62023TJ1180_RES
Predmet T-1180/23
BW
protiv
Agencije Europske unije za suradnju tijela za izvršavanje zakonodavstvaiAgencije Europske unije za suradnju u kaznenom pravosuđu
Presuda Općeg suda (peto vijeće) od 25. veljače 2026.
„Suradnja policijskih tijela i drugih tijela za izvršavanje zakonodavstva država članica – Usluga šifrirane komunikacije Sky ECC – Navodne nezakonite obrade osobnih podataka – Tužba za poništenje – Akt protiv kojeg nije dopušten pravni lijek – Pripremni akt – Dopuštenost – Obrada osobnih podataka koju provode države članice i prijenos tih podataka Europolu – Prijenos osobnih podataka državi članici koji provodi Europol – Prijenos osobnih podataka iz Eurojusta trećim zemljama – Izvanugovorna odgovornost – Članak 50. Uredbe (EU) 2016/794 – Solidarna odgovornost Europola i država članica zbog nezakonite obrade podataka – Dovoljno ozbiljna povreda pravnog pravila kojim se dodjeljuju prava pojedincima – Postojanje štete – Uredba (EU) 2018/1727 – Eurojustova nedostatna koordinacija kaznenih postupaka između države članice i treće zemlje – Članci 71., 72, 89., 91. i 92. Uredbe (EU) 2018/1725”
Tužba za poništenje – Nadležnost suda Unije – Zahtjev za poništenje radnji obrade osobnih podataka koje provode nacionalna tijela u kaznenim postupcima i radnji prijenosa dokumenata i informacija Europolu ili Eurojustu koje provode ta tijela – Isključenost
(čl. 263. UFEU-a)
(t. 23.-25.)
Tužba za poništenje – Nadležnost suda Unije – Zahtjev za poništenje sporazuma o osnivanju zajedničkog istražnog tima (ZIT) – Isključenost
(čl. 34. UEU-a; čl. 263. UFEU-a)
(t. 26.-31.)
Tužba za naknadu štete – Predmet – Naknada štete nastale nezakonitom obradom osobnih podataka – Tužba podnesena protiv Eurojusta zbog postupanja država članica ili Europola – Nenadležnost suda Unije
(čl. 268. i 340. UFEU-a; Uredba Europskog parlamenta i Vijeća 2018/1727)
(t. 33.-35., 41.)
Tužba za naknadu štete – Predmet – Naknada štete nastale nezakonitom obradom osobnih podataka – Tužba podnesena protiv Europola zbog postupanja država članica – Nadležnost suda Unije – Granica – Nenadležnost u slučaju štete nastale zbog radnji koje provode policija ili druga tijela za izvršavanje zakonodavstva država članica
(čl. 268., 276. i 340. UFEU-a; Uredba 2016/794 Europskog parlamenta i Vijeća, uv. izj. 57. te čl. 49. st. 3. i 4. i čl. 50.)
(t. 37., 38., 42.-46.)
Izvanugovorna odgovornost – Solidarna odgovornost Unije i država članica – Uredba 2016/794 – Odgovornost zbog nezakonite obrade osobnih podataka – Solidarna odgovornost Europola i dotične države članice – Kriteriji – Dokaz da je za nezakonitu obradu odgovoran Europol ili dotična država članica
(čl. 340. drugi st. UFEU-a; Uredba 2016/794 Europskog parlamenta i Vijeća, čl. 50. st. 1.)
(t. 93., 136.)
Tužba za poništenje – Akti koji se mogu pobijati – Pojam – Akti koji proizvode obvezujuće pravne učinke – Pripremni akti – Isključenost – Sudjelovanje Europola ili Eurojusta na sastancima ili radnim skupinama – Isključenost
(čl. 263. UFEU-a)
(t. 108.-110.)
Tužba za poništenje – Akti koji se mogu pobijati – Pojam – Akti koji proizvode obvezujuće pravne učinke – Prijenos osobnih podataka iz šifrirane komunikacijske usluge Sky ECC koje provodi agencija Unije – Prijenos državi članici – Isključenost – Prijenos trećoj zemlji – Uključenost – Pretpostavka
(čl. 263. UFEU-a)
(t. 111.-123.)
