62023TJ1180_RES
Asunto T‑1180/23
BW
contra
Agencia de la Unión Europea para la Cooperación Policial
y
Agencia de la Unión Europea para la Cooperación Judicial Penal
Sentencia del Tribunal General (Sala Quinta) de 25 de febrero de 2026
«Cooperación de las fuerzas policiales y otros servicios con funciones de policía de los Estados miembros — Servicio de comunicaciones cifradas Sky ECC — Supuestos tratamientos ilícitos de datos personales — Recurso de anulación — Acto no recurrible — Acto de trámite — Admisibilidad — Tratamiento de datos personales por parte de los Estados miembros y transferencia de los mismos a Europol — Transferencia de datos personales por Europol a un Estado miembro — Transferencia de datos personales de Eurojust a un país tercero — Responsabilidad extracontractual — Artículo 50 del Reglamento (UE) 2016/794 — Responsabilidad solidaria de Europol y de los Estados miembros por tratamientos ilícitos de datos — Infracción suficientemente caracterizada de una norma jurídica que confiere derechos a los particulares — Realidad del perjuicio — Reglamento (UE) 2018/1727 — Insuficiente coordinación por parte de Eurojust de los procedimientos penales entre un Estado miembro y un país tercero — Artículos 71, 72, 89, 91 y 92 del Reglamento (UE) 2018/1725»
Recurso de anulación — Competencia del juez de la Unión — Pretensión de anulación de actos de tratamiento de datos personales efectuados por las autoridades nacionales en procedimientos penales y de actos por los que estas autoridades transmiten a Europol o Eurojust documentos e información — Exclusión
(Art. 263 TFUE)
(véanse los apartados 23 a 25)
Recurso de anulación — Competencia del juez de la Unión — Pretensión de anulación de un acuerdo relativo a la creación de un equipo conjunto de investigación (ECI) — Exclusión
(Art. 34 TUE; art. 263 TFUE)
(véanse los apartados 26 a 31)
Recurso de indemnización — Objeto — Indemnización del perjuicio resultante de un tratamiento ilícito de datos personales — Recurso dirigido contra Eurojust por hechos de los Estados miembros o de Europol — Incompetencia del juez de la Unión
[Arts. 268 TFUE y 340 TFUE; Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo]
(véanse los apartados 33 a 35 y 41)
Recurso de indemnización — Objeto — Indemnización del perjuicio resultante de un tratamiento ilícito de datos personales — Recurso dirigido contra Eurojust por hechos de los Estados miembros — Competencia del juez de la Unión — Límite — Incompetencia en caso de perjuicio resultante de operaciones llevadas a cabo por la policía u otros servicios con funciones de policía de los Estados miembros
[Arts. 268 TFUE, 276 TFUE y 340 TFUE; Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, considerando 57 y arts. 49, aps. 3 y 4, y 50]
(véanse los apartados 37, 38 y 42 a 46)
Responsabilidad extracontractual — Responsabilidad solidaria de la Unión y los Estados miembros — Reglamento (UE) 2016/794 — Responsabilidad por un tratamiento ilícito de datos personales — Responsabilidad solidaria de Europol y del Estado miembro de que se trate — Criterios — Prueba de la imputabilidad a Europol o al Estado miembro de que se trate del tratamiento ilícito
[Art. 340 TFUE, párr. 2; Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, art. 50, ap. 1]
(véanse los apartados 93 y 136)
Recurso de anulación — Actos recurribles — Concepto — Actos que producen efectos jurídicos obligatorios — Actos de trámite — Exclusión — Participación de Europol o de Eurojust en reuniones o grupos de trabajo — Exclusión
(Art. 263 TFUE)
(véanse los apartados 108 a 110)
Recurso de anulación — Actos recurribles — Concepto — Actos que producen efectos jurídicos obligatorios — Transmisión por una agencia de la Unión de datos personales procedentes del servicio de comunicaciones cifradas Sky ECC — Transmisión a un Estado miembro — Exclusión — Transmisión a un país tercero — Inclusión — Requisito
(Art. 263 TFUE)
(véanse los apartados 111 a 123)
