Voorlopige editie
ARREST VAN HET HOF (Grote kamer)
5 maart 2024 (*)
„Hogere voorziening – Samenwerking inzake wetshandhaving – Verordening (EU) 2016/794 – Artikel 49, lid 3, en artikel 50 – Bescherming van persoonsgegevens – Onrechtmatige gegevensverwerking – In Slowakije tegen rekwirant ingeleide strafprocedure – Deskundigenonderzoek door het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) ten behoeve van het onderzoek – Extractie van gegevens van mobiele telefoons en een USB-gegevensdrager die eigendom zijn van rekwirant – Bekendmaking van deze gegevens – Immateriële schade – Beroep tot schadevergoeding – Aard van de niet-contractuele aansprakelijkheid”
In zaak C‑755/21 P,
betreffende een hogere voorziening krachtens artikel 56 van het Statuut van het Hof van Justitie van de Europese Unie, ingesteld op 8 december 2021,
Marián Kočner, wonende te Bratislava (Slowakije), vertegenwoordigd door M. Mandzák en M. Para, advokáti,
rekwirant,
andere partij in de procedure:
Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol), vertegenwoordigd door A. Nunzi als gemachtigde, bijgestaan door M. Kottmann en G. Ziegenhorn, Rechtsanwälte,
verweerder in eerste aanleg,
ondersteund door:
Slowaakse Republiek, aanvankelijk vertegenwoordigd door S. Ondrášiková, vervolgens door E. V. Drugda en S. Ondrášiková als gemachtigden,
interveniënte in hogere voorziening,
Koninkrijk Spanje,
interveniënt in eerste aanleg,
wijst
HET HOF (Grote kamer),
samengesteld als volgt: K. Lenaerts, president, L. Bay Larsen, vicepresident, A. Arabadjiev, A. Prechal, E. Regan, F. Biltgen, N. Piçarra en O. Spineanu-Matei (rapporteur), kamerpresidenten, S. Rodin, P. G. Xuereb, L. S. Rossi, N. Wahl, I. Ziemele, J. Passer en D. Gratsias, rechters,
advocaat-generaal: A. Rantos,
griffier: A. Calot Escobar,
gezien de stukken,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 15 juni 2023,
het navolgende
Arrest
1 Met zijn hogere voorziening verzoekt Marián Kočner om vernietiging van het arrest van het Gerecht van de Europese Unie van 29 september 2021, Kočner/Europol (T‑528/20, EU:T:2021:631; hierna: „bestreden arrest”), waarbij zijn verzoek krachtens artikel 268 VWEU tot vergoeding van de schade die hij stelt te hebben geleden ten gevolge van de bekendmaking van persoonsgegevens door het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) en de vermelding van zijn naam op de „maffialijsten” door Europol, werd afgewezen.
Toepasselijke bepalingen
2 De overwegingen 23, 45, 56, 57 en 65 van verordening (EU) 2016/794 van het Europees Parlement en de Raad van 11 mei 2016 betreffende het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) en tot vervanging en intrekking van de besluiten 2009/371/JBZ, 2009/934/JBZ, 2009/935/JBZ, 2009/936/JBZ en 2009/968/JBZ van de Raad (PB 2016, L 135, blz. 53) luiden:
„(23) Met het oog op de preventie en bestrijding van criminaliteit die binnen zijn doelstellingen vallen, dient Europol te beschikken over zo volledig en actueel mogelijke informatie. Europol dient derhalve in staat te zijn om informatie afkomstig van de lidstaten [...] te verwerken [...].
[...]
(45) Europol en de lidstaten dienen de noodzakelijke technische en organisatorische maatregelen te nemen om de veiligheid van persoonsgegevens te garanderen.
[...]
(56) Europol dient onderworpen te zijn aan de op de instellingen, agentschappen en organen van de Unie toepasselijke algemene regels inzake contractuele en niet-contractuele aansprakelijkheid, behalve wat betreft de regels inzake aansprakelijkheid voor onrechtmatige gegevensverwerking.
(57) Het kan voor de betrokkene onduidelijk zijn of schade door een onrechtmatige gegevensverwerking het gevolg is van een handeling van Europol of van een lidstaat. Europol en de lidstaat waarin het schadeveroorzakend feit heeft plaatsgevonden, dienen derhalve gezamenlijk en hoofdelijk aansprakelijk te zijn.
[...]
(65) Europol verwerkt gegevens die bijzondere bescherming behoeven, aangezien zij gevoelige niet-gerubriceerde en gerubriceerde EU-informatie omvatten. Europol dient derhalve regels betreffende de vertrouwelijkheid en de verwerking van dergelijke informatie vast te stellen. De regels inzake de bescherming van gerubriceerde EU-informatie moeten consistent zijn met de basisbeginselen en minimumnormen van besluit 2013/488/EU [van 23 september 2013 van de Raad betreffende de beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie (PB 2013, L 274, blz. 1)].”
3 In artikel 2 van deze verordening, met als opschrift „Definities”, staat te lezen:
„In deze verordening wordt verstaan onder:
[...]
h) ‚persoonsgegevens’: alle informatie over een betrokkene;
i) ‚betrokkene’: een geïdentificeerde of identificeerbare natuurlijke persoon; een identificeerbare natuurlijke persoon is een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel, zoals een naam, een identificatienummer, locatiegegevens of een online-identificatiemiddel of van een of meer specifieke elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die persoon;
[...]
k) ‚verwerking’: elke verrichting of elk geheel van verrichtingen met betrekking tot persoonsgegevens of reeksen persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, bewaren, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, onthullen door middel van doorzending, verspreiding of enige andere beschikbaarstelling, aligneren of combineren, aan beperkingen onderwerpen, wissen of vernietigen van gegevens;
[...]”
4 Artikel 3 van die verordening, met als opschrift „Doelstellingen”, bepaalt in lid 1 het volgende:
„Europol ondersteunt en versterkt het optreden van de bevoegde autoriteiten van de lidstaten en hun wederzijdse samenwerking bij de voorkoming en bestrijding van de in bijlage I genoemde vormen van zware criminaliteit waardoor twee of meer lidstaten worden getroffen, van terrorisme en van vormen van criminaliteit die een schending inhouden van een gemeenschappelijk belang dat tot het beleid van de Unie behoort.”
5 Artikel 17 van deze verordening, dat het opschrift „Informatiebronnen” draagt, bepaalt in lid 1:
„Europol verwerkt uitsluitend informatie die het heeft ontvangen van:
a) lidstaten overeenkomstig hun nationale recht en artikel 7;
[...]”
6 Artikel 18 van verordening 2016/794, met als opschrift „Doeleinden van gegevensverwerking”, bepaalt in lid 1:
„Voor zover dit noodzakelijk is voor het bereiken van de in artikel 3 vastgestelde doelstellingen kan Europol informatie, inclusief persoonsgegevens, verwerken.”
7 Artikel 28 van deze verordening, met als opschrift „Algemene beginselen inzake gegevensbescherming”, bepaalt in lid 1:
„Persoonsgegevens dienen:
a) eerlijk en rechtmatig te worden verwerkt;
b) voor specifieke, expliciete en gerechtvaardigde doeleinden te worden verzameld en niet verder te worden verwerkt op een manier die onverenigbaar is met deze doeleinden. [...]
[...]
f) zodanig te worden verwerkt dat de persoonsgegevens voldoende beveiligd zijn.”
8 Artikel 32 van deze verordening, dat het opschrift „Beveiliging van de verwerking” draagt, bepaalt in lid 1:
„Europol treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen onbedoelde dan wel onrechtmatige vernietiging, onbedoeld verlies, ongeoorloofde verspreiding, wijziging en toegang, alsmede tegen enige andere vorm van ongeoorloofde verwerking.”
9 Artikel 38 van deze verordening, met als opschrift „Verantwoordelijkheid voor de gegevensbescherming”, bepaalt in de leden 4, 5 en 7:
„[...]
4. De verantwoordelijkheid voor naleving van de in artikel 28, lid 1, onder a), b), c), e) en f), vastgestelde beginselen ligt bij Europol.
5. De verantwoordelijkheid voor de rechtmatigheid van een gegevensoverdracht ligt bij:
a) de lidstaat die de persoonsgegevens heeft verstrekt aan Europol;
b) Europol in het geval van persoonsgegevens die door Europol zijn verstrekt aan lidstaten[...].
[...]
7. Europol is verantwoordelijk voor alle gegevensverwerkingsactiviteiten die het uitvoert, [...].”
10 Artikel 49 van de verordening 2016/794, met als opschrift „Algemene bepalingen inzake aansprakelijkheid en recht op schadevergoeding”, bepaalt in lid 3:
„Onverminderd artikel 49, vergoedt Europol in geval van niet-contractuele aansprakelijkheid overeenkomstig de algemene beginselen die de rechtsstelsels van de lidstaten gemeen hebben alle door zijn diensten of personeelsleden in de uitoefening van hun functies veroorzaakte schade.”
11 Artikel 50 van deze verordening, met als opschrift „Aansprakelijkheid voor onjuiste verwerking van persoonsgegevens en recht op schadevergoeding”, bepaalt:
„1. Eenieder die schade heeft geleden ten gevolge van een onrechtmatige verwerking van gegevens, heeft, overeenkomstig het nationaal recht, recht op schadevergoeding voor de geleden schade, hetzij van Europol overeenkomstig artikel 340 [VWEU], hetzij van de lidstaat waar het schadeveroorzakende feit zich heeft voorgedaan. De betrokkene stelt een procedure tegen Europol in bij het Hof van Justitie van de Europese Unie of tegen de lidstaat bij een bevoegde nationale rechter van die lidstaat.
2. Alle geschillen tussen Europol en de lidstaten over de uiteindelijke aansprakelijkheid voor de overeenkomstig lid 1 aan een betrokkene toegekende schadevergoeding worden voorgelegd aan de raad van bestuur, die bij tweederdemeerderheid van de leden beslist, onverminderd het recht om die beslissing overeenkomstig artikel 263 [VWEU] te betwisten.”
Voorgeschiedenis van het geding
12 De voorgeschiedenis van het geding, die in de punten 1 tot en met 16 van het bestreden arrest is uiteengezet, kan ten behoeve van de onderhavige procedure als volgt worden samengevat.
13 Europol heeft op verzoek van de Národná kriminálna agentúra (nationaal agentschap voor criminaliteitsbestrijding, Slowakije; hierna: „NAKA”), in het kader van een onderzoek dat de Slowaakse autoriteiten hebben uitgevoerd naar aanleiding van de moord in Slowakije op een journalist en zijn verloofde in februari 2018, steun geboden aan deze autoriteiten door de gegevens te extraheren die waren opgeslagen op, ten eerste, twee mobiele telefoons die toebehoorden aan rekwirant (hierna: „betrokken mobiele telefoons”) en die het NAKA op 10 oktober 2018 aan Europol had doen toekomen, en ten tweede, een USB-gegevensdrager.
14 Op 21 juni 2019 heeft Europol het NAKA de wetenschappelijke eindrapporten over de verrichtingen op de betrokken mobiele telefoons meegedeeld.
15 Voorafgaand aan deze mededeling had Europol naar eigen zeggen op 23 oktober 2018 het NAKA een harde schijf overhandigd met daarop de versleutelde gegevens die met name uit die mobiele telefoons waren geëxtraheerd, en had het die telefoons op 13 februari 2019 aan het NAKA teruggegeven.
