În ceea ce privește cererea prin care se solicită să se constate că măsurile adoptate de Oficiul European de Luptă Antifraudă (OLAF) sunt inexistente juridic, aceasta echivalează în realitate cu a solicita instanței Uniunii să invalideze măsurile adoptate de OLAF și totodată să decidă că ele nu au produs niciun efect juridic Aceasta depășește simpla constatare a unei nelegalități, pe care instanța Uniunii ar putea fi pusă în situația să o efectueze în cadrul unei acțiuni în despăgubire. Respectiva declarație de inadmisibilitate nu constituie o încălcare a dreptului la protecție jurisdicțională efectivă și nici a principiilor bunei administrări a justiției și economiei procedurii. Astfel, controlul jurisdicțional al respectării ordinii juridice a Uniunii este asigurat, după cum rezultă din cuprinsul articolului 19 alineatul (1) TUE, de Curtea de Justiție a Uniunii Europene și de instanțele statelor membre. În acest scop, Tratatul FUE a instituit, prin articolele 263 TFUE și 277 TFUE, pe de o parte, și prin articolul 267 TFUE, pe de altă parte, un sistem complet de căi de atac și de proceduri menit să asigure controlul legalității actelor Uniunii, pe care l‑a încredințat instanței Uniunii. Or, deciziile luate de autoritățile naționale pe baza informațiilor OLAF trebuie să poată fi atacate la instanțele naționale, care, la rândul lor, pot introduce o cerere de decizie preliminară cu privire la interpretarea dispozițiilor dreptului Uniunii pe care le consideră necesare pentru a pronunța propria hotărâre.

În materia răspunderii extracontractuale a Uniunii, în cazul în care articolul 25 alineatul (1) din Regulamentul nr. 45/2001 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date a fost încălcat ca urmare a faptului că notificarea datelor către responsabilul cu protecția datelor a intervenit după prelucrarea acestora, trebuie constatat că instituția în cauză a încălcat o normă de drept care are ca obiect conferirea de drepturi persoanelor vizate de datele cu caracter personal deținute de instituțiile și organele Uniunii. Cu toate acestea, se pune problema dacă o asemenea încălcare poate fi considerată suficient de gravă. În această privință, pe de o parte, trebuie subliniat că, în temeiul Regulamentului nr. 45/2001, responsabilul cu protecția datelor are rolul de a asigura ca prelucrarea datelor cu caracter personal să nu aducă atingere drepturilor și libertăților persoanelor vizate de prelucrarea menționată. În acest context, el are în special ca sarcină să avertizeze Autoritatea Europeană pentru Protecția Datelor cu privire la o prelucrare a datelor care ar putea constitui un risc în sensul articolului 27 din Regulamentul nr. 45/2001. În consecință, în cazul în care acesta nu este informat despre o prelucrare a datelor, nu poate informa la rândul său autoritatea menționată și, prin urmare, nu își poate îndeplini în mod eficient sarcina esențială de supraveghere pe care i‑a atribuit‑o legiuitorul european.

Pe de altă parte, după cum se menționează în considerentul (14) al Regulamentului nr. 45/2001, dispozițiile acestuia se aplică în cazul oricărei prelucrări a datelor cu caracter personal efectuate de către toate instituțiile. Instituțiile și organele Uniunii nu dispun astfel de nicio marjă de apreciere pentru aplicarea Regulamentului nr. 45/2001. Ținând seama de aceste elemente – caracterul esențial al sarcinii de supraveghere a responsabilului cu protecția datelor și lipsa oricărei marje de apreciere a instituțiilor și a organelor Uniunii –, trebuie considerat că simpla încălcare a articolului 25 alineatul (1) din Regulamentul nr. 45/2001 este suficientă pentru dovedirea existenței unei încălcări suficient de grave a unei norme de drept care are ca obiect conferirea unor drepturi particularilor.

(a se vedea punctele 100-102)