DOMSTOLENS DOM (stora avdelningen)

den 5 mars 2024 (*)

”Överklagande – Samarbete inom brottsbekämpning – Förordning (EU) 2016/794 – Artikel 49.3 och artikel 50 – Skydd av personuppgifter – Otillåten behandling av personuppgifter – Brottmål mot klaganden i Slovakien – Expertbedömning av Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) i utredningssyfte – Uppgifter som hämtats ur mobiltelefoner och ett USB-minne vilka tillhör klaganden – Utlämning av dessa uppgifter– Ideell skada – Skadeståndstalan – Karaktären av det utomobligatoriska ansvaret”

I mål C‑755/21 P,

angående ett överklagande enligt artikel 56 i stadgan för Europeiska unionens domstol, som ingavs den 8 december 2021,

Marián Kočner, Bratislava (Slovakien), företrädd av M. Mandzák och M. Para, advokáti,

klagande,

i vilket den andra parten är:

Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol), företrädd av A. Nunzi, i egenskap av ombud, biträdd av M. Kottmann och G. Ziegenhorn, Rechtsanwälte,

svarande i första instans

med stöd av

Republiken Slovakien, inledningsvis företrädd av S. Ondrášiková, därefter av E.V. Drugda och S. Ondrášiková, båda i egenskap av ombud,

intervenient i målet om överklagande,

Konungariket Spanien,

intervenient i första instans

meddelar

DOMSTOLEN (stora avdelningen)

sammansatt av ordföranden K. Lenaerts, vice-ordföranden L. Bay Larsen, avdelningsordförandena A. Arabadjiev, A. Prechal, E. Regan, F. Biltgen, N. Piçarra och O. Spineanu-Matei (referent) samt domarna S. Rodin, P.G. Xuereb, L.S. Rossi, N. Wahl, I. Ziemele, J. Passer och D. Gratsias,

generaladvokat: A. Rantos,

justitiesekreterare: A. Calot Escobar,

efter det skriftliga förfarandet,

och efter att den 15 juni 2023 ha hört generaladvokatens förslag till avgörande,

följande

Dom

1        Marián Kočner har yrkat att domstolen ska upphäva den dom som Europeiska unionens tribunal meddelade den 29 september 2021, Kočner/Europol (T‑528/20, EU:T:2021:631) (nedan kallad den överklagade domen). Genom denna dom ogillade tribunalen Marián Kočners talan enligt artikel 268 FEUF om ersättning för den skada som han påstår sig ha lidit till följd av att Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) lämnat ut personuppgifter och för att Europol har fört upp hans namn i de så kallade maffialistorna.

 Tillämpliga bestämmelser

2        Skälen 23, 45, 56, 57 och 65 i Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 2016, s. 53) har följande lydelse:

”(23)      I syfte att förebygga och bekämpa brottslighet som omfattas av Europols mål är det nödvändigt att Europol förfogar över så fullständiga och aktuella uppgifter som möjligt. Europol bör därför ha befogenhet att behandla uppgifter från medlemsstaterna, …

…

(45)      För att garantera skyddet av personuppgifter bör Europol och medlemsstaterna genomföra nödvändiga tekniska och organisatoriska åtgärder.

…

(56)      Europol bör omfattas av allmänna bestämmelser om inom- och utomobligatoriskt ansvar som är tillämpliga på [Europeiska] unionens institutioner, byråer och organ, med undantag för bestämmelser om ansvar för olaga databehandling.

(57)      Det kan för den berörda personen vara oklart om skada till följd av olaga databehandling är en konsekvens av åtgärder som vidtagits av Europol eller av en medlemsstat. Europol och den medlemsstat där skadan uppkom bör därför vara solidariskt ansvariga.

…

(65)      Europol behandlar uppgifter som behöver särskilt skydd, eftersom de inbegriper känsliga icke-säkerhetsskyddsklassificerade och säkerhetsskyddsklassificerade EU-uppgifter. Europol bör därför utarbeta regler om konfidentialitet och behandling av sådana uppgifter. Reglerna för skydd av säkerhetsskyddsklassificerade EU-uppgifter bör överensstämma med rådets beslut 2013/488/EU [av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (EUT L 274, 2013, s. 1)].”

3        I artikel 2 i denna förordning, med rubriken ”Definitioner”, föreskrivs följande:

”I denna förordning gäller följande definitioner:

…

h)      personuppgifter: upplysning som avser den registrerade.

i)      den registrerade: en identifierad eller identifierbar fysisk person, där en identifierbar person är en person som kan identifieras, direkt eller indirekt, särskilt genom hänvisning till en identifierare som namn, identifikationsnummer, lokaliseringsuppgift eller onlineidentifikator, eller till en eller flera faktorer som är specifika för den personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

…

k)      behandling: en åtgärd, eller serie av åtgärder, som vidtas med personuppgifter, eller uppsamlingar av personuppgifter, oberoende av om de utförs automatiserat eller ej, till exempel insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, hämtning, läsning, användning, utlämning genom överföring, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, begränsning, utplåning eller förstöring.

…”

4        I artikel 3 i nämnda förordning, med rubriken ”Mål”, föreskrivs följande i punkt 1:

”Europol ska stödja och stärka medlemsstaternas behöriga myndigheters insatser och ömsesidiga samarbete för att förebygga och bekämpa allvarlig brottslighet som berör två eller flera medlemsstater, terrorism och former av brottslighet som påverkar ett gemensamt intresse som omfattas av unionens politik …”

5        Artikel 17 i samma förordning har rubriken ”Källor”. I punkt 1 i den artikeln föreskrivs följande:

”Europol får endast behandla uppgifter som har erhållits från

a)      medlemsstaterna i enlighet med deras nationella rätt och artikel 7,

…”

6        Artikel 18 i förordning 2016/794, med rubriken ”Syftet med behandlingen av uppgifter” har följande lydelse i punkt 1:

”I den mån det är nödvändigt för att uppnå målen i artikel 3 får Europol behandla information, inbegripet personuppgifter.”

7        Artikel 28 i förordningen, med rubriken ”Allmänna principer för dataskydd”, har följande lydelse i punkt 1:

”Personuppgifter ska

a)      behandlas på ett korrekt och lagenligt sätt,

b)      samlas in för särskilda, uttryckligt angivna och berättigade syften och inte vidarebehandlas på ett sätt som är oförenligt med detta syfte; …

…

f)      behandlas på ett sätt som garanterar vederbörlig säkerhet för personuppgifter.”

8        I artikel 32 i denna förordning, med rubriken ”Säkerhet vid behandling”, föreskrivs följande:

”Europol ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från oavsiktlig eller olaglig utplåning, oavsiktlig förlust eller otillåtet utlämnande, otillåtna ändringar, otillåten åtkomst och varje annat slag av otillåten behandling.”

9        Artikel 38 i samma förordning har rubriken ”Ansvar för skyddet av uppgifter”. I punkterna 4, 5 och 7 i den artikeln föreskrivs följande:

”…

4.      Europol ska vara ansvarig för efterlevnaden av de principer som avses i artikel 28.1 a, b, … och f.

5.      Ansvaret för att överföringen av uppgifterna är lagenlig ska ligga hos

a)      den medlemsstat som lämnade personuppgifterna till Europol,

b)      Europol, när personuppgifter lämnas ut av Europol till medlemsstater, …

…

7.      Europol ska vara ansvarig för all behandling av uppgifter som utförs av Europol, …”

10      I artikel 49 i denna förordning, med rubriken ”Allmänna bestämmelser om ansvar och rätt till ersättning”, stadgas följande i punkt 3:

”Utan att det påverkar tillämpningen av artikel 49, gäller i fråga om utomobligatoriskt ansvar att Europol ska ersätta skada som dess avdelningar eller dess personal orsakar under tjänsteutövning, i enlighet med de allmänna principer som är gemensamma för medlemsstaternas rättsordningar.”

11      I artikel 50 i förordningen, med rubriken ”Ansvar för felaktig behandling av personuppgifter och rätt till ersättning”, föreskrivs följande:

”1.      Var och en som åsamkats skada på grund av otillåten behandling av personuppgifter har rätt till ersättning för den skada som åsamkats, antingen från Europol i enlighet med artikel 340 [FEUF] eller från den medlemsstat där den händelse som förorsakade skadan inträffade, i enlighet med dess nationella rätt. Den enskilde ska väcka talan mot Europol vid Europeiska unionens domstol eller mot en medlemsstat vid en behörig domstol i den medlemsstaten.

2.      Alla tvister mellan Europol och medlemsstater om det slutliga ansvaret för ersättning som har beviljats enskilda i enlighet med punkt 1 ska hänskjutas till styrelsen, som ska besluta med två tredjedelars majoritet av sina ledamöter, utan att detta påverkar rätten att angripa det beslutet i enlighet med artikel 263 [FEUF].”

 Bakgrund till tvisten

12      Bakgrunden till tvisten, som beskrivs i punkterna 1–16 i den överklagade domen, kan med avseende på förevarande mål sammanfattas enligt följande.

13      Inom ramen för en utredning som genomfördes av de slovakiska myndigheterna efter mordet på en journalist och hans fästmö i Slovakien i februari 2018 gav Europol, på begäran av Národná kriminálna agentúra (Nationella myndigheten för brottsbekämpning, Slovakien) (nedan kallad NAKA), dessa myndigheter sitt stöd genom att hämta uppgifter som fanns lagrade dels på två mobiltelefoner som tillhörde klaganden (nedan kallade de aktuella mobiltelefonerna) och som NAKA överlämnade till myndigheterna den 10 oktober 2018, dels på ett USB-minne.

14      Den 21 juni 2019 översände Europol, till NAKA, de slutliga vetenskapliga rapporterna rörande de uppgifter som hämtats ur mobiltelefonerna.

15      Enligt Europol föregicks detta översändande av att Europol, den 23 oktober 2018, överlämnade en hårddisk till NAKA, som innehöll krypterade uppgifter från bland annat dessa mobiltelefoner, och att Europol, den 13 februari 2019 överlämnade dessa mobiltelefoner till NAKA.

