WYROK TRYBUNAŁU (wielka izba)

z dnia 5 marca 2024 r.(*)

Odwołanie – Współpraca organów ścigania – Rozporządzenie (UE) 2016/794 – Artykuł 49 ust. 3 i art. 50 – Ochrona danych osobowych – Niezgodne z prawem przetwarzanie danych – Postępowanie karne wszczęte na Słowacji przeciwko wnoszącemu odwołanie – Ekspertyza przeprowadzona przez Agencję Unii Europejskiej ds. Współpracy Organów Ścigania (Europol) na potrzeby dochodzenia – Pobranie danych z telefonów komórkowych i nośnika pamięci USB należących do wnoszącego odwołanie – Ujawnienie tych danych – Krzywda – Skarga o zadośćuczynienie – Charakter odpowiedzialności pozaumownej

W sprawie C‑755/21 P

mającej za przedmiot odwołanie w trybie art. 56 statutu Trybunału Sprawiedliwości Unii Europejskiej, wniesione w dniu 8 grudnia 2021 r.,

Marián Kočner, zamieszkały w Bratysławie (Słowacja), którego reprezentowali M. Mandzák i M. Para, advokáti,

wnoszący odwołanie,

w której drugą stroną postępowania była:

Agencja Unii Europejskiej ds. Współpracy Organów Ścigania (Europol), którą reprezentował A. Nunzi, w charakterze pełnomocnika, wspierany przez M. Kottmanna i G. Ziegenhorna, Rechtsanwälte,

strona pozwana w pierwszej instancji,

popierana przez:

Republikę Słowacką, którą reprezentowała początkowo S. Ondrášiková, a następnie E.V. Drugda i S. Ondrášiková, w charakterze pełnomocników,

interwenient w postępowaniu odwoławczym,

Królestwo Hiszpanii,

interwenient w pierwszej instancji,

TRYBUNAŁ (wielka izba),

w składzie: K. Lenaerts, prezes, L. Bay Larsen, wiceprezes, A. Arabadjiev, A. Prechal, E. Regan, F. Biltgen, N. Piçarra i O. Spineanu-Matei (sprawozdawczyni), prezesi izb, S. Rodin, P.G. Xuereb, L.S. Rossi, N. Wahl, I. Ziemele, J. Passer i D. Gratsias, sędziowie,

rzecznik generalny: A. Rantos,

sekretarz: A. Calot Escobar,

uwzględniając pisemny etap postępowania,

po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 15 czerwca 2023 r.,

wydaje następujący

Wyrok

1        W odwołaniu Marián Kočner wnosi o uchylenie wyroku Sądu Unii Europejskiej z dnia 29 września 2021 r., Kočner/Europol (T‑528/20, zwanego dalej „zaskarżonym wyrokiem”, EU:T:2021:631), w którym Sąd oddalił jego opartą na art. 268 TFUE skargę o zadośćuczynienie za krzywdy, jakich miał doznać z powodu ujawnienia przez Agencję Unii Europejskiej ds. Współpracy Organów Ścigania (Europol) dotyczących go danych osobowych i umieszczenia przez tę agencję jego nazwiska na „listach członków mafii”.

 Ramy prawne

2        Zgodnie z motywami 23, 45, 56, 57 i 65 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/794 z dnia 11 maja 2016 r. w sprawie Agencji Unii Europejskiej ds. Współpracy Organów Ścigania (Europol), zastępującego i uchylającego decyzje Rady 2009/371/WSiSW, 2009/934/WSiSW, 2009/935/WSiSW, 2009/936/WSiSW i 2009/968/WSiSW (Dz.U. 2016, L 135, s. 53):

„(23)      Dla potrzeb zapobiegania i zwalczania przestępczości objętej celami Europolu Europol powinien mieć jak najpełniejsze i najbardziej aktualne informacje. Europol powinien mieć zatem możliwość przetwarzania danych – dostarczanych mu przez państwa członkowskie […].

[…]

„(45)      W celu zagwarantowania bezpieczeństwa danych osobowych Europol i państwa członkowskie powinny wdrożyć niezbędne środki techniczne i organizacyjne.

[…]

(56)      Europol powinien podlegać ogólnym zasadom dotyczącym odpowiedzialności umownej i pozaumownej mającym zastosowanie do instytucji, agencji i organów Unii [europejskiej], z wyjątkiem zasad dotyczących odpowiedzialności za niezgodne z prawem przetwarzanie danych.

(57)      Dla osoby fizycznej, której dotyczy dana sprawa, może nie być jasne, czy szkody poniesione w wyniku niezgodnego z prawem przetwarzania danych są następstwem działań Europolu czy też państwa członkowskiego. W związku z tym Europol i państwo członkowskie, w którym miało miejsce zdarzenie będące powodem szkody, powinny być odpowiedzialne solidarnie.

[…]

(65)      Europol przetwarza dane, które wymagają szczególnej ochrony, gdyż obejmują dane wrażliwe niebędące informacjami niejawnymi i informacje niejawne UE. Europol powinien zatem sformułować zasady dotyczące poufności i przetwarzania takich informacji. Przepisy dotyczące ochrony informacji niejawnych UE powinny być zgodne z decyzją Rady 2013/488/UE [z dnia 23 września 2013 r. w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE (Dz.U. 2013, L 274, s. 1)]”.

3        Artykuł 2 tego rozporządzenia, zatytułowany „Definicje”, stanowi:

„Na użytek niniejszego rozporządzenia:

[…]

h)      »dane osobowe« oznaczają wszelkie informacje o osobie, której dane dotyczą;

i)      »osoba, której dane dotyczą« oznacza zidentyfikowaną lub możliwą do zidentyfikowania osobę fizyczną; osoba możliwa do zidentyfikowania to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora, takiego jak imię i nazwisko, numer identyfikacyjny, dane dotyczące lokalizacji, identyfikator internetowy lub co najmniej jeden znak szczególny związany z jej tożsamością fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną;

[…]

k)      »przetwarzanie« oznacza dowolną operację lub zestaw operacji wykonywanych na danych osobowych lub zbiorach danych osobowych w sposób zautomatyzowany lub nie, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptacja lub modyfikacja, pobieranie, przeglądanie, wykorzystywanie, ujawnianie przez przekazanie, rozpowszechnianie lub udostępnianie w inny sposób, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

[…]”.

4        Artykuł 3 wspomnianego rozporządzenia, zatytułowany „Cele”, stanowi w ust. 1:

„Europol wspiera i wzmacnia działania i wzajemną współpracę właściwych organów państw członkowskich w zakresie zapobiegania i zwalczania poważnej przestępczości, dotykającej co najmniej dwa państwa członkowskie, terroryzmowi i formom przestępczości mającym wpływ na wspólny interes objęty polityką Unii […]”.

5        Artykuł 17 tego samego rozporządzenia, zatytułowany „Źródła informacji”, stanowi w ust. 1:

„Europol przetwarza jedynie informacje przekazane mu przez:

a)      państwa członkowskie zgodnie z ich prawem krajowym i art. 7;

[…]”.

6        Artykuł 18 rozporządzenia 2016/794, zatytułowany „Cele działań związanych z przetwarzaniem informacji”, w ust. 1 stanowi:

„Europol może przetwarzać informacje, w tym dane osobowe, w zakresie, w jakim jest to niezbędne do realizacji jego celów określonych w art. 3”.

7        Artykuł 28 tego rozporządzenia, zatytułowany „Ogólne zasady ochrony danych”, stanowi w ust. 1:

„Dane osobowe są:

a)      przetwarzane w sposób rzetelny i zgodny z prawem;

b)      zbierane do oznaczonych, wyraźnie określonych i uzasadnionych celów i nieprzetwarzane dalej w sposób niezgodny z tymi celami. […]

[…]

f)      przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych”.

8        Artykuł 32 wspomnianego rozporządzenia, zatytułowany „Bezpieczeństwo przetwarzania”, stanowi w ust. 1:

„Europol wdraża odpowiednie rozwiązania techniczne i organizacyjne w celu ochrony danych osobowych przed przypadkowym lub bezprawnym zniszczeniem, przypadkową utratą lub nieupoważnionym ujawnieniem, zmodyfikowaniem i dostępem oraz przed wszelkimi innymi bezprawnymi formami przetwarzania”.

9        Artykuł 38 tego samego rozporządzenia, zatytułowany „Odpowiedzialność w sprawach dotyczących ochrony danych”, stanowi w ust. 4, 5 i 7:

„[…]

4.      Odpowiedzialność za zgodność z zasadami, o których mowa w art. 28 ust. 1 lit. a), b), […] i f), spoczywa na Europolu.

5.      Odpowiedzialność za zgodność z prawem przekazywania danych spoczywa na:

a)      państwie członkowskim, które dostarczyło Europolowi dane osobowe;

b)      Europolu w przypadku danych osobowych dostarczonych przez niego państwom członkowskim […].

[…]

7.      Europol odpowiada za wszystkie operacje przetwarzania danych przezeń […]”.

10      Artykuł 49 rozporządzenia 2016/794, zatytułowany „Przepisy ogólne dotyczące odpowiedzialności i odszkodowań [i prawo do odszkodowania]”, stanowi w ust. 3:

„Bez uszczerbku dla art. 49, w przypadku odpowiedzialności pozaumownej Europol, zgodnie z ogólnymi zasadami wspólnymi dla porządków prawnych państw członkowskich, naprawia wszelkie szkody spowodowane przez wydziały Europolu lub jego pracowników w trakcie pełnienia przez nich obowiązków”.

11      Artykuł 50 tego rozporządzenia, zatytułowany „Odpowiedzialność za nieprawidłowe przetwarzanie danych osobowych i prawo do odszkodowania”, stanowi:

„1.      Każdy, kto poniósł szkodę w wyniku niezgodnego z prawem przetwarzania danych, ma prawo do odszkodowania od Europolu, zgodnie z art. 340 TFUE, lub od państwa członkowskiego, w którym nastąpiło zdarzenie powodujące szkodę, zgodnie z jego prawem krajowym. Poszkodowany może wnieść pozew przeciwko Europolowi do Trybunału Sprawiedliwości Unii Europejskiej lub przeciwko państwu członkowskiemu do właściwego sądu krajowego danego państwa członkowskiego.

2.      Wszelkie spory między Europolem a państwami członkowskimi dotyczące ostatecznej odpowiedzialności za odszkodowanie przyznane danej osobie zgodnie z ust. 1 są kierowane do zarządu, który podejmuje decyzję większością dwóch trzecich głosów członków, bez uszczerbku dla prawa do zakwestionowania tej decyzji zgodnie z art. 263 TFUE”.

 Okoliczności postania sporu

12      Okoliczności powstania sporu, które przedstawiono w pkt 1–16 zaskarżonego wyroku, na potrzeby niniejszego postępowania można streścić w podany niżej sposób.

13      Europol, w ramach dochodzenia prowadzonego przez słowackie organy po dokonanym na Słowacji w lutym 2018 r. zabójstwie dziennikarza i jego narzeczonej, na wniosek Národná kriminálna agentúra (krajowej agencji ds. zwalczania przestępczości, Słowacja, zwanej dalej „NAKA”) udzielił wsparcia tym organom, dokonując pobrania danych zapisanych, po pierwsze, w dwóch telefonach komórkowych, które miały należeć do wnoszącego odwołanie (zwanych dalej „przedmiotowymi telefonami”) i które zostały przekazane Europolowi przez NAKA w dniu 10 października 2018 r., a po drugie, na nośniku pamięci USB.

14      W dniu 21 czerwca 2019 r. Europol udostępnił NAKA końcowe sprawozdania kryminalistyczne dotyczące czynności operacyjnych przeprowadzonych na przedmiotowych telefonach.

15      Zdaniem Europolu udostępnienie to zostało poprzedzone przekazaniem przez tę agencję w dniu 23 października 2018 r. NAKA twardego dysku zawierającego zaszyfrowane dane, pochodzące między innymi z przedmiotowych telefonów, a następnie – w dniu 13 lutego 2019 r. – wydaniem NAKA przez Europol owych telefonów.

