62022TO0578_RES
Sag T-578/22
Den Europæiske Tilsynsførende for Databeskyttelse
mod
Europa-Parlamentet og Rådet for Den Europæiske Union
Rettens kendelse (Første Udvidede Afdeling) af 6. september 2023
»Annullationssøgsmål – regler for institutionerne – Europols behandling af personoplysninger – forordning (EU) 2016/794 – EDPS’ institutionelle prærogativer – søgsmålskompetence – åbenbart, at søgsmålet delvis ikke kan antages til realitetsbehandling, delvis er ugrundet«
Annullationssøgsmål – Unionens retsinstansers kompetence – søgsmål anlagt af et EU-organ – søgsmål anlagt af Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) – søgsmålskompetence med henblik på at sikre et EU-organs institutionelle prærogativer, som påberåbes til støtte for søgsmålet
(Art. 263 TEUF; Parlamentets og Rådets forordning nr. 45/2001, art. 41, stk. 1)
(jf. præmis 26-36)
Annullationssøgsmål – fysiske eller juridiske personer – søgsmålsinteresse – søgsmålskompetence – Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) – søgsmålskompetence med henblik på at sikre et EU-organs institutionelle prærogativer – foreligger ikke – realitetsbehandling betinget af, at det er godtgjort, at sagsøger har søgsmålskompetence og søgsmålsinteresse
(Art. 263, stk. 4, TEUF)
(jf. præmis 41-48 og 54-57)
Annullationssøgsmål – søgsmålskompetence – juridiske personer – begreb – Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) – EU-organ – omfattet – betingelser
(Art. 263, stk. 4, TEUF)
(jf. præmis 60-65)
Annullationssøgsmål – fysiske eller juridiske personer – retsakter, som berører dem umiddelbart og individuelt – bestemmelser vedrørende Europols behandling af personoplysninger – afgørelse truffet af Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) over for Europol – manglende indvirkning af disse bestemmelser på den pågældende afgørelse og på EDPS’ beføjelser – ikke umiddelbart berørt – afvisning
(Art. 16, stk. 2, TEUF og art. 263, stk. 4, TEUF; Parlamentets og Rådets forordning 2016/794, som ændret ved forordning 2022/991, art. 74a og 74b)
(jf. præmis 66, 68-76, 78-82, 84 og 85)
Resumé
Efter en undersøgelse på eget initiativ vedtog Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) den 3. januar 2022 en afgørelse over for Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) (
1
). Med denne afgørelse pålagde EDPS for hvert bidrag modtaget fra og med den 4. januar 2022 i det væsentlige Europol at foretage en kategorisering af registrerede inden for en frist på seks måneder fra datoen for modtagelsen af bidraget, og en kategorisering inden for en frist på 12 måneder af samtlige datasæt, der fandtes på det tidspunktet, hvor afgørelsen blev truffet, efter hvilken frist Europol var forpligtet til at slette de pågældende oplysninger.
Den 8. juni 2022 vedtog Europa-Parlamentet og Rådet den ændrede Europol-forordning (
2
). Den ændrede Europol-forordning fastsætter i det væsentlige i medfør af to overgangsbestemmelser (
3
) de betingelser, hvorunder Europol inden for en bestemt frist skulle foretage en kategorisering af samtlige de datasæt, som Europol var i besiddelse af på tidspunktet for ikrafttrædelsen af den ændrede Europol-forordning, og præciserer de betingelser og procedurer, i henhold til hvilke en behandling af personoplysninger, der ikke vedrører de kategorier af registrerede, som er opført i bilag II til den ændrede Europol-forordning, og som var blevet fremsendt til Europol inden den 28. juni 2022, er tilladt til støtte for en igangværende strafferetlig efterforskning.
EDPS var af den opfattelse, at de anfægtede bestemmelser tilsidesatte EDPS’ uafhængighed og EDPS’ beføjelser i egenskab af tilsynsmyndighed, for så vidt som disse bestemmelser ifølge EDPS lovliggjorde Europols opbevaring af de omtvistede oplysninger med tilbagevirkende kraft og de facto annullerede afgørelsen af 3. januar 2022. EDPS anlagde derfor sag ved Retten i henhold til artikel 263 TEUF med påstand om annullation af de anfægtede bestemmelser. EDPS gjorde gældende, at EDPS havde en retlig interesse, idet det er nødvendigt, at EDPS har adgang til et retsmiddel med henblik på at forsvare sine institutionelle prærogativer, og navnlig EDPS’ uafhængighed som tilsynsmyndighed.
Det var første gang, at EDPS havde anlagt et annullationssøgsmål ved Retten til prøvelse af en lovgivningsmæssig retsakt, der er vedtaget af Rådet og Parlamentet, hvilket bl.a. rejste spørgsmålet om, hvorvidt Retten havde kompetence til at træffe afgørelse i det pågældende søgsmål, om, hvorvidt dommen i sagen Parlamentet mod Rådet (C-70/88) (
4
) fandt analog anvendelse på den foreliggende sag, og om, hvorvidt EDPS i sin egenskab af EU-organ kan sidestilles med en juridisk person som omhandlet i artikel 263, stk. 4, TEUF.
