Hotărârea Tribunalului (Camera a cincea) din 25 februarie 2026.#BW împotriva Agenției Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii și a Agenției Uniunii Europene pentru Cooperare în Materie de Justiție Penală.#Cooperarea dintre autoritățile polițienești și alte servicii de aplicare a legii din statele membre – Serviciul de comunicații criptate Sky ECC – Presupuse prelucrări ilegale ale datelor cu caracter personal – Acțiune în anulare – Act care nu poate face obiectul unei acțiuni – Act pregătitor – Admisibilitate – Prelucrarea datelor cu caracter personal de către statele membre și transferul acestora către Europol – Transfer de date cu caracter personal de către Europol către un stat membru – Transfer de date cu caracter personal de către Eurojust către țări terțe – Răspundere extracontractuală – Articolul 50 din Regulamentul (UE) 2016/794 – Răspunderea solidară a Europol și a statelor membre pentru prelucrarea ilegală a datelor – Încălcare suficient de gravă a unei norme de drept care conferă drepturi particularilor – Caracter real al prejudiciului – Regulamentul (UE) 2018/1727 – Coordonare insuficientă de către Eurojust a procedurilor penale între un stat membru și o țară terță – Articolele 71, 72, 89, 91 și 92 din Regulamentul (UE) 2018/1725.#Cauza T-1180/23.

Cauza T‑1180/23

împotriva

Agenției Uniunii Europene pentru Cooperare în Materie de Aplicare a LegiișiAgenției Uniunii Europene pentru Cooperare în Materie de Justiție Penală

Hotărârea Tribunalului (Camera a cincea) din 25 februarie 2026

„Cooperarea dintre autoritățile polițienești și alte servicii de aplicare a legii din statele membre – Serviciul de comunicații criptate Sky ECC – Presupuse prelucrări ilegale ale datelor cu caracter personal – Acțiune în anulare – Act care nu poate face obiectul unei acțiuni – Act pregătitor – Admisibilitate – Prelucrarea datelor cu caracter personal de către statele membre și transferul acestora către Europol – Transfer de date cu caracter personal de către Europol către un stat membru – Transfer de date cu caracter personal de către Eurojust către țări terțe – Răspundere extracontractuală – Articolul 50 din Regulamentul (UE) 2016/794 – Răspunderea solidară a Europol și a statelor membre pentru prelucrarea ilegală a datelor – Încălcare suficient de gravă a unei norme de drept care conferă drepturi particularilor – Caracter real al prejudiciului – Regulamentul (UE) 2018/1727 – Coordonare insuficientă de către Eurojust a procedurilor penale între un stat membru și o țară terță – Articolele 71, 72, 89, 91 și 92 din Regulamentul (UE) 2018/1725”

Acțiune în anulare – Competența instanței Uniunii – Cerere de anulare a unor acte de prelucrare a datelor cu caracter personal efectuate de autoritățile naționale în cadrul procedurilor penale, precum și a unor acte de transmitere de documente și de informații de către aceste autorități către Europol sau Eurojust – Excludere

(art. 263 TFUE)

(a se vedea punctele 23-25)

Acțiune în anulare – Competența instanței Uniunii – Cerere de anulare a unui acord privind constituirea unei echipe comune de anchetă (ECA) – Excludere

(art. 34 TUE; articolul 263 TFUE)

(a se vedea punctele 26-31)

Acțiune în despăgubire – Obiect – Despăgubiri pentru prejudiciul rezultat dintr‑o prelucrare ilegală a datelor cu caracter personal – Acțiuni împotriva Eurojust pentru faptele statelor membre sau ale Europol – Necompetența instanței Uniunii

(art. 268 și 340 TFUE; Regulamentul 2018/1727 al Parlamentului European și al Consiliului)

(a se vedea punctele 33-35 și 41)

Acțiune în despăgubire – Obiect – Despăgubiri pentru prejudiciul rezultat dintr‑o prelucrare ilegală a datelor cu caracter personal – Acțiune introdusă împotriva Europol pentru faptele statelor membre – Competența instanței Uniunii – Limită – Necompetența în caz de prejudiciu rezultat din operațiuni desfășurate de poliție sau de alte autorități de aplicare a legii din statele membre

(art. 268, 276 și 340 TFUE; Regulamentul 2016/794 al Parlamentului European și al Consiliului, considerentul (57) și art. 49 alin. (3) și (4) și art. 50]

(a se vedea punctele 37, 38 și 42-46)