16 Als bewijs daarvan heeft Europol een kopie overgelegd van een proces-verbaal met het officiële briefhoofd van het NAKA, gedateerd op 23 oktober 2018, dat de referentie PPZ-203/NKA-PZ-ZA-2018 droeg en was ondertekend door het hoofd van het onderzoeksteam A, alsmede een kopie van een formulier van ontvangst/teruggave van bewijsstukken, gedateerd op 13 februari 2019, met dezelfde referentie, waarin met name de betrokken mobiele telefoons vermeld stonden. Zowel de bezorger als de ontvanger van de bewijsstukken hadden dit formulier ondertekend.
17 Dit proces-verbaal van 23 oktober 2018 luidde als volgt:
„Vandaag, op 23 oktober 2018 om 1.30 uur, is mij een zwarte externe HDD-schijf met de voorlopige resultaten van het onderzoek van Europol overhandigd, die bij [besluiten] van 8 oktober 2018 en 10 oktober 2018 in bezit werd genomen. B, werknemer van Europol, heeft deze externe schijf persoonlijk gebracht vanuit het hoofdkantoor van Europol in Den Haag [Nederland].
De schijf in kwestie bevat voorlopige resultaten in de vorm van de verwerving en de extractie van gegevens uit het geheugen voor de bewijzen 1Z (alleen simkaart), 2Z, 3Z, 4Z (alleen simkaart), 5Z, 6Z, 7Z, 8Z, 1K, 2K.
De inhoud van die HDD-schijf wordt beschermd door een wachtwoord dat mij is meegedeeld.”
18 Op 17 oktober 2018 heeft het NAKA de hulp van Europol ingeroepen om met name de gegevens op de USB-gegevensdrager te onderzoeken.
19 In het rapport van Europol van 13 januari 2019 (hierna: „Europol-rapport”), dat op 14 februari 2019 aan het NAKA is toegezonden, wordt onder de titel „(Historische) context” vermeld dat „[rekwirant] sinds 20 juni 2018 in hechtenis zit wegens verdenking van financiële delicten. Zijn naam is onder meer rechtstreeks in verband gebracht met de zogenoemde ‚maffialijsten’ en de ‚Panama Papers’.”
20 Op 1 april 2019 hebben de Slowaakse strafrechtelijke autoriteiten in het kader van een strafrechtelijke procedure tegen rekwirant gebruikgemaakt van de informatie die te vinden was in de betrokken mobiele telefoons. Evenzo blijkt uit een proces-verbaal van de Slowaakse politiediensten van 18 juni 2019 dat deze autoriteiten de in die telefoons opgeslagen gegevens volledig hebben geanalyseerd.
21 Bovendien hebben verschillende persartikelen en websites, waaronder de website van een internationaal netwerk van onderzoeksjournalisten, melding gemaakt van een zeer grote hoeveelheid informatie over rekwirant – die met name afkomstig was van de betrokken mobiele telefoons – en deze informatie ter beschikking van het publiek gesteld. In het bijzonder op 20 en 29 mei 2019 is in verschillende persberichten melding gemaakt van de gegevens die afkomstig waren van die telefoons. Evenzo heeft een website op 19 mei 2020 een selectie van documenten met betrekking tot rekwirant gepubliceerd, in het bijzonder transcripties van intieme gesprekken tussen hem en een vriendin die via een versleutelde berichtendienst werden uitgewisseld en die in deze telefoons te vinden waren. Deze transcripties zijn op 21 mei 2020 door de Slowaakse pers gebruikt.
22 Bij brief van 4 mei 2020 heeft rekwirant Europol op grond van artikel 50, lid 1, van verordening 2016/794 verzocht om betaling van een schadevergoeding van 100 000 EUR voor de immateriële schade die hij om twee redenen stelt te hebben geleden wegens de schending van het recht op eerbiediging van zijn privéleven en zijn familie- en gezinsleven. Deze schade is ten eerste het gevolg van de publicatie van persoonsgegevens in de pers en op internet, in het bijzonder van de publicatie van transcripties van intieme en seksuele gesprekken. Ten tweede is deze schade het gevolg van de vermelding van zijn naam op de „maffialijsten”, naar zeggen van rekwirant op grond van het Europol-rapport, aangezien de pers daarvan melding heeft gemaakt na lekken in het dossier betreffende de nationale strafrechtelijke procedure inzake de moord op de in punt 13 van het onderhavige arrest genoemde journalist en zijn verloofde, waarin dit rapport was opgenomen.
23 Na het in punt 13 van het onderhavige arrest vermelde onderzoek door de Slowaakse autoriteiten, is rekwirant in de hoedanigheid van opdrachtgever vervolgd wegens medeplichtigheid aan die moord.
24 Op 3 september 2020 heeft de bevoegde Slowaakse rechter rekwirant in eerste aanleg vrijgesproken. Op 15 juni 2021 heeft de Najvyšší súd Slovenskej republiky (hoogste rechterlijke instantie van de Slowaakse Republiek) het vonnis in eerste aanleg vernietigd en de zaak terugverwezen.
Procedure bij het Gerecht en bestreden arrest
25 Bij op 18 augustus 2020 ter griffie van het Gerecht neergelegd verzoekschrift heeft rekwirant krachtens de artikelen 268 en 340 VWEU en artikel 50, lid 1, van verordening 2016/794 beroep ingesteld met het oog op vergoeding van de immateriële schade die hij door de gedragingen van Europol meent te hebben geleden. In het kader van de eerste vordering heeft hij verzocht om een schadevergoeding van 50 000 EUR ter vergoeding van de schade die hij stelt te hebben geleden ten gevolge van de bekendmaking van persoonsgegevens, afkomstig van de betrokken mobiele telefoons, welke gegevens vervolgens op internet zouden zijn gepubliceerd en door de Slowaakse pers zouden zijn overgenomen. Deze bekendmaking van persoonsgegevens heeft afbreuk gedaan aan zijn eer en beroepsreputatie, aan het recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven en aan het recht op eerbiediging van zijn communicatie, welke rechten worden gewaarborgd door artikel 7 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”). Met zijn tweede vordering heeft rekwirant hetzelfde bedrag gevorderd ter vergoeding van de schade die hij stelt te hebben geleden doordat Europol zijn naam op de „maffialijsten” had vermeld.
26 Na de door Europol met betrekking tot de eerste vordering van rekwirant aangevoerde middelen van niet-ontvankelijkheid te hebben onderzocht, heeft het Gerecht in het bestreden arrest om te beginnen geoordeeld dat deze vordering enkel ontvankelijk was voor zover rekwirant zich daarmee beriep op immateriële schade ten gevolge van de vermeende bekendmaking door Europol van de transcripties van de uit de betrokken mobiele telefoons afkomstige intieme en seksuele gesprekken tussen hemzelf en zijn vriendin. Wat dat betreft heeft het Gerecht met betrekking tot de omvang van de gestelde schade geoordeeld dat rekwirant Europol weliswaar verweet een aanzienlijke hoeveelheid persoonsgegevens uit die telefoons te hebben bekendgemaakt, maar er alleen voor de openbaarmaking van die transcripties schriftelijke bewijzen bestonden, en niet voor de gestelde verspreiding van foto’s „van zeer vertrouwelijke aard”, waaronder naaktfoto’s van die vriendin.
27 Vervolgens heeft het Gerecht deze aldus afgebakende eerste vordering ten gronde afgewezen. In de eerste plaats heeft het in de punten 58 tot en met 91 van het bestreden arrest geoordeeld dat rekwirant niet „het bewijs van een voldoende bewezen oorzakelijk verband” tussen de gestelde schade en een gedraging van Europol had geleverd. In het bijzonder heeft rekwirant niet aangetoond dat de bekendmaking van de gegevens in de betrokken mobiele telefoons of van de transcripties van de gesprekken tussen rekwirant en zijn vriendin aan Europol kon worden toegerekend.
28 In de tweede plaats heeft het Gerecht in de punten 92 tot en met 95 van dat arrest geoordeeld dat aan deze conclusie dat de bekendmaking van de betrokken gegevens niet aan Europol kon worden toegerekend, niet werd afgedaan door overweging 57, artikel 49, lid 3, of artikel 50 van verordening 2016/794, waarop rekwirant zich beriep.
29 In dit verband heeft het Gerecht om te beginnen in de punten 93 tot en met 95 van het bestreden arrest geoordeeld dat artikel 49, lid 3, en artikel 50, lid 1, van verordening 2016/794 enkel bepaalden dat Europol op het gebied van niet-contractuele aansprakelijkheid en in het bijzonder van aansprakelijkheid die voortvloeit uit onrechtmatige gegevensverwerking, overeenkomstig de voorwaarden die zijn vastgesteld in artikel 340 VWEU alle schade moet vergoeden die door zijn diensten of door zijn personeelsleden in de uitoefening van hun functie is veroorzaakt. Volgens het Gerecht was in casu echter niet aan deze voorwaarden voldaan. Voorts heeft het Gerecht in herinnering gebracht dat overweging 57 van verordening 2016/794 weliswaar in wezen vermeldt dat Europol en de lidstaat waar de schade is ontstaan die het gevolg is van een onrechtmatige gegevensverwerking door dat agentschap of die lidstaat, gezamenlijk en hoofdelijk aansprakelijk zijn voor die schade, maar dat niettemin moest worden vastgesteld dat die regeling van hoofdelijke aansprakelijkheid niet tot uitdrukking is gebracht in of niet is gebaseerd op de bepalingen van deze verordening. Bovendien heeft het benadrukt dat de preambule van een handeling van de Unie volgens de rechtspraak van het Hof geen bindende rechtskracht heeft en niet kan worden aangevoerd om van de bepalingen zelf van die handeling af te wijken. Het Gerecht heeft dan ook geoordeeld dat „overweging 57 van verordening 2016/794 in casu geen hoofdelijke aansprakelijkheid voor Europol in het leven kan roepen”.
30 Bijgevolg heeft het Gerecht de eerste vordering ongegrond verklaard aangezien het van oordeel was dat niet hoefde te worden onderzocht of aan de andere voorwaarden voor niet-contractuele aansprakelijkheid van de Unie was voldaan.
31 Wat betreft de tweede vordering, betreffende vergoeding van de schade die rekwirant stelt te hebben geleden doordat Europol zijn naam op de „maffialijsten” had vermeld, heeft het Gerecht in de punten 102 en 105 van het bestreden arrest vastgesteld dat niet was aangetoond dat die lijsten waren opgesteld en werden bijgehouden door een instelling van de Unie in de zin van artikel 340, tweede alinea, VWEU, met name door Europol, en dat aan deze conclusie niet werd afgedaan door overweging 57, artikel 49, lid 3, of artikel 50 van verordening 2016/794, en wel om dezelfde redenen als die welke in de punten 92 tot en met 95 van het bestreden arrest zijn uiteengezet en in punt 29 van het onderhavige arrest zijn samengevat.