16      Som bevis för dessa överlämnanden tillhandahöll Europol en kopia av ett protokoll med NAKA:s officiella brevhuvud, daterat den 23 oktober 2018, i vilket referensnummer PPZ-203/NKA-PZ-ZA-2018 angavs och som undertecknats av chefen för utredningsgruppen, A. Europol överlämnade också en kopia av ett formulär för mottagande/överlämnande av bevis, daterat den 13 februari 2019, med samma referens, i vilket bland annat de aktuella mobiltelefonerna räknades upp, och vilket var undertecknat av såväl uppgiftslämnaren som mottagaren av bevisningen.

17      Protokollet av den 23 oktober 2018 hade följande lydelse:

”Denna dag, klockan 1:30, tog jag emot en svart extern HDD-skiva innehållandes de preliminära resultaten av Europols utredning, som hämtats in genom beslut av den 8 oktober 2018 och den 10 oktober 2018. Nämnda hårddisk levererades personligen av en anställd vid Europol, B, från Europols säte i Haag [Nederländerna].

Skivan i fråga innehåller preliminära resultat i form av insamling av minne och inhämtning av bevis 1Z (endast SIM-kort), 2Z, 3Z, 4Z (endast SIM-kort), 5Z, 6Z, 7Z, 8Z, 1K och 2K.

Innehållet i HDD-skivan skyddas av ett lösenord som jag har fått del av.”

18      När det gäller USB-minnet begärde NAKA den 17 oktober 2018 bistånd av Europol för att bland annat undersöka de uppgifter som fanns därpå.

19      I Europols rapport av den 13 januari 2019 (nedan kallad Europolrapporten), som översändes till NAKA den 14 februari 2019, anges under rubriken ”Bakgrund” att ”[klaganden] sedan den 20 juni 2018 är frihetsberövad på grund av misstanke om ekonomiskt brott. Hans namn är bland annat direkt kopplat till ’de så kallade maffialistorna’ och till ’Panama Papers’.”

20      Den 1 april 2019 använde det slovakiska rättsvårdande myndigheterna uppgifterna i de aktuella mobiltelefonerna inom ramen för ett straffrättsligt förfarande mot klaganden. På samma sätt framgår det av ett protokoll från den slovakiska polismyndigheten av den 18 juni 2019 att dessa myndigheter gjorde en fullständig analys av uppgifterna i dessa telefoner.

21      I en rad olika tidningsartiklar och på flera webbplatser, däribland ett internationellt nätverk av undersökande journalister, återgavs dessutom en mycket stor mängd uppgifter om klaganden från bland annat de aktuella mobiltelefonerna, varpå dessa uppgifter gjordes tillgängliga för allmänheten. Bland annat den 20 och den 29 maj 2019 ska flera artiklar i pressen ha hänvisat till uppgifter härrörandes från dessa telefoner. På samma sätt offentliggjorde en webbplats den 19 maj 2020 ett urval av handlingar rörande klaganden, bland annat transkriptioner av intima samtal som förts mellan klaganden och hans flickvän genom en krypterad meddelandetjänst och som fanns i dessa telefoner. Detta urval användes av den slovakiska pressen den 21 maj 2020.

22      Genom skrivelse av den 4 maj 2020 begärde klaganden, med stöd av artikel 50.1 i förordning 2016/794, att Europol skulle betala 100 000 euro i ersättning för den ideella skada som han ansåg sig ha lidit på grund av två åsidosättanden av hans rätt till respekt för sitt privatliv och familjeliv. Denna skada följer för det första av att personuppgifter publicerats i pressen och på internet, särskilt offentliggörandet av transkriptioner av hans intima och sexuella meddelanden. För det andra har skada uppkommit av att hans namn upptagits i de så kallade maffialistorna, vilket ska ha skett på grund av Europolrapporten, eftersom pressen återgivit denna efter att handlingar i det nationella straffrättsliga förfarandet avseende mordet på journalisten och hans fästmö hade läckt, vilket avses i punkt 13 i förevarande dom, en akt som innehöll denna rapport.

23      Efter de slovakiska myndigheterna utredning, som nämns i punkt 13 ovan, åtalades klaganden för medhjälp till mordet, i egenskap av anstiftare.

24      Den 3 september 2020 frikändes klaganden av den behöriga slovakiska domstolen. Den 15 juni 2021 upphävde Najvyšší súd Slovenskej republiky (Republiken Slovakiens högsta domstol) domen i första instans och återförvisade målet till domstolen i första instans.

 Förfarandet vid tribunalen och den överklagade domen

25      Genom handling som inkom till tribunalens kansli den 18 augusti 2020 väckte klaganden talan med stöd av artiklarna 268 FEUF och 340 FEUF samt artikel 50.1 i Europolförordningen och yrkade ersättning för den ideella skada som han ansåg sig ha lidit till följd av Europols handlande. Inom ramen för det första yrkandet yrkade han ersättning med 50 000 euro för den skada som han påstod sig ha lidit till följd av utlämnandet av personuppgifter från de aktuella mobiltelefonerna. Dessa uppgifter hade därefter publicerats på internet och återpublicerats av slovakisk press. Nämnda utlämnande av personuppgifter hade skadat hans heder och yrkesmässiga anseende, rätten till respekt för privatlivet och familjelivet samt rätten till respekt för hans kommunikationer, vilka garanteras i artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan). Inom ramen för det andra yrkandet begärde klaganden ersättning med samma belopp för den skada han hade lidit till följd av Europols upptagande av hans namn i de så kallade maffialistorna.

26      I den överklagade domen fann tribunalen, efter att ha prövat Europols invändningar om rättegångshinder avseende klagandens första yrkande, att detta yrkande endast kunde tas upp till prövning i den del klaganden hade åberopat en ideell skada till följd av Europols påstådda utlämnande av transkriptioner av intima och sexuella samtal mellan honom och hans flickvän, uppgifter som hämtats ur de aktuella mobiltelefonerna. När det gäller omfattningen av den påstådda skadan fann tribunalen att även om klaganden anklagat Europol för att ha lämnat ut en betydande mängd personuppgifter från dessa telefoner, var det endast utlämnandet av dessa transkriberingar som stöddes av skriftlig bevisning, till skillnad från det påstådda utlämnandet av fotografier av ”ytterst konfidentiell natur”, varav vissa visade flickvännen avklädd.

27      I sak ogillade tribunalen därefter det första och på detta sätt avgränsade yrkandet. För det första fann tribunalen, i punkterna 58–91 i den överklagade domen, att klaganden inte hade anfört ”tillräcklig bevisning för ett orsakssamband” mellan den påstådda skadan och ett eventuellt handlande från Europols sida. Klaganden hade till exempel inte visat att utlämnandet av uppgifterna från de aktuella mobiltelefonerna eller av transkriptionerna från de samtal som utbytts mellan klaganden och hans flickvän kunde tillskrivas Europol.

28      För det andra fann tribunalen, i punkterna 92–95 i den överklagade domen, att denna slutsats, att Europol inte kunde hållas ansvarig för utlämnandet av de aktuella uppgifterna, inte påverkades av vare sig skäl 57, artikel 49.3 eller artikel 50 i förordning 2016/794, vilka åberopats av klaganden.

29      I detta avseende slog tribunalen, i punkterna 93–95 i den överklagade domen fast att artiklarna 49.3 och 50.1 i förordning 2016/794 endast preciserar att Europol, i fråga om utomobligatoriskt ansvar och i synnerhet ansvar till följd av otillåten behandling av personuppgifter, ska ersätta skada som dess avdelningar eller dess personal orsakar under tjänsteutövning, i enlighet med villkoren i artikel 340 FEUF. Enligt tribunalen var dessa villkor emellertid inte uppfyllda i förevarande fall. Vidare erinrade tribunalen om att även om det i skäl 57 i förordning 2016/794 i huvudsak anges att Europol och den medlemsstat där skadan uppkommit till följd av olaga databehandling som utförts av någon av dem, är solidariskt ansvariga för denna skada. Likväl konstaterade tribunalen att denna mekanism för solidariskt ansvar varken kommer till uttryck eller har sin grund i bestämmelserna i denna förordning. Tribunalen underströk dessutom att ingressen till en unionsrättsakt inte är juridiskt bindande och således inte kan åberopas till stöd för undantag från bestämmelserna i den aktuella rättsakten. Tribunalen fann således att ”skäl 57 i förordning 2016/794 inte kan ligga till grund för att lägga ett solidariskt ansvar på Europol i förevarande fall”.

30      Tribunalen ogillade följaktligen det första yrkandet och fann att det inte var nödvändigt att pröva huruvida de övriga villkoren för unionens utomobligatoriska ansvar var uppfyllda.

31      Vad gäller det andra yrkandet, avseende ersättning för den skada som klaganden påstod sig ha lidit till följd av att Europol hade tagit upp hans namn i de så kallade maffialistorna, konstaterade tribunalen, i punkterna 102 och 105 i den överklagade domen, att det inte hade visats att dessa listor hade utarbetats och vidmakthållits av en unionsinstitution, i den mening som avses i artikel 340 andra stycket FEUF, och i synnerhet av Europol. Denna slutsats befanns inte heller påverkas av vare sig skäl 57, artikel 49.3 eller artikel 50 i förordning 2016/794, och detta av samma skäl som de som anges i punkterna 92–95 i den överklagade domen och som sammanfattas i punkt 29 ovan.

32      Tribunalen preciserade dessutom, i punkterna 106–109 i den överklagade domen, att det andra yrkandet ”ska förstås så, att Europol anklagas för att ha gett upphov till utvecklingen av den slovakiska pressens beskrivning av klaganden, eftersom han inte längre presenterats som en ’kontroversiell entreprenör’ utan numera som ’mafioso’ eller som ’en person som finns upptagen på maffialistorna’”, men att även detta yrkande var ogrundat. Tribunalen fann i detta avseende bland annat att klaganden inte hade lagt fram några bevis för att de uppgifter som publicerats i den slovakiska pressen hade sitt ursprung i Europolrapporten, och inte heller styrkt ett orsakssamband mellan läckan av denna rapport och den omständigheten att den slovakiska pressen, sedan början av år 2019, hade ändrat sitt sätt att presentera klaganden. Mot detta påstådda tidsmässiga sammanträffande talar den bevisning som lagts fram av såväl klaganden som Europol, och av vilken det framgår att den slovakiska pressen, redan långt före början av år 2019, vid enstaka tillfällen presenterat klaganden som en mafioso. Denna omständighet utesluter att detta sätt att presentera klaganden har sitt ursprung i läckan av de nationella brottmålshandlingarna avseende klaganden, vilka innehöll nämnda Europolrapport.