Răspundere extracontractuală – Răspunderea solidară a Uniunii și a statelor membre – Regulamentul 2016/794 – Răspunderea pentru prelucrarea ilegală a datelor cu caracter personal – Răspunderea solidară a Europol și a statului membru în cauză – Criterii – Dovada că prelucrarea ilegală este imputabilă Europol sau statului membru în cauză

(art. 340 al doilea paragraf TFUE; Regulamentul 2016/794 al Parlamentului European și al Consiliului, art. 50 alin. (1)]

(a se vedea punctele 93 și 136)

Acțiune în anulare – Acte supuse căilor de atac – Noțiune – Acte care produc efecte juridice obligatorii – Acte pregătitoare – Excludere – Participarea Europol sau Eurojust la reuniuni sau grupuri de lucru – Excludere

(art. 263 TFUE)

(a se vedea punctele 108-110)

Acțiune în anulare – Acte supuse căilor de atac – Noțiune – Acte care produc efecte juridice obligatorii – Transmiterea de către o agenție a Uniunii a unor date cu caracter personal provenite din serviciul de comunicații criptate Sky ECC – Transmiterea către un stat membru – Excludere – Transmiterea către o țară terță – Includere – Condiție

(art. 263 TFUE)

(a se vedea punctele 111-123)

Răspundere extracontractuală – Condiții – Regulamentul 2016/794 – Răspunderea pentru prelucrarea ilegală a datelor cu caracter personal – Natura răspunderii menționate – Răspunderea solidară a Europol și a statului membru în cauză – Întindere – Evaluarea legalității actelor sau comportamentelor statelor membre, altele decât colectarea de date, la momentul efectuării operațiunilor efectuate de poliție sau de alte autorități de aplicare a legii din statele membre – Apreciere în temeiul dreptului Uniunii sau al dreptului național în cauză

(art. 268, 276 și 340 al doilea paragraf TFUE; Regulamentul 2016/794 al Parlamentului European și al Consiliului, art. 50 alin. (1)]

(a se vedea punctele 141, 142 și 162-164)

Rezumat

Odată cu respingerea unei acțiuni în anulare și în despăgubire formulate de BW împotriva Agenției Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol) și a Agenției Uniunii Europene pentru Cooperare în Materie de Justiție Penală (Eurojust) în contextul unei cooperări polițienești și judiciare între mai multe state membre, Tribunalul aduce, pentru prima dată de la Hotărârea Kočner/Europol ( 1 ), precizări cu privire la domeniul de aplicare al regimului răspunderii solidare, în special în raport cu limitele care rezultă din articolul 276 TFUE. În plus, acesta statuează că transmiterile de date cu caracter personal efectuate de Eurojust către un stat membru nu constituie acte atacabile în sensul articolului 263 TFUE, recunoscând în același timp însă caracterul atacabil al unei transmiteri a unor astfel de date către o țară terță în situația în care nu există nicio altă cale de control jurisdicțional efectiv.

BW, reclamantul, este un resortisant sârb, urmărit penal și încarcerat în Țările de Jos începând din luna mai 2023 pentru introducerea în țară de cocaină și este de asemenea urmărit penal în Serbia din toamna anului 2023 pentru fapte de trafic de stupefiante în special.

Urmăririle penale desfășurate de autoritățile neerlandeze și sârbe au pornit de la măsuri de investigație inițiate de la sfârșitul anului 2010 de către autoritățile belgiene, neerlandeze și franceze împotriva „organizației Sky ECC”, „ECC” însemnând „Elliptic Curve Cryptography” (criptografie prin curbă eliptică), suspectată de comercializarea de produse și servicii de comunicații criptate care vizau în mod specific înlesnirea săvârșirii unor infracțiuni.

În urma acestor măsuri de investigație, Belgia și Țările de Jos au adoptat, la sfârșitul anului 2018, decizii comune de anchetă prin care au solicitat Franței să creeze o imagine a serverelor utilizate de serviciul Sky ECC situate în acest stat. Franța a dat curs cererii respective procedând la interceptarea, înregistrarea și transcrierea comunicațiilor criptate intrate în și ieșite din aceste servere, inclusiv ale datelor referitoare la BW.

În anul 2019, o echipă comună de anchetă (denumită în continuare „ECA”) a fost înființată de autoritățile belgiene, franceze și neerlandeze printr‑un acord, încheiat între ele, privind o echipă comună de anchetă (denumit în continuare „Acordul ECA”) ( 2 ). Această echipă a condus la partajarea între Europol și cele trei state membre în cauză a unor date brute interceptate care trebuiau apoi analizate, precum și a rezultatelor acestei analize.

