62022TO0578_RES
Zadeva T‑578/22
Evropski nadzornik za varstvo podatkov
proti
Evropskemu parlamentuinSvetu Evropske unije
Sklep Splošnega sodišča (prvi razširjeni senat) z dne 6. septembra 2023
„Ničnostna tožba – Institucionalno pravo – Obdelava osebnih podatkov s strani Europola – Uredba (EU) 2016/794 – Institucionalne prerogative ENVP – Procesno upravičenje – Delno nedopustna in delno očitno nedopustna tožba“
Ničnostna tožba – Pristojnost sodišča Unije – Tožba, ki jo vloži organ Unije – Tožba, ki jo je vložil Evropski nadzornik za varstvo podatkov (ENVP) – Procesno upravičenje za obrambo njegovih institucionalnih prerogativ, navedeno v podporo tej tožbi
(člen 263 PDEU; Uredba Parlamenta in Sveta št. 45/2001, člen 41(1))
(Glej točke od 26 do 36.)
Ničnostna tožba – Fizične ali pravne osebe – Pravni interes – Procesno upravičenje – Tožba, ki jo je vložil Evropski nadzornik za varstvo podatkov (ENVP) – Procesno upravičenje za obrambo njegovih institucionalnih prerogativ – Neobstoj – Dopustnost, odvisna od dokaza procesnega upravičenja in pravnega interesa
(člen 263, četrti odstavek, PDEU)
(Glej točke od 41 do 48 in od 54 do 57.)
Ničnostna tožba – Procesno upravičenje – Pravne osebe – Pojem – Evropski nadzornik za varstvo podatkov (ENVP) – Organ Unije – Vključitev – Pogoji
(člen 263, četrti odstavek, PDEU)
(Glej točke od 60 do 65.)
Ničnostna tožba – Fizične ali pravne osebe – Akti, ki se nanje neposredno in posamično nanašajo – Določbe glede obdelave osebnih podatkov s strani Europola – Odločba, ki jo je Evropski nadzornik za varstvo podatkov (ENVP) sprejel v zvezi z Europolom – Neobstoj učinka navedenih določb na navedeno odločbo in pristojnosti ENVP – Neobstoj neposrednega nanašanja – Nedopustnost
(člena 16(2) in 263, četrti odstavek, PDEU; Uredba Parlamenta in Sveta 2016/794, kakor je bila spremenjena z Uredbo 2022/991, člena 74a in 74b)
(Glej točke 66, od 68 do 76, od 78 do 82, 84 in 85.)
Povzetek
Evropski nadzornik za varstvo podatkov (ENVP) je 3. januarja 2022 po preiskavi na lastno pobudo sprejel odločbo v zvezi z Agencijo Evropske unije za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (Europol). (
1
) ENVP je s to odločbo Europolu v bistvu odredil, naj za vsak prispevek, prejet od 4. januarja 2022, opravi kategorizacijo posameznikov, na katere se nanašajo osebni podatki, v šestih mesecih od datuma prejema prispevka, v dvanajstih mesecih pa nize podatkov, ki so obstajali na datum navedene odločbe, po izteku teh rokov pa je Europol moral te podatke izbrisati.
Evropski parlament in Svet sta 8. junija 2022 sprejela spremenjeno uredbo o Europolu (
2
). Ta v bistvu v skladu s prehodnima določbama (
3
) določa pogoje, pod katerimi Europol v določenem roku opravi kategorizacijo nizov podatkov, ki jih je že imel ob začetku veljavnosti spremenjene uredbe o Europolu, ter natančneje opredeljuje pogoje in postopke, v katerih je obdelava osebnih podatkov, ki se ne nanašajo na kategorije posameznikov, na katere se nanašajo osebni podatki, navedene v Prilogi II k spremenjeni uredbi o Europolu, in ki so bili Europolu zagotovljeni pred 28. junijem 2022, dovoljena v podporo tekoči določeni preiskavi kaznivega dejanja.
ENVP je menil, da izpodbijani določbi kršita njegovo neodvisnost in pooblastila, ki jih ima kot nadzorni organ, ker po njegovem mnenju retroaktivno uzakonjata sporne prakse Europola v zvezi s hrambo podatkov in dejansko razveljavljata odločbo z dne 3. januarja 2022. Tako je na podlagi člena 263 PDEU Splošnemu sodišču predlagal, naj ju razglasi za nični. Trdil je, da je njegovo procesno upravičenje utemeljeno s potrebo, da ima na voljo pravno sredstvo za obrambo svojih institucionalnih prerogativ, zlasti svoje neodvisnosti kot nadzorni organ.
