Asunto T‑578/22
Supervisor Europeo de Protección de Datos
contra
Parlamento EuropeoyConsejo de la Unión Europea
Auto del Tribunal General (Sala Primera ampliada) de 6 de septiembre de 2023
«Recurso de anulación — Derecho institucional — Tratamiento de datos personales por Europol — Reglamento (UE) 2016/794 — Prerrogativas institucionales del SEPD — Legitimación — Recurso en parte inadmisible y en parte manifiestamente inadmisible»
1.      Recurso de anulación — Competencia del juez de la Unión — Recurso interpuesto por un órgano de la Unión — Recurso interpuesto por el Supervisor Europeo de Protección de Datos (SEPD) — Legitimación para salvaguardar sus prerrogativas institucionales que se invoca en apoyo de ese recurso
[Art. 263 TFUE; Reglamento (CE) n.º 45/2001 del Parlamento Europeo y del Consejo, art. 41, ap. 1]
(véanse los apartados 26 a 36)
2.      Recurso de anulación — Personas físicas o jurídicas — Interés en ejercitar la acción — Legitimación — Recurso interpuesto por el Supervisor Europeo de Protección de Datos (SEPD) — Legitimación para salvaguardar sus prerrogativas institucionales — Inexistencia — Admisibilidad supeditada a la demostración de la legitimación activa y del interés en ejercitar la acción
(Art. 263 TFUE, párr. 4)
(véanse los apartados 41 a 48 y 54 a 57)
3.      Recurso de anulación — Legitimación — Personas jurídicas — Concepto — Supervisor Europeo de Protección de Datos (SEPD) — Órgano de la Unión — Inclusión — Requisitos
(Art. 263 TFUE, párr. 4)
(véanse los apartados 60 a 65)
4.      Recurso de anulación — Personas físicas o jurídicas — Actos que las afectan directa e individualmente — Disposiciones relativas al tratamiento de datos personales por Europol — Resolución adoptada por el Supervisor Europeo de Protección de Datos (SEPD) contra Europol — Inexistencia de impacto de esas disposiciones en la referida resolución y en las competencias del SEPD — Acto que no las afecta directamente — Inadmisibilidad
[Arts. 16 TFUE, ap. 2, y 263 TFUE, párr. 4; Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, en su versión modificada por el Reglamento (UE) 2022/991, arts. 74 bis y 74 ter]
(véanse los apartados 66, 68 a 76, 78 a 82, 84 y 85)
Resumen
El 3 de enero de 2022, tras una pesquisa por iniciativa propia, el Supervisor Europeo de Protección de Datos (SEPD) adoptó una resolución contra la Agencia de la Unión Europea para la Cooperación Policial (Europol). (1) Mediante esta resolución, el SEPD instó a Europol, en esencia, a que procediera, en relación con cada una de las contribuciones recibidas a partir del 4 de enero de 2022, a categorizar a los interesados en un plazo de seis meses a partir de la fecha de recepción de la contribución y en un plazo de doce meses en relación con los conjuntos de datos existentes en la fecha de adopción de la citada resolución, plazos más allá de los cuales Europol estaba obligada a suprimir tales datos.
El 8 de junio de 2022, el Parlamento Europeo y el Consejo adoptaron el Reglamento Europol modificado. (2) En virtud de dos disposiciones transitorias, (3) este Reglamento establecía, en esencia, las condiciones en que Europol ha de proceder, en un plazo determinado, a categorizar los conjuntos de datos que obren en su poder en el momento de la entrada en vigor del Reglamento Europol modificado y especifica las condiciones y los procedimientos conforme a los cuales se autoriza, en apoyo de una investigación penal en curso, el tratamiento de datos personales que no atañan a las categorías de interesados enumeradas en el anexo II del Reglamento Europol modificado y que hayan sido facilitados a Europol antes del 28 de junio de 2022.
El SEPD consideraba que los preceptos impugnados violaban su independencia y sus competencias como autoridad de control, en la medida en que, a su juicio, legalizaban retroactivamente las prácticas de Europol de conservación de datos a que se refiere el litigio y anulaban de facto su resolución de 3 de enero de 2022. Así pues, en virtud del artículo 263 TFUE, solicitaba ante el Tribunal General que esos preceptos fueran anulados. El SEPD alegaba que su legitimación estaba justificada por la necesidad de disponer de un recurso judicial en defensa de sus prerrogativas institucionales y, en particular, de su independencia como autoridad de control.
