62023TJ1180_RES
Byla T‑1180/23
BW
prieš
Europos Sąjungos teisėsaugos bendradarbiavimo agentūrąirEuropos Sąjungos bendradarbiavimo baudžiamosios teisenos srityje agentūrą
2026 m. vasario 25 d. Bendrojo Teismo (penktoji kolegija) sprendimas
„Valstybių narių policijos ir kitų teisėsaugos institucijų bendradarbiavimas – Šifruotų ryšių paslauga „Sky ECC“ – Tariamai neteisėtas asmens duomenų tvarkymas – Ieškinys dėl panaikinimo – Aktas, dėl kurio negalima pareikšti ieškinio – Parengiamasis aktas – Priimtinumas – Valstybių narių vykdomas asmens duomenų tvarkymas ir perdavimas Europolui – Europolo atliekamas asmens duomenų perdavimas valstybei narei – Asmens duomenų perdavimas iš Eurojusto trečiajai šaliai – Deliktinė atsakomybė – Reglamento (ES) 2016/794 50 straipsnis – Europolo ir valstybių narių solidarioji atsakomybė už neteisėtą duomenų tvarkymą – Pakankamai aiškus teisės normos, suteikiančios teisių privatiems asmenims, pažeidimas – Žalos realumas – Reglamentas (ES) 2018/1727 – Nepakankamas Eurojusto atliekamas baudžiamojo persekiojimo koordinavimas tarp valstybės narės ir trečiosios šalies – Reglamento (ES) 2018/1725 71, 72, 89, 91 ir 92 straipsniai“
Ieškinys dėl panaikinimo – Sąjungos teismo jurisdikcija – Prašymas panaikinti nacionalinės valdžios institucijų vykstant baudžiamajam procesui atliktus asmens duomenų tvarkymo veiksmus ir dokumentų bei informacijos perdavimo Europolui arba Eurojustui operacijas – Netaikymas
(SESV 263 straipsnis)
(žr. 23–25 punktus)
Ieškinys dėl panaikinimo – Sąjungos teismo jurisdikcija – Prašymas panaikinti susitarimą dėl jungtinės tyrimo grupės (JTG) įsteigimo – Netaikymas
(ESS 34 straipsnis; SESV 263 straipsnis)
(žr. 26–31 punktus)
Ieškinys dėl žalos atlyginimo – Dalykas – Žalos, patirtos dėl neteisėto asmens duomenų tvarkymo, atlyginimas – Eurojustui pareikštas ieškinys dėl valstybių narių arba Europolo veiksmų – Sąjungos teismo jurisdikcijos nebuvimas
(SESV 268 ir 340 straipsniai; Europos Parlamento ir Tarybos reglamentas 2018/1727)
(žr. 33–35, 41 punktus)
Ieškinys dėl žalos atlyginimo – Dalykas – Žalos, patirtos dėl neteisėto asmens duomenų tvarkymo, atlyginimas – Europolui pareikštas ieškinys dėl valstybių narių veiksmų – Sąjungos teismo jurisdikcija – Riba – Jurisdikcijos nebuvimas, kai žala patirta dėl valstybių narių policijos ar kitų teisėsaugos institucijų vykdomų operacijų
(SESV 268, 276 ir 340 straipsniai; Europos Parlamento ir Tarybos reglamento 2016/794 57 konstatuojamoji dalis, 49 straipsnio 3 ir 4 dalys bei 50 straipsnis)
(žr. 37, 38, 42–46 punktus)
Deliktinė atsakomybė – Sąjungos ir valstybių narių solidarioji atsakomybė – Reglamentas 2016/794 – Atsakomybė už neteisėtą asmens duomenų tvarkymą – Europolo ir atitinkamos valstybės narės solidarioji atsakomybė – Kriterijai – Įrodymas, kad už neteisėtą asmens duomenų tvarkymą yra atsakingas Europolas arba atitinkama valstybė narė
