62023TJ1180_RES
Mål T‑1180/23
BW
mot
Europeiska unionens byrå för samarbete inom brottsbekämpningochEuropeiska unionens byrå för straffrättsligt samarbete
Tribunalens dom (femte avdelningen) av den 25 februari 2026
”Samarbete mellan medlemsstaternas polismyndigheter och andra brottsbekämpande organ – Tjänsten för krypterad kommunikation Sky ECC – Påstådd olaglig behandling av personuppgifter – Talan om ogiltigförklaring – Akt mot vilken talan inte kan väckas – Förberedande akt – Upptagande till sakprövning – Medlemsstaternas behandling av personuppgifter och överföring av dessa till Europol – Europols överföring av personuppgifter till en medlemsstat – Eurojusts överföring av personuppgifter till ett tredjeland – Utomobligatoriskt skadeståndsansvar – Artikel 50 i förordning (EU) 2016/794 – Europols och medlemsstaternas solidariska ansvar för olaglig behandling av uppgifter – Tillräckligt klar överträdelse av en rättsregel som har till syfte att ge enskilda rättigheter – Verklig skada – Förordning (EU) 2018/1727 – Eurojusts bristande samordning av lagföringen i en medlemsstat och i ett tredjeland – Artiklarna 71, 72, 89, 91 och 92 i förordning (EU) 2018/1725”
Talan om ogiltigförklaring – Unionsdomstolens behörighet – Talan om ogiltigförklaring av nationella myndigheters behandling av personuppgifter i straffrättsliga förfaranden och av dessa myndigheters översändande av handlingar och information till Europol eller Eurojust – Omfattas inte
(Artikel 263 FEUF)
(se punkterna 23–25)
Talan om ogiltigförklaring – Unionsdomstolens behörighet – Talan om ogiltigförklaring av ett avtal om inrättande av en gemensam utredningsgrupp – Omfattas inte
(Artikel 34 FEU; artikel 263 FEUF)
(se punkterna 26–31)
Skadeståndstalan – Saken – Ersättning för skada till följd av olaglig behandling av personuppgifter – Talan mot Eurojust avseende ansvar för medlemsstaterna eller Europol – Unionsdomstolen saknar behörighet
(Artiklarna 268 och 340 FEUF; Europaparlamentets och rådets förordning 2018/1727)
(se punkterna 33–35 och 41)
Skadeståndstalan – Saken – Ersättning för skada till följd av olaglig behandling av personuppgifter – Talan mot Europol avseende ansvar för medlemsstaterna – Unionsdomstolens behörighet – Gräns – Bristande behörighet i händelse av skada till följd av insatser som utförs av polis eller andra brottsbekämpande myndigheter i medlemsstaterna
(Artiklarna 268, 276 och 340 FEUF; Europaparlamentets och rådets förordning 2016/794, skäl 57 och artiklarna 49.3, 49.4 och 50)
(se punkterna 37, 38 och 42–46)
Utomobligatoriskt skadeståndsansvar – Unionens och medlemsstaternas solidariska ansvar – Förordning 2016/794 – Ansvar för olaglig behandling av personuppgifter – Europols och den berörda medlemsstatens solidariska ansvar – Kriterier – Bevis för att ansvaret för den olagliga behandlingen kan tillskrivas Europol eller den berörda medlemsstaten
(Artikel 340 andra stycket FEUF; Europaparlamentets och rådets förordning 2016/794, artikel 50.1)
(se punkterna 93 och 136)
Talan om ogiltigförklaring – Rättsakter mot vilka talan kan väckas – Begrepp – Akter som har bindande rättsverkningar – Förberedande rättsakter – Omfattas inte – Europols eller Eurojusts deltagande i möten eller arbetsgrupper – Omfattas inte
(Artikel 263 FEUF)
(se punkterna 108–110)
Talan om ogiltigförklaring – Rättsakter mot vilka talan kan väckas – Begrepp – Akter som har bindande rättsverkningar – En unionsbyrås överföring av personuppgifter från tjänsten för krypterad kommunikation Sky ECC – Överföring till en medlemsstat – Omfattas inte – Överföring till ett tredjeland – Omfattas – Villkor
