62023TJ1180_RES
T‑1180/23. sz. ügy
BW
kontra
a Bűnüldözési Együttműködés Európai Uniós Ügynökségeésaz Európai Unió Büntető Igazságügyi Együttműködési Ügynöksége
A Törvényszék ítélete (ötödik tanács), 2026. február 25.
„A tagállamok rendőri hatóságainak és egyéb bűnüldöző hatóságainak együttműködése – A Sky ECC kódolt hírközlési szolgáltatás – Személyes adatok állítólagosan jogellenes kezelése – Megsemmisítés iránti kereset – Keresettel meg nem támadható jogi aktus – Előkészítő aktus – Elfogadhatóság – Személyes adatok tagállamok általi kezelése és az Europolnak történő továbbítása – Személyes adatoknak az Europol általi, valamely tagállam részére történő továbbítása – Személyes adatoknak az Eurojusttól harmadik országba történő továbbítása – Szerződésen kívüli felelősség – Az (EU) 2016/794 rendelet 50. cikke – Az Europol és a tagállamok jogellenes adatkezelésért való egyetemleges felelőssége – Magánszemélyek számára jogokat keletkeztető jogszabály kellően egyértelmű megsértése – A kár ténylegessége – (EU) 2018/1727 rendelet – Büntetőeljárások Eurojust általi, valamely tagállam és egy harmadik ország közötti koordinációjának elégtelensége – Az (EU) 2018/1725 rendelet 71., 72., 89., 91. és 92. cikke”
Megsemmisítés iránti kereset – Az uniós bíróság hatásköre – A nemzeti hatóságok által a büntetőeljárások során végzett személyesadat‑kezelési cselekmények, valamint a dokumentumok és információk e hatóságok által az Europolnak vagy az Eurojustnak történő átadásával kapcsolatos cselekmények megsemmisítése iránti kérelem – Kizártság
(EUMSZ 263. cikk)
(lásd: 23–25. pont)
Megsemmisítés iránti kereset – Az uniós bíróság hatásköre – Közös nyomozócsoport létrehozásáról szóló megállapodás megsemmisítése iránti kérelem – Kizártság
(EUSZ 34. cikk; EUMSZ 263. cikk)
(lásd: 26–31. pont)
Kártérítési kereset – Tárgy – Személyes adatok jogellenes kezeléséből eredő kár megtérítése – A tagállamok vagy az Europol magatartása miatt az Eurojust ellen indított kereset – Az uniós bíróság hatáskörének hiánya
(EUMSZ 268. és EUMSZ 340. cikk; 2018/1727 európai parlamenti és tanácsi rendelet)
(lásd: 33–35., 41. pont)
Kártérítési kereset – Tárgy – Személyes adatok jogellenes kezeléséből eredő kár megtérítése – A tagállamok magatartása miatt az Europol ellen indított kereset – Az uniós bíróság hatásköre – Korlát – Hatáskör hiánya a tagállamok rendőrsége vagy egyéb bűnüldöző hatóságai által végzett műveletekből eredő kár esetén
(EUMSZ 268., EUMSZ 276. és EUMSZ 340. cikk; 2016/794 európai parlamenti és tanácsi rendelet, (57) preambulumbekezdés, 49. cikk, (3) és (4) bekezdés, 50. cikk)
(lásd: 37., 38., 42–46. pont)
Szerződésen kívüli felelősség – Az Unió és a tagállamok egyetemleges felelőssége – 2016/794 rendelet – Személyes adatok jogszerűtlen kezeléséért való felelősség – Az Europol és az érintett tagállam egyetemleges felelőssége – Szempontok – A jogszerűtlen adatkezelés Europolnak vagy az érintett tagállamnak való betudhatóságára vonatkozó bizonyíték
(EUMSZ 340. cikk, második bekezdés; 2016/794 európai parlamenti és tanácsi rendelet, 50. cikk, (1) bekezdés)
(lásd: 93., 136. pont)