33      Tribunalen ogillade följaktligen det andra yrkandet och talan i dess helhet.

 Förfarandet vid domstolen och parternas yrkanden

34      Genom ansökan som inkom till domstolens kansli den 8 december 2021 har klaganden överklagat den ovannämnda domen.

35      Klaganden har yrkat att domstolen ska

–        upphäva den överklagade domen,

–        återförvisa målet till tribunalen, och

–        besluta om att beslutet om rättegångskostnaderna ska fattas i det nationella målet.

36      Europol har yrkat att domstolen ska

–        ogilla överklagandet, och

–        förplikta klaganden att ersätta rättegångskostnaderna.

37      Genom beslut av domstolens ordförande av den 1 april 2022 tilläts Republiken Slovakien att intervenera till stöd för Europols yrkanden.

 Prövning av överklagandet

38      Klaganden har anfört sex grunder till stöd för sitt överklagande. Den första, den tredje och den fjärde grunden avser ogillandet av det första yrkandet, vilket avser ersättning för den ideella skada som klaganden påstår sig ha lidit till följd av utlämnandet till allmänheten av personuppgifter härrörande från de aktuella mobiltelefonerna. Den femte och den sjätte grunden avser ogillandet av det andra yrkandet, vilket avser ersättning för den ideella skada som han lidit till följd av upptagandet av hans namn i de så kallade maffialistorna.

 Huruvida den första och den femte grunden kan tas upp till prövning

 Parternas argument

39      Europol har gjort gällande att den första och den femte grunden, avseende att tribunalen har gjort sig skyldig till felaktig rättstillämpning genom att utesluta Europols och den berörda medlemsstatens solidariska ansvar för den skada som orsakats av en olaga databehandling, inte kan tas upp till prövning, eftersom de avser en grund som klaganden åberopat för sent vid tribunalen, det vill säga i samband med repliken. Tribunalen borde ex officio ha avvisat denna grund.

40      Klaganden har yrkat att denna invändning om rättegångshinder ska ogillas.

 Domstolens bedömning

41      Det följer av artikel 84.1 och 84.2 i tribunalens rättegångsregler att grunder som åberopas för första gången i repliken ska avvisas såvida de inte föranleds av rättsliga eller faktiska omständigheter som framkommit först under förfarandet. Domstolen har emellertid redan slagit fast att en grund eller ett argument som utgör en utvidgning av en grund som tidigare åberopats i ansökan kan tas upp till prövning (se, för ett liknande resonemang, dom av den 26 april 2007, Alcon/harmoniseringskontoret, C‑412/05 P, EU:C:2007:252, punkterna 38–40 och där angiven rättspraxis). En sådan grund kan således inte avvisas på grund av att den åberopats för sent.

42      I förevarande fall har klaganden, i punkt 58 i sin ansökan till tribunalen, gjort gällande att Europol, enligt det solidariska ansvar som föreskrivs i artiklarna 49.3 och 50 i förordning 2016/794, och med beaktande av skäl 57 i denna förordning, ska hållas ansvarig för den skada som klaganden har lidit även om de skadebringande handlingarna har begåtts tillsammans med de slovakiska myndigheterna. I punkt 24 i repliken utvecklade klaganden detta argument och gjorde gällande att Europol, enligt dessa bestämmelser och särskilt mot bakgrund av nämnda skäl, under alla omständigheter var solidariskt ansvarig tillsammans med den berörda medlemsstaten för den skada som orsakats av en olaga databehandling.

43      Därmed åberopade klaganden i sin ansökan uttryckligen att det finns en mekanism för Europols solidariska ansvar enligt artiklarna 49 och 50 i förordning 2016/794, jämförda med skäl 57 i samma förordning, vilket innebär att tribunalen gjorde en riktig bedömning när den genom nämnda ansökan fann sig behörig att pröva frågan om detta solidariska ansvar inom ramen för förevarande mål. Punkt 24 i repliken ska således anses utgöra en utvidgning av de argument som anförts i ansökan i detta avseende.

44      Under dessa omständigheter gjorde tribunalen en riktig bedömning när den valde att pröva de bestämmelser och det skäl som klaganden åberopat inom ramen för denna argumentation.

45      Europols invändning om rättegångshinder ska följaktligen ogillas.

 Den första grunden

 Parternas argument

46      Klaganden har genom sin första grund gjort gällande att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den, i punkterna 94 och 95 i den överklagade domen, beslutade att inte beakta skäl 57 i förordning 2016/794 vid fastställandet av Europols ansvar enligt artikel 50.1 i förordningen, med motiveringen att ingressen till en förordning inte är rättsligt bindande. Följden av detta blev att tribunalen felaktigt ogillade det första yrkandet genom att slå fast att detta skäl inte kan ge upphov till ett solidariskt ansvar för Europol, på grund av den byråns eller den berörda medlemsstatens olaga databehandling.

47      Klaganden har i detta avseende gjort gällande att tribunalen fann att skadan skulle bäras av den som kunde tillskrivas ansvar för den, det vill säga antingen Europol eller den berörda medlemsstaten, trots att det av artikel 49.3 och artikel 50 i förordning 2016/794, jämförda med skäl 57 i förordningen och de mål som eftersträvas med förordningen, framgår att förordningen föreskriver ett solidariskt ansvar för Europol och den medlemsstat där skadan, som uppkommit genom Europols och denna medlemsstats otillåtna behandling av personuppgifter, uppkom.

48      Europol, som stöds av Republiken Slovakien, har gjort gällande att överklagandet inte kan vinna bifall såvitt avser den första grunden.

49      Denna byrå har gjort gällande att unionens skadeståndsansvar enligt artikel 340 FEUF förutsätter att flera villkor är uppfyllda, däribland att det handlande som läggs den berörda unionsinstitutionen till last är rättsstridigt. Europol har även gjort gällande att unionen, för det fall att en av dess institutioner inte har agerat rättsstridigt, inte kan ådra sig skadeståndsansvar och att de skador som orsakats av medlemsstaterna inte kan medföra ett sådant ansvar. I de fall där unionens och medlemsstaternas myndigheter samarbetar har domstolen bland annat preciserat att unionsdomstolen, vid skada som orsakats gemensamt av både unionen och en medlemsstat, endast kan pröva skadan efter det att den nationella domstolen har fattat ett beslut i frågan. Unionens och den berörda medlemsstatens solidariska ansvar när båda agerar gemensamt erkänns i princip inte inom ramen för artikel 340 andra stycket FEUF, utan kräver en uttrycklig hänvisning härtill från unionslagstiftarens sida.

50      Artikel 50 i förordning 2016/794 är inte heller tillämplig på den databehandling som är i fråga i det aktuella fallet, eftersom den bestämmelsen uteslutande är tillämplig på databehandling som Europol utför inom ramen för dess verksamhet och uppgifter. Eftersom de påstådda händelser som förorsakade skadan inträffade i samband med att den nationella utredningsakten sparades, utgör de inte ”otillåtna behandlingar av personuppgifter”, i den mening som avses i denna artikel, och som omfattas av förordningens tillämpningsområde.

51      I artikel 50.1 i förordning 2016/794 föreskrivs inte heller uttryckligen något solidariskt ansvar för Europol och den berörda medlemsstaten. Enligt denna bestämmelse är Europol nämligen endast ansvarig ”i enlighet med artikel 340 [FEUF]”, vilket innebär att detta ansvar endast kan göras gällande om de tre villkor som följer av denna bestämmelse är uppfyllda. Även om ovannämnda artikel 50.1 skulle vara tillämplig i förevarande fall, kan Europol följaktligen inte ådra sig ansvar om det inte föreligger något rättsstridigt handlande från Europols sida och om det inte finns något orsakssamband mellan ett sådant handlande och den skada som lidits. Unionen kan inte heller vara skyldig att ersätta skada som uppkommit till följd av en medlemsstats handlande enligt nämnda artikel 50.1, eftersom denna bestämmelse endast är tillämplig på skador som orsakats gemensamt av unionen och av en medlemsstat, vilket bekräftas av lydelsen i artikel 50.2 i förordningen.

52      Enligt Europol går det inte att av skäl 57 i förordning 2016/794 dra slutsatsen att det skulle förhålla sig annorlunda. Begreppet ”solidariskt ansvar” i detta skäl förutsätter att fler än en enhet är ansvarig för samma skada och inte att Europol, i avsaknad av rättsstridigt agerande, kan hållas ensamt ansvarig för en medlemsstats handlande. Klagandens tolkning av nämnda skäl står i strid med förordningens räckvidd och ordalydelsen i artikel 50 i densamma. Eftersom ingressen till en unionsrättsakt inte är juridiskt bindande kan den inte åberopas för att avvika från en bestämmelses klara ordalydelse.

 Domstolens bedömning

53      Det ska inledningsvis prövas huruvida artikel 50.1 i förordning 2016/794 innebär att det införs ett system med solidariskt ansvar för Europol och den berörda medlemsstaten vid otillåten behandling av uppgifter. Om så är fallet, ska det därefter fastställas under vilka förutsättningar detta ansvar ska aktualiseras.

–       Vilken typ av ansvarssystem som följer av artikel 50.1 i förordning 2016/794

54      Vid tolkningen av artikel 50.1 i förordning 2016/794, särskilt för att fastställa vilken typ av ansvarssystem som föreskrivs däri, ska enligt domstolens fasta praxis inte bara lydelsen beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (se, för ett liknande resonemang, dom av den 3 juni 2021, TEAM POWER EUROPE, C‑784/19, EU:C:2021:427, punkt 43 och där angiven rättspraxis).

