DOMSTOLENS DOM (Store Afdeling)

5. marts 2024 (*)

»Appel – retshåndhævelsessamarbejde – forordning (EU) 2016/794 – artikel 49, stk. 3, og artikel 50 – beskyttelse af personoplysninger – ulovlig behandling af oplysninger – straffesag i Slovakiet mod appellanten – sagkyndig undersøgelse foretaget af Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) med henblik på sagens oplysning – udtræk af oplysninger fra mobiltelefoner og fra en USB-enhed tilhørende appellanten – videregivelse af disse oplysninger – ikkeøkonomisk skade – erstatningssøgsmål – arten af ansvaret uden for kontraktforhold«

I sag C-755/21 P,

angående appel i henhold til artikel 56 i statutten for Den Europæiske Unions Domstol, iværksat den 8. december 2021,

Marián Kočner, Bratislava (Slovakiet), ved advokáti M. Mandzák og M. Para,

appellant,

den anden part i appelsagen:

Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) ved A. Nunzi, som befuldmægtiget, bistået af Rechtsanwälte M. Kottmann og G. Ziegenhorn,

sagsøgt i første instans,

støttet af:

Den Slovakiske Republik, først ved S. Ondrášiková, derefter ved E.V. Drugda og S. Ondrášiková, som befuldmægtigede,

intervenient i appelsagen,

Kongeriget Spanien,

intervenient i første instans,

har

DOMSTOLEN (Store Afdeling),

sammensat af præsidenten, K. Lenaerts, vicepræsidenten, L. Bay Larsen, afdelingsformændene A. Arabadjiev, A. Prechal, E. Regan, F. Biltgen, N. Piçarra og O. Spineanu-Matei (refererende dommer) samt dommerne S. Rodin, P.G. Xuereb, L.S. Rossi, N. Wahl, I. Ziemele, J. Passer og D. Gratsias,

generaladvokat: A. Rantos,

justitssekretær: A. Calot Escobar,

på grundlag af den skriftlige forhandling,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 15. juni 2023,

afsagt følgende

Dom

1        I appelskriftet har Marián Kočner nedlagt påstand om ophævelse af Den Europæiske Unions Rets dom af 29. september 2021, Kočner mod Europol (T-528/20, herefter »den appellerede dom«, EU:T:2021:631), hvorved Retten frifandt Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) i et søgsmål anlagt i henhold til artikel 268 TEUF med påstand om erstatning for den skade, som Marián Kočner angiveligt har lidt som følge af Europols videregivelse af personoplysninger og Europols opførelse af hans navn på »mafialisterne«.

 Retsforskrifter

2        23., 45., 56., 57. og 65. betragtning til Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (EUT 2016, L 135, s. 53) har følgende ordlyd:

»(23)      For at kunne forebygge og bekæmpe den kriminalitet, der falder inden for rammerne af Europols målsætninger, er det nødvendigt, at Europol har så fyldige og aktuelle oplysninger som muligt. Europol bør derfor kunne behandle de oplysninger, som medlemsstaterne [...] har meddelt Europol.

[...]

(45)      For at garantere sikkerheden af personoplysninger bør Europol og medlemsstaterne træffe de nødvendige tekniske og organisatoriske foranstaltninger.

[...]

(56)      De almindelige regler om ansvar i og uden for kontrakt, der gælder for EU-institutionerne og EU-agenturer og ‑organer, bør finde anvendelse på Europol, dog med undtagelse af reglerne om ansvar for ulovlig databehandling.

(57)      Det er muligvis ikke klart for den pågældende fysiske person, om den skade, den pågældende har lidt som følge af ulovlig databehandling, skyldes Europols eller en medlemsstats handlinger. Europol og medlemsstaten, hvor den skadevoldende handling skete, bør derfor være solidarisk ansvarlige.

[...]

(65)      Europol behandler oplysninger, der kræver særlig beskyttelse, da de omfatter følsomme ikkeklassificerede og EU-klassificerede informationer. Europol bør derfor fastsætte regler om fortroligheden og behandlingen af sådanne oplysninger. Reglerne for beskyttelse af EU’s klassificerede informationer bør være i overensstemmelse med Rådets afgørelse 2013/488/EU [af 23. september 2013 om reglerne for sikkerhedsbeskyttelse af EU’s klassificerede informationer (EUT 2013, L 274, s. 1)].«

3        Denne forordnings artikel 2 med overskriften »Definitioner« bestemmer:

»I denne forordning forstås ved:

[...]

h)      »personoplysninger« enhver form for information om en registreret

i)      »en registreret« en identificeret eller identificerbar fysisk person; en identificerbar person er en person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata eller et online-ID eller ved et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet

[...]

k)      »behandling« enhver operation eller række af operationer, med eller uden brug af automatisk databehandling, som personoplysninger eller sæt af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, strukturering, opbevaring, tilpasning eller ændring, fremfinding, søgning, brug, videregivelse ved transmission, formidling eller anden tilrådighedsstillelse, sammenstilling eller samkøring samt begrænsning, sletning eller tilintetgørelse

[...]«

4        Den nævnte forordnings artikel 3 med overskriften »Målsætninger« bestemmer i stk. 1:

»Europol støtter og styrker medlemsstaternes kompetente myndigheders indsats for og deres indbyrdes samarbejde om at forebygge og bekæmpe grov kriminalitet, der berører to eller flere medlemsstater, samt terrorisme og former for kriminalitet, der berører en fælles interesse, som er omfattet af en EU-politik [...]«

5        Samme forordnings artikel 17 med overskriften »Informationskilder« fastsætter i stk. 1:

»Europol må kun behandle oplysninger, der er meddelt agenturet af:

a)      medlemsstaterne i henhold til deres nationale ret og artikel 7

[...]«

6        Artikel 18 i forordning 2016/794, der har overskriften »Formål med behandling af oplysninger«, bestemmer i stk. 1:

»Europol kan behandle oplysninger, herunder personoplysninger, for så vidt det er nødvendigt for at nå målsætningerne i artikel 3.«

7        Denne forordnings artikel 28 med overskriften »Generelle databeskyttelsesprincipper« bestemmer i stk. 1:

»Personoplysninger skal:

a)      behandles loyalt og lovligt

b)      indsamles til udtrykkeligt angivne og legitime formål og må ikke gøres til genstand for yderligere behandling, som er uforenelig med disse formål. [...]

[...]

f)      behandles på en måde, der sikrer tilstrækkelig sikkerhed for personoplysningerne.«

8        Den nævnte forordnings artikel 32 med overskriften »Sikkerhed i forbindelse med behandling« fastsætter i stk. 1:

»Europol træffer de nødvendige tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab og ubeføjet videregivelse, ændring og adgang og enhver anden form for uautoriseret behandling.«

9        Samme forordnings artikel 38 med overskriften »Databeskyttelsesansvar« bestemmer i stk. 4, 5 og 7:

»[...]

4.      Europol er ansvarlig for overholdelsen af principperne omhandlet i artikel 28, stk.1, litra a), b), [...] og f).

5.      Ansvaret for lovligheden af videregivelsen af oplysninger påhviler:

a)      den medlemsstat, der har meddelt Europol personoplysningerne

b)      Europol, for så vidt angår personoplysninger, som Europol har meddelt medlemsstaterne [...]

[...]

7.      Europol er ansvarlig for alle de databehandlingsoperationer, som det foretager, [...]«

10      Artikel 49 i forordning 2016/794 med overskriften »Almindelige bestemmelser om ansvar og ret til erstatning« bestemmer i stk. 3:

»For så vidt angår ansvar uden for kontraktforhold skal Europol i overensstemmelse med de almindelige retsgrundsætninger, der er fælles for medlemsstaternes retssystemer, erstatte skader forvoldt af Europols tjenestegrene eller af dets ansatte under udførelsen af deres hverv, jf. dog artikel 49.«

11      Denne forordnings artikel 50 med overskriften »Ansvar for forkert behandling af personoplysninger og ret til erstatning« fastsætter følgende:

»1.      Enhver, der har lidt skade som følge af ulovlig behandling af oplysninger, har ret til erstatning for den forvoldte skade enten fra Europol i henhold til artikel 340 [TEUF] eller fra den medlemsstat, hvor den begivenhed, der gav anledning til skaden, indtraf, i henhold til medlemsstatens nationale ret. Skadelidte kan indbringe en sag mod Europol for Den Europæiske Unions Domstol eller mod medlemsstaten for den kompetente retsinstans i den pågældende medlemsstat.

2.      Tvister mellem Europol og medlemsstaterne om det endelige ansvar for erstatning, der tilkendes en skadelidt i henhold til stk. 1, forelægges for bestyrelsen, der træffer afgørelse med to tredjedeles flertal blandt bestyrelsesmedlemmerne, idet dette dog ikke griber ind i retten til prøvelse af den pågældende afgørelse i henhold til artikel 263 [TEUF].«

 Sagens baggrund

12      Sagens baggrund, som der er redegjort for i den appellerede doms præmis 1-16, kan med henblik på foreliggende sag sammenfattes som følger.

13      I forbindelse med en efterforskning, som de slovakiske myndigheder foretog, efter at en journalist og hans forlovede i februar 2018 var blevet dræbt i Slovakiet, støttede Europol efter anmodning fra Národná kriminálna agentúra (det nationale agentur for bekæmpelse af kriminalitet, Slovakiet) (herefter »NAKA«) disse myndigheder ved at udtrække data, der var lagret dels på to mobiltelefoner, som angiveligt tilhørte appellanten (herefter »de omhandlede mobiltelefoner«), og som NAKA udleverede til Europol den 10. oktober 2018, dels på en USB-enhed.

14      Den 21. juni 2019 fremsendte Europol de endelige videnskabelige rapporter om de operationer, der var blevet foretaget på de omhandlede mobiltelefoner, til NAKA.

15      Europol havde – ifølge agenturet – forud for denne fremsendelse, den 23. oktober 2018, udleveret en harddisk til NAKA, der indeholdt krypterede oplysninger, som var blevet udtrukket bl.a. fra disse mobiltelefoner, og Europol havde den 13. februar 2019 udleveret disse mobiltelefoner til NAKA.

16      Som bevis for disse udleveringer fremlagde Europol en kopi af en protokol på NAKA’s officielle brevpapir, der var dateret den 23. oktober 2018, hvori referencen PPZ-203/NKA-PZ-ZA-2018 var nævnt, og som var underskrevet af lederen af undersøgelsesholdet, A, og en kopi af en kvittering for modtagelse/udlevering af beviser, der var dateret den 13. februar 2019, med samme reference, som bl.a. indeholdt en fortegnelse over de omhandlede mobiltelefoner, og som var underskrevet af både buddet og modtageren af beviserne.

