S’agissant d’une demande tendant à ce qu’il soit constaté que des mesures prises par l’Office européen de lutte antifraude (OLAF) sont juridiquement inexistantes, celle-ci revient, en réalité, à demander au juge de l’Union à la fois d’invalider les mesures prises par l’OLAF et de décider qu’elles n’ont produit aucun effet juridique. Cela dépasse le simple constat d’une illégalité que le juge de l’Union pourrait être amené à opérer dans le cadre d’un recours en indemnité. Cette déclaration d’irrecevabilité ne constitue pas une violation du droit à une protection juridictionnelle effective ni des principes de bonne administration de la justice et d’économie de procédure. En effet, le contrôle juridictionnel du respect de l’ordre juridique de l’Union est assuré, ainsi qu’il ressort de l’article 19, paragraphe 1, TUE, par la Cour de justice de l’Union européenne et les juridictions des États membres. À cette fin, le traité FUE a, par ses articles 263 TFUE et 277 TFUE, d’une part, et par son article 267 TFUE, d’autre part, établi un système complet de voies de recours et de procédures destiné à assurer le contrôle de la légalité des actes de l’Union, en le confiant au juge de l’Union. Or, les décisions prises par les autorités nationales sur la base des informations de l’OLAF doivent être susceptibles de recours devant les juridictions nationales, qui, à leur tour, peuvent introduire un recours préjudiciel sur l’interprétation des dispositions du droit de l’Union qu’elles estiment nécessaire pour rendre leurs jugements.

La suite que réservent les autorités nationales aux informations qui leur sont transmises par l’Office européen de lutte antifraude (OLAF) relève de leur seule et entière responsabilité et il incombe à ces autorités de vérifier elles-mêmes si de telles informations justifient ou exigent que des poursuites pénales soient engagées. En conséquence, la protection juridictionnelle à l’encontre de telles poursuites doit être assurée à l’échelon national avec toutes les garanties prévues par le droit interne, y compris celles qui découlent des droits fondamentaux, et la possibilité pour la juridiction saisie d’adresser à la Cour une demande de décision préjudicielle en vertu de l’article 267 TFUE. Les autorités nationales, dans l’hypothèse où elles décideraient d’ouvrir une enquête, apprécieraient les conséquences à tirer d’éventuelles illégalités commises par l’OLAF et cette appréciation pourrait être contestée devant le juge national. Dans l’hypothèse où une procédure pénale ne serait pas ouverte ou serait clôturée par un jugement d’acquittement, l’ouverture d’un recours en indemnité, devant le juge de l’Union, suffirait à garantir la protection des intérêts de la personne concernée en lui permettant d’obtenir la réparation de tout préjudice découlant du comportement illégal de l’OLAF.

Un recours en indemnité visant la réparation du préjudice prétendument subi du fait de la transmission par l’Office européen de lutte antifraude (OLAF) d’un rapport d’enquête concernant le requérant à des autorités nationales ne saurait être considéré prématuré en raison de la circonstance qu’une procédure judiciaire nationale est encore en cours, dès lors que les éventuels résultats de cette procédure ne sont pas susceptibles d’affecter la procédure devant le juge de l’Union. En effet, il ne s’agit pas de savoir si le requérant est l’auteur d’une irrégularité ou d’une fraude, mais d’examiner la manière dont l’OLAF a conduit et conclu une enquête qui le désigne nominativement et éventuellement lui impute la responsabilité des irrégularités ainsi que la manière dont la Commission s’est comportée dans le contexte de cette enquête. Si le requérant est considéré comme non coupable par les autorités judiciaires nationales, un tel fait ne réparerait pas nécessairement l’éventuel préjudice que celui-ci aurait alors subi.

Les dispositions du règlement no 45/2001, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, sont des règles de droit ayant pour objet de conférer des droits aux personnes concernées par les données à caractère personnel détenues par les institutions et organes de l’Union. En effet, l’objectif même de ces règles est de protéger de telles personnes contre d’éventuels traitements illicites des données les concernant.

En matière de responsabilité non contractuelle de l’Union, lorsque l’article 25, paragraphe 1, du règlement no 45/2001, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, a été violé du fait que la notification de données au délégué à la protection des données est intervenue postérieurement à leur traitement, force est constater que l’institution concernée a violé une règle de droit ayant pour objet de conférer des droits aux personnes concernées par les données à caractère personnel détenues par les institutions et organes de l’Union. Toutefois, la question se pose de savoir si une telle violation peut être considérée comme suffisamment caractérisée. À cet égard, d’une part, il importe de souligner que, en application du règlement no 45/2001, le délégué à la protection des données a pour fonction de veiller à ce que le traitement des données à caractère personnel ne porte pas atteinte aux droits et libertés des personnes concernées par ledit traitement. Dans ce contexte, il a notamment pour mission de mettre en garde le contrôleur européen de la protection des données contre un traitement de données qui serait susceptible de constituer un risque au sens de l’article 27 du règlement no 45/2001. Il s’ensuit que, s’il n’est pas informé d’un traitement de données, il ne peut lui-même en informer ledit contrôleur et ne peut donc pas remplir efficacement la mission essentielle de surveillance que lui a attribuée le législateur européen.

D’autre part, comme l’indique le considérant 14 du règlement no 45/2001, les dispositions de celui-ci s’appliquent à tout traitement de données à caractère personnel effectué par toutes les institutions. Les institutions et organes de l’Union ne disposent ainsi d’aucune marge d’appréciation pour appliquer le règlement no 45/2001. Compte tenu de ces éléments – le caractère essentiel de la mission de surveillance du délégué à la protection des données et l’absence de toute marge d’appréciation des institutions et organes de l’Union -, force est de considérer que la simple infraction à l’article 25, paragraphe 1, du règlement no 45/2001 suffit pour établir l’existence d’une violation suffisamment caractérisée d’une règle de droit ayant pour objet de conférer des droits aux particuliers.

(cf. points 100-102)