32 Bovendien heeft het Gerecht in de punten 106 tot en met 109 van het bestreden arrest gepreciseerd dat, gesteld al dat de tweede vordering „aldus moet worden opgevat dat Europol wordt verweten verantwoordelijk te zijn voor de evolutie in de manier waarop de Slowaakse pers [rekwirant] beschreef, in die zin dat hij niet langer werd afgeschilderd als een ‚omstreden ondernemer’, maar als ‘een maffioso’ of als ‘een persoon die op maffialijsten staat’, deze vordering eveneens ongegrond was. In dit verband heeft het Gerecht met name geoordeeld dat rekwirant geen enkel bewijs had geleverd dat de in de Slowaakse pers gepubliceerde informatie afkomstig was van het Europol-rapport, en evenmin rechtens genoegzaam had aangetoond dat er een oorzakelijk verband bestond tussen het lekken van dat rapport en het feit dat de Slowaakse pers vanaf begin 2019 de wijze waarop zij rekwirant beschreef, had gewijzigd. Dat er tussen die twee feiten een tijdsverband zou bestaan, wordt tegengesproken door de bewijzen die zowel door rekwirant als door Europol zijn verstrekt. Uit deze bewijzen blijkt dat de Slowaakse pers rekwirant reeds geruime tijd vóór begin 2019 occasioneel als een „maffioso” omschreef, hetgeen uitsluit dat deze voorstellingswijze het gevolg kan zijn van lekken in het nationale strafrechtelijke dossier betreffende rekwirant waarin dat rapport was opgenomen.
33 Bijgevolg heeft het Gerecht de tweede vordering en het beroep in zijn geheel ongegrond verklaard.
Procedure bij het Hof en conclusies van partijen
34 Bij akte, neergelegd ter griffie van het Hof op 8 december 2021, heeft rekwirant hogere voorziening ingesteld tegen het bestreden arrest.
35 Met zijn hogere voorziening verzoekt rekwirant het Hof:
– het bestreden arrest te vernietigen;
– de zaak terug te verwijzen naar het Gerecht, en
– te gelasten dat de beslissing omtrent de kosten wordt gegeven in het kader van de procedure in het hoofdgeding.
36 Europol verzoekt het Hof:
– de hogere voorziening af te wijzen, en
– rekwirant te verwijzen in de kosten.
37 Bij beslissing van de president van het Hof van 1 april 2022 is de Republiek Slowakije toegelaten tot interventie aan de zijde van Europol.
Hogere voorziening
38 Ter onderbouwing van zijn hogere voorziening voert rekwirant zes middelen aan. Het eerste tot en met het vierde middel betreffen de afwijzing van de eerste vordering, die strekte tot vergoeding van de immateriële schade die hij stelt te hebben geleden ten gevolge van de bekendmaking aan het publiek van persoonsgegevens afkomstig van de betrokken mobiele telefoons. Het vijfde en het zesde middel betreffen de afwijzing van de tweede vordering, die strekte tot vergoeding van de immateriële schade die hij stelt te hebben geleden ten gevolge van de vermelding van zijn naam op de „maffialijsten”.
Ontvankelijkheid van het eerste en het vijfde middel
Argumenten van partijen
39 Europol betoogt dat het eerste en het vijfde middel, betreffende een onjuiste rechtsopvatting waarvan het Gerecht volgens rekwirant blijk heeft gegeven door uit te sluiten dat Europol en de betrokken lidstaat hoofdelijk aansprakelijk zijn voor de schade die rekwirant heeft geleden ten gevolge van een onrechtmatige gegevensverwerking, niet-ontvankelijk zijn voor zover zij betrekking hebben op een middel dat rekwirant tardief voor het Gerecht heeft aangevoerd, namelijk in het stadium van de repliek. Het Gerecht had ambtshalve de niet-ontvankelijkheid van dit middel moeten opwerpen.
40 Rekwirant vordert de afwijzing van dit middel inzake niet-ontvankelijkheid.
Beoordeling door het Hof
41 Uit artikel 84, leden 1 en 2, van het Reglement voor de procesvoering van het Gerecht volgt dat middelen die voor het eerst in repliek zijn aangevoerd en niet steunen op gegevens, hetzij rechtens of feitelijk, waarvan eerst in de loop van de behandeling is gebleken, niet-ontvankelijk moeten worden verklaard. Het Hof heeft in dit verband evenwel reeds geoordeeld dat een middel of een argument dat een uitwerking is van een eerder in het verzoekschrift aangevoerd middel, als ontvankelijk moet worden beschouwd (zie in die zin arrest van 26 april 2007, Alcon/BHIM, C‑412/05 P, EU:C:2007:252, punten 38‑40 en aldaar aangehaalde rechtspraak). Een dergelijk middel kan dus niet niet-ontvankelijk worden verklaard omdat het tardief is aangevoerd.
42 In casu heeft rekwirant in punt 58 van zijn bij het Gerecht ingediende verzoekschrift aangevoerd dat Europol op grond van de hoofdelijke aansprakelijkheid, die is neergelegd in artikel 49, lid 3, en artikel 50 van verordening 2016/794, en gelet op overweging 57 van die verordening, aansprakelijk moest worden gesteld voor de schade die hij heeft geleden, ook al zijn de schadeveroorzakende handelingen samen met de Slowaakse autoriteiten verricht. In punt 24 van de repliek heeft rekwirant dit argument verder uitgewerkt en betoogd dat Europol op grond van die bepalingen, en in het bijzonder gelet op overweging 57, hoe dan ook samen met de betrokken lidstaat hoofdelijk aansprakelijk was voor de schade die het gevolg was van een onrechtmatige gegevensverwerking.
43 Aldus heeft rekwirant zich in zijn verzoekschrift uitdrukkelijk beroepen op het bestaan van een regeling van hoofdelijke aansprakelijkheid van Europol op basis van de artikelen 49 en 50 van verordening 2016/794, gelezen in het licht van overweging 57 ervan, zodat het Gerecht zich terecht op het standpunt heeft gesteld dat rekwirant met dit verzoekschrift de kwestie van die hoofdelijke aansprakelijkheid in de onderhavige zaak aan de orde had gesteld. Punt 24 van de repliek moet derhalve worden aangemerkt als een uitwerking van het desbetreffende betoog in het verzoekschrift.
44 In die omstandigheden heeft het Gerecht terecht de bepalingen en de overweging waarop rekwirant zich in het kader van dit betoog heeft beroepen, onderzocht.
45 Bijgevolg dient de exceptie van niet-ontvankelijkheid van Europol te worden afgewezen.
Eerste middel
Argumenten van partijen
46 Met zijn eerste middel verwijt rekwirant het Gerecht dat het blijk heeft gegeven van een onjuiste rechtsopvatting door in de punten 94 en 95 van het bestreden arrest te besluiten om bij de vaststelling van de op artikel 50, lid 1, van verordening 2016/794 gebaseerde aansprakelijkheid van Europol geen rekening te houden met overweging 57 van die verordening, op grond dat de preambule van een verordening geen bindende rechtskracht heeft. Hieruit volgt dat het Gerecht de eerste vordering ten onrechte heeft afgewezen door te oordelen dat deze overweging geen hoofdelijke aansprakelijkheid van Europol in het leven kan roepen wegens een onrechtmatige gegevensverwerking door dat agentschap of de betrokken lidstaat.
47 In dit verband stelt rekwirant in wezen dat het Gerecht heeft geoordeeld dat de schade moet worden gedragen door degene aan wie zij kan worden toegerekend, te weten ofwel Europol, ofwel de betrokken lidstaat, terwijl uit artikel 49, lid 3, en artikel 50 van verordening 2016/794, gelezen in het licht van overweging 57 ervan en de met deze verordening nagestreefde doelstellingen, voortvloeit dat die verordening voorziet in hoofdelijke aansprakelijkheid van Europol en de lidstaat waar de schade ten gevolge van onrechtmatige gegevensverwerking door dat agentschap of die lidstaat is ontstaan.
48 Europol, ondersteund door de Slowaakse Republiek, betoogt dat het eerste middel ongegrond is.
49 Dit agentschap stelt dat de Unie slechts aansprakelijk kan worden gesteld op grond van artikel 340 VWEU indien is voldaan aan een aantal voorwaarden, waaronder de onrechtmatigheid van de aan de betrokken instelling van de Unie verweten gedraging. Europol betoogt tevens dat de Unie niet aansprakelijk kan worden gesteld wanneer er geen sprake is van een onrechtmatige gedraging van een van haar instellingen, en dat de door de lidstaten veroorzaakte schade niet tot die aansprakelijkheid kan leiden. Bovendien heeft het Hof in situaties waarin de autoriteiten van de Unie en die van de lidstaten met elkaar samenwerken met name gepreciseerd dat de Unierechter in geval van schade die door de Unie en een lidstaat gezamenlijk is veroorzaakt, pas uitspraak kan doen over de schade nadat de nationale rechter daarover een beslissing heeft genomen. De hoofdelijke aansprakelijkheid van de Unie en de betrokken lidstaat, wanneer zij gezamenlijk optreden, wordt in beginsel niet erkend in het kader van artikel 340, tweede alinea, VWEU, maar vereist een uitdrukkelijke, daartoe strekkende vermelding door de Uniewetgever.
50 Bovendien betoogt Europol dat artikel 50 van verordening 2016/794 niet van toepassing is op de in casu aan de orde zijnde gegevensverwerking, omdat dit artikel enkel van toepassing is op de gegevensverwerking die wordt verricht in het kader van de operaties en taken van Europol. Aangezien de gestelde schadeveroorzakende feiten zich hebben voorgedaan tijdens de bewaring van het nationale onderzoeksdossier, vormen zij geen „onrechtmatige gegevensverwerking” in de zin van dat artikel, die binnen de werkingssfeer van die verordening valt.
51 Bovendien voorziet artikel 50, lid 1, van verordening 2016/794 niet uitdrukkelijk in hoofdelijke aansprakelijkheid van Europol en de betrokken lidstaat. Volgens deze bepaling is Europol namelijk enkel aansprakelijk „overeenkomstig artikel 340 [VWEU]”, hetgeen betekent dat deze aansprakelijkheid slechts kan ontstaan wanneer aan de drie uit deze bepaling voortvloeiende voorwaarden is voldaan. Zelfs indien artikel 50, lid 1, in casu van toepassing zou zijn, kan Europol dus niet aansprakelijk worden gesteld wanneer er geen sprake is van enige onrechtmatige gedraging van Europol of van een oorzakelijk verband tussen een dergelijke gedraging en de geleden schade. Bovendien kan de Unie niet op grond van artikel 50, lid 1, van die verordening worden verplicht om de schade te vergoeden die het gevolg is van het optreden van een lidstaat. Dat artikel is namelijk alleen van toepassing op schade die gezamenlijk door de Unie en een lidstaat is veroorzaakt, zoals wordt bevestigd door de bewoordingen van artikel 50, lid 2, van die verordening.
52 Volgens Europol kan overweging 57 van verordening 2016/794 niet tot een andere conclusie leiden. Het in die overweging genoemde begrip „hoofdelijke aansprakelijkheid” veronderstelt dat meer dan één entiteit aansprakelijk is voor dezelfde schade, en niet dat Europol zonder enige onrechtmatige gedraging van zijnentwege aansprakelijk kan worden gesteld voor het optreden van een lidstaat. De uitlegging die rekwirant aan deze overweging geeft is volgens Europol in strijd met de strekking van die verordening en de bewoordingen van artikel 50 ervan. Aangezien de preambule van een handeling van de Unie geen bindende rechtskracht heeft, kan zij niet worden aangevoerd om van de duidelijke bewoordingen van een bepaling af te wijken.
Beoordeling door het Hof
53 Om te beginnen moet worden onderzocht of artikel 50, lid 1, van verordening 2016/794 voorziet in een regeling van hoofdelijke aansprakelijkheid van Europol en de betrokken lidstaat in geval van onrechtmatige gegevensverwerking. Zo ja, dan moet vervolgens worden bepaald onder welke voorwaarden die aansprakelijkheid kan ontstaan.