En el presente asunto, el Tribunal General conoce por primera vez de un recurso de anulación interpuesto por el SEPD contra un acto legislativo del Consejo y del Parlamento, lo que, en particular, plantea si el Tribunal General es competente para resolver dicho recurso, si cabe aplicar por analogía la sentencia Parlamento/Consejo (C‑70/88) (4) al presente litigio y si el SEPD, asimilado a una persona jurídica, resulta afectado directamente en el sentido del artículo 263 TFUE, párrafo cuarto.
Apreciación del Tribunal General
En primer lugar, el Tribunal General examina su competencia para conocer del recurso interpuesto por el SEPD y observa, para empezar, que este no figura ni entre las partes demandantes mencionadas en el artículo 263 TFUE, párrafos segundo y tercero, (5) ni en la lista de instituciones del artículo 13 TUE, apartado 1. (6) Seguidamente, señala que, aunque el artículo 263 TFUE, párrafo primero, menciona expresamente a los órganos y organismos de la Unión dentro de la lista de los autores de los actos cuya legalidad puede cuestionarse en el marco de un recurso de anulación, no ocurre lo mismo con el artículo 263 TFUE, párrafos segundo y tercero. De este modo, indica que, pese a que el estatuto del SEPD en cuanto que autoridad independiente de control se consagra tanto en el Tratado FUE como en la Carta, (7) fue creado como órgano de la Unión no ya por un acto de Derecho primario, sino por un acto de Derecho derivado. (8) Por lo tanto, aunque el SEPD es un órgano de la Unión que tiene un estatuto particular, no es una institución de la Unión y, en cualquier caso, no puede considerarse que figure entre las partes demandantes a las que se refiere el artículo 263 TFUE, párrafos segundo y tercero. Por último, el Tribunal General concluye que es competente para pronunciarse sobre el recurso, en la medida en que quedan reservados a la competencia del Tribunal de Justicia los recursos contemplados en el artículo 263 TFUE que haya interpuesto, en particular, una institución de la Unión contra un acto legislativo (9) y en la medida en que el SEPD no es ni una institución ni una parte demandante incluida en el artículo 263 TFUE, párrafos segundo y tercero.
En segundo lugar, el Tribunal General aprecia si el SEPD tiene legitimación en virtud de la jurisprudencia derivada de la sentencia Parlamento/Consejo (C‑70/88). Señala que, en dicha sentencia, invocada por el SEPD en apoyo de su legitimación particular dirigida a salvaguardar sus prerrogativas institucionales, el Tribunal de Justicia declaró que el Parlamento no tenía ninguna posibilidad de impugnar, ante los jueces de la Unión, los actos adoptados por las demás instituciones que pudieran menoscabar sus propias prerrogativas y optó por colmar esta laguna recurriendo al principio general del equilibrio institucional. En cambio, el SEPD puede interponer un recurso de anulación sobre la base del artículo 263 TFUE, párrafo cuarto, en la medida en que es un órgano creado mediante un acto de Derecho derivado de la Unión que puede equipararse a una persona jurídica. Por otro lado, el Tribunal General indica que por más que el SEPD tenga un estatuto particular —que reconocen tanto el Tratado FUE como la Carta— y por más que la creación de autoridades de control independientes sea un elemento esencial de la protección de las personas en materia de protección de datos personales, la independencia con la que el SEPD ha de ejercer en la práctica sus funciones no se dirige a limitar las facultades del legislador de la Unión. (10) Por consiguiente, el SEPD está obligado a ejercer sus misiones y competencias con total independencia y es dentro del marco de los actos legislativos adoptados conjuntamente por el Parlamento y el Consejo y de conformidad con estos como supervisa el respeto de las normas sobre protección de las personas físicas respecto del tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión. El Tribunal General concluye que no cabe aplicar por analogía la sentencia Parlamento/Consejo (C‑70/88) a la situación del SEPD, al cual no puede reconocérsele legitimación activa en virtud de tal sentencia y al que ha de considerarse que es una parte demandante obligada a cumplir los requisitos establecidos en el artículo 263 TFUE, párrafo cuarto.
En tercer lugar, en el marco del examen de la legitimación del SEPD con arreglo al artículo 263 TFUE, párrafo cuarto, el Tribunal General analiza con carácter preliminar si aquel, en su condición de órgano de la Unión, puede asimilarse a una persona jurídica en el sentido del referido precepto. Señala que, aplicando una interpretación de tal disposición a la luz de los principios de control jurisdiccional efectivo y del Estado de Derecho, un órgano de la Unión como el SEPD está legitimado, como «persona jurídica», para interponer un recurso de anulación contra los preceptos impugnados, siempre que estos le afecten directa e individualmente en el sentido del referido artículo. En efecto, esa persona jurídica, como cualquier otra persona o entidad, puede verse afectada negativamente en sus derechos o intereses por un acto de la Unión y, por lo tanto, debe poder solicitar, cumpliendo los referidos requisitos, la anulación de tal acto.