În cadrul acestei cooperări, Europol a stocat datele în sistemul său informatic, a efectuat verificări încrucișate, a prezentat rapoarte informative, a generat grafice de vizualizare a datelor și a interpretat seturi de date multilingve. La rândul său, Eurojust a oferit sprijin și consiliere cu privire la posibilitățile de cooperare judiciară, a organizat mai multe reuniuni de coordonare între autoritățile naționale în cauză, precum și Europol și a înlesnit cooperarea judiciară între Serbia, pe de o parte, și Țările de Jos și Franța, pe de altă parte.

În acest context, BW a solicitat Tribunalului anularea Acordului ECA, a actelor Europol și Eurojust adoptate în temeiul acestui acord, precum și a actelor de prelucrare, de analiză și de partajare de către acestea și de către statele membre în cauză a datelor din serverul Sky ECC care îl privesc. În plus, acesta a solicitat obligarea Europol și a Eurojust la plata unei despăgubiri pentru prejudiciile morale și materiale pe care acesta consideră că le‑a suferit.

Aprecierea Tribunalului

În ceea ce privește, primo, chestiunea competenței sale, Tribunalul se declară, în primul rând, necompetent să se pronunțe, în temeiul articolului 263 TFUE, asupra autorizării de către instanța franceză a operațiunilor de interceptare realizate de autoritățile franceze, asupra desfășurării acestor operațiuni, asupra transmiterii de către autoritățile franceze către Europol a documentelor și a informațiilor obținute cu ocazia acestor operațiuni, asupra transmiterii de către autoritățile franceze către Eurojust și către autoritățile sârbe a documentelor și a informațiilor solicitate de autoritățile sârbe în cadrul cererilor sale de asistență judiciară reciprocă, asupra legalității procedurii penale derulate în fața instanțelor sârbe și asupra Acordului ECA.

În ceea ce privește, mai precis, acest acord, Tribunalul arată că instanța Uniunii nu este competentă să se pronunțe, direct în temeiul articolului 263 TFUE, nici cu privire la legalitatea Acordului ECA, din moment ce acesta nu este un act al Uniunii. Astfel, Acordul ECA a fost semnat și deci încheiat numai de trei state membre. Această constatare nu este repusă în discuție nici de faptul că acest acord își are temeiul într‑o convenție încheiată de aceste state membre în temeiul articolului 34 TUE, precum și într‑o decizie‑cadru a Consiliului Uniunii Europene, nici de înființarea ECA în cauză la inițiativa Europol sau Eurojust sau de decizia Belgiei, a Franței și a Țărilor de Jos, adoptată în temeiul Acordului ECA, de a asocia Europol și Eurojust în calitate de „participanți” la ECA. În acest cadru, Tribunalul precizează că posibilitatea acordată Europol sau Eurojust de a propune sau de a ajuta la înființarea unei ECA, ca și agenților acestora de a participa la o ECA ( 3 ) nu conferă acestor agenții statutul de „parte” la acordul prin care cele trei state membre au înființat ECA în cauză.

În al doilea rând, Tribunalul se declară necompetent să soluționeze cererea reclamantului având ca obiect constatarea răspunderii Eurojust pentru faptele Belgiei, ale Franței și ale Țărilor de Jos sau chiar ale Serbiei, ba chiar pentru faptele Europol. El deduce această soluție în special din împrejurarea că răspunderea Uniunii în temeiul articolelor 268 și 340 TFUE nu poate fi pusă în sarcina unei instituții, a unui organ, a unui oficiu sau a unei agenții a Uniunii separat de cea sau de cel căreia/căruia îi este reproșat faptul generator de răspundere, cu excepția cazului în care legiuitorul Uniunii a prevăzut în mod expres un regim derogatoriu de răspundere solidară fie între una dintre aceste instituții sau unul dintre aceste organe, oficii sau agenții ale Uniunii și unul sau mai multe state membre, sau chiar una sau mai multe țări terțe, fie între mai multe instituții, organe, oficii sau agenții ale Uniunii. Acesta constată că, în speță, niciun act nu prevede un regim derogatoriu de răspundere solidară între Eurojust și statele membre sau între Eurojust și Serbia.

Cu toate acestea, Tribunalul se declară competent să se pronunțe cu privire la cererea prin care se urmărește să se constate răspunderea Eurojust pentru propriile comportamente, precum și răspunderea Europol pentru comportamente imputabile atât ei înseși, cât și statelor membre care au luat parte la cooperarea referitoare la serviciul Sky ECC.