Izvanugovorna odgovornost – Pretpostavke – Uredba 2016/794 – Odgovornost zbog nezakonite obrade osobnih podataka – Priroda navedene odgovornosti – Solidarna odgovornost Europola i dotične države članice – Doseg – Ocjena zakonitosti akata ili postupanja država članica, osim prikupljanja podataka tijekom operacija koje provode policija ili druge službe za izvršavanje zakonodavstva država članica – Ocjena na temelju prava Unije ili nacionalnog prava o kojem je riječ
(čl. 268., 276. i čl. 340. drugi st. UFEU-a; Uredba 2016/794 Europskog parlamenta i Vijeća, čl. 50. st. 1.)
(t. 141., 142., 162.-164.)
Kratak prikaz
Odbivši tužbu za poništenje i naknadu štete koju je osoba BW podnijela protiv Agencije Europske unije za suradnju tijela za izvršavanje zakonodavstva (Europol) i Agencije Europske unije za suradnju u kaznenom pravosuđu (Eurojust) u kontekstu policijske i pravosudne suradnje između više država članica, Opći sud prvi put nakon presude Kočner/Europol (
1
) pojašnjava doseg sustava solidarne odgovornosti, osobito s obzirom na granice koje proizlaze iz članka 276. UFEU-a. Usto smatra da Eurojustov prijenos osobnih podataka državi članici nije akt koji se može pobijati u smislu članka 263. UFEU-a, ali, suprotno tomu, priznaje da se prijenos takvih podataka trećoj zemlji može pobijati jer ne postoji nikakvo drugo sredstvo djelotvornog sudskog nadzora.
Osoba BW, tužitelj, srpski je državljanin, protiv kojeg se vodi kazneni progon i koji se nalazi u pritvoru u Nizozemskoj od svibnja 2023. zbog uvoza kokaina te protiv kojeg se također vodi kazneni progon u Srbiji od jeseni 2023., među ostalim, zbog kaznenih djela nezakonite trgovine opojnim drogama.
Kazneni postupci koje vode nizozemska i srpska tijela temelje se na istražnim mjerama koje su krajem 2010. poduzela belgijska, nizozemska i francuska tijela protiv „organizacije Sky ECC”, pri čemu „ECC” znači „Elliptic Curve Cryptography” (kriptografija eliptičkih krivulja), za koju se sumnja da na tržište stavlja proizvode i usluge šifrirane komunikacije čiji je cilj posebno olakšati počinjenje kaznenih djela.
Nakon tih istražnih mjera Belgija i Nizozemska donijele su krajem 2018. odluke o provođenju zajedničke istrage kojima su od Francuske zatražile izradu preslike poslužiteljâ koje je koristila usluga Sky ECC, a koji su smješteni u toj državi. Francuska je postupila po tom zahtjevu te je izvršila presretanje, bilježenje i prijepis šifriranih razgovora koji su ulazili u te poslužitelje i izlazili iz njih, uključujući podatke koji se odnose na osobu BW.
Belgijska, francuska i nizozemska tijela 2019. su sporazumom o zajedničkom istražnom timu (u daljnjem tekstu: sporazum o ZIT-u) (
2
) osnovala zajednički istražni tim (u daljnjem tekstu: ZIT). Potonji je doveo do razmjene, između Europola i triju predmetnih država članica, presretnutih neobrađenih podataka, koji su zatim trebali biti analizirani, kao i do razmjene rezultata te analize.
U okviru te suradnje, Europol je pohranio podatke u svoj informacijski sustav, proveo unakrsne provjere, sastavio obavještajna izvješća, izradio grafičke prikaze podataka i proveo interpretaciju višejezičnih skupova podataka. Eurojust je pak pružio potporu i savjete o mogućnostima pravosudne suradnje te je organizirao nekoliko koordinacijskih sastanaka između dotičnih nacionalnih tijela, kao i Europola i olakšao pravosudnu suradnju između, s jedne strane, Srbije te, s druge strane, Nizozemske i Francuske.
U tom je kontekstu osoba BW od Općeg suda zatražila da proglasi ništavim Sporazum o ZIT-u, akte Europola i Eurojusta donesene na temelju tog sporazuma kao i akte koji se odnose na obradu, analizu i razmjenu podataka s poslužitelja Sky ECC-a koji se odnose na nju. Usto je zatražila da se Europolu i Eurojustu naloži da joj isplate naknadu neimovinske i imovinske štete za koju smatra da ju je pretrpjela.