– Aard van de aansprakelijkheidsregeling van artikel 50, lid 1, van verordening 2016/794
54 Voor de uitlegging van artikel 50, lid 1, van verordening 2016/794, in het bijzonder om de aard van de daarin neergelegde aansprakelijkheidsregeling te bepalen, moet volgens vaste rechtspraak van het Hof niet alleen rekening worden gehouden met de bewoordingen ervan, maar ook met de context ervan en met de doelstellingen van de regeling waarvan zij deel uitmaakt (zie in die zin arrest van 3 juni 2021, TEAM POWER EUROPE, C‑784/19, EU:C:2021:427, punt 43 en aldaar aangehaalde rechtspraak).
55 Artikel 50, lid 1, van verordening 2016/794 bepaalt dat de persoon die schade heeft geleden ten gevolge van een onrechtmatige gegevensverwerking recht heeft op vergoeding van de geleden schade „hetzij van Europol [...], hetzij van de lidstaat waar het schadeveroorzakende feit zich heeft voorgedaan”. Zoals de advocaat-generaal in punt 38 van zijn conclusie heeft opgemerkt, zijn deze bewoordingen niet eenduidig over de aard van de bedoelde aansprakelijkheid. Zij kunnen immers betekenen dat de natuurlijke persoon die schade heeft geleden zich ofwel tot Europol moet wenden in geval van schade die geheel of gedeeltelijk aan Europol kan worden toegerekend, ofwel tot de betrokken lidstaat in geval van schade die geheel of gedeeltelijk aan deze staat kan worden toegerekend. Aangezien uit die bewoordingen echter ook kan voortvloeien dat de persoon die schade heeft geleden zich zonder onderscheid tot elk van de entiteiten – dus tot Europol of tot de betrokken lidstaat – kan richten met het oog op de vergoeding van alle schade die hij heeft geleden ten gevolge van een onrechtmatige gegevensverwerking in het kader van een samenwerking tussen Europol en die lidstaat, sluiten diezelfde bewoordingen niet uit dat die bepaling in dit verband een hoofdelijke aansprakelijkheid van die entiteiten kan invoeren.
56 Derhalve moet worden onderzocht of deze bepaling, gelet op het doel en de context van artikel 50, lid 1, van verordening 2016/794, een regeling in het leven roept waarbij Europol en de betrokken lidstaat hoofdelijk aansprakelijk worden gesteld voor schade die is geleden ten gevolge van een onrechtmatige gegevensverwerking in het kader van een samenwerking tussen Europol en die lidstaat op grond van die verordening.
57 Volgens overweging 57 van verordening 2016/794, waarin dit doel tot uitdrukking komt, „[kan] [h]et voor de betrokkene onduidelijk zijn of schade door een onrechtmatige gegevensverwerking het gevolg is van een handeling van Europol of van een lidstaat [en] [dienen] Europol en de lidstaat waarin het schadeveroorzakend feit heeft plaatsgevonden [...] derhalve gezamenlijk en hoofdelijk aansprakelijk te zijn”.
58 Hieruit volgt dat de Uniewetgever – rekening houdend met de situatie waarin een natuurlijke persoon die schade heeft geleden door een onrechtmatige gegevensverwerking, niet kan vaststellen of zijn schade is toe te schrijven aan het optreden van Europol of aan dat van een lidstaat waarmee deze heeft samengewerkt – een regeling heeft ingevoerd waarbij Europol en de lidstaat waar het schadeveroorzakende feit zich heeft voorgedaan, hoofdelijk aansprakelijk zijn, teneinde die persoon volledige bescherming te bieden ingeval hij zich in een dergelijke situatie zou bevinden.
59 In dit verband zij eraan herinnerd dat een overweging van een handeling van de Unie weliswaar geen bindende rechtskracht heeft, maar toch een belangrijke interpretatieve waarde heeft, voor zover zij de inhoud van een bepaling van de betrokken handeling kan preciseren en de wil van de auteur van die handeling kan verduidelijken (zie in die zin arrest van 13 juli 2023, Commissie/CK Telecoms UK Investments, C‑376/20 P, EU:C:2023:561, punten 104 en 105 en aldaar aangehaalde rechtspraak).
60 Het is juist dat de overweging van een handeling van de Unie niet kan worden aangevoerd om van de bepalingen zelf van die handeling af te wijken of om die bepalingen uit te leggen in een zin die kennelijk in strijd is met de bewoordingen ervan (zie in die zin arresten van 19 juni 2014, Karen Millen Fashions, C‑345/13, EU:C:2014:2013, punt 31 en aldaar aangehaalde rechtspraak, en 16 februari 2022, Hongarije/Parlement en Raad, C‑156/21, EU:C:2022:97, punt 191).
61 In casu is overweging 57 van verordening 2016/794 echter geenszins in tegenspraak met de bewoordingen van artikel 50, lid 1, van die verordening. Zoals in punt 55 van het onderhavige arrest is opgemerkt, lenen deze bewoordingen zich immers met name voor een uitlegging volgens welke deze bepaling voorziet in een regeling van hoofdelijke aansprakelijkheid van Europol en de betrokken lidstaat ten gunste van de natuurlijke persoon die schade heeft geleden door een onrechtmatige gegevensverwerking in het kader van een onderlinge samenwerking.
62 Uit deze analyse blijkt dat artikel 50, lid 1, van verordening 2016/794, gelezen in het licht van overweging 57 van die verordening, overeenkomstig de wil van de Uniewetgever om de natuurlijke persoon die schade heeft geleden te begunstigen, voorziet in een regeling waarbij Europol en de betrokken lidstaat hoofdelijk aansprakelijk worden gesteld voor de schade die ten gevolge van een dergelijke verwerking wordt geleden.
63 Deze uitlegging vindt steun in de context van die bepaling, in het bijzonder in artikel 49 en artikel 50, lid 2, van verordening 2016/794.
64 Artikel 49 van verordening 2016/794 bevat volgens het opschrift ervan immers om te beginnen algemene bepalingen inzake aansprakelijkheid en recht op schadevergoeding. Uit het opschrift van artikel 50 van deze verordening blijkt daarentegen dat dit artikel specifiek betrekking heeft op de aansprakelijkheid voor onjuiste gegevensverwerking en het daaruit voortvloeiende recht op schadevergoeding. Dat artikel 50 een uitzondering vormt op de algemene beginselen van niet-contractuele aansprakelijkheid van de Unie, wordt in het bijzonder benadrukt in artikel 49, lid 3, van die verordening, gelezen in het licht van overweging 56 ervan.
65 Volgens deze bepaling vergoedt Europol in het geval van niet-contractuele aansprakelijkheid overeenkomstig de algemene beginselen die de rechtsstelsels van de lidstaten gemeen hebben alle door zijn diensten of personeelsleden in de uitoefening van hun functies veroorzaakte schade. Deze regel is echter geformuleerd „onverminderd artikel 49” van verordening 2016/794.
66 In dit verband moet worden opgemerkt dat de verwijzing naar „artikel 49” in de bewoordingen van artikel 49, lid 3, van deze verordening een kennelijke redactionele fout vormt. Deze verwijzing zou immers zinloos zijn indien zij verwijst naar het artikel waarvan zij deel uitmaakt. Aangezien artikel 50 van die verordening voorziet in een regeling die afwijkt van de algemene regels inzake niet-contractuele aansprakelijkheid van de Unie als bedoeld in artikel 49, lid 3, moet het eerste deel van deze laatste bepaling – dat de woorden „onverminderd” bevat – dus worden gelezen als een verwijzing naar dat artikel 50.
67 Overweging 56 van verordening 2016/794 bevestigt de in het vorige punt gegeven uitlegging door te verklaren dat „Europol dient onderworpen te zijn aan de op de instellingen, agentschappen en organen van de Unie toepasselijke algemene regels inzake contractuele en niet-contractuele aansprakelijkheid, behalve wat betreft de regels inzake aansprakelijkheid voor onrechtmatige gegevensverwerking.”
68 Hieruit volgt dat artikel 50 van verordening 2016/794 beoogt een bijzondere regeling van niet-contractuele aansprakelijkheid in te voeren met betrekking tot onrechtmatige gegevensverwerkingen, welke regeling afwijkt van de algemene aansprakelijkheidsregeling van deze verordening.
69 Voorts blijkt uit artikel 50, lid 2, van verordening 2016/794 dat wanneer Europol of de betrokken lidstaat voor het Hof van Justitie van de Europese Unie of voor de bevoegde nationale rechter aansprakelijk wordt gesteld voor een onrechtmatige gegevensverwerking in het kader van een onderlinge samenwerking, dit slechts de eerste van de twee stappen van de aansprakelijkheidsregeling van artikel 50 van die verordening is. Volgens artikel 50, lid 2, ervan bestaat de tweede fase van dit mechanisme namelijk in de vaststelling van de „uiteindelijke aansprakelijkheid” van Europol en/of de betrokken lidstaat voor de overeenkomstig artikel 50, lid 1, van die verordening aan een betrokkene toegekende schadevergoeding, aangezien alle geschillen tussen Europol en de lidstaten ter zake kunnen worden voorgelegd aan de raad van bestuur van Europol, onverminderd het recht om de beslissing van de raad van bestuur overeenkomstig artikel 263 VWEU bij het Hof van Justitie van de Europese Unie te betwisten.
70 De in artikel 50, lid 2, van verordening 2016/794 neergelegde mogelijkheid om in het kader van die tweede fase de raad van bestuur van Europol de „uiteindelijke aansprakelijkheid” te laten vaststellen van de entiteit waaraan de onrechtmatige gedraging die de schade heeft veroorzaakt, is toe te rekenen, of zelfs het deel van de aansprakelijkheid dat elk van de entiteiten moet dragen in het geval van samenloop van onrechtmatige gedragingen, zou geen bestaansreden hebben indien die entiteiten niet hoofdelijk aansprakelijk zouden zijn.
71 Gelet op het voorgaande moet worden geoordeeld dat artikel 50 van verordening 2016/794, gelezen in het licht van artikel 49, lid 3, en van de overwegingen 56 en 57 van die verordening, voorziet in een regeling van hoofdelijke aansprakelijkheid van Europol en de lidstaat waar de schade zich heeft voorgedaan die het gevolg is van de onrechtmatige gegevensverwerking in het kader van onderlinge samenwerking op grond van die verordening.
72 Zoals de advocaat-generaal in punt 51 van zijn conclusie heeft opgemerkt, is deze regeling van hoofdelijke aansprakelijkheid geen ongekend fenomeen in het Unierecht inzake gegevensverwerking. Zo voorziet artikel 82, lid 4, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1) in een dergelijke aansprakelijkheid in geval van meerdere verwerkingsverantwoordelijken.
– Voorwaarden voor aansprakelijkheid op grond van artikel 50, lid 1, van verordening 2016/794
73 Overeenkomstig de voorwaarden die voortvloeien uit artikel 340 VWEU, waarnaar artikel 50, lid 1, van verordening 2016/794 verwijst, wanneer de persoon die schade heeft geleden een beroep tegen Europol instelt, moet voor de niet-contractuele aansprakelijkheid van de Unie op grond van dat artikel 340 zijn voldaan aan een aantal voorwaarden, te weten de onrechtmatigheid van de aan de betrokken instelling, het betrokken orgaan of de betrokken instantie van de Unie verweten gedraging, het daadwerkelijk bestaan van schade en het bestaan van een oorzakelijk verband tussen die gedraging en de gestelde schade (zie in die zin arrest van 16 december 2020, Raad/K. Chrysostomides & Co. e.a., C‑597/18 P, C‑598/18 P, C‑603/18 P en C‑604/18 P, EU:C:2020:1028, punten 79 en 80 en aldaar aangehaalde rechtspraak).