17      Denne protokol af 23. oktober 2018 havde følgende ordlyd:

»I dag, den 23. oktober 2018 kl. 1.30, fik jeg udleveret en sort ekstern harddisk, der indeholder de foreløbige resultater af Europols efterforskning, som der blev anmodet om ved afgørelse[r] af 8. oktober 2018 og 10. oktober 2018. Den eksterne harddisk blev bragt personligt af Europolmedarbejder B fra Europols hovedkvarter i Haag [Nederlandene].

Harddisken indeholder foreløbige resultater i form af tilvejebringelser og udtræk af hukommelsen for beviserne 1Z (kun SIM-kort), 2Z, 3Z, 4Z (kun SIM-kort), 5Z, 6Z, 7Z, 8Z, 1K, 2K.

Harddiskens indhold er beskyttet af et password, som jeg er blevet meddelt.«

18      Hvad angik USB-enheden anmodede NAKA den 17. oktober 2018 Europol om bistand med henblik på bl.a. at undersøge oplysningerne heri.

19      Europols rapport af 13. januar 2019 (herefter »Europols rapport«), som blev fremsendt til NAKA den 14. februar 2019, nævner under overskriften »Den (historiske) kontekst«, at »[appellanten] har været varetægtsfængslet siden den 20. juni 2018, idet han er under mistanke for at have begået økonomisk kriminalitet. Hans navn er bl.a. direkte forbundet med »de såkaldte mafialister« og med »Panama Papers««.

20      Den 1. april 2019 gjorde de slovakiske strafferetlige myndigheder brug af de oplysninger, der var indeholdt i de omhandlede mobiltelefoner, i forbindelse med en straffesag mod appellanten. Det fremgår ligeledes af en protokol af 18. juni 2019 fra de slovakiske politimyndigheder, at disse myndigheder foretog en fuldstændig analyse af de oplysninger, der var indeholdt i disse telefoner.

21      Desuden nævnte forskellige avisartikler og websteder, herunder et internationalt netværk af undersøgende journalister, en meget stor mængde oplysninger om appellanten, bl.a. fra de omhandlede mobiltelefoner, og stillede disse oplysninger til rådighed for offentligheden. Navnlig henviste flere avisartikler den 20. og 29. maj 2019 til de oplysninger, der hidrørte fra disse telefoner. På samme måde offentliggjorde et websted den 19. maj 2020 et udvalg af dokumenter vedrørende appellanten og navnlig udskrifter af intime kommunikationer mellem ham og en veninde ved hjælp af en krypteret e-mailtjeneste, som var indeholdt i de nævnte telefoner. Dette udvalg af dokumenter blev anvendt af den slovakiske presse den 21. maj 2020.

22      Ved skrivelse af 4. maj 2020 krævede appellanten i henhold til artikel 50, stk. 1, i forordning 2016/794 udbetaling af en erstatning på 100 000 EUR fra Europol for den ikkeøkonomiske skade, som han mente at have lidt i to henseender som følge af tilsidesættelsen af hans ret til respekt for sit privatliv og familieliv. Denne skade var forårsaget af for det første offentliggørelsen i pressen og på internettet af personoplysninger, navnlig offentliggørelsen af udskrifterne af hans kommunikation af intim og seksuel karakter. For det andet fulgte den nævnte skade af opførelsen af hans navn på »mafialisterne«, angiveligt som følge af Europols rapport, da pressen havde gengivet disse lister, efter at sagsakterne fra den nationale straffesag om drabene på journalisten og dennes forlovede, som er omhandlet i denne doms præmis 13, hvilke sagsakter indeholdt denne rapport, var blevet lækket.

23      Som følge af den efterforskning, som de slovakiske myndigheder foretog, og som er nævnt i denne doms præmis 13, blev appellanten retsforfulgt for medvirken til disse drab i sin egenskab af anstifter til drabene.

24      Den 3. september 2020 frifandt den kompetente slovakiske retsinstans appellanten i første instans. Den 15. juni 2021 ophævede Najvyšší súd Slovenskej republiky (Den Slovakiske Republiks øverste domstol) førsteinstansens dom og hjemviste sagen.

 Sagsbehandlingen for Retten og den appellerede dom

25      Ved stævning indleveret til Rettens Justitskontor den 18. august 2020 anlagde appellanten et søgsmål på grundlag af artikel 268 TEUF og 340 TEUF samt artikel 50, stk. 1, i forordning 2016/794 med påstand om erstatning for den ikkeøkonomiske skade, som han mente at have lidt som følge af Europols adfærd. Med den første påstand krævede han en erstatning på 50 000 EUR for den skade, som han angiveligt har lidt som følge af videregivelsen af personoplysninger hidrørende fra de omhandlede mobiltelefoner, hvilke oplysninger efterfølgende var blevet offentliggjort på internettet og gengivet af den slovakiske presse. Denne videregivelse af personoplysninger har skadet hans ære og faglige omdømme, retten til respekt for hans privatliv og familieliv samt retten til respekt for hans kommunikation, som er sikret ved artikel 7 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«). Med den anden påstand krævede appellanten erstatning af et tilsvarende beløb for den skade, som han angiveligt har lidt som følge af Europols opførelse af hans navn på »mafialisterne«.

26      I den appellerede dom fastslog Retten indledningsvis – efter at have undersøgt Europols formalitetsindsigelser vedrørende appellantens første påstand – at denne første påstand alene kunne antages til realitetsbehandling, for så vidt som appellanten herved påberåbte sig en ikkeøkonomisk skade som følge af Europols påståede videregivelse af udskrifterne af samtaler af intim og seksuel karakter mellem appellanten og hans veninde fra de omhandlede mobiltelefoner. I denne henseende fastslog Retten for så vidt angår omfanget af den hævdede skade, at selv om appellanten foreholdt Europol at have videregivet en betydelig mængde personoplysninger fra disse telefoner, var det alene videregivelsen af disse udskrifter, der var understøttet af dokumentbeviser, i modsætning til den hævdede videregivelse af fotografier »af meget fortrolig karakter«, hvoraf visse afslørede denne veninde uden tøj på.

27      Dernæst forkastede Retten – med hensyn til realiteten – denne første påstand, der var afgrænset således. I første række fastslog Retten i den appellerede doms præmis 58-91, at appellanten ikke havde ført »bevis for en tilstrækkelig godtgjort årsagsforbindelse« mellem den hævdede skade og en eventuel adfærd fra Europols side. Appellanten havde navnlig ikke godtgjort, at videregivelsen af de oplysninger, der var indeholdt i de omhandlede mobiltelefoner, eller udskrifterne af samtalerne mellem appellanten og hans veninde kunne tilregnes Europol.

28      I anden række fastslog Retten i denne doms præmis 92-95, at denne konklusion om, at videregivelsen af de omhandlede oplysninger ikke kunne tilregnes Europol, hverken blev svækket af 57. betragtning til eller artikel 49, stk. 3, eller artikel 50 i forordning 2016/794, som appellanten havde påberåbt sig.

29      I denne henseende fastslog Retten for det første i den appellerede doms præmis 93-95, at artikel 49, stk. 3, og artikel 50, stk. 1, i forordning 2016/794 begrænsede sig til at præcisere, at Europol på området for ansvar uden for kontraktforhold og navnlig ansvar som følge af ulovlige databehandlingsoperationer skulle erstatte skader forvoldt af Europols tjenestegrene eller af dets ansatte under udførelsen af deres hverv i overensstemmelse med de betingelser, der er fastsat i artikel 340 TEUF. Ifølge Retten var disse betingelser ikke opfyldt i denne sag. For det andet bemærkede Retten, at det – selv om det ganske vist i 57. betragtning til forordning 2016/794 i det væsentlige er anført, at Europol og den medlemsstat, hvor skaden fandt sted som følge af en ulovlig behandling af oplysninger foretaget af dette agentur eller af denne medlemsstat, er solidarisk ansvarlige for denne skade – ikke desto mindre skulle fastslås, at denne solidaritetsmekanisme hverken kommer til udtryk i eller er baseret på denne forordnings bestemmelser. Retten fremhævede endvidere, at præamblen til en EU-retsakt ifølge Domstolens praksis ikke er retligt bindende og ikke kan påberåbes til støtte for at fravige bestemmelserne i den pågældende retsakt. Retten fandt således, at »57. betragtning til forordning 2016/794 ikke [kunne] pålægge Europol et solidarisk ansvar i den foreliggende sag«.

30      Retten forkastede følgelig den første påstand som ugrundet, idet den fandt, at det ikke var nødvendigt at undersøge, om de øvrige betingelser for, at Unionen ifaldt ansvar uden for kontraktforhold, var opfyldt.

31      Hvad angik den anden påstand vedrørende erstatning for den skade, der angiveligt er lidt som følge af Europols opførelse af appellantens navn på »mafialisterne«, fastslog Retten i den appellerede doms præmis 102 og 105, at det ikke var godtgjort, at disse lister var blevet udarbejdet og ført af en EU-institution, jf. artikel 340, stk. 2, TEUF, navnlig af Europol, og at denne konklusion hverken blev draget i tvivl af 57. betragtning til eller af artikel 49, stk. 3, eller artikel 50 i forordning 2016/794 af de samme grunde som dem, der var anført i den appellerede doms præmis 92-95 og sammenfattet i denne doms præmis 29.

32      Retten præciserede endvidere i den appellerede doms præmis 106-109, at selv hvis det blev antaget, at den anden påstand »[skulle] forstås således, at den [kritiserede] Europol for at have været kilden til udviklingen af de kvalificeringer, som den slovakiske presse [havde anvendt] i forhold til [appellanten], for så vidt som sidstnævnte ikke længere blev præsenteret som en »kontroversiel entreprenør«, men nu som »en mafioso« eller som »en person, der [var] opført på mafialisterne«, var denne påstand ligeledes ugrundet. I denne henseende fastslog Retten bl.a., at appellanten ikke havde fremlagt noget bevis, der kunne godtgøre, at de oplysninger, der var blevet offentliggjort i den slovakiske presse, hidrørte fra Europols rapport, eller i tilstrækkelig grad godtgøre en årsagsforbindelse mellem det forhold, at denne rapport var blevet lækket, og den omstændighed, at den slovakiske presse fra begyndelsen af 2019 havde ændret den måde, hvorpå den kvalificerede appellanten. Det hævdede tidsmæssige sammenfald blev modsagt af de beviser, der var blevet fremlagt af såvel appellanten som Europol, hvoraf det fulgte, at den slovakiske presse længe før begyndelsen af 2019 lejlighedsvis havde præsenteret appellanten som en »mafioso«, hvilket udelukkede, at denne præsentation kunne skyldes, at sagsakterne i den nationale straffesag vedrørende appellanten, og som indeholdt den nævnte rapport, var blevet lækket.