Ocjena Općeg suda
Što se tiče, kao prvo, pitanja njegove nadležnosti, Opći se sud najprije proglašava nenadležnim za odlučivanje, na temelju članka 263. UFEU-a, o odobrenju francuskog suda za aktivnosti presretanja koje su provela francuska tijela, o načinu provođenja tih aktivnosti, o prijenosu Europolu dokumenata i informacija pribavljenih prilikom tih aktivnosti koji su provela francuska tijela, o prijenosu Eurojustu i srpskim tijelima dokumenata i informacija koja su zatražila srpska tijela u okviru svojih zahtjeva za pravnu pomoć koji su provela francuska tijela, o pravilnosti kaznenog postupka koji se vodi pred srpskim sudovima, kao i o Sporazumu o ZIT-u.
Što se tiče, konkretnije, tog sporazuma, Opći sud ističe da Sud Unije nije nadležan da izravno, na temelju članka 263. UFEU-a, odlučuje o njegovoj zakonitosti jer taj sporazum nije akt Unije. Naime, Sporazum o ZIT-u potpisale su i stoga sklopile samo tri države članice. To utvrđenje ne dovodi se u pitanje ni činjenicom da su pravna osnova tog sporazuma Konvencija koju su te države članice sklopile na temelju članka 34. i okvirna odluka Vijeća Europske unije, ni osnivanjem dotičnog ZIT-a na inicijativu Europola ili Eurojusta ili pak odlukom Belgije, Francuske i Nizozemske, donesenom na temelju Sporazuma o ZIT-u, da se Europol i Eurojust uključe u ZIT kao „sudionici”. U tom kontekstu, Opći sud pojašnjava da mogućnost dodijeljena Europolu ili Eurojustu da predlože ili pruže pomoć pri osnivanju ZIT-a, kao i njihovim službenicima da sudjeluju u ZIT-u (
3
), ne daje tim agencijama status „ugovorne strane” sporazuma kojim su tri države članice osnovale predmetni ZIT.
Kao drugo, Opći sud proglašava se nenadležnim za odlučivanje o tužiteljevu zahtjevu kojim se nastoji utvrditi odgovornost Eurojusta za postupanja Belgije, Francuske i Nizozemske ili čak Srbije, odnosno za postupanja Europola. Tu odluku temelji, među ostalim, na činjenici da se odgovornost Unije na temelju članaka 268. i 340. UFEU-a ne može zahtijevati od institucije, tijela, ureda ili agencije Unije različite od one ili onog kojem se stavlja na teret događaj koji dovodi do nastanka odgovornosti, osim ako je zakonodavac Unije izričito predvidio sustav odstupanja od solidarne odgovornosti bilo između jedne od tih institucija, tijela, ureda ili agencija Unije i jedne ili više država članica, odnosno jedne ili više trećih zemalja, bilo između više institucija, tijela, ureda ili agencija Unije. Zaključuje da u ovom slučaju nijedan akt ne predviđa sustav odstupanja od solidarne odgovornosti između Eurojusta i država članica ili između Eurojusta i Srbije.
Međutim, Opći sud proglašava se nadležnim za odlučivanje o zahtjevu kojim se nastoji utvrditi odgovornost Eurojusta za njegova postupanja, kao i odgovornost Europola za postupanja koja se mogu pripisati kako njemu samom, tako i državama članicama koje su sudjelovale u suradnji u pogledu usluge Sky ECC.
Unatoč svojoj nadležnosti za odlučivanje o zahtjevu kojim se nastoji utvrditi solidarna odgovornost Europola za postupanja koja se mogu pripisati, među ostalim, francuskim tijelima, Opći sud pojašnjava da nije nadležan za odlučivanje o tužiteljevim navodima koji se odnose na štetu koja mu je prouzročena zbog aktivnosti presretanja njegovih osobnih podataka do kojih je došlo u okviru policijskih operacija koje provode ta tijela. U tom pogledu, unatoč sustavu solidarne odgovornosti predviđenom Uredbom o Europolu, tu se agenciju ne može smatrati solidarno odgovornom za eventualnu štetu koja proizlazi iz nezakonitih obrada osobnih podataka fizičke osobe do kojih je došlo prilikom operacija koje provode policija ili druge službe zadužene za izvršavanje zakona u državi članici, čak i ako je do te obrade došlo u okviru suradnje na temelju te uredbe. Naime, iz članka 276. UFEU-a proizlazi da sud Unije, u izvršavanju svojih ovlasti koje se odnose na pravosudnu suradnju u kaznenim stvarima i policijsku suradnju, nije nadležan ispitivati valjanost ili proporcionalnost operacija koje provode policija ili druge službe zadužene za izvršavanje zakona u državi članici.
