că aceasta contravine articolului 28 din Regulamentul 2016/794.

183

Pe de altă parte, și pentru motive similare celor evocate la punctele 171-182 de mai sus, nu se poate reproșa Europol și nici Regatului Belgiei, Republicii Franceze sau Regatului Țărilor de Jos nicio încălcare a articolelor 7, 8, 10-12, 51 și 52 din cartă, a articolului 8 din CEDO și a articolului 17 din pact.

184

În această privință, trebuie amintit de asemenea că articolul 52 alineatul (1) din cartă prevede posibilitatea de a fi impuse restrângeri ale drepturilor garantate de aceasta din urmă – inclusiv dreptul la respectarea vieții private și de familie, protecția datelor cu caracter personal, libertatea de gândire, de conștiință și de religie, libertatea de exprimare și de informare, libertatea de întrunire și de asociere –, cu condiția ca aceste restrângeri să fie prevăzute de lege, să respecte substanța drepturilor și libertăților în cauză și, respectând principiul proporționalității, să fie necesare și să răspundă efectiv obiectivelor de interes general recunoscute de Uniune sau necesității protejării drepturilor și libertăților celorlalți [a se vedea Hotărârea din 4 octombrie 2024, Bezirkshauptmannschaft Landeck (Tentativă de accesare a datelor cu caracter personal stocate pe un telefon mobil),C‑548/21, EU:C:2024:830, punctul 119 și jurisprudența citată].

185

În plus, combaterea criminalității grave – în care se înscrie combaterea traficului de stupefiante – este de natură să justifice ingerințe grave în drepturile fundamentale consacrate în special la articolele 7 și 8 din cartă, precum cele pe care le implică păstrarea datelor de transfer și a datelor de localizare (a se vedea în acest sens Hotărârea din 7 septembrie 2023, Lietuvos Respublikos generalinė prokuratūra,C‑162/22, EU:C:2023:631, punctul 37).

186

În sfârșit, în măsura în care reclamantul invocă recomandarea Parlamentului European menționată la punctul 159 de mai sus, este suficient să se constate că un astfel de document nu are efect juridic obligatoriu.

187

Având în vedere cele ce precedă, reclamantul nu a dovedit nicio încălcare suficient de gravă a unei norme de drept prin care i‑au fost conferite drepturi.

188

Întrucât nu este întrunită această condiție de angajare a răspunderii Europol în temeiul articolului 50 alineatul (1) din Regulamentul 2016/794, nu este necesară examinarea celorlalte condiții de angajare a răspunderii Europol în acest temei (a se vedea în acest sens Hotărârea din 13 decembrie 2018, Uniunea Europeană/Kendrion,C‑150/17 P, EU:C:2018:1014, punctul 118).

189

Prin urmare, capătul de cerere privind prejudiciul formulat de reclamant împotriva Europol și întemeiat pe articolul 50 alineatul (1) din Regulamentul 2016/794 trebuie respins ca nefondat.

190

Reclamantul susține că a suferit un prejudiciu din cauza încălcării dreptului său la un proces penal echitabil, garantat de articolele 47 și 48 din cartă, precum și de articolele 14 și 15 din pact, care decurge din imposibilitatea de a verifica veridicitatea, autenticitatea, fiabilitatea și legalitatea datelor care au fost prelucrate și transferate în cadrul cooperării privind serviciul Sky ECC sau cel puțin din lipsa unor garanții formale și materiale.

191

Astfel, „principiul (avut în vedere), mai mult sau mai puțin absolut, al încrederii interstatale” și „metodele (de anchetă) secret (de stat)” ar face imposibil controlul formal și material al datelor provenite de la serviciul Sky ECC, ca elemente de probă, în cadrul procedurilor penale naționale, chiar dacă aceste date ar fi incomplete și, prin urmare, ar fi fost colectate și prelucrate în mod neloial, ilicit, inadecvat și contrar finalității utilizării probelor în materie penală.

192

Europol arată că acest capăt de cerere privind prejudiciul este nefondat.

193

Mai întâi, în măsura în care reclamantul susține în esență că atât procedurile penale neerlandeze, cât și cele sârbe nu îi permit să conteste admisibilitatea sau forța probantă a datelor provenite din serviciul Sky ECC utilizate în cadrul acestora, argumentația sa trebuie înlăturată, date fiind inexistența răspunderii solidare a Europol pentru fapta unui stat membru pentru alte acte sau comportamente decât prelucrări incorecte ale datelor și inexistența răspunderii solidare a Europol pentru fapta unei țări terțe.