Responsabilidad extracontractual — Requisitos — Reglamento (UE) 2016/794 — Responsabilidad por un tratamiento ilícito de datos personales — Naturaleza de dicha responsabilidad — Responsabilidad solidaria de Europol y del Estado miembro de que se trate — Alcance — Apreciación de la legalidad de los actos o comportamientos de los Estados miembros distintos de la recogida de datos en operaciones llevadas a cabo por la policía u otros servicios con funciones de policía de los Estados miembros — Apreciación sobre la base del Derecho de la Unión o del Derecho nacional de que se trate
[Arts. 268 TFUE, 276 TFUE y 340 TFUE, párr. 2; Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, art. 50, ap. 1]
(véanse los apartados 141, 142 y 162 a 164)
Resumen
Desestimando un recurso de anulación y de indemnización interpuesto por BW contra la Agencia de la Unión Europea para la Cooperación Policial (Europol) y la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) en el contexto de la cooperación policial y judicial entre varios Estados miembros, el Tribunal General aporta, por primera vez desde la sentencia Kočner/Europol, (
1
) precisiones sobre el alcance del régimen de responsabilidad solidaria, en particular a la luz de los límites resultantes del artículo 276 TFUE. Declara, además, que las transmisiones a un Estado miembro de datos personales efectuadas por Eurojust no constituyen actos impugnables en el sentido del artículo 263 TFUE, aun cuando reconoce el carácter impugnable de la transmisión de esos datos a un país tercero si no existe ninguna otra vía de control judicial efectivo.
BW, el demandante, es un nacional serbio, procesado y encarcelado en los Países Bajos desde mayo de 2023 por importación de cocaína, que también está procesado en Serbia desde el otoño de 2023, en particular, por tráfico de estupefacientes.
Los procedimientos penales tramitados por las autoridades neerlandesas y serbias tienen su origen en unas medidas de investigación iniciadas a finales de los años 2010 por las autoridades belgas, neerlandesas y francesas contra la «organización Sky ECC» —«ECC» significa «Elliptic Curve Cryptography» (criptografía de curva elíptica)—, sospechosa de comercializar productos y servicios de comunicaciones cifradas que tienen como objetivo específico facilitar la comisión de hechos delictivos.
A raíz de estas medidas de investigación, Bélgica y los Países Bajos emitieron, a finales de 2018, sendas decisiones de investigación conjunta solicitando a Francia que hiciera una captura de pantalla de los servidores utilizados por el servicio Sky ECC ubicados en ese Estado. Francia dio curso a tal solicitud interceptando, registrando y transcribiendo las comunicaciones cifradas que entraban y salían de esos servidores, incluidos ciertos datos referidos a BW.
En 2019, mediante un acuerdo de equipo conjunto de investigación (en lo sucesivo, «Acuerdo ECI») (
2
) concluido por las autoridades belgas, francesas y neerlandesas, estas crearon un equipo conjunto de investigación (en lo sucesivo, «ECI»). Este equipo dio lugar a que Europol y los tres Estados miembros interesados compartieran los datos brutos interceptados, que habían de ser analizados posteriormente, y los resultados de dicho análisis.
En el marco de esta cooperación, Europol almacenó los datos en su sistema informático, efectuó cotejos, elaboró informes de inteligencia, generó gráficos de visualización de datos e interpretó conjuntos de datos multilingües. Por su parte, Eurojust prestó apoyo y asesoramiento acerca de las posibilidades de cooperación judicial, organizó varias reuniones de coordinación entre las autoridades nacionales interesadas y Europol, y facilitó la cooperación judicial entre, por un lado, Serbia y, por otro, los Países Bajos y Francia.
En este contexto, BW solicitó al Tribunal General la anulación del Acuerdo ECI, de los actos de Europol y de Eurojust adoptados en virtud de dicho Acuerdo y de los actos de tratamiento, análisis e intercambio de los datos del servidor Sky ECC que le concernieran, realizados por aquellas y por los Estados miembros interesados. Además, solicitó que se condene a Europol y a Eurojust a abonarle una indemnización por los daños morales y materiales que considera haber sufrido.
