62023TJ1180_RES
Sprawa T‑1180/23
BW
przeciwko
Agencji Unii Europejskiej ds. Współpracy Organów ŚciganiaorazAgencji Unii Europejskiej ds. Współpracy Wymiarów Sprawiedliwości w Sprawach Karnych
Wyrok Sądu (piąta izba) z dnia 25 lutego 2026 r.
Współpraca organów policyjnych i innych organów ścigania państw członkowskich – Usługa szyfrowanych wiadomości Sky ECC – Podnoszone niezgodne z prawem przetwarzanie danych osobowych – Skarga o stwierdzenie nieważności – Akt niepodlegający zaskarżeniu – Akt przygotowawczy – Dopuszczalność – Przetwarzanie danych osobowych przez państwa członkowskie i przekazanie ich Europolowi – Przekazanie danych osobowych przez Europol państwu członkowskiemu – Przekazanie danych osobowych przez Eurojust państwu trzeciemu – Odpowiedzialność pozaumowna – Artykuł 50 rozporządzenia (UE) 2016/794 – Odpowiedzialność solidarna Europolu i państw członkowskich za niezgodne z prawem przetwarzanie danych – Wystarczająco istotne naruszenie normy prawnej przyznającej uprawnienia jednostkom – Rzeczywisty charakter szkody – Rozporządzenie (UE) 2018/1727 – Niewystarczająca koordynacja przez Eurojust postępowań karnych między państwem członkowskim a państwem trzecim – Artykuły 71, 72, 89, 91 i 92 rozporządzenia (UE) 2018/1725
Skarga o stwierdzenie nieważności – Właściwość sądu Unii – Żądanie stwierdzenia nieważności aktów przetwarzania danych osobowych dokonanych przez organy krajowe w ramach postępowań karnych oraz aktów przekazania dokumentów i informacji przez te organy Europolowi lub Eurojustowi – Wyłączenie
(art. 263 TFUE)
(zob. pkt 23–25)
Skarga o stwierdzenie nieważności – Właściwość sądu Unii – Żądanie stwierdzenia nieważności umowy o utworzeniu wspólnego zespołu dochodzeniowo-śledczego (WZDŚ) – Wyłączenie
(art. 34 TUE; art. 263 TFUE)
(zob. pkt 26–31)
Skarga o odszkodowanie i zadośćuczynienie – Cel – Naprawienie szkody wynikającej z niezgodnego z prawem przetwarzania danych osobowych – Skarga wniesiona przeciwko Eurojustowi z powodu działań państw członkowskich lub Europolu – Brak właściwości sądu Unii
(art. 268, 340 TFUE; rozporządzenie Parlamentu Europejskiego i Rady 2018/1727)
(zob. pkt 33–35, 41)
Skarga o odszkodowanie i zadośćuczynienie – Cel – Naprawienie szkody wynikłej z niezgodnego z prawem przetwarzania danych osobowych – Skarga wniesiona przeciwko Europolowi z powodu działań państw członkowskich – Właściwość sądu Unii – Granica – Brak właściwości w przypadku szkody wynikającej z działań policji lub innych organów ścigania państw członkowskich
(art. 268, 276, 340 TFUE; rozporządzenie Parlamentu Europejskiego i Rady 2016/794, motyw 57, art. 49 ust. 3, 4, art. 50)
(zob. pkt 37, 38, 42–46)
Odpowiedzialność pozaumowna – Odpowiedzialność solidarna Unii i państw członkowskich – Rozporządzenie 2016/794 – Odpowiedzialność z tytułu niezgodnego z prawem przetwarzania danych osobowych – Odpowiedzialność solidarna Europolu i zainteresowanego państwa członkowskiego – Kryteria – Dowód możliwości przypisania niezgodnego z prawem przetwarzania Europolowi lub zainteresowanemu państwu członkowskiemu
(art. 340 akapit drugi TFUE; rozporządzenie Parlamentu Europejskiego i Rady 2016/794, art. 50 ust. 1)
(zob. pkt 93, 136)