Rettens bemærkninger
Retten undersøgte for det første, om den havde kompetence til at påkende det søgsmål, der var anlagt af EDPS, og bemærkede indledningsvis, at EDPS hverken er blandt de sagsøgere, der er nævnt i artikel 263, stk. 2 og 3, TEUF (
5
), eller opført på listen over institutioner i artikel 13, stk. 1, TEU (
6
). Den bemærkede dernæst, at selv om artikel 263, stk. 1, TEUF udtrykkeligt nævner Unionens organer, kontorer og agenturer på listen over ophavsmænd til retsakter, hvis lovlighed kan anfægtes inden for rammerne af et annullationssøgsmål, gælder det samme ikke for så vidt angår artikel 263, stk. 2 og 3, TEUF. Retten præciserede dernæst, at det er korrekt, at EDPS’ status som uafhængig tilsynsmyndighed er sikret både i EUF-traktaten og i chartret (
7
), men EDPS er oprettet som et EU-organ ved en afledt retsakt og ikke i henhold til den primære ret (
8
). Dette indebærer, at selv om EDPS er et EU-organ med en særlig status, er EDPS ikke en EU-institution, og EDPS kan under alle omstændigheder ikke anses for at være blandt de sagsøgere, der er omfattet af artikel 263, stk. 2 og 3, TEUF. Endelig fastslog Retten, at eftersom Domstolen har enekompetence i de søgsmål, der er omhandlet i artikel 263 TEUF, og som navnlig er anlagt af en EU-institution samt rettet mod en lovgivningsmæssig retsakt (
9
), og henset til, at EDPS hverken er en institution eller en sagsøger som omhandlet i artikel 263, stk. 2 og 3, TEUF, havde Retten kompetence til at træffe afgørelse i sagen.
Retten undersøgte for det andet, om EDSP havde søgsmålskompetence i henhold til den retspraksis, der følger af dommen i sagen Parlamentet mod Rådet (C-70/88). Retten bemærkede, at i denne dom, som EDPS havde påberåbt sig til støtte for en særlig søgsmålskompetence med henblik på at forsvare sine institutionelle prærogativer, havde Domstolen fastslået, at Parlamentet ikke havde nogen mulighed for ved Unionens retsinstanser at anfægte de retsakter, som var vedtaget af de øvrige institutioner og som kunne gøre indgreb i Parlamentets egne prærogativer, og den valgte at udfylde dette tomrum under anvendelse af det almindelige princip om institutionel ligevægt. EDPS kan derimod anlægge et annullationssøgsmål i henhold til artikel 263, stk. 4, TEUF, eftersom EDPS er et organ, der er oprettet ved en afledt EU-retsakt og kan sidestilles med en juridisk person. Retten præciserede endvidere, at selv om EDPS har en særlig status, der er anerkendt i såvel EUF-traktaten som i chartret, og selv om oprettelsen af uafhængige tilsynsmyndigheder er et væsentligt element i beskyttelsen af enkeltpersoner i forbindelse med beskyttelsen af personoplysninger, kan den uafhængighed, som EDPS i praksis skal udøve sine funktioner i, imidlertid ikke begrænse EU-lovgivers beføjelser (
10
). EDPS skal dermed udøve denne opgave og disse beføjelser fuldstændig uafhængigt og inden for rammerne af de lovgivningsakter, som er vedtaget af Parlamentet og Rådet i fællesskab, og i overensstemmelse med disse lovgivningsakter fører EDPS tilsyn med overholdelsen af reglerne for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger foretaget af Unionens institutioner, organer, kontorer og agenturer. Retten konkluderede, at dommen i sagen Parlamentet mod rådet (C-70/88) ikke finder anvendelse analogt på EDPS’ situation, idet EDPS ikke kan anses for at have søgsmålskompetence i henhold til denne dom, og at EDPS skal anses for at være en sagsøger, der skal opfylde betingelserne i artikel 263, stk. 4, TEUF.
Retten undersøgte for det tredje i forbindelse med sin undersøgelse af, om EDPS havde søgsmålskompetence i henhold til artikel 263, stk. 4, TEUF, indledningsvis, om EDPS i sin egenskab af et EU-organ kan sidestilles med en juridisk person som omhandlet i denne bestemmelse. Retten bemærkede, at i henhold til en fortolkning af denne bestemmelse i lyset af princippet om effektiv domstolsprøvelse og retsstatsprincippet har et EU-organ såsom EDPS i sin egenskab af »juridisk person« kompetence til at anlægge annullationssøgsmål til prøvelse af de anfægtede bestemmelser, forudsat at det pågældende organ er umiddelbart og individuelt berørt af de anfægtede bestemmelser som omhandlet i den nævnte artikel 263 TEUF. En sådan juridisk person kan nemlig i lige så høj grad som en anden person eller enhed blive berørt negativt i sine rettigheder eller interesser af en EU-retsakt og skal således under overholdelse af disse betingelser være i stand til at anlægge sag med påstand om annullation af en sådan retsakt.
