62023TJ1180_RES
Zadeva C‑1180/23
BW
proti
Agenciji Evropske unije za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanjinAgenciji Evropske unije za pravosodno sodelovanje v kazenskih zadevah
Sodba Splošnega sodišča (peti senat) z dne 25. februarja 2026
„Sodelovanje policijskih organov in drugih organov pregona držav članic – Šifrirana komunikacijska storitev Sky ECC – Domnevno nezakonita obdelava osebnih podatkov – Tožba za razglasitev ničnosti – Akt, zoper katerega ni pravnega sredstva – Pripravljalni akt – Dopustnost – Obdelava osebnih podatkov, ki jo opravijo države članice, in prenos teh osebnih podatkov agenciji Europol – Prenos osebnih podatkov državi članici, ki ga opravi agencija Europol – Prenos osebnih podatkov tretji državi, ki ga opravi agencija Eurojust – Nepogodbena odgovornost – Člen 50 Uredbe (EU) 2016/794 – Solidarna odgovornost agencije Europol in držav članic za nezakonito obdelavo podatkov – Dovolj resna kršitev pravnega pravila, ki daje pravice posameznikom – Resničnost škode – Uredba (EU) 2018/1727 – Nezadostnost usklajevanja kazenskega pregona v državi članici in v tretji državi s strani agencije Eurojust – Členi 71, 72, 89, 91 in 92 Uredbe (EU) 2018/1725“
Tožba za razglasitev ničnosti – Pristojnost sodišča Unije – Predlog za razglasitev ničnosti aktov nacionalnih organov o obdelavi osebnih podatkov v kazenskih postopkih ter aktov, s katerimi ti organi posredujejo dokumente in informacije agenciji Europol ali agenciji Eurojust – Izključitev
(člen 263 PDEU)
(Glej točke od 23 do 25.)
Tožba za razglasitev ničnosti – Pristojnost sodišča Unije – Predlog za razveljavitev sporazuma o ustanovitvi skupne preiskovalne skupine (JIT) – Izključitev
(člen 34 PEU; člen 263 PDEU)
(Glej točke od 26 do 31.)
Odškodninska tožba – Predmet – Odškodnina za škodo, nastalo zaradi nezakonite obdelave osebnih podatkov – Tožba zoper agencijo Eurojust zaradi dejanj držav članic ali agencije Europol – Nepristojnost sodišča Unije
(člena 268 in 340 PDEU; Uredba Evropskega parlamenta in Sveta 2018/1727)
(Glej točke od 33 do 35 in 41.)
Odškodninska tožba – Predmet – Odškodnina za škodo, nastalo zaradi nezakonite obdelave osebnih podatkov – Tožba zoper agencijo Europol zaradi ravnanja držav članic – Pristojnost sodišča Unije – Omejitev – Nepristojnost v primeru škode, ki je posledica operacij policije ali drugih organov kazenskega pregona držav članic
(členi 268, 276 in 340 PDEU; Uredba Evropskega parlamenta in Sveta 2016/794, uvodna izjava 57 in člen 49(3) in (4) ter člen 50)
(Glej točke 37, 38 in od 42 do 46.)
Nepogodbena odgovornost – Solidarna odgovornost Unije in držav članic – Uredba (EU) 2016/794 – Odgovornost za nezakonito obdelavo osebnih podatkov – Solidarna odgovornost agencije Europol in zadevne države članice – Merila – Dokaz o pripisljivosti nezakonite obdelave agenciji Europol ali zadevni državi članici
(Člen 340, drugi odstavek, PDEU; Uredba Evropskega parlamenta in Sveta 2016/794, člen 50(1))
(Glej točki 93 in 136.)
Tožba za razglasitev ničnosti – Izpodbojni akti – Pojem – Akti, ki ustvarjajo zavezujoče pravne učinke – Pripravljalni ukrepi – Izključitev – Sodelovanje agencije Europol ali agencije Eurojust na sestankih ali srečanji delovnih skupin – Izključitev
(člen 263 PDEU)
(Glej točke od 108 do 110.)
Tožba za razglasitev ničnosti – Izpodbojni akti – Pojem – Akti, ki ustvarjajo zavezujoče pravne učinke – Posredovanje osebnih podatkov iz šifrirane komunikacijske storitve Sky ECC, ki ga opravi agencija Unije – Posredovanje državi članici – Izključitev – Posredovanje tretji državi – Vključitev – Zahteva
(člen 263 PDEU)
(Glej točke od 111 do 123.)