194

Apoi, în măsura în care, prin prezentul capăt de cerere privind prejudiciul, reclamantul invocă nelegalitatea prelucrării datelor sale, această argumentație a fost deja respinsă la punctul 187 de mai sus.

195

Pentru acest motiv, este necesar să se respingă capătul de cerere prejudiciul formulat de reclamant și întemeiat pe încălcarea de către Europol a articolelor 47 și 48 din cartă și a articolelor 14 și 15 din pact.

196

Prin intermediul celui de al treilea motiv, reclamantul susține că Europol i‑a cauzat un prejudiciu prin faptul că nu și‑a respectat obligația de coordonare a urmăririlor penale, prevăzută totuși de Acordul ECA, cu toate că a fost implicată în partajarea datelor sale în vederea efectuării urmăririlor penale îndreptate împotriva sa.

197

Această neîndeplinire a obligațiilor l‑ar fi pus pe reclamant în situația de a se apăra în Țările de Jos și în Serbia, cu toate că era încarcerat în Țările de Jos, fapt care i‑ar fi afectat apărarea în Serbia și care constituia o încălcare a articolelor 47 și 48 din cartă, a articolului 6 din CEDO, precum și a articolelor 14 și 15 din pact.

198

Europol arată că acest capăt de cerere privind prejudiciul este nefondat.

199

În această privință, este suficient să se arate că argumentația reclamantului provine dintr‑o interpretare eronată a pasajului pe care îl evocă din Acordul ECA.

200

Sub titlul „9.1 Acorduri privind utilizarea datelor digitale provenite din interceptări de pe servere – Schimburi de informații cu țări care nu fac parte din ECA”, Acordul ECA prevede că „în cazul în care […] este posibil ca utilizatori din diferite țări ale ECA sau din țări care nu fac parte din ECA să fie implicați în fapte similare sau conexe, părțile din ECA în cauză se consultă fără întârziere, eventual și cu țările care nu fac parte din ECA și Europol”.

201

Astfel, pe lângă faptul că conlucrarea cu Europol cu privire la utilizarea datelor digitale provenite din interceptarea de pe servere nu este decât facultativă, trebuie să se constate că, ținând seama de titlul sub care este plasat fragmentul evocat de reclamant, această conlucrare privește utilizarea acestor date, iar nu urmăririle penale care ar putea fi, pe baza datelor sus‑menționate, inițiate de statele membre părți la Acordul ECA sau chiar de țări care nu sunt părți la acesta.

202

În plus, nu se poate opune Europol nicio obligație de coordonare a urmăririlor penale la nivel național, întrucât Regulamentul 2016/794 – și în special articolul 4 alineatul (1) din acesta – nu o abilitează în niciun fel să decidă începerea urmăririi penale împotriva unui individ identificat într‑o anumită țară sau să coordoneze urmăririle penale inițiate în mai multe dintre aceste țări.

203

Pentru acest motiv, Europol nu poate fi considerată răspunzătoare pentru încălcarea articolelor 47 și 48 din cartă, a articolului 6 din CEDO și a articolelor 14 și 15 din pact, această încălcare fiind, la data introducerii prezentei acțiuni, total ipotetică întrucât procedurile penale inițiate împotriva reclamantului erau încă pendinte.

204

În consecință, se impune respingerea capătului de cerere privind prejudiciul formulat de reclamant și întemeiat pe încălcarea de către Europol a Acordului ECA, precum și a articolelor 47 și 48 din cartă, a articolului 6 din CEDO și a articolelor 14 și 15 din pact.

205

Prin intermediul celui de al patrulea motiv, reclamantul invocă faptul că, presupunând că colectarea și prelucrarea datelor sale cu caracter personal s‑ar dovedi a fi conformă cu dispozițiile legale și corectă, Europol tot s‑ar face vinovată de prejudiciul cauzat prin neîndeplinirea obligației sale de a asigura un nivel de securitate adecvat al datelor sale, contrar articolului 32 din Regulamentul 2016/794.

206

Europol arată că acest capăt de cerere privind prejudiciul este nefondat.

207

Trebuie să se constate că afirmațiile reclamantului întemeiate pe neîndeplinirea de către Europol a obligației sale de a adopta măsurile tehnice și organizatorice adecvate pentru a garanta un nivel de securitate adaptat riscului nu sunt susținute de nicio probă sau început de probă.