(SESV 340 straipsnio antra pastraipa; Europos Parlamento ir Tarybos reglamento 2016/794 50 straipsnio 1 dalis)
(žr. 93, 136 punktus)
Ieškinys dėl panaikinimo – Aktai, dėl kurių galima pareikšti ieškinį – Sąvoka – Aktai, sukeliantys privalomų teisinių pasekmių – Parengiamieji aktai – Netaikymas – Europolo arba Eurojusto dalyvavimas susitikimuose ar darbo grupėse – Netaikymas
(SESV 263 straipsnis)
(žr. 108–110 punktus)
Ieškinys dėl panaikinimo – Aktai, dėl kurių galima pareikšti ieškinį – Sąvoka – Aktai, sukeliantys privalomų teisinių pasekmių – Sąjungos agentūros atliekamas asmens duomenų, gautų iš šifruotų ryšių paslaugos „Sky ECC“, perdavimas – Perdavimas valstybei narei – Netaikymas – Perdavimas trečiajai šaliai – Įskaitymas – Sąlyga
(SESV 263 straipsnis)
(žr. 111–123 punktus)
Deliktinė atsakomybė – Sąlygos – Reglamentas 2016/794 – Atsakomybė už neteisėtą asmens duomenų tvarkymą – Minėtos atsakomybės pobūdis – Europolo ir atitinkamos valstybės narės solidarioji atsakomybė – Apimtis – Valstybių narių veiksmų ar elgesio, išskyrus duomenų rinkimą valstybių narių policijai ar kitoms teisėsaugos institucijoms vykdant operacijas, teisėtumo vertinimas – Vertinimas pagal Sąjungos ar atitinkamą nacionalinę teisę
(SESV 268, 276 straipsniai ir 340 straipsnio antra pastraipa; Europos Parlamento ir Tarybos reglamento 2016/794 50 straipsnio 1 dalis)
(žr. 141, 142, 162–164 punktus)
Santrauka
Atmesdamas BW ieškinį dėl panaikinimo ir žalos atlyginimo, pareikštą Europos Sąjungos teisėsaugos bendradarbiavimo agentūrai (Europolui) ir Europos Sąjungos bendradarbiavimo baudžiamosios teisenos srityje agentūrai (Eurojustui) vykdant kelių valstybių narių policijos ir teisminį bendradarbiavimą, Bendrasis Teismas pirmą kartą nuo tada, kai buvo priimtas Sprendimas Kočner / Europolas (
1
), patikslino solidariosios atsakomybės režimo apimtį, be kita ko, atsižvelgdamas į iš SESV 276 straipsnio kylančias ribas. Be to, jis nusprendė, kad Eurojusto atliekamas asmens duomenų perdavimas valstybei narei nėra aktas, dėl kurio galima pareikšti ieškinį, kaip tai suprantama pagal SESV 263 straipsnį, tačiau pripažino, kad tokių duomenų perdavimas trečiajai šaliai gali būti ginčijamas, nesant jokios kitos veiksmingos teisminės kontrolės priemonės.
Ieškovas BW yra Serbijos pilietis, kuriam nuo 2023 m. gegužės mėn. Nyderlanduose buvo taikomas baudžiamasis persekiojimas ir kuris ten buvo kalinamas už kokaino importą, o Serbijoje nuo 2023 m. rudens jam buvo taikomas baudžiamasis persekiojimas už, be kita ko, prekybą narkotinėmis medžiagomis.
Nyderlandų ir Serbijos valdžios institucijos baudžiamąjį persekiojimą pradėjo dėl 2010 m. pabaigoje Belgijos, Nyderlandų ir Prancūzijos valdžios institucijų taikytų tyrimo priemonių prieš „Sky ECC organizaciją“ („ECC“ reiškia „Elliptic Curve Cryptography“ (elipsinių kreivių kriptografija)), kuri, kaip įtariama, prekiavo šifruotų ryšių paslaugomis ir produktais, konkrečiai skirtais palengvinti nusikalstamų veikų padarymą.