74 In de specifieke context van verordening 2016/794 blijkt uit de bewoordingen van artikel 50, lid 1, van die verordening dat de natuurlijke persoon die zijn recht op schadevergoeding op grond van die bepaling wil doen gelden jegens hetzij Europol, hetzij de lidstaat waartegen hij opkomt, moet aantonen dat er sprake is van een „onrechtmatige gegevensverwerking”, van „schade” en van een oorzakelijk verband tussen die handeling en die schade. Gelet op de eerste van de in het vorige punt in herinnering gebrachte voorwaarden, hoeft deze persoon dus enkel aan te tonen dat een onrechtmatige gegevensverwerking heeft plaatsgevonden in het kader van een samenwerking tussen Europol en een lidstaat op grond van die verordening.
75 Zoals in de punten 57 en 58 van het onderhavige arrest is opgemerkt, beoogt artikel 50, lid 1, van verordening 2016/794 volgens overweging 57 van deze verordening het hoofd te bieden aan de moeilijkheden die de betrokken natuurlijke persoon kan ondervinden bij de vaststelling of de schade ten gevolge van een onrechtmatige gegevensverwerking die in het kader van een dergelijke samenwerking heeft plaatsgevonden, het gevolg is van een handeling van Europol of van de betrokken lidstaat.
76 Van deze persoon kan niet worden verlangd dat hij aantoont aan wie – Europol of de betrokken lidstaat – die schade kan worden toegerekend of dat hij deze twee entiteiten in rechte dagvaardt teneinde volledige vergoeding van zijn schade te verkrijgen. Anders zou artikel 50, lid 1, gelezen in het licht van overweging 57, zijn nuttig effect verliezen.
77 Wat dit laatste betreft, moet worden opgemerkt dat artikel 50, lid 1, van verordening 2016/794 niet bepaalt dat de betrokken natuurlijke persoon de twee entiteiten die mogelijkerwijs aansprakelijk zijn voor de verwerking van onrechtmatige gegevens voor dezelfde rechterlijke instantie kan dagvaarden, aangezien deze bepaling die persoon verplicht om tegen Europol beroep in te stellen bij het Hof van Justitie van de Europese Unie of tegen de lidstaat beroep in te stellen bij een bevoegde rechter van die lidstaat.
78 Hoewel de betrokken lidstaat en Europol respectievelijk voor het Gerecht of voor een rechter van die lidstaat kunnen interveniëren, kan dus om te beginnen niet worden uitgesloten dat die persoon verplicht zou zijn om zijn vordering in te stellen terwijl een van die entiteiten afwezig is. Zelfs als beide entiteiten aanwezig zijn bij de procedure voor de aangezochte rechter, volgt vervolgens hoe dan ook uit het voorgaande punt dat in het kader van de lopende procedure enkel de aansprakelijkheid van een van hen kan worden onderzocht, hetgeen de vaststelling van de feiten kan bemoeilijken. Ten slotte zouden de vorderingen die de betrokkene respectievelijk bij het Gerecht tegen Europol en bij de rechterlijke instanties van die lidstaat tegen de betrokken lidstaat heeft ingesteld, ertoe kunnen leiden dat die twee rechterlijke instanties tot dezelfde conclusie komen dat geen enkele verwerende instantie aansprakelijk is, aangezien de betrokkene niet rechtens genoegzaam heeft aangetoond dat de gestelde schade aan hen kan worden toegerekend.
79 Het is echter juist dat de Uniewetgever – om rekening te houden met deze bewijsproblemen –in artikel 50 van verordening 2016/794 voor de vergoeding van schade die is veroorzaakt door een onrechtmatige gegevensverwerking, voorzien heeft in een aansprakelijkheidsregeling in twee fasen die, ten eerste, de betrokkene ontslaat van de verplichting om vast te stellen welke entiteit met haar gedraging de gestelde schade heeft veroorzaakt, en ten tweede, bepaalt dat de „uiteindelijke aansprakelijkheid” voor die schade na voldoening van die persoon in voorkomend geval definitief moet worden vastgesteld in het kader van een procedure voor de raad van bestuur van Europol, waarbij alleen Europol en de betrokken lidstaat betrokken zijn.
80 Hieruit volgt dat artikel 50, lid 1, van verordening 2016/794, gelezen in het licht van overweging 57 van die verordening, aldus moet worden uitgelegd dat het de betrokken natuurlijke persoon die heeft aangetoond dat er sprake is van een onrechtmatige gegevensverwerking in het kader van een samenwerking tussen Europol en een lidstaat op grond van die verordening, niet de verplichting oplegt om vast te stellen welke van de bij die samenwerking betrokken entiteiten de gedraging heeft gesteld die aan de basis ligt van de onrechtmatige gegevensverwerking.
81 Om Europol of de betrokken lidstaat hoofdelijk aansprakelijk te stellen en om de betrokkene in staat te stellen zijn schade volledig vergoed te verkrijgen, hetzij voor de Unierechter, hetzij voor de nationale rechter, volstaat het op grond van artikel 50, lid 1, van verordening 2016/794, dat deze persoon aantoont dat in het kader van een samenwerking tussen Europol en de betrokken lidstaat uit hoofde van die verordening, een onrechtmatige gegevensverwerking hem schade heeft berokkend, zonder dat hij bovendien hoeft aan te tonen aan welke van deze twee entiteiten die onrechtmatige verwerking kan worden toegerekend.
82 Het staat de verwerende entiteit evenwel vrij om met alle rechtsmiddelen aan te tonen dat de gestelde schade geen verband houdt met een vermeende onrechtmatige gegevensverwerking die in het kader van een dergelijke samenwerking heeft plaatsgevonden. Dit zou bijvoorbeeld het geval zijn indien deze entiteit aantoont dat de schade haar oorsprong vindt in feiten die dateren van vóór de samenwerking die is aangegaan op grond van verordening 2016/794.
83 Uit een en ander volgt dat het Gerecht – door in punt 91 van het bestreden arrest de eerste vordering van rekwirant af te wijzen op grond dat hij niet had aangetoond dat de bekendmaking van de hem betreffende persoonsgegevens niet aan Europol kon worden toegerekend, en hij dus „niet het bewijs had geleverd dat er een voldoende bewezen oorzakelijk verband bestond tussen de in het kader van [die vordering] gestelde schade en een eventuele gedraging van Europol”, en door in de punten 92 tot en met 95 van het bestreden arrest te oordelen dat daaraan niet werd afgedaan door overweging 57, artikel 49, lid 3, of artikel 50 van verordening 2016/794 – blijk heeft gegeven van een onjuiste rechtsopvatting voor zover het Gerecht ten onrechte heeft geoordeeld dat artikel 50, lid 1, van die verordening, gelezen in het licht van overweging 57 ervan, de betrokken natuurlijke persoon niet vrijstelt van de verplichting om aan te tonen aan welke van deze twee entiteiten de onrechtmatige gegevensverwerking kan worden toegerekend.
84 Hieruit volgt dat het eerste middel gegrond is.
85 Deze onjuiste rechtsopvatting tast de afwijzing door het Gerecht van de eerste vordering, zoals deze in punt 49 van het bestreden arrest is afgebakend – welke afbakening in het kader van de hogere voorziening niet is betwist – in haar geheel aan.
86 Bijgevolg moet het eerste middel van de hogere voorziening worden aanvaard en moet het bestreden arrest worden vernietigd voor zover het Gerecht deze aldus afgebakende eerste vordering ongegrond heeft verklaard.
Tweede tot en met vierde middel
87 Het tweede tot en met het vierde middel van de hogere voorziening betreffen, net als het eerste middel, de afwijzing van de eerste vordering, die strekt tot vergoeding van de immateriële schade die rekwirant stelt te hebben geleden ten gevolge van de bekendmaking aan het publiek van persoonsgegevens afkomstig uit de betrokken mobiele telefoons.
88 Aangezien het onderzoek van het tweede tot en met het vierde middel niet kan leiden tot een ruimere vernietiging van het bestreden arrest dan die welke voortvloeit uit de toewijzing van het eerste middel, behoeven zij niet te worden onderzocht.
Zesde middel
Argumenten van partijen
89 Het zesde middel, dat vóór het vijfde middel moet worden onderzocht, bestaat uit twee onderdelen en heeft betrekking op de punten 102 en 106 tot en met 111 van het bestreden arrest.
90 Met het eerste onderdeel van het zesde middel verwijt rekwirant het Gerecht dat het in die punten van het bestreden arrest ten onrechte heeft geconcludeerd dat er geen oorzakelijk verband bestond tussen de in het kader van de tweede vordering gestelde onrechtmatige gedraging, te weten dat Europol zijn naam op de „maffialijsten” heeft vermeld of dat Europol heeft vastgesteld dat er een verband bestaat tussen hem en die lijsten, en de schade die hij stelt te hebben geleden ten gevolge van die vermelding of de vaststelling van dat verband.
91 Tot staving van dit eerste onderdeel betoogt rekwirant dat Europol niet heeft gemotiveerd waarom er een dergelijk verband tussen hem en de „maffialijsten” werd gelegd en dat Europol, door dit verband vast te stellen, het evenredigheidsbeginsel heeft geschonden omdat het zijn taak te buiten is gegaan, die uitsluitend bestond in het analyseren van de betrokken USB-gegevensdrager.
92 Aangezien het Europol-rapport deel uitmaakte van het nationale strafdossier betreffende rekwirant en informatie uit dat dossier gelekt was, moet volgens rekwirant bovendien worden geconcludeerd dat er een oorzakelijk verband bestaat tussen de onrechtmatige gedraging van Europol en de door rekwirant geleden schade. Het feit dat geen van de betrokken persartikelen melding maakt van dit rapport, zoals het Gerecht in punt 107 van het bestreden arrest heeft vastgesteld, doet er niet aan af dat er een oorzakelijk verband bestaat.
93 Rekwirant betoogt voorts dat Europol de enige instantie is die, in dat rapport, dit verband tussen hem en de „maffialijsten” heeft gelegd, terwijl noch het nationale recht, noch het Unierecht voorziet in de mogelijkheid om dergelijke lijsten op te stellen en bij te houden. In dit verband kan geen rekening worden gehouden met de Slowaakse media, volgens welke de „maffialijsten” door de Slowaakse politiediensten zouden worden bijgehouden. Door zich voor de vaststelling van dat verband te baseren op publiek toegankelijke bronnen, is Europol bovendien de krachtens artikel 29, lid 6, van verordening 2016/794 op hem rustende verplichtingen niet nagekomen. Volgens rekwirant moet uit het feit dat in het Europol-rapport niet staat dat Europol de informatie over het verband tussen rekwirant en de „maffialijsten” in de media heeft gevonden en uit het feit dat deze informatie uitdrukkelijk in dat rapport staat, worden afgeleid dat dit verband niet uit de „sensatiepers” naar voren is gekomen, maar dat Europol het heeft vastgesteld.