Skarga o stwierdzenie nieważności – Akty podlegające zaskarżeniu – Pojęcie – Akty wywołujące wiążące skutki prawne – Akty przygotowawcze – Wyłączenie – Udział Europolu lub Eurojustu w spotkaniach lub grupach roboczych – Wyłączenie
(art. 263 TFUE)
(zob. pkt 108–110)
Skarga o stwierdzenie nieważności – Akty podlegające zaskarżeniu – Pojęcie – Akty wywołujące wiążące skutki prawne – Przekazanie przez agencję Unii danych osobowych pochodzących z usługi szyfrowanych wiadomości Sky ECC – Przekazanie państwu członkowskiemu – Wyłączenie – Przekazanie państwu trzeciemu – Włączenie – Przesłanka
(art. 263 TFUE)
(zob. pkt 111–123)
Odpowiedzialność pozaumowna – Przesłanki – Rozporządzenie 2016/794 – Odpowiedzialność z tytułu niezgodnego z prawem przetwarzania danych osobowych – Charakter tej odpowiedzialności – Odpowiedzialność solidarna Europolu i zainteresowanego państwa członkowskiego – Zakres – Ocena zgodności z prawem aktów lub zachowań państw członkowskich innych niż gromadzenie danych podczas działań policji lub innych organów ścigania państw członkowskich – Ocena na podstawie prawa Unii lub odpowiedniego prawa krajowego
(art. 268, 276, art. 340 akapit drugi TFUE; rozporządzenie Parlamentu Europejskiego i Rady 2016/794, art. 50 ust. 1)
(zob. pkt 141, 142, 162–164)
Streszczenie
Oddalając skargę o stwierdzenie nieważności oraz o odszkodowanie i zadośćuczynienie wniesioną przez BW przeciwko Agencji Unii Europejskiej ds. Współpracy Organów Ścigania (Europol) i Agencji Unii Europejskiej ds. Współpracy Wymiarów Sprawiedliwości w Sprawach Karnych (Eurojust) w kontekście współpracy policyjnej i sądowej między kilkoma państwami członkowskimi, Sąd po raz pierwszy od wyroku Kočner/Europol (
1
) przedstawił wyjaśnienia dotyczące zakresu systemu odpowiedzialności solidarnej, w szczególności w świetle ograniczeń wynikających z art. 276 TFUE. Orzekł on ponadto, że przekazywanie danych osobowych przez Eurojust do państwa członkowskiego nie stanowi aktów zaskarżalnych w rozumieniu art. 263 TFUE, jednocześnie uznając natomiast zaskarżalny charakter przekazania takich danych do państwa trzeciego, ze względu na brak jakiejkolwiek innej skutecznej kontroli sądowej.
BW, skarżący, jest obywatelem serbskim, ściganym i osadzonym w Niderlandach od maja 2023 r. za przywóz kokainy, a także ściganym w Serbii od jesieni 2023 r. w szczególności za handel środkami odurzającymi.
Postępowania karne prowadzone przez władze niderlandzkie i serbskie mają swoje źródło w środkach dochodzeniowych wszczętych pod koniec 2010 r. przez władze belgijskie, niderlandzkie i francuskie przeciwko „organizacji Sky ECC”, gdzie „ECC” oznacza „Elliptic Curve Cryptography” (kryptografia krzywych eliptycznych), podejrzewanej o sprzedaż produktów i usług szyfrowanych wiadomości służących ułatwianiu popełniania przestępstw.
W następstwie tych krajowych środków dochodzeniowych Belgia i Niderlandy wydały pod koniec 2018 r. decyzje w sprawie wspólnego dochodzenia, w których zwrócono się do Francji z wnioskiem o stworzenie obrazu serwerów używanych przez serwis Sky ECC i znajdujących się w tym państwie. Francja uwzględniła ów wniosek, dokonując przechwycenia, nagrania i transkrypcji szyfrowanych wiadomości przychodzących do tych serwerów i wychodzących z nich, w tym danych dotyczących BW.