Hvad angår betingelsen om, at en juridisk person skal være umiddelbart berørt, henviste Retten til, at denne betingelse kræver, at to kriterier er kumulativt opfyldt. Hvad for det første angår betingelsen om, at de anfægtede bestemmelser skal have indvirkning på EDPS’ retsstilling, fremhævede Retten, at EDPS er ansvarlig for at føre tilsyn med Unionens institutioners, organers, kontorers og agenturers anvendelse af de relevante regler om beskyttelse af personoplysninger (
11
). I den foreliggende sag ændrer de anfægtede bestemmelser den oprindelige Europol-forordning og har ingen indvirkning på arten eller rækkevidden af de opgaver, som EDPS har fået overdraget i henhold til EU-retten. Selv om det er korrekt, at den retlige ordning, som EDPS har til opgave at føre tilsyn med, er blevet ændret, er EDPS’ egne beføjelser ikke blevet ændret, da der ikke som sådan er sket en ændring af måden, hvorpå EDPS lovligt kan udøve disse beføjelser. EDPS er således ikke umiddelbart berørt af de anfægtede bestemmelser, for så vidt som EDPS’ rettigheder, forpligtelser eller beføjelser ikke er blevet berørt af de pågældende bestemmelser. Hvad derudover angår de anfægtede bestemmelsers virkninger på afgørelsen af 3. januar 2022 præciserede Retten, at det drejer sig om en administrativ afgørelse, der hverken kan påvirke lovgivningsmæssige retsakter såsom den ændrede Europol-forordning eller indholdet heraf.
Hvad for det andet angår kriteriet om de adressater, der skal gennemføre de anfægtede bestemmelser, bemærkede Retten, at disse bestemmelser overlader Europol en vis skønsmargen. De anfægtede bestemmelser gennemførtes dermed ikke automatisk og udelukkende i medfør af EU-regler vedrørende EDPS uden anvendelse af andre mellemkommende regler.
Retten afviste sagen, eftersom de anfægtede bestemmelser ikke umiddelbart berørte EDPS’ retsstilling, og eftersom betingelserne om at være umiddelbart og individuelt berørt af den retsakt, som påstås annulleret, er kumulative.
(
1
) – I henhold til artikel 43, stk. 3, litra e), i Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11.5.2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (EUT 2016, L 135, s. 53, herefter »den oprindelige Europol-forordning«).
(
2
) – Europa-Parlamentets og Rådets forordning (EU) 2022/991 af 8.6.2022 for så vidt angår Europols samarbejde med private parter, Europols behandling af personoplysninger til støtte for strafferetlige efterforskninger og Europols rolle inden for forskning og innovation (EUT 2022, L 169, s. 1, herefter »den ændrede Europol-forordning«), der ændrede den oprindelige Europol-forordning.
(
3
) – Den ændrede Europol-forordnings artikel 74a og 74b (herefter »de anfægtede bestemmelser«).
(
4
) – Dom af 22.5.1990, Parlamentet mod Rådet (C-70/88, EU:C:1990:217).
(
5
) – I henhold til denne bestemmelse kan der anlægges sag ved Domstolen dels af en medlemsstat, af Parlamentet, af Rådet eller af Kommissionen, dels af Revisionsretten, af Den Europæiske Centralbank (ECB) og af Regionsudvalget.
(
6
) – De syv institutioner, der nævnes i denne bestemmelser, er Parlamentet, Det Europæiske Råd, Rådet, Kommissionen, Den Europæiske Unions Domstol, Den Europæiske Centralbank og Revisionsretten.
(
7
) – Artikel 16, stk. 2, TEUF og artikel 8, stk. 3, i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«) bestemmer, at overholdelsen af reglerne om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger foretaget af Unionens institutioner, organer, kontorer og agenturer kontrolleres af uafhængige myndigheder.
(
8
) – Artikel 41, stk. 1, i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18.12.2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og organerne og om fri udveksling af sådanne oplysninger (EFT 2001, L 8, s. 1).
(
9
) – I henhold til artikel 51, litra b), i statutten for Den Europæiske Unions Domstol.
(
10
) – Som foreskrevet i artikel 14, stk. 1, TEU og artikel 16, stk. 1, TEU.
(
11
) – I henhold til artikel 1, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23.10.2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT 2018, L 295, s. 39) og den oprindelige Europol-forordnings artikel 43, stk. 1.