33      Følgelig forkastede Retten den anden påstand og frifandt Europol i det hele.

 Retsforhandlingerne for Domstolen og parternes påstande

34      Ved appelskrift indleveret til Domstolens Justitskontor den 8. december 2021 har appellanten iværksat appel til prøvelse af den appellerede dom.

35      Appellanten har i appelskriftet nedlagt følgende påstande:

–        Den appellerede dom ophæves.

–        Sagen hjemvises til Retten.

–        Afgørelsen om sagsomkostningerne træffes inden for rammerne af hovedsagen.

36      Europol har nedlagt følgende påstande:

–        Appellen forkastes

–        Appellanten tilpligtes at betale sagsomkostningerne.

37      Ved afgørelse truffet af Domstolens præsident den 1. april 2022 har Den Slovakiske Republik fået tilladelse til at intervenere til støtte for Europols påstande.

 Om appellen

38      Appellanten har til støtte for appellen fremsat seks anbringender. Det første til det fjerde anbringende vedrører det forhold, at den første påstand, som omhandlede erstatning for den ikkeøkonomiske skade, som han har lidt som følge af videregivelsen til offentligheden af personoplysninger hidrørende fra de omhandlede mobiltelefoner, blev forkastet. Det femte og det sjette anbringende vedrører det forhold, at den anden påstand, som omhandlede erstatning for den ikkeøkonomiske skade, som han hævder at have lidt som følge af opførelsen af hans navn på »mafialisterne«, blev forkastet.

 Formaliteten vedrørende det første og det femte anbringende

 Parternes argumentation

39      Europol har gjort gældende, at det første og det femte anbringende om en retlig fejl, som Retten skulle have begået ved at udelukke Europols og den pågældende medlemsstats solidariske ansvar for den skade, der er lidt som følge af en ulovlig behandling af oplysninger, skal afvises, for så vidt som de vedrører et anbringende, som appellanten fremsatte for sent for Retten, nemlig i replikken. Retten burde af egen drift have rejst spørgsmålet om, hvorvidt dette anbringende skulle afvises.

40      Appellanten har nedlagt påstand om, at denne formalitetsindsigelse forkastes.

 Domstolens bemærkninger

41      Det følger af artikel 84, stk. 1 og 2, i Rettens procesreglement, at anbringender, der fremsættes for første gang i replikken, og som ikke støttes på retlige eller faktiske omstændigheder, som er kommet frem under retsforhandlingerne, ikke kan antages til realitetsbehandling. Domstolen har imidlertid i denne henseende allerede fastslået, at et anbringende eller et argument, der udgør en uddybning af et anbringende, som tidligere er fremsat i stævningen, kan antages til realitetsbehandling (jf. i denne retning dom af 26.4.2007, Alcon mod KHIM, C-412/05 P, EU:C:2007:252, præmis 38-40 og den deri nævnte retspraksis). Et sådant anbringende kan derfor ikke afvises på grund af, at det er fremsat for sent.

42      I det foreliggende tilfælde anførte appellanten i punkt 58 i sin stævning for Retten, at Europol i henhold til det solidariske ansvar, der er fastsat i artikel 49, stk. 3, og artikel 50 i forordning 2016/794, og henset til 57. betragtning til denne forordning, skulle holdes ansvarlig for den skade, som han havde lidt, selv om de skadevoldende handlinger var blevet begået sammen med de slovakiske myndigheder. I punkt 24 i replikken uddybede appellanten denne argumentation ved at gøre gældende, at Europol i henhold til disse bestemmelser, og navnlig henset til denne betragtning, under alle omstændigheder var solidarisk ansvarlig med den pågældende medlemsstat for den skade, der var forvoldt som følge af en ulovlig behandling af oplysninger.

43      Herved påberåbte appellanten sig i sin stævning udtrykkeligt, at der findes en mekanisme for Europols solidariske ansvar, der er baseret på artikel 49 og 50 i forordning 2016/794, sammenholdt med 57. betragtning hertil, således at Retten korrekt med denne stævning fandt, at den skulle behandle spørgsmålet om dette solidariske ansvar i forbindelse med den foreliggende sag. Punkt 24 i replikken skal således anses for at være en uddybning af den argumentation, der var fremført i stævningen i denne henseende.

44      Under disse omstændigheder var det med rette, at Retten foretog analysen af de bestemmelser og den betragtning, som appellanten havde påberåbt sig i forbindelse med denne argumentation.

45      Følgelig bør den af Europol nedlagte formalitetsindsigelse forkastes.

 Det første appelanbringende

 Parternes argumentation

46      Appellanten har med det første anbringende foreholdt Retten, at den begik en retlig fejl, da den i den appellerede doms præmis 94 og 95 besluttede ikke at tage hensyn til 57. betragtning til forordning 2016/794 med henblik på at fastlægge Europols ansvar på grundlag af denne forordnings artikel 50, stk. 1, med den begrundelse, at præamblen til en forordning ikke er retligt bindende. Det følger heraf, at Retten med urette forkastede den første påstand, idet den fastslog, at denne betragtning ikke kunne skabe et solidarisk ansvar for Europol på grund af dette agenturs eller den pågældende medlemsstats ulovlige behandling af oplysninger.

47      I denne henseende har appellanten i det væsentlige gjort gældende, at Retten fandt, at skaden skulle bæres af den, som den kunne tilregnes, dvs. enten Europol eller den pågældende medlemsstat, selv om det følger af artikel 49, stk. 3, og af artikel 50 i forordning 2016/794, sammenholdt med 57. betragtning hertil, og de mål, der forfølges med forordningen, at denne forordning fastsætter et solidarisk ansvar for Europol og den medlemsstat, hvor skaden fandt sted, som følge af dette agenturs eller denne medlemsstats ulovlige behandling af oplysninger.

48      Europol, støttet af Den Slovakiske Republik, har gjort gældende, at det første anbringende er ugrundet.

49      Dette agentur har gjort gældende, at Unionens ansvar i henhold til artikel 340 TEUF forudsætter opfyldelse af en række betingelser, herunder at den adfærd, der lægges den pågældende EU-institution til last, er retsstridig. Europol har ligeledes gjort gældende, at Unionen ikke kan ifalde ansvar, såfremt en af dens institutioner ikke har udvist ulovlig adfærd, og at skade forvoldt af medlemsstaterne ikke kan medføre et sådant ansvar. I de situationer, hvor EU-institutionerne og medlemsstaternes myndigheder interagerer, har Domstolen i øvrigt bl.a. præciseret, at Unionens retsinstanser i tilfælde af en skade, der er forvoldt af Unionen og en medlemsstat i fællesskab, først kan træffe afgørelse om skaden, efter at den nationale ret har truffet en afgørelse herom. Unionens og den pågældende medlemsstats solidariske ansvar, når disse handler i fællesskab, er principielt ikke anerkendt i forbindelse med artikel 340, stk. 2, TEUF, men kræver en udtrykkelig henvisning hertil fra EU-lovgivers side.

50      Desuden finder artikel 50 i forordning 2016/794 ikke anvendelse på den behandling af oplysninger, der er omhandlet i det foreliggende tilfælde, da den udelukkende gælder for behandling af oplysninger, der foretages som led i Europols aktiviteter og opgaver. Eftersom den hævdede skadevoldende handling indtrådte i forbindelse med opbevaringen af sagsakterne om den nationale efterforskning, udgør de ikke »ulovlig behandling af oplysninger« som omhandlet i denne artikel, som henhører under denne forordnings anvendelsesområde.

51      I øvrigt fastsætter artikel 50, stk. 1, i forordning 2016/794 ikke udtrykkeligt et solidarisk ansvar for Europol og den pågældende medlemsstat. I henhold til denne bestemmelse er Europol nemlig alene ansvarlig »i henhold til artikel 340 [TEUF]«, hvilket betyder, at et sådant ansvar kun kan pådrages, når de tre betingelser, der følger af denne bestemmelse, er opfyldt. Selv om denne artikel 50, stk. 1, måtte finde anvendelse i den foreliggende sag, kan Europol følgelig ikke ifalde ansvar, når der ikke foreligger nogen ulovlig adfærd fra Europols side, og der ikke er årsagsforbindelse mellem en sådan adfærd og den lidte skade. Desuden kan Unionen ikke være forpligtet til at erstatte skader, der følger af en medlemsstats handling i henhold til den nævnte artikel 50, stk. 1, som kun finder anvendelse på skader, der er forvoldt af Unionen og en medlemsstat i fællesskab, hvilket bekræftes af ordlyden af denne forordnings artikel 50, stk. 2.

52      Ifølge Europol kan det ikke udledes af 57. betragtning til forordning 2016/794, at det forholder sig anderledes. Begrebet »solidarisk ansvar«, der er omhandlet i denne betragtning, forudsætter, at mere end én enhed er ansvarlig for den samme skade, og ikke, at Europol, såfremt agenturet ikke har udvist nogen ulovlig adfærd, kan holdes ansvarlig for en medlemsstats handling. Appellantens fortolkning af den nævnte betragtning er i strid med forordningens rækkevidde og ordlyden af dens artikel 50. Da præamblen til en EU-retsakt ikke er retligt bindende, kan den ikke påberåbes til støtte for at fravige en bestemmelses klare ordlyd.

 Domstolens bemærkninger

53      Det skal først undersøges, om artikel 50, stk. 1, i forordning 2016/794 indfører en ordning med solidarisk ansvar for Europol og den pågældende medlemsstat i tilfælde af ulovlig behandling af oplysninger. I bekræftende fald skal det dernæst afgøres, hvilke betingelser der skal være opfyldt for, at dette ansvar kan ifaldes.

–       Arten af ansvarsordningen i henhold til artikel 50, stk. 1, i forordning 2016/794

54      Med henblik på fortolkningen af artikel 50, stk. 1, i forordning 2016/794, navnlig med henblik på at fastlægge arten af den ansvarsordning, der er fastsat heri, skal der i overensstemmelse med Domstolens faste praksis ikke blot tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori den indgår, og til de mål, der forfølges med den ordning, som den udgør en del af (jf. i denne retning dom af 3.6.2021, TEAM POWER EUROPE, C-784/19, EU:C:2021:427, præmis 43 og den deri nævnte retspraksis).