Nepogodbena odgovornost – Pogoji – Uredba 2016/794 – Odgovornost za nezakonito obdelavo osebnih podatkov – Narava te odgovornosti – Solidarna odgovornost agencije Europol in zadevne države članice – Obseg – Presoja zakonitosti aktov ali ravnanj držav članic, razen zbiranja podatkov med operacijami policije ali drugih organov kazenskega pregona držav članic – Presoja na podlagi zadevnega prava Unije ali nacionalnega prava
(členi 268, 276 in 340, drugi odstavek, PDEU; Uredba Evropskega parlamenta in Sveta 2016/794, člen 50(1))
(Glej točke 141, 142 in od 162 do 164.)
Povzetek
Splošno sodišče je zavrnilo ničnostno in odškodninsko tožbo, ki jo je BW vložil proti Agenciji Evropske unije za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (Europol) in Agenciji Evropske unije za pravosodno sodelovanje v kazenskih zadevah (Eurojust) v okviru policijskega in pravosodnega sodelovanja med več državami članicami, in prvič od sodbe Kočner/Europol (
1
) pojasnilo obseg sistema solidarne odgovornosti, zlasti glede omejitev, ki izhajajo iz člena 276 PDEU. Poleg tega je razsodilo, da prenosi osebnih podatkov državi članici, ki jih opravi agencija Eurojust, niso izpodbojni akti v smislu člena 263 PDEU, hkrati pa je priznalo izpodbojnost prenosa takih podatkov tretji državi, saj zoper tak prenos ni nikakršnega drugega učinkovitega sodnega nadzora.
BW, tožeča stranka, je srbski državljan, ki je bil na Nizozemskem kazensko preganjan in je tam od maja 2023 v zaporu zaradi uvoza kokaina, od jeseni 2023 pa je v Srbiji kazensko preganjan zaradi prometa s prepovedanimi drogami.
Kazenski pregon nizozemskih in srbskih organov temelji na preiskovalnih ukrepih, ki so jih konec leta 2010 uvedli belgijski, nizozemski in francoski organi zoper „organizacijo Sky ECC“ – „ECC“ pomeni „Elliptic Curve Cryptography“ (kriptografija na podlagi eliptične krivulje) – za katero se je sumilo, da trži proizvode in šifrirane komunikacijske storitve, specifično namenjene lajšanju storitve kaznivih dejanj.
Po teh preiskovalnih ukrepih sta Belgija in Nizozemska konec leta 2018 izdali skupne preiskovalne sklepe, s katerimi sta od Francije zahtevali, naj ustvari posnetek strežnikov, ki se uporabljajo za storitev Sky ECC in so v tej državi. Francija je tej zahtevi ugodila tako, da je prestregla, posnela in zapisala šifrirane komunikacije, vključno s podatki v zvezi z BW.
Belgijski, francoski in nizozemski organi so leta 2019 sklenili Sporazum o ustanovitvi skupne preiskovalne skupine (v nadaljevanju: sporazum JIT) (
2
) in z njim ustanovili skupno preiskovalno skupino (v nadaljevanju: JIT). V okviru te skupine je med agencijo Europol in tremi zadevnimi državami članicami prišlo do izmenjave neobdelanih podatkov, ki jih je bilo treba nato analizirati, in do izmenjave rezultatov te analize.
Agencija Europol je v okviru tega sodelovanja hranila podatke v svojem informacijskem sistemu, opravljala navzkrižno preverjanja, izdajala obveščevalna poročila, pripravljala grafike za vizualizacijo podatkov in interpretirala večjezične podatkovne nize. Agencija Eurojust je zagotavljala podporo in svetovanje glede možnosti pravosodnega sodelovanja ter organizirala več usklajevalnih sestankov med belgijskimi, francoskimi in nizozemskimi organi ter agencijo Europol in lajšala pravosodno sodelovanje med Republiko Srbijo na eni strani ter Kraljevino Nizozemsko in Francosko republiko na drugi strani.
V tem okviru je BW Splošnemu sodišču predlagal, naj za nične razglasi sporazum JIT, akte agencij Europol in Eurojust, sprejete na podlagi tega sporazuma, ter dejanj obdelave, analize in izmenjave podatkov v zvezi s to tožečo stranko iz strežnika Sky ECC, ki so jih opravili ti agenciji in zadevne države članice. Poleg tega je predlagal, naj se agencijama Europol in Eurojust naloži, da mu plačata odškodnino za nepremoženjsko in premoženjsko škodo, ki naj bi jo utrpel.