Megsemmisítés iránti kereset – Keresettel megtámadható aktusok – Fogalom – Kötelező joghatásokat kiváltó aktusok – Előkészítő aktusok – Kizártság – Az Europol vagy az Eurojust üléseken vagy munkacsoportokban való részvétele – Kizártság
(EUMSZ 263. cikk)
(lásd: 108–110. pont)
Megsemmisítés iránti kereset – Keresettel megtámadható aktusok – Fogalom – Kötelező joghatásokat kiváltó aktusok – A Sky ECC titkosított hírközlési szolgáltatásból származó személyes adatok uniós ügynökség általi továbbítása – Tagállamnak történő továbbítás – Kizártság – Harmadik országba történő továbbítás – Bennfoglaltság – Feltétel
(EUMSZ 263. cikk)
(lásd: 111–123. pont)
Szerződésen kívüli felelősség – Feltételek – 2016/794 rendelet – Személyes adatok jogszerűtlen kezeléséért való felelősség – E felelősség jellege – Az Europol és az érintett tagállam egyetemleges felelőssége – Terjedelem – A tagállamok rendőrsége vagy egyéb bűnüldöző hatóságai által végzett műveletek során történő adatgyűjtésen kívüli tagállami cselekmények vagy magatartások jogszerűségének értékelése – Az uniós jog vagy az érintett nemzeti jog alapján történő értékelés
(EUMSZ 268. cikk, EUMSZ 276. cikk és EUMSZ 340. cikk, második bekezdés; 2016/794 európai parlamenti és tanácsi rendelet, 50. cikk, (1) bekezdés)
(lásd: 141., 142., 162–164. pont)
Összefoglalás
A Törvényszék elutasítja a BW által a Bűnüldözési Együttműködés Európai Uniós Ügynöksége (Europol) és az Európai Unió Büntető Igazságügyi Együttműködési Ügynöksége (Eurojust) ellen több tagállam közötti rendőrségi és igazságügyi együttműködés keretében benyújtott megsemmisítés iránti és kártérítési keresetet, és a Kočner kontra Europol ítélet (
1
) óta első alkalommal pontosítja az egyetemleges felelősségi rendszer hatályát, különös tekintettel az EUMSZ 276. cikkből eredő korlátokra. Ezenkívül úgy ítéli meg, hogy a személyes adatoknak az Eurojust által valamely tagállam részére történő továbbítása nem minősül az EUMSZ 263. cikk értelmében vett megtámadható jogi aktusnak, ugyanakkor elismeri, hogy az ilyen adatok harmadik országba történő továbbítása minden más hatékony bírósági felülvizsgálat hiányában megtámadható.
A felperes BW szerb állampolgár, akit 2023 májusában Hollandiában kokain behozatala miatt büntetőeljárás alá vontak és azóta fogva tartanak, valamint 2023 őszén Szerbiában is büntetőeljárás indult ellene, többek között kábítószer‑kereskedelem miatt.
A holland és a szerb hatóságok által folytatott büntetőeljárások a belga, a holland és a francia hatóságok által 2010 végén a „Sky ECC szervezet” ellen (az „ECC” az „Elliptic Curve Cryptography”, azaz az elliptikus görbével történő kriptográfia rövidítése) végzett nyomozási cselekményekből erednek, amely szervezetet azzal gyanúsítják, hogy kifejezetten bűncselekmények elkövetésének elősegítésére irányuló titkosított hírközlési termékeket és szolgáltatásokat forgalmaz.
E nemzeti nyomozási intézkedéseket követően Belgium és Hollandia 2018 végén közös nyomozási határozatokat bocsátott ki, amelyekben arra kérték a Francia Köztársaságot, hogy tárja fel a Sky ECC szolgáltatás által használt, Franciaországban található szervereket. E tagállam eleget tett e kérelemnek azáltal, hogy lehallgatta, rögzítette és leírta az e szerverekbe bemenő és onnan kimenő titkosított közléseket, beleértve a felperesre vonatkozó adatokat is.