Po šių tyrimo priemonių Belgija ir Nyderlandai 2018 m. pabaigoje priėmė jungtinio tyrimo sprendimus, kuriais Prancūzijos prašė sukurti Sky ECC paslaugos naudojamų serverių, esančių Prancūzijoje, vaizdą. Prancūzija patenkino šį prašymą – perėmė, įrašė ir perrašė šifruotus pranešimus, siunčiamus į šiuos serverius ir iš jų, įskaitant duomenis, susijusius su BW.
2019 m. Belgijos, Prancūzijos ir Nyderlandų valdžios institucijos, sudariusios jungtinės tyrimo grupės susitarimą (toliau – susitarimas dėl JTG) (
2
), įkūrė jungtinę tyrimo grupę (toliau – JTG). JTG paskatino Europolą ir tris susijusias valstybes nares dalytis perimtais neapdorotais duomenimis, kurie vėliau turėjo būti analizuojami, taip pat šios analizės rezultatais.
Vykdydamas šį bendradarbiavimą Europolas saugojo duomenis savo informacinėje sistemoje, atliko sutapimų patikrinimą, parengė žvalgybos ataskaitas, sukūrė duomenų vizualizavimo grafikus ir interpretavo daugiakalbius duomenų rinkinius. Eurojustas savo ruožtu teikė paramą ir konsultacijas dėl teisminio bendradarbiavimo galimybių, surengė keletą koordinacinių susitikimų tarp susijusių nacionalinių valdžios institucijų ir Europolo ir palengvino teisminį Serbijos bendradarbiavimą su Nyderlandais ir Prancūzija.
Šiomis aplinkybėmis BW prašė Bendrojo Teismo panaikinti susitarimą dėl JTG, juo remiantis priimtus Europolo ir Eurojusto aktus, taip pat atitinkamų valstybių narių atliktas su juo susijusių Sky ECC serverio duomenų tvarkymo, analizės ir keitimosi jais operacijas. Be to, jis prašė įpareigoti Europolą ir Eurojustą atlyginti neturtinę ir turtinę žalą, kurią jis teigia patyręs.
Bendrojo Teismo vertinimas
Pirma, dėl savo jurisdikcijos Bendrasis Teismas nurodė, kad pagal SESV 263 straipsnį neturi jurisdikcijos nagrinėti Prancūzijos teismo leidimo Prancūzijos valdžios institucijų vykdomoms duomenų perėmimo operacijoms; šių operacijų vykdymo; Prancūzijos valdžios institucijų atlikto dokumentų ir informacijos, gautų vykdant šias operacijas, perdavimo Europolui; Prancūzijos valdžios institucijų atlikto Serbijos valdžios institucijų savitarpio teisinės pagalbos prašymuose nurodytų dokumentų ir informacijos perdavimo Eurojustui ir Serbijos valdžios institucijoms; Serbijos teismuose vykdomo baudžiamojo proceso ir susitarimo dėl JTG teisėtumo.
Konkrečiai dėl šio susitarimo Bendrasis Teismas pažymėjo, kad Sąjungos teismas neturi jurisdikcijos tiesiogiai pagal SESV 263 straipsnį nagrinėti jo teisėtumo, nes jis nėra Sąjungos aktas. Susitarimą dėl JTG pasirašė, taigi jį sudarė, tik trys valstybės narės. Šios išvados nepaneigia nei tai, kad susitarimas dėl JTG grindžiamas konvencija, kurią šios valstybės narės sudarė pagal ESS 34 straipsnį, ir Europos Sąjungos Tarybos pamatiniu sprendimu, nei atitinkamos JTG įsteigimas Europolo ar Eurojusto iniciatyva, nei Belgijos, Prancūzijos ir Nyderlandų sprendimas pagal susitarimą dėl JTG įtraukti Europolą ir Eurojustą kaip JTG „dalyvius“. Šiomis aplinkybėmis Bendrasis Teismas patikslino, kad Europolui arba Eurojustui suteikta galimybė siūlyti sukurti JTG arba padėti ją sukurti, kaip ir jų tarnautojams dalyvauti JTG (
3
), nesuteikia šioms agentūroms susitarimo, kuriuo trys valstybės narės įsteigė atitinkamą JTG, „šalies“ statuso.