55      I artikel 50.1 i förordning 2016/794 anges att den som åsamkats skada på grund av otillåten behandling av personuppgifter har rätt till ersättning för den skada som åsamkats ”antingen från Europol … eller från den medlemsstat där den händelse som förorsakade skadan inträffade …”. Såsom generaladvokaten har påpekat i punkt 38 i sitt förslag till avgörande är denna lydelse inte entydig när det gäller vilken typ av ansvar som avses. De kan nämligen betyda att den skadelidande fysiska personen måste vända sig antingen till Europol vid skada som helt eller delvis kan tillskrivas denna byrå, eller till den berörda medlemsstaten vid skada som helt eller delvis kan tillskrivas den medlemsstaten. Nämnda ordalydelse kan även tolkas så, att den skadelidande utan åtskillnad kan vända sig till var och en av dessa enheter – det vill säga till antingen Europol eller den berörda medlemsstaten – för att erhålla ersättning för hela den skada som åsamkats på grund av en otillåten behandling av personuppgifter som skett inom ramen för ett samarbete mellan Europol och denna medlemsstat. Detta utesluter emellertid inte att det i denna bestämmelse fastställs ett solidariskt ansvar för dessa enheter i detta avseende.

56      Det ska således prövas huruvida denna bestämmelse, mot bakgrund av det mål som eftersträvas med artikel 50.1 i förordning 2016/794 och det sammanhang i vilket den ingår, ger upphov till ett system med solidariskt ansvar för Europol och den berörda medlemsstaten för skada som orsakats av en otillåten behandling av uppgifter som skett inom ramen för ett samarbete mellan Europol och denna medlemsstat i enlighet med denna förordning.

57      I skäl 57 i förordning 2016/794, där detta syfte kommer till uttryck anges följande: ”Det kan för den berörda personen vara oklart om skada till följd av olaga databehandling är en konsekvens av åtgärder som vidtagits av Europol eller av en medlemsstat. Europol och den medlemsstat där skadan uppkom bör därför vara solidariskt ansvariga.”

58      Av detta följer att unionslagstiftaren, med beaktande av en situation i vilken en fysisk person som åsamkats skada på grund av en otillåten behandling av personuppgifter inte kan avgöra huruvida skadan åsamkats av Europol eller av en medlemsstat med vilken Europol har samarbetat, har infört ett system med solidariskt ansvar mellan Europol och den medlemsstat där skadan uppkom, i syfte att säkerställa ett fullständigt skydd för denna fysiska person för det fall vederbörande befinner sig i en sådan situation.

59      Det ska i detta sammanhang erinras om att ett skäl i en unionsakt, även om det inte är rättsligt bindande, har ett viktigt tolkningsvärde, eftersom det kan precisera innehållet i en bestämmelse i den berörda akten och klargöra avsikten hos den som har antagit rättsakten (se, för ett liknande resonemang, dom av den 13 juli 2023, kommissionen/CK Telecoms UK Investments, C‑376/20 P, EU:C:2023:561, punkterna 104 och 105 och där angiven rättspraxis).

60      Skälen i en unionsrättsakt kan inte åberopas till stöd för undantag från bestämmelserna i den aktuella rättsakten eller till stöd för en tolkning av dessa bestämmelser som uppenbart strider mot deras ordalydelse (se, för ett liknande resonemang, dom av den 19 juni 2014, Karen Millen Fashions, C‑345/13, EU:C:2014:2013, punkt 31 och där angiven rättspraxis, och dom av den 16 februari 2022, Ungern/parlamentet och rådet, C‑156/21, EU:C:2022:97, punkt 191).

61      I förevarande fall strider emellertid skäl 57 i förordning 2016/794 inte på något sätt mot ordalydelsen i artikel 50.1 i denna förordning. Såsom har påpekats i punkt 55 i förevarande dom talar denna formulering bland annat för en tolkning enligt vilken det genom denna bestämmelse inrättas ett system med solidariskt ansvar för Europol och den berörda medlemsstaten till förmån för en fysisk person som lidit skada på grund av en otillåten behandling av personuppgifter som har företagits inom ramen för ett samarbete dem emellan.

62      Det framgår av dessa omständigheter att det i artikel 50.1 i förordning 2016/794, jämförd med skäl 57 i samma förordning, i enlighet med unionslagstiftarens vilja att gynna den skadelidande fysiska personen, inrättas ett system med solidariskt ansvar för Europol och den berörda medlemsstaten för den skada som åsamkats av en sådan behandling.

63      Denna tolkning stöds av det sammanhang i vilket denna bestämmelse ingår, särskilt artikel 49 och artikel 50.2 i förordning 2016/794.

64      För det första fastställer artikel 49 i förordning 2016/794 nämligen, enligt rubriken, allmänna bestämmelser om ansvar och rätt till ersättning. Däremot framgår det av rubriken till artikel 50 i förordningen att denna artikel specifikt avser ansvar för felaktig behandling av personuppgifter och den rätt till ersättning som följer härav. Att nämnda artikel 50 utgör ett undantag från de allmänna principerna för unionens utomobligatoriska skadeståndsansvar, understryks särskilt genom artikel 49.3 i förordningen, jämförd med skäl 56 i samma förordning.

65      Enligt sistnämnda bestämmelse ska Europol, i fråga om utomobligatoriskt ansvar, ersätta skada som dess avdelningar eller dess personal orsakar under tjänsteutövning, i enlighet med de allmänna principer som är gemensamma för medlemsstaternas rättsordningar. Denna regel ska emellertid gälla ”utan att det påverkar tillämpningen av artikel 49” i förordning 2016/794.

66      I detta avseende bör det noteras att hänvisningen till ”artikel 49” i lydelsen av artikel 49.3 i förordningen är ett uppenbart redaktionellt fel. Denna hänvisning skulle nämligen vara meningslös om den hänvisade till samma artikel som den ingår i. Eftersom det i artikel 50 i samma förordning föreskrivs en undantagsordning i förhållande till de allmänna principerna för unionens utomobligatoriska skadeståndsansvar som avses i nämnda artikel 49.3, ska sistnämnda bestämmelse, vad gäller den inledande delen, som innehåller orden ”utan att det påverkar”, förstås så, att den avser artikel 50.

67      Skäl 56 i förordning 2016/794 ger stöd för den tolkning som redovisats i föregående punkt genom att det däri anges att ”Europol bör omfattas av allmänna bestämmelser om inom- och utomobligatoriskt ansvar som är tillämpliga på unionens institutioner, byråer och organ, med undantag för bestämmelser om ansvar för olaga databehandling”.

68      Av detta följer att artikel 50 i förordning 2016/794 har som syfte att inrätta ett särskilt system för utomobligatoriskt ansvar när det gäller otillåten behandling av personuppgifter. Detta särskilda system utgör ett undantag från det allmänna ansvarssystemet i denna förordning.

69      För det andra framgår det av artikel 50.2 i förordning 2016/794 att prövningen vid Europeiska unionens domstol eller vid behörig nationell domstol avseende Europols eller den berörda medlemsstatens ansvar för otillåten behandling av personuppgifter inom ramen för ett samarbete dem emellan endast utgör det första av de två stegen i den ansvarsmekanism som föreskrivs i artikel 50 i denna förordning. Enligt artikel 50.2 i förordningen består det andra steget i denna mekanism av att fastställa Europols och/eller den berörda medlemsstatens ”slutliga ansvar” för ersättning som har beviljats enskilda i enlighet med artikel 50.1 i förordningen. Tvister mellan Europol och medlemsstaterna kan i detta avseende hänskjutas till Europols styrelse, utan att detta påverkar rätten att angripa dess beslut vid Europeiska unionens domstol i enlighet med artikel 263 FEUF.

70      Den möjlighet som föreskrivs i artikel 50.2 i förordning 2016/794, att låta Europols styrelse, inom ramen för det andra steget, fastställa det ”slutliga ansvar” som åligger den enhet till vilken det rättsstridiga beteende som orsakat skadan kan hänföras, eller ens den andel av ansvaret som åligger varje enhet vid en kombination av rättsstridigt beteende, skulle emellertid sakna existensberättigande om dessa enheter inte hade ett solidariskt ansvar.

71      Mot bakgrund av det ovan anförda finner domstolen att artikel 50 i förordning 2016/794, jämförd med artikel 49.3 och skälen 56 och 57 i samma förordning, inför ett system enligt vilket Europol och den medlemsstat där skadan har uppkommit på grund av en otillåten behandling av personuppgifter inom ramen för ett samarbete dem emellan enligt nämnda förordning är solidariskt ansvariga för en sådan skada.

72      Såsom generaladvokaten har påpekat i punkt 51 i sitt förslag till avgörande är detta system med solidariskt ansvar inte främmande för unionsrätten på området för behandling av personuppgifter. I artikel 82.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) föreskrivs nämligen ett sådant ansvar för det fall att det finns flera personuppgiftsansvariga.

–       Villkor för ansvar enligt artikel 50.1 i förordning 2016/794

73      I enlighet med de villkor som följer av artikel 340 FEUF, till vilken det hänvisas i artikel 50.1 i förordning 2016/794 vad avser fall där den skadelidande väcker talan mot Europol, förutsätter unionens utomobligatoriska skadeståndsansvar enligt denna artikel 340 att flera villkor är uppfyllda, nämligen att det handlande som läggs institutionen, organet eller byrån till last är rättsstridigt, att det verkligen föreligger en skada och att det finns ett orsakssamband mellan handlandet och den åberopade skadan (se, för ett liknande resonemang, dom av den 16 december 2020, rådet/K. Chrysostomides & Co. m.fl., C‑597/18 P, C‑598/18 P, C‑603/18 P och C‑604/18 P, EU:C:2020:1028, punkterna 79 och 80 och där angiven rättspraxis).