(Artikel 263 FEUF)
(se punkterna 111–123)
Utomobligatoriskt skadeståndsansvar – Villkor – Förordning 2016/794 – Ansvar för olaglig behandling av personuppgifter – Ansvarets art – Europols och den berörda medlemsstatens solidariska ansvar – Omfattning – Bedömning av lagligheten hos medlemsstaternas akter och beteenden som utgörs av annat än insamling av uppgifter i samband med insatser som utförs av polis eller andra brottsbekämpande myndigheter i medlemsstaterna – Bedömning på grundval av unionsrätten eller den nationella rätten i fråga
(Artikel 268, artikel 276 och artikel 340 andra stycket FEUF; Europaparlamentets och rådets förordning 2016/794, artikel 50.1)
(se punkterna 141, 142 och 162–164)
Resumé
Tribunalen ogillar en talan om ogiltigförklaring och om skadestånd som väckts av BW mot Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och Europeiska unionens byrå för straffrättsligt samarbete (Eurojust) mot bakgrund av ett polisiärt och rättsligt samarbete mellan flera medlemsstater. Tribunalen lämnar härvid, för första gången sedan domen Kočner/Europol (
1
), preciseringar vad gäller innebörden av ordningen med solidariskt ansvar, särskilt med beaktande av de begränsningar som följer av artikel 276 FEUF. Tribunalen slår dessutom fast att Eurojusts överföringar av personuppgifter till en medlemsstat inte utgör rättsakter mot vilka talan kan väckas i den mening som avses i artikel 263 FEUF, medan det däremot är möjligt att väcka talan mot en överföring av sådana uppgifter som sker till ett tredjeland, i avsaknad av andra effektiva rättsmedel.
Sökanden, BW, är serbisk medborgare, åtalad och frihetsberövad i Nederländerna sedan maj 2023 för import av kokain. Sedan hösten 2023 står han även åtalad i Serbien för bland annat narkotikahandel.
De åtal som väckts av de nederländska och serbiska myndigheterna var en följd av de undersökningsåtgärder som belgiska, nederländska och franska myndigheter vidtog i slutet av 2010-talet mot ”organisationen Sky ECC”, där ”ECC” står för ”Elliptic Curve Cryptography” (elliptisk kryptering). Organisationen misstänktes för att saluföra produkter och tjänster för krypterad kommunikation vilka särskilt syftade till att göra det enklare att begå brott.
Till följd av dessa undersökningsåtgärder utfärdade Belgien och Nederländerna, i slutet av år 2018, utredningsorder genom vilka Frankrike anmodades att skapa en bild av de servrar som användes av tjänsten Sky ECC och som var belägna i den medlemsstaten. Frankrike efterkom denna anmodan genom att uppfånga, spela in och transkribera den krypterade kommunikationen till och från dessa servrar, däri inbegripet uppgifter om BW.
År 2019 inrättade de belgiska, franska och nederländska myndigheterna en gemensam utredningsgrupp genom ett avtal dem emellan om en gemensam utredningsgrupp (nedan kallat ECE-avtalet) (
2
). Den gemensamma utredningsgruppens arbete ledde fram till att Europol och de tre berörda medlemsstaterna delade uppfångad rådata (som därefter behövde analyseras) med varandra, samt resultaten av denna analys.
Europol deltog i detta samarbete genom att lagra uppgifterna i sitt datasystem, utföra korskontroller, utarbeta underrättelserapporter, skapa diagram för att visualisera uppgifterna och tolka flerspråkiga dataserier. Eurojust bidrog å sin sida genom att lämna stöd och rådgivning om möjligheterna till rättsligt samarbete, anordna ett antal samordningsmöten för de nationella myndigheterna i fråga och Europol, och underlätta det rättsliga samarbetet mellan å ena sidan Serbien och å andra sidan Nederländerna och Frankrike.