16      Jako dowody przekazania i wydania Europol przedłożył kopię protokołu z dnia 23 października 2018 r. sporządzonego na oficjalnym papierze firmowym NAKA, opatrzonego numerem referencyjnym PPZ-203/NKA-PZ-ZA-2018 i podpisanego przez szefa zespołu dochodzeniowo-śledczego A, oraz kopię formularza zdawczo-odbiorczego dotyczącego dowodów z dnia 13 lutego 2019 r. o tym samym numerze referencyjnym, wymieniającego między innymi przedmiotowe telefony i podpisanego zarówno przez osobę zdającą, jak i osobę odbierającą.

17      Protokół z dnia 23 października 2018 r. miał następującą treść:

„W dniu dzisiejszym, to jest 23 października 2018 r., o godzinie 1.30 został mi wydany dysk zewnętrzny HDD koloru czarnego zawierający wstępne wyniki dochodzenia prowadzonego przez Europol, zatrzymany na mocy decyzji z dni 8 października 2018 r. i 10 października 2018 r. Wspomniany dysk zewnętrzny został przywieziony osobiście przez pracownika Europolu B z siedziby Europolu w Hadze [Niderlandy].

Dysk ten zawiera wstępne wyniki w postaci pobrania i wyodrębnienia pamięci w odniesieniu do dowodów 1Z (wyłącznie karta SIM), 2Z, 3Z, 4Z (wyłącznie karta SIM), 5Z, 6Z, 7Z, 8Z, 1K, 2K.

Zawartość owego dysku HDD jest zabezpieczona hasłem, które zostało mi podane”.

18      Co się tyczy nośnika pamięci USB, w dniu 17 października 2018 r. NAKA zwróciła się do Europolu o pomoc, w szczególności celem zbadania zawartych na nim danych.

19      W sprawozdaniu Europolu z dnia 13 stycznia 2019 r. (zwanym dalej „sprawozdaniem Europolu”), przekazanym NAKA w dniu 14 lutego 2019 r., wspomniano pod nagłówkiem „Kontekst (chronologiczny)”, że „[wnoszący odwołanie] przebywa w areszcie od dnia 20 czerwca 2018 r. w związku z podejrzeniem popełnienia przestępstwa finansowego. Jego nazwisko jest między innymi bezpośrednio związane z tzw. »listami członków mafii« i »Panama Papers«”.

20      W dniu 1 kwietnia 2019 r. słowackie organy karne wykorzystały informacje zawarte w rzeczonych telefonach w ramach postępowania karnego wszczętego przeciwko wnoszącemu odwołanie. Jak wynika z protokołu słowackich służb policyjnych z dnia 18 czerwca 2019 r., przeprowadziły one pełną analizę danych zawartych w tych telefonach.

21      Ponadto artykuły prasowe i publikacje na stronach internetowych, w tym na stronie międzynarodowej sieci dziennikarzy śledczych, wspominały o bardzo obszernych informacjach dotyczących wnoszącego odwołanie pobranych między innymi z przedmiotowych telefonów i podały te informacje do publicznej wiadomości. W szczególności w dniach 20 i 29 maja 2019 r. w szeregu artykułów prasowych ukazały się informacje dotyczące danych pochodzących z tych telefonów. Podobnie w dniu 19 maja 2020 r. na jednej ze stron internetowych został opublikowany wybór dokumentów odnoszących się do wnoszącego odwołanie, w tym zapis wymiany wiadomości o charakterze intymnym między nim a jego przyjaciółką prowadzonej za pośrednictwem komunikatora oferującego konwersacje szyfrowane metodą end-to-end, zawartej we wspomnianych telefonach. Ów wybór został wykorzystany przez słowacką prasę w dniu 21 maja 2020 r.

22      Pismem z dnia 4 maja 2020 r. wnoszący odwołanie zażądał od Europolu, na podstawie art. 50 ust. 1 rozporządzenia 2016/794, zapłaty kwoty 100 000 EUR tytułem zadośćuczynienia za krzywdę, jakiej miał doznać w swoim przekonaniu z tytułu podwójnego naruszenia – zarówno jego prawa do poszanowania życia prywatnego, jak i jego prawa do poszanowania życia rodzinnego. Krzywda ta miała wynikać, po pierwsze, z opublikowania w prasie i w Internecie jego danych osobowych, a w szczególności publikacji zapisu jego wymiany wiadomości o charakterze intymnym i seksualnym. Po drugie, wspomniana krzywda miała być wynikiem umieszczenia nazwiska wnoszącego odwołanie na „listach członków mafii”, jak twierdzi on na podstawie sprawozdania Europolu, które prasa ujawniła w następstwie wycieku dotyczącego akt krajowego postępowania karnego dotyczącego zabójstwa dziennikarza i jego narzeczonej, o których mowa w pkt 13 niniejszego wyroku – akt, które zawierały to sprawozdanie.

23      W następstwie dochodzenia przeprowadzonego przez słowackie organy, wspomnianego w pkt 13 niniejszego wyroku, wnoszący odwołanie został oskarżony o współudział w tym zabójstwie jako jego zleceniodawca.

24      W dniu 3 września 2020 r. właściwy sąd słowacki uniewinnił w pierwszej instancji wnoszącego odwołanie. W dniu 15 czerwca 2021 r. Najvyšší súd Slovenskej republiky (sąd najwyższy Republiki Słowackiej) uchylił wyrok wydany w pierwszej instancji i przekazał sprawę do ponownego rozpoznania.

 Postępowanie przed Sądem i zaskarżony wyrok

25      Pismem złożonym w sekretariacie Sądu w dniu 18 sierpnia 2020 r. wnoszący odwołanie wniósł na podstawie art. 268 i art. 340 TFUE oraz art. 50 ust. 1 rozporządzenia 2016/794 skargę mającą na celu uzyskanie zadośćuczynienia za krzywdę, jakiej miał doznać w wyniku działań Europolu. Tytułem żądania pierwszego wniósł o zasądzenie na jego rzecz zadośćuczynienia w wysokości 50 000 EUR za krzywdę, jakiej miał doznać w wyniku ujawnienia danych osobowych pochodzących z przedmiotowych telefonów, które to dane zostały następnie opublikowane w Internecie i powielone przez słowacką prasę. To ujawnienie danych osobowych naruszyło w przekonaniu wnoszącego odwołanie jego dobre imię i reputację zawodową, prawo do poszanowania jego życia prywatnego i rodzinnego, a także prawo do poszanowania komunikowania się, gwarantowane przez art. 7 Karty praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”). Tytułem żądania drugiego wnoszący odwołanie wniósł o zasądzenie na jego rzecz zadośćuczynienia w tej samej wysokości za krzywdę, jakiej miał doznać w wyniku umieszczenia jego nazwiska na „listach członków mafii”.

26      W zaskarżonym wyroku Sąd uznał przede wszystkim, zbadawszy zarzut niedopuszczalności podniesiony przez Europol w odniesieniu do pierwszego żądania wnoszącego odwołanie, że żądanie to było dopuszczalne jedynie w zakresie, w jakim w jego ramach wnoszący odwołanie powoływał się na krzywdę poniesioną w wyniku podnoszonego ujawnienia przez Europol zapisu wymiany wiadomości o charakterze intymnym i seksualnym między nim a jego przyjaciółką, pochodzącej z przedmiotowych telefonów. W tym względzie Sąd uznał, że jeśli chodzi o zakres podnoszonej krzywdy, to choć wnoszący odwołanie zarzucał Europolowi ujawnienie licznych danych osobowych pobranych z tych telefonów, jedynie podanie do wiadomości publicznej owych zapisów zostało poparte dowodami z dokumentów, w przeciwieństwie do podnoszonego ujawnienia fotografii „o charakterze wysoce poufnym”, przedstawiających, w przypadku niektórych z nich, ową przyjaciółkę bez ubrań.

27      Następnie, co do istoty, Sąd oddalił tak zakreślone żądanie pierwsze. W pierwszej kolejności Sąd uznał w pkt 58–91 zaskarżonego wyroku, że wnoszący odwołanie nie przedstawił „wystarczającego dowodu istnienia związku przyczynowego” między podnoszoną krzywdą a ewentualnym działaniem Europolu. W szczególności, jak wskazał Sąd, wnoszący odwołanie nie wykazał, że ujawnienie danych zawartych w przedmiotowych telefonach lub zapisu wymiany wiadomości między nim a jego przyjaciółką można przypisać Europolowi.

28      W drugiej kolejności w pkt 92–95 tego wyroku Sąd stwierdził, że owego wniosku wyprowadzonego z braku możliwości przypisania Europolowi ujawnienia przedmiotowych danych nie podważa ani motyw 57, ani art. 49 ust. 3 rozporządzenia 2016/794, ani też jego art. 50, na które powoływał się wnoszący odwołanie.

29      W tym względzie Sąd orzekł, po pierwsze, w pkt 93–95 zaskarżonego wyroku, że art. 49 ust. 3 i art. 50 ust. 1 rozporządzenia 2016/794 ograniczają się do uściślenia, że w dziedzinie odpowiedzialności pozaumownej, a konkretnie odpowiedzialności powstałej w wyniku niezgodnego z prawem przetwarzania danych, Europol naprawia wszelkie szkody spowodowane przez wydziały Europolu lub jego pracowników w trakcie pełnienia przez nich obowiązków, zgodnie z art. 340 TFUE. Tymczasem zdaniem Sądu warunki te nie zostały spełnione w rozpoznawanym przypadku. Sąd przypomniał, po drugie, że choć oczywiście motyw 57 rozporządzenia 2016/794 przewiduje zasadniczo, że Europol i państwo członkowskie, w którym wystąpiła szkoda będąca następstwem niezgodnego z prawem przetwarzania danych przez tę agencję lub przez to państwo członkowskie, są odpowiedzialne solidarnie za tę szkodę, to jednak należy stwierdzić, że ten mechanizm solidarności nie znajduje odzwierciedlenia ani podstawy w przepisach tego rozporządzenia. Sąd podkreślił ponadto, że zgodnie z orzecznictwem Unii preambuła aktu Unii nie ma wiążącej mocy prawnej i nie można się na nią powoływać celem odstąpienia od samych przepisów danego aktu. W konsekwencji Sąd przyjął, że „motyw 57 rozporządzenia 2016/794 nie może ustanawiać odpowiedzialności solidarnej spoczywającej w omawianym przypadku na Europolu”.

30      Co za tym idzie, Sąd oddalił żądanie pierwsze jako bezzasadne, uznawszy, że nie jest konieczne zbadanie, czy spełnione zostały pozostałe przesłanki powstania odpowiedzialności pozaumownej Unii.

31      Co się tyczy żądania drugiego, dotyczącego naprawienia krzywdy, jakiej wnoszący odwołanie miał doznać ze względu na umieszczenie przez Europol jego nazwiska na „listach członków mafii”, Sąd stwierdził w pkt 102 i 105 zaskarżonego wyroku, iż nie zostało wykazane, że owe listy zostały sporządzone i były prowadzone przez instytucję Unii w rozumieniu art. 340 akapit drugi TFUE, a w szczególności przez Europol, i że wniosku tego nie podważa ani motyw 57, ani art. 49 ust. 3 lub art. 50 rozporządzenia 2016/794, z tych samych względów co wyłożone w pkt 92–95 zaskarżonego wyroku i przytoczone w pkt 29 niniejszego wyroku.