W 2019 r. na mocy zawartej między nimi umowy o wspólnym zespole dochodzeniowo-śledczym (zwanej dalej „umową WZDŚ”) (
2
) organy belgijskie, francuskie i niderlandzkie utworzyły wspólny zespół dochodzeniowo-śledczy (zwany dalej „WZDŚ”). Doprowadził on do wymiany między Europolem a trzema odnośnymi państwami członkowskimi przechwyconych surowych danych, które następnie należało przeanalizować, a także wyników tej analizy.
W ramach tej współpracy Europol przechowywał dane w swoim systemie informatycznym, przeprowadzał kontrole krzyżowe, sporządzał raporty informacyjne, generował wykresy wizualizujące dane i interpretował wielojęzyczne zbiory danych. Z kolei Eurojust udzielał wsparcia i porad w zakresie możliwości współpracy sądowej, zorganizował szereg spotkań koordynacyjnych między odnośnymi organami krajowymi oraz Europolem, a także ułatwiał współpracę sądową między Serbią a Niderlandami i Francją.
W tym kontekście BW wniósł do Sądu o stwierdzenie nieważności umowy WZDŚ, aktów Europolu i Eurojustu przyjętych na jej podstawie, a także aktów w zakresie przetwarzania, analizowania i wymiany przez nie i przez odnośne państwa członkowskie dotyczących go danych z serwera Sky ECC. Ponadto wniósł on o zasądzenie na jego rzecz od Europolu i Eurojustu odszkodowania tytułem zadośćuczynienia za krzywdę i naprawienia szkody majątkowej, które – jak twierdzi – poniósł.
Ocena Sądu
Co się tyczy, po pierwsze, kwestii właściwości Sądu, ten ostatni stwierdził w pierwszej kolejności, że nie jest właściwy do zbadania, na podstawie art. 263 TFUE, zezwolenia francuskiego sądu na działania w zakresie przechwytywania dokonywane przez władze francuskie, przebiegu tych działań, przekazania Europolowi przez organy francuskie dokumentów i informacji uzyskanych w związku z tymi działaniami, przekazania Eurojustowi i organom serbskim przez organy francuskie dokumentów i informacji żądanych przez organy serbskie w ramach ich wniosków o wzajemną pomoc prawną, prawidłowości postępowania karnego prowadzonego przed sądami serbskimi oraz umowy WZDŚ.
Jeśli chodzi w szczególności o tę umowę, Sąd wskazał, że sąd Unii jest niewłaściwy do orzekania, bezpośrednio na podstawie art. 263 TFUE, o jej zgodności z prawem, ponieważ umowa ta nie jest aktem Unii. Umowa WZDŚ została bowiem podpisana, a zatem zawarta, wyłącznie przez trzy państwa członkowskie. Stwierdzenia tego nie podważa ani okoliczność, że podstawę tej umowy stanowi konwencja zawarta przez te państwa członkowskie zgodnie z art. 34 TUE oraz decyzja ramowa Rady Unii Europejskiej, ani utworzenie odnośnego WZDŚ z inicjatywy Europolu lub Eurojustu, ani też przyjęta na podstawie umowy WZDŚ decyzja Belgii, Francji i Niderlandów o włączeniu Europolu i Eurojustu jako „uczestników” WZDŚ. W tym kontekście Sąd wyjaśnił, że przyznana Europolowi lub Eurojustowi możliwość proponowania utworzenia WZDŚ lub udzielenia pomocy w jego utworzeniu, podobnie jak przyznana ich pracownikom możliwość uczestniczenia w WZDŚ (
3
), nie przyznaje tym agencjom statusu „stron” umowy, na mocy której te trzy państwa członkowskie utworzyły dany WZDŚ.