Presoja Splošnega sodišča
Prvič, Splošno sodišče se je v zvezi z vprašanjem svoje pristojnosti na prvem mestu izreklo za nepristojno, da bi na podlagi člena 263 PDEU odločalo o tem, da je francosko sodišče odobrilo operacije prestrezanja, ki so jih izvedli francoski organi, o poteku teh operacij, o tem, da so francoski organi agenciji Europol posredovali dokumente in informacije, ki so jih pridobili na podlagi navedenih operacij, o tem, da so francoski organi agenciji Eurojust in srbskim organom posredovali dokumente in informacije, ki so jih srbski organi zahtevali v okviru svojih zaprosil za medsebojno pravno pomoč, o zakonitosti kazenskega postopka pred srbskimi sodišči in o sporazumu JIT.
Natančneje, Splošno sodišče je navedlo, da sodišče Unije ni pristojno, da bi neposredno na podlagi člena 263 PDEU odločalo o zakonitosti tega sporazuma, ker navedeni sporazum ni akt Unije. Sporazum JIT so namreč podpisale in zato sklenile le tri države članice. Te ugotovitve ni mogoče ovreči niti s tem, da sta podlaga za ta sporazum konvencija, ki so jo te države članice sklenile na podlagi člena 34 PEU, in okvirni sklep Sveta Evropske unije, niti s tem, da je bila zadevna JIT ustanovljena na pobudo agencij Europol in Eurojust, niti z odločitvijo Belgije, Francije in Nizozemske, sprejeto na podlagi sporazuma o ustanovitvi JIT, da se agenciji Europol in Eurojust JIT pridružita kot „udeleženki“. V tem okviru je Splošno sodišče pojasnilo, da možnost, ki jo imata agenciji Europol in Eurojust, da predlagata ali pomagata pri ustanovitvi JIT, ter možnost njunih uslužbencev, da sodelujejo v JIT, (
3
) tema agencijama ne podeljuje statusa „stranke“ sporazuma, s katerim so te tri države članice ustanovile zadevno JIT.
Na drugem mestu, Splošno sodišče se je izreklo za nepristojno za odločanje o predlogu tožeče stranke za ugotovitev odgovornosti agencije Eurojust za dejanja Belgije, Francije in Nizozemske, Srbije ali celo agencije Europol. To rešitev je izpeljalo zlasti iz dejstva, da odgovornosti Unije na podlagi členov 268 in 340 PDEU ni mogoče uveljavljati pri instituciji, organu, uradu ali agenciji Unije, ki ni tista institucija, organ, urad ali agencija, ki se ji očita akt ali ravnanje, iz katerega izhaja odgovornost, razen če je zakonodajalec Unije izrecno določil odstopanje, in sicer z določitvijo solidarne odgovornosti bodisi ene od teh institucij, organov, uradov ali agencij Unije in ene ali več držav članic oziroma celo ene ali več tretjih držav bodisi več institucij, organov, uradov ali agencij Unije. Ugotavlja, da v tem primeru noben akt ne določa odstopajoče ureditve solidarne odgovornosti agencije Eurojust za ravnanja držav članic oziroma agencije Eurojust za ravnanja Srbije.
Vendar se je Splošno sodišče izreklo za pristojno za odločanje o predlogu, naj se ugotovi odgovornost agencije Eurojust za njeno ravnanje in odgovornost agencije Europol za ravnanja, ki jih je mogoče pripisati njej in državam članicam, ki so bile udeležene pri sodelovanju v zvezi s storitvijo Sky ECC.
Splošno sodišče pa je kljub svoji pristojnosti za odločanje o predlogu za ugotovitev solidarne odgovornosti agencije Europol za ravnanja, ki jih je mogoče pripisati zlasti francoskim organom, pojasnilo, da ni pristojno za odločanje o trditvah tožeče stranke v zvezi s škodo, ki naj bi ji nastala zaradi prestrezanja njenih osebnih podatkov v okviru policijskih operacij, ki so jih izvajali ti organi. V zvezi s tem ne glede na sistem solidarne odgovornosti, določen z Uredbo o agenciji Europol, ta agencija ne more biti solidarno odgovorna za morebitno škodo, ki je nastala zaradi nezakonite obdelave osebnih podatkov fizične osebe, do katere je prišlo pri operacijah policije ali drugih organov kazenskega pregona države članice, tudi če je do te obdelave prišlo v okviru sodelovanja na podlagi te uredbe. Iz člena 276 PDEU namreč izhaja, da sodišče Unije pri izvajanju svojih pristojnosti v zvezi s pravosodnim sodelovanjem v kazenskih zadevah in policijskim sodelovanjem ni pristojno za preverjanje veljavnosti ali sorazmernosti operacij policije ali drugih organov kazenskega pregona v državi članici.