32      Sąd wyjaśnił ponadto w pkt 106–109 zaskarżonego wyroku, że nawet zakładając, iż żądanie drugie „należy rozumieć w ten sposób, że zarzuca Europolowi, że to jemu można przypisać odpowiedzialność za ewolucję określeń używanych przez słowacką prasę w odniesieniu do wnoszącego odwołanie, który był przedstawiany już nie jako »kontrowersyjny przedsiębiorca«, ale jako »członek mafii« lub jako »osoba, której nazwisko znajduje się na listach członków mafii«”, to żądanie to okazało się również bezzasadne. W tym względzie Sąd uznał w szczególności, że wnoszący odwołanie nie przedstawił żadnego dowodu pozwalającego wykazać, że źródłem informacji opublikowanych w słowackiej prasie było sprawozdanie Europolu, ani pozwalającego wykazać w sposób wymagany prawem związek przyczynowy między przeciekiem informacji pochodzących z tego sprawozdania a okolicznością, że słowacka prasa zmieniła, począwszy od początku roku 2019, sposób, w jaki określała wnoszącego odwołanie. Podnoszonej zbieżności czasowej przeczą dowody przedstawione tak przez wnoszącego odwołanie, jak i przez Europol, z których wynikało, że na długo przez początkiem roku 2019 słowacka prasa przedstawiała wnoszącego odwołanie sporadycznie jako „członka mafii”, co wyklucza hipotezę, że źródłem tego typu kwalifikacji jest przeciek informacji z akt toczącego się przeciwko wnoszącemu odwołanie krajowego postępowania karnego zawierających wspomniane sprawozdanie.

33      W konsekwencji Sąd oddalił żądanie drugie jako bezzasadne, a o za tym idzie – skargę w całości.

 Postępowanie przed Trybunałem i żądania stron

34      Pismem złożonym w sekretariacie Trybunału w dniu 8 grudnia 2021 r. wnoszący odwołanie wniósł odwołanie od zaskarżonego wyroku.

35      W odwołaniu wnoszący odwołanie wnosi do Trybunału o:

–        uchylenie zaskarżonego wyroku;

–        przekazanie sprawy Sądowi do ponownego rozpoznania oraz

–        orzeczenie, że rozstrzygnięcie w przedmiocie kosztów nastąpi w ramach postępowania głównego.

36      Europol wnosi do Trybunału o:

–        oddalenie odwołania oraz

–        obciążenie wnoszącego odwołanie kosztami postępowania.

37      Postanowieniem prezesa Trybunału z dnia 1 kwietnia 2022 r. Republika Słowacka została dopuszczona do sprawy w charakterze interwenienta popierającego żądania Europolu.

 W przedmiocie odwołania

38      Na poparcie odwołania wnoszący je podnosi sześć zarzutów. Zarzuty od pierwszego do czwartego dotyczą oddalenia żądania pierwszego, odnoszącego się do zadośćuczynienia za krzywdę, której wnoszący odwołanie miał doznać w wyniku podania do publicznej wiadomości jego danych osobowych pochodzących z przedmiotowych telefonów. Zarzuty piąty i szósty dotyczą oddalenia żądania drugiego, odnoszącego się do zadośćuczynienia za krzywdę, której wnoszący odwołanie miał doznać w wyniku umieszczenia jego nazwiska na „listach członków mafii”.

 W przedmiocie dopuszczalności zarzutów pierwszego i piątego

 Argumentacja stron

39      Europol podnosi, że zarzuty pierwszy i piąty, dotyczące naruszenia prawa, którego Sąd miał się dopuścić, wyłączając odpowiedzialność solidarną Europolu i zainteresowanego państwa członkowskiego w odniesieniu do szkód wyrządzonych przez niezgodne z prawem przetwarzanie danych, są niedopuszczalne z tego względu, że zostały oparte na zarzucie przedstawionym przez wnoszącego odwołanie przed Sądem z opóźnieniem, to znaczy na etapie repliki. W przekonaniu Europolu Sąd powinien był podnieść z urzędu niedopuszczalność tego zarzutu.

40      Wnoszący odwołanie wnosi o oddalenie tego zarzutu niedopuszczalności.

 Ocena Trybunału

41      Z art. 84 §§ 1 i 2 regulaminu postępowania przed Sądem wynika, że zarzuty podniesione po raz pierwszy na etapie repliki, które nie opierają się na okolicznościach prawnych lub faktycznych ujawnionych dopiero po wszczęciu postępowania, muszą zostać uznane za niedopuszczalne. Niemniej Trybunał orzekł już w tym względzie, że zarzut lub argument stanowiący rozszerzenie zarzutu sformułowanego wcześniej w skardze powinny zostać uznane za dopuszczalne (zob. podobnie wyrok z dnia 26 kwietnia 2007 r., Alcon/OHIM, C‑412/05 P, EU:C:2007:252, pkt 38–40 i przytoczone tam orzecznictwo). Co za tym idzie, taki zarzut nie może zostać uznany za niedopuszczalny ze względu na jego przedstawienie z opóźnieniem.

42      W niniejszej sprawie w pkt 58 skargi do Sądu wnoszący odwołanie podniósł, że w ramach odpowiedzialności solidarnej przewidzianej w art. 49 ust. 3 i w art. 50 rozporządzenia 2016/794, a także w świetle motywu 57 tego rozporządzenia Europol powinien zostać uznany za podmiot odpowiedzialny za poniesioną przez wnoszącego odwołanie krzywdę, nawet jeżeli czyny leżące u jej podstaw zostały popełnione razem z organami słowackimi. W pkt 24 repliki wnoszący odwołanie rozwinął tę argumentację, wskazując, że zgodnie ze wspomnianymi przepisami, a przede wszystkim w świetle wymienionego motywu, Europol był w każdym razie solidarnie odpowiedzialny z zainteresowanym państwem członkowskim za krzywdę wyrządzoną z tytułu niezgodnego z prawem przetwarzania danych.

43      W ten sposób wnoszący odwołanie w sposób wyraźny powołał się w skardze na istnienie mechanizmu odpowiedzialności solidarnej Europolu, opartego na art. 49 i 50 rozporządzenia 2016/794 interpretowanych w świetle motywu 57 tego rozporządzenia, w związku z czym Sąd słusznie przyjął, że w skardze wnoszący odwołanie podniósł kwestię owej odpowiedzialności solidarnej w kontekście niniejszej sprawy. Punkt 24 repliki należy zatem uznać za rozszerzenie argumentacji przedstawionej w tym względzie w skardze.

44      Wobec powyższego Sąd zasadnie przeprowadził analizę przepisów i motywu, na które wnoszący odwołanie powołał się w ramach tej argumentacji.

45      W konsekwencji należy oddalić zarzut niedopuszczalności podniesiony przez Europol.

 W przedmiocie zarzutu pierwszego

 Argumentacja stron

46      W ramach zarzutu pierwszego wnoszący odwołanie zarzuca Sądowi, że naruszył prawo w ten sposób, że zdecydował w pkt 94 i 95 zaskarżonego wyroku, by nie brać motywu 57 rozporządzenia 2016/794 pod uwagę do celów ustalania odpowiedzialności Europolu w oparciu o art. 50 ust. 1 tego rozporządzenia z tego względu, że preambuła rozporządzenia nie ma wiążącej mocy prawnej. W konsekwencji w przekonaniu wnoszącego odwołanie Sąd niesłusznie oddalił żądanie pierwsze, orzekając, że ów motyw nie ustanawia odpowiedzialności solidarnej Europolu z tytułu niezgodnego z prawem przetwarzania danych przez tę agencję lub przez zainteresowane państwo członkowskie.

47      W tym względzie wnoszący odwołanie twierdzi co do istoty, że Sąd przyjął, iż odpowiedzialność za wyrządzoną krzywdę powinna spoczywać na tym, komu można przypisać jej wyrządzenie, to jest albo na Europolu, albo na zainteresowanym państwie członkowskim, podczas gdy z art. 49 ust. 3 i art. 50 rozporządzenia 2016/794 w świetle jego motywu 57 i realizowanych przez niego celów wynika, że rozporządzenie to ustanawia odpowiedzialność solidarną Europolu i państwa członkowskiego, w którym wystąpiła szkoda powstała w wyniku niezgodnego z prawem przetwarzania danych przez tę agencję lub to państwo członkowskie.

48      Europol, popierany przez Republikę Słowacką, podnosi bezzasadność zarzutu pierwszego.

49      Europol twierdzi, że powstanie odpowiedzialności Unii na mocy art. 340 TFUE jest uzależnione od spełnienia szeregu przesłanek, w tym bezprawności zachowania zarzucanego zainteresowanej instytucji Unii. Agencja ta utrzymuje również, iż w braku bezprawnego zachowania jednej z instytucji Unii odpowiedzialność Unii nie może powstać, a szkody spowodowane przez państwa członkowskie nie mogą doprowadzić do powstania tej odpowiedzialności. Ponadto Europol wskazuje, że w sytuacji współdziałania organów Unii i organów państw członkowskich Trybunał wyjaśnił między innymi, że w razie wystąpienia szkody wyrządzonej łącznie przez Unię i przez państwo członkowskie sąd Unii może wydać rozstrzygnięcie w przedmiocie tej szkody dopiero po wydaniu orzeczenia w tym względzie przez sąd krajowy. Europol podkreśla, że odpowiedzialność solidarna Unii i zainteresowanego państwa członkowskiego, w przypadku gdy działają wspólnie, nie jest co do zasady uznawana w ramach art. 340 akapit drugi TFUE, lecz wymaga wyraźnego uregulowania w tym zakresie ze strony prawodawcy Unii.

50      Ponadto zdaniem Europolu art. 50 rozporządzenia 2016/794 nie ma zastosowania do rozpatrywanego w niniejszej sprawie przetwarzania danych, ponieważ znajduje on zastosowanie wyłącznie do przetwarzania danych w ramach operacji i zadań Europolu. Zważywszy, że podnoszone zdarzenia wywołujące szkodę wiązały się z przechowywaniem akt krajowego dochodzenia, nie stanowią one „niezgodnego z prawem przetwarzania danych” w rozumieniu tego artykułu, które byłoby objęte zakresem stosowania tego rozporządzenia.

51      Poza tym zgodnie ze stanowiskiem Europolu art. 50 ust. 1 rozporządzenia 2016/794 nie przewiduje wyraźnie odpowiedzialności solidarnej Europolu i zainteresowanego państwa członkowskiego. Zgodnie bowiem z tym przepisem Europol jest odpowiedzialny jedynie „zgodnie z art. 340 TFUE”, co oznacza, że owa odpowiedzialność może powstać wyłącznie wtedy, gdy spełnione zostały trzy przesłanki wynikające z tego postanowienia. Co za tym idzie, w przekonaniu Europolu, nawet jeśli ów art. 50 ust. 1 znalazłby zastosowanie do niniejszej sprawy, odpowiedzialność Europolu nie mogłaby powstać w braku jakiegokolwiek bezprawnego zachowania z jego strony, a także związku przyczynowego między takim zachowaniem a wyrządzoną szkodą. Co więcej, Unia nie może być zobowiązana do naprawienia na mocy wspomnianego art. 50 ust. 1 szkód wynikających z działania państwa członkowskiego, jako że przepis ten ma zastosowanie tylko do szkód wyrządzonych łącznie przez Unię i przez państwo członkowskie, co znajduje potwierdzenie w brzmieniu art. 50 ust. 2 tego rozporządzenia.

52      Zdaniem Europolu z motywu 57 rozporządzenia 2016/794 nie można wyprowadzić odmiennego wniosku. Pojęcie „odpowiedzialności solidarnej” użyte w tym motywie zakłada bowiem odpowiedzialność za tę samą szkodę więcej niż jednego podmiotu, a nie to, że Europol mógłby zostać pociągnięty do odpowiedzialności, w braku jakiegokolwiek bezprawnego zachowania po jego stronie, za działanie państwa członkowskiego. Wykładnia wspomnianego motywu dokonana przez wnoszącego odwołanie stoi w sprzeczności z zakresem tego rozporządzenia i brzmieniem jego art. 50. Tymczasem, jako że preambuła aktu prawnego Unii nie ma wiążącej mocy prawnej, nie można się na nią powołać celem odejścia od jasnego brzmienia przepisu.

 Ocena Trybunału

53      W pierwszej kolejności należy zbadać, czy art. 50 ust. 1 rozporządzenia 2016/794 ustanawia reżim odpowiedzialności solidarnej Europolu i zainteresowanego państwa członkowskiego w sytuacji niezgodnego z prawem przetwarzania danych. W razie odpowiedzi twierdzącej konieczne będzie ustalenie w drugiej kolejności przesłanek powstania takiej odpowiedzialności.