2019‑ben a belga, a francia és a holland hatóságok a közöttük létrejött közös nyomozócsoportról szóló megállapodással (a továbbiakban: a közös nyomozócsoportról szóló megállapodás) (
2
) közös nyomozócsoportot hoztak létre. A közös nyomozócsoport működésének eredményeként az Europol és a három érintett tagállam megosztotta egymással a lehallgatott elemzendő nyers adatokat, valamint az elemzés eredményeit.
Ezen együttműködés keretében az Europol az adatokat az informatikai rendszerében tárolta, keresztellenőrzéseket végzett, hírszerzési jelentéseket készített, adatmegjelenítő grafikonokat készített, és többnyelvű adatkészleteket értelmezett. Az Eurojust támogatást és tanácsadást nyújtott az igazságügyi együttműködés lehetőségeit illetően, több koordinációs ülést szervezett a belga, a francia és a holland hatóságok, valamint az Europol között, továbbá elősegítette az igazságügyi együttműködést egyrészről Szerbia, másrészről Hollandia és Franciaország között.
Ebben az összefüggésben BW azt kérte a Törvényszéktől, hogy az semmisítse meg a közös nyomozócsoportról szóló megállapodást, az Europol és az Eurojust e megállapodás alapján elfogadott jogi aktusait, valamint a Sky ECC szerver rá vonatkozó adatainak általuk és az érintett tagállamok általi kezelésére, elemzésére és megosztására vonatkozó aktusokat. Kérte továbbá, hogy az Europolt és az Eurojustot kötelezzék az általa állítólagosan elszenvedett nem vagyoni és vagyoni kár megtérítésére.
A Törvényszék álláspontja
Ami először is a hatáskörének kérdését illeti, a Törvényszék egyrészt megállapítja, hogy nem rendelkezik hatáskörrel arra, hogy az EUMSZ 263. cikk alapján felülvizsgálja a francia hatóságok által végzett lehallgatási műveletek francia bíróság általi engedélyezését, e műveletek lefolytatását, az utóbbiak alkalmával megszerzett dokumentumok és információk francia hatóságok által az Europol részére történő továbbítását, a szerb hatóságok által a kölcsönös jogsegély iránti kérelmeik keretében kért dokumentumoknak és információknak az Eurojust és a szerb hatóságok részére történő továbbítását, a szerb bíróságok előtt folytatott büntetőeljárás szabályszerűségét, valamint a közös nyomozócsoportról szóló megállapodást.
Ami közelebbről e megállapodást illeti, a Törvényszék megállapítja, hogy az uniós bíróság nem rendelkezik hatáskörrel arra, hogy közvetlenül az EUMSZ 263. cikk alapján felülvizsgálja annak jogszerűségét, mivel az nem uniós jogi aktus. A közös nyomozócsoportról szóló megállapodást ugyanis csak három tagállam írta alá és kötötte meg. E megállapítást nem kérdőjelezi meg sem e megállapodás alapja az e tagállamok által az EUSZ 34. cikk alapján kötött egyezményben, valamint az Európai Unió Tanácsának kerethatározatában, sem az érintett közös nyomozócsoportnak az Europol vagy az Eurojust kezdeményezésére történő létrehozása, sem pedig Belgium, Franciaország és Hollandia azon határozata, amely a közös nyomozócsoportban „résztvevőként” bevonja az Europolt és az Eurojustot. Ennek keretében a Törvényszék pontosítja, hogy az Europolra vagy az Eurojustra ruházott azon lehetőség, hogy közös nyomozócsoport létrehozását javasolja vagy segítse, valamint a közös nyomozócsoport tagjai számára biztosított azon lehetőség, hogy részt vegyenek a közös nyomozócsoportban, (
3
) nem ruházza fel ezeket az ügynökségeket azon megállapodásban „fél” jogállással, amellyel a három tagállam létrehozta az érintett közös nyomozócsoportot.
