62022TO0578_RES
Affaire T‑578/22
Contrôleur européen de la protection des données
contre
Parlement européenetConseil de l’Union européenne
Ordonnance du Tribunal (première chambre élargie) du 6 septembre 2023
« Recours en annulation – Droit institutionnel – Traitement des données à caractère personnel par Europol – Règlement (UE) 2016/794 – Prérogatives institutionnelles du CEPD – Qualité pour agir – Recours en partie irrecevable et en partie manifestement irrecevable »
Recours en annulation – Compétence du juge de l’Union – Recours introduit par un organe de l’Union – Recours introduit par le Contrôleur européen de la protection des données (CEPD) – Qualité pour agir visant à la sauvegarde de ses prérogatives institutionnelles, invoquée à l’appui de ce recours
(Art. 263 TFUE ; règlement du Parlement et du Conseil no 45/2001, art. 41, § 1)
(voir points 26-36)
Recours en annulation – Personnes physiques ou morales – Intérêt à agir – Qualité pour agir – Recours introduit par le Contrôleur européen de la protection des données (CEPD) – Qualité pour agir visant à la sauvegarde de ses prérogatives institutionnelles – Absence – Recevabilité subordonnée à la démonstration de la qualité et de l’intérêt à agir
(Art. 263, 4e al., TFUE)
(voir points 41-48, 54-57)
Recours en annulation – Qualité pour agir – Personnes morales – Notion – Contrôleur européen de la protection des données (CEPD) – Organe de l’Union – Inclusion – Conditions
(Art. 263, 4e al., TFUE,)
(voir points 60-65)
Recours en annulation – Personnes physiques ou morales – Actes les concernant directement et individuellement – Dispositions relatives au traitement des données à caractère personnel par Europol – Décision prise par le Contrôleur européen de la protection des données (CEPD) à l’encontre d’Europol – Absence d’impact desdites dispositions sur ladite décision et sur les compétences du CEPD – Absence d’affectation directe – Irrecevabilité
(Art. 16, § 2, et 263, 4e al., TFUE ; règlement du Parlement et du Conseil 2016/794, tel que modifié par le règlement 2022/991, art. 74 bis et 74 ter)
(voir points 66, 68-76, 78-82, 84, 85)
Résumé
Le 3 janvier 2022, à la suite d’une enquête d’initiative, le Contrôleur européen de la protection des données (CEPD) a adopté une décision à l’encontre de l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) (
1
). Par cette décision, le CEPD a enjoint à Europol, en substance, de procéder, pour chaque contribution reçue à partir du 4 janvier 2022, à la catégorisation des personnes concernées dans un délai de six mois à compter de la date de réception de la contribution et dans un délai de douze mois pour les ensembles de données existant à la date de ladite décision, délais au-delà desquels Europol était tenue d’effacer ces données.
Le 8 juin 2022, le Parlement européen et le Conseil ont adopté le règlement Europol modifié (
2
). Ce dernier prévoyait, en substance, en vertu de deux dispositions transitoires (
3
), les conditions dans lesquelles Europol procède, dans un délai déterminé, à la catégorisation des ensembles de données en sa possession au moment de l’entrée en vigueur du règlement Europol modifié et précise les conditions et les procédures dans lesquelles le traitement de données à caractère personnel ne portant pas sur des catégories de personnes concernées énumérées à l’annexe II du règlement Europol modifié et qui ont été transférées à Europol avant le 28 juin 2022 est autorisé à l’appui d’une enquête pénale en cours.
Le CEPD estimait que les dispositions attaquées violaient son indépendance et ses pouvoirs en qualité d’autorité de contrôle, dans la mesure où, selon lui, celles-ci légalisaient rétroactivement les pratiques de conservation des données litigieuses d’Europol et annulaient de facto la décision du 3 janvier 2022. Ainsi, en vertu de l’article 263 TFUE, il demandait, devant le Tribunal, leur annulation. Il alléguait que sa qualité pour agir se justifiait par la nécessité de pouvoir disposer d’un recours juridictionnel afin de défendre ses prérogatives institutionnelles et, en particulier, son indépendance en tant qu’autorité de contrôle.
En l’espèce, le Tribunal est saisi, pour la première fois, d’un recours en annulation introduit par le CEPD contre un acte législatif du Conseil et du Parlement, ce qui soulève notamment la question de la compétence du Tribunal pour connaître dudit recours, la question de l’application de l’arrêt Parlement/Conseil (C‑70/88) (
4
), par analogie au cas d’espèce, et celle de l’affectation directe du CEPD, assimilé à une personne morale, au titre de l’article 263, quatrième alinéa, TFUE.