–       Charakter reżimu odpowiedzialności przewidzianego w art. 50 ust. 1 rozporządzenia 2016/794

54      Do celów wykładni art. 50 ust. 1 rozporządzenia 2016/794, a w szczególności celem określenia charakteru reżimu w nim ustanowionego, należy zgodnie z utrwalonym orzecznictwem Trybunału brać pod uwagę nie tylko jego brzmienie, lecz także kontekst, w który się wpisuje oraz cele regulacji, której część przepis ten stanowi (zob. podobnie wyrok z dnia 3 czerwca 2021 r., TEAM POWER EUROPE, C‑784/19, EU:C:2021:427, pkt 43 i przytoczone tam orzecznictwo).

55      Jeśli chodzi o brzmienie art. 50 ust. 1 rozporządzenia 2016/794, stanowi on, że każdy, kto poniósł szkodę w wyniku niezgodnego z prawem przetwarzania danych, ma prawo do odszkodowania „od Europolu […] lub od państwa członkowskiego, w którym nastąpiło zdarzenie powodujące szkodę […]”. Jak wskazał rzecznik generalny w pkt 38 opinii, brzmienie to nie jest jednoznaczne w odniesieniu do charakteru rozpatrywanej odpowiedzialności. Można bowiem je odczytywać w ten sposób, że każdy, kto poniósł szkodę, może zwrócić się albo do Europolu w przypadku szkody, którą można przypisać w całości lub części tej agencji, albo do zainteresowanego państwa członkowskiego w przypadku szkody, którą można przypisać w całości lub części temu państwu. Niemniej, jako że z omawianego brzmienia może wynikać także, że osoba poszkodowana ma prawo zwrócić się do dowolnego z tych dwóch podmiotów, to jest albo do Europolu, albo do zainteresowanego państwa członkowskiego, celem uzyskania naprawienia całości szkody poniesionej z tytułu niezgodnego z prawem przetwarzania danych, które miało miejsce w ramach współpracy między Europolem a tym państwem członkowskim, brzmienie to nie wyklucza, by wspomniany przepis mógł ustanawiać w tym względzie odpowiedzialność solidarną owych podmiotów.

56      Należy zatem zbadać, czy w świetle celu realizowanego przez art. 50 ust. 1 rozporządzenia 2016/794 i kontekstu, w jaki przepis ten się wpisuje, ustanawia on reżim odpowiedzialności solidarnej Europolu i zainteresowanego państwa członkowskiego w odniesieniu do szkód poniesionych z tytułu niezgodnego z prawem przetwarzania danych, które miało miejsce w ramach przewidzianej w tym rozporządzeniu współpracy między Europolem a tym państwem członkowskim.

57      Zgodnie z motywem 57 rozporządzenia 2016/794, który formułuje ten cel, „[d]la osoby fizycznej, której dotyczy dana sprawa, może nie być jasne, czy szkody poniesione w wyniku niezgodnego z prawem przetwarzania danych są następstwem działań Europolu czy też państwa członkowskiego[, i w] związku z tym Europol i państwo członkowskie, w którym miało miejsce zdarzenie będące powodem szkody, powinny być odpowiedzialne solidarnie”.

58      Wynika z tego, że mając na względzie sytuację, w której osoba fizyczna poszkodowana w wyniku niezgodnego z prawem przetwarzania danych nie jest w stanie ustalić, czy wyrządzenie owej szkody można przypisać działaniu Europolu, czy też działaniu państwa członkowskiego, z którym Europol współpracował, prawodawca Unii ustanowił reżim odpowiedzialności solidarnej Europolu i państwa członkowskiego, w którym miało miejsce zdarzenie wywołujące szkodę, w celu zapewnienia pełnej ochrony tej osoby fizycznej na wypadek, gdyby znalazła się w takiej sytuacji.

59      W tym względzie należy przypomnieć, że choć motyw aktu Unii nie ma mocy prawnie wiążącej, stanowi istotny element jego wykładni, jako że może uściślić treść przepisów takiego aktu i rzucić światło na wolę autora jego autora (zob. podobnie wyrok z dnia 13 lipca 2023 r., Komisja/CK Telecoms UK Investments, C‑376/20 P, EU:C:2023:561, pkt 104, 105 i przytoczone tam orzecznictwo).

60      Prawdą jest, że na motyw aktu Unii nie można powoływać się dla uzasadnienia odstępstw od jego przepisów ani w celu przeprowadzenia wykładni tych przepisów w sposób oczywiście sprzeczny z ich brzmieniem (zob. podobnie wyroki: z dnia 19 czerwca 2014 r., Karen Millen Fashions, C‑345/13, EU:C:2014:2013, pkt 31 i przytoczone tam orzecznictwo; z dnia 16 lutego 2022 r., Węgry/Parlament i Rada, C‑156/21, EU:C:2022:97, pkt 191).

61      Niemniej na gruncie niniejszej sprawy motyw 57 rozporządzenia 2016/794 nie stoi w żaden sposób w sprzeczności z brzmieniem art. 50 ust. 1 tego rozporządzenia. Jak bowiem zostało wskazane w pkt 55 niniejszego wyroku, brzmienie to można interpretować między innymi w ten sposób, że przepis ten ustanawia na rzecz osoby fizycznej poszkodowanej w wyniku niezgodnego z prawem przetwarzania danych, które miało miejsce w ramach współpracy Europolu i zainteresowanego państwa członkowskiego, reżim odpowiedzialności solidarnej tych dwóch podmiotów.

62      Z powyższej analizy wynika, że art. 50 ust. 1 rozporządzenia 2016/794 w związku z motywem 57 tego rozporządzenia ustanawia, zgodnie z wolą prawodawcy Unii, by zmniejszyć niepewność poszkodowanej osoby fizycznej co do podmiotu odpowiedzialnego, reżim odpowiedzialności solidarnej Europolu i zainteresowanego państwa członkowskiego w odniesieniu do szkód wyrządzonych w związku z takim przetwarzaniem.

63      Za wykładnią tą przemawia kontekst, w który wpisuje się ten przepis, w szczególności art. 49 i art. 50 ust. 2 rozporządzenia 2016/794.

64      Po pierwsze bowiem, art. 49 rozporządzenia 2016/794 zawiera, jak wskazuje jego tytuł, przepisy ogólne dotyczące odpowiedzialności i prawa do odszkodowań. Z tytułu art. 50 tego rozporządzenia wynika natomiast, że artykuł ten dotyczy konkretnie odpowiedzialności za nieprawidłowe przetwarzanie danych osobowych i prawa do odszkodowania będącego konsekwencją takiego nieprawidłowego przetwarzania. Derogacyjny względem ogólnych zasad odpowiedzialności pozaumownej Unii charakter owego art. 50 podkreśla w szczególności art. 49 ust. 3 wspomnianego rozporządzenia w związku z jego motywem 56.

65      Na mocy tego ostatniego przepisu w dziedzinie odpowiedzialności pozaumownej Europol, zgodnie z ogólnymi zasadami wspólnymi dla porządków prawnych państw członkowskich, naprawia wszelkie szkody spowodowane przez jego wydziały lub jego pracowników w ramach pełnienia przez nich ich obowiązków. Reguła ta pozostaje jednak „bez uszczerbku dla art. 49” rozporządzenia 2016/794.

66      W tym względzie należy zauważyć, że odniesienie do „art. 49” zawarte w brzmieniu art. 49 ust. 3 tego rozporządzenia stanowi oczywisty błąd redakcyjny. Odniesienie to byłoby bowiem pozbawione sensu, gdyby odsyłało do artykułu, w którym jest zawarte. Co za tym idzie i mając na uwadze okoliczność, że art. 50 tego samego rozporządzenia ma charakter derogacyjny względem ogólnych zasad odpowiedzialności pozaumownej Unii, o których mowa w rzeczonym art. 49 ust. 3, ten ostatni przepis należy rozumieć – w odniesieniu do jego pierwszego członu zawierającego wyrażenie „bez uszczerbku” – jako dotyczący tego art. 50.

67      Motyw 56 rozporządzenia 2016/794 potwierdza wykładnię przyjętą w poprzednim punkcie, wskazując, że „Europol powinien podlegać ogólnym zasadom dotyczącym odpowiedzialności umownej i pozaumownej mającym zastosowanie do instytucji, agencji i organów Unii, z wyjątkiem zasad dotyczących odpowiedzialności za niezgodne z prawem przetwarzanie danych”.

68      Wynika z tego, że art. 50 rozporządzenia 2016/794 ma wprowadzać szczególny reżim odpowiedzialności pozaumownej w odniesieniu do operacji niezgodnego z prawem przetwarzania danych, który to reżim ma charakter derogacyjny względem ogólnego reżimu odpowiedzialności przewidzianego przez to rozporządzenie.

69      Po drugie, z art. 50 ust. 2 rozporządzenia 2016/794 wynika, że wytoczenie powództwa do Trybunału Sprawiedliwości Unii Europejskiej lub właściwego sądu krajowego o stwierdzenie odpowiedzialności Europolu lub zainteresowanego państwa członkowskiego z tytułu niezgodnego z prawem przetwarzania danych, które miało miejsce w ramach współpracy między tymi podmiotami, stanowi zaledwie pierwszy z dwóch etapów mechanizmu ustalania odpowiedzialności przewidzianego w art. 50 tego rozporządzenia. Zgodnie bowiem z jego art. 50 ust. 2 etap drugi tego mechanizmu polega na ustaleniu „ostatecznej odpowiedzialności” Europolu lub zainteresowanego państwa członkowskiego za odszkodowanie przyznane danej osobie fizycznej zgodnie z art. 50 ust. 1 tego rozporządzenia, przy czym wszelkie spory w tym względzie między Europolem a państwami członkowskimi mogą być kierowane do zarządu Europolu, bez uszczerbku dla prawa do zakwestionowania jego decyzji przed Trybunałem Sprawiedliwości Unii Europejskiej zgodnie z art. 263 TFUE.

70      Tymczasem przewidziana w art. 50 ust. 2 rozporządzenia 2016/794 możliwość rozstrzygnięcia przez zarząd Europolu w ramach tego drugiego etapu kwestii „ostatecznej odpowiedzialności” spoczywającej na podmiocie, któremu można przypisać bezprawne zachowanie będące źródłem szkody, czy też częściowej odpowiedzialności spoczywającej na każdym z podmiotów w sytuacji, gdy obu im można przypisać bezprawne zachowanie, byłaby pozbawiona logicznej podstawy w braku odpowiedzialności solidarnej tych podmiotów.

71      W świetle powyższego należy stwierdzić, że art. 50 rozporządzenia 2016/794 interpretowany w świetle jego art. 49 ust. 3 i motywów 56 i 57 tego rozporządzenia ustanawia reżim odpowiedzialności solidarnej Europolu i zainteresowanego państwa członkowskiego, w którym wystąpiła szkoda powstała w wyniku niezgodnego z prawem przetwarzania danych w ramach współpracy między tymi podmiotami na podstawie rzeczonego rozporządzenia.

72      Jak zauważył rzecznik generalny w pkt 51 opinii, ten reżim odpowiedzialności solidarnej nie jest obcy prawu Unii w dziedzinie przetwarzania danych. Artykuł 82 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie Dz.U. 2018, L 127, s. 2) przewiduje bowiem taką odpowiedzialność w przypadku wielości administratorów.

–       Przesłanki powstania odpowiedzialności na mocy art. 50 ust. 1 rozporządzenia 2016/794

73      Zgodnie z przesłankami wynikającymi z art. 340 TFUE, do którego art. 50 ust. 1 rozporządzenia 2016/794 nawiązuje w odniesieniu do sytuacji, gdy osoba poszkodowana wniesie skargę przeciwko Europolowi, powstanie pozaumownej odpowiedzialności Unii w rozumieniu tego artykułu zależy od łącznego spełnienia szeregu przesłanek, a mianowicie bezprawności zachowania zarzucanego danej instytucji, organowi lub jednostce organizacyjnej Unii, rzeczywistego charakteru szkody oraz istnienia związku przyczynowego pomiędzy takim zachowaniem a podniesioną szkodą (zob. podobnie wyrok z dnia 16 grudnia 2020 r., Rada/K. Chrysostomides & Co. i in., C‑597/18 P, C‑598/18 P, C‑603/18 P i C‑604/18 P, EU:C:2020:1028, pkt 79, 80 i przytoczone tam orzecznictwo).