55      Hvad angår ordlyden af artikel 50, stk. 1, i forordning 2016/794 bestemmer denne, at enhver, der har lidt skade som følge af en ulovlig behandling af oplysninger, har ret til erstatning for den forvoldte skade »enten fra Europol [...] eller fra den medlemsstat, hvor den begivenhed, der gav anledning til skaden, indtraf [...]«. Som generaladvokaten har anført i punkt 38 i forslaget til afgørelse, er denne ordlyd ikke entydig med hensyn til arten af det omhandlede ansvar. Den kan nemlig antyde, at den skadelidte fysiske person skal henvende sig enten til Europol i tilfælde af skade, der helt eller delvis kan tilregnes Europol, eller til den pågældende medlemsstat i tilfælde af skade, der helt eller delvis kan tilregnes denne medlemsstat. For så vidt som det ligeledes kan følge af den nævnte ordlyd, at den person, der har lidt skade, uden forskel kan henvende sig til hver af enhederne – dvs. enten til Europol eller til den pågældende medlemsstat – med henblik på at opnå fuld erstatning for den skade, der er lidt som følge af en ulovlig behandling af oplysninger foretaget inden for rammerne af et samarbejde mellem Europol og denne medlemsstat, udelukker denne ordlyd imidlertid ikke, at den nævnte bestemmelse i denne henseende kan indføre et solidarisk ansvar for de nævnte enheder.

56      Det skal derfor undersøges, om denne bestemmelse, henset til det mål, der forfølges med artikel 50, stk. 1, i forordning 2016/794, og den sammenhæng, hvori den indgår, skaber en ordning med solidarisk ansvar for Europol og den pågældende medlemsstat for så vidt angår de skader, der er lidt som følge af en ulovlig behandling af oplysninger, der er foretaget inden for rammerne af et samarbejde mellem Europol og denne medlemsstat i henhold til denne forordning.

57      Det fremgår af 57. betragtning til forordning 2016/794, som udtrykker dette mål, at »[d]et [...] muligvis ikke [er] klart for den pågældende fysiske person, om den skade, den pågældende har lidt som følge af ulovlig databehandling, skyldes Europols eller en medlemsstats handlinger[, og at] [...] Europol og medlemsstaten, hvor den skadevoldende handling skete, [derfor] bør [...] være solidarisk ansvarlige«.

58      Det følger heraf, at EU-lovgiver – under hensyntagen til den situation, hvor en fysisk person, der har lidt skade som følge af en ulovlig behandling af oplysninger, ikke kan afgøre, om vedkommendes skade kan tilregnes en handling foretaget af Europol eller en medlemsstat, som dette agentur har samarbejdet med – har indført en ordning med solidarisk ansvar mellem Europol og den medlemsstat, hvor den skadevoldende handling skete, med henblik på at sikre denne fysiske person en fuldstændig beskyttelse i tilfælde af, at den pågældende befinder sig i en sådan situation.

59      I denne henseende bemærkes, at selv om en betragtning til en EU-retsakt ikke er retligt bindende, har den en vigtig fortolkningsværdi, idet den kan præcisere indholdet af en bestemmelse i den pågældende retsakt og oplyse om hensigten hos udstederen af denne retsakt (jf. i denne retning dom af 13.7.2023, Kommissionen mod CK Telecoms UK Investments, C-376/20 P, EU:C:2023:561, præmis 104 og 105 og den deri nævnte retspraksis).

60      Ganske vist kan betragtningen til en EU-retsakt ikke påberåbes til støtte for at fravige selve den pågældende retsakts bestemmelser eller til støtte for en fortolkning af disse bestemmelser, der er i åbenbar strid med deres ordlyd (jf. i denne retning dom af 19.6.2014, Karen Millen Fashions, C-345/13, EU:C:2014:2013, præmis 31 og den deri nævnte retspraksis, og af 16.2.2022, Ungarn mod Parlamentet og Rådet, C-156/21, EU:C:2022:97, præmis 191).

61      I det foreliggende tilfælde modsiger 57. betragtning til forordning 2016/794 imidlertid på ingen måde ordlyden af denne forordnings artikel 50, stk. 1. Som det er anført i denne doms præmis 55, kan denne ordlyd nemlig bl.a. fortolkes således, at denne bestemmelse indfører en ordning med solidarisk ansvar for Europol og den pågældende medlemsstat til fordel for den fysiske person, der har lidt skade som følge af en ulovlig behandling af oplysninger foretaget inden for rammerne af et indbyrdes samarbejde mellem dem.

62      Det fremgår af denne analyse, at artikel 50, stk. 1, i forordning 2016/794, sammenholdt med 57. betragtning til denne forordning, i overensstemmelse med EU-lovgivers hensigt om at tilgodese den fysiske person, der har lidt skade, skaber en ordning med solidarisk ansvar for Europol og den pågældende medlemsstat for de skader, der er lidt som følge af en sådan behandling.

63      Denne fortolkning understøttes af den sammenhæng, hvori denne bestemmelse indgår, navnlig af artikel 49 og artikel 50, stk. 2, i forordning 2016/794.

64      For det første fastsætter artikel 49 i forordning 2016/794 nemlig ifølge sin overskrift almindelige bestemmelser om ansvar og ret til erstatning. Det fremgår derimod af overskriften til forordningens artikel 50, at denne artikel specifikt vedrører ansvaret for en forkert behandling af personoplysninger og den deraf følgende ret til erstatning. Den omstændighed, at den nævnte artikel 50 har karakter af en undtagelse i forhold til de almindelige principper om Unionens ansvar uden for kontraktforhold, fremhæves navnlig i den nævnte forordnings artikel 49, stk. 3, sammenholdt med 56. betragtning hertil.

65      I henhold til sidstnævnte bestemmelse skal Europol for så vidt angår ansvar uden for kontraktforhold i overensstemmelse med de almindelige retsgrundsætninger, der er fælles for medlemsstaternes retssystemer, erstatte skader forvoldt af Europols tjenestegrene eller af dets ansatte under udførelsen af deres hverv. I denne regel er dog tilføjet »jf. dog artikel 49« i forordning 2016/794.

66      I denne henseende bemærkes, at henvisningen til »artikel 49« i teksten i denne forordnings artikel 49, stk. 3, udgør en åbenbar redaktionel fejl. Denne henvisning ville nemlig være meningsløs, hvis den henviste til den artikel, som den er en del af. Eftersom samme forordnings artikel 50 fastsætter en undtagelsesordning i forhold til de almindelige regler om Unionens ansvar uden for kontraktforhold som omhandlet i nævnte artikel 49, stk. 3, skal sidstnævnte bestemmelse, for så vidt angår den første del, der indeholder udtrykket »jf. dog«, følgelig læses således, at den henviser til denne artikel 50.

67      56. betragtning til forordning 2016/794 underbygger den fortolkning, der er anlagt i den foregående præmis, idet det deri er anført, at »[d]e almindelige regler om ansvar i og uden for kontrakt, der gælder for EU-institutionerne og EU-agenturer og ‑organer, bør finde anvendelse på Europol, dog med undtagelse af reglerne om ansvar for ulovlig databehandling«.

68      Det følger heraf, at artikel 50 i forordning 2016/794 har til formål at indføre en særordning om ansvar uden for kontraktforhold for så vidt angår ulovlig behandling af oplysninger, som fraviger den almindelige ansvarsordning, der er fastsat i denne forordning.

69      For det andet fremgår det af artikel 50, stk. 2, i forordning 2016/794, at den omstændighed, at Europol eller den pågældende medlemsstat drages til ansvar ved Den Europæiske Unions Domstol eller den kompetente nationale retsinstans for en ulovlig behandling af oplysninger foretaget inden for rammerne af et samarbejde mellem dem, kun udgør det første af to trin i den ansvarsmekanisme, der er fastsat i denne forordnings artikel 50. Ifølge artikel 50, stk. 2, i denne forordning består det andet trin i denne mekanisme nemlig i at fastlægge Europols og/eller den pågældende medlemsstats »endelige ansvar« for erstatning, der tilkendes en skadelidt i henhold til denne forordnings artikel 50, stk. 1, idet Europols bestyrelse kan forelægges tvister mellem Europol og medlemsstaterne i denne henseende, idet dette dog ikke griber ind i retten til prøvelse af bestyrelsens afgørelse for Den Europæiske Unions Domstol i henhold til artikel 263 TEUF.

70      Den mulighed, der er fastsat i artikel 50, stk. 2, i forordning 2016/794, for inden for rammerne af dette andet trin at få Europols bestyrelse til at fastlægge det »endelige ansvar«, der påhviler den enhed, som den ulovlige adfærd, der ligger til grund for tabet, kan tilregnes, eller den del af ansvaret, der påhviler hver enkelt enhed i tilfælde af sammenstød af ulovlig adfærd, har imidlertid ingen eksistensberettigelse, hvis disse enheder ikke er solidarisk ansvarlige.

71      Henset til det ovenstående skal det fastslås, at artikel 50 i forordning 2016/794, sammenholdt med artikel 49, stk. 3, i og 56. og 57. betragtning til denne forordning, indfører en ordning med solidarisk ansvar for Europol og den medlemsstat, hvor skaden fandt sted som følge af en ulovlig behandling af oplysninger, foretaget inden for rammerne af et samarbejde mellem dem i henhold til den nævnte forordning.

72      Som generaladvokaten har anført i punkt 51 i forslaget til afgørelse, er denne ordning med solidarisk ansvar ikke ukendt i EU-reglerne om databehandling. Artikel 82, stk. 4, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1) fastsætter således et sådant ansvar i tilfælde af, at der er flere dataansvarlige.

–       Betingelser for at ifalde ansvar i henhold til artikel 50, stk. 1, i forordning 2016/794

73      I overensstemmelse med de betingelser, der følger af artikel 340 TEUF, som artikel 50, stk. 1, i forordning 2016/794 henviser til i det tilfælde, hvor den person, der har lidt skade, anlægger sag mod Europol, forudsætter Unionens ansvar uden for kontraktforhold i henhold til denne artikel 340 TEUF, at en række betingelser er opfyldt, nemlig at den adfærd, som den pågældende EU-institution eller det pågældende EU-organ, ‑kontor eller ‑agentur lægges til last, har været retsstridig, at der foreligger en faktisk skade, og at der er en årsagsforbindelse mellem denne adfærd og den hævdede skade (jf. i denne retning dom af 16.12.2020, Rådet mod K. Chrysostomides & Co. m.fl., C-597/18 P, C-598/18 P, C-603/18 P og C-604/18 P, EU:C:2020:1028, præmis 79 og 80 og den deri nævnte retspraksis).