Kao drugo, kad je riječ o zahtjevu za poništenje, Opći sud, odlučujući o njegovoj dopuštenosti, utvrđuje da se akti ili postupanja koje tužitelj kritizira ne mogu pobijati, osim u pogledu toga da je Eurojust 24. lipnja 2022. srpskim tijelima proslijedio poruku elektroničke pošte francuskih tijela koja sadržava poveznicu na internetsku stranicu za sigurno preuzimanje koja sadržava, među ostalim, neke od njegovih razgovora koji proizlaze iz usluge Sky ECC.
Što se tiče tog prijenosa, Opći sud naglašava da, iako iz sudske prakse o prijenosu završnih izvješća i informacija Europskog ureda za borbu protiv prijevara (OLAF) državama članicama, koja je po analogiji primjenjiva na ovaj slučaj, proizlazi da takav prijenos nije akt koji se može pobijati, Sud i sam Opći sud ipak su imali priliku uzeti u obzir, kako bi otklonili mogućnost pobijanja OLAF-ovih prijenosa, činjenicu da je tužitelj imao na raspolaganju druga pravna sredstva za osiguravanje nadzora zakonitosti tih odluka o prijenosu, uključujući i zahtjev za prethodnu odluku. Međutim, Opći sud naglašava da prijenos od 24. lipnja 2022. nije izvršen između agencije Unije i tijelâ treće zemlje, u ovom slučaju Srbije. Stoga, budući da se ona u okviru ove tužbe ne može osporavati, zakonitost tog prijenosa u smislu prava Unije više ne može biti predmet osporavanja, a osobni podaci koje taj prijenos sadržava mogu se smatrati zakonito prenesenim srpskim tijelima, pri čemu tužitelj ne može naknadno od sudova te treće zemlje zahtijevati ocjenu valjanosti navedenog prijenosa s obzirom na pravo Unije ili uputiti Sudu prethodno pitanje o ocjeni njegove valjanosti. U tom smislu, navedeni prijenos predstavlja završetak posebnog postupka kojim Eurojust tijelima treće zemlje i na njihov zahtjev dostavlja osobne podatke osobe čiji je identitet utvrđen.
Opći sud dodaje da je priznavanje mogućnosti pobijanja prijenosa od 24. lipnja 2022. jedino što može osigurati djelotvoran nadzor koji provodi pravosudno tijelo ili drugo neovisno tijelo nad prijenosom presretnutih osobnih podataka i njihovu korištenju u svrhe različite od onih za koje su ti podaci prvotno prikupljeni u okviru kaznenog postupka. Nije relevantna činjenica da tužitelj može podnijeti tužbu francuskim sudovima ili pokrenuti postupak pred Europskim sudom za ljudska prava nakon što ga srpski kazneni sudovi eventualno osude. S jedne strane, francuskim sudovima ne može se podnijeti tužba za poništenje akta određene agencije Unije. S druge strane, budući da Unija nije pristupila Konvenciji za zaštitu ljudskih prava i temeljnih sloboda, ESLJP ne može utvrditi da je Unija povrijedila tu Konvenciju, posebno u okviru tužbe podnesene protiv treće zemlje.
Međutim, Opći sud odbija kao neosnovan zahtjev za poništenje prijenosa od 24. lipnja 2022., s obzirom na to da tužitelj nije dokazao na koji je način taj prijenos doveo do nezakonite obrade njegovih osobnih podataka.
Kao treće, kad je riječ o tužiteljevim zahtjevima za naknadu štete, Opći sud smatra da se prvi dio zahtjeva za naknadu štete odnosi na navode o nepravilnoj obradi podataka koju provode Europol i tri dotične države članice, koje podliježu sustavu odstupanja od solidarne odgovornosti predviđenom Uredbom o Europolu (
4
), i tako uzima u obzir ne samo akte ili postupanja Europola, na temelju sustava opće odgovornosti kojim je obuhvaćen na temelju te uredbe (
5
), nego i one triju dotičnih država članica na temelju navedenog sustava odstupanja od solidarne odgovornosti.