74      W specyficznym kontekście rozporządzenia 2016/794 z brzmienia jego art. 50 ust. 1 wynika, że osoba fizyczna, która zamierza dochodzić przed sądem na podstawie tego przepisu odszkodowania od Europolu albo od państwa członkowskiego, musi wykazać istnienie „niezgodnego z prawem przetwarzania danych”, „szkody” oraz związku przyczynowego między takim przetwarzaniem a wspomnianą szkodą. W świetle pierwszej z przesłanek przypomnianych w poprzednim punkcie taka osoba powinna zatem wykazać jedynie, że niezgodne z prawem przetwarzanie danych miało miejsce w ramach przewidzianej we wspomnianym rozporządzeniu współpracy między Europolem a państwem członkowskim.

75      Jak zostało wskazane w pkt 57 i 58 niniejszego wyroku, celem realizowanym przez art. 50 ust. 1 rozporządzenia 2016/794 jest, zgodnie z brzmieniem motywu 57 tego rozporządzenia, zaradzenie trudnościom, na które może być narażona zainteresowana osoba fizyczna, w ustaleniu, czy szkoda powstała w wyniku niezgodnego z prawem przetwarzania danych w ramach takiej współpracy jest konsekwencją działania Europolu, czy zainteresowanego państwa członkowskiego.

76      Tymczasem nie można wymagać od tej osoby, by wykazała, komu: Europolowi czy zainteresowanemu państwu członkowskiemu, można przypisać tę szkodę, albo by pozwała do sądu oba te podmioty w celu uzyskania pełnego naprawienia szkody. W przeciwnym wypadku doszłoby do pozbawienia skuteczności (effet utile) wspomnianego art. 50 ust. 1 odczytywanego w świetle rzeczonego motywu 57.

77      W odniesieniu do tej ostatniej kwestii należy zauważyć, że art. 50 ust. 1 rozporządzenia 2016/794 nie przewiduje, by zainteresowana osoba fizyczna mogła pozwać do tego samego sądu oba podmioty potencjalnie odpowiedzialne za niezgodne z prawem przetwarzanie danych, gdyż przepis ten obliguje tę osobę do wniesienia skargi przeciwko Europolowi do Trybunału Sprawiedliwości Unii Europejskiej lub do wytoczenia powództwa przeciwko państwu członkowskiemu przed właściwym sądem tego państwa.

78      Co za tym idzie, przede wszystkim, mimo że zainteresowane państwo członkowskie i Europol mają możliwość przystąpienia do sprawy w charakterze interwenienta odpowiednio w postępowaniu przed Sądem lub przed sądem tego państwa członkowskiego, nie można wykluczyć, że owa osoba będzie zmuszona do prowadzenia swojej sprawy bez udziału jednego z tych podmiotów. Następnie, nawet zakładając, że oba podmioty biorą udział w postępowaniu wszczętym przed właściwym sądem, z poprzedniego punktu wynika, że jedynie odpowiedzialność jednego z nich może zostać stwierdzona w ramach toczącego się postępowania, co może zaszkodzić ustaleniu stanu faktycznego. Wreszcie, istnieje ryzyko, że środki zaskarżenia wniesione przez zainteresowaną osobę odpowiednio przeciwko Europolowi do Sądu, a przeciwko państwu członkowskiemu do sądów tego państwa mogłyby prowadzić do tego samego rezultatu, a mianowicie do stwierdzenia przez oba te sądy braku odpowiedzialności każdego z tych pozwanych podmiotów w sytuacji, gdy osoba ta nie wykazała w sposób wymagany prawem możliwości przypisania podnoszonej szkody tym podmiotom.

79      Tymczasem to właśnie w celu uwzględnienia tych trudności dowodowych prawodawca Unii przewidział w art. 50 rozporządzenia 2016/794 w odniesieniu do naprawiania szkód powstałych w wyniku niezgodnego z prawem przetwarzania danych dwuetapowy mechanizm ustalania odpowiedzialności, który, po pierwsze, zwalnia zainteresowaną osobę fizyczną z obowiązku ustalenia tożsamości podmiotu, którego zachowanie leżało u źródła podnoszonej szkody, a po drugie, przewiduje, że po zaspokojeniu roszczeń tej osoby „ostateczna odpowiedzialność” za tę szkodę powinna w stosownym przypadku zostać definitywnie rozstrzygnięta przez zarząd Europolu w ramach postępowania, w którym udział biorą jedynie Europol i zainteresowane państwo członkowskie.

80      Wynika z tego, że art. 50 ust. 1 rozporządzenia 2016/794 odczytywany w świetle motywu 57 tego rozporządzenia należy interpretować w ten sposób, że nie nakłada na zainteresowaną osobę fizyczną, która wykazała istnienie niezgodnego z prawem przetwarzania danych mającego miejsce w ramach przewidzianej w owym rozporządzeniu współpracy między Europolem a państwem członkowskim, obowiązku ustalenia, który z podmiotów zaangażowanych w tę współpracę dopuścił się zachowania stanowiącego takie niezgodne z prawem przetwarzanie.

81      Aby pociągnąć Europol lub zainteresowane państwo członkowskie do odpowiedzialności tytułem odpowiedzialności solidarnej i umożliwić zainteresowanej osobie fizycznej uzyskanie pełnego naprawienia poniesionej przez nią szkody przed sądem Unii albo przed sądem krajowym na podstawie art. 50 ust. 1 rozporządzenia 2016/794, wystarczy, aby osoba ta wykazała, że przy okazji przewidzianej w tym rozporządzeniu współpracy między Europolem a zainteresowanym państwem członkowskim miało miejsce niezgodne z prawem przetwarzanie danych, w wyniku którego poniosła ona szkodę, przy czym nie jest wymagane, by osoba ta ponadto ustaliła, któremu z tych dwóch podmiotów można przypisać owo niezgodne z prawem przetwarzanie.

82      Pozwany podmiot zachowuje jednakże możliwość wykazania, za pomocą wszystkich dostępnych mu środków prawnych, iż jest wykluczone, by podnoszona szkoda pozostawała w związku z zarzucanym niezgodnym z prawem przetwarzaniem, które miało miejsce w ramach takiej współpracy. Tak byłoby na przykład w sytuacji, gdyby ów podmiot wykazał, że źródłem tej szkody są okoliczności faktyczne wcześniejsze względem przewidzianej na mocy rozporządzenia 2016/794 współpracy.

83      Z całości powyższych rozważań wynika, że oddalając w pkt 91 zaskarżonego wyroku żądanie pierwsze wnoszącego odwołanie z tego względu, że nie wykazał on możliwości przypisania Europolowi ujawnienia dotyczących go danych osobowych, a tym samym „nie przedstawił wystarczającego dowodu istnienia związku przyczynowego między krzywdą podnoszoną w ramach [tego żądania] a ewentualnym zachowaniem Europolu”, i uznając w pkt 92–95 zaskarżonego wyroku, że owego oddalenia nie podważa brzmienie motywu 57, art. 49 ust. 3 i art. 50 rozporządzenia 2016/794, Sąd naruszył prawo w zakresie, w jakim niesłusznie orzekł, że art. 50 ust. 1 tego rozporządzenia w odczytywany w świetle motywu 57 tego rozporządzenia nie zwalnia zainteresowanej osoby fizycznej z wykazania, któremu z dwóch współpracujących podmiotów należy przypisać niezgodne z prawem przetwarzanie danych.

84      Co za tym idzie, zarzut pierwszy należy uznać za zasadny.

85      Owo naruszenie prawa oznacza wadliwość, w całości, oddalenia przez Sąd żądania pierwszego, zakreślonego w pkt 49 zaskarżonego wyroku, przy czym zakreślenie zakresu tego żądania nie zostało zakwestionowanie w ramach odwołania.

86      W konsekwencji należy uwzględnić zarzut pierwszy odwołania i uchylić zaskarżony wyrok w zakresie, w jakim Sąd oddalił jako bezzasadny owo pierwsze żądanie tak zakreślone.

 W przedmiocie zarzutów od drugiego do czwartego

87      Zarzuty odwołania od drugiego do czwartego dotyczą – podobnie jak zarzut pierwszy – oddalenia żądania pierwszego, odnoszącego się do zadośćuczynienia za krzywdę, której wnoszący odwołanie miał doznać w wyniku podania do publicznej wiadomości jego danych osobowych pochodzących z przedmiotowych telefonów.

88      Zważywszy, że uwzględnienie zarzutów od drugiego do czwartego nie może doprowadzić do uchylenia zaskarżonego wyroku w zakresie szerszym niż będący wynikiem uwzględnienia zarzutu pierwszego, nie ma potrzeby przeprowadzania ich analizy.

 W przedmiocie zarzutu szóstego

 Argumentacja stron

89      Zarzut szósty, który należy zbadać przed zarzutem piątym, ma dwie części i dotyczy pkt 102 i 106–111 zaskarżonego wyroku.

90      W części pierwszej zarzutu szóstego wnoszący odwołanie zarzuca Sądowi, że niesłusznie uznał w wymienionych powyżej punktach zaskarżonego wyroku, że brak jest związku przyczynowego między zarzucanym w ramach zarzutu drugiego bezprawnym zachowaniem, a mianowicie umieszczeniem przez Europol jego nazwiska na „listach członków mafii” lub stwierdzeniem przez Europol istnienia związku między nim i tymi listami, a krzywdą, którą miał ponieść w wyniku tego umieszczenia lub stwierdzenia istnienia takiego związku.

91      Na poparcie tej pierwszej części zarzutu wnoszący odwołanie podnosi, że Europol nie uzasadnił stwierdzenia istnienia takiego związku między nim a „listami członków mafii” i że stwierdzając jego istnienie, agencja ta naruszyła zasadę proporcjonalności, ponieważ wykroczyła poza zakres swoich zadań polegających wyłącznie na analizie przedmiotowego nośnika pamięci USB.

92      Ponadto, jako że sprawozdanie Europolu wchodziło w skład akt krajowego postępowania karnego wszczętego przeciwko wnoszącemu odwołanie, a informacje zawarte w tych aktach były przedmiotem przecieku, należy stwierdzić istnienie związku przyczynowego między bezprawnym zachowaniem Europolu a krzywdą doznaną przez wnoszącego odwołanie. Okoliczność, że żaden z mających znaczenie dla sprawy artykułów prasowych nie wymienia tego sprawozdania, jak wskazuje to Sąd w pkt 107 zaskarżonego wyroku, nie podważa istnienia tego związku przyczynowego.

93      Wnoszący odwołanie twierdzi także, że Europol jest jedynym podmiotem, który stwierdził w owym sprawozdaniu istnienie związku między nim a „listami członków mafii”, podczas gdy ani prawo krajowe, ani prawo Unii nie przewidują możliwości sporządzania i prowadzenia takich list. W tym względzie nie można dać wiary mediom słowackim, według których „listy członków mafii” miały być prowadzone przez słowackie służby policji. Ponadto bazując – celem stwierdzenia takiego związku – na źródłach publicznie dostępnych, zdaniem wnoszącego odwołanie Europol naruszył obowiązki, które na nim ciążą na mocy art. 29 ust. 6 rozporządzenia 2016/794. Wnoszący odwołanie twierdzi, że z faktu, że sprawozdanie Europolu nie wskazuje, że agencja ta znalazła informację o związku między nim a „listami członków mafii” w mediach, oraz z faktu, że informacja ta została zawarta wyraźnie w tym sprawozdaniu, należy wyciągnąć wniosek, że Europol stwierdził istnienie tego związku, który nie wynika z materiałów pochodzących z tabloidów.

