Ordonanța Tribunalului (Camera întâi extinsă) din 6 septembrie 2023.#Autoritatea Europeană pentru Protecția Datelor împotriva Parlamentului European și a Consiliului Uniunii Europene.#Acțiune în anulare – Drept instituțional – Prelucrarea datelor cu caracter personal de către Europol – Regulamentul (UE) 2016/794 – Prerogative instituționale ale AEPD – Calitate procesuală activă – Acțiune în parte inadmisibilă și în parte vădit inadmisibilă.#Cauza T-578/22.

(Cauza T‑578/22)

Autoritatea Europeană pentru Protecția Datelor

împotriva

Parlamentului European

și a

Consiliului Uniunii Europene

Ordonanța Tribunalului (Camera întâi extinsă) din 6 septembrie 2023

„Acțiune în anulare – Drept instituțional – Prelucrarea datelor cu caracter personal de către Europol – Regulamentul (UE) 2016/794 – Prerogative instituționale ale AEPD – Calitate procesuală activă – Acțiune în parte inadmisibilă și în parte vădit inadmisibilă”

Acțiune în anulare – Competența instanței Uniunii – Acțiune introdusă de un organ al Uniunii – Acțiune introdusă de Autoritatea Europeană pentru Protecția Datelor (AEPD) – Calitate procesuală activă vizând apărarea prerogativelor sale instituționale, invocată în susținerea acestei acțiuni

[art. 263 TFUE; Regulamentul nr. 45/2001 al Parlamentului European și al Consiliului, art. 41 alin. (1)]

(a se vedea punctele 26-36)

Acțiune în anulare – Persoane fizice sau juridice – Interesul de a exercita acțiunea – Calitate procesuală activă – Acțiune introdusă de Autoritatea Europeană pentru Protecția Datelor (AEPD) – Calitate procesuală activă vizând apărarea prerogativelor sale instituționale – Lipsă – Admisibilitate condiționată de dovedirea calității procesuale active și a interesului de a formula acțiunea

(art. 263 al patrulea paragraf TFUE)

(a se vedea punctele 41-48 și 54-57)

Acțiune în anulare – Calitate procesuală activă – Persoane juridice – Noțiune – Autoritatea Europeană pentru Protecția Datelor (AEPD) – Organ al Uniunii – Includere – Condiții

(art. 263 al patrulea paragraf TFUE)

(a se vedea punctele 60-65)

Acțiune în anulare – Persoane fizice sau juridice – Acte care le privesc direct și individual – Dispoziții referitoare la prelucrarea datelor cu caracter personal de către Europol – Decizie adoptată de Autoritatea Europeană pentru Protecția Datelor (AEPD) împotriva Europol – Inexistența unui impact al dispozițiilor menționate asupra deciziei respective și a competențelor AEPD – Lipsa afectării directe – Inadmisibilitate

[art. 16 alin. (2) și art. 263 al patrulea paragraf TFUE; Regulamentul 2016/794 al Parlamentului European și al Consiliului, astfel cum a fost modificat prin Regulamentul 2022/991, art. 74a și. 74b]

(a se vedea punctele 66, 68-76, 78-82, 84 și 85)

Rezumat

La 3 ianuarie 2022, în urma unei anchete din proprie inițiativă, Autoritatea Europeană pentru Protecția Datelor (AEPD) a adoptat o decizie împotriva Agenției Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol) ( 1 ). Prin această decizie, AEPD a obligat Europol, în esență, să recurgă, pentru fiecare contribuție primită începând cu 4 ianuarie 2022, la clasificarea persoanelor vizate în termen de șase luni de la data primirii contribuției și în termen de 12 luni pentru seturile de date existente la data deciziei, Europol fiind obligat să șteargă aceste date după împlinirea acestor termene.

La 8 iunie 2022, Parlamentul European și Consiliul au adoptat Regulamentul Europol modificat ( 2 ). Acesta din urmă prevedea în esență, în temeiul a două dispoziții tranzitorii ( 3 ), condițiile în care Europol efectuează, într‑un termen determinat, clasificarea seturilor de date aflate în posesia sa la momentul intrării în vigoare a Regulamentului Europol modificat și precizează condițiile și procedurile în care prelucrarea datelor cu caracter personal care nu vizează categoriile de persoane vizate enumerate în anexa II la Regulamentul Europol modificat și care au fost transferate către Europol înainte de 28 iunie 2022 este autorizată în susținerea unei anchete penale în curs.

AEPD a considerat că dispozițiile atacate îi încălcau independența și competențele în calitate de autoritate de supraveghere, în măsura în care, în opinia sa, acestea legalizau retroactiv practicile Europol de păstrare a datelor în litigiu și anulau de facto decizia din 3 ianuarie 2022. Astfel, în temeiul articolului 263 TFUE, aceasta a solicitat Tribunalului anularea lor. AEPD a susținut că calitatea sa procesuală activă se justifica prin necesitatea de a putea dispune de o cale de atac jurisdicțională pentru a‑și apăra prerogativele instituționale și, în special, independența sa în calitate de autoritate de supraveghere.