74      I den specifikke sammenhæng, som forordning 2016/794 indgår i, fremgår det af ordlyden af denne forordnings artikel 50, stk. 1, at enhver, der på grundlag af denne bestemmelse ønsker at gøre sin ret til erstatning gældende over for enten Europol eller den medlemsstat, som den pågældende kritiserer, skal godtgøre, at der foreligger en »ulovlig behandling af oplysninger«, en »skade« og en årsagsforbindelse mellem denne behandling og denne skade. Henset til den første af de betingelser, der er nævnt i den foregående præmis, skal denne person således alene godtgøre, at der er blevet foretaget en ulovlig behandling af oplysninger inden for rammerne af et samarbejde, der har involveret Europol og en medlemsstat i henhold til den nævnte forordning.

75      Som det er anført i denne doms præmis 57 og 58, består det mål, der forfølges med artikel 50, stk. 1, i forordning 2016/794, i henhold til 57. betragtning til denne forordning i at imødegå de vanskeligheder, som den pågældende fysiske person kan blive udsat for med hensyn til at fastslå, om den skade, der er lidt som følge af en ulovlig behandling af oplysninger inden for rammerne af et sådant samarbejde, er en følge af en handling fra Europols eller den pågældende medlemsstats side.

76      Det kan ikke kræves af denne person, at vedkommende godtgør, hvem – Europol eller den pågældende medlemsstat – denne skade kan tilregnes, eller at vedkommende anlægger sag mod disse to enheder med henblik på at opnå fuld erstatning for sin skade, da den nævnte artikel 50, stk. 1, sammenholdt med 57. betragtning, ellers ville blive berøvet sin effektive virkning.

77      I sidstnævnte henseende bemærkes, at artikel 50, stk. 1, i forordning 2016/794 ikke fastsætter, at den pågældende fysiske person kan sagsøge de to enheder, der potentielt er ansvarlige for ulovlig behandling af oplysninger, ved den samme retsinstans, idet denne bestemmelse forpligter denne person til at anlægge sag mod Europol ved Den Europæiske Unions Domstol eller anlægge sag mod medlemsstaten ved en kompetent retsinstans i denne medlemsstat.

78      For det første kan det – selv om den pågældende medlemsstat og Europol har mulighed for at intervenere ved henholdsvis Retten eller en retsinstans i denne medlemsstat – følgelig ikke udelukkes, at denne person er tvunget til at anlægge sag, uden at en af disse enheder er til stede. For det andet følger det under alle omstændigheder af den foregående præmis, at hvis de to enheder er til stede under sagen for den retsinstans, for hvilken sagen er indbragt, er det kun den ene af disse enheders ansvar, der kan undersøges inden for rammerne af den verserende sag, hvilket kan skade fastlæggelsen af de faktiske omstændigheder. Endelig risikerer de søgsmål, som den pågældende person har anlagt mod Europol ved Retten og mod den pågældende medlemsstat ved retsinstanserne i denne medlemsstat, at føre til, at disse to retsinstanser på samme måde fastslår, at ingen af disse sagsøgte enheder er ansvarlige, idet den pågældende person ikke i tilstrækkelig grad har godtgjort, at den hævdede skade kan tilregnes dem.

79      Det er netop for at tage hensyn til disse bevismæssige vanskeligheder, at EU-lovgiver i artikel 50 i forordning 2016/794 for så vidt angår erstatning for skade forvoldt ved en ulovlig behandling af oplysninger har fastsat en ansvarsmekanisme i to trin, som dels fritager den pågældende fysiske person for byrden med at påvise identiteten af den enhed, hvis adfærd har forvoldt den påståede skade, dels fastsætter, at det »endelige ansvar« for denne skade, efter at denne person er blevet fyldestgjort, i givet fald skal afgøres endeligt inden for rammerne af en procedure, der kun involverer Europol og den pågældende medlemsstat for Europols bestyrelse.

80      Det følger heraf, at artikel 50, stk. 1, i forordning 2016/794, sammenholdt med 57. betragtning til denne forordning, skal fortolkes således, at denne bestemmelse ikke pålægger den pågældende fysiske person, som har bevist, at der foreligger en ulovlig behandling af oplysninger, som er foretaget inden for rammerne af et samarbejde mellem Europol og en medlemsstat i henhold til nævnte forordning, byrden med at identificere, hvilken af de enheder, der er involveret i dette samarbejde, som har udvist den adfærd, der udgør denne ulovlige behandling.

81      For at pålægge Europol eller den pågældende medlemsstat solidarisk ansvar og med henblik på at gøre det muligt for den berørte fysiske person at opnå fuld erstatning for sit tab enten ved Unionens retsinstanser eller ved de nationale retter i henhold til artikel 50, stk. 1, i forordning 2016/794, er det tilstrækkeligt, at denne person godtgør, at der i forbindelse med et samarbejde mellem Europol og den pågældende medlemsstat i henhold til denne forordning er blevet foretaget en ulovlig behandling af oplysninger, som har forvoldt vedkommende skade, uden at det kræves, at den pågældende derudover godtgør, hvilken af disse to enheder denne ulovlige behandling kan tilregnes.

82      Når dette er sagt, står det den sagsøgte enhed frit for ved hjælp af alle retsmidler at godtgøre, at den hævdede skade er udelukket i forbindelse med en angiveligt ulovlig behandling af oplysninger, der er foretaget inden for rammerne af et sådant samarbejde. Dette vil f.eks. være tilfældet, hvis denne enhed godtgør, at skaden er forårsaget af faktiske omstændigheder, der ligger forud for det samarbejde, der er blevet indledt i henhold til forordning 2016/794.

83      Det følger af samtlige ovenstående betragtninger, at Retten – ved i den appellerede doms præmis 91 at forkaste appellantens første påstand med den begrundelse, at han ikke havde godtgjort, at videregivelsen af personoplysninger vedrørende ham kunne tilregnes Europol, og derfor »ikke havde ført bevis for en tilstrækkeligt godtgjort årsagsforbindelse mellem den hævdede skade inden for rammerne af [denne påstand] og en eventuel adfærd fra Europols side«, og ved i den appellerede doms præmis 92-95 at fastslå, at denne forkastelse ikke blev draget i tvivl af 57. betragtning til og artikel 49, stk. 3, og artikel 50 i forordning 2016/794 – begik en retlig fejl, idet den med urette fastslog, at denne forordnings artikel 50, stk. 1, sammenholdt med 57. betragtning hertil, ikke fritog den pågældende fysiske person fra at godtgøre, hvilken af de to involverede enheder den ulovlige behandling af oplysninger kunne tilregnes.

84      Det følger heraf, at det første anbringende er begrundet.

85      Denne retlige fejl påvirker Rettens forkastelse af den første påstand i det hele, således som denne påstand var afgrænset i den appellerede doms præmis 49, idet denne afgrænsning ikke er blevet anfægtet inden for rammerne af appelsagen.

86      Følgelig skal det første appelanbringende tages til følge, og den appellerede dom ophæves, for så vidt som Retten forkastede denne første – således afgrænsede – påstand som ugrundet.

 Det andet til det fjerde anbringende

87      Det andet til det fjerde appelanbringende vedrører – ligesom det første anbringende – forkastelsen af den første påstand, hvormed der kræves erstatning for den ikkeøkonomiske skade, som appellanten har lidt som følge af videregivelsen til offentligheden af personoplysninger hidrørende fra de omhandlede mobiltelefoner.

88      Da undersøgelsen af det andet til det fjerde anbringende ikke kan føre til en mere vidtgående ophævelse af den appellerede dom end den, der følger af, at det første anbringende er blevet taget til følge, er det ufornødent at behandle disse anbringender.

 Det sjette anbringende

 Parternes argumentation

89      Det sjette anbringende, som skal behandles før det femte, omfatter to led og vedrører den appellerede doms præmis 102 og 106-111.

90      Med det sjette anbringendes første led har appellanten kritiseret Retten for, at den i disse præmisser i den appellerede dom fejlagtigt konkluderede, at der ikke var nogen årsagsforbindelse mellem den hævdede ulovlige adfærd i forbindelse med den anden påstand, dvs. Europols opførelse af hans navn på »mafialisterne« eller Europols fastlæggelse af en forbindelse mellem ham og disse lister, og den skade, som han hævder at have lidt som følge af denne opførelse eller fastlæggelse af denne forbindelse.

91      Til støtte for dette første led har appellanten gjort gældende, at Europol ikke har begrundet fastlæggelsen af en sådan forbindelse mellem ham og »mafialisterne«, og at dette agentur ved fastlæggelsen af denne forbindelse har tilsidesat proportionalitetsprincippet ved at overskride sin opgave, der alene består i at analysere den omhandlede USB-enhed.

92      Da Europols rapport var en del af de nationale strafferetlige sagsakter vedrørende appellanten, og da oplysningerne i disse sagsakter var lækket, skal det desuden fastslås, at der er en årsagsforbindelse mellem Europols ulovlige adfærd og den skade, som appellanten har lidt. Den omstændighed, at ingen af de omhandlede avisartikler nævner denne rapport, således som Retten anførte i den appellerede doms præmis 107, rejser ikke tvivl om, at der er en sådan årsagsforbindelse.

93      Appellanten har i øvrigt gjort gældende, at Europol er den eneste, der i den nævnte rapport har fastlagt denne forbindelse mellem ham og »mafialisterne«, selv om hverken national ret eller EU-retten giver mulighed for at udarbejde og føre sådanne lister. I denne henseende kan der ikke tages hensyn til de slovakiske medier, ifølge hvilke de slovakiske politimyndigheder førte »mafialister«. Desuden har Europol ved at støtte sig på offentligt tilgængelige kilder med henblik på at fastlægge den nævnte forbindelse tilsidesat de forpligtelser, der påhviler agenturet i henhold til artikel 29, stk. 6, i forordning 2016/794. Ifølge appellanten kan det udledes af den omstændighed, at Europols rapport ikke angiver, at agenturet har fundet oplysninger om forbindelsen mellem appellanten og »mafialisterne« i medierne, og af den omstændighed, at denne oplysning udtrykkeligt fremgår af denne rapport, at Europol har fastlagt denne forbindelse, som ikke fremgår af »sensationspressen«.

94      Dette anbringendes andet led vedrører en urigtig gengivelse af beviserne. Appellanten har gjort gældende, at Rettens konstatering i den appellerede doms præmis 108 og 109, hvorefter det følger af de avisartikler, der blev fremlagt under sagen for Retten, at appellanten var blevet kvalificeret som »mafioso« allerede inden udarbejdelsen af Europols rapport, er fejlagtig. Overskriften på den avisartikel, der blev offentliggjort den 28. februar 2012, som præsenterer appellanten som »mafiosoen, som ikke eksisterer«, er beviset for, at han ikke havde nogen forbindelse med »mafialisterne«.