Opći sud dodaje da Europol pogrešno tvrdi da ga se ne može smatrati odgovornim za akte ili postupanja država članica te da Opći sud ne može ocjenjivati njihovu zakonitost. Iako je točno da na temelju članka 276. UFEU-a sud Unije nije nadležan za provjeru valjanosti ili proporcionalnosti operacija koje provodi policija ili druga tijela za izvršavanje zakonodavstva u državi članici, uključujući u okviru tužbi koje se temelje na člancima 268. i 340. UFEU-a, osim tih posebnih operacija, sustav odstupanja od solidarne odgovornosti utvrđen Uredbom o Europolu implicitno, ali nužno, podrazumijeva da se Europol može smatrati odgovornim za akte ili postupanja država članica. Iz toga također nužno proizlazi da je, u okviru tužbi za naknadu štete koje se temelje na tom sustavu odstupanja, Opći sud ovlašten ocjenjivati zakonitost akata ili postupanja država članica, osim onih u kojima su njihove policijske službe ili druge službe za izvršavanje zakona prikupile predmetne podatke, bilo na temelju prava Unije bilo na osnovi nacionalnog prava dotične države.
Kad je riječ o drugom dijelu zahtjeva za naknadu štete, koji se u biti odnosi samo na povredu prava na pošteno suđenje zbog nemogućnosti provjere „upotrebljivosti” podataka proizišlih iz usluge Sky ECC u nacionalnim kaznenim postupcima koji su uslijedili nakon istraga u kojima je sudjelovao Europol, Opći sud utvrđuje da tužitelj ne osporava zakonitost obrade svojih osobnih podataka u smislu članka 28. Uredbe o Europolu – što je jedini argument kojim bi se moglo osporavati u području sustava odstupanja od solidarne odgovornosti predviđenog tom uredbom. Tako u svrhu razmatranja tog dijela zahtjeva za naknadu štete uzima u obzir samo akte ili postupanja Europola na temelju sustava opće odgovornosti koji proizlazi iz navedene uredbe.
Što se tiče trećeg dijela zahtjeva za naknadu štete, koji se odnosi na navodno postojanje dvostrukog kaznenog progona tužitelja za ista djela, koji su protiv njega pokrenula nizozemska i srpska kaznena tijela, Opći sud pojašnjava da tužitelj tim dijelom zahtjeva prigovara Europolu samo da je povrijedio svoje obveze koje proizlaze iz Sporazuma o ZIT-u. Stoga uzima u obzir samo akte ili postupanja Europola na temelju sustava opće odgovornosti koji proizlazi iz Uredbe o Europolu.
Opći sud odbija tri dijela zahtjeva za naknadu štete kao neosnovana.
(
1
)	Presuda od 5. ožujka 2024., Kočner/Europol (C-755/21 P, EU:C:2024:202)
(
2
)	Taj je sporazum sklopljen na temelju članka 13. Konvencije utvrđene od strane Vijeća u skladu s člankom 34. Ugovora o Europskoj uniji o uzajamnoj pravnoj pomoći u kaznenim stvarima među državama članicama Europske unije (SL 2000., C 197, str. 3.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 14., str. 225.) i Okvirne odluke Vijeća od 13. lipnja 2002. o zajedničkim istražnim timovima (SL 2002., L 162, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 16., str. 44.).
(
3
)	Dodijeljena člankom 5. Uredbe (EU) 2016/794 Europskog parlamenta i Vijeća od 11. svibnja 2016. o Europolu te zamjeni i stavljanju izvan snage odluka Vijeća 2009/371/PUP, 2009/934/PUP, 2009/935/PUP, 2009/936/PUP i 2009/968/PUP (SL 2016., L 135, str. 53., u daljnjem tekstu: Uredba o Europolu), odnosno člankom 8. stavkom 1. točkom (d) Uredbe (EU) 2018/1727 Europskog parlamenta i Vijeća od 14. studenoga 2018. o Eurojustu te zamjeni i stavljanju izvan snage Odluke Vijeća 2002/187/PUP (SL 2018., L 295, str. 138. i ispravak SL 2019., L 204, str. 125.).
(
4
)	Članak 50. stavak 1. Uredbe o Europolu
(
5
)	Opća odgovornost Europola iz članka 49. Uredbe o Europolu