74      I det specifika sammanhang som förordning 2016/794 ingår i framgår det av ordalydelsen i artikel 50.1 i denna förordning att en enskild person som avser att med stöd av denna bestämmelse göra gällande sin rätt till ersättning, antingen gentemot Europol eller mot den medlemsstat som han eller hon håller ansvarig, ska styrka att det föreligger en ”otillåten behandling av personuppgifter”, en ”skada” och ett orsakssamband mellan denna behandling och skadan. Mot bakgrund av det första av de villkor som angetts i föregående punkt behöver den enskilde således endast visa att en olaglig behandling av personuppgifter har ägt rum inom ramen för ett samarbete i enlighet med nämnda förordning som inbegriper Europol och en medlemsstat.

75      Såsom har påpekats i punkterna 57 och 58 ovan är syftet med artikel 50.1 i förordning 2016/794, enligt skäl 57 i samma förordning, att hantera de svårigheter som den berörda fysiska personen kan utsättas för när det gäller att avgöra om den skada som en otillåten behandling av personuppgifter har orsakat inom ramen för ett sådant samarbete är en följd av en åtgärd som vidtagits av Europol eller av den berörda medlemsstaten.

76      För att denna artikel 50.1, jämförd med skäl 57, inte ska förlora sin ändamålsenliga verkan, kan det inte krävas att denna person visar vem som kan tillskrivas denna skada, Europol eller den berörda medlemsstaten, eller att denna person väcker talan mot båda dessa organ i syfte att erhålla full ersättning för sin skada.

77      I detta sistnämnda avseende påpekar domstolen att det i artikel 50.1 i förordning 2016/794 inte föreskrivs att den berörda enskilda personen kan väcka talan mot de två enheter som eventuellt är ansvariga för den otillåtna behandlingen av personuppgifter vid samma domstol, eftersom denna bestämmelse ålägger den enskilde att väcka talan mot Europol vid Europeiska unionens domstol eller mot en medlemsstat vid en behörig domstol i den medlemsstaten.

78      Även om den berörda medlemsstaten och Europol har möjlighet att intervenera vid tribunalen eller vid en domstol i denna medlemsstat, kan det inte uteslutas att den enskilde är tvungen att väcka talan i frånvaro av någon av dessa enheter. Vidare, om båda dessa enheter är närvarande i förfarandet vid den domstol där talan har väckts, framgår det av föregående punkt att endast en av dem kan hållas ansvarig inom ramen för det pågående förfarandet, vilket skulle kunna inverka på fastställandet av de faktiska omständigheterna. Slutligen skulle en talan som den berörda personen väckt mot Europol vid tribunalen respektive mot den berörda medlemsstaten vid domstolarna i den medlemsstaten kunna leda till att båda dessa domstolar finner att varken Europol eller medlemsstaten är ansvarig, eftersom den berörda personen inte har styrkt att den påstådda skadan kan tillskrivas dem.

79      Det är just för att beakta dessa bevissvårigheter som unionslagstiftaren i artikel 50 i förordning 2016/794 har föreskrivit en ansvarsmekanism i två steg för ersättning för skada som orsakats av en otillåten behandling av personuppgifter. För det första befriar unionslagstiftaren den berörda fysiska personen från skyldigheten att styrka identiteten på den enhet vars handling har orsakat den påstådda skadan, och för det andra ska det ”slutliga ansvaret” för denna skada i förekommande fall avgöras slutligt i ett förfarande inför Europols styrelse, där endast Europol och den berörda medlemsstaten är involverade.

80      Av detta följer att artikel 50.1 i förordning 2016/794, jämförd med skäl 57 i samma förordning, ska tolkas så, att den inte ålägger den berörda fysiska person som har bevisat att det förekommit en otillåten behandling av personuppgifter inom ramen för ett samarbete mellan Europol och en medlemsstat i enlighet med nämnda förordning, att identifiera vilken av dessa enheter, inblandade i detta samarbete, som kan tillskrivas den otillåtna behandlingen.

81      För att Europol eller den berörda medlemsstaten ska ådra sig solidariskt ansvar och för att den berörda fysiska personen ska kunna få full ersättning för sin skada, antingen vid unionsdomstolen eller vid en nationell domstol, enligt artikel 50.1 i förordning 2016/794, räcker det att denna person visar att det i samband med ett samarbete mellan Europol och den berörda medlemsstaten, i enlighet med denna förordning, har skett en otillåten behandling av personuppgifter som åsamkat vederbörande skada. Det krävs alltså inte att vederbörande därutöver visar vilken av dessa enheter som kan tillskrivas denna otillåtna behandling.

82      Det står emellertid den svarande enheten fritt att med alla tillgängliga rättsliga medel visa att det är uteslutet att den påstådda skadan har samband med en påstådd otillåten behandling av personuppgifter som skett inom ramen för ett sådant samarbete. Så skulle till exempel vara fallet om nämnda enhet visade att skadan har sitt ursprung i omständigheter som inträffade före samarbetet enligt förordning 2016/794.

83      Av det ovan anförda följer att tribunalen gjorde sig skyldig till felaktig rättstillämpning, dels genom att i punkt 91 i den överklagade domen ogilla klagandens första yrkande med motiveringen att han inte hade styrkt att Europol var ansvarig för utlämnandet av hans personuppgifter och således ”inte hade anfört tillräcklig bevisning för ett orsakssamband mellan den [i yrkandet] påstådda skadan och ett eventuellt handlande från Europols sida”, dels genom att, i punkterna 92–95 i den överklagade domen, slå fast att detta ogillande inte påverkades av vare sig skäl 57, artikel 49.3 eller artikel 50 i förordning 2016/794. Tribunalen gjorde sig således skyldig till felaktig rättstillämpning när den, utifrån detta resonemang, fann att artikel 50.1 i förordningen, jämförd med skäl 57 i samma förordning, inte befriade den berörda fysiska personen från skyldigheten att fastställa till vilken av de två berörda enheterna den otillåtna behandlingen av personuppgifter kunde hänföras.

84      Av detta följer att överklagandet ska bifallas såvitt avser den första grunden.

85      Denna felaktiga rättstillämpning avser tribunalens ogillande av det första yrkandet i sin helhet, såsom det har avgränsats i punkt 49 i den överklagade domen, varvid denna begränsning inte har bestritts inom ramen för överklagandet.

86      Överklagandet ska följaktligen bifallas såvitt avser den första grunden och den överklagade domen ska upphävas i den del tribunalen ogillade det sålunda avgränsade första yrkandet.

 Den andra, den tredje och den fjärde grunden

87      Den första, den tredje och den fjärde grunden avser, i likhet med den första grunden, ogillandet av det första yrkandet, vilket avser ersättning för den ideella skada som klaganden påstår sig ha lidit till följd av utlämnandet till allmänheten av personuppgifter härrörande från de aktuella mobiltelefonerna.

88      Eftersom prövningen av den andra, den tredje och den fjärde grunden inte kan leda till att den överklagade domen upphävs i större utsträckning än vad som följer av att talan bifallits såvitt avser den första grunden, saknas det anledning att pröva dessa grunder.

 Den sjätte grunden

 Parternas argument

89      Den sjätte grunden, som ska prövas före den femte grunden, består av två delar och avser punkterna 102 och 106–111 i den överklagade domen.

90      Genom den sjätte grundens första del har klaganden anklagat tribunalen för att, i dessa punkter i den överklagade domen, felaktigt ha slagit fast att det inte fanns något orsakssamband mellan å ena sidan det rättsstridiga handlandet som avses inom ramen för det andra yrkandet, det vill säga att Europol tagit upp hans namn i de så kallade maffialistorna eller att Europol upprättat ett samband mellan honom och dessa listor, och å andra sidan den skada som han påstår sig ha lidit på grund av detta upptagande eller på grund av fastställandet av detta samband.

91      Till stöd för den första delgrunden har klaganden gjort gällande att Europol inte har motiverat fastställandet av ett sådant samband mellan honom och maffialistorna och att Europol, genom att fastställa detta samband, har åsidosatt proportionalitetsprincipen och överskridit sitt uppdrag att endast analysera det aktuella USB-minnet.

92      Vidare har klaganden gjort gällande att eftersom Europolrapporten ingick i den nationella brottsutredningen rörande klaganden och uppgifterna i detta ärende läckt ut, föreligger det ett orsakssamband mellan Europols rättsstridiga handlande och den skada som klaganden har lidit. Den omständigheten att denna rapport inte nämns i någon av de aktuella tidningsartiklarna, såsom tribunalen angett i punkt 107 i den överklagade domen, påverkar inte detta orsakssamband.

93      Klaganden har vidare gjort gällande att Europol är den enda som i nämnda rapport har fastställt denna koppling mellan honom och maffialistorna, trots att det varken i nationell rätt eller i unionsrätten föreskrivs någon möjlighet att upprätta och föra sådana listor. I detta avseende kan man inte ta hänsyn till slovakisk media, enligt vilka den slovakiska polisen förde maffialistor. Genom att grunda sig på allmänt tillgängliga källor vid fastställandet av detta samband har Europol dessutom åsidosatt sina skyldigheter enligt artikel 29.6 i förordning 2016/794. De omständigheterna, att det i Europolrapporten inte anges att Europol funnit uppgifterna om sambandet mellan klaganden och maffialistorna i medierna och att dessa uppgifter uttryckligen framgår av rapporten, talar enligt klaganden för att det var Europol som fastställde detta samband och att detta samband inte framgår av ”sensationspressen”.

94      Den andra delen av denna grund avser missuppfattning av bevisningen. Klaganden har gjort gällande att tribunalens konstaterande, i punkterna 108 och 109 i den överklagade domen, att det följer av de tidningsartiklar som åberopats under förfarandet vid tribunalen att klaganden betecknades som mafioso redan innan det att Europolrapporten upprättades, är felaktigt. Titeln på den tidningsartikel som publicerades den 28 februari 2012 och i vilken klaganden framställs som ”[m]afioson som inte existerar”, visar att han inte hade något samband med maffialistorna.