95      Europol og Den Slovakiske Republik har nedlagt påstand om, at det sjette anbringende forkastes.

 Domstolens bemærkninger

96      Hvad angår det sjette anbringendes andet led, som skal behandles først, bemærkes, at det følger af fast retspraksis, at der bl.a. foreligger en urigtig gengivelse af beviserne, når Retten åbenbart har overskredet grænserne for en rimelig bedømmelse af disse beviser. Denne urigtige gengivelse skal fremgå åbenlyst af sagens akter, uden at det skal være fornødent at foretage en fornyet vurdering af de faktiske omstændigheder og beviserne. Det er i denne henseende ikke tilstrækkeligt at godtgøre, at et dokument kan være genstand for en anden fortolkning end den, som Retten lagde til grund (jf. i denne retning dom af 16.2.2023, Kommissionen mod Italien og Spanien, C-635/20 P, EU:C:2023:98, præmis 127 og den deri nævnte retspraksis).

97      I det foreliggende tilfælde fastslog Retten i den appellerede doms præmis 108, at »det tidsmæssige sammenfald, som [appellanten] har påberåbt sig, modsiges af de beviser, som [appellanten] selv og Europol har fremlagt«. I denne henseende bemærkede Retten i samme præmis, at »[appellanten] i stævningen [henviste til] en avisartikel, der blev offentliggjort den 28. februar 2012 med overskriften »Marián Kočner. Mafiosoen, som ikke eksisterer«, og hvori det hed, at »entreprenøren Marián Kočner, som er på de såkaldte »mafialister«, som politiet lækkede i 2005, fremgår af rubrikken »motorkøretøjer af interesse««, og at »Europol [henviste] til avisartikler offentliggjort den 21. juni 2005 og den 9. juli 2017, hvori der ligeledes henvises til [appellantens] mulige involvering i mafiaen«.

98      Det fremgår således, at Retten støttede sin konklusion om, at appellanten allerede inden udarbejdelsen af Europols rapport var blevet kvalificeret som »mafioso«, på en række avisartikler vedrørende appellanten og ikke kun på den artikel fra 2012, som sidstnævnte havde fremlagt, og som ifølge ham adskilte ham fra »mafialisterne«. I modsætning til, hvad appellanten har gjort gældende, overskred Retten ved denne fremgangsmåde hverken grænserne for en rimelig bedømmelse af disse forhold i deres helhed eller gengav den nævnte avisartikel, som appellanten havde påberåbt sig, urigtigt ved at fortolke den på en måde, der var uforenelig med dens ordlyd.

99      Følgelig må det sjette anbringendes andet led forkastes som ugrundet.

100    Hvad angår dette anbringendes første led skal det bemærkes, at på området for Unionens ansvar uden for kontraktforhold er spørgsmålet, om der er årsagsforbindelse mellem den omstændighed, der har givet anledning til skadens opståen og skaden, hvilket er en betingelse for, at dette ansvar kan ifaldes, et retsspørgsmål, som derfor er undergivet Domstolens prøvelsesret (dom af 16.7.2009, Kommissionen mod Schneider Electric, C-440/07 P, EU:C:2009:459, præmis 192, og kendelse af 3.9.2019, FV mod Rådet, C-188/19 P, EU:C:2019:690, præmis 36). Denne prøvelse kan imidlertid ikke bestå i, at Domstolen omprøver Rettens konstateringer og vurderinger af de faktiske omstændigheder (jf. i denne retning dom af 16.7.2009, Kommissionen mod Schneider Electric, C-440/07 P, EU:C:2009:459, præmis 193).

101    Det må imidlertid konstateres, at appellanten med dette første led reelt tilsigter at rejse tvivl om visse faktuelle vurderinger, som Retten har foretaget på baggrund af de beviser, der blev fremlagt for den. Der er for det første tale om vurderingen i den appellerede doms præmis 102, hvorefter appellanten ikke havde fremlagt noget bevis, der kunne godtgøre, at de »mafialister«, som hans navn angiveligt var blevet opført på, var blevet udarbejdet og ført af Europol. For det andet har appellanten ligeledes rejst tvivl om Rettens vurdering, hvorefter der ikke var nogen årsagsforbindelse mellem Europols angiveligt ulovlige adfærd og den hævdede skade, for så vidt som Retten dels i den appellerede doms præmis 107 fastslog, at appellanten ikke havde fremlagt noget bevis for, at de oplysninger, der blev offentliggjort i denne henseende, stammede fra Europols rapport, dels i denne doms præmis 108 og 109 fastslog, at den slovakiske presse længe før begyndelsen af 2019 allerede præsenterede appellanten som en mafioso. Eftersom appellanten med dette led ikke har påberåbt sig en urigtig gengivelse af beviserne, er de nævnte vurderinger ikke omfattet af Domstolens prøvelsesret.

102    Det sjette anbringendes første led skal følgelig afvises.

103    Det følger heraf, at dette anbringende skal forkastes, idet det delvist skal afvises, delvist er ugrundet.

 Det femte anbringende

104    Med det femte anbringende, der er støttet på den samme argumentation som den, der er fremført til støtte for det første anbringende, har appellanten kritiseret Retten for at have begået en retlig fejl ved i den appellerede doms præmis 105 at beslutte ikke at tage hensyn til 57. betragtning til forordning 2016/794 med henblik på at fastlægge Europols ansvar med den begrundelse, at præamblen til en forordning ikke er retligt bindende. Det følger heraf, at Retten fejlagtigt forkastede den anden påstand om erstatning for den skade, som appellanten mener at have lidt som følge af Europols angivelige opførelse af hans navn på »mafialisterne«, idet den fastslog, at der ikke findes nogen mekanisme for solidarisk ansvar, som kommer til udtryk eller er baseret på bestemmelserne i denne forordning i tilfælde af Europols eller den pågældende medlemsstats ulovlige behandling af oplysninger.

105    Europol, støttet af Den Slovakiske Republik, har nedlagt påstand om, at det femte anbringende forkastes, idet Europol har påberåbt sig de samme argumenter som dem, der er nævnt i denne doms præmis 49-52, som svar på den argumentation, som appellanten har fremført i forbindelse med det første anbringende.

106    I denne henseende bemærkes, at Retten – som er den eneste, der har kompetence til at fastlægge og bedømme de faktiske omstændigheder og til at bedømme de beviser, som den har lagt til grund ved fastlæggelsen af disse faktiske omstændigheder – med henblik på at forkaste den anden påstand om erstatning for den skade, som appellanten mener at have lidt som følge af Europols opførelse af hans navn på »mafialisterne«, støttede sig på flere forhold. Retten fastslog således for det første i den appellerede doms præmis 102 – hvortil der henvises i det sjette appelanbringende, der er blevet forkastet – at appellanten ikke havde godtgjort, at de »mafialister«, hvorpå hans navn var blevet opført, var blevet udarbejdet og ført af Europol. For det andet fastslog Retten i den appellerede doms præmis 108 og 109 – hvortil der ligeledes henvises i det sjette appelanbringende, der er blevet forkastet – at det tidsmæssige sammenfald, som appellanten havde påberåbt sig, mellem Europols rapport og udviklingen i den måde, hvorpå appellanten blev beskrevet i den slovakiske presse, som, efter at sagsakterne i den nationale straffesag, der vedrørte ham, var blevet lækket, præsenterede sidstnævnte som en »mafioso« eller som »en person, der er opført på mafialisterne«, blev modsagt af de beviser, som såvel appellanten som Europol havde fremlagt med henvisning til avisartikler offentliggjort i 2005, 2012 og 2017. I denne henseende fastslog Retten desuden i den appellerede doms præmis 109, at »den slovakiske presse længe før begyndelsen af 2019 allerede præsenterede [appellanten] som »en mafioso« og ikke blot som en »kontroversiel entreprenør««, og udelukkede på grundlag af disse beviser, at »denne præsentation af [appellanten] kunne skyldes, at sagsakterne i [den nationale] straffesag [vedrørende ham], [som indeholdt] Europols rapport, var blevet lækket«.

107    Det fremgår således navnlig af konstateringerne i den appellerede doms præmis 108 og 109, at det er udelukket, at den skade, som appellanten har påberåbt sig, kan være forbundet med en eventuel ulovlig behandling af oplysninger, der har fundet sted inden for rammerne af samarbejdet mellem Europol og de slovakiske myndigheder, eftersom Europols rapport er fremkommet efterfølgende og alene af denne grund ikke har noget at gøre med den begivenhed, der gav anledning til skaden, som appellanten har påberåbt sig i forbindelse med den anden påstand. Som anført i denne doms præmis 96-102, har appellanten ikke inden for rammerne af det sjette anbringende godtgjort, at Retten for så vidt angår disse konstateringer har foretaget en urigtig gengivelse af beviser eller en retlig fejl.

108    Følgelig er den betingelse, der er nævnt i denne doms præmis 81, og som kræves opfyldt for, at Europol ifalder solidarisk ansvar på grundlag af artikel 50, stk. 1, i forordning 2016/794, ikke opfyldt i det foreliggende tilfælde, således at dette ansvar under alle omstændigheder ikke kan pådrages i henhold til den anden påstand.

109    Det følger heraf, at det femte anbringende til trods for den retlige fejl, som Retten begik ved i den appellerede doms præmis 105 og af de grunde, der er anført i denne doms præmis 92-95, at se bort fra selve princippet om Europols solidariske ansvar i forbindelse med denne forordning, skal forkastes som uvirksomt.

110    Da det femte og det sjette anbringende er blevet forkastet, følger det heraf, at appellen skal forkastes, for så vidt som den vedrører den anden påstand.

 Søgsmålet for Retten

111    I overensstemmelse med artikel 61, stk. 1, andet punktum, i statutten for Den Europæiske Unions Domstol kan Domstolen, når den ophæver den af Retten trufne afgørelse, selv træffe endelig afgørelse, hvis sagen er moden til påkendelse.

112    I den foreliggende sag finder Domstolen, navnlig henset til den omstændighed, at appellantens søgsmål for Retten var baseret på anbringender, der var genstand for en kontradiktorisk forhandling ved Retten, og hvis undersøgelse ikke nødvendiggør vedtagelsen af supplerende foranstaltninger med henblik på sagens tilrettelæggelse eller oplysning af sagen, at dette søgsmål er modent til påkendelse, og at der skal træffes endelig afgørelse herom inden for rammerne af den tvist, der stadig verserer for den (jf. analogt dom af 4.3.2021, Kommissionen mod Fútbol Club Barcelona, C-362/19 P, EU:C:2021:169, præmis 108 og den deri nævnte retspraksis).

113    Henset til den delvise ophævelse af den appellerede dom skal der alene tages stilling til den første påstand, der blev nedlagt for Retten, som afgrænset i den appellerede doms præmis 49.