94      Cześć druga tego zarzutu jest oparta na przeinaczeniu dowodów. Wnoszący odwołanie twierdzi, że dokonane przez Sąd w pkt 108 i 109 zaskarżonego wyroku ustalenie, zgodnie z którym z artykułów prasowych przedstawionych w ramach postępowania przed nim wynika, że wnoszący odwołanie był nazywany „członkiem mafii” jeszcze przed sporządzeniem sprawozdania przez Europol, jest błędne. Tytuł artykułu prasowego, który ukazał się w dniu 28 lutego 2012 r. i przedstawia wnoszącego odwołanie jako „nieistniejącego członka mafii”, jest dowodem, ze nie miał on żadnego związku z „listami członków mafii”.

95      Europol i Republika Słowacka wnoszą o oddalenie zarzutu szóstego.

 Ocena Trybunału

96      Jeśli chodzi o część drugą zarzutu szóstego, którą należy przeanalizować w pierwszej kolejności, należy przypomnieć, że zgodnie z utrwalonym orzecznictwem przeinaczenie dowodów ma miejsce między innymi wtedy, gdy Sąd w sposób oczywisty przekroczył granice rozsądnej oceny tych dowodów. Przeinaczenie musi wynikać w oczywisty sposób z dokumentów znajdujących się w aktach sprawy, przy czym nie ma konieczności dokonywania nowej oceny okoliczności faktycznych i dowodów. W tym względzie nie wystarczy wskazać, że dokument mógłby być przedmiotem wykładni odmiennej od tej przyjętej przez Sąd (zob. podobnie wyrok z dnia 16 lutego 2023 r., Komisja/Włochy i Hiszpania, C‑635/20 P, EU:C:2023:98, pkt 127 i przytoczone tam orzecznictwo).

97      W niniejszej sprawie w pkt 108 zaskarżonego wyroku Sąd stwierdził, że „podnoszonej przez [wnoszącego odwołanie] zbieżności czasowej przeczą dowody przedstawione tak przez niego samego, jak i przez Europol”. W tym względzie Sąd stwierdził w tym samym punkcie, że „[wnoszący odwołanie] odsyła w skardze do artykułu prasowego opublikowanego w dniu 28 lutego 2012 r., zatytułowanego »Marián Kočner. Nieistniejący członek mafii«, zgodnie z którym »na tzw. listach ‘członków mafii’, będących przedmiotem przecieku z materiałów policji w 2005 r., przedsiębiorca Marián Kočner pojawia się pod nagłówkiem ‘ciekawe pojazdy silnikowe’«” i że „Europol odnosił się do artykułów prasowych opublikowanych w dniach 21 czerwca 2005 r. i 9 lipca 2017 r., również nawiązujących do ewentualnych powiązań mafijnych wnoszącego odwołanie”.

98      Z powyższego wynika, że Sąd oparł swój wniosek, zgodnie z którym wnoszący odwołanie był nazywany „członkiem mafii” nawet przed sporządzeniem przez Europol jego sprawozdania, na szeregu odnoszących się do niego artykułów prasowych, a nie tylko na jednym, pochodzącym z 2012 r., artykule przedstawionym przez wnoszącego odwołanie, który jego zdaniem wskazywał brak jego powiązań z „listami członków mafii”. Czyniąc tak, Sąd nie przekroczył – w przeciwieństwie do tego, co twierdzi wnoszący odwołanie – granic rozsądnej oceny tych dowodów, ujętych łącznie, ani też nie przeinaczył treści wspomnianego artykułu prasowego, na który powoływał się wnoszący odwołanie, poprzez zinterpretowanie go w sposób niemożliwy do pogodzenia z jego treścią.

99      W konsekwencji część drugą zarzutu szóstego należy oddalić jako bezzasadną.

100    Co się tyczy części pierwszej tego zarzutu, należy przypomnieć, że w dziedzinie odpowiedzialności pozaumownej Unii kwestia istnienia związku przyczynowego między zdarzeniem wywołującym szkodę a szkodą, to jest przesłanka powstania tej odpowiedzialności, stanowi kwestię prawną, a zatem podlega kontroli sprawowanej przez Trybunał (wyrok z dnia 16 lipca 2009 r., Komisja/Schneider Electric, C‑440/07 P, EU:C:2009:459, pkt 192; postanowienie z dnia 3 września 2019 r., FV/Rada, C‑188/19 P, EU:C:2019:690, pkt 36). Kontrola ta nie może jednak oznaczać kwestionowania przez Trybunał ustaleń ani oceny okoliczności faktycznych dokonanych przez Sąd (zob. podobnie wyrok z dnia 16 lipca 2009 r., Komisja/Schneider Electric, C‑440/07 P, EU:C:2009:459, pkt 193).

101    Tymczasem należy stwierdzić, że w ramach tej części pierwszej wnoszący odwołanie usiłuje w rzeczywistości podważyć pewne ustalenia faktyczne, których Sąd dokonał na podstawie przedstawionych mu dowodów. Chodzi tu, po pierwsze, o ocenę zawartą w pkt 102 zaskarżonego wyroku, zgodnie z którą wnoszący odwołanie nie przedstawił jakiegokolwiek dowodu pozwalającego wykazać, że „listy członków mafii”, na których zostało umieszczone jego nazwisko, zostały sporządzone i były prowadzone przez Europol. Po drugie, wnoszący odwołanie kwestionuje także ocenę Sądu, zgodnie z którą brak jest związku przyczynowego między zarzucanym Europolowi bezprawnym zachowaniem i podnoszoną szkodą, w zakresie w jakim Sąd orzekł z jednej strony w pkt 107 zaskarżonego wyroku, że wnoszący odwołanie nie przedstawił żadnego dowodu, że informacje opublikowane w tym względzie pochodziły ze sprawozdania Europolu, a z drugiej strony w pkt 108 i 109 tego wyroku, że na długo przed rokiem 2019 słowacka prasa przedstawiała już wnoszącego odwołanie jako członka mafii. Natomiast zważywszy, że w ramach niniejszej części zarzutu wnoszący odwołanie nie powołuje się na przeinaczenie dowodów, prawidłowość owych ocen znajduje się poza kontrolą Trybunału.

102    W konsekwencji część pierwsza zarzutu szóstego jest niedopuszczalna.

103    Wynika stąd, że zarzut ten powinien zostać po części odrzucony jako niedopuszczalny, a po części oddalony jako bezzasadny.

 W przedmiocie zarzutu piątego

104    W ramach zarzutu piątego, opartego na tej samej argumentacji co przedstawiona na poparcie zarzutu pierwszego, wnoszący odwołanie zarzuca Sądowi, że naruszył prawo w ten sposób, że zdecydował w pkt 105 zaskarżonego wyroku, by nie brać motywu 57 rozporządzenia 2016/794 pod uwagę do celów ustalania odpowiedzialności Europolu z tego względu, że preambuła rozporządzenia nie ma wiążącej mocy prawnej. W przekonaniu wnoszącego odwołanie Sąd niesłusznie oddalił zatem żądanie drugie – dotyczące uzyskania zadośćuczynienia za krzywdę, jakiej wnoszący odwołanie miał doznać z powodu podnoszonego umieszczenia przez Europol jego nazwiska na „listach członków mafii” – orzekając, że przepisy tego rozporządzenia nie stanowią wyrazu ani podstawy mechanizmu odpowiedzialności solidarnej w przypadku niezgodnego z prawem przetwarzania danych przez Europol lub przez zainteresowane państwo członkowskie.

105    Europol, popierany przez Republikę Słowacką, wnosi o oddalenie zarzutu piątego, powołując się na te same argumenty co omówione w pkt 49–52 niniejszego wyroku w odpowiedzi na argumentację przedstawioną przez wnoszącego odwołanie w ramach zarzutu pierwszego.

106    W tym względzie należy zauważyć, że oddalając żądanie drugie – dotyczące uzyskania zadośćuczynienia za krzywdę, jakiej wnoszący odwołanie miał doznać z powodu podnoszonego umieszczenia przez Europol jego nazwiska na „listach członków mafii” – Sąd, który jest wyłącznie właściwy w zakresie ustalania i oceny okoliczności faktycznych oraz badania dowodów, które dopuszcza na poparcie tych okoliczności, oparł się na szeregu elementów. Po pierwsze, stwierdził w pkt 102 zaskarżonego wyroku, o którym mowa w ramach oddalonego zarzutu szóstego odwołania, iż wnoszący odwołanie nie wykazał, że „listy członków mafii”, na których znajdowało się jego nazwisko, zostały sporządzone i były prowadzone przez Europol. Po drugie, w pkt 108 i 109 tego wyroku, do których również nawiązuje oddalony zarzut szósty odwołania, Sąd uznał, że podnoszonej przez wnoszącego odwołanie zbieżności czasowej między sprawozdaniem Europolu a ewolucją określeń używanych przez słowacką prasę w odniesieniu do wnoszącego odwołanie, który po przecieku z akt dotyczącego go postępowania karnego był przedstawiany przez nią jako „członek mafii” lub jako „osoba, której nazwisko znajduje się na listach członków mafii”, przeczą dowody przedstawione zarówno przez wnoszącego odwołanie, jak i przez Europol, odnoszące się do artykułów prasowych opublikowanych w latach 2005, 2012 i 2017. W tym względzie Sąd stwierdził ponadto w pkt 109 zaskarżonego wyroku, że „na długo przed rokiem 2019 słowacka prasa przedstawiała już wnoszącego odwołanie jako »członka mafii«, a nie tylko jako »kontrowersyjnego przedsiębiorcę«” i wykluczył na podstawie tych dowodów, że „źródłem takiego przedstawienia [wnoszącego odwołanie] może być przeciek z akt krajowego postępowania karnego wszczętego przeciwko niemu, które zawierały sprawozdanie Europolu”.

107    Tym samym z ustaleń dokonanych w pkt 108 i 109 zaskarżonego wyroku wynika w szczególności, że ponieważ sprawozdanie Europolu jest późniejsze względem zdarzenia wywołującego szkodę i choćby z tego tylko względu niezwiązane z tym zdarzeniem, na które wnoszący odwołanie powoływał się w ramach żądania drugiego, jest wykluczone, aby krzywda przez niego podnoszona mogła być związana z ewentualnym niezgodnym z prawem przetwarzaniem danych w ramach współpracy między Europolem a organami słowackimi. Tymczasem, jak zostało wskazane w pkt 96–102 niniejszego wyroku, wnoszący odwołanie nie wykazał w ramach zarzutu szóstego, że Sąd dopuścił się w odniesieniu do tych ustaleń przeinaczenia dowodów lub naruszenia prawa.

108    W konsekwencji nie został w omawianym przypadku spełniony określony w pkt 81 niniejszego wyroku wymóg, konieczny do pociągnięcia Europolu do odpowiedzialności w ramach mechanizmu odpowiedzialności solidarnej przewidzianego w art. 50 ust. 1 rozporządzenia 2016/794, skutkiem czego odpowiedzialność ta nie może w żadnym wypadku powstać zgodnie z żądaniem drugim.

109    Wynika z tego, że pomimo popełnienia przez Sąd naruszenia prawa przez to, że odrzucił on w pkt 105 zaskarżonego wyroku, z powodów wyłożonych w pkt 92–95 tego wyroku, samą zasadę odpowiedzialności solidarnej Europolu w kontekście tego rozporządzenia, zarzut piąty należy oddalić jako bezskuteczny.

110    Jako że zarzuty piąty i szósty zostały oddalone, odwołanie należy oddalić w zakresie, w jakim dotyczy żądania drugiego.

 W przedmiocie skargi wniesionej do Sądu

111    Zgodnie z art. 61 akapit pierwszy zdanie drugie statutu Trybunału Sprawiedliwości Unii Europejskiej w wypadku uchylenia orzeczenia Sądu Trybunał może wydać orzeczenie ostateczne w sprawie, jeśli stan postępowania na to pozwala.