Be to, Bendrasis Teismas konstatavo, kad neturi jurisdikcijos nagrinėti ieškovo prašymo pripažinti Eurojusto atsakomybę dėl Belgijos, Prancūzijos, Nyderlandų ar Serbijos ir net dėl Europolo veiksmų. Tokią išvadą jis padarė, be kita ko, remdamasis tuo, kad Sąjungos atsakomybės pagal SESV 268 ir 340 straipsnius negalima reikalauti iš kitos Sąjungos institucijos, įstaigos ar organo nei tas, kuriam priekaištaujama dėl atsakomybę sukėlusio įvykio, nebent Sąjungos teisės aktų leidėjas aiškiai numatė išimtinį vienos iš šių Sąjungos institucijų, įstaigų ar organų ir vienos ar kelių valstybių narių arba vienos ar kelių trečiųjų šalių arba kelių Sąjungos institucijų, įstaigų ar organų solidariosios atsakomybės režimą. Jis pažymėjo, kad šiuo atveju jokiame akte nenumatytas išimtinis Eurojusto ir valstybių narių arba Eurojusto ir Serbijos solidariosios atsakomybės režimas.
Vis dėlto Bendrasis Teismas pripažino turįs jurisdikciją nagrinėti prašymą pripažinti Eurojusto atsakomybę už jo paties veiksmus ir Europolo atsakomybę už veiksmus, priskiriamus tiek jam pačiam, tiek valstybėms narėms, dalyvavusioms bendradarbiaujant dėl Sky ECC paslaugos.
Nors Bendrasis Teismas turi jurisdikciją nagrinėti prašymą pripažinti Europolo solidariąją atsakomybę už veiksmus, priskiriamus, be kita ko, Prancūzijos valdžios institucijoms, jis pažymėjo, kad neturi jurisdikcijos nagrinėti ieškovo teiginių, susijusių su žala, kurią šis patyrė dėl Prancūzijos valdžios institucijoms vykdant policijos operacijas atliktų jo asmens duomenų perėmimo operacijų. Šiuo klausimu, nepaisant Europolo reglamente numatytos solidariosios atsakomybės režimo, ši agentūra negali būti laikoma solidariai atsakinga už galimą žalą, atsiradusią dėl neteisėto fizinio asmens duomenų tvarkymo valstybės narės policijai ar kitoms teisėsaugos institucijoms vykdant operacijas, net jei šie duomenys buvo tvarkomi bendradarbiaujant pagal šį reglamentą. Iš tiesų iš SESV 276 straipsnio matyti, kad vykdydamas savo įgaliojimus, susijusius su teisminiu bendradarbiavimu baudžiamosiose bylose ir policijos bendradarbiavimu, Sąjungos teismas neturi jurisdikcijos tikrinti, ar valstybės narės policijos ar kitų teisėsaugos tarnybų atliktos operacijos yra teisėtos ar proporcingos.