W drugiej kolejności Sąd stwierdził brak swojej właściwości do rozpoznania żądania skarżącego mającego na celu stwierdzenie odpowiedzialności Eurojustu za działania Belgii, Francji i Niderlandów bądź też Serbii, a nawet za działania Europolu. Wywiódł on to rozwiązanie w szczególności z faktu, że nie można dochodzić odpowiedzialności Unii na podstawie art. 268 i 340 TFUE od instytucji, organu lub jednostki organizacyjnej Unii różnych od tego lub tej, którym zarzuca się zdarzenie powodujące powstanie odpowiedzialności, chyba że prawodawca Unii wyraźnie przewidział stanowiący odstępstwo system odpowiedzialności solidarnej jednej z tych instytucji lub jednostek organizacyjnych lub jednego z tych organów Unii i jednego lub kilku państw członkowskich, ewentualnie jednego lub kilku państw trzecich bądź kilku instytucji, organów lub jednostek organizacyjnych Unii. Stwierdził, że w tym przypadku żaden akt nie przewiduje stanowiącego odstępstwo systemu odpowiedzialności solidarnej Eurojustu i państw członkowskich lub Eurojustu i Serbii.
Natomiast Sąd uznał, że jest właściwy do rozpoznania żądania zmierzającego do stwierdzenia odpowiedzialności Eurojustu za jego własne zachowania oraz odpowiedzialności Europolu za zachowania, które można przypisać zarówno jemu samemu, jak i państwom członkowskim uczestniczącym we współpracy dotyczącej usługi Sky ECC.
Jednak, pomimo swojej właściwości do rozpoznania żądania dotyczącego stwierdzenia odpowiedzialności solidarnej Europolu za zachowania, które można przypisać między innymi organom francuskim, Sąd wyjaśnił, że nie jest właściwy do rozpoznania zarzutów skarżącego dotyczących szkód, które zostały mu wyrządzone w wyniku działań w zakresie przechwytywania jego danych osobowych mających miejsce w ramach działań policyjnych prowadzonych przez te organy. W tym względzie, pomimo systemu odpowiedzialności solidarnej przewidzianego przez rozporządzenie w sprawie Europolu, agencja ta nie może ponosić solidarnej odpowiedzialności za ewentualne szkody wynikające z niezgodnego z prawem przetwarzania danych osobowych osoby fizycznej, które miało miejsce w związku z działaniami policji lub innych organów ścigania państwa członkowskiego, nawet jeśli przetwarzanie to miało miejsce w ramach współpracy opartej na tym rozporządzeniu. Z art. 276 TFUE wynika bowiem, że w ramach wykonywania swoich uprawnień dotyczących współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej sąd Unii nie jest właściwy w zakresie kontroli ważności lub proporcjonalności działań policji lub innych organów ścigania w państwie członkowskim.
Jeśli chodzi, po drugie, o żądania stwierdzenia nieważności, Sąd, orzekając w przedmiocie ich dopuszczalności, stwierdził niezaskarżalny charakter aktów lub zachowań podważanych przez skarżącego, z wyjątkiem przekazania przez Eurojust organom serbskim w dniu 24 czerwca 2022 r. wiadomości elektronicznej od władz francuskich zawierającej link do bezpiecznej witryny internetowej umożliwiającej pobranie plików, zawierającej w szczególności niektóre z jego rozmów pochodzących z usługi Sky ECC.