95      Europol och Republiken Slovakien har yrkat att överklagandet ska ogillas såvitt avser den sjätte grunden.

 Domstolens bedömning

96      Vad gäller den sjätte grundens andra del, som ska prövas först, erinrar domstolen om att det av fast rättspraxis följer att en missuppfattning av bevisningen bland annat föreligger när tribunalen uppenbart har överskridit ramarna för en skälig bedömning av dessa omständigheter. Det ska utifrån handlingarna i målet således vara uppenbart att tribunalen missuppfattat bevisningen eller omständigheterna utan att domstolen behöver göra en ny bedömning härav. I detta avseende är det således inte tillräckligt att föreslå en annan tolkning än den som tribunalen har gjort av bevisningen, för att visa att det skett en sådan missuppfattning (se, för ett liknande resonemang, dom av den 16 februari 2023, kommissionen/Italien och Spanien, C‑635/20 P, EU:C:2023:98, punkt 127 och där angiven rättspraxis).

97      I förevarande fall konstaterade tribunalen i punkt 108 i den överklagade domen att ”det tidsmässiga sammanträffande som [klaganden] har gjort gällande motsägs av den bevisning som lagts fram av såväl [klaganden] själv som Europol”. Tribunalen påpekade i samma punkt att ”[klaganden] i ansökan hänvisat till en tidningsartikel som publicerades den 28 februari 2012 och som har rubriken ’Marián Kočner. Mafioson som inte existerar’, enligt vilken företagaren Marián Kočner i de så kallade ’maffialistorna’, över maffiamedlemmar som har flytt från polisen under år 2005, figurerar under rubriken ’motordrivna fordon av intresse’”. Vidare påpekade tribunalen att ”Europol hänvisat till tidningsartiklar som publicerades den 21 juni 2005 och den 9 juli 2017 och som också de hänvisade till att [klaganden] eventuellt var inblandad i maffian”.

98      Det förefaller således som om tribunalen grundade sitt konstaterande, att klaganden hade beskrivits som en mafioso redan innan Europolrapporten upprättades, på en rad pressartiklar om klaganden och inte på den enda artikel från år 2012 som klaganden tillhandahållit och som, enligt denne, fjärmade honom från maffialistorna. Genom att förfara på detta sätt har tribunalen, i motsats till vad klaganden anser, varken överskridit gränserna för en skälig bedömning av dessa omständigheter, betraktade som en helhet, eller missuppfattat nämnda tidningsartikel som klaganden har åberopat genom att tolka den på ett sätt som är oförenligt med dess lydelse.

99      Av detta följer att överklagandet inte kan vinna bifall på den första grundens andra del.

100    Vad gäller den första delen av denna grund erinrar domstolen om att frågan huruvida det finns ett orsakssamband mellan den skadeståndsgrundande omständigheten och själva skadan, vilket är ett villkor för att unionen ska ådra sig sådant ansvar, utgör i mål som rör unionens utomobligatoriska ansvar en rättsfråga som följaktligen ska prövas av domstolen (dom av den 16 juli 2009, kommissionen/Schneider Electric, C‑440/07 P, EU:C:2009:459, punkt 192, och beslut av den 3 september 2019, FV/rådet, C‑188/19 P, EU:C:2019:690, punkt 36). Vid denna prövning får dock domstolen inte ifrågasätta hur tribunalen fastställde och bedömde de faktiska omständigheterna (se, för ett liknande resonemang, dom av den 16 juli 2009, kommissionen/Schneider Electric, C‑440/07 P, EU:C:2009:459, punkt 193).

101    Domstolen konstaterar att klaganden genom denna första delgrund i själva verket avser att ifrågasätta vissa bedömningar av de faktiska omständigheterna, som tribunalen gjorde mot bakgrund av den bevisning som lagts fram vid den. Det rör sig för det första om bedömningen i punkt 102 i den överklagade domen, enligt vilken klaganden inte hade lagt fram någon bevisning som kunde styrka att maffialistorna, i vilka hans namn hade upptagits, hade utarbetats och vidmakthållits av Europol. För det andra har klaganden även ifrågasatt tribunalens bedömning enligt vilken det inte finns något orsakssamband mellan Europols påstått rättsstridiga handlande och den påstådda skadan. Tribunalen konstaterade nämligen dels, i punkt 107 i den överklagade domen, att klaganden inte hade lagt fram något bevis för att de uppgifter som publicerats i detta avseende hade sitt ursprung i Europolrapporten, dels, i punkterna 108 och 109 i den domen, att slovakisk press, redan långt före början av år 2019, hade framställt klaganden som en mafioso. Eftersom klaganden genom denna delgrund inte har gjort gällande att bevisningen har missuppfattats, ska dessa bedömningar inte omfattas av domstolens prövning.

102    Den sjätte grundens första del kan följaktligen inte tas upp till prövning.

103    Härav följer att överklagandet inte kan vinna bifall på förevarande grund, eftersom denna grund delvis ska avvisas och delvis ska ogillas.

 Den femte grunden

104    Genom den femte grunden, som bygger på samma argument som anförts till stöd för den första grunden, har klaganden gjort gällande att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den, i punkt 105 i den överklagade domen, beslutade att inte beakta skäl 57 i förordning 2016/794 vid fastställandet av Europols ansvar, med motiveringen att ingressen till en förordning inte är rättsligt bindande. Av detta följer att tribunalen felaktigt ogillade det andra yrkandet om ersättning för den skada som klaganden anser sig ha lidit på grund av Europols påstådda upptagande av hans namn i maffialistorna. Tribunalen slog sålunda fast att det inte finns någon mekanism för solidariskt ansvar som kommer till uttryck eller har sin grund i bestämmelserna i denna förordning för det fallet att Europol eller den berörda medlemsstaten gör sig skyldiga till otillåten behandling av personuppgifter.

105    Europol, som stöds av Republiken Slovakien, har gjort gällande att överklagandet inte kan vinna bifall såvitt avser den femte grunden, och därvid åberopat samma argument som de som anges i punkterna 49–52 ovan och som framförts som svar på de argument som klaganden anfört inom ramen för den första grunden.

106    Det ska i detta hänseende påpekas att tribunalen – som ensam är behörig att fastställa och bedöma de faktiska omständigheterna och att pröva den bevisning som den åberopar till stöd för dessa – när den valde att inte godta det andra yrkandet om ersättning för den skada som klaganden anser sig ha lidit till följd av att Europol fört upp hans namn på maffialistorna, gjorde detta på grund av flera omständigheter. För det första konstaterade tribunalen, i punkt 102 i den överklagade domen, till vilken det hänvisas i den sjätte grunden för överklagandet, en grund som underkändes, att klaganden inte hade visat att maffialistorna, i vilka hans namn påstås ha upptagits, hade utarbetats och vidmakthållits av Europol. För det andra fann tribunalen, i punkterna 108 och 109 i den överklagade domen, till vilka det också hänvisas i den sjätte grunden för överklagandet, att det tidsmässiga samband som klaganden gjort gällande mellan Europolrapporten och utvecklingen den slovakiska pressens beskrivning av klaganden, som efter att den nationella brottsakten om honom hade läckt ut presenterade klaganden som en mafioso eller som ”en person som finns upptagen på maffialistorna”, motsades av den bevisning som lagts fram av såväl klaganden som Europol, med hänvisning till tidningsartiklar som publicerades åren 2005, 2012 och 2017. I detta avseende konstaterade tribunalen dessutom, i punkt 109 i den överklagade domen, att ”den slovakiska pressen, redan långt före början av år 2019, framställt klaganden som en ’mafioso’, och inte bara som en ’kontroversiell entreprenör”. Tribunalen uteslöt således, på grundval av denna bevisning, att ”denna beskrivning av [klaganden] [kunde] ha sitt ursprung i läckan av [handlingar i det nationella straffrättsliga ärendet avseende honom], [i vilken] Europolrapporten ingick”.

107    Det framgår således bland annat av konstaterandena i punkterna 108 och 109 i den överklagade domen att den skada som klaganden har åberopat i den andra grunden inte kan hänföras till någon otillåten behandling av personuppgifter inom ramen för ett samarbete mellan Europol och de slovakiska myndigheterna, eftersom Europolrapporten upprättades vid ett senare tillfälle. Såsom har påpekats i punkterna 96–102 i förevarande dom har klaganden, inom ramen för den sjätte grunden, inte visat att tribunalen, vad gäller dessa konstateranden, har missuppfattat bevisningen eller gjort en felaktig rättstillämpning.

108    Det krav som anges i punkt 81 ovan och som måste uppfyllas för att Europol ska ådra sig solidariskt ansvar enligt artikel 50.1 i förordning 2016/794 är följaktligen inte uppfyllt i förevarande fall, vilket innebär att detta ansvar under alla omständigheter inte kan göras gällande inom ramen för det andra yrkandet.

109    Av det ovanstående följer att överklagandet inte kan vinna bifall såvitt avser den femte grunden trots att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den, i punkt 105 i den överklagade domen och av de skäl som anges i punkterna 92–95 i samma dom, bortsåg från själva principen om Europols solidariska ansvar inom ramen för denna förordning.

110    Eftersom överklagandet inte kan vinna bifall såvitt avser den femte och den sjätte grunden, ska överklagandet ogillas i den del det avser det andra yrkandet.

 Målet vid tribunalen

111    Enligt artikel 61 första stycket andra meningen i stadgan för Europeiska unionens domstol kan domstolen, om den upphäver tribunalens avgörande, själv slutligt avgöra målet, om detta är färdigt för avgörande.

112    Mot bakgrund av bland annat den omständigheten att klagande till stöd för sitt överklagande anfört grunder som varit föremål för ett kontradiktoriskt förfarande vid tribunalen och vars prövning inte kräver någon ytterligare åtgärd för processledning eller bevisupptagning, anser domstolen att målet är färdigt för avgörande och att det ska avgöras slutligt (se, analogt, dom av den 4 mars 2021, kommissionen/Fútbol Club Barcelona, C‑362/19 P, EU:C:2021:169, punkt 108 och där angiven rättspraxis).

113    Med hänsyn till att den överklagade domen delvis ska upphävas, ska domstolen endast pröva det första yrkande som framställts vid tribunalen, såsom detta avgränsats i punkt 49 i nämnda dom.

