62022TO0578_RES
Sprawa T‑578/22
Europejski inspektor ochrony danych
przeciwko
Parlamentowi EuropejskiemuiRadzie Unii Europejskiej
Postanowienie Sądu (pierwsza izba w składzie powiększonym) z dnia 6 września 2023 r.
Skarga o stwierdzenie nieważności – Prawo instytucjonalne – Przetwarzanie danych osobowych przez Europol – Rozporządzenie (UE) 2016/794 – Prerogatywy instytucjonalne EIOD – Legitymacja procesowa czynna – Skarga w części oczywiście niedopuszczalna, a w części oczywiście bezzasadna
Skarga o stwierdzenie nieważności – Właściwość sądu Unii – Skarga wniesiona przez organ Unii – Skarga wniesiona przez Europejskiego Inspektora Ochrony Danych (EIOD) – Legitymacja procesowa mająca na celu ochronę jego prerogatyw instytucjonalnych, podniesiona na poparcie tej skargi
(art. 263 TFUE; rozporządzenie nr 45/2001 Parlamentu Europejskiego i Rady, art. 41 ust. 1)
(zob. pkt 26–36)
Skarga o stwierdzenie nieważności – Osoby fizyczne lub prawne – Interes prawny – Legitymacja procesowa czynna – Skarga wniesiona przez Europejskiego Inspektora Ochrony Danych (EIOD) – Legitymacja procesowa mająca na celu ochronę jego prerogatyw instytucjonalnych – Brak – Dopuszczalność nieuzależniona od wykazania interesu prawnego
(art. 263 akapit czwarty TFUE)
(zob. pkt 41–48, 54–57)
Skarga o stwierdzenie nieważności – Legitymacja procesowa czynna – Osoby prawne – Pojęcie – Europejski inspektor ochrony danych (EIOD) – Organ Unii – Zaliczenie – Warunki
(art. 263 akapit czwarty TFUE)
(zob. pkt 60–65)
Skarga o stwierdzenie nieważności – Osoby fizyczne lub prawne – Akty dotyczące ich bezpośrednio i indywidualnie – Zasady dotyczące przetwarzania danych osobowych przez Europol – Decyzja wydana przez Europejskiego Inspektora Ochrony Danych (EIOD) wobec Europolu – Brak wpływu tych przepisów na tę decyzję i na kompetencje EIOD – Brak bezpośredniego oddziaływania – Niedopuszczalność
(art. 16 ust. 2, art. 263 akapit czwarty TFUE; rozporządzenie Parlamentu Europejskiego i Rady 2016/794 zmienione rozporządzeniem 2022/991, art. 74a, art. 74b)
(zob. pkt 66, 68–76, 78–82, 84, 85)
Streszczenie
W dniu 3 stycznia 2022 r., w następstwie dochodzenia z własnej inicjatywy Europejski inspektor ochrony danych (EIOD) wydał decyzję wobec Agencji Unii Europejskiej ds. Współpracy Organów Ścigania (Europol). W tej decyzji EIOD nakazał Europolowi w istocie, by w odniesieniu do każdego wkładu otrzymanego od dnia 4 stycznia 2022 r. dokonał kategoryzacji osób, których dane dotyczą, w terminie sześciu miesięcy od daty otrzymania wkładu, a w odniesieniu do zbiorów danych istniejących w dniu wydania tej decyzji w terminie dwunastu miesięcy, po upływie których to terminów Europol był zobowiązany usunąć te dane.
W dniu 8 czerwca 2022 r. Parlament Europejski i Rada przyjęły zmienione rozporządzenie w sprawie Europolu (
1
). Określało ono w istocie w dwóch przepisach przejściowych (
2
) warunki, zgodnie z którymi Europol powinien dokonać w określonym terminie kategoryzacji zbiorów danych znajdujących się w jego posiadaniu w chwili wejścia w życie zmienionego rozporządzenia w sprawie Europolu oraz określa warunki i procedury, zgodnie z którymi w celu wsparcia toczącego się konkretnego postępowania przygotowawczego dozwolone jest przetwarzanie danych osobowych nieodnoszących się do kategorii osób, których dane dotyczą, wymienionych w załączniku II do zmienionego rozporządzenia w sprawie Europolu i przekazanych Europolowi przed dniem 28 czerwca 2022 r.