Apreciación del Tribunal General
En primer término, por lo que se refiere a la cuestión de su competencia, el Tribunal General se declara, en primer lugar, incompetente para conocer, sobre la base del artículo 263 TFUE, de la autorización por el juez francés de las operaciones de interceptación efectuadas por las autoridades francesas, del desarrollo de estas operaciones, de la transmisión a Europol, por parte de las autoridades francesas, de los documentos y de la información obtenidos en dichas operaciones, de la transmisión a Eurojust y a las autoridades serbias, por parte de las autoridades francesas, de los documentos y de la información pedidos por las autoridades serbias en sus solicitudes de asistencia judicial, de la regularidad del procedimiento penal seguido ante los tribunales serbios y del Acuerdo ECI.
Por lo que respecta, más concretamente, a este acuerdo, el Tribunal General señala que el juez de la Unión no es competente para conocer, directamente sobre la base del artículo 263 TFUE, de su legalidad, puesto que no es un acto de la Unión. En efecto, el Acuerdo ECI fue firmado y, por tanto, celebrado únicamente por tres Estados miembros. Esta apreciación no queda desvirtuada ni por el fundamento de dicho acuerdo en un convenio celebrado por los mencionados Estados miembros en virtud del artículo 34 TUE y en una decisión marco del Consejo de la Unión Europea ni por la creación del ECI de que se trata a iniciativa de Europol o Eurojust ni tampoco por la decisión de Bélgica, Francia y los Países Bajos, adoptada en virtud del Acuerdo ECI, de asociar a Europol y a Eurojust como «participantes» en el ECI. En este contexto, el Tribunal General precisa que la facultad conferida a Europol o a Eurojust de proponer o ayudar a la creación de una ECI, al igual que a los agentes de estas de participar en una ECI, (
3
) no confiere a dichas agencias el estatuto de «parte» del acuerdo por el que los tres Estados miembros crearon el ECI en cuestión.
En segundo lugar, el Tribunal General se declara incompetente para conocer de la pretensión del demandante dirigida a que se declare la responsabilidad de Eurojust por los hechos de Bélgica, Francia y los Países Bajos, o incluso por los hechos de Serbia, o de Europol. Deduce esta solución, en particular, de que la responsabilidad de la Unión basada en los artículos 268 TFUE y 340 TFUE no puede exigirse a una institución, órgano u organismo de la Unión distinto de aquel al que se imputa el hecho generador de responsabilidad, salvo que el legislador de la Unión haya previsto expresamente un régimen excepcional de responsabilidad solidaria, bien entre alguna de esas instituciones o alguno de esos órganos u organismos de la Unión y uno o varios Estados miembros, o incluso uno o varios terceros países, bien entre varias instituciones, órganos u organismos de la Unión. Declara que, en el caso de autos, ningún acto establece un régimen excepcional de responsabilidad solidaria entre Eurojust y los Estados miembros o entre Eurojust y Serbia.
No obstante, el Tribunal General se reconoce competente para conocer de la pretensión dirigida a que se declare la responsabilidad de Eurojust por sus propios comportamientos, así como la responsabilidad de Europol por comportamientos imputables tanto a ella misma como a los Estados miembros que participaron en la cooperación relativa al servicio Sky ECC.
Pues bien, a pesar de su competencia para conocer de la pretensión de que se declare la responsabilidad solidaria de Europol por comportamientos imputables, en particular, a las autoridades francesas, el Tribunal General precisa que no es competente para conocer de las alegaciones del demandante basadas en los daños que supuestamente le causaron las operaciones de interceptación de sus datos personales efectuadas en el marco de las operaciones policiales llevadas a cabo por dichas autoridades. A este respecto, pese al régimen de responsabilidad solidaria establecido en el Reglamento Europol, esta agencia no puede ser considerada responsable solidaria del eventual perjuicio derivado de tratamientos ilegales de datos personales de una persona física acaecidos con ocasión de operaciones llevadas a cabo por la policía u otros servicios con funciones de policía de un Estado miembro, aun cuando tales tratamientos se hayan producido en el marco de una cooperación basada en dicho Reglamento. En efecto, del artículo 276 TFUE se desprende que, en el ejercicio de sus atribuciones relativas a la cooperación judicial en materia penal y a la cooperación policial, el juez de la Unión no es competente para comprobar la validez o proporcionalidad de operaciones efectuadas por la policía u otros servicios con funciones de policía en un Estado miembro.