Drugič, kar zadeva predloge za razglasitev ničnosti, je Splošno sodišče, ki se je izreklo o njihovi dopustnosti, ugotovilo, da aktov ali ravnanj, ki jih graja pritožnik, ni mogoče izpodbijati, razen tega, da je agencija Eurojust 24. junija 2022 srbskim organom posredovala elektronsko sporočilo francoskih organov s povezavo na zavarovano spletno mesto za prenos, ki je med drugim vsebovalo nekatere njegove pogovore iz storitve Sky ECC.
V zvezi s tem posredovanjem je Splošno sodišče poudarilo, da iz sodne prakse v zvezi s posredovanjem končnih poročil in informacij državam članicam, ki ga opravi Evropski urad za boj proti goljufijam (OLAF), ki se po analogiji uporablja za obravnavano zadevo, sicer izhaja, da tako posredovanje ni izpodbojni akt, vendar sta Sodišče in Splošno sodišče lahko pri zavrnitvi izpodbojnosti posredovanja urada OLAF upoštevali dejstvo, da je imela tožeča stranka na voljo druga sredstva za zagotovitev nadzora nad zakonitostjo teh sklepov o posredovanju, vključno s postopkom predhodnega odločanja. Splošno sodišče pa je navedlo, da je do posredovanja z dne 24. junija 2022 prišlo med agencijo Unije in organi tretje države, v tem primeru Srbije. Tako zakonitosti tega posredovanja glede na pravo Unije, če je ne bi bilo mogoče izpodbijati v okviru te tožbe, ne bo več mogoče izpodbijati, osebne podatke, ki jih vsebuje, pa bo treba šteti za zakonito posredovane srbskim organom, ne da bi lahko tožeča stranka od sodišč te tretje države zahtevala bodisi presojo veljavnosti navedenega posredovanja glede na pravo Unije bodisi predložitev vprašanja za predhodno odločanje Sodišču za presojo njegove veljavnosti. V tem smislu navedeno posredovanje pomeni zadnje dejanje posebnega postopka, s katerim agencija Eurojust organom tretje države na njihovo zahtevo posreduje osebne podatke identificirane osebe.
Splošno sodišče je dodalo, da je priznanje izpodbojnosti posredovanja z dne 24. junija 2022 edina možnost, da se zagotovi učinkovit nadzor sodnega organa ali drugega neodvisnega organa nad prenosom prestreženih osebnih podatkov in njihovo uporabo za namene, ki niso nameni kazenskega postopka, za katerega so bili prvotno zbrani. To, da bi tožeča stranka lahko vložila tožbo pri francoskih sodiščih ali da bi lahko vložila tožbo pri Evropskem sodišču za človekove pravice po morebitni obsodbi srbskih kazenskih sodišč, je brezpredmetno. Na eni strani pri francoskih sodiščih ni mogoče vložiti ničnostne tožbe zoper akt agencije Unije. Na drugi strani, ker Unija ni pristopila k Evropski konvenciji o varstvu človekovih pravic in temeljnih svoboščin, Evropsko sodišče za človekove pravice ne more ugotoviti, da Unija ni izpolnila obveznosti iz te konvencije, zlasti ne v okviru pritožbe, vložene proti tretji državi.
Vendar je Splošno sodišče predloge za razglasitev ničnosti posredovanja z dne 24. junija 2022 zavrnilo kot neutemeljene, ker tožeča stranka ni dokazala, kako naj bi to posredovanje povzročilo nezakonito obdelavo njenih osebnih podatkov.
Tretjič, v zvezi z odškodninskimi zahtevki tožeče stranke je Splošno sodišče menilo, da se prvi odškodninski zahtevek nanaša na trditve o nepravilni obdelavi podatkov, ki so jo opravile agencija Europol in tri zadevne države članice, za katere velja odstopajoča ureditev solidarne odgovornosti, določena z Uredbo o agenciji Europol, (
4
) in tako ni upoštevalo le aktov ali ravnanj agencije Europol na podlagi sistema splošne odgovornosti, določenega v tej uredbi, (
5
) temveč tudi dejanja ali ravnanja zadevnih treh držav članic na podlagi navedene odstopajoče ureditve solidarne odgovornosti.