Appréciation du Tribunal
En premier lieu, le Tribunal examine sa compétence pour connaître du recours introduit par le CEPD et observe, tout d’abord, que celui-ci ne figure ni parmi les parties requérantes mentionnées à l’article 263, deuxième et troisième alinéas, TFUE (
5
), ni dans la liste des institutions de l’article 13, paragraphe 1, TUE (
6
). Ensuite, il relève que si l’article 263, premier alinéa, TFUE vise expressément les organes et organismes de l’Union dans la liste des auteurs des actes dont la légalité peut être remise en cause dans le cadre d’un recours en annulation, il n’en est pas de même en ce qui concerne l’article 263, deuxième et troisième alinéas, TFUE. Ainsi, il précise que si le statut du CEPD, en tant qu’autorité indépendante de contrôle, est consacré tant par le traité FUE que par la Charte (
7
), il a été institué en tant qu’organe de l’Union non pas par un acte de droit primaire, mais par un acte de droit dérivé (
8
). Partant, si le CEPD est un organe de l’Union ayant un statut particulier, il n’est pas une institution de l’Union et, en tout état de cause, ne peut pas être considéré comme figurant parmi les parties requérantes visées à l’article 263, deuxième et troisième alinéas, TFUE. Enfin, le Tribunal conclut qu’il est compétent pour statuer sur le recours dans la mesure où sont réservés à la Cour les recours visés à l’article 263 TFUE, formés notamment par une institution de l’Union contre un acte législatif (
9
)et où le CEPD n’est ni une institution ni une partie requérante visée à l’article 263, deuxième et troisième alinéas, TFUE.
En deuxième lieu, le Tribunal apprécie si le CEPD a qualité pour agir en vertu de la jurisprudence issue de l’arrêt Parlement/Conseil (C‑70/88). Il note que, dans cet arrêt, invoqué par le CEPD au soutien de sa qualité pour agir particulière visant à la sauvegarde de ses prérogatives institutionnelles, la Cour a constaté que le Parlement n’avait aucune possibilité de contester, devant les juges de l’Union, les actes adoptés par les autres institutions susceptibles de porter atteinte à ses propres prérogatives et elle a choisi de combler cette lacune en recourant au principe général de l’équilibre institutionnel. En revanche, le CEPD peut introduire un recours en annulation sur le fondement de l’article 263, quatrième alinéa, TFUE dès lors qu’il est un organe créé par un acte de droit dérivé de l’Union qui peut être assimilé à une personne morale. Par ailleurs, le Tribunal précise que si le CEPD a un statut particulier, reconnu tant par le traité FUE que par la Charte, et que la création d’autorités de contrôle indépendantes est un élément essentiel de la protection des individus concernant la protection des données personnelles, l’indépendance dans laquelle le CEPD doit exercer ses fonctions en pratique n’a pas vocation à limiter les pouvoirs du législateur de l’Union (
10
). Par conséquent, le CEPD est tenu d’exercer ses missions et pouvoirs en toute indépendance et c’est dans le cadre des actes législatifs adoptés conjointement par le Parlement et le Conseil et conformément à ceux-ci qu’il contrôle le respect des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union. Le Tribunal conclut que l’arrêt Parlement/Conseil (C‑70/88) ne saurait être appliqué par analogie à la situation du CEPD, qui ne saurait se voir reconnaître qualité pour agir en vertu de cet arrêt et qui doit être considéré comme une partie requérante devant remplir les conditions de recevabilité prévues à l’article 263, quatrième alinéa, TFUE.
En troisième lieu, dans le cadre de l’examen de la qualité pour agir du CEPD au titre de l’article 263, quatrième alinéa, TFUE, le Tribunal analyse, à titre liminaire, si celui-ci peut, en tant qu’organe de l’Union, être assimilé à une personne morale au sens de cet article. Il relève que, en application d’une interprétation de cette disposition à la lumière des principes de contrôle juridictionnel effectif et de l’État de droit, un organe de l’Union, tel que le CEPD, a, en tant que « personne morale », la qualité pour agir en annulation contre les dispositions attaquées, à condition qu’il soit directement et individuellement concerné par celles-ci au sens de ladite disposition. En effet, une telle personne morale est tout autant susceptible qu’une autre personne ou entité d’être affectée négativement dans ses droits ou intérêts par un acte de l’Union et doit ainsi être en mesure, dans le respect de ces conditions, de poursuivre l’annulation d’un tel acte.