208

Reclamantul nu demonstrează că, din cauza unei astfel de neîndepliniri a obligațiilor, datele sale personale ar fi făcut printre altele obiectul unei divulgări, al unei modificări sau al unui acces neautorizat sau al oricărei alte forme de prelucrare neautorizată.

209

În această privință, trebuie arătat că afirmația reclamantului întemeiată pe divulgarea numelui său în presă din cauza Europol nu se coroborează cu nicio probă.

210

Simpla temere a reclamantului, nesusținută prin dovezi, că s‑a putut aduce atingere datelor sale cu caracter personal nu este suficientă pentru a demonstra că Europol nu și‑a îndeplinit obligațiile care decurg din articolul 32 din Regulamentul 2016/794.

211

În consecință, este necesar să se respingă capătul de cerere privind prejudiciul formulat de reclamant și întemeiat pe încălcarea de către Europol a articolului 32 din Regulamentul 2016/794 și, implicit, concluziile cu privire la despăgubire în măsura în care sunt îndreptate împotriva Europol.

212

Prin intermediul primului motiv, reclamantul susține că a suferit un prejudiciu din cauza prelucrării datelor sale cu caracter personal cu încălcarea articolelor 71 și 72 din Regulamentul 2018/1725, a articolelor „(9 și) 26 și 27 din Regulamentul 2018/1727”, a articolelor 7, 8 și 10-12 din cartă coroborate cu articolele 51 și 52 din aceasta, a articolului 8 din CEDO, precum și a articolului 17 din pact.

213

În susținerea argumentației sale, reclamantul arată că face trimitere mutatis mutandis la criticile formulate în privința Europol și menționate la punctele 154-160 de mai sus. El adaugă că Eurojust a încălcat și secretul profesional al avocaților.

214

Eurojust susține că acest capăt de cerere privind prejudiciul este nefondat.

215

Cu titlu introductiv, trebuie înlăturate argumentele reclamantului care pot fi înțelese drept o critică, pe baza încălcării datelor sale cu caracter personal, a actelor sau a comportamentelor Eurojust care au privit alte date decât datele sale cu caracter personal.

216

Astfel, pentru a putea fi angajată răspunderea Uniunii, reclamantul trebuie să demonstreze că prejudiciul a cărui reparare o solicită îi produce o afectare la nivel personal (Ordonanța din 3 septembrie 2021, Löning/Comisia, C‑176/21 P, nepublicată, EU:C:2021:697, punctul 19).

217

Prin urmare, trebuie înlăturate criticile reclamantului referitoare la oferirea de sprijin și consiliere în materie de cooperare judiciară Regatului Belgiei, Republicii Franceze, Regatului Țărilor de Jos și Europol cu ocazia a trei reuniuni, organizate la 25 aprilie 2019, la 7 septembrie 2020 și la 11 februarie 2021 (punctul 71 de mai sus), și criticile referitoare la coordonarea anchetelor neerlandeză și sârbă cu ocazia reuniunii organizate la 23 mai 2022 (punctul 73 de mai sus), cu privire la care reclamantul nici nu susține și a fortiori nici nu demonstrează că au dus la prelucrarea datelor sale cu caracter personal.

218

Situația este aceeași în ceea ce privește afirmația întemeiată pe încălcarea de către Eurojust a secretului profesional al avocatului.

219

Astfel, reclamantul invocă, desigur, o plângere făcută de un avocat din Baroul Rotterdam care viza prelucrarea datelor sale provenite din serviciul Sky ECC. Cu toate acestea, el nu indică niciunde că acest avocat ar fi fost sau ar fi reprezentantul său și că informațiile pretins prelucrate de Eurojust s‑ar fi referit la apărarea sa și că, din acest motiv, Eurojust ar fi adus atingere dreptului său de a fi consiliat de un avocat în cadrul unei proceduri jurisdicționale, drept consacrat la articolul 47 al doilea paragraf din cartă (a se vedea în acest sens Hotărârea din 8 decembrie 2022, Orde van Vlaamse Balies ș.a.,C‑694/20, EU:C:2022:963, punctul 53).

220

În ceea ce privește transmiterea din 24 iunie 2022 și astfel cum s‑a arătat la punctele 124-130 de mai sus, reclamantul nu demonstrează motivele pentru care aceasta ar fi dus la o prelucrare a datelor sale cu caracter personal neconformă cu dispozițiile legale.