V obravnavani zadevi Splošno sodišče prvič odloča o ničnostni tožbi, ki jo je ENVP vložil zoper zakonodajni akt Sveta in Parlamenta, ob čemer se postavljajo zlasti vprašanje pristojnosti Splošnega sodišča za odločanje o navedeni tožbi, vprašanje uporabe sodbe Parlament/Svet (C‑70/88) (
4
) po analogiji za obravnavani primer in vprašanje neposrednega nanašanja na ENVP, ki je enačen s pravno osebo, na podlagi člena 263, četrti odstavek, PDEU.
Presoja Splošnega sodišča
Na prvem mestu, Splošno sodišče je preučilo svojo pristojnost za odločanje o tožbi, ki jo je vložil ENVP, in najprej ugotovilo, da ta ni naveden ne med tožečimi strankami, omenjenimi v členu 263, drugi in tretji odstavek, PDEU (
5
), ne na seznamu institucij v členu 13(1) PEU (
6
). Dalje, poudarilo je, da čeprav se člen 263, prvi odstavek, PDEU izrecno sklicuje na organe, urade in agencije Unije s seznama avtorjev aktov, katerih zakonitost se lahko izpodbija v okviru ničnostne tožbe, to ne velja za člen 263, drugi in tretji odstavek, PDEU. Tako je pojasnilo, da čeprav je status ENVP kot neodvisnega nadzornega organa potrjen tako v Pogodbi DEU kot v Listini, (
7
) je bil kot organ Unije ustanovljen ne z aktom primarnega prava, temveč z aktom sekundarne zakonodaje. (
8
) Zato ENVP, čeprav je organ Unije s posebnim statusom, ni institucija Unije in ga nikakor ni mogoče šteti med tožeče stranke iz člena 263, drugi in tretji odstavek, PDEU. Nazadnje je Splošno sodišče ugotovilo, da je pristojno za odločanje o tožbi, ker je pristojnost za tožbe iz člena 263 PDEU, ki jih med drugim institucija Unije vloži zoper zakonodajni akt, pridržana za Sodišče (
9
) in ker ENVP ni niti institucija niti tožeča stranka iz člena 263, drugi in tretji odstavek, PDEU.
Na drugem mestu, Splošno sodišče je presodilo, ali ima ENVP procesno upravičenje na podlagi sodne prakse, ki izhaja iz sodbe Parlament/Svet (C‑70/88). Navedlo je, da je Sodišče v tej sodbi, na katero se ENVP sklicuje za utemeljitev svojega posebnega procesnega upravičenja za obrambo njegovih institucionalnih prerogativ, ugotovilo, da Parlament nima nobene možnosti, da pred sodišči Unije izpodbija akte, ki jih sprejmejo druge institucije in bi lahko posegali v njegove prerogative, to pomanjkljivost pa se je odločilo zapolniti z uporabo splošnega načela institucionalnega ravnovesja. Nasprotno pa ENVP lahko vloži ničnostno tožbo na podlagi člena 263, četrti odstavek, PDEU, ker je organ, ustanovljen z aktom sekundarne zakonodaje Unije, ki ga je mogoče enačiti s pravno osebo. Poleg tega je Splošno sodišče pojasnilo, da čeprav ima ENVP poseben status, priznan tako v Pogodbi DEU kot v Listini, in je ustanovitev neodvisnih nadzornih organov bistveni element varstva posameznikov v zvezi z varstvom osebnih podatkov, pa neodvisnost, v okviru katere mora ENVP v praksi izvajati svoje naloge, ni namenjena omejevanju pristojnosti zakonodajalca Unije. (
10
) Zato mora ENVP svoje naloge in pooblastila izvajati povsem neodvisno ter v okviru zakonodajnih aktov, ki jih skupaj sprejmeta Parlament in Svet, in v skladu s temi akti spremljati upoštevanje pravil o varstvu fizičnih oseb pri obdelavi osebnih podatkov s strani institucij, organov, uradov in agencij Unije. Splošno sodišče je ugotovilo, da sodbe Parlament/Svet (C‑70/88) ni mogoče po analogiji uporabiti za položaj ENVP, ki mu ni mogoče priznati procesnega upravičenja na podlagi te sodbe in ga je treba šteti za tožečo stranko, ki mora izpolnjevati pogoje za dopustnost iz člena 263, četrti odstavek, PDEU.
Na tretjem mestu, Splošno sodišče je v okviru preizkusa procesnega upravičenja ENVP na podlagi člena 263, četrti odstavek, PDEU uvodoma analiziralo, ali je ENVP kot organ Unije mogoče enačiti s pravno osebo v smislu tega člena. Poudarilo je, da ima na podlagi razlage te določbe z vidika načel učinkovitega sodnega varstva in pravne države organ Unije, kot je ENVP, kot „pravna oseba“ procesno upravičenje za razglasitev ničnosti izpodbijanih določb pod pogojem, da se ti nanj neposredno in posamično nanašata v smislu navedene določbe. Taka pravna oseba je lahko namreč prav tako kot druga oseba ali subjekt prizadeta v svojih pravicah ali interesih in mora torej imeti možnost, da ob upoštevanju teh pogojev predlaga razglasitev ničnosti takega akta.