94 Het tweede onderdeel van dit middel is ontleend aan een onjuiste opvatting van de bewijselementen. Rekwirant betoogt dat de vaststelling van het Gerecht in de punten 108 en 109 van het bestreden arrest, dat uit de in het kader van de procedure bij het Gerecht overgelegde persartikelen voortvloeit dat rekwirant reeds vóór de opstelling van het Europol-rapport als „maffioso” werd aangemerkt, onjuist is. De titel van het persartikel, dat op 28 februari 2012 is verschenen en waarin rekwirant wordt afgeschilderd als „de maffioso die niet bestaat”, bewijst volgens rekwirant dat hij geen enkele band had met de „maffialijsten”.
95 Europol en de Slowaakse Republiek concluderen tot afwijzing van het zesde middel.
Beoordeling door het Hof
96 Wat het tweede onderdeel van het zesde middel betreft, dat als eerste moet worden onderzocht, zij eraan herinnerd dat er volgens vaste rechtspraak met name sprake is van een onjuiste opvatting van de bewijselementen wanneer het Gerecht de grenzen van een redelijke beoordeling van dit bewijsmateriaal kennelijk heeft overschreden. De onjuiste opvatting moet duidelijk uit de stukken van het dossier blijken, zonder dat een nieuwe beoordeling van de feiten en de bewijzen dient te worden verricht. In dit verband volstaat het niet dat wordt aangetoond dat een document kan worden opgevat op een wijze die verschilt van die van het Gerecht (zie in die zin arrest van 16 februari 2023, Commissie/Italië en Spanje, C‑635/20 P, EU:C:2023:98, punt 127 en aldaar aangehaalde rechtspraak).
97 In casu heeft het Gerecht in punt 108 van het bestreden arrest vastgesteld dat „de door [rekwirant] gestelde gelijktijdigheid wordt tegengesproken door het door [rekwirant] zelf en door Europol verstrekte bewijs”. In dit verband heeft het in datzelfde punt opgemerkt dat „rekwirant in het verzoekschrift [verwees] naar een op 28 februari 2012 gepubliceerd persartikel met als titel ‚Marián Kočner. De maffioso die niet bestaat’, en waarin staat dat, [o]p de zogenoemde maffialijsten, die in 2005 van bij de politie zijn gelekt, de ondernemer Marián Kočner vermeld staat in de rubriek ‚relevante gemotoriseerde voertuigen’” en dat „Europol zich [beriep] op persartikelen van 21 juni 2005 en 9 juli 2017 waarin ook wordt verwezen naar de eventuele betrokkenheid van [rekwirant] bij de maffia”.
98 Het Gerecht heeft zijn conclusie dat rekwirant reeds als „maffioso” werd aangemerkt voordat het Europol-rapport werd opgesteld, dus kennelijk gebaseerd op een geheel van persartikelen over rekwirant, en niet alleen op het door hem verstrekte artikel uit 2012, dat hem, aldus rekwirant, van de „maffialijsten” loskoppelde. Anders dan rekwirant stelt, heeft het Gerecht aldus de grenzen van een redelijke beoordeling van deze elementen, in hun geheel beschouwd, niet overschreden en heeft het dit door rekwirant aangevoerde persartikel niet verdraaid door dit artikel uit te leggen op een wijze die onverenigbaar is met de bewoordingen ervan.
99 Bijgevolg moet het tweede onderdeel van het zesde middel ongegrond worden verklaard.
100 Inzake het eerste onderdeel van dit middel, moet in herinnering worden gebracht dat op het gebied van de niet-contractuele aansprakelijkheid van de Unie de vraag of er een oorzakelijk verband bestaat tussen het schadeveroorzakende feit en de schade, wat een voorwaarde vormt voor het ontstaan van deze aansprakelijkheid, een rechtsvraag vormt, die bijgevolg aan het toezicht van het Hof is onderworpen (arrest van 16 juli 2009, Commissie/Schneider Electric, C‑440/07 P, EU:C:2009:459 punt 192, en beschikking van 3 september 2019, FV/Raad, C‑188/19 P, EU:C:2019:690, punt 36). Dit toezicht mag er echter niet in bestaan dat het Hof de feitelijke vaststellingen en beoordelingen van het Gerecht in twijfel trekt (zie in die zin arrest van 16 juli 2009, Commissie/Schneider Electric, C‑440/07 P, EU:C:2009:459, punt 193).
101 Vastgesteld zij evenwel dat rekwirant met dit eerste onderdeel in feite bepaalde feitelijke beoordelingen die het Gerecht in het licht van de hem overgelegde bewijzen heeft gemaakt, ter discussie wil stellen. Het gaat in de eerste plaats om de beoordeling in punt 102 van het bestreden arrest, volgens welke rekwirant geen enkel bewijs had geleverd om aan te tonen dat de „maffialijsten” waarop zijn naam vermeld zou zijn, door Europol waren opgesteld en werden bijgehouden. In de tweede plaats komt rekwirant ook op tegen het oordeel van het Gerecht dat er geen oorzakelijk verband bestaat tussen de beweerdelijk onrechtmatige gedraging van Europol en de gestelde schade, voor zover het Gerecht om te beginnen in punt 107 van het bestreden arrest heeft vastgesteld dat rekwirant geen enkel bewijs had geleverd dat de dienaangaande gepubliceerde informatie haar oorsprong vond in het Europol-rapport, en voorts in de punten 108 en 109 van dat arrest heeft vastgesteld dat de Slowaakse pers rekwirant ruim vóór begin 2019 reeds als maffioso afschilderde. Aangezien rekwirant zich met het onderhavige onderdeel niet beroept op een onjuiste opvatting van het bewijs, kunnen die beoordelingen niet door het Hof worden getoetst.
102 Derhalve is het eerste onderdeel van het zesde middel niet-ontvankelijk.
103 Bijgevolg is dit middel deels niet-ontvankelijk en deels ongegrond.
Vijfde middel
104 Met zijn vijfde middel, dat is gebaseerd op dezelfde argumenten als die welke ter ondersteuning van het eerste middel zijn aangevoerd, verwijt rekwirant het Gerecht dat het blijk heeft gegeven van een onjuiste rechtsopvatting door in punt 105 van het bestreden arrest te besluiten om bij de vaststelling van de aansprakelijkheid van Europol geen rekening te houden met overweging 57 van verordening 2016/794, op grond dat de preambule van een verordening geen bindende rechtskracht heeft. Hieruit volgt dat het Gerecht de tweede vordering, strekkende tot vergoeding van de schade die rekwirant stelt te hebben geleden doordat Europol zijn naam op de „maffialijsten” zou hebben vermeld, ten onrechte heeft afgewezen door te oordelen dat geen enkel mechanisme van hoofdelijke aansprakelijkheid tot uitdrukking is gebracht in of is gebaseerd op bepalingen van die verordening in het geval van onrechtmatige gegevensverwerking door Europol of de betrokken lidstaat.
105 Europol, ondersteund door de Slowaakse Republiek, betoogt dat het vijfde middel moet worden afgewezen op grond van dezelfde argumenten als die welke in de punten 49 tot en met 52 van het onderhavige arrest zijn aangevoerd in antwoord op het betoog van rekwirant in het kader van het eerste middel.
106 In dit verband moet worden opgemerkt dat het Gerecht – dat bij uitsluiting bevoegd is om de feiten vast te stellen en te beoordelen en om de bewijzen te onderzoeken die het tot staving van die feiten in aanmerking neemt – zich op meerdere elementen heeft gebaseerd om de tweede vordering af te wijzen, die strekte tot vergoeding van de schade die rekwirant stelt te hebben geleden omdat Europol zijn naam op de „maffialijsten” heeft vermeld. Zo heeft het Gerecht ten eerste in punt 102 van het bestreden arrest, waarnaar wordt verwezen in het afgewezen zesde middel van de hogere voorziening, vastgesteld dat rekwirant niet had aangetoond dat de „maffialijsten” waarop zijn naam zou zijn vermeld, door Europol waren opgesteld en werden bijgehouden. Ten tweede heeft het Gerecht in de punten 108 en 109 van dat arrest, waarnaar eveneens wordt verwezen in het afgewezen zesde middel van de hogere voorziening, geoordeeld dat de door rekwirant gestelde gelijktijdigheid tussen het Europol-rapport en de evolutie in de manier waarop rekwirant werd beschreven in de Slowaakse pers, die rekwirant na het lekken van zijn nationale strafdossier zou hebben afgeschilderd als een „maffioso” of als „een persoon die op de maffialijsten voorkomt”, werd tegengesproken door de bewijzen die zowel rekwirant als Europol hadden verstrekt onder verwijzing naar persartikelen die in 2005, 2012 en 2017 waren gepubliceerd. In dit verband heeft het Gerecht bovendien in punt 109 van het bestreden arrest vastgesteld dat „de Slowaakse pers [rekwirant] ruim vóór begin 2019 reeds aanmerkte als een ‚maffioso’ en niet alleen als een ‚controversiële aannemer’”, en heeft het op basis van die bewijzen uitgesloten dat „deze presentatie van [rekwirant] haar oorsprong kon vinden in het lekken van het [hem betreffende nationale strafdossier], [dat] het Europol-rapport [bevatte]”.
107 Zo blijkt in het bijzonder uit de vaststellingen in de punten 108 en 109 van het bestreden arrest dat, aangezien het Europol-rapport van latere datum is en alleen al om die reden geen verband houdt met het door rekwirant in de tweede vordering gestelde schadeveroorzakende feit, de door rekwirant gestelde schade geen verband kan houden met een eventuele onrechtmatige gegevensverwerking die heeft plaatsgevonden in het kader van de samenwerking tussen Europol en de Slowaakse autoriteiten. Zoals in de punten 96 tot en met 102 van het onderhavige arrest is opgemerkt, heeft rekwirant in het kader van het zesde middel niet aangetoond dat het Gerecht bij die vaststellingen blijk heeft gegeven van een onjuiste opvatting van het bewijs of van een onjuiste rechtsopvatting.
108 Bijgevolg is in casu niet voldaan aan het in punt 81 van het onderhavige arrest genoemde vereiste voor de hoofdelijke aansprakelijkheid van Europol op grond van artikel 50, lid 1, van verordening 2016/794, zodat deze aansprakelijkheid hoe dan ook niet kan worden ingeroepen in het kader van de tweede vordering.
109 Bijgevolg is het vijfde middel niet ter zake dienend, ongeacht de onjuiste rechtsopvatting waarvan het Gerecht blijk heeft gegeven door in punt 105 van het bestreden arrest het beginsel zelf van hoofdelijke aansprakelijkheid van Europol in het kader van die verordening af te wijzen om de in de punten 92 tot en met 95 van dat arrest uiteengezette redenen.
110 Aangezien het vijfde en het zesde middel zijn afgewezen, moet de hogere voorziening worden verworpen voor zover zij de tweede vordering betreft.
Beroep bij het Gerecht
111 Overeenkomstig artikel 61, eerste alinea, tweede volzin, van het Statuut van het Hof van Justitie van de Europese Unie kan het Hof in geval van vernietiging van de beslissing van het Gerecht de zaak zelf afdoen wanneer deze in staat van wijzen is.
112 In casu is het Hof, met name gelet op het feit dat het door rekwirant bij het Gerecht ingestelde beroep is gebaseerd op middelen waarover voor het Gerecht de standpunten zijn uitgewisseld en waarvan het onderzoek niet vereist dat enige extra maatregel tot organisatie van de procesgang of van instructie van het dossier wordt vastgesteld, van oordeel dat dit beroep in staat van wijzen is en dat het dit zelf dient af te doen binnen de grenzen van het geding waarover het nog dient te beslissen (zie naar analogie arrest van 4 maart 2021, Commissie/Fútbol Club Barcelona, C‑362/19 P, EU:C:2021:169, punt 108 en aldaar aangehaalde rechtspraak).