Por lo que se refiere al requisito de que una persona jurídica se vea directamente afectada, el Tribunal General recuerda que este exige que se reúnan dos criterios acumulativos. En primer término, en cuanto al criterio de los efectos de los preceptos impugnados en la situación jurídica del SEPD, el Tribunal General subraya que el SEPD se encarga de supervisar la aplicación que de las normas pertinentes relativas a la protección de datos personales realizan las instituciones, órganos u organismos de la Unión. (11) En el presente asunto, los preceptos impugnados modifican el Reglamento Europol inicial y no inciden en la naturaleza o en el alcance de las misiones que la legislación de la Unión encomienda al SEPD. Así pues, pese a ser cierto que ha sido modificado el régimen jurídico que el SEPD se encarga de supervisar, sus propias competencias no lo han sido, ya que como tal no se ha modificado el modo en que dicho órgano puede ejercer legalmente esas competencias. Por lo tanto, los preceptos impugnados no afectan directamente al SEPD, en la medida en que sus derechos, obligaciones o competencias no se han visto afectados por aquellos. Asimismo, por lo que respecta a los efectos de los preceptos impugnados sobre la resolución de 3 de enero de 2022, el Tribunal General indica que esta es una resolución administrativa que no puede afectar a actos legislativos como el Reglamento Europol modificado ni incidir en su contenido.
En segundo término, en lo tocante al criterio relativo al margen de apreciación de los destinatarios encargados de aplicar los preceptos impugnados, el Tribunal General señala que estos dejan un cierto margen de apreciación a Europol. Carecen, por lo tanto, de un carácter meramente automático y no se derivan únicamente de la normativa de la Unión en relación con el SEPD, sin aplicación de otras normas intermedias.
En consecuencia, dado que los preceptos impugnados no afectan directamente a la situación jurídica del SEPD y que los requisitos de afectación directa y de afectación individual del acto cuya anulación se solicita son acumulativos, el Tribunal General concluye que el recurso es inadmisible.
1      Con arreglo al artículo 43, apartado 3, letra e), del Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO 2016, L 135, p. 53; en lo sucesivo, «Reglamento Europol inicial»).
2      Reglamento (UE) 2022/991 del Parlamento Europeo y del Consejo, de 8 de junio de 2022, en lo que se refiere a la cooperación de Europol con entidades privadas, el tratamiento de datos personales por Europol en apoyo de investigaciones penales y el papel de Europol en materia de investigación e innovación (DO 2022, L 169, p. 1; en lo sucesivo, «Reglamento Europol modificado»), que modifica el Reglamento Europol inicial.
3      Artículos 74 bis y 74 ter del Reglamento Europol modificado (en lo sucesivo, «preceptos impugnados»).
4      Sentencia de 22 de mayo de 1990, Parlamento/Consejo (C‑70/88, EU:C:1990:217).
5      En virtud de esta disposición, pueden interponer recurso ante el Tribunal de Justicia, por un lado, un Estado miembro, el Parlamento Europeo, el Consejo o la Comisión y, por otro lado, el Tribunal de Cuentas, el Banco Central Europeo (BCE) y el Comité de las Regiones.
6      Las siete instituciones mencionadas en esta disposición son el Parlamento, el Consejo Europeo, el Consejo, la Comisión, el Tribunal de Justicia de la Unión Europea, el Banco Central Europeo y el Tribunal de Cuentas.
7      De conformidad con el artículo 16 TFUE, apartado 2, y el artículo 8, apartado 3, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), el respeto de las normas sobre protección de las personas físicas respecto del tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión ha de estar sometido al control de autoridades independientes.
8      Artículo 41, apartado 1, del Reglamento (CE) n.º 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO 2001, L 8, p. 1).
9      En virtud del artículo 51, letra b), del Estatuto del Tribunal de Justicia de la Unión Europea.
10      Contempladas en los artículos 14 TUE, apartado 1, y 16 TUE, apartado 1.
11      En virtud del artículo 1, apartado 3, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.º 45/2001 y la Decisión n.º 1247/2002/CE (DO 2018, L 295, p. 39), y del artículo 43, apartado 1, del Reglamento Europol inicial.