114    Klaganden har med stöd av artiklarna 268 och 340 FEUF samt artikel 50.1 i förordning 2016/794 yrkat betalning av ett belopp på 50 000 euro som ersättning för den skada som han anser sig ha lidit till följd av att personuppgifter som härrör från de aktuella mobiltelefonerna har lämnats ut till allmänheten och gjorts tillgängliga för allmänheten på internet samt återpublicerats av slovakisk press. Detta utlämnande av personuppgifter har, genom offentliggörandet, skadat hans heder och yrkesmässiga anseende, rätten till respekt för privatlivet och familjelivet, och rätten till respekt för hans kommunikationer, rättigheter som garanteras i artikel 7 i stadgan.

115    Klaganden har med stöd av skäl 57 i förordning 2016/794 gjort gällande att Europol kan hållas solidariskt ansvarig enligt artikel 50.1 i förordningen om den skada som han påstår sig ha lidit till följd av otillåten behandling av personuppgifter är en följd av ett agerande som kan tillskrivas Europol eller en medlemsstat.

116    Europol har gjort gällande att det inte har fastställts att byrån har företagit en otillåten behandling av personuppgifter, eftersom det inte har visats att läckan av klagandens uppgifter härrörde från Europol. I vilket fall som helst medför inte varje informationsläcka, även om denna skulle styrkas, automatiskt att Europol ådrar sig utomobligatoriskt ansvar. Europol har nämligen gjort gällande att det av domstolens praxis följer att unionens organ endast kan ådra sig utomobligatoriskt ansvar om det, bland annat, föreligger en tillräckligt klar överträdelse av en rättsregel som har till syfte att ge enskilda rättigheter. I artikel 32.1 i förordning 2016/794 föreskrivs emellertid inte någon absolut skyldighet att uppnå ett visst resultat, utan endast att Europol ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från varje slag av otillåten behandling, vilket Europol har gjort. Dessutom har Europol aldrig behandlat de uppgifter som hämtats från de aktuella mobiltelefonerna i en avkodad och begriplig form.

117    Enligt domstolens praxis förutsätter unionens utomobligatoriska ansvar enligt artikel 340 andra stycket FEUF, att ett antal villkor är uppfyllda, nämligen att det föreligger en tillräckligt klar överträdelse av en rättsregel som har till syfte att ge enskilda rättigheter, att det verkligen föreligger en skada och att det finns ett orsakssamband mellan åsidosättandet av den skyldighet som åligger den som är ansvarig för handlandet och den skada som de drabbade personerna har lidit (dom av den 10 september 2019, HTTS/rådet, C‑123/18 P, EU:C:2019:694, punkt 32 och där angiven rättspraxis).

118    Det framgår av denna rättspraxis att det första villkoret för att detta ansvar ska aktualiseras, vilket avser att det handlande som läggs den berörda unionsinstitutionen, unionsorganet eller unionsbyrån till last är rättsstridigt, i den mening som avses i den rättspraxis som det erinrats om i punkt 73 ovan, består av två delar, nämligen dels att det måste ha skett en överträdelse av en unionsrättslig bestämmelse som har till syfte att ge enskilda rättigheter, dels att denna överträdelse ska vara tillräckligt klar (se, för ett liknande resonemang, dom av den 10 september 2019, HTTS/rådet, C‑123/18 P, EU:C:2019:694, punkt 36).

119    När det gäller den första delen av detta villkor uppkommer enskildas rättigheter, enligt fast rättspraxis, inte enbart när de uttryckligen tillerkänns genom unionsbestämmelser, utan även på grund av positiva eller negativa skyldigheter som genom sådana bestämmelser på ett väl angivet sätt åläggs såväl enskilda som medlemsstaterna och unionens organ och institutioner (se, för ett liknande resonemang, dom av den 22 december 2022, Ministre de la Transition écologique och Premier ministre (Statens ansvar för luftförorening), C‑61/21, EU:C:2022:1015, punkt 46). Denna regel gäller även skyldigheter enligt unionsrätten inom ramen för samarbetet mellan en unionsbyrå, såsom Europol, och medlemsstaterna.

120    Ett åsidosättande av sådana skyldigheter kan inverka menligt på de rättigheter som på detta sätt underförstått tillerkänns enskilda enligt de berörda unionsbestämmelserna. Dessa bestämmelsers fulla verkan och skyddet av de rättigheter som de har till syfte att ge enskilda kräver att de enskilda har möjlighet att få skadestånd (se, för ett liknande resonemang, dom av den 22 december 2022, Ministre de la Transition écologique och Premier ministre (Statens ansvar för luftförorening), C‑61/21, EU:C:2022:1015, punkt 47).

121    I förevarande fall konstaterar domstolen att förordning 2016/794 ålägger Europol och de behöriga myndigheter i medlemsstaterna som kallats att samarbeta med denna unionsbyrå i straffrättsliga förfaranden en skyldighet att skydda enskilda mot otillåten behandling av deras personuppgifter, vilken särskilt följer av artikel 2 h), i) och k), artikel 28.1 a och f, artikel 38.4 och artikel 50.1 i samma förordning.

122    I artikel 2 k) i förordning 2016/794 definieras nämligen ”behandling” som en åtgärd, eller serie av åtgärder, som vidtas med personuppgifter, eller uppsamlingar av personuppgifter, oberoende av om de utförs automatiserat eller ej, till exempel utlämning genom överföring, spridning eller annat tillhandahållande av uppgifter. I artikel 2 h) och i) i denna förordning definieras ”personuppgifter” som varje upplysning som avser ”den registrerade”, varvid sistnämnda begrepp avser en identifierad eller identifierbar fysisk person. Dessutom krävs det enligt artikel 28.1 a och f i nämnda förordning att personuppgifter behandlas ”på ett korrekt och lagenligt sätt” och på ett sätt som garanterar vederbörlig säkerhet för personuppgifter. Enligt artikel 38.4 i samma förordning ska Europol ansvara för efterlevnaden av de principer som avses i artikel 28.1 a och f. Slutligen medför artikel 50.1 i förordning 2016/794 – i den del den ålägger de enheter som är inblandade i det samarbete som föreskrivs i förordningen att ersätta den skada som enskilda har åsamkats på grund av otillåten behandling av personuppgifter – en underförstådd skyldighet för dessa enheter att skydda varje fysisk person mot otillåten behandling av dennes personuppgifter.

123    Det följer av en jämförelse mellan de bestämmelser som avses i de två föregående punkterna att det utgör ett åsidosättande av en unionsrättslig bestämmelse som har till syfte att ge enskilda rättigheter varje gång personuppgifter som behandlas inom ramen för ett samarbete mellan Europol och de behöriga nationella myndigheterna i enlighet med förordning 2016/794 lämnas ut till personer som inte är behöriga att ta del av sådana uppgifter.

124    I förevarande fall framgår det av tribunalens konstateranden i punkterna 1, 2, 44, 84, 85 och 90 i den överklagade domen, med vilka domstolen instämmer, att klagandens personuppgifter, vilka utgjordes av intima samtal mellan honom och hans flickvän och vilka var sparade i de aktuella mobiltelefonerna, och som de slovakiska myndigheterna överlämnade till Europol inom ramen för ett samarbete enligt förordning 2016/794, har hämtats ur dessa telefoner och att dessa uppgifter, som först innehades av Europol och från och med den 23 oktober 2018 av Europol och nämnda myndigheter, utlämnades till personer som inte var behöriga att ta del av dem, vilket ledde till att de publicerades i slovakisk press den 20 maj 2019. Sådana omständigheter tyder på att det skett en överträdelse, såsom den som avses i föregående punkt.

125    I detta avseende underkänner domstolen Europols argument att den iakttagit sina skyldigheter enligt förordning 2016/794 genom att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från varje slag av otillåten behandling. Såsom har påpekats i punkt 80 ovan har det genom artikel 50.1 i denna förordning införts ett system med solidariskt ansvar enligt vilket den person som anser sig ha blivit utsatt för en otillåten behandling av personuppgifter inte behöver visa vilken av de enheter, vilka deltar i ett samarbete enligt förordningen, som kan tillskrivas denna otillåtna behandling. Detta påverkar emellertid inte Europols möjlighet att, i förekommande fall och i ett senare skede samt med stöd av artikel 50.2 i samma förordning, vända sig till sin styrelse för att fastställa det slutliga ansvaret för den ersättning som beviljas denna person.

126    Vad gäller den andra delen av det första villkoret för att unionen ska ådra sig utomobligatoriskt ansvar, nämligen att det föreligger en tillräckligt klar överträdelse av en rättsregel som har till syfte att ge enskilda rättigheter, är det avgörande kriteriet för att en överträdelse av unionsrätten ska anses vara tillräckligt klar att det föreligger en uppenbar och allvarlig överträdelse av gränserna för det utrymme för skönsmässig bedömning som den överträdda rättsregeln medför (se, för ett liknande resonemang, dom av den 4 juli 2000, Bergaderm och Goupil/kommissionen, C‑352/98 P, EU:C:2000:361, punkt 43 och där angiven rättspraxis, och dom av den 4 april 2017, ombudsmannen/Staelen, C‑337/15 P, EU:C:2017:256, punkt 31 och där angiven rättspraxis). Redan den omständigheten att unionsrätten har överträtts kan vara tillräcklig för att en tillräckligt klar överträdelse ska anses föreligga, om den berörda myndigheten endast förfogade över ett i hög grad begränsat, eller rentav obefintligt, utrymme för skönsmässig bedömning (dom av den 10 juli 2003, kommissionen/Fresh Marine, C‑472/00 P, EU:C:2003:399, punkt 26 och där angiven rättspraxis). Ett sådant åsidosättande utgörs bland annat av oursäktliga fel, grov försumlighet vid fullgörandet av en förpliktelse eller uppenbar brist på omsorg (se, för ett liknande resonemang, dom av den 30 januari 1992, Finsider m.fl./kommissionen, C‑363/88 och C‑364/88, EU:C:1992:44, punkt 22 och där angiven rättspraxis).