În speță, Tribunalul este sesizat, pentru prima dată, cu o acțiune în anulare introdusă de AEPD împotriva unui act legislativ al Consiliului și al Parlamentului, ceea ce ridică în special problema competenței Tribunalului de a soluționa acțiunea menționată, problema aplicării Hotărârii Parlamentul/Consiliul (C‑70/88) ( 4 ) prin analogie în speță și pe cea a afectării directe a AEPD, asimilată unei persoane juridice, în temeiul articolului 263 al patrulea paragraf TFUE.

Aprecierea Tribunalului

În primul rând, Tribunalul examinează competența sa de a soluționa acțiunea introdusă de AEPD și observă mai întâi că aceasta nu figurează nici printre reclamanții menționați la articolul 263 al doilea și al treilea paragraf TFUE ( 5 ), nici în lista instituțiilor prevăzută la articolul 13 alineatul (1) TUE ( 6 ). În continuare, Tribunalul arată că, deși articolul 263 primul paragraf TFUE vizează în mod expres organele, oficiile și agențiile Uniunii pe lista autorilor actelor a căror legalitate poate fi repusă în discuție în cadrul unei acțiuni în anulare, situația nu este aceeași în ceea ce privește articolul 263 al doilea și al treilea paragraf TFUE. Astfel, Tribunalul precizează că, deși statutul AEPD, ca autoritate independentă de supraveghere, este consacrat atât de Tratatul FUE, cât și de cartă ( 7 ), AEPD a fost instituită în calitate de organ al Uniunii printr‑un act de drept derivat, iar nu printr‑un act de drept primar ( 8 ). Prin urmare, deși AEPD este un organ al Uniunii cu statut special, ea nu este o instituție a Uniunii și, în orice caz, nu se poate considera că se numără printre părțile vizate la articolul 263 al doilea și al treilea paragraf TFUE. În sfârșit, Tribunalul concluzionează că este competent să se pronunțe cu privire la acțiune întrucât Curtea este competentă să soluționeze acțiunile prevăzute la articolul 263 TFUE, formulate în special de o instituție a Uniunii împotriva unui act legislativ ( 9 ), iar AEPD nu este nici o instituție, nici un reclamant prevăzut la articolul 263 al doilea și al treilea paragraf TFUE.

În al doilea rând, Tribunalul apreciază dacă AEPD are calitate procesuală activă în temeiul jurisprudenței rezultate din Hotărârea Parlamentul/Consiliul (C‑70/88). Acesta arată că, în acea hotărâre invocată de AEPD în susținerea calității sale procesuale active care vizează apărarea prerogativelor sale instituționale, Curtea a constatat că Parlamentul nu avea nicio posibilitate de a contesta, în fața instanțelor Uniunii, actele adoptate de celelalte instituții susceptibile să aducă atingere propriilor prerogative și a ales să acopere această lacună prin recurgerea la principiul general al echilibrului instituțional. În schimb, AEPD poate introduce o acțiune în anulare în temeiul articolului 263 al patrulea paragraf TFUE din moment ce este un organ creat printr‑un act de drept derivat al Uniunii, care poate fi asimilat unei persoane juridice. Pe de altă parte, Tribunalul precizează că, deși AEPD are un statut special, recunoscut atât de Tratatul FUE, cât și de cartă, iar înființarea autorităților de supraveghere independente este un element esențial al protecției particularilor referitor la protecția datelor cu caracter personal, independența cu care AEPD trebuie să își exercite funcțiile în practică nu are vocația de a limita puterile legiuitorului Uniunii ( 10 ). În consecință, AEPD este obligată să își exercite atribuțiile și competențele în deplină independență și, în limitele actelor legislative adoptate în comun de Parlament și de Consiliu și în conformitate cu acestea, supraveghează respectarea normelor referitoare la protecția persoanelor fizice în raport cu prelucrarea datelor cu caracter personal de instituțiile, organele, oficiile și agențiile Uniunii. Tribunalul concluzionează că Hotărârea Parlamentul/Consiliul (C‑70/88) nu poate fi aplicată prin analogie în cazul AEPD, căreia nu i se poate recunoaște calitatea procesuală activă în temeiul acestei hotărâri și care trebuie considerată un reclamant care trebuie să îndeplinească condițiile de admisibilitate prevăzute la articolul 263 al patrulea paragraf TFUE.

În al treilea rând, în cadrul examinării calității procesuale active a AEPD în temeiul articolului 263 al patrulea paragraf TFUE, Tribunalul analizează, cu titlu introductiv, dacă aceasta poate, în calitate de organ al Uniunii, să fie asimilată unei persoane juridice în sensul acestui articol. Tribunalul arată că, prin aplicarea unei interpretări a acestei dispoziții în lumina principiilor controlului jurisdicțional efectiv și statului de drept, un organ al Uniunii precum AEPD are, în calitate de „persoană juridică”, calitatea procesuală activă pentru a introduce o acțiune în anulare împotriva dispozițiilor atacate, cu condiția să fie vizat în mod direct și individual de acestea în sensul dispoziției menționate. O asemenea persoană juridică de drept internațional public este, într‑adevăr, la fel de susceptibilă ca o altă persoană sau entitate să fie afectată negativ în drepturile sau în interesele sale de un act al Uniunii și trebuie astfel să fie în măsură, cu respectarea acestor condiții, să urmărească anularea unui asemenea act.

