62022TO0578_RES
Mål T‑578/22
Europeiska datatillsynsmannen
mot
EuropaparlamentetochEuropeiska unionens råd
Tribunalens beslut (första avdelningen i utökad sammansättning) av den 6 september 2023
”Talan om ogiltigförklaring – Institutionell rätt – Europols behandling av personuppgifter – Förordning (EU) 2016/794 – Europeiska datatillsynsmannens institutionella befogenheter – Talerätt – Talan som delvis inte kan tas upp till prövning och delvis uppenbart inte kan tas upp till prövning”
Talan om ogiltigförklaring – Unionsdomstolens behörighet – Talan som väckts av ett unionsorgan – Talan väckt av Europeiska datatillsynsmannen (EDPS) – Rätt att väcka talan för tillvaratagandet av institutionella befogenheter, vilket har åberopats till stöd för talan
(Artikel 263 FEUF; Europaparlamentets och rådets förordning nr 45/2001, artikel 41.1)
(se punkterna 26–36)
Talan om ogiltigförklaring – Fysiska eller juridiska personer – Berättigat intresse av att få saken prövad – Talerätt – Talan väckt av Europeiska datatillsynsmannen (EDPS) – Rätt att väcka talan för att tillvarata institutionella befogenheter – Föreligger inte – För att talan ska kunna tas upp till prövning måste det visas att sökanden har talerätt och ett berättigat intresse av att få saken prövad
(Artikel 263 fjärde stycket FEUF)
(se punkterna 41–48 och 54–57)
Talan om ogiltigförklaring – Talerätt – Juridiska personer – Begrepp – Europeiska datatillsynsmannen (EDPS) – Unionsorgan – Omfattas – Villkor
(Artikel 263 fjärde stycket FEUF)
(se punkterna 60–65)
Talan om ogiltigförklaring – Fysiska eller juridiska personer – Akter som berör dem direkt och personligen – Bestämmelser om Europols behandling av personuppgifter – Europeiska datatillsynsmannens (EDPS) beslut avseende Europol – Dessa bestämmelser har ingen inverkan på nämnda beslut eller på Europeiska datatillsynsmannens befogenheter – Villkoret direkt berörd ej uppfyllt – Avvisning
(Artiklarna 16.2 och 263 fjärde stycket FEUF; Europaparlamentets och rådets förordning 2016/794, i dess lydelse enligt förordning nr 2022/991, artiklarna 74a och 74b)
(se punkterna 66, 68–76, 78–82, 84 och 85)
Resumé
Efter att på eget initiativ ha genomfört en utredning antog Europeiska datatillsynsmannen, den 3 januari 2022, ett beslut mot Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol). (
1
) Genom detta beslut ålade Europeiska datatillsynsmannen Europol att, för varje bidrag som mottogs från och med den 4 januari 2022, kategorisera registrerade inom sex månader från dagen för mottagandet av bidraget, och inom tolv månader för de dataset som Europol förfogade över dagen då beslutet antogs, varefter Europol var skyldig att radera dessa uppgifter.
Den 8 juni 2022 antog Europaparlamentet och Europeiska unionens råd den ändrade Europolförordningen. (
2
) I två övergångsbestämmelser (
3
) i den förordningen angavs dels villkor för hur Europol, inom en angiven frist, skulle kategorisera de dataset som man förfogade över när den ändrade Europolförordningen trädde i kraft, dels enligt vilka villkor och förfaranden det var tillåtet att, till stöd för en pågående brottsutredning, behandla personuppgifter som Europol mottagit före den 28 juni 2022 och som inte motsvarade någon av de kategorier av registrerade som förtecknades i bilaga II till den ändrade Europolförordningen.
Europeiska datatillsynsmannen ansåg att de angripna bestämmelserna åsidosatte dess oberoende och befogenheter i egenskap av tillsynsmyndighet, och var av uppfattningen att dessa bestämmelser retroaktivt legaliserade Europols omtvistade praxis för uppgiftslagring, och i praktiken innebar att beslutet av den 3 januari 2022 ogiltigförklarades. Europeiska datatillsynsmannen väckte därför talan om ogiltigförklaring av de angripna bestämmelserna med åberopande av artikel 263 FEUF. Europeiska datatillsynsmannen gjorde gällande att den skulle anses ha talerätt enligt artikel 263 FEUF eftersom den måste kunna föra talan vid domstol för att försvara sina institutionella befogenheter, särskilt sitt oberoende i egenskap av tillsynsmyndighet.