113 Gelet op de gedeeltelijke vernietiging van het bestreden arrest hoeft enkel uitspraak te worden gedaan over de eerste vordering die voor het Gerecht is geformuleerd, zoals afgebakend in punt 49 van dat arrest.
114 Rekwirant vordert op grond van de artikelen 268 en 340 VWEU en artikel 50, lid 1, van verordening 2016/794 betaling van een bedrag van 50 000 EUR ter vergoeding van de schade die hij stelt te hebben geleden ten gevolge van de bekendmaking aan het publiek van persoonsgegevens afkomstig uit de betrokken mobiele telefoons, die via internet aan het publiek ter beschikking zijn gesteld en in de Slowaakse pers zijn overgenomen. Deze bekendmaking van persoonsgegevens heeft door de publicatie ervan afbreuk gedaan aan zijn eer en beroepsreputatie, alsook aan zijn recht op eerbiediging van zijn privéleven, zijn familie- en gezinsleven en het recht op eerbiediging van zijn communicatie, welke rechten worden gewaarborgd door artikel 7 van het Handvest.
115 In dit verband betoogt rekwirant, onder verwijzing naar overweging 57 van verordening 2016/794, dat Europol op grond van artikel 50, lid 1, van die verordening hoofdelijk aansprakelijk kan worden gesteld indien de schade die hij stelt te hebben geleden ten gevolge van een onrechtmatige gegevensverwerking het gevolg is van het optreden van Europol of van een lidstaat.
116 Europol stelt dat niet is aangetoond dat het onrechtmatig gegevens heeft verwerkt, aangezien niet is aangetoond dat het aan de bron lag van de lekken van gegevens betreffende rekwirant. In elk geval resulteert het lekken van informatie, zelfs indien dit zou worden aangetoond, niet automatisch in niet-contractuele aansprakelijkheid van Europol. Europol betoogt namelijk dat de organen van de Unie volgens de rechtspraak van het Hof slechts niet-contractueel aansprakelijk kunnen worden gesteld indien er met name sprake is van een voldoende gekwalificeerde schending van een rechtsregel die ertoe strekt aan particulieren rechten toe te kennen. Artikel 32, lid 1, van verordening 2016/794 bevat echter geen absolute resultaatsverplichting, maar verplicht Europol enkel om passende technische en organisatorische maatregelen te treffen om de persoonsgegevens te beschermen tegen elke vorm van ongeoorloofde verwerking, hetgeen het heeft gedaan. Bovendien heeft Europol de uit de betrokken mobiele telefoons geëxtraheerde gegevens nooit in een ontsleutelde en begrijpelijke vorm verwerkt.
117 Volgens de rechtspraak van het Hof moet voor de niet-contractuele aansprakelijkheid van de Unie op grond van artikel 340, tweede alinea, VWEU zijn voldaan aan een aantal voorwaarden, te weten dat er sprake is van een voldoende gekwalificeerde schending van een rechtsregel die ertoe strekt aan particulieren rechten toe te kennen, dat er werkelijk schade is geleden en dat er een oorzakelijk verband bestaat tussen de schending van de op de auteur van de handeling rustende verplichting en de door de benadeelde personen geleden schade (arrest van 10 september 2019, HTTS/Raad, C‑123/18 P, EU:C:2019:694, punt 32 en aldaar aangehaalde rechtspraak).
118 Uit deze rechtspraak volgt dat de eerste voorwaarde voor die aansprakelijkheid, die betrekking heeft op de onrechtmatigheid van de aan de betrokken instelling, het betrokken orgaan of de betrokken instantie van de Unie verweten gedraging, in de zin van de in punt 73 van het onderhavige arrest in herinnering gebrachte rechtspraak, uit twee onderdelen bestaat, te weten, ten eerste dat er sprake is van een schending van een rechtsregel van de Unie die beoogt rechten aan particulieren toe te kennen, en ten tweede dat die schending voldoende gekwalificeerd is (zie in die zin arrest van 10 september 2019, HTTS/Raad, C‑123/18 P, EU:C:2019:694, punt 36).
119 Wat het eerste onderdeel van deze voorwaarde betreft, is het vaste rechtspraak dat de rechten van particulieren niet alleen ontstaan doordat Unierechtelijke bepalingen ze uitdrukkelijk toekennen, maar ook doordat deze bepalingen duidelijk omschreven positieve of negatieve verplichtingen opleggen aan zowel particulieren als de lidstaten en de instellingen, organen en instanties van de Unie [zie in die zin arrest van 22 december 2022, Ministre de la Transition écologique en Premier ministre (Staatsaansprakelijkheid voor luchtverontreiniging), C‑61/21, EU:C:2022:1015, punt 46]. Deze regel geldt ook voor verplichtingen die door het Unierecht worden opgelegd in het kader van de samenwerking tussen een agentschap van de Unie, zoals Europol, en de lidstaten.
120 De niet-nakoming van dergelijke verplichtingen kan afbreuk doen aan de rechten die aldus krachtens de betrokken bepalingen van Unierecht impliciet aan particulieren worden toegekend. De volle werking van deze bepalingen en de bescherming van de rechten die zij beogen toe te kennen, vereisen dat particulieren schadevergoeding kunnen verkrijgen [zie in die zin arrest van 22 december 2022, Ministre de la Transition écologique en Premier ministre (Staatsaansprakelijkheid voor luchtverontreiniging), C‑61/21, EU:C:2022:1015, punt 47].
121 In casu moet worden vastgesteld dat verordening 2016/794 Europol en de bevoegde autoriteiten van de lidstaten die met dit agentschap van de Unie moeten samenwerken met het oog op strafvervolging, een verplichting oplegt om particulieren te beschermen tegen de onrechtmatige verwerking van de hen betreffende persoonsgegevens, welke verplichting met name voortvloeit uit een gezamenlijke lezing van artikel 2, onder h), i) en k), artikel 28, lid 1, onder a) en f), artikel 38, lid 4, en artikel 50, lid 1, van die verordening.
122 Artikel 2, onder k), van verordening 2016/794 definieert „verwerking” immers als elke verrichting of elk geheel van verrichtingen met betrekking tot persoonsgegevens of reeksen persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verstrekken door middel van doorzending, verspreiding of enige andere beschikbaarstelling. Artikel 2, onder h) en i), van deze verordening definieert „persoonsgegevens” als alle informatie over een „betrokkene”, waarbij met dit laatste begrip een geïdentificeerde of identificeerbare natuurlijke persoon wordt bedoeld. Voorts vereist artikel 28, lid 1, onder a) en f), van die verordening dat de persoonsgegevens „eerlijk en rechtmatig” worden verwerkt op een wijze die een passend beveiligingsniveau waarborgt. Volgens artikel 38, lid 4, van diezelfde verordening is Europol verantwoordelijk voor de naleving van deze in artikel 28, lid 1, onder a) en f), vastgestelde beginselen. Ten slotte bevat artikel 50, lid 1, van verordening 2016/794, voor zover het de instanties die betrokken zijn bij de in die verordening bedoelde samenwerking verplicht om de schade te vergoeden die een natuurlijke persoon heeft geleden ten gevolge van een onrechtmatige gegevensverwerking, de impliciete verplichting voor die instanties om iedere natuurlijke persoon te beschermen tegen elke onrechtmatige vorm van terbeschikkingstelling van hem betreffende persoonsgegevens.
123 Uit een gezamenlijke lezing van de in de twee voorgaande punten bedoelde bepalingen volgt dat elke bekendmaking van persoonsgegevens die in het kader van samenwerking tussen Europol en de bevoegde nationale autoriteiten worden verwerkt op grond van verordening 2016/794 aan personen die niet bevoegd zijn om er kennis van te nemen, een schending vormt van een regel van Unierecht die ertoe strekt rechten toe te kennen aan particulieren.
124 In casu volgt uit de vaststellingen van het Gerecht in de punten 1, 2, 44, 84, 85 en 90 van het bestreden arrest, die het Hof onderschrijft, dat persoonsgegevens betreffende rekwirant – namelijk intieme gesprekken tussen hem en zijn vriendin, die in de betrokken mobiele telefoons waren opgeslagen – die de Slowaakse autoriteiten in het kader van een samenwerking op grond van richtlijn 2016/794 aan Europol werden afgegeven – uit die telefoons zijn gehaald en dat deze gegevens, die eerst in het bezit waren van Europol en, vanaf 23 oktober 2018, ook in het bezit van de Slowaakse autoriteiten, zijn bekendgemaakt aan personen die niet bevoegd waren om er kennis van te nemen, hetgeen heeft geleid tot de publicatie ervan in de Slowaakse pers op 20 mei 2019. Dergelijke omstandigheden wijzen op een schending als die welke in het vorige punt is bedoeld.
125 In dit verband moet het argument van Europol worden afgewezen dat het de krachtens verordening 2016/794 op hem rustende verplichtingen is nagekomen door passende technische en organisatorische maatregelen te treffen om de persoonsgegevens te beschermen tegen elke vorm van ongeoorloofde verwerking. Zoals namelijk in punt 80 van het onderhavige arrest is opgemerkt, roept artikel 50, lid 1, van deze verordening immers een regeling inzake hoofdelijke aansprakelijkheid in het leven, in het kader waarvan degene die meent het slachtoffer te zijn van een onrechtmatige gegevensverwerking, niet hoeft aan te tonen aan welke van de entiteiten die betrokken zijn bij een samenwerking op grond van die verordening, een dergelijke verwerking kan worden toegerekend, onverminderd de aan Europol geboden mogelijkheid om zich in voorkomend geval later op grond van artikel 50, lid 2, van die verordening tot zijn raad van bestuur te wenden teneinde de uiteindelijke aansprakelijkheid voor de aan die persoon toegekende schadevergoeding te laten vaststellen.
126 Wat betreft het tweede onderdeel van de eerste voorwaarde voor de niet-contractuele aansprakelijkheid van de Unie, in verband met het vereiste van een voldoende gekwalificeerde schending van een regel van Unierecht die ertoe strekt aan particulieren rechten toe te kennen, is het beslissende criterium dienaangaande om vast te stellen dat een schending van dat recht voldoende gekwalificeerd is, de kennelijke en ernstige niet-naleving van de grenzen van de beoordelingsbevoegdheid die in de geschonden regel vervat is (zie in die zin arresten van 4 juli 2000, Bergaderm en Goupil/Commissie, C‑352/98 P, EU:C:2000:361, punt 43 en aldaar aangehaalde rechtspraak, en 4 april 2017, Ombudsman/Staelen, C‑337/15 P, EU:C:2017:256, punt 31 en aldaar aangehaalde rechtspraak). Wanneer de betrokken instelling slechts over een zeer beperkte of in het geheel geen beoordelingsmarge beschikt, kan de enkele inbreuk op het Unierecht volstaan om een voldoende gekwalificeerde schending van dat recht te doen vaststaan (arrest van 10 juli 2003, Commissie/Fresh Marine, C‑472/00 P, EU:C:2003:399, punt 26 en aldaar aangehaalde rechtspraak). Onverschoonbare fouten, ernstige nalatigheid bij de vervulling van een plicht of een kennelijk gebrek aan zorgvuldigheid vormen met name een dergelijke schending (zie in die zin arrest van 30 januari 1992, Finsider e.a./Commissie, C‑363/88 en C‑364/88, EU:C:1992:44, punt 22 en aldaar aangehaalde rechtspraak).