Co się tyczy tego przekazania, Sąd podkreślił, że o ile z orzecznictwa dotyczącego przekazywania raportów końcowych i informacji państwom członkowskim przez Europejski Urząd ds. Zwalczania Nadużyć Finansowych (OLAF), mającego zastosowanie w drodze analogii w niniejszej sprawie, wynika, że takie przekazanie nie stanowi aktu zaskarżalnego, o tyle zarówno Trybunał, jak i sam Sąd, w celu wykluczenia zaskarżalności przekazanych przez OLAF informacji, miały okazję wziąć pod uwagę okoliczność, że strona skarżąca mogła skorzystać z innych sposobów zapewnienia kontroli zgodności z prawem tych decyzji o przekazaniu, w tym w ramach postępowania prejudycjalnego. Tymczasem Sąd zauważył, że przekazanie dokonane w dniu 24 czerwca 2022 r. nastąpiło między agencją Unii a organami państwa trzeciego, w tym przypadku Serbii. Tak więc – w braku możliwości zakwestionowania tego przekazania w ramach niniejszej skargi – jego zgodność z prawem w świetle prawa Unii nie będzie mogła już zostać zakwestionowana, a objęte tym przekazaniem dane osobowe będą mogły zostać uznane za przekazane organom serbskim zgodnie z prawem, zaś skarżący nie będzie mógł uzyskać następnie od sądów tego państwa trzeciego ani oceny ważności wspomnianego przekazania w świetle prawa Unii, ani wystąpienia do Trybunału z pytaniem prejudycjalnym dotyczącym oceny tej ważności. W tym sensie wspomniane przekazanie jest ostatecznym zakończeniem specjalnego postępowania, w ramach którego Eurojust przekazuje organom państwa trzeciego i na ich wniosek dane osobowe zidentyfikowanej osoby.
Sąd dodał, że tylko uznanie zaskarżalności przekazania dokonanego w dniu 24 czerwca 2022 r. jest w stanie zagwarantować skuteczną kontrolę przez organ sądowy lub inny niezależny organ przekazania przechwyconych danych osobowych i ich wykorzystania do celów innych niż cele organu karnego, dla którego zostały one pierwotnie zebrane. Bez znaczenia jest okoliczność, że skarżący może wnieść skargę do sądów francuskich lub że może wnieść skargę do Europejskiego Trybunału Praw Człowieka w następstwie ewentualnego skazania przez serbskie sądy karne. Po pierwsze, do sądów francuskich nie można wnieść skargi o stwierdzenie nieważności aktu agencji Unii. Po drugie, w braku przystąpienia Unii do europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności ETPC nie może stwierdzić uchybienia przez Unię tej konwencji, w szczególności w ramach skargi wniesionej przeciwko państwu trzeciemu.
Sąd oddalił jednak jako bezzasadne żądania stwierdzenia nieważności przekazania z dnia 24 czerwca 2022 r., ponieważ skarżący nie wykazał, w jaki sposób owo przekazanie doprowadziło do niezgodnego z prawem przetwarzania danych osobowych.
Jeśli chodzi, po trzecie, o żądania odszkodowawcze skarżącego, Sąd uznał że pierwsza składowa szkody dotyczy zarzutów dotyczących nieprawidłowego przetwarzania danych zarówno przez Europol, jak i przez trzy odnośne państwa członkowskie, które są objęte stanowiącym odstępstwo systemem odpowiedzialności solidarnej przewidzianym w rozporządzeniu w sprawie Europolu (
4
), i wziął zatem pod uwagę nie tylko akty lub zachowania Europolu w ramach systemu odpowiedzialności ogólnej spoczywającej na nim na mocy tego rozporządzenia (
5
), lecz również akty lub zachowania trzech odnośnych państw członkowskich z tytułu wspomnianego stanowiącego odstępstwo systemu odpowiedzialności solidarnej.