BW yrkade i detta sammanhang att tribunalen skulle ogiltigförklara ECE-avtalet, de akter som Europol och Eurojust har antagit med stöd av detta avtal samt de handlingar som rör Europols, Eurojusts och de berörda medlemsstaternas behandling, analys och delning av uppgifter från Sky ECC‑servern som rör sökanden. Han yrkade dessutom att Europol och Eurojust skulle förpliktas att ersätta honom för den ideella och ekonomiska skada som han ansåg sig ha lidit.
Tribunalens bedömning
För det första, vad gäller tribunalens behörighet, förklarar tribunalen sig sakna behörighet att, med stöd av artikel 263 FEUF, pröva den franska domstolens tillstånd för de uppfångningsåtgärder som vidtagits av de franska myndigheterna, genomförandet av dessa åtgärder, de franska myndigheternas överföring till Europol av de handlingar och de uppgifter som erhållits i samband med dessa, de franska myndigheternas överföring till Eurojust och till de serbiska myndigheterna av de handlingar och den information som begärts ut av de serbiska myndigheterna inom ramen för deras begäran om ömsesidig rättslig hjälp, frågan huruvida det straffrättsliga förfarandet vid de serbiska domstolarna gått rätt till, samt ECE-avtalet.
När det närmare bestämt gäller detta avtal så framhåller tribunalen att unionsdomstolen saknar behörighet för att, direkt på grundval av artikel 263 FEUF, pröva avtalets laglighet, eftersom detta avtal inte är en unionsrättsakt. ECE-avtalet undertecknades och ingicks nämligen endast av tre medlemsstater. Detta konstaterande påverkas varken av att ECE-avtalet grundar sig på en konvention som ingåtts av dessa medlemsstater med stöd av artikel 34 FEU samt på ett rambeslut från Europeiska unionens råd, eller av att Belgien, Frankrike och Nederländerna, med stöd av ECE-avtalet, beslutade att involvera Europol och Eurojust i egenskap av ”deltagare” i den gemensamma utredningsgruppen. I detta sammanhang preciserar tribunalen att den möjlighet som föreskrivs för Europol och Eurojust att föreslå eller hjälpa till med inrättandet av en gemensam utredningsgrupp, och för deras anställda att delta i en gemensam utredningsgrupp (
3
), inte ger dessa byråer ställning som ”part” i det avtal genom vilket de tre medlemsstaterna har inrättat den gemensamma utredningsgruppen.
Vidare förklarar sig tribunalen sakna behörighet att pröva sökandens yrkande om fastställande av Eurojusts skadeståndsansvar för Belgien, Frankrike, Nederländerna, Serbien och Europol. Tribunalen drar denna slutsats av det faktum att skadeståndsansvar för unionen, grundat på artiklarna 268 och 340 FEUF, inte kan göras gällande mot en EU-institution, ett EU-organ eller en EU-byrå som inte är den institution, det organ eller den byrå som påstås bära skulden för den skadeståndsgrundande händelsen, såvida inte unionslagstiftaren uttryckligen har föreskrivit en avvikande ordning med solidariskt ansvar antingen mellan en EU-institution, ett EU-organ eller en EU-byrå och en eller flera medlemsstater, eller eventuellt ett eller flera tredjeländer, eller mellan flera av unionens institutioner, organ eller byråer. Tribunalen konstaterar att det i detta fall inte finns någon akt som föreskriver någon avvikande ordning med solidariskt ansvar mellan Eurojust och medlemsstaterna eller mellan Eurojust och Serbien.
Däremot förklarar tribunalen sig vara behörig att pröva yrkandet i den del det avser fastställande av Eurojusts skadeståndsansvar för sina egna ageranden och fastställande av Europols skadeståndsansvar för ageranden som kan tillskrivas såväl Europol självt som de medlemsstater som deltagit i samarbetet avseende tjänsten Sky ECC.