112    W niniejszym wypadku, mając na względzie w szczególności okoliczność, że skarga wniesiona przez wnoszącego odwołanie jest oparta na zarzutach, co do których przeprowadzono kontradyktoryjną debatę przed Sądem i których rozpatrzenie nie wymaga zarządzenia żadnego dodatkowego środka organizacji postępowania lub środka dowodowego, Trybunał uznaje, że stan postępowania pozwala na wydanie orzeczenia w przedmiocie skargi i że należy wydać orzeczenie ostateczne w sprawie w granicach związania pozostałymi do rozstrzygnięcia kwestiami (zob. analogicznie wyrok z dnia 4 marca 2021 r., Komisja/Fútbol Club Barcelona, C‑362/19 P, EU:C:2021:169, pkt 108 i przytoczone tam orzecznictwo).

113    Mając na uwadze częściowe uchylenie zaskarżonego wyroku, należy rozstrzygnąć wyłącznie w przedmiocie żądania pierwszego wysuniętego przed Sądem, zakreślonego w pkt 49 tego wyroku.

114    Wnoszący odwołanie żąda, na podstawie art. 268 i 340 TFUE oraz art. 50 ust. 1 rozporządzenia 2016/794, zasądzenia na jego rzecz kwoty 50 000 EUR tytułem zadośćuczynienia za krzywdę, jakiej miał doznać w wyniku podania do publicznej wiadomości dotyczących go danych osobowych pochodzących z przedmiotowych telefonów, które to dane zostały publicznie udostępnione w Internecie i powtórzone przez słowacką prasę. To ujawnienie danych osobowych naruszyło, ze względu na ich publikację, w przekonaniu wnoszącego odwołanie jego dobre imię i reputację zawodową, jak również prawo do poszanowania jego życia prywatnego i rodzinnego, a także prawo do poszanowania komunikowania się, gwarantowane przez art. 7 Karty.

115    W tym względzie wnoszący odwołanie, powołując się na motyw 57 rozporządzenia 2016/794, podnosi, że Europol może zostać pociągnięty do odpowiedzialności w ramach mechanizmu odpowiedzialności solidarnej na podstawie art. 50 ust. 1 tego rozporządzenia, jeżeli krzywda, jakiej miał doznać z powodu niezgodnego z prawem przetwarzania danych, jest konsekwencją działania Europolu lub państwa członkowskiego.

116    Europol utrzymuje, że nie zostało wykazane, że przetwarzał dane w sposób niezgodny z prawem, jako że nie dowiedziono, że przeciek danych dotyczących wnoszącego odwołanie pochodził od Europolu. W każdym razie przecieki informacji, nawet gdyby zostały wykazane, nie powodują automatycznie powstania jego odpowiedzialności pozaumownej. Europol podnosi bowiem, że zgodnie z orzecznictwem Trybunału odpowiedzialność pozaumowna organów Unii może zostać stwierdzona wyłącznie pod warunkiem, że miało w szczególności miejsce wystarczająco istotne naruszenie normy prawnej mającej na celu przyznanie uprawnień jednostkom. Tymczasem w przekonaniu Europolu art. 32 ust. 1 rozporządzenia 2016/794 nie przewiduje bezwzględnego zobowiązania rezultatu, lecz nakłada na Europol jedynie obowiązek wdrożenia odpowiednich rozwiązań technicznych i organizacyjnych w celu ochrony danych osobowych przed wszelkimi bezprawnymi formami przetwarzania, co też uczynił. Poza tym Europol twierdzi, że nigdy nie przetwarzał danych pobranych z przedmiotowych telefonów w formie odkodowanej i nadającej się do odczytania.

117    Zgodnie z orzecznictwem Trybunału powstanie odpowiedzialności pozaumownej Unii na mocy art. 340 TFUE zależy od łącznego spełnienia szeregu przesłanek, a mianowicie istnienia wystarczająco istotnego naruszenia normy prawnej mającej na celu przyznanie uprawnień jednostkom, rzeczywistego charakteru szkody oraz istnienia związku przyczynowego między naruszeniem obowiązku spoczywającego na autorze aktu a poniesioną przez poszkodowanego szkodą (wyrok z dnia 10 września 2019 r., HTTS/Rada, C‑123/18 P, EU:C:2019:694, pkt 32 i przytoczone tam orzecznictwo).

118    Z orzecznictwa tego wynika, że pierwsza przesłanka powstania tej odpowiedzialności – dotycząca bezprawności zachowania zarzucanego zainteresowanej instytucji, organowi lub jednostce organizacyjnej Unii w rozumieniu orzecznictwa przytoczonego w pkt 73 niniejszego wyroku – zawiera dwie składowe, a mianowicie konieczne jest, po pierwsze, aby doszło do naruszenia normy prawa Unii mającej na celu przyznanie uprawnień jednostkom, a po drugie, aby naruszenie to było wystarczająco istotne (zob. podobnie wyrok z dnia 10 września 2019 r., HTTS/Rada, C‑123/18 P, EU:C:2019:694, pkt 36).

119    Jeśli chodzi o pierwszą składową tej przesłanki, zgodnie z utrwalonym orzecznictwem prawa jednostek powstają nie tylko przy okazji wyraźnego przyznania ich przez przepisy prawa Unii, lecz także z powodu obowiązków, pozytywnych lub negatywnych, jakie nakładają one w ściśle określony sposób zarówno na jednostki, jak i państwa członkowskie lub instytucje, organy i jednostki organizacyjne Unii [zob. podobnie wyrok z dnia 22 grudnia 2022 r., Ministre de la Transition écologique i Premier ministre (Odpowiedzialność państwa za zanieczyszczenie powietrza), C‑61/21, EU:C:2022:1015, pkt 46]. Ta zasada znajduje zastosowanie również do obowiązków nałożonych przez prawo Unii w ramach współpracy między agencją Unii, taką jak Europol, a państwami członkowskimi.

120    Niedochowanie takich obowiązków może stanowić naruszenie uprawnień, które zostały w sposób dorozumiany przyznane jednostkom na mocy mających zastosowanie przepisów prawa Unii. Pełna skuteczność tych przepisów i ochrona uprawnień, których przyznanie jest ich celem, wymagają, aby jednostki miały możliwość uzyskania odszkodowania [zob. podobnie wyrok z dnia 22 grudnia 2022 r., Ministre de la Transition écologique i Premier ministre (Odpowiedzialność państwa za zanieczyszczenie powietrza), C‑61/21, EU:C:2022:1015, pkt 47].

121    W odniesieniu do niniejszej sprawy należy stwierdzić, że rozporządzenie 2016/794 nakłada na Europol i na właściwe organy państw członkowskich wezwanych do współpracy z tą agencją Unii w ramach przeprowadzania postępowań karnych obowiązek ochrony jednostek przed niezgodnym z prawem przetwarzaniem ich danych osobowych, wynikający w szczególności z łącznej lektury art. 2 lit. h), i) i k), art. 28 ust. 1 lit. a) i f), art. 38 ust. 4 i art. 50 ust. 1 tego rozporządzenia.

122    Artykuł 2 lit. k) rozporządzenia 2016/794 definiuje bowiem „przetwarzanie” jako dowolną operację lub zestaw operacji wykonywanych na danych osobowych lub zbiorach danych osobowych w sposób zautomatyzowany lub nie, takich jak ujawnianie przez przekazanie, rozpowszechnianie lub udostępnianie w inny sposób. Zgodnie z art. 2 lit. h) i i) tego rozporządzenia „dane osobowe” oznaczają wszelkie informacje o „osobie, której dane dotyczą”, to jest o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Ponadto art. 28 ust. 1 lit. a) i f) wspomnianego rozporządzenia wymaga, by dane osobowe były przetwarzane „w sposób rzetelny i zgodny z prawem”, w sposób zapewniający odpowiednie ich bezpieczeństwo. Zgodnie z art. 38 ust. 4 tego samego rozporządzenia na Europolu spoczywa odpowiedzialność za poszanowanie zasad, o których mowa w art. 28 ust. 1 lit. a) i f). Wreszcie, art. 50 ust. 1 rozporządzenia 2016/794 w zakresie, w jakim zobowiązuje podmioty zaangażowane we współpracę przewidzianą w tym rozporządzeniu do naprawienia szkody poniesionej przez osobę fizyczną w wyniku niezgodnego z prawem przetwarzania dotyczących jej danych osobowych, ustanawia po stronie tych podmiotów dorozumiany obowiązek w zakresie ochrony każdej osoby fizycznej przed jakąkolwiek niezgodną z prawem formą udostępniania danych osobowych jej dotyczących.

123    Z łącznej lektury przepisów wymienionych w dwóch poprzednich punktach wynika, że wszelkie ujawnianie danych osobowych będących przedmiotem przetwarzania w ramach współpracy między Europolem a właściwymi organami krajowymi na podstawie rozporządzenia 2016/794 osobom nieupoważnionym do zapoznania się z nimi stanowi naruszenie normy prawa Unii mającej na celu przyznanie uprawnień jednostkom.

124    W niniejszej sprawie z ustaleń dokonanych przez Sąd w pkt 1, 2, 44, 84, 85 i 90 zaskarżonego wyroku, które Trybunał przyjmuje do celów własnej analizy, wynika, że dane osobowe dotyczące wnoszącego odwołanie, obejmujące intymne konwersacje między nim a jego przyjaciółką, które były zawarte w przedmiotowych telefonach przekazanych Europolowi przez organy słowackie w ramach współpracy na podstawie rozporządzenia 2016/794, zostały pobrane z tych telefonów i że dane te, które najpierw znajdowały się w posiadaniu Europolu, a od dnia 23 października 2018 r. – Europolu i tych organów, zostały ujawnione osobom nieupoważnionym do zapoznania się z nimi, co doprowadziło do ich opublikowania w słowackiej prasie w dniu 20 maja 2019 r. Takie okoliczności świadczą o istnieniu naruszenia, takiego jak opisane w poprzednim punkcie.

125    W tym względzie należy oddalić argument Europolu, zgodnie z którym miał on wywiązać się z obowiązków, jakie nakłada na niego rozporządzenie 2016/794, w ten sposób, że wdrożył odpowiednie rozwiązania techniczne i organizacyjne w celu ochrony danych osobowych przed wszelkimi niedozwolonymi formami przetwarzania. Jak bowiem zostało wyjaśnione w pkt 80 niniejszego wyroku, art. 50 ust. 1 tego rozporządzenia ustanawia reżim odpowiedzialności solidarnej, w ramach którego osoba uważająca się za poszkodowaną w wyniku niezgodnego z prawem przetwarzania danych jest zwolniona z obowiązku ustalenia, któremu z podmiotów zaangażowanych we współpracę na mocy wspomnianego rozporządzenia należy przypisać odpowiedzialność za takie przetwarzanie, bez uszczerbku dla przyznanej Europolowi możliwości zwrócenia się w stosownym przypadku, w późniejszym czasie, do jego zarządu na mocy art. 50 ust. 2 tego samego rozporządzenia, celem ustalenia ostatecznej odpowiedzialności za odszkodowanie przyznane takiej osobie.

126    Co się tyczy drugiej składowej pierwszej przesłanki powstania odpowiedzialności pozaumownej Unii, dotyczącej wymogu wystarczająco istotnego naruszenia normy prawa Unii mającej na celu przyznanie uprawnień jednostkom, kryterium rozstrzygającym w tym względzie, pozwalającym uznać, że naruszenie takiej normy jest wystarczająco istotne, jest oczywiste i poważne przekroczenie granic przyznanego na mocy tej naruszonej normy zakresu uznania (zob. podobnie wyroki: z dnia 4 lipca 2000 r., Bergaderm i Goupil/Komisja, C‑352/98 P, EU:C:2000:361, pkt 43 i przytoczone tam orzecznictwo; z dnia 4 kwietnia 2017 r., Rzecznik/Staelen, C‑337/15 P, EU:C:2017:256, pkt 31 i przytoczone tam orzecznictwo). Jeżeli danemu organowi przysługuje wyłącznie istotnie ograniczony zakres uznania lub w ogóle nie przysługuje mu żaden zakres uznania, jakiekolwiek naruszenie prawa Unii może wystarczyć do wykazania, iż nastąpiło wystarczająco istotne naruszenie tego prawa (wyrok z dnia 10 lipca 2003 r., Komisja/Fresh Marine, C‑472/00 P, EU:C:2003:399, pkt 26 i przytoczone tam orzecznictwo). Naruszenie takie stanowią w szczególności niewybaczalne błędy, rażące niedbalstwo w wykonywaniu obowiązków lub oczywisty brak staranności (zob. podobnie wyrok z dnia 30 stycznia 1992 r., Finsider i in./Komisja, C‑363/88 i C‑364/88, EU:C:1992:44, pkt 22 i przytoczone tam orzecznictwo).