221

În plus și în ceea ce privește afirmația întemeiată pe încălcarea articolelor 47 și 48 din cartă, precum și a articolului 6 din CEDO și a articolelor 14 și 15 din pact, reclamantul nu explică în ce mod o eventuală prelucrare ilegală a datelor sale cu caracter personal ar conduce la încălcarea acestor dispoziții.

222

Având în vedere cele ce precedă, este necesar să se respingă capătul de cerere privind prejudiciul formulat de reclamant și întemeiat pe prelucrarea datelor sale cu caracter personal neconformă cu dispozițiile legale, precum și pe încălcarea articolelor 47 și 48 din cartă, a articolului 6 din CEDO și a articolelor 14 și 15 din pact.

223

Prin intermediul celui de al doilea motiv, reclamantul susține că Eurojust i‑a cauzat un prejudiciu din cauza încălcării dreptului său la un proces penal echitabil, garantat de articolele 47 și 48 din cartă, precum și de articolele 14 și 15 din pact, rezultând din imposibilitatea de a verifica veridicitatea, autenticitatea, fiabilitatea și legalitatea datelor care au fost prelucrate și transferate în cadrul cooperării referitoare la serviciul Sky ECC sau, cel puțin, din lipsa unor garanții formale și materiale.

224

În susținerea argumentației sale, reclamantul invocă aceleași argumente precum cele menționate la punctul 191 de mai sus.

225

Eurojust susține că acest capăt de cerere privind prejudiciul este nefondat.

226

În contextul celui de al doilea motiv, care privește numai regimul probelor utilizate în cadrul procedurilor penale naționale inițiate împotriva reclamantului, trebuie să se constate că Eurojust s‑a limitat la transmiterea din 24 iunie 2022.

227

Or, concluziile în anularea transmiterii din 24 iunie 2022, întemeiate pe aceleași argumente, au fost deja respinse la punctele 128-130 de mai sus.

228

Pe de altă parte, reclamantul nu menționează niciun element sau argument care să demonstreze că ulterior acestei transmiteri s‑a adus vreo atingere dreptului său la o cale de atac jurisdicțională efectivă.

229

În orice caz, trebuie amintit că articolul 52 alineatul (1) din cartă prevede posibilitatea de a fi impuse restrângeri drepturilor garantate de cartă – inclusiv dreptul la o cale de atac jurisdicțională efectivă – în condițiile amintite la punctul 184 de mai sus.

230

Având în vedere cele de mai sus, trebuie respins capătul de cerere privind prejudiciul formulat de reclamant și întemeiat pe încălcarea de către Eurojust a articolelor 47 și 48 din cartă, respectiv a articolelor 14 și 15 din pact.

231

Prin intermediul celui de al treilea motiv, reclamantul susține că Eurojust i‑a cauzat un prejudiciu prin faptul că nu și‑a respectat obligația de coordonare a urmăririlor penale, prevăzută totuși la articolul 4 alineatul (1) litera (b) din Regulamentul 2018/1727, precum și de Acordul ECA, deși a fost implicată în partajarea datelor sale în scopul urmăririi penale îndreptate împotriva sa.

232

Această neîndeplinire a obligațiilor l‑ar fi pus pe reclamant în situația de a se apăra în Țările de Jos și în Serbia, cu toate că era încarcerat în Țările de Jos, fapt care i‑ar fi afectat apărarea în Serbia și care constituia o încălcare a articolelor 47 și 48 din cartă, a articolului 6 din CEDO, precum și a articolelor 14 și 15 din pact.

233

Eurojust susține că acest capăt de cerere privind prejudiciul este nefondat.

234

În această privință, trebuie amintit că, astfel cum s‑a arătat deja la punctele 199-201 de mai sus, conlucrarea prevăzută de Acordul ECA privește utilizarea datelor colectate de statele în cauză, iar nu urmăririle penale care ar putea fi începute, pe baza datelor menționate, de statele membre părți la Acordul ECA sau chiar de țări care nu sunt părți la acest acord.

235

În plus, trebuie arătat că articolul 4 alineatul (1) litera (b) din Regulamentul 2018/1727 prevede că Eurojust „asistă autoritățile competente ale statelor membre în scopul de a asigura o cât mai bună coordonare a cercetărilor și urmăririlor penale”.

236

Rezultă de aici, astfel cum susține în mod întemeiat Eurojust, că, în cadrul acestei funcții operaționale de coordonare a cercetărilor și a urmăririlor penale, ea este supusă numai unei obligații de diligență și că decizia de declanșare a cercetărilor împotriva unei persoane aparține exclusiv autorităților naționale în cauză, lucru confirmat de articolul 85 TFUE care constituie temeiul juridic al Regulamentului 2018/1727.