Or, în pofida competenței sale de a soluționa cererea de constatare a răspunderii solidare a Europol pentru comportamente imputabile în special autorităților franceze, Tribunalul precizează că nu este competent să se pronunțe cu privire la susținerile reclamantului întemeiate pe prejudicii care i‑ar fi fost cauzate prin operațiunile de interceptare a datelor sale cu caracter personal survenite în cadrul operațiunilor polițienești desfășurate de aceste autorități. În această privință, în pofida regimului răspunderii solidare prevăzut de Regulamentul Europol, această agenție nu poate fi considerată solidar responsabilă pentru eventualul prejudiciu care decurge din prelucrările ilegale ale datelor cu caracter personal ale unei persoane fizice care au avut loc cu ocazia unor operațiuni efectuate de poliție sau de alte servicii de aplicare a legii ale unui stat membru, chiar dacă aceste prelucrări au survenit în cadrul unei cooperări întemeiate pe acest regulament. Astfel, din articolul 276 TFUE reiese că, în exercitarea atribuțiilor sale referitoare la cooperarea judiciară în materie penală și la cooperarea polițienească, instanța Uniunii nu este competentă să verifice validitatea sau proporționalitatea operațiunilor desfășurate de poliție sau de alte servicii de aplicare a legii într‑un stat membru.

În ceea ce privește, secundo, concluziile de anulare, Tribunalul, pronunțându‑se cu privire la admisibilitatea lor, constată caracterul neatacabil al actelor sau al comportamentelor criticate de reclamant, cu excepția transmiterii de către Eurojust către autoritățile sârbe, la 24 iunie 2022, a unui e‑mail al autorităților franceze cu un link către un site de descărcare securizat care conține printre altele unele dintre conversațiile sale provenite din serviciul Sky ECC.

În ceea ce privește această transmitere, Tribunalul subliniază că, deși reiese din jurisprudența privind transmiterea de rapoarte finale și de informații statelor membre de către Oficiul European de Luptă Antifraudă (OLAF), aplicabilă în speță prin analogie, că o astfel de transmitere nu constituie un act atacabil, Curtea și Tribunalul însuși au avut totuși ocazia să ia în considerare, pentru a înlătura caracterul atacabil al transmiterilor efectuate de OLAF, faptul că reclamantul avea la dispoziție alte căi pentru asigurarea controlului de legalitate a acestor decizii de transmitere, inclusiv calea procedurii preliminare. Or, Tribunalul observă că transmiterea din 24 iunie 2022 a avut loc între o agenție a Uniunii și autoritățile unei țări terțe, în speță Serbia. Astfel, neexistând posibilitatea de a o contesta în prezenta acțiune, legalitatea acestei transmiteri în raport cu dreptul Uniunii nu va mai putea face obiectul unei contestații, iar datele cu caracter personal pe care le conține vor putea fi considerate legal transmise autorităților sârbe, fără ca reclamantul să poată obține ulterior de la instanțele din această țară terță o apreciere a validității transmiterii respective în raport cu dreptul Uniunii sau o sesizare a Curții cu o întrebare preliminară referitoare la aprecierea validității sale. În acest sens, transmiterea menționată constituie ultima etapă a unei proceduri speciale prin care Eurojust transmite autorităților unei țări terțe, la cererea acestora, date cu caracter personal ale unei persoane identificate.

Tribunalul adaugă că recunoașterea caracterului atacabil al transmiterii din 24 iunie 2022 este singura în măsură să garanteze controlul efectiv de către o autoritate judiciară sau de către un alt organ independent al transferului de date cu caracter personal interceptate și al utilizării lor în alte scopuri decât cele urmărite de instanța penală pentru care au fost colectate inițial. Faptul că reclamantul ar putea sesiza instanțele franceze cu o acțiune sau că poate sesiza Curtea Europeană a Drepturilor Omului după o eventuală condamnare de către instanțele penale sârbe este irelevant. Pe de o parte, instanțele franceze nu pot fi sesizate cu o acțiune în anulare îndreptată împotriva unui act al unei agenții a Uniunii. Pe de altă parte, în lipsa aderării Uniunii la Convenția pentru apărarea drepturilor omului și a libertăților fundamentale, Curtea Europeană a Drepturilor Omului nu poate constata o încălcare de către Uniune a acestei convenții, mai ales în cadrul unei acțiuni introduse împotriva unei țări terțe.

Cu toate acestea, Tribunalul respinge ca nefondate concluziile de anulare a transmiterii din 24 iunie 2022, întrucât reclamantul nu a demonstrat motivele pentru care această transmitere ar fi condus la o prelucrare ilegală a datelor sale cu caracter personal.