114    Appellanten har på grundlag af artikel 268 TEUF og 340 TEUF samt artikel 50, stk. 1, i forordning 2016/794 nedlagt påstand om betaling af et beløb på 50 000 EUR i erstatning for den skade, som han mener at have lidt som følge af videregivelsen til offentligheden af personoplysninger fra de omhandlede mobiltelefoner, som var blevet stillet til rådighed for offentligheden på internettet og gengivet af den slovakiske presse. Denne videregivelse af personoplysninger som følge af offentliggørelsen af dem har skadet hans ære og faglige omdømme, retten til respekt for hans privatliv og familieliv samt retten til respekt for hans kommunikation, som er sikret ved chartrets artikel 7.

115    I denne henseende har appellanten, idet han har støttet sig på 57. betragtning til forordning 2016/794, gjort gældende, at Europol kan holdes solidarisk ansvarlig på grundlag af denne forordnings artikel 50, stk. 1, hvis den skade, som han hævder at have lidt som følge af en ulovlig behandling af oplysninger, skyldes Europols eller en medlemsstats handlinger.

116    Europol har gjort gældende, at det ikke er godtgjort, at agenturet har foretaget en ulovlig behandling af oplysninger, eftersom det ikke er godtgjort, at lækagen af oplysninger vedrørende appellanten hidrørte fra det. Under alle omstændigheder medfører enhver lækage af oplysninger, selv om den måtte anses for godtgjort, ikke automatisk, at Europol ifalder ansvar uden for kontraktforhold. Europol har således gjort gældende, at det følger af Domstolens praksis, at EU’s organer kun kan ifalde ansvar uden for kontraktforhold bl.a. på den betingelse, at der foreligger en tilstrækkeligt kvalificeret tilsidesættelse af en retsregel, som har til formål at tillægge borgerne rettigheder. Artikel 32, stk. 1, i forordning 2016/794 fastsætter ikke en absolut resultatforpligtelse, men pålægger alene Europol at træffe de nødvendige tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod enhver form for uautoriseret behandling, hvilket Europol har gjort. Europol har desuden aldrig behandlet de oplysninger, der er udtrukket fra de omhandlede mobiltelefoner, i dekrypteret og forståelig form.

117    Ifølge Domstolens faste praksis forudsætter Unionens ansvar uden for kontraktforhold i henhold til artikel 340, stk. 2, TEUF, at en række betingelser er opfyldt, nemlig at der foreligger en tilstrækkeligt kvalificeret tilsidesættelse af en retsregel, som har til formål at tillægge borgerne rettigheder, at der foreligger en virkelig skade, og at der er en årsagsforbindelse mellem tilsidesættelsen af den forpligtelse, der påhviler den, som har udstedt retsakten, og de skadelidtes skade (dom af 10.9.2019, HTTS mod Rådet, C-123/18 P, EU:C:2019:694, præmis 32 og den deri nævnte retspraksis).

118    Det fremgår af denne retspraksis, at den første betingelse for at ifalde dette ansvar, som vedrører ulovligheden af den adfærd, som den pågældende EU-institution eller det pågældende EU-organ, ‑kontor eller ‑agentur lægges til last, som omhandlet i den retspraksis, der er nævnt i denne doms præmis 73, omfatter to led, nemlig at det dels er nødvendigt, at der er sket en tilsidesættelse af en EU-retlig regel, som har til formål at tillægge borgerne rettigheder, dels at denne tilsidesættelse er tilstrækkeligt kvalificeret (jf. i denne retning dom af 10.9.2019, HTTS mod Rådet, C-123/18 P, EU:C:2019:694, præmis 36).

119    Hvad angår denne betingelses første led følger det af fast retspraksis, at borgernes rettigheder ikke blot består, når de udtrykkeligt er indrømmet i EU-retlige bestemmelser, men også, når disse pålægger borgerne, medlemsstaterne eller EU-institutioner, ‑organer, ‑kontorer eller ‑agenturer entydige positive eller negative forpligtelser (jf. i denne retning dom af 22.12.2022, Ministre de la Transition écologique og Premier ministre (Statens hæftelse for luftforurening), C-61/21, EU:C:2022:1015, præmis 46). Denne regel gælder også for forpligtelser, der er pålagt i henhold til EU-retten inden for rammerne af samarbejdet mellem et EU-agentur, såsom Europol, og medlemsstaterne.

120    Tilsidesættelsen af sådanne forpligtelser kan gøre indgreb i de rettigheder, der således implicit er tillagt borgerne i medfør af de pågældende EU-retlige bestemmelser. Den fulde virkning af disse bestemmelser og beskyttelsen af de rettigheder, som disse har til formål at tillægge, kræver, at borgerne har mulighed for at opnå erstatning (jf. i denne retning dom af 22.12.2022, Ministre de la Transition écologique og Premier ministre (Statens hæftelse for luftforurening), C-61/21, EU:C:2022:1015, præmis 47).

121    I det foreliggende tilfælde skal det fastslås, at forordning 2016/794 pålægger Europol og de kompetente myndigheder i medlemsstaterne, der skal samarbejde med dette EU-agentur med henblik på strafforfølgning, en forpligtelse til at beskytte borgerne mod ulovlig behandling af personoplysninger, der vedrører dem, hvilket navnlig følger af artikel 2, litra h), i) og k), artikel 28, stk. 1, litra a) og f), og artikel 38, stk. 4, sammenholdt med artikel 50, stk. 1, i denne forordning.

122    Artikel 2, litra k), i forordning 2016/794 definerer nemlig en »behandling« som enhver operation eller række af operationer, med eller uden brug af automatisk databehandling, som personoplysninger eller sæt af personoplysninger gøres til genstand for, f.eks. videregivelse ved transmission, formidling eller anden tilrådighedsstillelse. Denne forordnings artikel 2, litra h) og i), definerer »personoplysninger« som enhver form for information om »en registreret«, hvorved forstås en identificeret eller identificerbar fysisk person. I øvrigt kræver den nævnte forordnings artikel 28, stk. 1, litra a) og f), at personoplysninger behandles »loyalt og lovligt« og på en måde, der sikrer tilstrækkelig sikkerhed for personoplysningerne. Ifølge samme forordnings artikel 38, stk. 4, er Europol ansvarlig for overholdelsen af disse principper, som er omhandlet i den nævnte artikel 28, stk. 1, litra a) og f). Endelig indeholder artikel 50, stk. 1, i forordning 2016/794 – for så vidt som den pålægger de enheder, der er involveret i samarbejdet i henhold til denne forordning, at erstatte den skade, som en fysisk person har lidt som følge af en ulovlig behandling af oplysninger – en implicit forpligtelse for disse enheder til at beskytte enhver fysisk person mod enhver ulovlig form for tilrådighedsstillelse af personoplysninger om vedkommende.

123    Det følger af en samlet læsning af de bestemmelser, der er nævnt i de to foregående præmisser, at enhver videregivelse af personoplysninger, der er genstand for behandling inden for rammerne af et samarbejde mellem Europol og de kompetente nationale myndigheder i henhold til forordning 2016/794, til personer, der ikke har ret til at gøre sig bekendt hermed, udgør en tilsidesættelse af en EU-retlig regel, som har til formål at tillægge borgerne rettigheder.

124    I det foreliggende tilfælde følger det af Rettens konstateringer i den appellerede doms præmis 1, 2, 44, 84, 85 og 90, som Domstolen lægger til grund, at personoplysninger vedrørende appellanten – der består i intime samtaler mellem ham og hans veninde, som var indeholdt i de omhandlede mobiltelefoner, som de slovakiske myndigheder udleverede til Europol inden for rammerne af et samarbejde i henhold til forordning 2016/794 – blev udtrukket af disse telefoner, og at disse oplysninger, som først var i Europols besiddelse og fra den 23. oktober 2018 i Europols og disse myndigheders besiddelse, blev videregivet til personer, der ikke havde ret til at gøre sig bekendt hermed, hvilket resulterede i, at de blev offentliggjort i den slovakiske presse den 20. maj 2019. Sådanne omstændigheder viser, at der er tale om en tilsidesættelse som omhandlet i den foregående præmis.

125    I denne henseende skal Europols argument om, at Europol havde overholdt sine forpligtelser i henhold til forordning 2016/794 ved at træffe de nødvendige tekniske og organisatoriske foranstaltninger til at beskytte personoplysninger mod enhver form for uautoriseret behandling, forkastes. Som anført i denne doms præmis 80, indfører denne forordnings artikel 50, stk. 1, nemlig en ordning med solidarisk ansvar, inden for rammerne af hvilken den person, der mener at være offer for en ulovlig behandling af oplysninger, er fritaget for at godtgøre, hvilken af de enheder, der er involveret i et samarbejde i henhold til den nævnte forordning, en sådan behandling kan tilregnes, idet dette dog ikke griber ind i Europols mulighed for i givet fald efterfølgende at forelægge sagen for sin bestyrelse på grundlag af samme forordnings artikel 50, stk. 2, med henblik på at få fastlagt det endelige ansvar for den erstatning, der tilkendes denne person.

126    Hvad angår det andet led i den første betingelse for, at Unionen ifalder ansvar uden for kontraktforhold, vedrørende kravet om en tilstrækkeligt kvalificeret tilsidesættelse af en EU-retlig regel, som har til formål at tillægge borgerne rettigheder, er det afgørende kriterium i denne forbindelse for at fastslå, at en tilsidesættelse af denne ret er tilstrækkeligt kvalificeret, en åbenbar og grov tilsidesættelse af grænserne for den skønsbeføjelse, som den tilsidesatte regel indebærer (jf. i denne retning dom af 4.7.2000, Bergaderm og Goupil mod Kommissionen, C-352/98 P, EU:C:2000:361, præmis 43 og den deri nævnte retspraksis, og af 4.4.2017, Ombudsmanden mod Staelen, C-337/15 P, EU:C:2017:256, præmis 31 og den deri nævnte retspraksis). Såfremt den pågældende myndighed har et stærkt begrænset eller intet skøn, kan selve den omstændighed, at der er sket en tilsidesættelse af EU-retten, være tilstrækkelig til at bevise, at der foreligger en tilstrækkeligt kvalificeret tilsidesættelse af denne ret (dom af 10.7.2003, Kommissionen mod Fresh Marine, C-472/00 P, EU:C:2003:399, præmis 26 og den deri nævnte retspraksis). Utilgivelige fejl, grov forsømmelighed ved opfyldelse af en pligt eller en klar mangel på påpasselighed udgør en sådan tilsidesættelse (jf. i denne retning dom af 30.1.1992, Finsider m.fl. mod Kommissionen, C-363/88 og C-364/88, EU:C:1992:44, præmis 22 og den deri nævnte retspraksis).