Másrészt, a Törvényszék megállapítja, hogy nem rendelkezik hatáskörrel a felperes arra irányuló kérelmének elbírálására, hogy állapítsa meg az Eurojust Belgium, Franciaország és Hollandia, illetve Szerbia magatartása, sőt az Europol magatartása miatti felelősségét. Ezt a megoldást többek között abból a tényből vezeti le, hogy az Unió EUMSZ 268. és EUMSZ 340. cikk alapján fennálló felelőssége nem állapítható meg attól különböző uniós intézmény, szerv, hivatal vagy ügynökség terhére, amelynek a felelősséget keletkeztető tényt felróják, kivéve ha az uniós jogalkotó kifejezetten előírta az egyetemleges felelősség rendszerét vagy ezen intézmények egyike vagy az Unió valamely szerve vagy hivatala és egy vagy több tagállam, vagy akár egy vagy több harmadik ország között, vagy több uniós intézmény, szerv vagy hivatal között. A Törvényszék megállapítja, hogy a jelen esetben egyetlen jogi aktus sem ír elő az Eurojust és a tagállamok, illetve az Eurojust és Szerbia közötti egyetemleges felelősséget.
Mindazonáltal a Törvényszék elismeri, hogy hatáskörrel rendelkezik az Eurojust saját magatartása miatti felelősségének, valamint az Europol Eurojustnak, illetve a Sky ECC szolgáltatással kapcsolatos együttműködésben részt vevő tagállamoknak betudható magatartásokért fennálló felelősségének megállapítására irányuló kérelem elbírálására.
Márpedig a Törvényszék, annak ellenére, hogy hatáskörrel rendelkezik az Europolnak a többek között a francia hatóságoknak betudható magatartásokért való egyetemleges felelősségének megállapítására irányuló kérelem elbírálására, pontosítja, hogy nem rendelkezik hatáskörrel a felperes azon állításainak elbírálására, amelyek a személyes adatainak az e hatóságok által végzett rendőrségi műveletek keretében történő lehallgatása következtében neki okozott károkra vonatkoznak. E tekintetben az Europol‑rendeletben előírt egyetemleges felelősségi rendszer ellenére ezen ügynökség nem tehető egyetemlegesen felelőssé a természetes személy személyes adatainak valamely tagállam rendőrsége vagy más bűnüldöző hatóságai által végzett műveletek során történő jogellenes kezeléséből eredő esetleges kárért, még akkor sem, ha ezen adatkezelésekre az e rendeleten alapuló együttműködés keretében került sor. Az EUMSZ 276. cikkből ugyanis kitűnik, hogy az uniós bíróság a büntetőügyekben folytatott igazságügyi együttműködésre és a rendőrségi együttműködésre vonatkozó hatásköreinek gyakorlása során nem rendelkezik hatáskörrel a valamely tagállamban a rendőrség vagy más bűnüldöző hatóság által végzett műveletek érvényességének vagy arányosságának vizsgálatára.
Másodszor, ami a megsemmisítés iránti kérelmeket illeti, a Törvényszék az elfogadhatóságukról határozva megállapítja a felperes által kifogásolt jogi aktusok vagy magatartások megtámadhatóságának hiányát, kivéve a francia hatóságok által 2022. június 24‑én a szerb hatóságoknak küldött elektronikus levelet, amely egy biztonságos letöltési oldalra mutató linket tartalmaz, amely többek között a Sky ECC szolgáltatásból származó bizonyos beszélgetéseit tartalmazza.