În ceea ce privește condiția ca o persoană juridică să fie direct vizată, Tribunalul amintește că, în virtutea acesteia, trebuie întrunite cumulativ două criterii. Referitor, în primul rând, la criteriul legat de efectele dispozițiilor atacate asupra situației juridice a AEPD, Tribunalul subliniază că AEPD este însărcinată cu supravegherea aplicării normelor relevante privind protecția datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii ( 11 ). În speță, dispozițiile atacate modifică Regulamentul Europol inițial și nu au incidență asupra naturii sau întinderii atribuțiilor conferite AEPD prin legislația Uniunii. Astfel, deși este adevărat că regimul juridic pe care AEPD este însărcinată să îl supravegheze a fost modificat, competențele ei nu au fost modificate, întrucât modul în care le poate exercita în mod legal nu a fost modificat ca atare. Prin urmare, AEPD nu este vizată în mod direct de dispozițiile atacate, în măsura în care drepturile, obligațiile sau competențele sale nu au fost afectate de aceste dispoziții. În plus, în ceea ce privește efectele dispozițiilor atacate asupra deciziei din 3 ianuarie 2022, Tribunalul precizează că este vorba despre o decizie administrativă care nu poate avea incidență asupra unor acte legislative precum Regulamentul Europol modificat și nici nu le poate afecta conținutul.

În al doilea rând, în ceea ce privește criteriul referitor la marja de apreciere a destinatarilor însărcinați cu punerea în aplicare a dispozițiilor atacate, Tribunalul arată că acestea din urmă lasă Europol o anumită marjă de apreciere. Prin urmare, ele nu au un caracter pur automat și nu decurg doar din reglementarea Uniunii față de AEPD, fără aplicarea altor norme intermediare.

În consecință, dat fiind că dispozițiile atacate nu afectează în mod direct situația juridică a AEPD și că condițiile afectării directe și afectării individuale prin actul a cărui anulare este solicitată sunt cumulative, Tribunalul concluzionează că acțiunea este inadmisibilă.

( 1 ) Potrivit articolului 43 alineatul (3) litera (e) din Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului din 11 mai 2016 privind Agenția Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol) și de înlocuire și de abrogare a Deciziilor 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI și 2009/968/JAI ale Consiliului (JO 2016, L 135, p. 53, denumit în continuare „Regulamentul Europol inițial”).

( 2 ) Regulamentul (UE) 2022/991 al Parlamentului European și al Consiliului din 8 iunie 2022 în ceea ce privește cooperarea Europol cu părțile private, prelucrarea datelor cu caracter personal de către Europol în sprijinul anchetelor penale și rolul Europol în materie de cercetare și inovare (JO 2022, L 169, p. 1, denumit în continuare „Regulamentul Europol modificat”), care modifică Regulamentul Europol inițial.

( 3 ) Articolele 74a și 74b din Regulamentul Europol modificat (denumite în continuare „dispozițiile atacate”).

( 4 ) Hotărârea din 22 mai 1990, Parlamentul/Consiliul (C‑70/88, EU:C:1990:217).

( 5 ) În virtutea acestei dispoziții, Curtea poate fi sesizată cu o acțiune formulată, pe de o parte, de un stat membru, de Parlament, de Consiliu sau de Comisie și, pe de altă parte, de Curtea de Conturi, de Banca Centrală Europeană (BCE) și de Comitetul Regiunilor.

( 6 ) Cele șapte instituții menționate la această dispoziție sunt Parlamentul, Consiliul European, Consiliul, Comisia, Curtea de Justiție a Uniunii Europene, Banca Centrală Europeană și Curtea de Conturi.

( 7 ) Potrivit articolului 16 alineatul (2) TFUE și articolului 8 alineatul (3) din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), respectarea normelor referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de instituțiile, organele, oficiile și agențiile Uniunii este supusă controlului autorităților independente.

( 8 ) Articolul 41 alineatul (1) din Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului din 18 decembrie 2000 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date (JO 2001, L 8, p. 1, Ediție specială, 13/vol. 30, p. 142).

( 9 ) În temeiul articolului 51 litera (b) din Statutul Curții de Justiție a Uniunii Europene.

( 10 ) Astfel cum se prevede la articolul 14 alineatul (1) și la articolul 16 alineatul (1) TUE.

( 11 ) Potrivit articolului 1 alineatul (3) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO 2018, L 295, p. 39) și articolului 43 alineatul (1) din Regulamentul Europol inițial.