127    Den vurdering, der skal foretages, kræver, at der tages hensyn til det område, de betingelser og den sammenhæng, hvori den pågældende forpligtelse påhviler den pågældende myndighed (jf. i denne retning dom af 4.4.2017, Ombudsmanden mod Staelen, C-337/15 P, EU:C:2017:256, præmis 40 og den deri nævnte retspraksis).

128    Desuden skal der bl.a. tages hensyn til, hvor klar og præcis den tilsidesatte bestemmelse er, såvel som til, hvor vidt et skøn denne regel overlader den pågældende myndighed (jf. i denne retning dom af 30.5.2017, Safa Nicu Sepahan mod Rådet, C-45/15 P, EU:C:2017:402, præmis 30 og den deri nævnte retspraksis), kompleksiteten af de forhold, der skal reguleres, og vanskelighederne ved at anvende eller fortolke bestemmelserne (dom af 19.4.2007, Holcim (Deutschland) mod Kommissionen, C-282/05 P, EU:C:2007:226, præmis 50 og den deri nævnte retspraksis).

129    I det foreliggende tilfælde skal det for det første fastslås, at de bestemmelser, der er nævnt i denne doms præmis 122 og 123, ikke overlader de enheder, der er involveret i et samarbejde i henhold til forordning 2016/794, nogen skønsmargen med hensyn til deres forpligtelse til at beskytte enhver fysisk person mod enhver form for ulovlig tilrådighedsstillelse af personoplysninger om vedkommende ved at træffe de nødvendige tekniske og organisatoriske foranstaltninger til dette formål. For det andet indgår denne forpligtelse i en følsom sammenhæng med et samarbejde mellem Europol og medlemsstaterne med henblik på strafforfølgning, hvor sådanne oplysninger behandles uden nogen form for indgriben fra de registreredes side, oftest uden deres vidende, og således uden at disse personer på nogen måde kan gribe ind med henblik på at forhindre en eventuel ulovlig behandling af deres oplysninger.

130    Den intime karakter af de oplysninger, der kan være indeholdt i medier som dem, der er omhandlet i den foreliggende sag, forstærker nødvendigheden af strengt at sikre beskyttelsen af disse oplysninger vedrørende appellanten, og dette så meget desto mere som de nævnte oplysninger ikke havde nogen forbindelse til de forhold, som appellanten blev retsforfulgt for.

131    Under disse omstændigheder skal det, henset til Rettens konstateringer, der er nævnt i denne doms præmis 124, fastslås, at den ulovlige behandling af de nævnte oplysninger, som blev foretaget inden for rammerne af samarbejdet mellem Europol og de slovakiske myndigheder i henhold til forordning 2016/794, udgjorde en tilstrækkeligt kvalificeret tilsidesættelse af en EU-retlig regel, som har til formål at tillægge borgerne rettigheder.

132    Det skal tilføjes, at Europols argument om, at agenturet aldrig har haft adgang til de oplysninger, der blev udtrukket af de omhandlede mobiltelefoner i dekrypteret og forståelig form, ikke kan rejse tvivl om selve eksistensen af en sådan tilsidesættelse som følge af den ulovlige behandling af oplysninger, der blev foretaget inden for rammerne af dette samarbejde. Som det fremgår af denne doms præmis 80, indfører artikel 50, stk. 1, i forordning 2016/794 en ordning med solidarisk ansvar, inden for rammerne af hvilken offeret for en sådan behandling er fritaget for at godtgøre, hvilken af de enheder, der er involveret i et sådant samarbejde, denne behandling kan tilregnes. Det følger heraf, at dette argument under alle omstændigheder ikke kan tiltrædes i sammenhæng med den foreliggende sag, idet dette dog ikke griber ind i Europols mulighed for i givet fald at påberåbe sig det i forbindelse med, at sagen forelægges Europols bestyrelse i henhold til denne forordnings artikel 50, stk. 2.

133    Hvad angår den anden og den tredje betingelse for, at Unionen ifalder ansvar uden for kontraktforhold i henhold til artikel 340, stk. 2, TEUF vedrørende beviset for den lidte skade og årsagsforbindelsen mellem denne skade og den tilstrækkeligt kvalificerede tilsidesættelse af en EU-retlig regel, som den ulovlige behandling af oplysninger i det foreliggende tilfælde udgør, har appellanten gjort gældende, at videregivelsen af de personoplysninger vedrørende ham, der er indeholdt i de omhandlede mobiltelefoner, på grund af offentliggørelsen af disse oplysninger ikke alene har skadet retten til respekt for hans privatliv, men også retten til respekt for hans familieliv. Videregivelse har haft en negativ indvirkning på forholdet mellem appellanten og hans døtre, som var blevet dybt påvirket af offentliggørelsen af de nævnte oplysninger, som bl.a. vedrørte deres fars intime forhold til sin veninde, som blev offentligt udstillet, samt deres intime samtaler. Dette har medført en følelse af frustration og uretfærdighed samt en skade på appellantens ære og faglige omdømme. Den nævnte videregivelse har ligeledes skadet retten til respekt for hans kommunikation, som er sikret ved chartrets artikel 7.

134    Europol har ikke fremsat nogen specifikke argumenter vedrørende realiteten af den ikkeøkonomiske skade, som appellanten hævder at have lidt, og eksistensen af en årsagsforbindelse mellem den ulovlige behandling af oplysninger og denne skade. Agenturet har begrænset sig til at gøre gældende, at da der ikke var bevis for en skadevoldende handling eller for, at Europol kan tilregnes denne, skulle den første påstand forkastes.

135    Hvad angår betingelserne om, at der skal foreligge en virkelig skade og en årsagsforbindelse, kan Unionen kun ifalde ansvar uden for kontraktforhold, hvis appellanten faktisk har lidt en faktisk og reel skade, og skaden er en tilstrækkeligt direkte følge af den hævdede tilsidesættelse af en EU-retlig regel. Det påhviler appellanten over for Unionens retsinstanser at føre bevis for eksistensen og omfanget af den påberåbte skade samt for, at der er en tilstrækkelig direkte årsagsforbindelse mellem denne tilsidesættelse og den hævdede skade (jf. i denne retning dom af 30.5.2017, Safa Nicu Sepahan mod Rådet, C-45/15 P, EU:C:2017:402, præmis 61 og 62 samt den deri nævnte retspraksis).

136    Som det er anført i denne doms præmis 124, har den ulovlige behandling af oplysninger, som videregivelsen til uautoriserede personer af oplysninger om intime samtaler mellem appellanten og hans veninde udgjorde, i det foreliggende tilfælde ført til, at disse oplysninger blev gjort tilgængelige for offentligheden, hvilket fremgår af deres offentliggørelse i den slovakiske presse. Henset til indholdet af disse samtaler må det fastslås, at denne ulovlige behandling af oplysninger har tilsidesat appellantens ret til respekt for hans privatliv og familieliv og for hans kommunikation som sikret ved chartrets artikel 7 og har skadet hans ære og omdømme, hvilket har forvoldt ham en ikkeøkonomisk skade.

137    Appellanten har nedlagt påstand om betaling af et beløb på 50 000 EUR i erstatning for den hævdede skade i forbindelse med den første påstand.

138    Retten fandt imidlertid, at undersøgelsen af den første påstand skulle begrænses til den hævdede skade, der fulgte alene af videregivelsen af udskrifterne af de intime og seksuelle samtaler mellem appellanten og hans veninde, idet appellanten ikke havde fremlagt nogen oplysninger, der direkte eller indirekte kunne godtgøre, at de fotografier, der er nævnt i denne doms præmis 26, var blevet videregivet.

139    Da denne delvise forkastelse af den første påstand ikke er blevet anfægtet i forbindelse med appellen, skal denne del af den hævdede skade, der skal tilkendes appellanten, ikke erstattes.

140    Under disse omstændigheder skal det fastslås, at den ikkeøkonomiske skade, som appellanten har lidt som følge af videregivelsen af udskrifterne af de samtaler af intim karakter, der blev ført med hans veninde, vil blive tilstrækkeligt erstattet ved udbetaling til ham af en erstatning, der efter ret og rimelighed fastsættes til 2 000 EUR.

 Sagsomkostninger

141    Det bestemmes i artikel 184, stk. 2, i Domstolens procesreglement, at såfremt appellen ikke tages til følge, eller såfremt appellen tages til følge, og Domstolen selv endeligt afgør sagen, træffer den afgørelse om sagsomkostningerne.

142    I henhold til samme reglements artikel 138, stk. 1, der i medfør af artikel 184, stk. 1, finder anvendelse i appelsager, pålægges det den tabende part at betale sagsomkostningerne, hvis der er nedlagt påstand herom. I medfør af denne artikel 138, stk. 3, første punktum, bærer hver part sine egne omkostninger, hvis hver af parterne henholdsvis taber eller vinder på et eller flere punkter.

143    I den foreliggende sag har appellanten nedlagt påstand om, at der træffes afgørelse om sagsomkostningerne »i forbindelse med hovedsagen«. Det skal i denne forbindelse bemærkes, at selv om han i sine påstande i første instans nedlagde påstand om, at Europol blev tilpligtet at betale sagsomkostningerne, har han ikke i appelskriftet nedlagt påstand om, at Europol tilpligtes at betale omkostningerne i forbindelse med appelsagen.

144    Europol har nedlagt påstand om, at appellanten tilpligtes at betale omkostningerne i sagen i første instans og i appelsagen.

145    Da begge parter under disse omstændigheder delvist har tabt appelsagen og delvist har tabt sagen i første instans, bør de hver især bære deres egne omkostninger såvel i forbindelse med sagen i første instans som i forbindelse med appelsagen.

146    I henhold til procesreglementets artikel 140, stk. 1, der i medfør af samme reglements artikel 184, stk. 1, finder anvendelse i appelsager, bærer medlemsstater og institutioner, der er indtrådt i en sag, deres egne omkostninger. Den Slovakiske Republik, der er interveneret i sagen for Domstolen, bør derfor bære sine egne omkostninger.

På grundlag af disse præmisser udtaler og bestemmer Domstolen (Store Afdeling):

1)      Den Europæiske Unions Ret af 29. september 2021, Kočner mod Europol (T-528/20, EU:T:2021:631), ophæves, for så vidt som den første påstand som afgrænset i denne dom forkastes.

2)      I øvrigt forkastes appellen.

3)      Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) betaler Marián Kočner en erstatning på 2 000 EUR.

4)      I øvrigt frifindes Europol.

5)      Marián Kočner og Europol bærer hver deres egne omkostninger såvel i forbindelse med sagen i første instans som i forbindelse med appelsagen.

6)      Den Slovakiske Republik bærer sin egne omkostninger.

Underskrifter

*      Processprog: slovakisk.