Detta är första gången Europeiska datatillsynsmannen har väckt talan vid tribunalen om ogiltigförklaring av en lagstiftningsakt som antagits av rådet och parlamentet. Målet ger bland annat upphov till frågan om huruvida tribunalen är behörig att pröva denna talan, huruvida domen parlamentet/rådet (C‑70/88) (
4
) kan tillämpas analogt i förevarande fall, och huruvida Europeiska datatillsynsmannen, som likställs med en juridisk person, är direkt berörd av de angripna bestämmelserna i den mening som avses i artikel 263 fjärde stycket FEUF.
Tribunalens bedömning
Tribunalen prövar i ett första steg huruvida den är behörig att pröva den talan som väckts av Europeiska datatillsynsmannen, och påpekar inledningsvis att Europeiska datatillsynsmannen varken förekommer bland de sökande som nämns i artikel 263 andra och tredje styckena FEUF (
5
) eller i förteckningen över institutioner i artikel 13.1 FEU. (
6
) Tribunalen noterar vidare att även om artikel 263 första stycket FEUF uttryckligen hänvisar till unionens organ och byråer i förteckningen över upphovsmän till rättsakter vars lagenlighet kan ifrågasättas inom ramen för en talan om ogiltigförklaring, gäller detta inte artikel 263 andra och tredje styckena FEUF. Europeiska datatillsynsmannens ställning som oberoende tillsynsmyndighet stadfästs visserligen både i EUF-fördraget och i stadgan, (
7
) men denna myndighet inrättades som ett unionsorgan genom en sekundärrättsakt och inte genom primärrätten. (
8
) Detta innebär att trots att Europeiska datatillsynsmannen är ett unionsorgan med särskild ställning är den inte en unionsinstitution, och den kan under alla omständigheter inte anses ingå bland de sökande som avses i artikel 263 andra och tredje styckena FEUF. Tribunalen konstaterar slutligen att eftersom domstolen har exklusiv behörighet att pröva en talan enligt artikel 263 FEUF som väcks av en unionsinstitution mot en lagstiftningsakt, (
9
) och eftersom Europeiska datatillsynsmannen varken är en sådan institution eller en sådan sökande som avses i artikel 263 andra och tredje styckena FEUF, är den behörig att pröva förevarande talan.
Tribunalen undersöker i ett andra steg huruvida Europeiska datatillsynsmannen kan ha talerätt enligt den rättspraxis som följer av domen parlamentet/rådet (C‑70/88). Europeiska datatillsynsmannen har åberopat denna dom till stöd för sin uppfattning att den ska anses ha en särskild talerätt för att kunna tillvarata sina institutionella befogenheter. Tribunalen noterar härvidlag att i nyssnämnda dom konstaterade domstolen att parlamentet inte hade möjlighet att väcka talan vid unionsdomstolarna mot rättsakter som antagits av andra institutioner och som kunde kränka parlamentets egna befogenheter, och valde att fylla denna lucka genom att tillämpa den allmänna principen om institutionell jämvikt. Europeiska datatillsynsmannen kan däremot väcka talan om ogiltigförklaring med stöd av artikel 263 fjärde stycket FEUF, eftersom denne är ett organ som inrättats genom en sekundärrättslig unionsrättsakt och kan likställas med en juridisk person. Tribunalen preciserar också att även om Europeiska datatillsynsmannen har en särskild ställning som erkänns såväl i EUF-fördraget som i stadgan, och inrättandet av oberoende tillsynsmyndigheter är av avgörande betydelse för att värna skyddet av enskildas personuppgifter, får den omständigheten att Europeiska datatillsynsmannen ska utöva sina uppgifter på ett oberoende sätt inte medföra att unionslagstiftarens befogenheter i praktiken begränsas. (
10
) Europeiska datatillsynsmannen är följaktligen skyldig att utöva sina uppdrag och befogenheter helt oberoende, och inom ramen för och i enlighet med de lagstiftningsakter som antagits gemensamt av parlamentet och rådet ska den kontrollera att bestämmelserna om skydd för enskilda personer iakttas när unionens institutioner, organ och byråer behandlar personuppgifter. Tribunalen drar härav slutsatsen att domen parlamentet/rådet (C‑70/88) inte kan tillämpas analogt på Europeiska datatillsynsmannen, som inte kan tillerkännas talerätt enligt den domen utan ska anses vara en sökande som måste uppfylla de sakprövningsförutsättningar som föreskrivs i artikel 263 fjärde stycket FEUF.