Be to, antra, dėl reikalavimų panaikinti priimtinumą Bendrasis Teismas konstatavo, kad dėl ieškovo kritikuojamų aktų ar veiksmų negali būti pareikštas ieškinys, išskyrus kiek tai susiję su tuo, kad 2022 m. birželio 24 d. Eurojustas Serbijos valdžios institucijoms perdavė Prancūzijos valdžios institucijų elektroninį laišką su nuoroda į saugią parsisiuntimo svetainę, kurioje, be kita ko, buvo tam tikri jo pokalbiai, gauti iš Sky ECC paslaugos
Dėl šio perdavimo Bendrasis Teismas pabrėžė, kad nors iš jurisprudencijos, susijusios su Europos kovos su sukčiavimu tarnybos (OLAF) atliekamu galutinių ataskaitų ir informacijos perdavimu valstybėms narėms (ji pagal analogiją taikoma šioje byloje), matyti, kad toks perdavimas nėra aktas, dėl kurio galima pareikšti ieškinį, Teisingumo Teismas ir pats Bendrasis Teismas, siekdami atmesti galimybę ginčyti OLAF perduotus duomenis, turėjo galimybę atsižvelgti į tai, kad ieškovas turėjo kitų priemonių užtikrinti šių sprendimų dėl perdavimo teisėtumo kontrolę, įskaitant prejudicinio sprendimo priėmimo procesą. Bendrasis Teismas pažymėjo, kad 2022 m. birželio 24 d. perdavimas įvyko tarp Sąjungos agentūros ir trečiosios šalies, šiuo atveju Serbijos, valdžios institucijų. Taigi, jeigu šio perdavimo teisėtumas pagal Sąjungos teisę negali būti ginčijamas šioje byloje, jis nebegalės būti ginčijamas pagal Sąjungos teisę, o su juo susiję asmens duomenys galės būti laikomi teisėtai perduotais Serbijos valdžios institucijoms, bet vėliau iš šios trečiosios šalies teismų ieškovas negalės tikėtis nei kad jie įvertins perdavimo teisėtumą pagal Sąjungos teisę, nei kad kreipsis į Teisingumo Teismą su prašymu priimti prejudicinį sprendimą dėl tokio perdavimo teisėtumo. Taigi, toks perdavimas yra galutinis specialios procedūros, pagal kurią Eurojustas trečiosios šalies valdžios institucijoms ir jų prašymu perduoda nustatyto asmens asmens duomenis, etapas.
Bendrasis Teismas pridūrė, kad tik pripažinus, jog dėl 2022 m. birželio 24 d. perdavimo galima pareikšti ieškinį, galima užtikrinti veiksmingą teisminės ar kitos nepriklausomos institucijos vykdomą perimtų asmens duomenų perdavimo ir jų naudojimo kitais tikslais nei tie, dėl kurių duomenys iš pradžių buvo surinkti, kontrolę. Aplinkybė, kad ieškovas gali pateikti skundą Prancūzijos teismuose arba kad jis gali kreiptis į Europos Žmogaus Teisių Teismą po galimo Serbijos baudžiamųjų teismų nuosprendžio, yra nereikšminga. Viena vertus, Prancūzijos teismuose negali būti pateiktas skundas dėl Sąjungos agentūros akto panaikinimo. Kita vertus, kadangi Sąjunga neprisijungė prie Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos, minėtas teismas negali konstatuoti Sąjungos įsipareigojimų pagal šią konvenciją neįvykdymo, ypač nagrinėdamas trečiajai šaliai pareikštą ieškinį.
Vis dėlto Bendrasis Teismas atmetė kaip nepagrįstus reikalavimus panaikinti 2022 m. birželio 24 d. perdavimą, nes ieškovas neįrodė, kad šis perdavimas lėmė neteisėtą jo asmens duomenų tvarkymą.
Trečia, dėl ieškovo prašymų atlyginti žalą Bendrasis Teismas nusprendė, kad pirmasis žalos pagrindas susijęs su teiginiais, kad tiek Europolas, tiek trys atitinkamos valstybės narės, kurioms taikomas Europolo reglamente (
4
) numatytas išimtinis solidariosios atsakomybės režimas, netinkamai tvarkė duomenis, ir taip atsižvelgė ne tik į Europolo aktus ar elgesį pagal bendrąją atsakomybės sistemą, kuri jam tenka pagal šį reglamentą (
5
), bet ir į trijų atitinkamų valstybių narių veiksmus ar elgesį pagal minėtą solidariosios atsakomybės režimą.
Bendrasis Teismas pridūrė, kad Europolas klaidingai teigia, jog negali būti laikomas atsakingu už valstybių narių aktus ar veiksmus ir kad Bendrasis Teismas negali vertinti jų teisėtumo. Nors pagal SESV 276 straipsnį Sąjungos teismas neturi jurisdikcijos tikrinti valstybėje narėje policijos ar kitų teisėsaugos institucijų atliktų operacijų teisėtumo ar proporcingumo, įskaitant ieškinius pagal SESV 268 ir 340 straipsnius, vis dėlto, be šių konkrečių operacijų, Europolo reglamente numatytas išimtinis solidariosios atsakomybės režimas netiesiogiai, bet neišvengiamai reiškia, kad Europolas gali būti laikomas atsakingu už valstybių narių veiksmus ar elgesį. Iš to taip pat neišvengiamai matyti, kad nagrinėdamas šiuo išimtiniu režimu grindžiamus ieškinius dėl žalos atlyginimo Bendrasis Teismas turi įgaliojimus vertinti kitų valstybių narių aktų ar veiksmų nei tie, kuriais jų policija ar kitos teisėsaugos institucijos rinko atitinkamus duomenis, teisėtumą, nesvarbu, ar tai būtų daroma remiantis Sąjungos teise, ar atitinkamos valstybės narės teise.
Dėl antrojo žalos pagrindo, kuris iš esmės susijęs tik su teisės į teisingą bylos nagrinėjimą pažeidimu dėl to, kad neįmanoma patikrinti iš Sky ECC paslaugos gautų duomenų „panaudojimo galimybės“ nacionalinėse baudžiamosiose bylose, iškeltose po tyrimų, kuriuose dalyvavo Europolas, Bendrasis Teismas konstatavo, kad ieškovas neginčija jo asmens duomenų tvarkymo teisėtumo, kaip tai suprantama pagal Europolo reglamento 28 straipsnį – vienintelio argumento, dėl kurio ginčui gali būti taikomas šio reglamento 50 straipsnio 1 dalyje nustatytas išimtinis solidariosios atsakomybės režimas. Taigi, nagrinėdamas šį žalos pagrindą, jis atsižvelgė tik į Europolo veiksmus ar elgesį pagal iš šio reglamento kylančią bendrosios atsakomybės sistemą.
Dėl trečiojo žalos pagrindo, grindžiamo tuo, kad Nyderlandų ir Serbijos teisėsaugos institucijos vykdė dvigubą ieškovo persekiojimą dėl tų pačių veikų, Bendrasis Teismas pažymėjo, kad šiuo žalos pagrindu ieškovas priekaištauja Europolui tik dėl to, kad jis neįvykdė įsipareigojimų pagal susitarimą dėl JTG. Taigi, jis atsižvelgė tik į Europolo veiksmus ar elgesį pagal iš Europolo reglamento kylančią bendrosios atsakomybės sistemą.
Bendrasis Teismas atmetė tris žalos pagrindus kaip nepagrįstus.
(
1
)	2024 m. kovo 5 d. Sprendimas Kočner / Europolas (C‑755/21 P, EU:C:2024:202).
(
2
)	Šis susitarimas buvo sudarytas remiantis Konvencijos dėl Europos Sąjungos valstybių narių savitarpio pagalbos baudžiamosiose bylose, kurią pagal ESS 34 straipsnį patvirtino Taryba (OL C 197, 2000, p. 3; 2004 m. specialusis leidimas lietuvių k., 19 sk., 8 t., p. 205), 13 straipsniu ir 2002 m. birželio 13 d. Tarybos pamatiniu sprendimu dėl jungtinių tyrimo grupių (OL L 162, 2002, p. 1; 2004 m. specialusis leidimas lietuvių k., 19 sk., 6 t., p. 15).
(
3
)	Ši galimybė atitinkamai suteikta pagal 2016 m. gegužės 11 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/794 dėl Europolo, kuriuo pakeičiami ir panaikinami Tarybos sprendimai 2009/371/TVR, 2009/934/TVR, 2009/935/TVR, 2009/936/TVR ir 2009/968/TVR (OL L 135, 2016, p. 53; toliau – Europolo reglamentas), 5 straipsnį ir 2018 m. lapkričio 14 d. Europos Parlamento ir Tarybos reglamento (ES) 2018/1727 dėl Eurojusto, kuriuo pakeičiamas ir panaikinamas Tarybos sprendimas 2002/187/TVR (OL L 295, 2018, p. 138), 8 straipsnio 1 dalies d punktą.
(
4
)	Europolo reglamento 50 straipsnio 1 dalis.
(
5
)	Bendra Europolo atsakomybė, kaip nurodyta Europolo reglamento 49 straipsnyje.