EIOD uznał, że zaskarżone przepisy naruszają jego niezależność i jego uprawnienia jako organu nadzorczego, gdyż jego zdaniem legalizują z mocą wsteczną praktyki Europolu w zakresie przechowywania spornych danych i de facto uchylają jego decyzję z dnia 3 stycznia 2022 r. Zwrócił się więc do Sądu w trybie art. 263 TFUE o stwierdzenie ich nieważności. Podniósł on, że jego legitymacja procesowa jest uzasadniona koniecznością posiadania przez niego środka prawnego, aby mógł bronić swoich prerogatyw instytucjonalnych, w szczególności swojej niezależności jako organu nadzorczego
Jest to pierwszy przypadek, gdy przed Sądem zawisła skarga o stwierdzenie nieważności wniesiona przez EIOD na akt prawodawczy Rady i Parlamentu, co w szczególności rodzi pytania o właściwość Sądu do rozpoznania tej skargi, o zastosowanie przez analogię wyroku Parlament/Rada (C‑70/88) (
3
) do niniejszej sytuacji oraz o bezpośrednie oddziaływanie względem EIOD, zrównanego z osobą prawną, stosownie do art. 263 akapit czwarty TFUE.
Ocena Sądu
W pierwszej kolejności Sąd zbadał swoją właściwość do rozpoznania skargi wniesionej przez EIOD i zauważył, przede wszystkim, że nie figuruje on wśród skarżących wymienionych w art. 263 akapity drugi i trzeci TFUE (
4
) ani w wykazie instytucji zawartym w art. 13 ust. 1 TUE (
5
). Wskazał też, że o ile art. 263 akapit pierwszy TFUE odnosi się wyraźnie do organów i jednostek organizacyjnych Unii w wykazie organów wydających akty, których zgodność z prawem może zostać zakwestionowana w ramach skargi o stwierdzenie nieważności, o tyle nie jest tak w przypadku art. 263 akapity drugi i trzeci TFUE. Sprecyzował przy tym, że choć o statusie EIOD jako niezależnego organu nadzorczego stanowi zarówno traktat FUE, jak i karta (
6
), to został on ustanowiony w charakterze organu Unii nie aktem prawa pierwotnego, lecz aktem prawa wtórnego (
7
). W związku z tym EIOD, mimo że jest organem Unii posiadającym szczególny status, nie jest instytucją Unii, a w każdym razie nie można uznać, że należy do skarżących, o których mowa w art. 263 akapity drugi i trzeci TFUE. Sąd doszedł ostatecznie do wniosku, że jest właściwy do rozpoznania skargi, ponieważ dla Trybunału zastrzeżono właściwość do rozpoznania skarg, o których mowa w art. 263 TFUE, wniesionych w szczególności przez jedną z instytucji Unii na akt ustawodawczy (
8
), a EIOD nie jest ani instytucją, ani stroną skarżącą, o której mowa w art. 263 akapity drugi i trzeci TFUE.
W drugiej kolejności Sąd ocenił, czy EIOD ma legitymację procesową na podstawie orzecznictwa wynikającego z wyroku Parlament/Rada (C‑70/88). Sąd wskazał, że w tym wyroku, na który EIOD powołał się na poparcie swojej szczególnej legitymacji procesowej mającej na celu ochronę jego prerogatyw instytucjonalnych, Trybunał stwierdził, iż Parlamentowi nie przysługuje żadna możliwość zakwestionowania przed sądami Unii aktów przyjętych przez inne instytucje, które mogą naruszać jego własne prerogatywy, i postanowił wypełnić tę lukę, odwołując się do ogólnej zasady równowagi instytucjonalnej. Natomiast EIOD może wnieść skargę o stwierdzenie nieważności na podstawie art. 263 akapit czwarty TFUE, gdyż jest organem utworzonym na mocy aktu prawa wtórnego Unii, który może zostać zrównany z osobą prawną. Ponadto Sąd wyjaśnił, że chociaż EIOD ma szczególny status uznany zarówno w traktacie FUE, jak i w karcie, a utworzenie niezależnych organów nadzorczych jest zasadniczym elementem ochrony osób fizycznych w zakresie ochrony danych osobowych, niezależność, z jaką EIOD powinien wykonywać swoje zadania w praktyce nie ma na celu ograniczenia uprawnień prawodawcy Unii (
9
). W związku z tym EIOD jest zobowiązany do wykonywania swoich zadań i uprawnień w sposób całkowicie niezależny, lecz przestrzeganie zasad dotyczących ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii nadzoruje w granicach aktów prawodawczych przyjmowanych wspólnie przez Parlament i Radę oraz zgodnie z nimi. Sąd doszedł do wniosku, że wyrok Parlament/Rada (C‑70/88) nie znajduje zastosowania w drodze analogii do sytuacji EIOD, któremu nie przysługuje legitymacja procesowa na podstawie tego wyroku i którego należy uznać za stronę skarżącą, która powinna spełniać przesłanki przewidziane w art. 263 akapit czwarty TFUE.