127    Do celów przeprowadzenia oceny należy wziąć pod uwagę dziedzinę, warunki i kontekst, w ramach których przedmiotowy obowiązek spoczywa na zainteresowanym podmiocie (zob. podobnie wyrok z dnia 4 kwietnia 2017 r., Rzecznik/Staelen, C‑337/15 P, EU:C:2017:256, pkt 40 i przytoczone tam orzecznictwo).

128    Poza tym należy mieć na uwadze w szczególności stopień jasności i precyzji naruszonej normy, a także zakres uznania, jaki naruszona norma pozostawia właściwemu organowi (zob. podobnie wyrok z dnia 30 maja 2017 r., Safa Nicu Sepahan/Rada, C‑45/15 P, EU:C:2017:402, pkt 30 i przytoczone tam orzecznictwo), złożoność sytuacji, które podlegają uregulowaniu, i trudności w stosowaniu czy interpretacji określonych aktów [wyrok z dnia 19 kwietnia 2007 r., Holcim (Deutschland)/Komisja, C‑282/05 P, EU:C:2007:226, pkt 50 i przytoczone tam orzecznictwo].

129    W niniejszej sprawie należy stwierdzić, po pierwsze, że przepisy wymienione w pkt 122 i 123 niniejszego wyroku nie pozostawiają podmiotom zaangażowanym we współpracę na podstawie rozporządzenia 2016/794 żadnego zakresu uznania co do spoczywającego na nich obowiązku ochrony każdej osoby fizycznej – poprzez wdrażanie odpowiednich w tym celu rozwiązań technicznych i organizacyjnych – przed jakąkolwiek niezgodną z prawem formą udostępniania danych osobowych jej dotyczących. Po drugie, ów obowiązek wpisuje się w delikatny kontekst współpracy między Europolem a państwami członkowskimi podejmowanej do celów prowadzenia postępowań karnych, w ramach którego takie dane są przetwarzane bez udziału zainteresowanych osób, najczęściej bez ich wiedzy, a zatem bez możliwości jakiejkolwiek interwencji z ich strony mającej na celu zapobieżenie ewentualnemu niezgodnemu z prawem przetwarzaniu dotyczących ich danych.

130    Intymny charakter danych, jakie mogą być zawarte w nośnikach takich jak będące przedmiotem niniejszej sprawy, wzmacnia jeszcze konieczność ścisłego zapewnienia ochrony tych danych dotyczących wnoszącego odwołanie, tym bardziej że owe dane nie mają żadnego związku z wydarzeniami, na okoliczność których był on ścigany karnie.

131    W tych okolicznościach należy uznać, w świetle ustaleń Sądu przypomnianych w pkt 124 niniejszego wyroku, że niezgodne z prawem przetwarzanie danych w ramach współpracy między Europolem i organami słowackimi na podstawie rozporządzenia 2016/794 stanowiło wystarczająco istotne naruszenie normy prawa Unii mającej na celu przyznanie uprawnień jednostkom.

132    Należy dodać, że argument Europolu, zgodnie z którym nigdy nie dysponował on danymi pobranymi z przedmiotowych telefonów w formie odkodowanej i nadającej się do odczytania, nie podważa samego istnienia takiego naruszenia z powodu niezgodnego z prawem przetwarzania danych w ramach w ramach tej współpracy. Tymczasem, jak wynika z pkt 80 niniejszego wyroku, art. 50 ust. 1 rozporządzenia 2016/794 ustanawia reżim odpowiedzialności solidarnej, w ramach którego osoba poszkodowana w wyniku takiego przetwarzania jest zwolniona z obowiązku wykazania, któremu z podmiotów zaangażowanych w taką współpracę należy przypisać owo przetwarzanie. Wynika z tego, że tego argumentu nie można w żaden sposób uznać za zasadny w kontekście niniejszej sprawy, bez uszczerbku dla możliwości powołania się na niego przez Europol w stosownym przypadku w ramach zwrócenia się do zarządu na mocy art. 50 ust. 2 tego rozporządzenia.

133    W odniesieniu do przesłanek drugiej i trzeciej powstania odpowiedzialności pozaumownej Unii wynikających z art. 340 akapit drugi TFUE, dotyczących dowodu poniesionej szkody i związku przyczynowego między tą szkodą a wystarczająco istotnym naruszeniem normy prawa Unii, jakie w niniejszej sprawie stanowi niezgodne z prawem przetwarzanie danych, wnoszący odwołanie twierdzi, że ujawnienie dotyczących go danych osobowych zawartych w przedmiotowych telefonach naruszyło, ze względu na ich publikację, nie tylko przysługujące mu prawo do poszanowania życia prywatnego, ale także prawo do poszanowania życia rodzinnego. Twierdzi on, że owo ujawnienie miało negatywny wpływ na jego relacje z córkami, które były głęboko poruszone publikacją wspomnianych danych, wskazujących na w szczególności na intymne relacje ich ojca z jego przyjaciółką, podane do publicznej wiadomości, oraz ich intymnych konwersacji. U wnoszącego odwołanie miało to wywołać uczucie frustracji i niesprawiedliwości, a także stanowić naruszenie jego dobrego imienia i reputacji zawodowej. Wspomniane ujawnienie miało także naruszyć jego prawo do poszanowania komunikowania się, gwarantowane przez art. 7 Karty.

134    Europol nie sformułował żadnego konkretnego argumentu co do rzeczywistego charakteru podnoszonej przez wnoszącego odwołanie krzywdy i istnienia związku przyczynowego między niezgodnym z prawem przetwarzaniem danych a tą krzywdą. Agencja ta ograniczyła się do twierdzenia, że w braku dowodu zdarzenia wywołującego szkodę lub możliwości przypisania jej Europolowi żądanie pierwsze należy oddalić.

135    Jeśli chodzi o przesłanki dotyczące rzeczywistego charakteru szkody i związku przyczynowego, odpowiedzialność pozaumowna Unii może powstać tylko wtedy, gdy strona skarżąca naprawdę poniosła szkodę rzeczywistą i pewną, a szkoda wynika w sposób wystarczająco bezpośredni z podnoszonego naruszenia normy prawa Unii. Do strony skarżącej należy przedstawienie sądowi Unii dowodów zarówno na istnienie, jak i na zakres szkody, na którą się powołuje, a także na istnienie wystarczająco bezpośredniego związku przyczynowego między tym naruszeniem a podnoszoną szkodą (zob. podobnie wyrok z dnia 30 maja 2017 r., Safa Nicu Sepahan/Rada, C‑45/15 P, EU:C:2017:402, pkt 61, 62 i przytoczone tam orzecznictwo).

136    W niniejszej sprawie, jak zostało wskazane w pkt 124 niniejszego wyroku, niezgodne z prawem przetwarzanie danych, jakim było ujawnienie osobom nieupoważnionym danych dotyczących intymnych konwersacji między wnoszącym odwołanie i jego przyjaciółką, doprowadziło do podania tych danych do publicznej wiadomości, czego dowodzi opublikowanie ich w słowackiej prasie. Mając na uwadze treść tych konwersacji, należy przyjąć, że owo niezgodne z prawem przetwarzanie danych naruszyło prawo wnoszącego odwołanie do poszanowania jego życia prywatnego i rodzinnego oraz prawa do poszanowania komunikowania się, gwarantowanego przez art. 7 Karty, jak również ugodziło w jego dobre imię i reputację, co składa się na poniesioną przez niego krzywdę.

137    Tytułem zadośćuczynienia za krzywdę podnoszoną w ramach żądania pierwszego wnoszący odwołanie domaga się zasądzenia na jego rzecz kwoty 50 000 EUR.

138    Niemniej Sąd uznał, że analiza żądania pierwszego powinna zostać ograniczona do podnoszonej krzywdy wynikającej wyłącznie z ujawnienia zapisu konwersacji o charakterze intymnym i seksualnym między wnoszącym odwołanie a jego przyjaciółką, jako że wnoszący odwołanie nie przedstawił żadnego dowodu pozwalającego wykazać w sposób bezpośredni lub pośredni rzeczywisty charakter ujawnienia fotografii, w których mowa w pkt 26 niniejszego wyroku.

139    Ponieważ to częściowe oddalenie żądania pierwszego nie zostało zakwestionowane w ramach odwołania, z zadośćuczynienia zasądzanego na rzecz wnoszącego odwołanie należy wyłączyć tę część podnoszonej krzywdy.

140    Wobec powyższego należy orzec, że krzywdzie poniesionej przez wnoszącego odwołanie w wyniku ujawnienia zapisu konwersacji o charakterze intymnym prowadzonych między wnoszącym odwołanie a jego przyjaciółką odpowiednio zadośćuczyni zasądzenie na jego rzecz, zgodnie z zasadą słuszności, kwoty 2000 EUR.

 W przedmiocie kosztów

141    Zgodnie z art. 184 § 2 regulaminu postępowania przed Trybunałem, jeżeli odwołanie jest bezzasadne lub jest zasadne i Trybunał wydaje orzeczenie kończące postępowanie w sprawie, rozstrzyga on również o kosztach.

142    Zgodnie z art. 138 § 1 tego regulaminu, mającym zastosowanie do postępowania odwoławczego na podstawie jego art. 184 § 1, kosztami zostaje obciążona, na żądanie strony przeciwnej, strona przegrywająca sprawę. Zgodnie z owym art. 138 § 3 zdanie pierwsze, w razie częściowego tylko uwzględnienia żądań, każda ze stron pokrywa własne koszty.

143    W niniejszej sprawie wnoszący odwołanie zażądał, aby rozstrzygnięcie w przedmiocie kosztów nastąpiło „w ramach postępowania głównego”. W tym względzie należy stwierdzić, że o ile w ramach żądań w pierwszej instancji wnosił on o obciążenie kosztami Europolu, o tyle w odwołaniu nie sformułował żądań dotyczących kosztów w postępowaniu odwoławczym.

144    Europol wniósł o obciążenie wnoszącego odwołanie zarówno kosztami postępowania w pierwszej instancji, jak i postępowania odwoławczego.

145    W tych okolicznościach, ponieważ żądania każdej ze stron na etapie odwołania zostały uwzględnione tylko częściowo, podobnie jak ich żądania w pierwszej instancji, każda ze stron pokrywa własne koszty zarówno w odniesieniu do postępowania w pierwszej instancji, jak i postępowania odwoławczego.

146    Zgodnie z art. 140 § 1 regulaminu postępowania przed Trybunałem, mającym zastosowanie do postępowania odwoławczego na podstawie art. 184 § 1 tego regulaminu, państwa członkowskie i instytucje, które przystąpiły do sprawy w charakterze interwenientów, pokrywają własne koszty. Replika Słowacka, będąca interwenientem w postępowaniu przed Trybunałem, pokrywa zatem własne koszty.

Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:

1)      Uchyla się wyrok Sądu Unii Europejskiej z dnia 29 września 2021 r., Kočner/Europol (T‑528/20, EU:T:2021:631), w zakresie, w jakim oddala żądanie pierwsze w brzmieniu zakreślonym w tym wyroku.

2)      W pozostałej części odwołanie zostaje oddalone.

3)      Od Agencji Unii Europejskiej ds. Współpracy Organów Ścigania (Europolu) zasądza się na rzecz Mariána Kočnera zadośćuczynienie w kwocie 2000 EUR.

4)      W pozostałej części skarga zostaje oddalona.

5)      Marián Kočner i Europol pokrywają własne koszty zarówno w odniesieniu do postępowania w pierwszej instancji, jak i postępowania odwoławczego.

6)      Republika Słowacka pokrywa własne koszty.

Podpisy

*      Język postępowania: słowacki.