E továbbítást illetően a Törvényszék hangsúlyozza, hogy bár a végleges jelentéseknek és információknak az Európai Csaláselleni Hivatal (OLAF) által a tagállamok részére történő továbbítására vonatkozó, a jelen ügyre analógia útján alkalmazandó ítélkezési gyakorlatból kitűnik, hogy az ilyen továbbítás nem minősül megtámadható aktusnak, a Bíróságnak, valamint magának a Törvényszéknek is alkalma nyílt arra, hogy az OLAF‑továbbítások megtámadható jellegének kizárása érdekében figyelembe vegye azt a tényt, hogy a felperesnek más lehetőségei is rendelkezésére álltak e továbbító határozatok jogszerűsége felülvizsgálatának biztosítása érdekében, beleértve az előzetes döntéshozatali eljárást is. Márpedig a Törvényszék megjegyzi, hogy a 2022. június 24‑i továbbításra egy uniós ügynökség és egy harmadik ország, a jelen esetben Szerbia hatóságai között került sor. Így, mivel a jelen kereset keretében nem vitatható e továbbítás jogszerűsége, az uniós jogra tekintettel már nem vitatható e továbbítás jogszerűsége, és az abban szereplő személyes adatok jogszerűen továbbítottnak tekinthetők a szerb hatóságoknak, és ezt követően a felperes e harmadik ország bíróságaitól már nem kérheti az említett továbbítás érvényességének az uniós jogra tekintettel történő értékelését vagy az érvényességének értékelése céljából előzetes döntéshozatal iránti kérelem Bíróság elé terjesztését. Ebben az értelemben az említett továbbítás azon különleges eljárás befejezését jelenti, amelynek során az Eurojust valamely harmadik ország hatóságainak kérésre továbbítja az azonosított személy személyes adatait.
A Törvényszék hozzáteszi, hogy a 2022. június 24‑i továbbítás megtámadható jellegének elismerése egyedül alkalmas arra, hogy biztosítsa az igazságügyi hatóság vagy más független szerv által a feltartóztatott személyes adatok továbbítása és az azon büntetőeljárás céljától eltérő célokra történő felhasználásuk tekintetében gyakorolt hatékony ellenőrzést, amely célból azokat eredetileg gyűjtötték. Nincs jelentősége annak, hogy a felperes keresetet nyújthat be a francia bíróságokhoz, vagy hogy a szerb büntetőbíróságok esetleges ítéletét követően az Emberi Jogok Európai Bíróságához fordulhat. Egyfelől a francia bíróságok előtt nem indítható valamely uniós ügynökség jogi aktusának megsemmisítése iránti kereset. Másfelől az Uniónak az emberi jogok és alapvető szabadságok védelméről szóló egyezményhez való csatlakozásának hiányában az említett Bíróság nem állapíthatja meg, hogy az Unió megsértette ezen egyezményt, különösen egy harmadik országgal szemben indított kereset keretében.
A Törvényszék azonban mint megalapozatlant elutasítja a 2022. június 24‑i továbbítás megsemmisítése iránti kérelmeket, mivel a felperes nem bizonyította, hogy e továbbítás mennyiben vezetett a személyes adatainak jogellenes kezeléséhez.
Harmadszor, ami a felperes kártérítési kérelmeit illeti, a Törvényszék úgy véli, hogy az első kárigény az adatoknak mind az Europol, mind pedig három érintett tagállam általi helytelen kezelésére vonatkozik, amelyek az egyetemleges felelősség Europol‑rendeletben előírt eltérést engedő rendszerének hatálya alá tartoznak, (
4
) és így nemcsak az Europolnak az e rendelet értelmében rá háruló általános felelősségi rendszer alapján hozott aktusait vagy magatartását veszi figyelembe, (
5
) hanem az egyetemleges felelősség említett eltérést engedő rendszere alapján a három érintett tagállam aktusait vagy magatartását is.