S’agissant de la condition selon laquelle une personne morale doit être directement concernée, le Tribunal rappelle que deux critères doivent être cumulativement satisfaits au titre de celle-ci. En ce qui concerne, premièrement, le critère relatif aux effets des dispositions attaquées sur la situation juridique du CEPD, le Tribunal souligne que le CEPD est chargé du contrôle de l’application par les institutions, les organes ou organismes de l’Union des règles pertinentes relatives à la protection des données à caractère personnel (
11
). En l’occurrence, les dispositions attaquées modifient le règlement Europol initial et n’ont pas d’incidence sur la nature ou sur la portée des missions confiées au CEPD par la législation de l’Union. Ainsi, s’il est vrai que le régime juridique que le CEPD est chargé de contrôler a été modifié, ses propres compétences ne l’ont pas été, car la manière dont il peut légalement exercer ces dernières n’a pas été modifiée en tant que telle. Partant, le CEPD n’est pas directement concerné par les dispositions attaquées, dans la mesure où ses droits, obligations ou compétences n’ont pas été affectés par ces dispositions. En outre, s’agissant des effets des dispositions attaquées sur la décision du 3 janvier 2022, le Tribunal précise qu’il s’agit d’une décision administrative qui ne saurait avoir d’incidence sur des actes législatifs, tels que le règlement Europol modifié, ni en affecter le contenu.
Deuxièmement, s’agissant du critère relatif à la marge d’appréciation des destinataires chargés de la mise en œuvre des dispositions attaquées, le Tribunal relève que ces dernières laissent une certaine marge d’appréciation à Europol. Elles n’ont donc pas un caractère purement automatique et découlant de la seule réglementation de l’Union envers le CEPD, sans application d’autres règles intermédiaires.
En conséquence, étant donné que les dispositions attaquées n’affectent pas directement la situation juridique du CEPD et que les conditions de l’affectation directe et de l’affectation individuelle par l’acte dont l’annulation est demandée sont cumulatives, le Tribunal conclut à l’irrecevabilité du recours.
(
1
)	Au titre de l’article 43, paragraphe 3, sous e), du règlement (UE) 2016/794 du Parlement européen et du Conseil, du 11 mai 2016, relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO 2016, L 135, p. 53, ci-après le « règlement Europol initial »).
(
2
)	Règlement (UE) 2022/991 du Parlement européen et du Conseil, du 8 juin 2022, en ce qui concerne la coopération d’Europol avec les parties privées, le traitement de données à caractère personnel par Europol à l’appui d’enquêtes pénales et le rôle d’Europol en matière de recherche et d’innovation (JO 2022, L 169, p. 1, ci-après le « règlement Europol modifié »), qui modifie le règlement Europol initial.
(
3
)	Articles 74 bis et 74 ter du règlement Europol modifié (ci-après « les dispositions attaquées »).
(
4
)	Arrêt du 22 mai 1990, Parlement/Conseil (C‑70/88, EU:C:1990:217).
(
5
)	En vertu de cette disposition, la Cour peut être saisie d’un recours formé, d’une part, par un État membre, par le Parlement, par le Conseil ou par la Commission et, d’autre part, par la Cour des comptes, par la Banque centrale européenne (BCE) et par le Comité des régions.
(
6
)	Les sept institutions mentionnées par cette disposition sont le Parlement, le Conseil européen, le Conseil, la Commission, la Cour de justice de l’Union européenne, la Banque centrale européenne et la Cour des comptes.
(
7
)	En vertu de l’article 16, paragraphe 2, TFUE et de l’article 8, paragraphe 3, de la Charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), le respect des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union est soumis au contrôle d’autorités indépendantes.
(
8
)	Article 41, paragraphe 1, du règlement (CE) no 45/2001 du Parlement européen et du Conseil, du 18 décembre 2000, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO 2001, L 8, p. 1).
(
9
)	En vertu de l’article 51, sous b), du statut de la Cour de justice de l’Union européenne.
(
10
)	Tels que prévus à l’article 14, paragraphe 1, et à l’article 16, paragraphe 1, TUE.
(
11
)	En vertu de l’article 1er, paragraphe 3, du règlement (UE) 2018/1725 du Parlement européen et du Conseil, du 23 octobre 2018, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO 2018, L 295, p. 39), et de l’article 43, paragraphe 1, du règlement Europol initial.