I ett tredje steg undersöker tribunalen, inom ramen för sin prövning av huruvida Europeiska datatillsynsmannen har talerätt enligt artikel 263 fjärde stycket FEUF huruvida denne, i egenskap av unionsorgan, kan likställas med en juridisk person i den mening som avses i denna artikel. Tribunalen finner härvidlag att principen om en effektiv domstolsprövning och rättsstatsprincipen talar för att denna bestämmelse ska tolkas så, att ett unionsorgan, såsom Europeiska datatillsynsmannen, ska anses ha rätt att väcka talan om ogiltigförklaring av de angripna bestämmelserna i egenskap av ”juridisk person”, förutsatt att den är direkt och personligen berörd av dessa i den mening som avses i nyssnämnda artikel 263 FEUF. En sådan juridisk person kan nämligen lika väl som någon annan person eller enhet se sina rättigheter eller intressen påverkas negativt av en unionsrättsakt och måste således – med iakttagande av dessa villkor – kunna väcka talan om ogiltigförklaring av en sådan rättsakt.
Vad gäller kravet på att den juridiska personen ska vara direkt berörd, erinrar tribunalen om att detta krav är uppfyllt när två kumulativa villkor är för handen. För det första, vad gäller villkoret att de angripna bestämmelserna ska ha en inverkan på Europeiska datatillsynsmannens rättsliga ställning, framhåller tribunalen att Europeiska datatillsynsmannen ska ansvara för tillsynen av hur unionens institutioner, organ och byråer tillämpar relevanta bestämmelser om skydd av personuppgifter. (
11
) I förevarande fall ändrar de angripna bestämmelserna den ursprungliga Europolförordningen och påverkar således inte arten eller omfattningen av de uppgifter som Europeiska datatillsynsmannen har tilldelats genom unionslagstiftningen. Även om det regelverk som Europeiska datatillsynsmannen har till uppgift att kontrollera har ändrats är detta inte fallet vad gäller dess befogenheter, eftersom formerna för hur Europeiska datatillsynsmannen lagligen kan utöva dessa befogenheter inte har ändrats som sådana. Följaktligen är Europeiska datatillsynsmannen inte direkt berörd av de angripna bestämmelserna, eftersom dess rättigheter, skyldigheter och befogenheter inte påverkas av dessa bestämmelser. Vad gäller de angripna bestämmelsernas inverkan på beslutet av den 3 januari 2022 noterar tribunalen att det rör sig om ett administrativt beslut som inte kan påverka lagstiftningsakter såsom den ändrade Europolförordningen, och inte heller dess innehåll.
För det andra, vad gäller kravet om utrymme för skönsmässig bedömning för dem till vilka de angripna bestämmelserna riktar sig och som ska genomföra dem, påpekar tribunalen att dessa bestämmelser ger Europol ett visst utrymme för skönsmässig bedömning. Dessa bestämmelser är därför inte av rent automatisk karaktär och följer inte enbart av den unionslagstiftning som Europeiska datatillsynsmannen omfattas av, utan att några mellanliggande regler tillämpas.
Eftersom de angripna bestämmelserna inte direkt påverkar Europeiska datatillsynsmannens rättsliga ställning, och eftersom villkoren avseende att den ska vara direkt berörd och personligen berörd av den akt som avses med talan om ogiltigförklaring är kumulativa, finner tribunalen att talan ska avvisas.
(
1
)	Med stöd av artikel 43.3 e i Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 2015, s. 53) (nedan kallad den ursprungliga Europolförordningen).
(
2
)	Europaparlamentets och rådets förordning (EU) 2022/991 av den 8 juni 2022 vad gäller Europols samarbete med privata parter, Europols behandling av personuppgifter till stöd för brottsutredningar och Europols roll inom forskning och innovation (EUT L 169, 2022, s. 1) (nedan kallad den ändrade Europolförordningen), varigenom den ursprungliga Europolförordningen ändrats.
(
3
)	Artiklarna 74a och 74b i den ändrade Europolförordningen (nedan kallade de angripna bestämmelserna).
(
4
)	Dom av den 22 maj 1990, Parlamentet/rådet (C‑70/88, EU:C:1990:217).
(
5
)	Enligt denna bestämmelse är domstolen behörig att pröva en talan som väcks dels av en medlemsstat, av Europaparlamentet, av rådet eller av kommissionen, dels av revisionsrätten, Europeiska centralbanken eller Regionkommittén.
(
6
)	De sju institutioner som det hänvisas till i denna bestämmelse är parlamentet, Europeiska rådet, rådet, kommissionen, Europeiska unionens domstol, Europeiska centralbanken och revisionsrätten.
(
7
)	Enligt artikel 16.2 FEUF och artikel 8.3 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) ska oberoende myndigheter kontrollera att bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter hos unionens institutioner, organ och byråer.
(
8
)	Artikel 41.1 i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, 2001, s. 1).
(
9
)	Enligt artikel 5.1 b i stadgan för Europeiska unionens domstol.
(
10
)	Såsom föreskrivs i artiklarna 14.1 och 16.1 FEU.
(
11
)	Enligt artikel 1.3 i Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39), och artikel 43.1 i den ursprungliga Europolförordningen.