Por lo que respecta, en segundo término, a las pretensiones de anulación, el Tribunal General, pronunciándose sobre su admisibilidad, constata el carácter no impugnable de los actos o comportamientos criticados por el demandante, salvo en lo que respecta a la transmisión por Eurojust a las autoridades serbias, el 24 de junio de 2022, de un correo electrónico de las autoridades francesas con un enlace a un sitio de descarga seguro que contenía, en particular, algunas de sus conversaciones procedentes del servicio Sky ECC.
En lo atinente a esa transmisión, el Tribunal General subraya que, si bien de la jurisprudencia relativa a la transmisión a los Estados miembros de informes finales y de información por parte de la Oficina Europea de Lucha contra el Fraude (OLAF), aplicable por analogía al caso de autos, se desprende que una transmisión de este tipo no constituye un acto impugnable, tanto el Tribunal de Justicia como el propio Tribunal General han tenido ocasión de considerar, para descartar el carácter impugnable de las transmisiones de la OLAF, que la parte demandante dispusiera de otras vías para controlar la legalidad de esas decisiones de transmisión, incluida la del procedimiento prejudicial. Pues bien, el Tribunal General observa que la transmisión de 24 de junio de 2022 tuvo lugar entre una agencia de la Unión y las autoridades de un país tercero, en este caso Serbia. Así, al no poder impugnarse, en el presente recurso, la legalidad de esa transmisión a la luz del Derecho de la Unión, ya no podrá ser objeto de impugnación y los datos personales que contiene podrán considerarse legalmente transmitidos a las autoridades serbias, sin que el demandante pueda obtener posteriormente de los tribunales de ese país tercero, bien una apreciación de la validez de dicha transmisión con arreglo al Derecho de la Unión, bien el planteamiento al Tribunal de Justicia de una cuestión prejudicial para la apreciación de su validez. En este sentido, la citada transmisión constituye el último término de un procedimiento especial mediante el cual Eurojust transmite a las autoridades de un país tercero que lo han solicitado datos personales de una persona identificada.
El Tribunal General añade que solo el reconocimiento del carácter impugnable de la transmisión de 24 de junio de 2022 puede garantizar el control efectivo, por parte de una autoridad judicial u otro órgano independiente, de la transferencia de datos personales interceptados y de su uso para fines distintos de los del procedimiento penal para el que fueron inicialmente recabados. Resulta indiferente la circunstancia de que el demandante podría interponer un recurso ante los tribunales franceses o de que pueda acudir al Tribunal Europeo de Derechos Humanos tras una eventual condena por los tribunales penales serbios. Por un lado, los tribunales franceses no pueden conocer de un recurso de anulación dirigido contra el acto de una agencia de la Unión. Por otro lado, al no haberse adherido la Unión al Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales, ese Tribunal no puede declarar un incumplimiento de dicho Convenio por parte de la Unión, especialmente en el marco de un recurso interpuesto contra un país tercero.
No obstante, el Tribunal General desestima por infundadas las pretensiones de anulación de la transmisión de 24 de junio de 2022, al no haber acreditado el demandante de qué modo esa transmisión dio lugar a un tratamiento ilícito de sus datos personales.
Por lo que respecta, en tercer término, a las pretensiones de indemnización del demandante, el Tribunal General considera que la primera alegación de perjuicio alude a tratamientos incorrectos de datos —tanto por parte de Europol como por parte de tres Estados miembros interesados— sometidos al régimen excepcional de responsabilidad solidaria previsto por el Reglamento Europol, (
4
) por lo que considera no solo los actos o comportamientos de Europol a la luz del régimen de responsabilidad general que le incumbe en virtud de ese Reglamento, (
5
) sino también los de los tres Estados miembros interesados, en virtud del citado régimen excepcional de responsabilidad solidaria.