237

Așadar, nu se poate angaja răspunderea Eurojust pentru alegerile procedurale care țin exclusiv de competența și de responsabilitatea exclusivă a statelor în cauză.

238

Având în vedere cele ce precedă, este necesar să se respingă capătul de cerere privind prejudiciul formulat de reclamant și întemeiat pe încălcarea de către Eurojust a Acordului ECA, a articolului 4 alineatul (1) litera (b) din Regulamentul 2018/1727, precum și a articolelor 47 și 48 din cartă, a articolului 6 din CEDO și a articolelor 14 și 15 din pact.

239

Prin intermediul celui de al patrulea motiv, reclamantul invocă faptul că, presupunând că colectarea și prelucrarea datelor sale cu caracter personal s‑ar dovedi conforme cu dispozițiile legale și corecte, mai întâi, Eurojust tot i‑ar fi cauzat un prejudiciu prin neîndeplinirea obligației sale de a asigura un nivel adecvat de securitate a datelor sale, cu încălcarea articolului 91 din Regulamentul 2018/1725.

240

În plus, având în vedere caracterul nou al modalităților de obținere a datelor serviciului Sky ECC – și anume recurgerea la tehnica „atacului de tip «man‑in‑the‑middle»” –, Eurojust nu și‑a îndeplinit obligația de a efectua evaluarea prealabilă a impactului asupra protecției datelor reclamantului, prevăzută la articolul 89 din Regulamentul 2018/1725.

241

În sfârșit, Eurojust nu și‑a îndeplinit obligația de notificare la AEPD a încălcării datelor cu caracter personal ale reclamantului, încălcând astfel articolul 92 din Regulamentul 2018/1725.

242

Eurojust susține că acest capăt de cerere privind prejudiciul este nefondat.

243

Mai întâi, afirmațiile reclamantului întemeiate pe neîndeplinirea de către Eurojust a obligației sale de a adopta măsurile tehnice și organizatorice adecvate pentru a garanta un nivel de securitate adaptat riscului trebuie respinse pentru motive similare celor menționate la punctele 207-210 de mai sus.

244

În continuare, reclamantul nu explică motivele pentru care Eurojust nu și‑ar fi îndeplinit obligația de a efectua evaluarea prealabilă a impactului transmiterii către autoritățile sârbe a linkului furnizat de autoritățile franceze către un site securizat cu parolă care conținea conversațiile sale din cadrul serviciului Sky ECC (punctul 75 de mai sus).

245

O astfel de transmitere, cu privire la care nimic nu indică faptul că prezenta un risc special pentru drepturile și libertățile reclamantului sau cel puțin un risc mai mare decât alte moduri de transmitere, nu justifica evaluarea prealabilă a impactului prevăzută la articolul 89 din Regulamentul 2018/1725.

246

În sfârșit, întrucât nu a demonstrat, într‑un fel sau altul, că Eurojust i‑a încălcat datele cu caracter personal, reclamantul nu îi poate reproșa că nu și‑a îndeplinit obligația, prevăzută la articolul 92 din Regulamentul 2018/1725, de a notifica AEPD cu privire la o astfel de încălcare.

247

Având în vedere cele ce precedă, este necesar să se respingă capătul de cerere privind prejudiciul formulat de reclamant și întemeiat pe încălcarea articolelor 89, 91 și 92 din Regulamentul 2018/1725 și, în consecință, concluziile în despăgubire în măsura în care sunt îndreptate împotriva Eurojust.

248

Ținând seama de tot ceea ce precedă, acțiunea trebuie respinsă în totalitate, fără a fi necesară pronunțarea cu privire la celelalte cauze de inadmisibilitate invocate de Europol și de Eurojust.

249

Potrivit articolului 134 alineatul (1) din Regulamentul de procedură al Tribunalului, partea care cade în pretenții este obligată, la cerere, la plata cheltuielilor de judecată. Întrucât reclamantul a căzut în pretenții, se impune obligarea acestuia la plata cheltuielilor de judecată, conform concluziilor Eurojust și ale Europol. Pe de altă parte, în temeiul articolului 138 alineatul (1) din Regulamentul de procedură, Regatul Belgiei, Regatul Spaniei și Regatul Țărilor de Jos vor suporta propriile cheltuieli de judecată.

Pentru aceste motive,

TRIBUNALUL (Camera a cincea)

declară și hotărăște: