RETTENS DOM (Femte Afdeling)
25. februar 2026 (*)
» Samarbejde mellem politiet og andre retshåndhævende myndigheder i medlemsstaterne – den krypterede kommunikationstjeneste Sky ECC – angiveligt ulovlig behandling af personoplysninger – annullationssøgsmål – retsakt, der ikke kan gøres til genstand for et søgsmål – forberedende retsakt – antagelse til realitetsbehandling – medlemsstaternes behandling af personoplysninger og overførsel heraf til Europol – Europols overførsel af personoplysninger til en medlemsstat – Eurojusts overførsel af personoplysninger til et tredjeland – ansvar uden for kontraktforhold – artikel 50 i forordning (EU) 2016/794 – solidarisk ansvar for Europol og medlemsstaterne for ulovlig databehandling – tilstrækkeligt kvalificeret tilsidesættelse af en bestemmelse, som tillægger borgerne rettigheder – reel skade – forordning (EU) 2018/1727 – Eurojusts utilstrækkelige koordinering af en medlemsstats og et tredjelands strafforfølgninger – artikel 71, 72, 89, 91 og 92 i forordning (EU) 2018/1725«
I sag T-1180/23,
BW, ved advokat J. Reisinger,
sagsøger,
mod
Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) ved A. Nunzi, som befuldmægtiget, bistået af advokaterne G. Ziegenhorn, M. Kottmann, T. Shulman og S. Steinbarth,
og
Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust) ved J. Carmona-Bermejo og M. Castro Granja, som befuldmægtigede, bistået af M. Kottmann, G. Ziegenhorn, T. Shulman og S. Steinbarth,
sagsøgte,
støttet af
Kongeriget Belgien ved M. Jacobs, M. Van Regemorter og C. Jacob, som befuldmægtigede,
af
Kongeriget Spanien ved A. Gavela Llopis, som befuldmægtiget,
og af
Kongeriget Nederlandene ved J. Langer og M. Bulterman, som befuldmægtigede,
intervenienter,
har
RETTEN (Femte Afdeling),
sammensat under rådslagningen af afdelingsformanden, J. Svenningsen (refererende dommer), og dommerne J. Martín y Pérez de Nanclares og M. Stancu,
justitssekretær: fuldmægtig L. Ramette,
på grundlag af den skriftlige forhandling
og efter retsmødet den 9. september 2025,
afsagt følgende
Dom
1        Sagsøgeren, BW, har med sit søgsmål i det væsentlige nedlagt påstand dels om annullation på grundlag af artikel 263 TEUF af aftalen om oprettelse af et fælles efterforskningshold vedrørende den krypterede kommunikationstjeneste Sky ECC (herefter »aftalen om et fælles efterforskningshold«) og af den behandling, analyse og udveksling af data vedrørende sagsøgeren fra denne kommunikationstjeneste, som er foretaget af Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol), Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust) og de medlemsstater, der er involveret i efterforskningen af denne kommunikationstjeneste, dels om erstatning i henhold til artikel 268 TEUF for den økonomiske og ikke-økonomiske skade, som sagsøgeren angiveligt har lidt som følge af Europols, Eurojusts og de nævnte medlemsstaters handlinger og adfærd.
I.      Tvistens baggrund
2        Sagsøgeren er en serbisk statsborger, som siden den 8. maj 2023 har været retsforfulgt og fængslet i Nederlandene for indførsel til denne medlemsstat af 743 kg kokain, som blev beslaglagt den 4. august 2020 i Rotterdam (Nederlandene). Han har ligeledes siden efteråret 2023 været retsforfulgt i Serbien for bl.a. narkotikahandel.
3        De nederlandske og de serbiske myndigheders retsforfølgninger udspringer af efterforskningsforanstaltninger, der blev iværksat i slutningen af 2010’erne af de belgiske, de nederlandske og de franske myndigheder mod »organisationen Sky ECC«, hvor »ECC« står for »Elliptic Curve Cryptography« (kryptografi med elliptisk kurve), som mistænkes for at markedsføre krypterede kommunikationsprodukter og ‑tjenester med det specifikke formål at gøre det lettere at begå kriminelle handlinger.
4        Efter disse nationale efterforskningsforanstaltninger udstedte Kongeriget Belgien og Kongeriget Nederlandene i slutningen af 2018 fælles efterforskningsafgørelser, hvori de anmodede Den Franske Republik om at skabe et billede af de servere, som Sky ECC-tjenesten anvendte, og som var placeret i Roubaix (Frankrig). Denne medlemsstat imødekom anmodningen, idet den ved hjælp af fremgangsmåden »indgreb mod en person i miljøet« foretog aflytning, optagelse og transskription af krypteret kommunikation, der indgik til og udgik fra disse servere, herunder oplysninger om sagsøgeren.
5        Den 13. december 2019 oprettede de belgiske, de franske og de nederlandske myndigheder et fælles efterforskningshold ved aftalen om et fælles efterforskningshold indgået mellem dem på grundlag af artikel 13 i konventionen udarbejdet af Rådet i henhold til artikel 34 TEU om gensidig retshjælp i straffesager mellem Den Europæiske Unions medlemsstater (EFT 2000, C 197, s. 3) og Rådets rammeafgørelse af 13. juni 2002 om fælles efterforskningshold (EFT 2002, L 162, s. 1).
6        Aftalen om et fælles efterforskningshold indeholder følgende bestemmelser:
»Oprettelsen af dette fælles efterforskningshold har til formål at lette de igangværende efterforskninger i Belgien, Frankrig og Nederlandene vedrørende leverandører og brugere af Sky ECC-tjenesten og at udveksle teknisk knowhow og ressourcer […]. Formålet med dette fælles efterforskningshold er i fællesskab at udarbejde, udvikle og implementere den nødvendige teknik til at dekryptere forudgående kommunikation samt nedlæggelse af serveren, identifikation og lokalisering af brugere, der bevæger sig i og mellem de tre lande, samt iværksættelse og koordinering af en eller flere fælles aktionsdage med det formål, at anholde og retsforfølge formidlere og brugere af Sky ECC.«
7        Det fælles efterforskningshold førte til, at Europol og de tre berørte medlemsstater udvekslede de aflyttede rådata, som derefter blev analyseret, og udvekslede resultaterne af denne analyse.
8        Inden for rammerne af dette samarbejde, som stadig var i gang på dagen for retsmødet i den foreliggende sag, lagrede Europol data i sit IT-system, foretog krydstjek, udarbejdede efterforskningsrapporter, genererede grafiske visualiseringer af data og fortolkede oplysninger på forskellige sprog.
9        Eurojust ydede for sit vedkommende støtte og rådgivning om mulighederne for retligt samarbejde og afholdt flere koordineringsmøder mellem de belgiske, de franske og de nederlandske myndigheder samt Europol og lettede det retlige samarbejde mellem Republikken Serbien på den ene side og Kongeriget Nederlandene og Den Franske Republik på den anden side.
II.    Parternes påstande
10      Sagsøgeren har i det væsentlige nedlagt følgende påstande:
–        Aftalen om et fælles efterforskningshold, Europols og Eurojusts handlinger udført på grundlag heraf samt de handlinger, hvorved de og de berørte medlemsstater har behandlet, analyseret og udvekslet oplysninger fra Sky ECC-serveren vedrørende sagsøgeren, annulleres.
–        Europol og Eurojust tilpligtes at betale sagsøgeren en erstatning på mindst 71 000 EUR for ikke-økonomisk og økonomisk skade som følge af dels »hans (midlertidige) tilbageholdelse, offentlige anseelse, forringede mulighed for forsvar og oplysninger, der er [eller kan være] faldet i de forkerte hænder«, dels »advokatomkostninger og mistet indtægt«.
–        Eurojust og Europol tilpligtes at betale sagsomkostningerne.
11      Eurojust og Europol har nedlagt følgende påstande:
–        Afvisning eller under alle omstændigheder frifindelse.
–        Sagsøgeren tilpligtes at betale sagsomkostningerne.
12      Kongeriget Spanien har nedlagt påstand om afvisning, subsidiært frifindelse, og om, at sagsøgeren tilpligtes at betale sagsomkostningerne.
13      Kongeriget Nederlandene har nedlagt påstand om frifindelse og om, at sagsøgeren tilpligtes at betale sagsomkostningerne.
III. Retlige bemærkninger
14      Til støtte for de påstande, der uden at sondre er rettet mod Europol og Eurojust, har sagsøgeren påberåbt sig de samme fire anbringender.
15      Det første anbringende vedrører i det væsentlige den ulovlige og uforholdsmæssige karakter af de omhandlede medlemsstaters og »Europols og/eller Eurojusts« indsamling og behandling af personoplysninger fra Sky ECC-tjenesten fra den første aflytning i 2019 og indtil den seneste udveksling af resultaterne med andre lande.
16      Som svar på et spørgsmål fra Retten i retsmødet har sagsøgeren anført, at han ikke har påberåbt sig nogen handling eller adfærd efter den 24. juni 2022, på hvilken dato de franske myndigheder via Eurojust tilsendte de serbiske myndigheder et link til et sikkert downloadwebsted, der gav dette tredjeland adgang til oplysninger om visse samtaler ført over Sky ECC-tjenesten, som var knyttet til specifikt identificerede forbindelsesidentifikatorer, hvilket omfattede sagsøgerens samtaler.
17      Det andet anbringende vedrører i det væsentlige Europols og Eurojusts tilsidesættelse af henholdsvis artikel 28 i Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Europol og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (EUT 2016, L 135, s. 53), artikel 71 i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse 1247/2002/EF (EUT 2018, L 295, s. 39) og artikel 47 og 48 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«) samt artikel 14 og 15 i den internationale konvention om borgerlige og politiske rettigheder, der blev vedtaget af De Forenede Nationers Generalforsamling den 16. december 1966 og trådte i kraft den 23. marts 1976 (herefter »ICCPR«), på grund af den ufuldstændige karakter af de indsamlede, analyserede og overførte data fra Sky ECC-tjenesten, hvilket skadede sagsøgerens muligheder for at forsvare sig ved de nederlandske og de serbiske domstole.
18      Det tredje anbringende vedrører i det væsentlige Europols og Eurojusts tilsidesættelse af aftalen om et fælles efterforskningshold, idet de har tilsidesat deres forpligtelse til at koordinere deres indsats for at undgå dobbelt retsforfølgning af sagsøgeren for samme forhold i Nederlandene og i Serbien.
19      Det fjerde anbringende vedrører i det væsentlige Europols og Eurojusts tilsidesættelse af henholdsvis artikel 32 i forordning 2016/794 samt artikel 89 og artikel 92 i forordning 2018/1725, idet de ikke behørigt har beskyttet sagsøgerens personoplysninger.
A.      De faktiske omstændigheder, de kritiserede handlinger samt Rettens kompetence til at påkende dem
1.      Indledende bemærkninger
20      Sagsøgeren har med sine påstande uden at sondre foreholdt Europol og Eurojust ulovlig adfærd eller ulovlige handlinger, der havde til formål at indsamle og behandle personoplysninger om ham i forbindelse med de strafferetlige efterforskninger, som Kongeriget Belgien, Den Franske Republik og Kongeriget Nederlandene havde indledt vedrørende Sky ECC-tjenesten, og som Europol og Eurojust deltog i.
21      Eftersom sagsøgeren ikke alene har kritiseret adfærd, der kan tilskrives Europol og Eurojust, men også adfærd, der kan tilskrives de medlemsstater, der deltog i det fælles efterforskningshold, samt Republikken Serbien, skal følgende indledningsvis bemærkes.
22      Hvad for det første angår påstanden støttet på artikel 263 TEUF fremgår det udtrykkeligt af denne bestemmelse, at et annullationssøgsmål kun kan rettes mod retsakter, der er vedtaget af en af Den Europæiske Unions institutioner, organer, kontorer eller agenturer.
23      Inden for rammerne af et sagsanlæg i medfør af artikel 263 TEUF har Unionens retsinstanser således ikke kompetence til at træffe afgørelse om lovligheden af en retsakt udstedt af en national myndighed (dom af 3.12.1992, Oleificio Borelli mod Kommissionen, C-97/91, EU:C:1992:491, præmis 9), idet denne konstatering ikke kan ændres af den omstændighed, at den pågældende retsakt indgår i en EU-retlig beslutningsproces (dom af 29.1.2020, GAEC Jeanningros, C-785/18, EU:C:2020:46, præmis 27).
24      Retten har ligeledes haft lejlighed til at fastslå, at prøvelsen inden for rammerne af et annullationssøgsmål af lovligheden af en national anklagemyndigheds eller nationale myndigheders oversendelse til en EU-institution af oplysninger, der er indhentet i henhold til national strafferet, var et spørgsmål, der principielt var omfattet af de nationale retsregler vedrørende gennemførelsen af de nævnte nationale myndigheders efterforskning samt, hvis der er tale om retssager, reglerne om de nationale domstoles kompetence (jf. i denne retning dom af 8.7.2004, Dalmine mod Kommissionen, T-50/00, EU:T:2004:220, præmis 86).
25      Det følger heraf, at for så vidt som sagsøgeren ønsker annullation af de aflytningsoperationer, som de franske myndigheder – efter tilladelse fra en fransk domstol – har gennemført, annullation af »afviklingen af disse operationer«, annullation af de franske myndigheders overførsel til Europol af dokumenter og oplysninger, der er indhentet i forbindelse med disse operationer, annullation af de franske myndigheders overførsel til Eurojust og de serbiske myndigheder af de dokumenter og oplysninger, som de serbiske myndigheder havde anmodet om inden for rammerne af deres anmodninger om gensidig retshjælp, samt annullation af straffesagen ved de serbiske domstole, har Unionens retsinstanser ikke kompetence til at træffe afgørelse herom.
26      Unionens retsinstanser har heller ikke kompetence til direkte på grundlag af artikel 263 TEUF at påkende lovligheden af aftalen om et fælles efterforskningshold, eftersom denne ikke er en EU-retsakt.
27      Aftalen om et fælles efterforskningshold er således kun underskrevet og dermed indgået af tre medlemsstater, nemlig Kongeriget Belgien, Den Franske Republik og Kongeriget Nederlandene.
28      Denne konklusion kan ikke drages i tvivl af den omstændighed, at aftalen om et fælles efterforskningshold har sit grundlag i en konvention, der er indgået af disse medlemsstater i henhold til artikel 34 TEU, samt i en rammeafgørelse truffet af Rådet for Den Europæiske Union (jf. i denne retning dom af 17.9.2014, Liivimaa Lihaveis, C-562/12, EU:C:2014:2229, præmis 45-51).
29      Denne konklusion kan heller ikke drages i tvivl af den omstændighed, at Europol eller Eurojust kunne have taget initiativ til oprettelsen af det omhandlede fælles efterforskningshold, eller af den omstændighed, at Kongeriget Belgien, Den Franske Republik og Kongeriget Nederlandene i henhold til punkt 7 i aftalen om et fælles efterforskningshold var blevet enige om at tilknytte Europol og Eurojust som »deltagere« i det fælles efterforskningshold, således som det er tilladt i henhold til artikel 13, stk. 12, i den konvention, som Rådet har oprettet i henhold til artikel 34 TEU om gensidig retshjælp i straffesager mellem Den Europæiske Unions medlemsstater, sammenholdt med niende betragtning til Rådets rammeafgørelse af 13. juni 2002 om fælles efterforskningshold og for så vidt angår Europol artikel 5 i forordning 2016/794 og for så vidt angår Eurojust artikel 8, stk. 1, litra d), i Europa-Parlamentets og Rådets forordning (EU) 2018/1727 af 14. november 2018 om Eurojust og om erstatning og ophævelse af Rådets afgørelse 2002/187/RIA (EUT 2018, L 295, s. 138).
30      Den mulighed, som Europol eller Eurojust har i henhold til artikel 5 i forordning 2016/794 og artikel 8, stk. 1, litra d), i forordning 2018/1727 for at foreslå eller bistå med oprettelsen af et fælles efterforskningshold, og for at deres ansatte kan deltage i et fælles efterforskningshold, giver nemlig ikke disse agenturer status som »part« i aftalen, hvorved det omhandlede fælles efterforskningshold blev oprettet af Kongeriget Belgien, Den Franske Republik og Kongeriget Nederlandene.
31      Henset til det ovenstående har Retten ikke kompetence til på grundlag af artikel 263 TEUF at påkende det franske retssystems tilladelse til aflytningsoperationer foretaget af de franske myndigheder, gennemførelsen af disse aflytninger, de franske myndigheders overførsel til Europol af de dokumenter og oplysninger, der blev indhentet i forbindelse hermed, de franske myndigheders overførsel til Eurojust og de serbiske myndigheder af de dokumenter og oplysninger, som de serbiske myndigheder havde anmodet om inden for rammerne af deres anmodninger om gensidig retshjælp, lovligheden af den straffesag, der blev ført ved de serbiske domstole, eller aftalen om et fælles efterforskningshold.
32      Hvad for det andet angår påstanden støttet på artikel 268 TEUF og artikel 340 TEUF skal det bemærkes, at Unionens retsinstanser kun har kompetence til at påkende et erstatningssøgsmål, der er støttet på disse bestemmelser, hvis den påståede ulovlighed, der ligger til grund for erstatningspåstanden, rent faktisk hidrører fra en EU-institution og ikke kan anses for at kunne tilregnes en national myndighed (jf. i denne retning dom af 16.12.2020, Rådet mod K. Chrysostomides & Co. m.fl., C-597/18 P, C-598/18 P, C-603/18 P og C-604/18 P, EU:C:2020:1028, præmis 80, 106 og 107).
33      Dertil kommer, at når Unionen ifalder ansvar som følge af en retsakt eller en handling fra en af dens institutioners eller et af dens organers, kontorers eller agenturers side, repræsenteres den for Retten af den eller de institutioner, organer, kontorer eller agenturer, som det ansvarspådragende forhold lægges til last (dom af 13.11.1973, Werhahn Hansamühle m.fl. mod Rådet og Kommissionen, 63/72-69/72, EU:C:1973:121, præmis 7).
34      Ansvar for Unionen i henhold til artikel 268 TEUF og 340 TEUF kan således ikke påberåbes over for en af EU-institution eller et EU-organ, ‑kontor eller ‑agentur, der er forskellig fra den eller det, som det ansvarspådragende forhold lægges til last, medmindre EU-lovgiver udtrykkeligt har fastsat en undtagelsesordning med solidarisk ansvar enten mellem en af Unionens institutioner, organer, kontorer eller agenturer og en eller flere medlemsstater eller et eller flere tredjelande eller mellem flere af Unionens institutioner, organer, kontorer eller agenturer (jf. analogt dom af 5.3.2024, Kočner mod Europol, C-755/21 P, EU:C:2024:202, præmis 62 og 63).
35      I det foreliggende tilfælde må det konstateres, at hverken forordning 2018/1727 eller nogen anden retsakt, som sagsøgeren har påberåbt sig, fastsætter en undtagelsesordning med solidarisk ansvar mellem Eurojust og medlemsstaterne eller mellem Eurojust og Republikken Serbien.
36      Tilsvarende har sagsøgeren som svar på et spørgsmål fra Retten i retsmødet anført, at erstatningspåstanden ikke er støttet på et muligt solidarisk ansvar for Europol i forhold til Eurojust eller for Eurojust i forhold til Europol, men udelukkende på solidarisk ansvar for Europol i forhold til medlemsstaterne.
37      Som Domstolen har fastslået, kan der af 57. betragtning til forordning 2016/794 sammenholdt med artikel 49, stk. 3 og 4, og artikel 50 i samme forordning udledes en undtagelsesordning med solidarisk ansvar for Europol i forhold til medlemsstaterne (jf. i denne retning dom af 5.3.2024, Kočner mod Europol, C-755/21 P, EU:C:2024:202, præmis 62 og 63).
38      I henhold til denne ordning kan en fysisk person for Unionens retsinstanser påberåbe sig Europols ansvar for enhver ulovlig behandling af oplysninger, som finder sted inden for rammerne af et samarbejde i henhold til forordning 2016/794 mellem Europol og en medlemsstat, og som har påført den pågældende skade (jf. i denne retning dom af 5.3.2024, Kočner/Europol, C-755/21 P, EU:C:2024:202, præmis 62 og 63).
39      I den foreliggende sag må det konstateres, at samarbejdet vedrørende Sky ECC-tjenesten begyndte i maj 2019, og, som Europol har anført som svar på et spørgsmål fra Retten i retsmødet, at samarbejdet således, stadig var i gang på tidspunktet for retsmødet.
40      Sagsøgeren har endvidere påberåbt sig den omstændighed, som Europol har bekræftet som svar på et spørgsmål fra Retten i retsmødet, at sagsøgerens personoplysninger fra Sky ECC-tjenesten dels er blevet udvekslet inden for rammerne af dette samarbejde mellem Europol og de belgiske, de franske og de nederlandske myndigheder, dels er forblevet hos Europol.
41      Henset til det ovenstående har Retten ikke kompetence til at påkende den anden påstand, for så vidt som den tager sigte på at fastslå Eurojusts ansvar for Kongeriget Belgien, Den Franske Republik og Kongeriget Nederlandene eller Republikken Serbien eller endog for Europol.
42      Retten har derimod kompetence til at påkende den anden påstand, for så vidt som den tager sigte på at fastslå Eurojusts ansvar for dets egne handlinger samt Europols ansvar for handlinger, der kan tilregnes såvel Europol selv som de medlemsstater, der har deltaget i samarbejdet vedrørende Sky ECC-tjenesten.
43      Hvad angår Europols solidariske ansvar for handlinger, der kan tilregnes de belgiske, de franske eller de nederlandske myndigheder, skal det for det første bemærkes, henset til tidspunktet for den seneste faktiske omstændighed, som sagsøgeren har foreholdt Europol og Eurojust – dvs. udvekslingen den 24. juni 2022 af sagsøgerens personoplysninger – at det alene er den ordning for solidarisk ansvar, der er fastsat i den oprindelige udgave af forordning 2016/794, som var gældende indtil den 27. juni 2022, der finder anvendelse på den foreliggende tvist (jf. i denne retning dom af 10.9.2019, HTTS mod Rådet, C-123/18 P, EU:C:2019:694, præmis 39).
44      For det andet fremgår det af artikel 276 TEUF, at Unionens retsinstanser under udøvelsen af deres beføjelser vedrørende bestemmelserne i EUF-traktatens tredje del, afsnit V, kapitel 4 og 5, vedrørende et område med frihed, sikkerhed og retfærdighed ikke har kompetence til at efterprøve gyldigheden eller proportionaliteten af operationer, som udføres af en medlemsstats politi eller andre retshåndhævende myndigheder.
45      Til trods for den ordning med solidarisk ansvar, der er fastsat i artikel 50, stk. 1, i forordning 2016/794, kan Europol således ikke holdes solidarisk ansvarlig som følge af eventuelle skader, som skyldes ulovlig behandling af en fysisk persons personoplysninger, og som indtræder i forbindelse med operationer, der udføres af en medlemsstats politi eller andre retshåndhævende myndigheder, selv om denne behandling er foretaget inden for rammerne af et samarbejde på grundlag af denne forordning (jf. analogt dom af 10.9.2024, KS m.fl. mod Rådet m.fl., C-29/22 P og C-44/22 P, EU:C:2024:725, præmis 91).
46      Selv om Retten har kompetence til at påkende den anden påstand, for så vidt som den vedrører Europols solidariske ansvar for adfærd, der kan tilregnes bl.a. de franske myndigheder, har den således ikke kompetence til at påkende sagsøgerens angivelige skader, som han har lidt som følge af aflytningen af personoplysninger vedrørende ham i forbindelse med politioperationer gennemført af de franske myndigheder.
47      Under disse omstændigheder, og inden der foretages en undersøgelse af de formalitetsindsigelser, som Europol og Eurojust har fremsat, samt af spørgsmålet om, hvorvidt der er grundlag for sagsøgerens påstande, skal der ske identifikation af den adfærd og de handlinger, som sagsøgeren har kritiseret, og som Unionens retsinstanser har beføjelse til at påkende og til at afgøre, hvorvidt de kan tilregnes Europol eller Eurojust og, i givet fald, den adfærd eller de handlinger, der ikke kan tilregnes Europol, men som ikke desto mindre kan føre til, at Europol ifalder ansvar på grundlag af undtagelsesordningen med solidarisk ansvar i artikel 50, stk. 1, i forordning 2016/794.
2.      Handlinger eller adfærd, der kan tilregnes Europol eller Eurojust
48      Sagsøgeren har gjort gældende, at indsamling, behandling og videregivelse af hans personoplysninger i forbindelse med de strafferetlige efterforskninger vedrørende Sky ECC-tjenesten, som de belgiske, de franske og de nederlandske myndigheder samt Europol og Eurojust deltog i, og som førte til de strafferetlige forfølgninger, der er omhandlet i præmis 2 ovenfor, var i strid med EU-retten.
49      Sagsøgeren har nærmere bestemt og i lyset af de oplysninger, som han har kunnet få kendskab til i forbindelse med gennemsyn af sagsakterne vedrørende de straffesager, der er indledt mod ham, foreholdt »Europol og/eller Eurojust« behandlingen af sine personoplysninger »fra den første aflytning i 2019« til den 24. juni 2022, hvor Eurojust fremsendte en e-mail fra de franske myndigheder til de serbiske myndigheder med et link til et sikkert downloadwebsted, der bl.a. indeholdt visse af hans samtaler fra Sky ECC-tjenesten (præmis 16 ovenfor).
50      I denne henseende har sagsøgeren gjort gældende, at Europol »ydede støtte til udøvelsen af efterforskningsbeføjelser på flere landes områder i og uden for Unionen«. Desuden afholdt Europol den 27. maj 2019 et møde med de belgiske, de franske og de nederlandske myndigheder, hvor metadata for mere end 9 000 meddelelser fra eller til brugere af Sky ECC-tjenesten blev delt. I juni 2019 blev oplysninger, som de franske myndigheder havde indhentet i forbindelse med aflytninger, udvekslet med de belgiske og de nederlandske myndigheder gennem Europol via Europols sikre informationsudvekslingssystem benævnt »Secure Information Exchange Network Application« (SIENA).
51      Desuden var Europol og Eurojust fra december 2020 involveret i en operation med indsamling af dekrypteringsnøgler til meddelelser, der var aflyttet siden midten af 2019, i opbevaring, dekryptering og overførsel af disse meddelelser og i marts 2021 i en »operation, hvor Sky ECC blev »lagt ned««. Sagsøgeren hævder også, at Europol og Eurojust den 23. og den 24. juli 2020 deltog i en teknisk arbejdsgruppe under ECE, hvor nye krypterede meddelelser blev opdaget, samt i møder, der blev afholdt den 28. august 2019, den 7. september 2020 og den 11. februar 2021.
52      I relation til retsforfølgningen mod sagsøgeren i Serbien har han nærmere bestemt gjort gældende, at Eurojust den 6. juni 2022 modtog en anmodning om samarbejde fra de serbiske myndigheder, hvilket resulterede i, at de franske myndigheder den 24. juni samme år via Eurojust overførte oplysninger fra Sky ECC-tjenesten vedrørende ham til de serbiske myndigheder (herefter »overførslen af 24. juni 2022«). Desuden informerede Europol i juni 2022 de serbiske myndigheder om, at Europols analyser identificerede sagsøgeren som personen bag en specifik »Sky ECC-identifikator«. Endelig fandt der andre kontakter sted mellem de serbiske myndigheder og Europol vedrørende den kriminelle gruppe, som sagsøgeren angiveligt tilhørte.
53      Europol og Eurojust har bestridt at have deltaget i visse af de faktiske omstændigheder, som sagsøgeren har påberåbt sig.
a)      Handlinger og adfærd, der kan tilregnes Europol
54      I sine skriftlige indlæg har Europol anført, at det fælles efterforskningshold førte til udveksling mellem Europol og de tre berørte medlemsstater af data, som de franske myndigheder havde aflyttet, med henblik på analyse og med henblik på udveksling af resultaterne af disse analyser.
55      Europol har i denne henseende anerkendt at have modtaget metadata for mere end 9 000 meddelelser, der blev udvekslet i forbindelse med mødet den 27. maj 2019, som sagsøgeren har henvist til i præmis 50 ovenfor.
56      Europol har ligeledes anført, at det fra den 18. marts 2021 rent faktisk modtog oplysninger fra Sky ECC-tjenesten, som de franske myndigheder fremsendte, og at Europol analyserede dem og derefter videresendte resultatet af sine analyser til de belgiske, de franske og de nederlandske myndigheder, bl.a. i form af landespecifikke analyser.
57      Europol har desuden ikke bestridt at have deltaget i et møde den 28. august 2019, hvor konsekvenserne af en eventuel nedlukning af Sky ECC-tjenestens infrastruktur blev drøftet, samt deltaget i en teknisk arbejdsgruppe under det fælles efterforskningshold afholdt den 23. og den 24. juli 2020, hvor nye krypterede meddelelser blev opdaget.
58      Eftersom de faktiske omstændigheder, der er nævnt i præmis 54-57 ovenfor, ikke er blevet bestridt eller er blevet bekræftet af Europol, skal de lægges til grund, og de kan tilregnes Europol.
59      Sagsøgeren har derimod for det første ikke fremlagt noget bevis eller i det mindste et foreløbigt bevis, der kan godtgøre, at Europol deltog i eller bidrog til aflytning af data, der indgik til eller udgik fra Sky ECC-tjenestens servere i Frankrig.
60      Europol har bestridt disse faktiske omstændigheder, og sagsøgerens opfattelse understøttes desuden hverken af den omstændighed, at Europol kunne deltage i eller være initiativtager til mødet den 27. maj 2019, eller af den retsanmodning, der er fremlagt som bilag A.17, som de serbiske myndigheder sendte til de tilsvarende franske myndigheder vedrørende »analyse af de oplysninger, som Europol har indhentet fra Sky ECC-applikationen«. Bilag A.6 viser tværtimod, at aflytningen blev foretaget af de franske myndigheder alene, hvilket ligeledes bekræftes af bilag A.14.
61      Selv om Europol for det andet ikke har bestridt at have deltaget i møderne den 7. september 2020 og den 11. februar 2021, må det imidlertid konstateres, at dokumentet fra rechtbank van eerste aanleg te Antwerpen (retten i første instans i Antwerpen, Belgien), der er vedlagt som bilag til stævningen til støtte for sagsøgerens påstand, ganske vist nævner et kommende møde den 7. september 2020, men alene præciserer, at de franske og de nederlandske myndigheder og ikke Europol skal deltage heri. Anmodningen om teknisk bistand fra cour d’appel de Paris (appeldomstolen i Paris, Frankrig), der er vedlagt stævningen til støtte for sagsøgerens påstand, nævner hverken et møde, der skulle have fundet sted den 11. februar 2021, eller Europol.
62      For det tredje har sagsøgeren hverken fremlagt noget bevis eller i det mindste et foreløbigt bevis, der kan godtgøre, at Europol deltog i »aktionsdagen« i marts 2021, hvor Sky ECC blev »lagt ned«. Den udskrift fra den belgiske anklagemyndigheds pressekonference, der er henvist til i stævningen, vedrører ganske vist denne »aktionsdag«, men den nævner ikke Europol. På samme måde begrænser de udvekslede e-mails, der er vedlagt som bilag til stævningen, sig til at henvise til overførsler af oplysninger fra Sky ECC-tjenesten via Europol uden at godtgøre, at Europol var involveret i den nævnte »aktionsdag«.
63      For det fjerde har sagsøgeren ikke fremlagt noget bevis eller i det mindste et foreløbigt bevis, der kan godtgøre, at Europol til de serbiske myndigheder videregav oplysningen om, at det havde vist sig, at sagsøgeren var personen bag Sky ECC-tjenestens identifikator »DFKNBQ«.
64      Bilag A.17, som sagsøgeren har støttet sig på, og som faktisk forbinder hans navn med Sky ECC-tjenestens identifikator »DFKNBQ« og brugernavnet »CHE Guevara«, har nemlig vist sig at være en anmodning indgivet af Republikken Serbiens anklagemyndighed for organiseret kriminalitet til de franske myndigheder om at få udleveret talebeskeder, tekstmeddelelser, videoer og fotografier vedrørende bl.a. sagsøgeren fra Sky ECC-tjenestens servere, som de franske myndigheder havde beslaglagt, uden at Europol på nogen måde nævnes.
65      Den serbiske anklagemyndighed anførte endvidere heri, at »[den] gennem sine handlinger og gennem et efterfølgende arbejde udført af Republikken Serbiens indenrigsministerium var blevet bekendt med, at analysen af de oplysninger, som Europol havde indhentet fra Sky ECC-applikationen, havde vist, at [BW] var [brugeren] af PIN DFKNBQ [og af] brugernavnet CHE GUEVARA«, hvilket synes at godtgøre, at oplysningen herom ikke hidrørte fra Europol.
66      For det femte har sagsøgeren ikke fremlagt noget bevis eller i det mindste et foreløbigt bevis, der kan godtgøre, at Europol var involveret, da de franske myndigheder den 24. juni 2022 stillede dokumenter og oplysninger fra Sky ECC-tjenesten vedrørende sagsøgeren til rådighed for de serbiske myndigheder.
67      Som det fremgår af bilag A.15, blev disse dokumenter og oplysninger, som Eurojust overførte til de serbiske myndigheder som svar på en anmodning om gensidig retshjælp fra disse myndigheder, overført ved, at de franske myndigheder til Eurojust videresendte en e-mail med links til et sikkert downloadwebsted.
68      Sagsøgeren kan derfor ikke inden for rammerne af det foreliggende søgsmål over for Europol påberåbe sig de ikke-godtgjorte faktiske omstændigheder, der er nævnt i præmis 59-67 ovenfor.
69      Henset til det ovenstående og henset til det af sagsøgeren anførte, der er tilført protokollatet fra retsmødet, hvorefter den seneste handling, som Europol og Eurojust lægges til last, fandt sted den 24. juni 2022, skal det fastslås, at alene de faktiske omstændigheder, der er nævnt i præmis 55-57 ovenfor, og som ligger forud for denne dato – dvs. modtagelsen, behandlingen og udvekslingen fra den 27. maj 2019 af de oplysninger fra Sky ECC-tjenesten, som de franske myndigheder havde aflyttet, samt deltagelsen i mødet den 28. august 2019 og i arbejdsgruppen den 23. og den 24. juli 2020 – er godtgjorte og kan påberåbes til støtte for sagsøgerens påstande mod Europol.
b)      De handlinger og den adfærd, der kan tilregnes Eurojust
70      Eurojust har i sine skriftlige indlæg anført, at det i to henseender var involveret i de faktiske omstændigheder, som sagsøgeren har henvist til.
71      For det første har Eurojust præciseret, at det i forbindelse med det fælles efterforskningshold vedrørende Sky ECC-tjenesten ydede støtte og rådgivning om mulighederne for retsligt samarbejde og har afholdt flere koordineringsmøder mellem de belgiske, de franske og de nederlandske myndigheder samt Europol. Disse møder, der blev afholdt den 25. april 2019, den 7. september 2020 og den 11. februar 2021, foranledigede myndighederne i disse medlemsstater til at fremlægge ajourførte oplysninger om udviklingen i deres efterforskninger vedrørende Sky ECC-tjenesten og til at drøfte, hvordan der bedst kunne gøres fremskridt i disse efterforskninger.
72      For det andet har Eurojust i forbindelse med de anmodninger om bistand, som de serbiske myndigheder indgav i forbindelse med den strafferetlige efterforskning, der var indledt i Serbien mod en kriminel organisation – som sagsøgeren var en del af – og som var involveret i handel med narkotika i transit gennem bl.a. Rotterdam, præciseret, at det dels koordinerede de nederlandske og de serbiske efterforskninger, dels lettede fremsendelsen og fuldbyrdelsen af de anmodninger om gensidig retshjælp, som de serbiske myndigheder fremsendte til de franske myndigheder.
73      Med hensyn til samarbejdet mellem de nederlandske og de serbiske myndigheder har Eurojust bekræftet, at der blev afholdt tre koordineringsmøder med deltagelse af disse myndigheder den 23. maj, den 16. november og den 8. december 2022, og at disse myndigheder ved den lejlighed udvekslede oplysninger om omfanget af og status for deres respektive efterforskninger og om deres respektive behov for retligt samarbejde, dvs. opnåelse af enighed om, hvordan deres samarbejde om udveksling af oplysninger og bevismateriale kunne fortsættes, og koordinering af deres retsforfølgningsstrategier med henblik på at forebygge konflikter om jurisdiktion og dobbelt retsforfølgning af de samme mistænkte for de samme forhold.
74      Eurojust har ligeledes anført, at det har lettet overførslen af visse anmodninger om gensidig retshjælp mellem Republikken Serbien og Kongeriget Nederlandene, navnlig anmodningen af 7. oktober 2022, og at Eurojust blev underrettet om for det første de nederlandske myndigheders tilrettelæggelse af et møde med de serbiske myndigheder den 3. maj 2023, hvor sidstnævnte blev informeret om den påtænkte anholdelse af sagsøgeren, for det andet at disse myndigheder under dette møde havde indgået en foreløbig aftale om en koordineret strategi for retsforfølgning af sagsøgeren i forbindelse med anholdelsen af ham den 4. august 2020 for at undgå, at han blev retsforfulgt for de samme forhold i begge stater.
75      Hvad angår samarbejdet mellem de franske og de serbiske myndigheder har Eurojust præciseret, at Eurojust besvarede fire anmodninger om gensidig retshjælp ved pr. e-mail til den serbiske forbindelsesdommer at fremsende et hyperlink med gyldighed i en begrænset periode til et downloadwebsted sikret med adgangskode, hvilket var leveret af de franske myndigheder, som derved stillede oplysninger om visse samtaler fra Sky ECC-tjenesten, specifikt vedrørende bestemte forbindelsesidentifikatorer, herunder sagsøgerens, til rådighed alene for de serbiske myndigheder.
76      Det fremgår desuden af de beviser, som sagsøgeren har fremlagt, at overførslen af 24. juni 2022, der er omhandlet i præmis 75 ovenfor, anerkendes af Eurojust.
77      Derimod har sagsøgeren for det første ikke fremlagt noget bevis eller i det mindste et foreløbigt bevis, der kan godtgøre, at Eurojust blev indbudt til eller deltog i det møde den 27. maj 2019, der er nævnt i præmis 55 ovenfor, eller at Eurojust i forbindelse hermed modtog metadata for de 9 000 meddelelser, der blev udvekslet ved denne lejlighed.
78      Eurojust er således ikke nævnt i nogen af de fem bilag, som sagsøgeren har henvist til til støtte for sit synspunkt, undtagen helt generelt og uden direkte forbindelse med mødet den 27. maj 2019.
79      For det andet har sagsøgeren ikke fremlagt noget bevis eller i det mindste et foreløbigt bevis, der kan godtgøre, at Eurojust den 23. og den 24. juli 2020 deltog i den tekniske arbejdsgruppe, der er nævnt i præmis 51 ovenfor.
80      Bortset fra den omstændighed, at sagsøgeren selv har erkendt »ikke at have kendskab til, om Eurojusts medarbejdere var til stede« i denne arbejdsgruppe, har Eurojust gjort gældende, at det ikke deltog heri, og at det dokument, som sagsøgeren har støttet sig på, ikke giver anledning til den mindste tvivl i denne henseende.
81      For det tredje har sagsøgeren ikke fremlagt noget bevis eller i det mindste et foreløbigt bevis, der kan godtgøre, at Eurojust har deltaget i udvekslingen af samtlige oplysninger fra Sky ECC-tjenesten eller i de nationale pakker af efterretninger om denne tjeneste i SIENA, idet Eurojust ikke er nævnt i det dokument, som sagsøgeren har støttet sig på.
82      Hvad nærmere bestemt angår Eurojusts angivelige deltagelse i en udveksling af metadata i løbet af februar 2022 kan det ikke udledes af den omstændighed, at en udstationeret national ekspert fra Eurojust i den e-mail til en offentlig anklager i Land Hessen (delstaten Hessen, Tyskland), som sagsøgeren har vedlagt stævningen, oplyste, at »den nederlandske leverandørs geodata vil blive fremsendt af de nederlandske myndigheder til Europol i slutningen af februar 2022 med en generel tilladelse til at anvende dem«, at disse metadata ligeledes blev videregivet til Eurojust.
83      For det fjerde har sagsøgeren af de samme grunde som dem, der er anført vedrørende Europol i præmis 64 og 65 ovenfor, ikke fremlagt noget bevis eller i det mindste et foreløbigt bevis, der kan godtgøre, at Eurojust fremsendte oplysningen til de serbiske myndigheder om, at sagsøgeren havde vist sig at være personen bag Sky ECC-tjenestens identifikator »DFKNB«.
84      Sagsøgeren kan derfor ikke inden for rammerne af det foreliggende søgsmål over for Europol påberåbe sig de ikke-godtgjorte faktiske omstændigheder, der er nævnt i præmis 77-83 ovenfor.
85      Henset til det ovenstående og henset til det af sagsøgeren anførte, der er tilført protokollatet fra retsmødet, hvorefter den seneste handling, som Eurojust og Europol lægges til last, fandt sted den 24. juni 2022, skal det fastslås, at det alene er de faktiske omstændigheder, der er nævnt i præmis 71-76 ovenfor, og som ligger forud for denne dato – nemlig Eurojusts deltagelse i koordineringsmøderne den 25. april 2019, den 7. september 2020 og den 11. februar 2021 mellem de belgiske, de franske og de nederlandske myndigheder samt Europol, Eurojusts deltagelse i koordineringsmødet for den nederlandske og den serbiske efterforskning den 23. maj 2022, Eurojusts videresendelse til de serbiske myndigheder den 24. juni 2022 af de franske myndigheders e-mail med et link til et websted til download af sagsøgerens personoplysninger – der er godtgjorte og kan påberåbes til støtte sagsøgerens påstande mod Eurojust.
3.      Handlinger eller adfærd, der ikke kan tilregnes Europol, men som Europol ikke desto mindre kan holdes ansvarlig for
86      Med henvisning til præmis 55-57 og 71-76 ovenfor skal det fastslås, at sagsøgeren har godtgjort følgende faktiske omstændigheder.
87      For det første deltog de belgiske, de franske og de nederlandske myndigheder den 27. maj 2019 i et møde, hvor metadata for mere end 9 000 meddelelser fra Sky ECC-tjenesten blev udvekslet mellem disse medlemsstater og Europol.
88      For det andet videresendte Den Franske Republik fra juni 2019 oplysninger fra Sky ECC-tjenesten til Europol, som Europol efterfølgende behandlede, og resultaterne heraf fremsendte Europol til sidst til de belgiske, de franske og de nederlandske myndigheder.
89      For det tredje deltog de belgiske, de franske og de nederlandske myndigheder i et møde den 28. august 2019, hvor konsekvenserne af en eventuel nedlukning af Sky ECC-tjenestens infrastruktur blev drøftet, samt i en teknisk arbejdsgruppe under det fælles efterforskningshold den 23. og den 24. juli 2020, hvor der blev opdaget nye krypterede meddelelser.
90      For det fjerde deltog de belgiske, de franske og de nederlandske myndigheder den 25. april 2019, den 7. september 2020 og den 11. februar 2021 i koordineringsmøder, og ved disse lejligheder fremlagde de ajourførte oplysninger om udviklingen i deres efterforskninger af Sky ECC-tjenesten og drøftede, hvordan der bedst kunne gøres fremskridt i disse efterforskninger.
91      For det femte fremsendte de nederlandske myndigheder i forbindelse med mødet den 23. maj 2022 via Eurojust oplysninger til de serbiske myndigheder om omfanget af og status for deres respektive efterforskninger samt om deres behov på området for retligt samarbejde.
92      For det sjette fremsendte de franske myndigheder den 24. juni 2022 via Eurojust et link til et sikkert downloadwebsted til de serbiske myndigheder, hvorved dette tredjeland fik adgang til oplysninger om visse samtaler fra Sky ECC-tjenesten specifikt vedrørende bestemte forbindelsesidentifikatorer, herunder sagsøgerens.
93      Sagsøgerens mulighed for at påberåbe sig sådanne faktiske omstændigheder, der kan tilregnes medlemsstaterne, i forbindelse med erstatningspåstande rettet mod Europol på grundlag af artikel 50, stk. 1, i forordning 2016/794 forudsætter imidlertid, at disse omstændigheder er indtruffet inden for rammerne af et samarbejde i henhold til forordning 2016/794 (jf. i denne retning dom af 5.3.2024, Kočner mod Europol, C-755/21 P, EU:C:2024:202, præmis 62 og 63) og angår sagsøgerens personoplysninger.
94      Som anført i præmis 39 ovenfor begyndte samarbejdet vedrørende Sky ECC-tjenesten i maj 2019, og de oplysninger, som Eurojust og Europol har fremlagt, gør det ikke muligt at udlede, at de faktiske omstændigheder eller den adfærd, der kan tilregnes de belgiske, de franske eller de nederlandske myndigheder, og som er nævnt i præmis 87-92 ovenfor, ikke havde forbindelse med dette samarbejde.
95      Sagsøgeren har derimod ikke fremlagt noget bevis eller foreløbigt bevis, der kan godtgøre, at udvekslingen af metadata for mere end 9 000 meddelelser, der fandt sted den 27. maj 2019, møderne den 25. april og den 28. august 2019, den 7. september 2020, den 11. februar 2021 og den 23. maj 2022 eller det fælles efterforskningsholds tekniske arbejdsgruppe den 23. og den 24. juli 2020 gav anledning til, at de belgiske, de franske eller de nederlandske myndigheder udvekslede personoplysninger om sagsøgeren som omhandlet i artikel 50, stk. 1, i forordning 2016/794.
96      Retten har derfor ikke kompetence til i forbindelse med det led af erstatningspåstanden, som er rettet mod Europol, og som er baseret på artikel 50, stk. 1, i forordning 2016/794, at påkende de anbringender, der støtter sig på de faktiske omstændigheder eller de belgiske, de franske eller de nederlandske myndigheders handlinger, der er nævnt i præmis 95 ovenfor.
97      De beviser eller foreløbige beviser, som sagsøgeren har fremlagt, gør det derimod muligt at fastslå, at personoplysninger om sagsøgeren fra Sky ECC-tjenesten blev behandlet i perioden fra den 27. maj 2019 til den 24. juni 2022 for det første af de franske myndigheder i forbindelse med overførslen til Europol af de aflyttede oplysninger på Sky ECC-tjenestens servere, for det andet af de belgiske, de franske og de nederlandske myndigheder i forbindelse med Europols modtagelse af disse oplysninger før eller efter behandling og for det tredje af de franske myndigheder i forbindelse med overførslen den 24. juni 2022 af oplysningerne til de serbiske myndigheder via Eurojust.
98      Følgelig vil alene de faktiske omstændigheder og den adfærd, der er nævnt i præmis 97 ovenfor, blive undersøgt i forbindelse med det led af erstatningspåstanden, som er rettet mod Europol, og som er støttet på artikel 50, stk. 1, i forordning 2016/794.
B.      De forskellige påstande
99      I betragtning af sagsøgerens påstande, der er gengivet i punkt 14-19 ovenfor, og uanset at sagsøgeren har fremsat de samme fire anbringender til støtte for sine to påstande og har påberåbt sig de samme faktiske omstændigheder til støtte herfor, bør påstanden på grundlag af artikel 263 TEUF, som vedrører ulovligheden af visse handlinger eller adfærd udøvet af Europol og Eurojust i forbindelse med »Operation Sky ECC«, først undersøges, og derefter det led af erstatningspåstanden, hvorved sagsøgeren har fremsat krav om erstatning på grundlag af artikel 268 TEUF og 340 TEUF, artikel 50 i forordning 2016/794 og artikel 46 i forordning 2018/1727.
100    Det skal indledningsvis bemærkes, at Europol og Eurojust har fremsat flere formalitetsindsigelser samlet eller hver for sig vedrørende for det første, at søgsmålet skal afvises i sin helhed på grund af procedurefordrejning, for det andet, at søgsmålet er anlagt for sent for så vidt angår annullationspåstandene, for det tredje, at behandlingen af oplysningerne fra Sky ECC-tjenesten vedrørende sagsøgeren ikke udgør retsakter, der kan anfægtes, og, for det fjerde, at erstatningspåstandene ikke kan antages til realitetsbehandling, fordi sagsøgeren ikke har ført tilstrækkeligt bevis for de hævdede skader og har omgået retsmidlerne.
101    I denne forbindelse skal det erindres, at Unionens retsinstanser har adgang til på baggrund af enhver sags konkrete omstændigheder at vurdere, om det af hensyn til god retspleje er berettiget at frifinde sagsøgte i realiteten uden først at tage stilling til formaliteten (jf. i denne retning dom af 26.2.2002, Rådet mod Boehringer, C-23/00 P, EU:C:2002:118, præmis 51 og 52).
102    I det foreliggende tilfælde finder Retten, at det af procesøkonomiske hensyn alene er nødvendigt at undersøge formalitetsindsigelsen om, at behandlingen af oplysningerne fra Sky ECC-tjenesten vedrørende sagsøgeren ikke udgør retsakter, der kan anfægtes, uden først at tage stilling til de øvrige formalitetsindsigelser, idet søgsmålet under alle omstændigheder og af de nedenfor anførte grunde er ugrundet.
1.      Annullationspåstanden
103    Til støtte for den første påstand, der er baseret på artikel 263 TEUF, har sagsøgeren bl.a. gjort gældende, at visse af Europols og Eurojusts handlinger eller adfærd i forbindelse med »operation Sky ECC« er ulovlige på grundlag af artikel 277 TEUF.
104    Artikel 263 TEUF gør det muligt at anfægte lovligheden af retsakter, der er vedtaget af bl.a. EU-agenturer, forudsat at visse betingelser for antagelse til realitetsbehandling er opfyldt.
a)      Formaliteten med hensyn til annullationspåstanden
105    Europol og Eurojust har gjort gældende, at behandlingen af oplysninger fra Sky ECC-tjenesten vedrørende sagsøgeren ikke udgør retsakter, der kan anfægtes, idet hans retsstilling ikke påvirkes.
106    Som det fremgår af præmis 58 ovenfor, har sagsøgeren kritiseret Europol for fra den 27. maj 2019 at have modtaget, behandlet og udvekslet oplysninger om ham fra Sky ECC-tjenesten, som de franske myndigheder havde aflyttet, og for at have deltaget i mødet den 28. august 2019 og i arbejdsgruppen den 23. og den 24. juli 2020.
107    Som det fremgår af præmis 85 ovenfor, har sagsøgeren kritiseret Eurojust for at deltage i koordineringsmøderne mellem de belgiske, de franske og de nederlandske myndigheder samt Europol den 25. april 2019, den 7. september 2020 og den 11. februar 2021, at deltage i koordineringsmødet for de nederlandske og de serbiske efterforskninger den 23. maj 2022 og for overførslen af 24. juni 2022.
108    Med undtagelse af overførslen af 24. juni 2022 udgør alle de retsakter eller handlinger, der er nævnt i præmis 106 og 107 ovenfor, retsakter eller handlinger af forberedende karakter, der ikke kan afføde bindende retsvirkninger, som kan berøre sagsøgerens interesser gennem en væsentlig ændring af hans retsstilling som omhandlet i Domstolens faste praksis (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen, 60/81, EU:C:1981:264, præmis 9, og af 30.11.2023, Sistem ecologica mod Kommissionen, C-787/22 P, ikke trykt i Sml., EU:C:2023:940, præmis 51).
109    Hvad angår Europols og Eurojusts deltagelse i de pågældende møder eller arbejdsgrupper bemærkes, at selv hvis det antages, at disse møder og grupper har givet anledning til behandling af sagsøgerens personoplysninger, må det konstateres, at de kun udgør igangværende strafferetlige efterforskninger og begrænser sig til at skabe betingelserne for disse efterforskningers videre forløb uden at gøre indgreb i sagsøgerens retsstilling eller tilsidesætte nogen af hans processuelle rettigheder.
110    Deltagelse i disse møder eller arbejdsgrupper udgør således ikke det endelige resultat af en særlig procedure, der adskiller sig fra den procedure, der skal gøre det muligt for de strafferetlige domstole i de pågældende medlemsstater eventuelt at træffe afgørelse om sagsøgerens strafferetlige ansvar (jf. i denne retning dom af 11.11.1981, IBM mod Kommissionen, 60/81, EU:C:1981:264, præmis 11, og kendelse af 9.9.2020, IMG mod Kommissionen, T-645/19, ikke trykt i Sml., EU:T:2020:388, præmis 48 og den deri nævnte retspraksis).
111    Hvad angår Europols fremsendelse af personoplysninger fra Sky ECC-tjenesten om sagsøgeren til myndigheder i medlemsstaterne, dvs. Kongeriget Belgien, Den Franske Republik og Kongeriget Nederlandene, adskiller dette sig ikke fra Overvågningsudvalget for Det Europæiske Kontor for Bekæmpelse af Svigs (OLAF) fremsendelse af dets endelige rapporter og oplysninger til medlemsstaterne, hvilket i henhold til fast retspraksis ikke udgør anfægtelige retsakter (jf. i denne retning dom af 30.11.2023, Sistem ecologica mod Kommissionen, C-787/22 P, ikke trykt i Sml., EU:C:2023:940, præmis 55, 56, 60, 66 og 67, af 12.9.2007, Nikolaou mod Kommissionen, T-259/03, ikke trykt i Sml., EU:T:2007:254, præmis 244 og 245 og den deri nævnte retspraksis, og af 20.5.2010, Kommissionen mod Violetti m.fl., T-261/09 P, EU:T:2010:215, præmis 47 og den deri nævnte retspraksis).
112    Uden at det er nødvendigt at afgøre, om de forskellige former for adfærd, som sagsøgeren har foreholdt Europol og Eurojust, kan kvalificeres som »retsakter« som omhandlet i artikel 263 TEUF, idet disse sidstnævntes deltagelse i de møder eller den arbejdsgruppe, der er omhandlet i præmis 106 og 107 ovenfor, samt Europols fremsendelse af personoplysninger om sagsøgeren fra Sky ECC-tjenesten til de belgiske, de franske og de nederlandske myndigheder, er de under alle omstændigheder ikke anfægtelige.
113    Hvad derimod angår overførslen af 24. juni 2022 skal den anses for en anfægtelig retsakt.
114    Det fremgår ganske vist af den retspraksis, der er nævnt i præmis 111 ovenfor, at OLAF’s fremsendelse af endelige rapporter og oplysninger til medlemsstaterne ikke udgør en anfægtelig retsakt.
115    Domstolen og Retten har imidlertid haft lejlighed til med henblik på at afvise, at OLAF’s fremsendelser kan anfægtes, at tage hensyn til, at appellanten havde andre muligheder for at sikre kontrollen med lovligheden af disse afgørelser om fremsendelse (jf. dom af 20.5.2010, Kommissionen mod Violetti m.fl., T-261/09 P, EU:T:2010:215, præmis 48 og den deri nævnte retspraksis), herunder den præjudicielle procedure (jf. i denne retning kendelse af 19.4.2005, Tillack mod Kommissionen, C-521/04 P(R), EU:C:2005:240, præmis 39).
116    Overførslen af 24. juni 2022 skete imidlertid ikke mellem et EU-agentur og myndighederne i en medlemsstat, men i et tredjeland, i det foreliggende tilfælde Republikken Serbien.
117    Da lovligheden af overførslen af 24. juni 2022 i forhold til EU-retten ikke kan anfægtes i forbindelse med denne sag, kan lovligheden ikke længere anfægtes, og de personoplysninger, overførslen indeholdt, vil kunne anses for at være lovligt overført til de serbiske myndigheder, og følgelig kan sagsøgeren hverken opnå en vurdering fra domstolene i dette tredjeland af gyldigheden af nævnte fremsendelse i forhold til EU-retten eller en forelæggelse af et præjudicielt spørgsmål til Domstolen med henblik på en vurdering af dens gyldighed.
118    I denne henseende udgør overførslen af 24. juni 2022 den endelige afslutning på en særlig procedure, hvorved Eurojust efter anmodning videregav personoplysninger om en identificeret person til myndighederne i et tredjeland.
119    Desuden er det kun anerkendelsen af, at overførslen af 24. juni 2022 er anfægtelig, der kan sikre en retslig myndigheds eller et andet uafhængigt organs effektive kontrol med videregivelsen af de aflyttede personoplysninger og anvendelsen heraf til andre formål end den strafferetlige instans, som de oprindeligt blev indsamlet til (jf. i denne retning Menneskerettighedsdomstolen, 1.4.2025, Ships Waste Oil Collector B.V. m.fl. mod Nederlandene, CE:ECHR:2025:0401JUD000279916, §§ 160 og 183 og den deri nævnte retspraksis).
120    I denne henseende er den af Eurojust påberåbte omstændighed, at sagsøgeren kan anlægge sag ved de franske domstole, eller at han kan indbringe sagen for Den Europæiske Menneskerettighedsdomstol (herefter »Menneskerettighedsdomstolen«) efter en eventuel domfældelse ved de serbiske straffedomstole, uden betydning.
121    For det første kan der ikke anlægges sag ved de franske domstole med påstand om annullation af en retsakt fra et EU-agentur.
122    For det andet kan Menneskerettighedsdomstolen i mangel af Unionens tiltrædelse af konventionen til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950 (herefter »EMRK«), ikke fastslå, at Unionen har tilsidesat denne konvention, navnlig ikke i forbindelse med et søgsmål anlagt mod et tredjeland.
123    Henset til det ovenstående skal Europols og Eurojusts formalitetsindsigelse tages til følge, og det skal fastslås, at de handlinger eller den adfærd, som sagsøgeren har kritiseret, ikke kan anfægtes, bortset fra hvad angår overførslen af 24. juni 2022.
b)      Spørgsmålet, om der er grundlag for annullationspåstanden, for så vidt som den vedrører overførslen af 24. juni 2022
124    Det må konstateres, at sagsøgeren ikke har godtgjort grundene til, at overførslen af 24. juni 2022 gav anledning til en ulovlig behandling af hans personoplysninger.
125    For det første bestemmer artikel 45, stk. 2, litra b), i forordning 2018/1727, at ansvaret for, at de operationelle personoplysninger er korrekte, påhviler den medlemsstat, der har meddelt Eurojust oplysningerne, når de videregivne oplysninger, som i det foreliggende tilfælde, ikke er blevet ændret i forbindelse med den behandling, som Eurojust har foretaget, hvilket sagsøgeren ikke har bestridt.
126    Hvad angår de franske myndigheders tilrådighedsstillelse for de serbiske myndigheder via Eurojust af sagsøgerens samtaler skal det for det andet fastslås, at der ikke er noget, der gør det muligt at fastslå, at denne behandling af personoplysninger ikke var rimelig, lovlig og foretaget til udtrykkeligt angivne og legitime formål som omhandlet i artikel 71, stk. 1, litra a) og b), i forordning 2018/1725.
127    Dels lå denne behandling inden for rammerne af og var nødvendig for udførelsen af Eurojusts opgaver. Dels fremgår det ikke af oplysninger i sagsakterne, at sagsøgerens personoplysninger blev behandlet til andre formål end disse opgaver. Dels blev den nævnte behandling foretaget efter anmodning fra de franske myndigheder og til fuldbyrdelse af forudgående anmodninger om gensidig retshjælp. Dels havde videregivelsen af sagsøgerens personoplysninger til de serbiske myndigheder hjemmel i artikel 56, stk. 2, litra b), i forordning 2018/1727 og i den samarbejdsaftale, der gav mulighed for udveksling af operationelle personoplysninger mellem Eurojust og Republikken Serbien den 12. november 2019.
128    Endvidere var de franske myndigheders tilrådighedsstillelse for de serbiske myndigheder via Eurojust af sagsøgerens samtaler ligeledes forholdsmæssig og tilstrækkeligt sikret som omhandlet i artikel 71, stk. 1, litra c), d) og e), i forordning 2018/1725. Den skete nemlig i form af, at der blev stillet et link til et sikkert downloadwebsted til rådighed med et password fra de franske myndigheder, og der er intet, der rejser tvivl om Eurojusts oplysning om, at Eurojust undlod at tilgå de pågældende oplysninger og ikke downloadede, lagrede eller kopierede dem til sine egne IT-systemer.
129    Hvad i øvrigt angår sagsøgerens anbringende om en tilsidesættelse af chartrets artikel 47 og 48 samt af EMRK’s artikel 6 og ICCPR’s artikel 14 og 15 har sagsøgeren ikke forklaret, hvorledes overførslen af 24. juni 2022 på tidspunktet for overførslen indebar en tilsidesættelse af disse bestemmelser, navnlig i mangel af en dom fra de nederlandske eller de serbiske retter, hvorved det fastslås, at sagsøgeren på dette tidspunkt var skyldig på grundlag af de fremsendte oplysninger.
130    Påstanden om annullation af overførslen af 24. juni 2022 skal derfor forkastes som ugrundet.
c)      Anbringendet vedrørende indsigelsen om ulovlighed
131    Det følger af artikel 277 TEUF, at uanset udløbet af den frist, der er fastsat i artikel 263, stk. 6, TEUF, kan hver part i en retstvist, der angår en almengyldig retsakt vedtaget af en af Unionens institutioner, organer, kontorer eller agenturer, over for Unionens retsinstanser påberåbe sig de i artikel 263, stk. 2, TEUF nævnte grunde og gøre gældende, at retsakten ikke kan finde anvendelse.
132    Imidlertid har ingen af de handlinger eller den adfærd, som sagsøgeren har foreholdt Europol eller Eurojust, karakter af en almengyldig retsakt.
133    Følgelig skal det anbringende, der er støttet på artikel 277 TEUF, forkastes.
2.      Erstatningspåstanden
134    Ifølge Domstolens faste praksis forudsætter Unionens ansvar uden for kontraktforhold i henhold til artikel 340, stk. 2, TEUF, at en række betingelser er opfyldt, nemlig at der foreligger en tilstrækkeligt kvalificeret tilsidesættelse af en retsregel, som har til formål at tillægge borgerne rettigheder, at der foreligger en virkelig skade, og at der er en årsagsforbindelse mellem tilsidesættelsen af den forpligtelse, der påhviler den, som har udstedt retsakten, og den skadelidtes skade (dom af 5.3.2024, Kočner mod Europol, C-755/21 P, EU:C:2024:202, præmis 117 og den deri nævnte retspraksis).
135    Så snart en af disse betingelser ikke er opfyldt, må sagsøgte frifindes i det hele, uden at det er nødvendigt at undersøge de øvrige betingelser for at pålægge Unionen ansvar uden for kontraktforhold. I øvrigt er Unionens retsinstanser ikke forpligtet til at undersøge disse betingelser i en bestemt rækkefølge (dom af 13.12.2018, Den Europæiske Union mod Kendrion, C-150/17 P, EU:C:2018:1014, præmis 118 og den deri nævnte retspraksis).
136    Når EU-lovgiver imidlertid har fastsat en undtagelsesordning for solidarisk ansvar mellem et EU-agentur og en eller flere medlemsstater, har Domstolen fastslået, at inden for anvendelsesområdet for denne undtagelsesordning kræver dette agenturs ansvar ikke, at det godtgøres, at det tab, der søges erstattet, kan tilregnes det nævnte agentur, når det i det mindste kan tilregnes en eller flere af disse medlemsstater (jf. i denne retning dom af 5.3.2024, Kočner mod Europol, C-755/21 P, EU:C:2024:202, præmis 125 og 132).
137    Under disse omstændigheder skal der foretages en særskilt undersøgelse af de handlinger eller den adfærd, som henholdsvis Europol – der som den eneste er underlagt en sådan undtagelsesordning for solidarisk ansvar sammen med medlemsstaterne – og Eurojust kan holdes ansvarlige for.
a)      De handlinger og den adfærd, som Europol kan holdes ansvarlig for
138    Med det første led af erstatningspåstanden, der er fremsat i forbindelse med det første anbringende, har sagsøgeren foreholdt Europol og de berørte medlemsstater at have behandlet personoplysningerne fra Sky ECC-tjenesten – herunder sagsøgerens – ulovligt og illoyalt og dermed at have tilsidesat bl.a. artikel 28, stk. 1, litra a), i forordning 2016/794.
139    På grund af sin udifferentierede karakter var den indledende behandling af oplysningerne fra Sky ECC-tjenesten hverken nødvendig som omhandlet i artikel 18, stk. 1, i forordning 2016/794 eller forholdsmæssig som omhandlet i samme forordnings artikel 28, stk. 1, litra c), i mangel af en tilstrækkelig formodning for, at samtlige brugere af Sky ECC-tjenesten var involveret i strafbare forhold.
140    Endvidere var den efterfølgende behandling af oplysningerne fra Sky ECC-tjenesten i strid med artikel 28, stk. 1, litra b), i forordning 2016/794, for så vidt som behandlingen omhandlede oplysninger, der ikke udelukkende vedrørte strafbare handlinger, og som var blevet indsamlet udifferentieret og uden udtrykkeligt angivne og legitime formål.
141    Henset til denne argumentation skal det første led af erstatningspåstanden fortolkes således, at det vedrører angiveligt ukorrekt behandling af oplysninger foretaget af såvel Europol som af Kongeriget Belgien, Den Franske Republik og Kongeriget Nederlandene, idet disse sidstnævnte er omfattet af undtagelsesordningen for solidarisk ansvar som omhandlet i artikel 50, stk. 1, i forordning 2016/794.
142    Med henblik på undersøgelsen af dette første led af erstatningspåstanden skal der således ikke alene tages hensyn til Europols handlinger eller adfærd i henhold til den ansvarsordning, der følger af artikel 49 i forordning 2016/794, men ligeledes til de tre berørte medlemsstaters handlinger eller adfærd i henhold til undtagelsesordningen for solidarisk ansvar, der er omhandlet i nævnte forordnings artikel 50, stk. 1.
143    Med det andet led af erstatningspåstanden, der er fremsat i forbindelse med det andet anbringende, har sagsøgeren på trods af henvisningen i stævningens punkt 68 til artikel 28 i forordning 2016/794 i det væsentlige alene påberåbt sig en tilsidesættelse af retten til en retfærdig rettergang, som følge af at det ikke var muligt at efterprøve, om oplysningerne fra Sky ECC-tjenesten var »anvendelige« i de nationale straffesager, der fandt sted som følge af de efterforskninger, som Europol deltog i.
144    I forbindelse med det andet anbringende har sagsøgeren således ikke bestridt lovligheden af behandlingen af sine personoplysninger som omhandlet i artikel 28 i forordning 2016/794 – det eneste argument, der kan medføre, at en indsigelse falder ind under anvendelsesområdet for undtagelsesordningen for solidarisk ansvar i henhold til denne forordnings artikel 50, stk. 1.
145    Under disse omstændigheder skal der med henblik på undersøgelsen af dette andet led af erstatningspåstanden alene tages hensyn til Europols handlinger eller adfærd i henhold til den ansvarsordning, der følger af artikel 49 i forordning 2016/794.
146    Med det tredje led af erstatningspåstanden har sagsøgeren gjort gældende, at de nederlandske og de serbiske strafferetlige myndigheder har indledt dobbelt retsforfølgning for de samme forhold mod ham.
147    Sagsøgeren har i det væsentlige gjort gældende, at Europol bl.a. har tilsidesat det krav om optimal koordinering, der kræves i henhold til aftalen om et fælles efterforskningshold, og således har frataget ham muligheden for at varetage sit forsvar korrekt i strid med chartrets artikel 47 og 48, EMRK’s artikel 6 og ICCPR’s artikel 14 og 15.
148    Selv om det er korrekt, at oplysninger, som Europol i det foreliggende tilfælde var i besiddelse af og havde behandlet, blev stillet til rådighed af Europol for de nederlandske myndigheder og blev overført fra de franske myndigheder til de serbiske myndigheder, forholder det sig ikke desto mindre således, at sagsøgeren med sit tredje led af erstatningspåstanden ikke har foreholdt Europol en mulig »ulovlig behandling af oplysninger« som omhandlet i artikel 50, stk. 1, i forordning 2016/794, men alene, at Europol har tilsidesat sine forpligtelser i henhold til aftalen om et fælles efterforskningshold.
149    Med henblik på undersøgelsen af dette tredje led af erstatningspåstanden skal der følgelig kun tages hensyn til Europols handlinger eller adfærd i henhold til den ansvarsordning, der følger af artikel 49 i forordning 2016/794.
150    Med det fjerde led af erstatningspåstanden, der er fremsat i forbindelse med det fjerde anbringende, har sagsøgeren påberåbt sig, at Europol og Eurojust foretog en ikke tilstrækkeligt sikker og ukorrekt behandling af hans personoplysninger fra Sky ECC-tjenesten, hvilket han har bekræftet som svar på et spørgsmål fra Retten i retsmødet.
151    Sagsøgerens anbringender er støttet på artikel 32 i forordning 2016/794 og på artikel 89, 91 og 92 i forordning 2018/1725.
152    For så vidt angår de faktiske omstændigheder, som sagsøgeren har påberåbt sig – dvs. de faktiske omstændigheder, der ligger forud for den 24. juni 2022 – var det imidlertid tidsmæssigt kun artikel 32 i forordning 2016/794, der fandt anvendelse på Europol i henhold til artikel 2 i forordning 2018/1725.
153    Under disse omstændigheder skal der med henblik på undersøgelsen af dette fjerde led af erstatningspåstanden alene tages hensyn til Europols handlinger eller adfærd, og dette alene i lyset af artikel 32 i forordning 2016/794.
1)      Den angivelige skade som følge af Europols, Kongeriget Belgiens, Den Franske Republiks eller Kongeriget Nederlandenes handlinger eller adfærd, for hvilke der kræves erstatning hos Europol på grundlag af undtagelsesordningen for solidarisk ansvar i artikel 50, stk. 1, i forordning 2016/794
154    Som anført i præmis 138-142 ovenfor har sagsøgeren i forbindelse med det første led af erstatningspåstanden påberåbt sig skader, der følger af ukorrekt behandling af hans oplysninger fra Sky ECC-tjenesten foretaget af både Europol, Kongeriget Belgien, Den Franske Republik og Kongeriget Nederlandene.
155    Ifølge sagsøgeren har oplysningerne fra Sky ECC-tjenesten – herunder om ham – været genstand for en udifferentieret behandling i strid med artikel 17, 18, 28 og 38 i forordning 2016/794, chartrets artikel 7, 8, 10-12, 51 og 52, EMRK’s artikel 8 og ICCPR’s artikel 17.
156    Disse oplysninger blev oprindeligt behandlet af de berørte medlemsstater i strid med nødvendighedsprincippet og proportionalitetsprincippet, idet der ikke forelå en begrundet formodning om, at alle brugere af Sky ECC-tjenesten var involveret i nogen form for strafbart forhold. Herved tilsidesatte denne indsamling Menneskerettighedsdomstolens praksis, som kun undtagelsesvis tillader udifferentieret indsamling af data. På samme måde kan indsamling og behandling af metadata kun foretages efter en retskendelse og på området for national sikkerhed eller bekæmpelse af grov kriminalitet, hvilket der ikke var tale om i den foreliggende sag.
157    I overensstemmelse med artikel 17, stk. 1, litra a), i forordning 2016/794 kan Europol imidlertid kun behandle oplysninger, der behandles af medlemsstaterne i overensstemmelse med deres nationale ret, hvilket der ikke var tale om i den foreliggende sag.
158    Disse oplysninger blev efterfølgende behandlet af Europol uden et legitimt formål, for så vidt som visse af de lagrede samtaler ikke havde nogen forbindelse med nogen form for strafbar handling. De er ligeledes blevet behandlet illoyalt og ulovligt.
159    Europol har i denne henseende tilsidesat punkt 32, litra h), i), p) og q), i Parlamentets henstilling af 15. juni 2023 til Rådet og Kommissionen efter undersøgelsen af de angivelige overtrædelser og fejl og forsømmelser i forbindelse med anvendelsen af EU-retten i forbindelse med anvendelsen af Pegasus og tilsvarende overvågningsspyware (2023/2500 (RSP)), for så vidt som Europol ikke fjernede de ikke-relevante oplysninger, opbevarede de omhandlede oplysninger ud over en bestemt periode og ikke underrettede de målrettede og de ikke-målrettede personer.
160    Disse overtrædelser bekræftes af Den Europæiske Tilsynsførende for Databeskyttelses (EDPS) nylige fældende afgørelse om Europol i forbindelse med lagring og sletning af datasæt, der ikke er kategoriseret (EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation, Cases 2019-0370 & 2021-0699, 21.12.2021).
161    Europol har gjort gældende, at dette led af erstatningspåstanden er ugrundet.
162    Det skal indledningsvis bemærkes, at Europol med urette har gjort gældende, at Europol ikke drages til ansvar for medlemsstaternes handlinger eller adfærd, og at Retten ikke kan vurdere lovligheden heraf.
163    Selv om Den Europæiske Unions Domstol i henhold til artikel 276 TEUF ganske vist ikke har kompetence til at prøve gyldigheden eller proportionaliteten af operationer udført af politiet eller andre retshåndhævende myndigheder i en medlemsstat, herunder i forbindelse med sager baseret på artikel 268 TEUF og artikel 340 TEUF (jf. præmis 44-46 ovenfor), forholder det sig ikke desto mindre således uden for disse specifikke operationer, at undtagelsesordningen for solidarisk ansvar i artikel 50, stk. 1, i forordning 2016/794 implicit, men nødvendigvis, indebærer, at Europol drages til ansvar for medlemsstaternes handlinger eller adfærd.
164    Det følger ligeledes nødvendigvis heraf, at Retten i forbindelse med erstatningssøgsmål på grundlag af artikel 50, stk. 1, i forordning 2016/794 har beføjelse til at vurdere lovligheden af medlemsstaternes handlinger eller adfærd, bortset fra de handlinger eller den adfærd, hvorved medlemsstaternes politi eller andre retshåndhævende myndigheder har indsamlet de omhandlede oplysninger, uanset om dette er sket på grundlag af EU-retten og navnlig forordning 2016/794 (jf. i denne retning dom af 5.3.2024, Kočner mod Europol, C-755/21 P, EU:C:2024:202, præmis 121) eller på grundlag af den pågældende stats nationale ret.
165    Hvad for det første angår behandlingen af de oplysninger, som de franske myndigheder har indsamlet, har sagsøgeren begrænset sig til at anføre, at visse oplysninger er blevet behandlet, selv om de ikke har nogen forbindelse med nogen form for lovovertrædelse, og at behandlingen af disse oplysninger derfor er i strid med artikel 30, stk. 1, i forordning 2016/794 om behandling af personoplysninger om ofre for strafbare handlinger, vidner eller andre personer, som kan give oplysninger vedrørende strafbare handlinger, samt om personer under 18 år.
166    Det må imidlertid konstateres, at sagsøgeren har vist sig at være en myndig person, som i henhold til den pågældende medlemsstats nationale ret var mistænkt for at have begået en lovovertrædelse eller at have medvirket til en lovovertrædelse, der henhørte under Europols kompetence, nemlig handel med narkotika som omhandlet i artikel 3, stk. 1, i forordning 2016/794.
167    Sagsøgeren kan derfor ikke med føje påberåbe sig artikel 30, stk. 1, i forordning 2016/794.
168    I øvrigt har sagsøgeren ikke fremført noget forhold, der giver anledning til tvivl om, at behandlingen af data fra Sky ECC-tjenesten, navnlig ved de berørte nationale myndigheder, forud for videregivelsen heraf til Europol, skete med henblik på de legitime formål, som de var indsamlet til, nemlig udarbejdelse af strategiske eller tematiske analyser samt operationelle analyser, jf. artikel 18, stk. 2, litra b) og c), i forordning 2016/794, i forbindelse med gennemførelsen af de beslutninger om fælles efterforskning, der er omhandlet i præmis 4 ovenfor, og om det fælles efterforskningshold.
169    For det andet har sagsøgeren ikke fremlagt nogen oplysninger, der kan godtgøre, at fremsendelsen af de oplysninger, som de franske myndigheder havde indsamlet, til Europol blev foretaget i strid med de principper, der er omhandlet i artikel 28, stk. 1, i forordning 2016/794.
170    Hvad for det tredje angår Europols aktiviteter for så vidt angår sagsøgerens oplysninger er der intet, der tyder på, at modtagelsen, behandlingen og den efterfølgende fremsendelse af resultatet af analysen af disse oplysninger til de berørte medlemsstater blev foretaget i strid med de principper, der er fastsat i artikel 28, stk. 1, i forordning 2016/794.
171    Alle disse handlinger blev udført inden for en fastlagt ramme med bestemte, eksplicitte og legitime formål, nemlig en specifik operation vedrørende Sky ECC-tjenesten, som navnlig havde til formål at identificere dens brugere med henblik på retsforfølgning, og som desuden blev gennemført ved hjælp af et fælles efterforskningshold, der havde samme formål og var oprettet af Kongeriget Belgien, Den Franske Republik og Kongeriget Nederlandene ved en specifik aftale, som udtrykkeligt fastlagde dens formål, og som Europol var tilknyttet (jf. præmis 3-6 ovenfor).
172    Endvidere er der intet, der tyder på, at Europols behandling af sagsøgerens oplysninger var utilstrækkelig, irrelevant eller for vidtgående i forhold til formålet om at identificere brugerne af Sky ECC-tjenesten med henblik på bl.a. strafforfølgning af dem.
173    I denne henseende er den omstændighed, at Europol var adressat for den afgørelse fra EDPS, der er nævnt i præmis 160 ovenfor, uden betydning. Sagsøgeren har nemlig hverken gjort gældende eller a fortiori godtgjort, at hans oplysninger falder ind under anvendelsesområdet for denne afgørelse, dvs. oplysninger, som Europol var i besiddelse af, og som ikke var genstand for en kategorisering.
174    Det fremgår tværtimod af de oplysninger, som Retten råder over, at oplysninger om sagsøgeren blev knyttet til en specifik efterforskning vedrørende Sky ECC-tjenesten, der bl.a. havde til formål at identificere dennes brugere (jf. præmis 4-6 ovenfor), at Europol knyttede sagsøgerens navn til hans Sky-ECC-identifikator og hans brugernavn, samt at hans samtaler kunne identificeres (jf. præmis 64 og 65 ovenfor), og oplysninger om sagsøgeren indgik ligeledes i de nationale pakker af efterretninger (jf. præmis 81 ovenfor).
175    Endvidere fremgår det ikke af sagen, at de oplysninger om sagsøgeren, som Europol behandlede, var unøjagtige eller ikke var beskyttet på passende vis, idet disse oplysninger kun blev videregivet til de stater eller agenturer, der var direkte eller indirekte involveret i det fælles efterforskningshold, og udelukkende blev anvendt til retsforfølgning af sagsøgeren i Kongeriget Nederlandene og Republikken Serbien.
176    Endvidere er der intet, der tyder på, at oplysninger om sagsøgeren, hvis straffesager stadig verserede på tidspunktet for anlæggelsen af nærværende søgsmål, blev opbevaret i en længere periode, end det var nødvendigt, bl.a. af hensyn til en hensigtsmæssig afvikling af disse sager.
177    Endelig kan sagsøgeren ikke med føje påberåbe sig den omstændighed, at han ikke har haft adgang til sine oplysninger, eftersom det følger af 41. betragtning til forordning 2016/794 – som skal tillægges en betydelig fortolkningsværdi (jf. i denne retning dom af 5.3.2024, Kočner mod Europol, C-755/21 P, EU:C:2024:202, præmis 59) – at Europol kan nægte adgang til en persons personoplysninger for at udføre sine opgaver behørigt, for at beskytte den offentlige sikkerhed og den offentlige orden, for at forebygge kriminalitet eller for at sikre, at en national efterforskning ikke kompromitteres.
178    For det fjerde fremgår det på ingen måde af de oplysninger, der er stillet til rådighed for Retten, at Europol har tilsidesat principperne for behandling af personoplysninger under møderne den 27. maj og den 28. august 2019 eller i arbejdsgruppen den 23. og den 24. juli 2020, hvor der blev fundet nye meddelelser (jf. præmis 55 og 57 ovenfor).
179    Det er åbenbart at disse møder var omfattet af de opgaver, der er overdraget Europol, og som bl.a. er omhandlet i artikel 4, stk. 1, litra c), i forordning 2016/794, navnlig i det foreliggende tilfælde, hvor Europol deltog i et fælles efterforskningshold, således som det er fastsat i denne forordnings artikel 4, stk. 1, litra d).
180    For det femte er der intet, der gør det muligt at konkludere, at Kongeriget Belgien, Den Franske Republik eller Kongeriget Nederlandene skulle have begået uregelmæssigheder i forbindelse med modtagelsen af de oplysninger, som Europol sendte til dem.
181    For det sjette er der intet, der tyder på, at de oplysninger, som de nederlandske myndigheder overførte til de serbiske myndigheder, nogensinde har været i Europols besiddelse, hvilket udelukker enhver form for solidarisk ansvar for Europol.
182    Hvad for det syvende angår overførslen af 24. juni 2022 er der intet, der tyder på, at den er i strid med artikel 28 i forordning 2016/794.
183    Af samme grunde som anført i præmis 171-182 ovenfor kan hverken Europol, Kongeriget Belgien, Den Franske Republik eller Kongeriget Nederlandene i øvrigt beskyldes for at have overtrådt chartrets artikel 7, 8, 10-12, 51 eller 52, EMRK’s artikel 8 eller ICCPR’s artikel 17.
184    I denne henseende skal det ligeledes bemærkes, at chartrets artikel 52, stk. 1, fastsætter muligheden for, at der indføres begrænsninger i de rettigheder, der er sikret ved chartret – herunder retten til respekt for privatliv og familieliv, beskyttelse af personoplysninger, tanke-, samvittigheds- og religionsfrihed, ytrings- og informationsfrihed, forsamlings- og foreningsfrihed – på betingelse af at disse begrænsninger er fastlagt i lovgivningen og respekterer de omhandlede rettigheders og friheders væsentligste indhold, og at de under iagttagelse af proportionalitetsprincippet er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder (jf. dom af 4.10.2024, Bezirkshauptmannschaft Landeck (Forsøg på adgang til personoplysninger lagret på en mobiltelefon), C-548/21, EU:C:2024:830, præmis 119 og den deri nævnte retspraksis).
185    Desuden kan bekæmpelsen af grov kriminalitet – hvilket omfatter bekæmpelsen af ulovlig handel med narkotika – begrunde alvorlige indgreb i de grundlæggende rettigheder, der bl.a. er sikret ved chartrets artikel 7 og 8, såsom de indgreb, som lagring af trafikdata og lokaliseringsdata indebærer (jf. i denne retning dom af 7.9.2023, Lietuvos Respublikos generalinė prokuratūra, C-162/22, EU:C:2023:631, præmis 37).
186    For så vidt som sagsøgeren har påberåbt sig den henstilling fra Europa-Parlamentet, der er nævnt i præmis 159 ovenfor, er det endelig tilstrækkeligt at fastslå, at et sådant dokument ikke har bindende retsvirkninger.
187    Henset til det ovenstående har sagsøgeren ikke godtgjort, at der foreligger en tilstrækkeligt kvalificeret tilsidesættelse af en retsregel, der har til formål at tillægge ham rettigheder.
188    Da denne betingelse for, at Europol ifalder ansvar i henhold til artikel 50, stk. 1, i forordning 2016/794, ikke er opfyldt, er det ufornødent at undersøge de øvrige betingelser for, at Europol ifalder ansvar i denne henseende (jf. i denne retning dom af 13.12.2018, Den Europæiske Union mod Kendrion, C-150/17 P, EU:C:2018:1014, præmis 118).
189    Det led af erstatningspåstanden, som sagsøgeren har påberåbt sig over for Europol, og som er støttet på artikel 50, stk. 1, i forordning 2016/794, skal derfor forkastes som ugrundet.
2)      Den angivelige skade alene som følge af Europols handlinger eller adfærd, for hvilken der kræves erstatning på grundlag af Europols ansvar for egne forhold i henhold til artikel 49, stk. 3, i forordning 2016/794
i)      Det led af erstatningspåstanden, der vedrører en tilsidesættelse af retten til en retfærdig rettergang i straffesager
190    Sagsøgeren har gjort gældende, at han har lidt skade som følge af tilsidesættelsen af sin ret til en retfærdig rettergang i straffesager, som er sikret ved chartrets artikel 47 og 48 samt ved ICCPR’s artikel 14 og 15, som følge af den manglende mulighed for at kontrollere rigtigheden, autenticiteten, pålideligheden og lovligheden af de oplysninger, der er blevet behandlet og videregivet i forbindelse med samarbejdet vedrørende Sky ECC-tjenesten, eller i det mindste som følge af manglen på formelle og materielle garantier.
191    »Det mere eller mindre absolutte (ønskelige) princip om mellemstatslig tillid« og »hemmelige (statslige) (efterforsknings)metoder« gør det nemlig umuligt at foretage en formel og materiel kontrol af oplysninger fra Sky ECC-tjenesten som bevismateriale i forbindelse med nationale straffesager, selv om disse oplysninger er ufuldstændige og derfor er blevet indsamlet og behandlet illoyalt, ulovligt, uhensigtsmæssigt og i strid med formålet med anvendelsen af beviser i straffesager.
192    Europol har gjort gældende, at dette led af erstatningspåstanden er ugrundet.
193    For så vidt som sagsøgeren i det væsentlige har gjort gældende, at hverken de nederlandske eller de serbiske straffesager gør det muligt for ham at anfægte formaliteten eller bevisværdien af de oplysninger fra Sky ECC-tjenesten, der er anvendt inden for rammerne af disse straffesager, skal denne argumentation forkastes, eftersom Europol ikke er solidarisk ansvarlig for en medlemsstat for så vidt angår andre handlinger eller anden adfærd end ukorrekt behandling af data, og eftersom der ikke er solidarisk ansvar for Europol for et tredjeland.
194    Selv om sagsøgeren med det foreliggende led af erstatningspåstanden har påberåbt sig, at behandlingen af hans oplysninger var ulovlig, er denne argumentation desuden allerede blevet forkastet i præmis 187 ovenfor.
195    Af denne grund skal det af sagsøgeren påberåbte led af erstatningspåstanden, der vedrører Europols tilsidesættelse af chartrets artikel 47 og 48 samt ICCPR’s artikel 14 og 15, forkastes.
ii)    Det led af erstatningspåstanden, der vedrører de nederlandske og de serbiske myndigheders manglende koordinering af strafforfølgningerne mod sagsøgeren
196    Med sit tredje anbringende har sagsøgeren gjort gældende, at Europol har påført ham skade ved at tilsidesætte sin forpligtelse, som er fastsat i aftalen om et fælles efterforskningshold, til at koordinere strafforfølgningerne, selv om Europol var involveret i udvekslingen af oplysninger med henblik på retsforfølgningerne mod ham.
197    Denne tilsidesættelse førte til, at sagsøgeren skulle forsvare sig i Nederlandene og i Serbien, samtidig med at han var fængslet i Nederlandene, hvilket påvirkede hans forsvar i Serbien og udgjorde en tilsidesættelse af chartrets artikel 47 og 48, EMRK’s artikel 6 og ICCPR’s artikel 14 og 15.
198    Europol har gjort gældende, at dette led af erstatningspåstanden er ugrundet.
199    I denne henseende er det tilstrækkeligt at bemærke, at sagsøgerens argumentation bygger på en fejlagtig fortolkning af det afsnit i aftalen om et fælles efterforskningshold, som han har påberåbt sig.
200    Under overskriften »9.1 Aftaler om anvendelse af digitale data fra aflytning af servere – udveksling af efterretninger med lande, der ikke er en parter i det fælles efterforskningshold« fastsætter aftalen om et fælles efterforskningshold, at »når [...] brugere fra de forskellige lande, der er parter i det fælles efterforskningshold, eller fra lande, der ikke er parter i det fælles efterforskningshold, kan være involveret i lignende eller relaterede forhold, skal de berørte parter i det fælles efterforskningshold straks rådføre sig med hinanden og om nødvendigt også med de lande, der ikke er parter i det fælles efterforskningshold, og med Europol«.
201    Samrådet med Europol om brugen af digitale data fra aflytning af servere er således kun fakultativt, og det må endvidere konstateres, at dette samråd, i betragtning af den overskrift, som det afsnit, som sagsøgeren har henvist til, er placeret under, vedrører anvendelsen af disse data og ikke den strafforfølgning, der vil kunne indledes på grundlag af disse data af de medlemsstater, der er parter i ECE-aftalen, eller endog af lande, der ikke er parter heri.
202    Desuden kan Europol ikke pålægges nogen forpligtelse til at koordinere retsforfølgningen på nationalt plan, for så vidt som forordning 2016/794 – og navnlig dennes artikel 4, stk. 1 – på ingen måde bemyndiger Europol til at beslutte at indlede retsforfølgning af en identificeret person i et givet land eller til at koordinere retsforfølgninger, der er indledt i flere af disse lande.
203    Europol kan derfor ikke holdes ansvarlig for tilsidesættelser af chartrets artikel 47 og 48, EMRK’s artikel 6 eller ICCPR’s artikel 14 og 15, hvilke tilsidesættelser har vist sig at være helt hypotetiske på tidspunktet for anlæggelsen af nærværende søgsmål, for så vidt som de straffesager, der var indledt mod sagsøgeren, stadig verserede.
204    Følgelig skal det af sagsøgeren påberåbte led af erstatningspåstanden, der vedrører vedrørende Europols tilsidesættelse af aftalen om et fælles efterforskningshold samt chartrets artikel 47, EMRK’s artikel 6 og ICCPR’s artikel 14 og 15, forkastes.
iii) Det led af erstatningspåstanden, der vedrører en tilsidesættelse af artikel 32 i forordning 2016/794
205    Med det fjerde anbringende har sagsøgeren gjort gældende, at selv hvis det antages, at indsamlingen og behandlingen af hans personoplysninger har vist sig at være lovlig og loyal, har Europol forvoldt ham skade ved at tilsidesætte sin forpligtelse til at sikre et passende sikkerhedsniveau for hans oplysninger i strid med artikel 32 i forordning 2016/794.
206    Europol har gjort gældende, at dette led af erstatningspåstanden er ugrundet.
207    Det må konstateres, at sagsøgerens anbringender om Europols tilsidesættelse af dets forpligtelse til at vedtage passende tekniske og organisatoriske foranstaltninger med henblik på at sikre et sikkerhedsniveau, der er passende i forhold til risikoen, ikke er underbygget af noget bevis eller foreløbigt bevis.
208    Sagsøgeren har ikke godtgjort, at hans personoplysninger som følge af en sådan undladelse har været genstand for bl.a. uautoriseret videregivelse, ændring eller adgang eller nogen anden form for uautoriseret behandling.
209    Det skal i denne forbindelse bemærkes, at sagsøgerens anbringende om, at Europol har udbredt hans navn i pressen, ikke understøttes af noget bevis.
210    Sagsøgerens ubegrundede frygt for, at der kan være sket en krænkelse af hans personoplysninger, er ikke i sig selv tilstrækkelig til at godtgøre, at Europol har tilsidesat sine forpligtelser i henhold til artikel 32 i forordning 2016/794.
211    Følgelig skal det af sagsøgeren påberåbte led af erstatningspåstanden, der vedrører Europols tilsidesættelse af artikel 32 i forordning 2016/794, og dermed erstatningspåstanden, for så vidt som den er rettet mod Europol, forkastes.
b)      De handlinger og den adfærd, som Eurojust kan drages til ansvar for
1)      Det led af erstatningspåstanden, der vedrører en ulovlig behandling af sagsøgerens personoplysninger
212    Med det første anbringende har sagsøgeren gjort gældende, at han har lidt skade som følge af behandlingen af sine personoplysninger i strid med artikel 71 og 72 i forordning 2018/1725, artikel »(9 og) 26 og 27 i forordning 2018/1727«, chartrets artikel 7, 8 og 10-12, sammenholdt med artikel 51 og 52, samt EMRK’s artikel 8 og ICCPR’s artikel 17.
213    Sagsøgeren har til støtte for sin argumentation henvist mutatis mutandis til den kritik, der er fremsat over for Europol, og som er nævnt i præmis 154-160 ovenfor. Han har tilføjet, at Eurojust også har tilsidesat advokaters tavshedspligt.
214    Eurojust har gjort gældende, at dette led af erstatningspåstanden er ugrundet.
215    Indledningsvis skal sagsøgerens argumenter, der må forstås således, at han på grundlag af en krænkelse af sine personoplysninger har kritiseret Eurojusts handlinger eller adfærd, der vedrørte andre oplysninger end hans personoplysninger, forkastes.
216    For at Unionen kan ifalde ansvar, skal sagsøgeren nemlig godtgøre, at den skade, som han kræver erstattet, rammer ham personligt (kendelse af 3.9.2021, Löning mod Kommissionen, C-176/21 P, ikke trykt i Sml., EU:C:2021:697, præmis 19).
217    Kritikken vedrørende ydelse af støtte og rådgivning angående retligt samarbejde til Kongeriget Belgien, Den Franske Republik, Kongeriget Nederlandene og Europol i forbindelse med tre møder, der blev afholdt den 25. april 2019, den 7. september 2020 og den 11. februar 2021 (præmis 71 ovenfor), og kritikken vedrørende koordineringen i forbindelse med mødet den 23. maj 2022 af de nederlandske og de serbiske efterforskninger (præmis 73 ovenfor), som sagsøgeren hverken har hævdet eller a fortiori har godtgjort har givet anledning til behandling af hans personoplysninger, skal derfor forkastes.
218    Det samme gælder anbringendet om Eurojusts tilsidesættelse af advokaters tavshedspligt.
219    Sagsøgeren har ganske vist henvist til en klage fra en advokat fra Rotterdam vedrørende behandlingen af oplysninger om fra Sky ECC-tjenesten om sagsøgeren. Han har imidlertid på ingen måde anført, at denne advokat var eller ville blive hans repræsentant, eller at de oplysninger, som Eurojust angiveligt behandlede, skulle vedrøre hans forsvar, og at Eurojust derfor tilsidesatte hans ret til at blive rådgivet af en advokat i forbindelse med en retssag, hvilken ret er fastsat i chartrets artikel 47, stk. 2 (jf. i denne retning dom af 8.12.2022, Orde van Vlaamse Balies m.fl., C-694/20, EU:C:2022:963, præmis 53).
220    Hvad angår overførslen af 24. juni 2022 har sagsøgeren, som det er anført i præmis 124-130 ovenfor, ikke godtgjort grundene til, at overførslen gav anledning til en ulovlig behandling af hans personoplysninger.
221    Hvad endvidere angår anbringendet om en tilsidesættelse af chartrets artikel 47 og 48 samt EMRK’s artikel 6 og ICCPR’s artikel 14 og 15 har sagsøgeren ikke forklaret, hvorledes en eventuel ulovlig behandling af hans personoplysninger skulle indebære en tilsidesættelse af disse bestemmelser.
222    Henset til det ovenstående skal det af sagsøgeren påberåbte led af erstatningspåstanden, der vedrører ulovlig behandling af hans personoplysninger samt tilsidesættelse af chartrets artikel 47 og 48, EMRK’s artikel 6 og ICCPR’s artikel 14 og 15, forkastes.
2)      Det led af erstatningspåstanden, der vedrører en tilsidesættelse af sagsøgerens ret til en retfærdig rettergang i straffesager
223    Med det andet anbringende har sagsøgeren gjort gældende, at Eurojust har påført ham skade som følge af en tilsidesættelse af hans ret til en retfærdig rettergang i straffesager, som er sikret ved chartrets artikel 47 og 48 samt ved ICCPR’s artikel 14 og 15, som følge af den manglende mulighed for at kontrollere rigtigheden, autenticiteten, pålideligheden og lovligheden af de oplysninger, der er blevet behandlet og videregivet i forbindelse med samarbejdet vedrørende Sky ECC-tjenesten, eller i det mindste manglen på formelle og materielle garantier.
224    Til støtte for sin argumentation har sagsøgeren påberåbt sig de samme argumenter som dem, der er nævnt i præmis 191 ovenfor.
225    Eurojust har gjort gældende, at dette led af erstatningspåstanden er ugrundet.
226    I relation til det andet anbringende, som udelukkende vedrører bevisordningen i forbindelse med de nationale straffesager, der var indledt mod sagsøgeren, skal det fastslås, at Eurojust begrænsede sig til at foretage overførslen af 24. juni 2022.
227    Påstanden om annullation af overførslen af 24. juni 2022, der er støttet på de samme argumenter, er allerede blevet forkastet i præmis 128-130 ovenfor.
228    Sagsøgeren har i øvrigt ikke fremført noget forhold eller argument, der kan godtgøre, at der efter denne overførsel er sket nogen krænkelse af hans ret til en effektiv domstolsprøvelse.
229    Det skal under alle omstændigheder bemærkes, at chartrets artikel 52, stk. 1, fastsætter muligheden for, at der på de betingelser, der er nævnt i præmis 184 ovenfor, kan indføres begrænsninger i de rettigheder – herunder retten til effektive retsmidler – der er sikret ved chartret.
230    Henset til det ovenstående skal det af sagsøgeren påberåbte led af erstatningspåstanden, der vedrører Eurojusts tilsidesættelse af chartrets artikel 47 og 48 eller af ICCPR’s artikel 14 og 15, forkastes.
3)      Det led af erstatningspåstanden, der vedrører de nederlandske og de serbiske myndigheders manglende koordinering af de strafforfølgninger, som var indledt mod sagsøgeren
231    Med det tredje anbringende har sagsøgeren gjort gældende, at Eurojust har påført ham skade ved at tilsidesætte sin forpligtelse til at koordinere strafforfølgningerne, som det ellers er fastsat i artikel 4, stk. 1, litra b), i forordning 2018/1727 og i aftalen om et fælles efterforskningshold, selv om Eurojust har været involveret i udvekslingen af hans oplysninger med henblik på retsforfølgningerne mod ham.
232    Denne tilsidesættelse førte til, at sagsøgeren skulle forsvare sig i Nederlandene og Serbien, samtidig med at han var fængslet i Nederlandene, hvilket påvirkede hans forsvar i Serbien og indebar en krænkelse af chartrets artikel 47 og 48, EMRK’s artikel 6 og ICCPR’s artikel 14 og 15.
233    Eurojust har gjort gældende, at dette led af erstatningspåstanden er ugrundet.
234    I denne forbindelse skal det erindres, som allerede anført i præmis 199-201 ovenfor, at det samarbejde, der er fastsat i aftalen om et fælles efterforskningshold, vedrørte anvendelsen af data, som blev indsamlet af de berørte stater, og ikke den strafforfølgning, der kunne indledes på grundlag af disse data af de medlemsstater, som var parter i aftalen om et fælles efterforskningshold, eller endog af lande, der ikke var parter heri.
235    Det skal endvidere bemærkes, at artikel 4, stk. 1, litra b), i forordning 2018/1727 bestemmer, at Eurojust »bistår medlemsstaternes kompetente myndigheder med at sikre den bedst mulige koordinering af efterforskningen og retsforfølgningen«.
236    Det følger heraf, således som Eurojust med rette har gjort gældende, at Eurojust inden for rammerne af denne operationelle funktion til koordinering af efterforskning og retsforfølgning alene er underlagt en indsatsforpligtelse, og at afgørelsen om at indlede retsforfølgning over for en person alene tilkommer de berørte nationale myndigheder, hvilket bekræftes af artikel 85 TEUF, som udgør retsgrundlaget for forordning 2018/1727.
237    Eurojust kan således ikke drages til ansvar for proceduremæssige valg, der udelukkende henhører under de berørte staters kompetence og ansvar.
238    Henset til det ovenstående skal det af sagsøgeren påberåbte led af erstatningspåstanden, der vedrører Eurojusts tilsidesættelse af aftalen om et fælles efterforskningshold, artikel 4, stk. 1, litra b), i forordning 2018/1727, chartrets artikel 47 og 48, EMRK’s artikel 6 og ICCPR’s artikel 14 og 15, forkastes.
4)      Det led af erstatningspåstanden, der vedrører en tilsidesættelse af artikel 89, 91 og 92 i forordning 2018/1725
239    Med det fjerde anbringende har sagsøgeren gjort gældende, at selv hvis det antages, at indsamlingen og behandlingen af hans personoplysninger har vist sig at være lovlig og loyal, har Eurojust først og fremmest påført ham en skade ved at tilsidesætte sin forpligtelse til at sikre et passende sikkerhedsniveau for hans oplysninger i strid med artikel 91 i forordning 2018/1725.
240    Henset til den nye karakter af fremgangsmåden for indsamling af oplysningerne fra Sky ECC-tjenesten – dvs. anvendelsen af fremgangsmåden »indgreb mod en person i miljøet« – tilsidesatte Eurojust desuden sin forpligtelse til at foretage en forudgående konsekvensanalyse vedrørende beskyttelsen af sagsøgerens oplysninger som fastsat i artikel 89 i forordning 2018/1725.
241    Endelig har Eurojust tilsidesat sin forpligtelse til at underrette EDPS om databruddet vedrørende sagsøgerens personoplysninger i strid med artikel 92 i forordning 2018/1725.
242    Eurojust har gjort gældende, at dette led af erstatningspåstanden er ugrundet.
243    Sagsøgerens synspunkter vedrørende Eurojusts tilsidesættelse af dets forpligtelse til at vedtage passende tekniske og organisatoriske foranstaltninger med henblik på at sikre et sikkerhedsniveau, der svarer til risikoen, skal forkastes af grunde svarende til dem, der er nævnt i præmis 207-210 ovenfor.
244    Endvidere har sagsøgeren ikke forklaret grundene til, at Eurojust angiveligt tilsidesatte sin forpligtelse til at foretage en konsekvensanalyse forud for videresendelsen til de serbiske myndigheder af det link, som de franske myndigheder havde fremsendt, til et websted sikret med adgangskode, der indeholdt sagsøgerens samtaler fra Sky ECC-tjenesten (præmis 75 ovenfor).
245    En sådan videresendelse, hvor der ikke er noget, der tyder på, at den udgjorde en særlig risiko for sagsøgerens rettigheder og friheder eller i det mindste en større risiko end andre fremsendelsesmåder, begrundede ikke gennemførelsen af den forudgående konsekvensanalyse, der er fastsat i artikel 89 i forordning 2018/1725.
246    Endelig kan sagsøgeren ikke, når han ikke på nogen måde har godtgjort, at Eurojust krænkede hans personoplysninger, kritisere Eurojust for at have tilsidesat dets forpligtelse i henhold til artikel 92 i forordning 2018/1725 til at underrette EDPS om en sådan krænkelse.
247    Henset til det ovenstående skal det af sagsøgeren påberåbte led af erstatningspåstanden, der vedrører en tilsidesættelse af artikel 89, 91 og 92 i forordning 2018/1725, og følgelig erstatningspåstanden, for så vidt som den er rettet mod Eurojust, forkastes.
248    Henset til samtlige ovenstående betragtninger skal Europol og Eurojust frifindes i det hele, uden at det er fornødent at tage stilling til de øvrige formalitetsindsigelser, som de har gjort gældende.
IV.    Sagsomkostninger
249    Ifølge artikel 134, stk. 1, i Rettens procesreglement pålægges det den tabende part at betale sagsomkostningerne, hvis der er nedlagt påstand herom. Da sagsøgeren har tabt sagen, bør det pålægges ham at betale sagsomkostningerne i overensstemmelse med Europols og Eurojusts påstande herom. I henhold til procesreglementets artikel 138, stk. 1, bærer Kongeriget Belgien, Kongeriget Spanien og Kongeriget Nederlandene i øvrigt deres egne omkostninger.
På grundlag af disse præmisser
udtaler og bestemmer
RETTEN (Femte Afdeling):
1)      Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust) frifindes.
2)      BW bærer sine egne omkostninger og betaler de af Europol og Eurojust afholdte omkostninger.
3)      Kongeriget Belgien, Kongeriget Spanien og Kongeriget Nederlandene bærer hver deres egne omkostninger.
Svenningsen
Martín y Pérez de Nanclares
Stancu
Afsagt i offentligt retsmøde i Luxembourg den 25. februar 2026.
Underskrifter
*      Processprog: nederlandsk.