A Törvényszék hozzáteszi, hogy az Europol tévesen állítja, hogy nem vonható felelősségre a tagállamok aktusaiért vagy magatartásáért, és hogy a Törvényszék nem értékelheti azok jogszerűségét. Bár kétségtelen, hogy az EUMSZ 276. cikk értelmében az uniós bíróság nem rendelkezik hatáskörrel a rendőrség vagy más bűnüldöző hatóság által valamely tagállamban végzett műveletek érvényességének vagy arányosságának vizsgálatára, mégpedig az EUMSZ 268. és EUMSZ 340. cikken alapuló keresetek keretében sem, ez nem változtat azon, hogy e konkrét műveleteken kívül az Europol‑rendeletben előírt, az egyetemleges felelősség eltérést engedő rendszere hallgatólagosan, de szükségszerűen magában foglalja, hogy az Europol felelősségre vonható a tagállamok cselekményeiért vagy magatartásáért. Ebből az is szükségszerűen következik, hogy az ezen eltérést engedő rendszeren alapuló kártérítési keresetek keretében a Törvényszék jogosult arra, hogy – akár az uniós jog, akár az érintett állam nemzeti joga alapján – értékelje az azon tagállamoktól eltérő tagállamok jogi aktusainak vagy magatartásának jogszerűségét, amelyekkel a rendőrségük vagy más bűnüldöző hatóságaik az érintett adatokat gyűjtötték.
Ami a második kárigényt illeti, amely lényegében kizárólag a tisztességes eljáráshoz való jog amiatti megsértésére vonatkozik, hogy az Europol részvételével zajló nyomozásokat követő nemzeti büntetőeljárásokban nem lehetett ellenőrizni a Sky ECC szolgáltatásból származó adatok „használhatóságát”, a Törvényszék megállapítja, hogy a felperes nem vitatja a személyes adatai kezelésének az Europol‑rendelet 28. cikke értelmében vett jogszerűségét; ez lenne az egyetlen olyan érv, amely alapján a vitatás az egyetemleges felelősség e rendeletben előírt eltérést engedő rendszerének hatálya alá tartozhatna. Így e kárigény vizsgálata céljából kizárólag az Europolnak az említett rendeletből eredő általános felelősségi rendszer szerinti cselekményeit vagy magatartását veszi figyelembe.
Ami a harmadik kárigényt illeti, amely a felperessel szemben a holland és a szerb bűnüldöző hatóságok által ugyanazon cselekmények miatt indított állítólagos kettős büntetőeljárás fennállására vonatkozik, a Törvényszék pontosítja, hogy e kárral a felperes kizárólag azt rója fel az Europolnak, hogy nem teljesítette a nyomozócsoportról szóló megállapodásból eredő kötelezettségeit. Így az Europol‑rendeletből eredő általános felelősségi rendszer alapján csak az Europol cselekményeit vagy magatartását veszi figyelembe.
Így a Törvényszék mindhárom kárigényt mint megalapozatlant elutasítja.
(
1
)	2024. március 5‑iKočner kontra Europol ítélet (C‑755/21 P, EU:C:2024:202).
(
2
)	E megállapodást a Tanács által az EUSZ 34. cikknek megfelelően létrehozott, az Európai Unió tagállamai közötti kölcsönös bűnügyi jogsegélyről szóló egyezmény (HL 2000. C 197., 3. o.) 13. cikke és a közös nyomozócsoportokról szóló, 2002. június 13‑i tanácsi kerethatározat (HL 2002. L 162., 1. o.; magyar nyelvű különkiadás 19. fejezet, 6. kötet, 162. o.) alapján kötötték meg.
(
3
)	Ezt az Europolról, valamint a 2009/371/IB, a 2009/934/IB, a 2009/935/IB, a 2009/936/IB és a 2009/968/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről szóló, 2016. május 11‑i (EU) 2016/794 európai parlamenti és tanácsi rendelet (HL 2016. L 135., 53. o.; a továbbiakban: Europol‑rendelet) 5. cikke, illetve az Eurojustról, valamint a 2002/187/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről szóló, 2018. november 14‑i (EU) 2018/1727 európai parlamenti és tanácsi rendelet (HL 2018. L 295., 138. o.) 8. cikke (1) bekezdésének d) pontja mondja ki.
(
4
)	Az Europol‑rendelet 50. cikkének (1) bekezdése.
(
5
)	Az Europolnak az Europol‑rendelet 49. cikkében említett általános felelőssége.