Glede pogoja neposrednega nanašanja na pravno osebo je Splošno sodišče opozorilo, da morata biti v okviru tega pogoja kumulativno izpolnjeni dve merili. Prvič, kar zadeva merilo v zvezi z učinki izpodbijanih določb na pravni položaj ENVP, je Splošno sodišče poudarilo, da je ENVP pristojen za nadzor nad uporabo upoštevnih pravil o varstvu osebnih podatkov s strani institucij, organov, uradov ali agencij Unije. (
11
) V obravnavani zadevi izpodbijani določbi spreminjata prvotno uredbo o Europolu in ne vplivata na naravo ali obseg nalog, ki so bile z zakonodajo Unije dodeljene ENVP. Čeprav je torej res, da je bila pravna ureditev, za katere nadzor je pristojen ENVP, spremenjena, pa njegove pristojnosti niso bile, saj način, kako lahko zakonito izvaja te pristojnosti, kot tak ni bil spremenjen. Posledično se izpodbijani določbi na ENVP ne nanašata neposredno, ker nista posegli v njegove pravice, obveznosti ali pristojnosti. Poleg tega je Splošno sodišče v zvezi z učinki izpodbijanih določb na odločbo z dne 3. januarja 2022 pojasnilo, da gre za upravno odločbo, ki ne more vplivati na zakonodajne akte, kot je spremenjena uredba o Europolu, ali na njihovo vsebino.
Drugič, kar zadeva merilo v zvezi z diskrecijsko pravico naslovnikov, ki morajo izvajati izpodbijani določbi, je Splošno sodišče poudarilo, da ti dopuščata Europolu določeno diskrecijsko pravico. Torej nista povsem samodejni in ne temeljita izključno na ureditvi Unije za ENVP brez uporabe drugih vmesnih pravil.
Posledično je Splošno sodišče, ker izpodbijani določbi ne vplivata neposredno na pravni položaj ENVP in sta pogoja neposrednega in posamičnega nanašanja akta, katerega razglasitev ničnosti se predlaga, kumulativna, ugotovilo, da je tožba nedopustna.
(
1
)	Na podlagi člena 43(3)(e) Uredbe (EU) 2016/794 Evropskega parlamenta in Sveta z dne 11. maja 2016 o Agenciji Evropske unije za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (Europol) ter nadomestitvi in razveljavitvi sklepov Sveta 2009/371/PNZ, 2009/934/PNZ, 2009/935/PNZ, 2009/936/PNZ in 2009/968/PNZ (UL 2016, L 135, str. 53, v nadaljevanju: prvotna uredba o Europolu).
(
2
)	Uredba (EU) 2022/991 Evropskega parlamenta in Sveta z dne 8. junija 2022 v zvezi s sodelovanjem Europola z zasebnimi strankami, obdelavo osebnih podatkov s strani Europola pri podpiranju preiskav kaznivih dejanj in vlogo Europola pri raziskavah in inovacijah (UL 2022, L 169, str. 1, v nadaljevanju: spremenjena uredba o Europolu), ki spreminja prvotno uredbo o Europolu.
(
3
)	Člena 74a in 74b spremenjene uredbe o Europolu (v nadaljevanju: izpodbijani določbi).
(
4
)	Sodba z dne 22. maja 1990, Parlament/Svet (C‑70/88, EU:C:1990:217).
(
5
)	Na podlagi te določbe lahko Sodišče odloča o tožbi, ki jo vloži na eni strani država članica, Parlament, Svet ali Komisija ter na drugi strani Računsko sodišče, Evropska centralna banka (ECB) in Odbor regij.
(
6
)	Sedem institucij, omenjenih v tej določbi, so Parlament, Evropski svet, Svet, Komisija, Sodišče Evropske unije, Evropska centralna banka in Računsko sodišče.
(
7
)	Na podlagi člena 16(2) PDEU in člena 8(3) Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina) upoštevanje pravil o varstvu fizičnih oseb pri obdelavi osebnih podatkov s strani institucij, organov, uradov in agencij Unije nadzirajo neodvisni organi.
(
8
)	Člen 41(1) Uredbe (ES) št. 45/2001 Evropskega parlamenta in Sveta z dne 18. decembra 2000 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah in organih Skupnosti in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 26, str. 102).
(
9
)	Na podlagi člena 51(b) Statuta Sodišča Evropske unije.
(
10
)	Kot so določene v členu 14(1) in členu 16(1) PEU.
(
11
)	Na podlagi člena 1(3) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL 2018, L 295, str. 39) in člena 43(1) prvotne uredbe o Europolu.