Trots sin behörighet att pröva yrkandet i den del det avser Europols solidariska skadeståndsansvar för ageranden som kan tillskrivas vissa myndigheter, bland annat de franska myndigheterna, preciserar tribunalen att den saknar behörighet att pröva sökandens påståenden om att han lidit skada till följd av att hans personuppgifter uppfångats inom ramen för dessa myndigheters polisinsatser. Trots den ordning med solidariskt skadeståndsansvar som föreskrivs i Europol-förordningen kan Europol inte hållas solidariskt ansvarigt för en eventuell skada till följd av otillåten behandling av en fysisk persons personuppgifter i samband med insatser som genomförs av polis eller andra brottsbekämpande organ i en medlemsstat, även om denna behandling har skett inom ramen för ett samarbete som grundar sig på denna förordning. Det framgår nämligen av artikel 276 FEUF att unionsdomstolen, vid utövandet av sina befogenheter avseende straffrättsligt samarbete och polissamarbete, inte är behörig att pröva giltigheten eller proportionaliteten av insatser som polis eller andra brottsbekämpande organ genomför i en medlemsstat.
Vad för det andra gäller yrkandena om ogiltigförklaring konstaterar tribunalen, i samband med bedömningen av om dessa kan tas upp till sakprövning, att talan inte kan väckas mot de akter eller ageranden som sökanden har hävdat utgjorde skadegörande handlingar, med undantag för Eurojusts överföring till de serbiska myndigheterna den 24 juni 2022 av ett mejl från de franska myndigheterna innehållande en länk till en säker webbplats för nedladdning som bland annat innehöll vissa av hans samtal från tjänsten Sky ECC.
Vad gäller denna överföring understryker tribunalen att även om det framgår av rättspraxis avseende Europeiska byrån för bedrägeribekämpnings (Olaf) överföring av sina slutrapporter och uppgifter till medlemsstaterna, vilken är analogt tillämplig i förevarande fall, att en sådan överföring inte utgör en rättsakt mot vilken talan kan väckas, så beaktade domstolen, liksom tribunalen själv, i samband med den slutsatsen att sökanden förfogade över andra medel för att få till stånd en prövning av om dessa överföringsbeslut var lagliga, bland annat förfarandet med begäran om förhandsavgörande. Tribunalen noterar att överföringen av den 24 juni 2022 skedde mellan en unionsbyrå och myndigheterna i ett tredjeland, i förevarande fall Serbien. Det betyder att om det inte inom ramen för den nu aktuella talan går att göra gällande att denna överföring strider mot unionsrätten, så kommer det inte att finnas någon sådan möjlighet vid ett senare tillfälle och de personuppgifter som därigenom överfördes kan komma att betraktas som lagligen överförda till de serbiska myndigheterna utan att sökanden vid ett senare tillfälle har möjlighet att utverka att domstolarna i detta tredjeland prövar överföringens giltighet utifrån unionsrätten eller hänskjuter en fråga om överföringens giltighet till EU-domstolen för förhandsavgörande. I den meningen utgör överföringen slutpunkten i ett särskilt förfarande genom vilket Eurojust till myndigheterna i ett tredjeland, och på dessa myndigheters begäran, överför personuppgifter om en viss angiven person.
Att erkänna möjligheten att väcka talan mot överföringen av den 24 juni 2022 är, tillägger tribunalen, det enda sättet att säkerställa att en rättslig myndighet eller ett annat oberoende organ kan utföra en effektiv kontroll av överföringen av de uppfångade personuppgifterna och deras användning för andra ändamål än det straffrättsliga förfarande för vilket uppgifterna ursprungligen samlades in. Att sökanden skulle kunna väcka talan vid fransk domstol eller vid Europeiska domstolen för de mänskliga rättigheterna efter en eventuellt fällande dom i en serbisk brottmålsdomstol saknar i detta hänseende betydelse. Dels finns det ingen möjlighet att i fransk domstol väcka talan om ogiltigförklaring av en rättsakt som antagits av EU-byrå. Dels finns det, eftersom unionen inte har anslutit sig till Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, ingen möjlighet för Europeiska domstolen för de mänskliga rättigheterna att fastställa att unionen har åsidosatt skyldigheter enligt denna konvention, särskilt inte i ett mål där talan har väckts mot ett tredjeland.
Dock ogillas yrkandet om ogiltigförklaring av överföringen av den 24 juni 2022 av tribunalen, eftersom sökanden inte har visat på vilket sätt denna överföring skulle ha lett till en olaglig behandling av hans personuppgifter.