El Tribunal General añade que Europol sostiene erróneamente que no puede ser considerada responsable de los actos o comportamientos de los Estados miembros y que el Tribunal General no puede apreciar su legalidad. Si bien es cierto que, en virtud del artículo 276 TFUE, el juez de la Unión no es competente para comprobar la validez o la proporcionalidad de operaciones llevadas a cabo por la policía u otros servicios con funciones de policía de un Estado miembro, ni siquiera en el marco de recursos basados en los artículos 268 TFUE y 340 TFUE, no es menos cierto que, al margen de esas operaciones específicas, el régimen excepcional de responsabilidad solidaria establecido por el Reglamento Europol conlleva implícita pero forzosamente que Europol pueda ser considerada responsable de actos o comportamientos de los Estados miembros. De ello resulta forzosamente también que, en los recursos indemnizatorios basados en este régimen excepcional, el Tribunal General está facultado para apreciar la legalidad de los actos o comportamientos de los Estados miembros distintos de aquellos mediante los cuales sus servicios de policía u otros servicios con funciones de policía han recabado los datos de que se trate, ya sea sobre la base del Derecho de la Unión ya sea sobre la base del Derecho nacional del Estado interesado.
Por lo que respecta a la segunda alegación de perjuicio, referida, en esencia, únicamente a la vulneración del derecho a un proceso equitativo por la imposibilidad de verificar el carácter «utilizable» de los datos procedentes del servicio Sky ECC en los procesos penales nacionales que siguieron a las investigaciones en las que participó Europol, el Tribunal General observa que el demandante no cuestiona la conformidad a la ley del tratamiento de sus datos personales, en el sentido del artículo 28 del Reglamento Europol —único argumento que cabe a efectos de una impugnación en el ámbito del régimen excepcional de responsabilidad solidaria previsto en dicho Reglamento—. Así pues, para examinar esta alegación de perjuicio, considera únicamente los actos o comportamientos de Europol a la luz del régimen de responsabilidad general derivado del citado Reglamento.
En cuanto a la tercera alegación de perjuicio, relativa a la supuesta existencia de una duplicidad de actuaciones judiciales referidas al demandante por los mismos hechos, seguidas en su contra por las autoridades penales neerlandesas y serbias, el Tribunal General precisa que, mediante esta alegación de perjuicio, el demandante solo reprocha a Europol un incumplimiento de las obligaciones que le incumben en virtud del Acuerdo ECI. Por tanto, considera únicamente los actos o comportamientos de Europol, a la luz del régimen de responsabilidad general derivado del Reglamento Europol.
Pues bien, el Tribunal General desestima las tres alegaciones del perjuicio por infundadas.
(
1
)	Sentencia de 5 de marzo de 2024, Kočner/Europol (C‑546/21 P, EU:C:2024:202).
(
2
)	Este Acuerdo se concluyó sobre la base del artículo 13 del Convenio celebrado por el Consejo de conformidad con el artículo 34 TUE, relativo a la asistencia judicial en materia penal entre los Estados miembros de la Unión Europea (DO 2000, C 197, p. 3), y de la Decisión Marco del Consejo, de 13 de junio de 2002, sobre equipos conjuntos de investigación (DO 2002, L 162, p. 1).
(
3
)	Conferida, respectivamente, por el artículo 5 del Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a Europol y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO 2016, L 135, p. 53; en lo sucesivo, «Reglamento Europol»), y el artículo 8, apartado 1, letra d), del Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, sobre Eurojust y por el que se sustituye y deroga la Decisión 2002/187/JAI del Consejo (DO 2018, L 295, p. 138).
(
4
)	Artículo 50, apartado 1, del Reglamento Europol.
(
5
)	Responsabilidad general de Europol contemplada en el artículo 49 del Reglamento Europol.