Sąd dodał, że Europol niesłusznie utrzymuje, iż nie może on ponosić odpowiedzialności za akty lub zachowania państw członkowskich i że Sąd nie może oceniać ich zgodności z prawem. O ile prawdą jest, że zgodnie z art. 276 TFUE sąd Unii nie jest właściwy do badania ważności lub proporcjonalności działań policji lub innych organów ścigania w państwie członkowskim, w tym w kontekście skarg opartych na art. 268 i 340 TFUE, o tyle nie zmienia to faktu, że poza tymi szczególnymi operacjami stanowiący odstępstwo system odpowiedzialności solidarnej przewidziany w rozporządzeniu w sprawie Europolu oznacza w sposób dorozumiany, lecz niewątpliwy, że Europol może zostać pociągnięty do odpowiedzialności za akty lub zachowania państw członkowskich. Wynika z tego również niewątpliwie, że w kontekście skarg odszkodowawczych opartych na tym stanowiącym odstępstwo systemie Sąd jest uprawniony do oceny zgodności z prawem aktów lub zachowań państw członkowskich innych niż te, za pomocą których ich służby policyjne lub inne organy ścigania dokonywały zbierania odnośnych danych bądź na podstawie prawa Unii, bądź na podstawie prawa krajowego danego państwa.
Co się tyczy drugiej składowej szkody, dotyczącej w istocie wyłącznie naruszenia prawa do rzetelnego procesu sądowego ze względu na niemożność sprawdzenia, czy dane pochodzące z usługi Sky ECC są „możliwe do wykorzystania” w krajowych postępowaniach karnych prowadzonych w następstwie dochodzeń, w których uczestniczył Europol, Sąd stwierdził, że skarżący nie kwestionuje zgodności z prawem przetwarzania jego danych osobowych w rozumieniu art. 28 rozporządzenia w sprawie Europolu – co jest jedynym argumentem mogącym być podstawą zakwestionowania w ramach stanowiącego odstępstwo systemu odpowiedzialności solidarnej przewidzianego w tym rozporządzeniu. Zatem, aby zbadać tę składową szkody, wziął on pod uwagę wyłącznie akty lub zachowania Europolu w ramach systemu odpowiedzialności ogólnej wynikającego ze wspomnianego rozporządzenia.
Co się tyczy trzeciej składowej szkody, dotyczącej podnoszonego podwójnego ścigania skarżącego za te same czyny, wszczętego wobec niego przez niderlandzkie i serbskie organy ścigania, Sąd wyjaśnił, że poprzez tę składową szkody skarżący zarzuca Europolowi jedynie uchybienie przezeń zobowiązaniom wynikającym z umowy WZDŚ. Uwzględnił on zatem jedynie akty lub zachowania Europolu w ramach systemu odpowiedzialności ogólnej wynikającego z rozporządzenia w sprawie Europolu.
Wszystkie trzy składowe szkody Sąd oddalił jako bezzasadne.
(
1
)	Wyrok z dnia 5 marca 2024 r., Kočner/Europol (C‑755/21 P, EU:C:2024:202).
(
2
)	Umowa ta została zawarta na podstawie art. 13 Konwencji ustanowionej przez Radę zgodnie z art. 34 TUE o wzajemnej pomocy prawnej w sprawach karnych pomiędzy państwami członkowskimi Unii Europejskiej (Dz.U. 2000, C 197, s. 3) oraz decyzji ramowej Rady z dnia 13 czerwca 2002 r. w sprawie wspólnych zespołów dochodzeniowo-śledczych (Dz.U. 2002, L 162, s. 1).
(
3
)	Przyznane odpowiednio na mocy art. 5 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/794 z dnia 11 maja 2016 r. w sprawie Europolu, zastępującego i uchylającego decyzje Rady 2009/371/WSiSW, 2009/934/WSiSW, 2009/935/WSiSW, 2009/936/WSiSW i 2009/968/WSiSW (Dz.U. 2016, L 135, s. 53, zwanego dalej „rozporządzeniem w sprawie Europolu”) i art. 8 ust. 1 lit. d) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1727 z dnia 14 listopada 2018 r. w sprawie Eurojustu, zastępującego i uchylającego decyzję Rady 2002/187/WSiSW (Dz.U. 2018, L 295, s. 138).
(
4
)	Artykuł 50 ust. 1 rozporządzenia w sprawie Europolu.
(
5
)	Odpowiedzialność ogólna Europolu, o której mowa w art. 49 rozporządzenia w sprawie Europolu.