127    Vid den bedömning som ska göras ska hänsyn tas till det område, de villkor och det sammanhang i vilket den berörda myndigheten åläggs skyldigheten i fråga (se, för ett liknande resonemang, dom av den 4 april 2017, ombudsmannen/Staelen, C‑337/15 P, EU:C:2017:256, punkterna 38–40 och där angiven rättspraxis).

128    Dessutom ska hänsyn bland annat tas till graden av klarhet och precision hos den rättsregel som överträtts, liksom omfattningen av det utrymme för skönsmässig bedömning som den berörda myndigheten ges genom den regel som överträtts (se, för ett liknande resonemang, dom av den 30 maj 2017, Safa Nicu Sepahan/rådet, C‑45/15 P, EU:C:2017:402, punkt 30 och där angiven rättspraxis), komplexiteten i den situation som ska regleras och svårigheterna att tillämpa eller tolka rättsakterna (dom av den 19 april 2007, Holcim (Deutschland)/kommissionen, C‑282/05 P, EU:C:2007:226, punkt 50 och där angiven rättspraxis).

129    I förevarande fall konstaterar domstolen att de bestämmelser som nämns i punkterna 122 och 123 ovan inte ger de enheter som deltar i ett samarbete enligt förordning 2016/794 något utrymme för skönsmässig bedömning vad gäller deras skyldighet att skydda fysiska personer mot varje form av otillåtet tillhandahållande av deras personuppgifter genom att i detta syfte vidta lämpliga tekniska och organisatoriska åtgärder. Vidare ingår denna skyldighet i det känsliga sammanhang i vilket Europol och medlemsstaterna samarbetar för att lagföra personer, i vilket sådana uppgifter behandlas utan någon inblandning av de registrerade, oftast utan deras vetskap, och således utan möjlighet för dessa att ingripa på något sätt för att förhindra en eventuell otillåten behandling av deras personuppgifter.

130    Den intima karaktären av de uppgifter som kan finnas på sådana medier som de som är aktuella i förevarande mål förstärker behovet av att strikt säkerställa skyddet för klagandens uppgifter, särskilt som uppgifterna inte hade något samband med de gärningar för vilka han hade lagförts.

131    Under dessa omständigheter finner domstolen, mot bakgrund av tribunalens konstateranden, som det erinrats om i punkt 124 ovan, att den otillåtna behandlingen av dessa personuppgifter, som företagits inom ramen för samarbetet mellan Europol och de slovakiska myndigheterna enligt förordning 2016/794, utgjorde en tillräckligt klar överträdelse av en unionsrättslig bestämmelse som har till syfte att ge enskilda rättigheter.

132    Det ska tilläggas att Europols argument, att den aldrig hade tillgång till de uppgifter som hämtats ur de aktuella mobiltelefonerna i en avkodad och begriplig form, påverkar inte själva förefintligheten av ett sådant åsidosättande som följer av den otillåtna behandling av personuppgifter som skett inom ramen för detta samarbete. Såsom framgår av punkt 80 i förevarande dom införs det genom artikel 50.1 i förordning 2016/794 ett system med solidariskt ansvar, inom ramen för vilket den som utsatts för en sådan behandling inte behöver visa vilken av de enheter, vilka deltar i ett samarbete, som kan tillskrivas denna otillåtna behandling. Härav följer att detta argument under alla omständigheter inte kan godtas i förevarande mål utan att det påverkar Europols möjlighet att i förekommande fall åberopa det i samband med hänskjutandet till dess styrelse enligt artikel 50.2 i denna förordning.

133    När det gäller det andra och det tredje villkoret för att unionen ska ådra sig utomobligatoriskt ansvar enligt artikel 340 andra stycket FEUF, det vill säga bevis för den skada som lidits och för ett orsakssamband mellan skadan och den tillräckligt klara överträdelsen av en unionsrättslig bestämmelse, vilket i förevarande fall utgörs av otillåten behandling av personuppgifter, har klaganden gjort gällande att utlämnandet av hans personuppgifter som hämtats ur de aktuella mobiltelefonerna, på grund av offentliggörandet av dessa uppgifter, inte bara har kränkt hans rätt till respekt för privatlivet utan även hans rätt till respekt för familjelivet. Detta utlämnande har haft en negativ inverkan på relationen mellan klaganden och hans döttrar, vilka påverkades djupt av offentliggörandet av dessa uppgifter som bland annat uppvisar faderns intima förhållande med sin flickvän, vilket publicerats för allmänheten, samt deras intima samtal. Detta ledde till en känsla av frustration och orättvisa och till en kränkning av klagandens heder och yrkesmässiga anseende. Utlämnandet har även kränkt klagandens rätt till respekt för hans kommunikationer, som garanteras i artikel 7 i stadgan.

134    Europol har inte anfört något särskilt argument vad gäller huruvida den ideella skada som klaganden påstår sig ha åsamkats verkligen har uppkommit eller huruvida det finns ett orsakssamband mellan den otillåtna behandlingen av personuppgifter och denna skada. Byrån gjorde endast gällande att det första yrkandet skulle ogillas, eftersom det inte hade visats att det förelåg en händelse som förorsakade skadan eller att denna kunde tillskrivas Europol.

135    När det gäller villkoren avseende huruvida det verkligen föreligger en skada och huruvida det finns ett orsakssamband, kan unionen endast ådra sig utomobligatoriskt ansvar om klaganden verkligen har lidit en faktisk och säker skada, samtidigt som det konstateras att skadan är en tillräckligt direkt följd av det påstådda åsidosättandet av en unionsrättslig bestämmelse. Det ankommer på klaganden att inkomma med bevisning till unionsdomstolen för att styrka förekomsten och omfattningen av den åberopade skadan samt förekomsten av ett tillräckligt direkt orsakssamband mellan överträdelsen och den påstådda skadan (se, för ett liknande resonemang, dom av den 30 maj 2017, Safa Nicu Sepahan/rådet, C‑45/15 P, EU:C:2017:402, punkterna 61 och 62 och där angiven rättspraxis).

136    I förevarande fall har, såsom har påpekats i punkt 124 ovan, den otillåtna behandlingen av personuppgifter, som består i att uppgifter avseende hemliga samtal mellan klaganden och hans flickvän har lämnats ut till obehöriga personer, lett till att dessa uppgifter gjorts tillgängliga för allmänheten, vilket framgår av att de publicerats i den slovakiska pressen. Mot bakgrund av innehållet i dessa samtal kan det konstateras att denna otillåtna behandling av personuppgifter innebar ett åsidosättande av klagandens rätt till respekt för sitt privatliv och sitt familjeliv och sina kommunikationer, vilken garanteras i artikel 7 i stadgan, och skadade hans heder och rykte, vilket åsamkade honom ideell skada.

137    Som ersättning för den skada som klaganden påstår sig ha lidit inom ramen för det första yrkandet har han yrkat betalning av ett belopp på 50 000 euro.

138    Tribunalen fann emellertid att prövningen av det första yrkandet skulle begränsas till den påstådda skada som uppkommit enbart till följd av utlämnandet av transkriptionerna av de intima och sexuella samtalen mellan klaganden och hans flickvän, eftersom klaganden inte hade lagt fram någon bevisning som direkt eller indirekt kunde styrka att de fotografier som avses i punkt 26 i denna dom verkligen hade lämnats ut.

139    Eftersom detta delvisa ogillande av det första yrkandet inte har bestritts inom ramen för överklagandet, ska denna del av den påstådda skadan inte ersättas.

140    Under dessa omständigheter fastställer domstolen att den ideella skada som klaganden har åsamkats på grund av utlämnandet av transkriptionerna av intima samtal med hans flickvän, ska gottgörs på ett lämpligt sätt genom att klaganden erhåller en ersättning på 2 000 euro.

 Rättegångskostnader

141    När överklagandet avvisas eller ogillas, eller när överklagandet bifalls och domstolen själv slutligt avgör saken, ska domstolen enligt artikel 184.2 i rättegångsreglerna besluta om rättegångskostnaderna.

142    Enligt artikel 138.1 i rättegångsreglerna, som enligt artikel 184.1 i rättegångsreglerna ska tillämpas i mål om överklagande, ska tappande part förpliktas att ersätta rättegångskostnaderna om detta har yrkats. Enligt denna artikel 138.3 första meningen i rättegångsreglerna ska vardera parten bära sina rättegångskostnader om parterna ömsom tappar målet på en eller flera punkter.

143    I förevarande fall har klaganden yrkat att domstolen ska besluta om rättegångskostnaderna ”i det nationella målet”. Det ska i detta hänseende påpekas att även om klaganden i första instans har yrkat att Europol ska förpliktas att ersätta rättegångskostnaderna, har han i sitt överklagande inte framställt något yrkande om rättegångskostnader i målet om överklagande.

144    Europol har yrkat att klaganden ska förpliktas att ersätta rättegångskostnaderna såväl i första instans som i målet om överklagande.

145    Under dessa omständigheter har vardera parten delvis tappat målet om överklagande och delvis tappat målet i första instans. Vardera parten ska därför bära sina rättegångskostnader såväl i första instans som i målet om överklagande.

146    Enligt artikel 140.1 i domstolens rättegångsregler, som i enlighet med artikel 184.1 i dessa regler ska tillämpas i mål om överklagande, ska medlemsstater och institutioner som har intervenerat bära sina rättegångskostnader. Republiken Slovakien, som har intervenerat vid domstolen, ska således bära sina rättegångskostnader.

Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:

1)      Europeiska unionens tribunals dom av den 29 september 2021, Kočner/Europol (T‑528/20, EU:T:2021:631), upphävs i den del det första yrkandet, såsom det har avgränsats i den domen, ogillas.

2)      Överklagandet ogillas i övrigt.

3)      Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) förpliktas att betala en ersättning på 2 000 euro till Marián Kočner.

4)      Talan ogillas i övrigt.

5)      Marián Kočner och Europol ska bära sina rättegångskostnader både i målet i första instans och i målet om överklagande.

6)      Republiken Slovakien ska bära sin egen rättegångskostnad.

Underskrifter

*Rättegångsspråk: slovakiska.