În ceea ce privește, tertio, cererile de despăgubire ale reclamantului, Tribunalul consideră că primul capăt de cerere vizează acuzații de prelucrare incorectă a datelor atât de Europol, cât și de cele trei state membre în cauză care intră sub incidența regimului derogatoriu de răspundere solidară prevăzut de Regulamentul Europol ( 4 ), și ia astfel în considerare atât actele sau comportamentele Europol, în temeiul regimului de răspundere generală care îi revine în temeiul acestui regulament ( 5 ), cât și actele celor trei state membre în cauză, în temeiul regimului derogatoriu de răspundere solidară menționat.

Tribunalul adaugă că Europol susține în mod eronat că nu poate fi considerată răspunzătoare pentru actele sau comportamentele statelor membre și că Tribunalul nu se poate pronunța asupra legalității lor. Deși, desigur, în temeiul articolului 276 TFUE, instanța Uniunii nu este competentă să verifice validitatea sau proporționalitatea operațiunilor desfășurate de poliție sau de alte servicii de aplicare a legii într‑un stat membru, inclusiv în acțiuni întemeiate pe articolele 268 și 340 TFUE, totuși, în afara acestor operațiuni specifice, regimul derogatoriu de răspundere solidară prevăzut de Regulamentul Europol implică în mod implicit, dar necesar, că Europol poate fi considerată răspunzătoare pentru actele sau comportamentele statelor membre. Rezultă de aici în mod la fel de necesar că, în cadrul acțiunilor în despăgubire întemeiate pe acest regim derogatoriu, Tribunalul este abilitat să aprecieze legalitatea actelor sau a comportamentelor altor state membre, dar nu legalitatea actelor sau a comportamentelor prin care serviciile lor de poliție sau alte servicii de aplicare a legii au colectat datele în cauză, fie în temeiul dreptului Uniunii, fie în temeiul dreptului național al statului în cauză.

În ceea ce privește al doilea capăt de cerere, care vizează în esență simpla încălcare a dreptului la un proces echitabil ca urmare a imposibilității de a verifica caracterul „utilizabil” al datelor provenite din serviciul Sky ECC în procedurile penale naționale declanșate în urma anchetelor la care a participat Europol, Tribunalul constată că reclamantul nu contestă legalitatea prelucrării datelor sale cu caracter personal, în sensul articolului 28 din Regulamentul Europol – singurul argument care poate face ca o contestație să intre în domeniul de aplicare al regimului derogatoriu de răspundere solidară prevăzut de acest regulament. Astfel, în vederea examinării acestui capăt de cerere, el ia în considerare numai actele sau comportamentele Europol în temeiul regimului de răspundere generală care decurge din regulamentul menționat.

În ceea ce privește al treilea capăt de cerere, referitor la pretinsa existență a unei duble urmăriri penale a reclamantului pentru aceleași fapte, inițiate în privința sa de autoritățile penale neerlandeze și sârbe, Tribunalul precizează că, prin acest capăt de cerere, reclamantul reproșează Europol numai o neîndeplinire de către acesta a obligațiilor sale care decurg din Acordul ECA. Astfel, acesta ia în considerare numai actele sau comportamentele Europol, în temeiul regimului de răspundere generală care decurge din Regulamentul Europol.

Or, Tribunalul respinge cele trei capete de cerere ca nefondate.

( 1 ) Hotărârea din 5 martie 2024, Kočner/Europol (C‑755/21 P, EU:C:2024:202).

( 2 ) Acest acord a fost încheiat în temeiul articolului 13 din Convenția stabilită de Consiliu în conformitate cu articolul 34 din Tratatul privind Uniunea Europeană, referitor la asistența judiciară reciprocă în materie penală între statele membre ale Uniunii Europene (JO 2000, C 197, p. 3) și al Deciziei‑cadru a Consiliului din 13 iunie 2002 privind echipele comune de anchetă (JO 2002, L 162, p. 1, Ediție specială, 19/vol. 3, p. 249).

( 3 ) Conferită prin articolul 5 din Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului din 11 mai 2016 privind Europol și de înlocuire și de abrogare a Deciziilor 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI și 2009/968/JAI ale Consiliului (JO 2016, L 135, p. 53, denumit în continuare „Regulamentul Europol”), și, respectiv, prin articolul 8 alineatul (1) litera (d) din Regulamentul (UE) 2018/1727 al Parlamentului European și al Consiliului din 14 noiembrie 2018 privind Eurojust și de înlocuire și de abrogare a Deciziei 2002/187/JAI a Consiliului (JO 2018, L 295, p. 138).

( 4 ) Articolul 50 alineatul (1) din Regulamentul Europol.

( 5 ) Răspunderea generală a Europol menționată la articolul 49 din Regulamentul Europol.