Splošno sodišče je dodalo, da agencija Europol napačno trdi, da ne more biti odgovorna za akte ali ravnanja držav članic in da Splošno sodišče ne more presojati njihove zakonitosti. Čeprav sodišče Unije na podlagi člena 276 PDEU sicer res ni pristojno za preverjanje veljavnosti ali sorazmernosti ukrepov, ki jih izvaja policija ali drugi organi kazenskega pregona v državi članici, vključno v okviru tožb na podlagi členov 268 in 340 PDEU, pa vseeno velja, da zunaj teh posebnih postopkov odstopajoča ureditev solidarne odgovornosti, določena z Uredbo o agenciji Europol, implicitno, vendar nujno pomeni, da je agencija Europol lahko odgovorna za akte ali ravnanja držav članic. Iz tega nujno izhaja tudi, da je Splošno sodišče v okviru odškodninskih tožb, ki temeljijo na tej ureditvi odstopanja, pristojno za presojo zakonitosti aktov ali ravnanj držav članic, ki niso tisti, s katerimi so njihovi policijski ali drugi organi kazenskega pregona zbirali zadevne podatke, bodisi na podlagi prava Unije bodisi na podlagi nacionalnega prava zadevne države.
V zvezi z drugim odškodninskim zahtevkom, ki se v bistvu nanaša zgolj na kršitev pravice do poštenega sojenja, ker naj ne bi bilo mogoče preveriti „uporabnosti“ podatkov iz storitve Sky ECC v nacionalnih kazenskih postopkih, ki so potekali po preiskavah, pri katerih je sodelovala agencija Europol, je Splošno sodišče ugotovilo, da tožeča stranka ne izpodbija zakonitosti obdelave svojih osebnih podatkov v smislu člena 28 Uredbe o agenciji Europol – kar je edini argument, ki ga je mogoče navesti v okviru odstopajoče ureditve solidarne odgovornosti, določene s to uredbo. Tako je pri preučitvi tega odškodninskega zahtevka upoštevalo le akte ali ravnanja agencije Europol v okviru splošne ureditve odgovornosti, ki izhaja iz navedene uredbe.
V zvezi s tretjim odškodninskim zahtevkom, ki se nanaša na domnevni obstoj dvojnega pregona tožeče stranke za ista dejanja, ki so ga zoper njo začeli nizozemski in srbski kazenski organi, je Splošno sodišče pojasnilo, da tožeča stranka s tem odškodninskim zahtevkom agenciji Europol očita le, da ni izpolnila svojih obveznosti, ki izhajajo iz sporazuma JIT. Tako je upoštevalo le akte ali ravnanja agencije Europol v okviru splošne ureditve odgovornosti, ki izhaja iz Uredbe o agenciji Europol.
Splošno sodišče pa je tri odškodninske zahtevke zavrnilo kot neutemeljene.
(
1
)	Sodba z dne 5. marca 2024, Kočner/Europol (C‑755/21 P, EU:C:2024:202).
(
2
)	Ta sporazum je bil sklenjen na podlagi člena 13 Konvencije, ki jo je Svet pripravil na podlagi člena 34 PEU, o medsebojni pravni pomoči v kazenskih zadevah med državami članicami Evropske unije (UL, posebna izdaja v slovenščini, poglavje 19, zvezek 8, str. 205) in Okvirnega sklepa Sveta z dne 13. junija 2002 o skupnih preiskovalnih enotah (UL, posebna izdaja v slovenščini, poglavje 19, zvezek 6, str. 15).
(
3
)	Ti možnosti dajeta člen 5 Uredbe (EU) 2016/794 Evropskega parlamenta in Sveta z dne 11. maja 2016 o Europolu ter nadomestitvi in razveljavitvi sklepov Sveta 2009/371/PNZ, 2009/934/PNZ, 2009/935/PNZ, 2009/936/PNZ in 2009/968/PNZ (UL 2016, L 135, str. 53, v nadaljevanju: Uredba o agenciji Europol) oziroma člen 8(1)(d) Uredbe (EU) 2018/1727 Evropskega parlamenta in Sveta z dne 14. novembra 2018 o Eurojustu ter nadomestitvi in razveljavitvi Sklepa Sveta 2002/187/PNZ (UL 2018, L 295, str. 138).
(
4
)	Člen 50(1) Uredbe o agenciji Europol.
(
5
)	Splošna odgovornost agencije Europol iz člena 49 uredbe o agenciji Europol.