Vad för det tredje gäller sökandens skadeståndsyrkanden konstaterar tribunalen att den första åberopade skadan avser påståenden om felaktig behandling av uppgifter från såväl Europols sida som de tre berörda medlemsstaternas sida, som omfattas av den avvikande ordning med solidariskt ansvar som föreskrivs i Europol-förordningen (
4
), och beaktar således inte bara Europols akter och ageranden, enligt det allmänna ansvarssystem som följer av den förordningen (
5
), utan även de tre berörda medlemsstaternas akter och ageranden enligt den avvikande ordningen med solidariskt ansvar.
Tribunalen tillägger att Europols påstående att Europol inte kan hållas ansvarigt för medlemsstaternas akter och ageranden och att tribunalen inte kan pröva huruvida de är lagenliga är felaktigt. Det är visserligen riktigt att unionsdomstolen enligt artikel 276 FEUF inte är behörig att pröva giltigheten eller proportionaliteten av insatser som polis eller andra brottsbekämpande organ gör i en medlemsstat, vilket även gäller inom ramen för mål där talan väckts med stöd av artiklarna 268 och 340 FEUF. Utanför dessa specifika insatser innebär emellertid den avvikande ordning med solidariskt ansvar som föreskrivs i Europol-förordningen, underförstått men nödvändigtvis, att Europol kan hållas ansvarigt för medlemsstaternas akter och ageranden. Likaså följer nödvändigtvis av detta att tribunalen, inom ramen för en skadeståndstalan enligt denna avvikande ordning, är behörig att bedöma lagenligheten av akter och ageranden när det gäller andra medlemsstater än dem vars polismyndigheter eller andra brottsbekämpande organ har samlat in de berörda uppgifterna, antingen med stöd av unionsrätten, eller med stöd av den nationella rätten i den berörda medlemsstaten.
Vad gäller den andra åberopade skadan, som i princip endast handlar om att rätten till en rättvis rättegång ska ha åsidosatts på grund av att det inte är möjligt att kontrollera huruvida uppgifterna från tjänsten Sky ECC är ”användbara” i de nationella straffrättsliga förfaranden som de utredningar i vilka Europol deltog ledde fram till, så konstaterar tribunalen att sökanden inte har bestritt lagenligheten av behandlingen av hans personuppgifter, i den mening som avses i artikel 28 i Europol-förordningen – som är det enda argumentet som kan medföra att ett bestridande omfattas av den avvikande ordning med solidariskt ansvar som föreskrivs i denna förordning. Vid prövningen av denna åberopade skada beaktar den således endast Europols akter och ageranden enligt det generella ansvarssystem som följer av nämnda förordning.
Vad gäller den tredje åberopade skadan, som avser påståendet att han av nederländska och serbiska straffrättsliga myndigheter gjorts till föremål för dubbla åtal för samma gärningar, preciserar tribunalen att sökanden härigenom endast har gjort gällande att Europol har åsidosatt sina skyldigheter enligt ECE-avtalet. Vid prövningen av denna åberopade skada beaktar den således endast Europols akter och ageranden enligt det generella ansvarssystem som följer av Europol-förordningen.
Tribunalen slår fast att talan inte kan vinna bifall såvitt avser någon av de tre åberopade skadorna.
(
1
)	Dom av den 5 mars 2024, Kočner/Europol (C‑755/21 P, EU:C:2024:202).
(
2
)	Avtalet ingicks med stöd av artikel 13 i den konvention som upprättats av rådet i enlighet med artikel 34 FEU om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater (EGT C 197, 2000, s. 3) och rådets rambeslut av den 13 juni 2002 om gemensamma utredningsgrupper (EGT L 162, 2002, s. 1).
(
3
)	I artikel 5 i Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 2016, s. 53) (nedan kallad Europol-förordningen), respektive artikel 8.1 d i Europaparlamentets och rådets förordning (EU) 2018/1727 av den 14 november 2018 om Eurojust och om ersättning och upphävande av rådets beslut 2002/187/RIF (EUT L 295, 2018, s. 138).
(
4
)	Artikel 50.1 i Europol-förordningen.
(
5
)	Europols allmänna ansvar enligt artikel 49 i Europol-förordningen.