W trzeciej kolejności, przy badaniu legitymacji procesowej czynnej EIOD na podstawie art. 263 akapit czwarty TFUE, Sąd zbadał na wstępie, czy jako organ Unii może on zostać zrównany z osobą prawną w rozumieniu tego artykułu. Sąd wskazał, że na podstawie wykładni tego postanowienia dokonywanej w świetle zasad skutecznej kontroli sądowej oraz państwa prawnego organ Unii taki jak EIOD ma, jako „osoba prawna”, legitymację do wniesienia skargi o stwierdzenie nieważności zaskarżonych przepisów, pod warunkiem że dotyczą go one bezpośrednio i indywidualnie w rozumieniu tego artykułu. Akt Unii może bowiem negatywnie wpływać na prawa i interesy takiej osoby prawnej tak samo jak na prawa i interesy każdej innej osoby lub podmiotu i w związku z tym osoba ta musi mieć możliwość, przy poszanowaniu owych przesłanek, dochodzenia stwierdzenia nieważności takiego aktu.
W odniesieniu do przesłanki, zgodnie z którą akt musi dotyczyć osoby prawnej bezpośrednio, Sąd przypomniał, że wymaga ona, aby spełnione były łącznie dwa kryteria. Odnosząc się, po pierwsze, do kryterium wpływu zakażonych przepisów na sytuację prawną EIOD, Sąd podkreślił, że EIOD jest odpowiedzialny za monitorowanie stosowania przez instytucje, organy lub jednostki organizacyjne Unii odpowiednich przepisów dotyczących ochrony danych osobowych (
10
). W niniejszej sprawie zaskarżone przepisy zmieniają pierwotne rozporządzenie w sprawie Europolu i nie mają wpływu na charakter lub zakres zadań powierzonych EIOD na mocy prawa Unii. O ile prawdą jest, że system prawny, za którego monitorowanie odpowiada EIOD, został zmieniony, o tyle jego własne uprawnienia nie zostały zmienione, ponieważ sposób, w jaki może on zgodnie z prawem wykonywać te kompetencje, sam w sobie nie uległ zmianie. Tym samym zaskarżone przepisy nie dotyczą bezpośrednio EIOD, ponieważ jego prawa, obowiązki lub uprawnienia nie zostały przez nie naruszone. Ponadto, odnosząc się do wpływu zaskarżonych przepisów na decyzję z dnia 3 stycznia 2022 r., Sąd zauważył, że mamy do czynienia z decyzją administracyjną, która nie może wywierać wpływu na akty prawodawcze, takie jak zmienione rozporządzenie w sprawie Europolu.
Po drugie, jeśli chodzi o przesłankę dotyczącą zakresu uznania adresatów zobowiązanych do wykonania zaskarżonych przepisów, Sąd wskazał, że przepisy te pozostawiają Europolowi pewien zakres uznania. Nie mają one zatem wobec EIOD charakteru czysto automatycznego, wynikającego z samych uregulowań Unii, bez stosowania innych przepisów pośrednich.
W związku z tym, zważywszy że zaskarżone przepisy nie wpływają bezpośrednio na sytuację prawną EIOD, a przesłanki wymagające, by zaskarżony akt dotyczył skarżącego bezpośrednio i indywidualnie, są przesłankami łącznymi, Sąd uznał, że skarga jest niedopuszczalna.
(
1
)	Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/991 z dnia 8 czerwca 2022 r. w odniesieniu do współpracy Europolu z podmiotami prywatnymi, przetwarzania danych osobowych przez Europol w celu wspierania postępowań przygotowawczych oraz roli Europolu w zakresie badań naukowych i innowacji (Dz.U. 2022, L 169, s. 1, zwane dalej „zmienionym rozporządzeniem w sprawie Europolu”), zmieniające pierwotne rozporządzenie w sprawie Europolu.
(
2
)	Artykuły 74a i 74b zmienionego rozporządzenia w sprawie Europolu (zwane dalej „zaskarżonymi przepisami”).
(
3
)	Wyrok z dnia 22 maja 1990 r., Parlament/Rada (C-70/88, EU:C:1990:217).
(
4
)	Na mocy tego postanowienia do Trybunału skargę mogą wnieść, po pierwsze, państwo członkowskie, Parlament, Radę lub Komisję, a po drugie, Trybunał Obrachunkowy, Europejski Bank Centralny (EBC) i Komitet Regionów.
(
5
)	Siedem instytucji, o których mowa w tym postanowieniu, to Parlament, Rada Europejska, Rada, Komisja, Trybunał Sprawiedliwości Unii Europejskiej, Europejski Bank Centralny i Trybunał Obrachunkowy.
(
6
)	Artykuł 16 ust. 2 TFUE i art. 8 ust. 3 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”) stanowią, że przestrzeganie zasad dotyczących ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii podlega kontroli niezależnych organów.
(
7
)	Artykuł 41 ust. 1 rozporządzenia (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. 2001, L 8, s. 1).
(
8
)	Na podstawie art. 51 lit. b) statutu Trybunału Sprawiedliwości Unii Europejskiej
(
9
)	Określone w art. 14 ust. 1 i art. 16 ust. 1 TUE.
(
10
)	Na podstawie art. 1 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. 2018, L 295, s. 39) oraz art. 43 ust. 1 pierwotnego rozporządzenia w sprawie Europolu.