127 Bij de te verrichten beoordeling moet rekening worden gehouden met het gebied, de voorwaarden en de context waarbinnen de betrokken verplichting op de betrokken autoriteit rust (zie in die zin arrest van 4 april 2017, Ombudsman/Staelen, C‑337/15 P, EU:C:2017:256, punt 40 en aldaar aangehaalde rechtspraak).
128 Bovendien moet met name rekening worden gehouden met de mate van duidelijkheid en nauwkeurigheid van de geschonden regel en met de omvang van de beoordelingsmarge die deze regel de betrokken autoriteit laat (zie in die zin arrest van 30 mei 2017, Safa Nicu Sepahan/Raad, C‑45/15 P, EU:C:2017:402, punt 30 en aldaar aangehaalde rechtspraak), de ingewikkeldheid van de te regelen situaties en de moeilijkheden bij de toepassing of de uitlegging van de teksten [arrest van 19 april 2007, Holcim (Deutschland)/Commissie, C‑282/05 P, EU:C:2007:226, punt 50 en aldaar aangehaalde rechtspraak].
129 In casu moet ten eerste worden vastgesteld dat de in de punten 122 en 123 van het onderhavige arrest genoemde bepalingen de entiteiten die betrokken zijn bij een samenwerking op grond van verordening 2016/794, geen enkele beoordelingsmarge laten met betrekking tot hun verplichting om alle natuurlijke personen te beschermen tegen elke onrechtmatige vorm van terbeschikkingstelling van hen betreffende persoonsgegevens door daartoe passende technische en organisatorische maatregelen te treffen. Ten tweede maakt deze verplichting deel uit van de gevoelige context van een samenwerking tussen Europol en de lidstaten met het oog op strafrechtelijke vervolging, waarbij dergelijke gegevens worden verwerkt zonder enige tussenkomst van de betrokkenen, meestal zonder dat zij daarvan op de hoogte zijn, en dus zonder dat zij op enigerlei wijze kunnen ingrijpen om de eventuele onrechtmatige verwerking van hun gegevens te voorkomen.
130 Het intieme karakter van de gegevens die opgeslagen kunnen zijn op dragers als die welke in de onderhavige zaak aan de orde zijn, maakt het des te noodzakelijker dat de bescherming van die gegevens betreffende rekwirant strikt wordt gewaarborgd, temeer daar die gegevens geen enkel verband hielden met de feiten waarvoor rekwirant strafrechtelijk werd vervolgd.
131 In die omstandigheden moet, gelet op de in punt 124 van het onderhavige arrest in herinnering gebrachte vaststellingen van het Gerecht, worden geoordeeld dat de onrechtmatige verwerking van die gegevens in het kader van de samenwerking tussen Europol en de Slowaakse autoriteiten op grond van verordening 2016/794 een voldoende gekwalificeerde schending vormde van een regel van Unierecht die ertoe strekt aan particulieren rechten toe te kennen.
132 Hieraan moet worden toegevoegd dat het argument van Europol dat het nooit over de uit de betrokken mobiele telefoons geëxtraheerde gegevens heeft beschikt in een ontsleutelde en begrijpelijke vorm, niet eraan kan afdoen dat er sprake is van een dergelijke schending wegens de onrechtmatige gegevensverwerking die in het kader van die samenwerking heeft plaatsgevonden. Zoals blijkt uit punt 80 van het onderhavige arrest, roept artikel 50, lid 1, van verordening 2016/794 een regeling van hoofdelijke aansprakelijkheid in het leven, in het kader waarvan het slachtoffer van een dergelijke verwerking niet hoeft aan te tonen aan welke entiteiten die verwerking kan worden toegerekend. Bijgevolg kan dit argument in de context van de onderhavige zaak hoe dan ook niet slagen, onverminderd de mogelijkheid voor Europol om dat argument in voorkomend geval aan te voeren wanneer het zich wendt tot zijn raad van bestuur op grond van artikel 50, lid 2, van die verordening.
133 Met betrekking tot de tweede en de derde uit artikel 340, tweede alinea, VWEU voortvloeiende voorwaarde voor niet-contractuele aansprakelijkheid van de Unie, inzake het bewijs van de geleden schade en van het oorzakelijk verband tussen die schade en de voldoende gekwalificeerde schending van een Unierechtelijke regel, die in casu bestaat in de verwerking van onrechtmatige gegevens, betoogt rekwirant dat de bekendmaking van de hem betreffende in de betrokken mobiele telefoons opgeslagen persoonsgegevens ten gevolge van de publicatie ervan niet alleen afbreuk heeft gedaan aan het recht op eerbiediging van zijn privéleven, maar ook aan het recht op eerbiediging van zijn familie- en gezinsleven. Deze bekendmaking zou een negatieve invloed hebben gehad op de relaties tussen rekwirant en zijn dochters, die zwaar zijn getroffen door de publicatie van die gegevens, waarin met name werd gewezen op de intieme relatie van hun vader met zijn vriendin, die aldus openbaar werd gemaakt, en op hun intieme gesprekken. Het resultaat was een gevoel van frustratie en onrechtvaardigheid en de aantasting van de eer en de beroepsreputatie van rekwirant. Die bekendmaking heeft ook afbreuk gedaan aan het door artikel 7 van het Handvest gewaarborgde recht op eerbiediging van zijn communicatie.
134 Europol heeft geen enkel specifiek argument aangevoerd met betrekking tot het bestaan van de door rekwirant gestelde immateriële schade en het bestaan van een oorzakelijk verband tussen de onrechtmatige gegevensverwerking en die schade. Het heeft enkel gesteld dat de eerste vordering moest worden afgewezen omdat het schadeveroorzakende feit niet was bewezen, of niet was bewezen dat het kon worden toegerekend aan Europol.
135 Wat betreft de voorwaarden inzake het bestaan van schade en het oorzakelijk verband, kan de Unie alleen maar niet-contractueel aansprakelijk worden gesteld indien de verzoekende partij daadwerkelijk reële en zekere schade heeft geleden en de schade een voldoende rechtstreeks gevolg is van de gestelde schending van een regel van het Unierecht. Het staat aan de verzoekende partij om aan de Unierechter de bewijzen over te leggen om het bestaan en de omvang van de door haar gestelde schade en een voldoende rechtstreeks oorzakelijk verband tussen die schending en de gestelde schade aan te tonen (zie in die zin arrest van 30 mei 2017, Safa Nicu Sepahan/Raad, C‑45/15 P, EU:C:2017:402, punten 61 en 62 en aldaar aangehaalde rechtspraak).
136 Zoals in punt 124 van het onderhavige arrest is opgemerkt, heeft de onrechtmatige gegevensverwerking die bestond in de bekendmaking van gegevens over intieme gesprekken tussen rekwirant en zijn vriendin aan niet-bevoegde personen in casu tot gevolg gehad dat deze gegevens toegankelijk werden voor het publiek, zoals blijkt uit de publicatie ervan in de Slowaakse pers. Gelet op de inhoud van die gesprekken moet worden geoordeeld dat deze onrechtmatige gegevensverwerking het recht van rekwirant op eerbiediging van zijn privéleven, zijn familie- en gezinsleven en zijn communicatie, zoals gewaarborgd door artikel 7 van het Handvest, heeft geschonden en zijn eer en goede naam heeft aangetast, waardoor hij immateriële schade heeft geleden.
137 Ter vergoeding van de in het kader van de eerste vordering gestelde schade vordert rekwirant betaling van een bedrag van 50 000 EUR.
138 Het Gerecht heeft evenwel geoordeeld dat het onderzoek van de eerste vordering moest worden beperkt tot de schade die zou voortvloeien uit de bekendmaking van de transcripties van de intieme en seksuele gesprekken tussen rekwirant en zijn vriendin, aangezien rekwirant geen enkel element had aangedragen waaruit direct of indirect bleek dat de in punt 26 van het onderhavige arrest genoemde foto’s daadwerkelijk waren verspreid.
139 Aangezien deze gedeeltelijke afwijzing van de eerste vordering in hogere voorziening niet is betwist, moet dit deel van de gestelde schade van de aan rekwirant toe te kennen schadevergoeding worden uitgesloten.
140 In die omstandigheden moet worden geoordeeld dat de immateriële schade die rekwirant heeft geleden ten gevolge van de bekendmaking van de transcripties van de intieme gesprekken met zijn vriendin, adequaat zal worden hersteld door hem een vergoeding te betalen die naar billijkheid wordt vastgesteld op 2 000 EUR.
Kosten
141 In artikel 184, lid 2, van het Reglement voor de procesvoering van het Hof is bepaald dat het Hof over de kosten beslist wanneer de hogere voorziening ongegrond is of wanneer het bij gegrondheid ervan de zaak zelf afdoet.
142 Volgens artikel 138, lid 1, van dat Reglement, dat krachtens artikel 184, lid 1, van toepassing is op de procedure in hogere voorziening, wordt de in het ongelijk gestelde partij in de kosten verwezen, voor zover dat is gevorderd. Overeenkomstig artikel 138, lid 3, eerste volzin, draagt elke partij haar eigen kosten, indien zij onderscheidenlijk op een of meer punten in het ongelijk worden gesteld.
143 In casu verzoekt rekwirant om uitspraak te doen over de kosten „in het kader van de procedure in het hoofdgeding”. In dit verband zij opgemerkt dat hij in zijn verzoekschrift in eerste aanleg heeft verzocht om verwijzing van Europol in de kosten, maar dat hij in zijn hogere voorziening niets heeft aangevoerd met betrekking tot de kosten van de hogere voorziening.
144 Europol heeft gevorderd dat rekwirant wordt verwezen in de kosten van zowel de procedure in eerste aanleg als de procedure in hogere voorziening.
145 Aangezien de partijen in het stadium van de hogere voorziening elk gedeeltelijk in het ongelijk zijn gesteld, en in eerste aanleg elk gedeeltelijk in het ongelijk zijn gesteld, moet elke partij haar eigen kosten betreffende zowel de procedure in eerste aanleg als de procedure in hogere voorziening dragen.
146 Volgens artikel 140, lid 1, van het Reglement voor de procesvoering van het Hof, dat krachtens artikel 184, lid 1, van dit Reglement van toepassing is op de procedure in hogere voorziening, dragen de lidstaten en de instellingen die in het geding hebben geïntervenieerd, hun eigen kosten. De Slowaakse Republiek, interveniënte voor het Hof, draagt dus haar eigen kosten.
Het Hof (Grote kamer) verklaart:
1) Het arrest van het Gerecht van de Europese Unie van 29 september 2021, Kočner/Europol (T‑528/20, EU:T:2021:631), wordt vernietigd voor zover het de eerste vordering, zoals afgebakend in dit arrest, heeft afgewezen.
2) De hogere voorziening wordt afgewezen voor het overige.
3) Het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) wordt veroordeeld om aan Marián Kočner een schadevergoeding te betalen van 2 000 EUR.
4) Het beroep wordt verworpen voor het overige.
5) Marián Kočner en Europol dragen hun eigen kosten in verband met zowel de procedure in eerste aanleg als de procedure in hogere voorziening.
6) De Slowaakse Republiek draagt haar eigen kosten.
ondertekeningen