Förslag till Avgörande av Generaladvokaten Athanasios Rantos föredraget den 15 juni 2023

1 Originalspråk: franska.

2 Europaparlamentets och rådets förordning av den 11 maj 2016 om [Europol] och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 2016, s. 53; nedan kallad Europolförordningen).

3 Rådets beslut av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (EUT L 274, 2013, s. 1).

4 Jag vill påpeka att denna hänvisning till samma artikel troligen är felaktig och bör förstås som en hänvisning till artikel 50 i Europolförordningen, såsom också framgår av Europeiska kommissionens ursprungliga förslag (COM(2013) 173 final av den 27 mars 2013), där det i artikel 51 (som motsvarar artikel 49 i Europolförordningen) hänvisades till artikel 52 (som motsvarar artikel 50 i Europolförordningen).

5 Enligt uppgift använde de slovakiska myndigheterna dessutom den 1 april 2019 den information som de ifrågavarande mobiltelefonerna innehöll inom ramen för ett straffrättsligt förfarande mot Marián Kočner, och av ett protokoll daterat den 18 juni 2019 från de slovakiska polismyndigheterna framgår enligt uppgift att dessa myndigheter gjorde en analys av de uppgifter som fanns i nämnda mobiltelefoner.

6 Den överklagade domen, punkt 10.

7 Den överklagade domen, punkt 91. Tribunalen konstaterade för det första att Europol inte var den enda enhet som förfogade över de uppgifter som de ifrågavarande mobiltelefonerna innehöll, eftersom även de slovakiska myndigheterna hade tillgång till dessa uppgifter (den överklagade domen, punkterna 68 och 84), för det andra att Europol aldrig hade förfogat över de omtvistade meddelandena i okrypterad och begriplig form (den överklagade domen, punkt 86) och för det tredje att det påstods framgå av en tidningsartikel att information hade läckt från den nationella utredningsakten (den överklagade domen, punkt 90).

8 Den överklagade domen, punkt 102.

9 Den överklagade domen, punkterna 92–95 och 105.

10 Närmare bestämt rör den första och den femte grunden den eventuella förekomsten, i enlighet med skäl 57 i Europolförordningen, av solidariskt ansvar mellan Europol och den berörda medlemsstaten såvitt avser skada till följd av olaga databehandling, medan den andra, den tredje och den fjärde grunden liksom den sjätte grunden i allt väsentligt rör bedömningen av orsakssambandet mellan den skada som Marián Kočner påstår sig ha lidit och Europols handlande.

11 Europol gjorde inte gällande i sin duplik i första instans att dessa grunder inte skulle kunna upptas till sakprövning, och tribunalen prövade inte heller den frågan ex officio i den överklagade domen. Att nämnda fråga inte diskuterades i första instans hindrar emellertid inte domstolen från att i förekommande fall dra slutsatsen att tribunalen gjorde sig skyldig till felaktig rättstillämpning genom att underlåta att pröva huruvida den aktuella omständigheten utgjorde ett rättegångshinder som inte kunde avhjälpas.

12 Marián Kočner anser för övrigt att principen att lagstiftare alltid handlar rationellt hindrar att artikel 50.2 i Europolförordningen tillmäts en annan betydelse än den som följer av skäl 57 i den förordningen. Den slutsatsen får efter hans förmenande också stöd av att den berörda medlemsstaten enligt den lagstiftning som föregick Europolförordningen var ansvarig till och med i situationer där även Europol bar ansvar (i kraft av artikel 52.1 i rådets beslut 2009/371/RIF av den 6 april 2009 om inrättande av Europeiska polisbyrån (Europol) (EUT L 121, 2009, s. 37)). Det vore enligt honom ologiskt att anta att unionslagstiftaren skulle ha övergett denna förenklade ansvarsordning till förmån för en ordning som var mindre gynnsam för den skadelidande parten i så måtto att denne för att kunna väcka talan i domstol först skulle behöva slå fast vilken enhet som var ansvarig för skadan, något som skulle strida mot det syfte som eftersträvas genom den aktuella lagstiftningen.

13 Europol anser därutöver också att den av Marián Kočner anförda omständigheten att unionslagstiftaren har bytt ut den tidigare ansvarsordningen, enligt vilken den berörda staten var ensam ansvarig även i situationer där också Europol bar ansvar, inte ger stöd åt hans påstående att den nuvarande ordningen inte skulle kunna vara mindre gynnsam för den skadelidande parten (se fotnot 11 i detta förslag till avgörande), utan att bakgrunden till den aktuella lagstiftningsändringen helt enkelt var att Europol efter de ändringar som infördes genom Lissabonfördraget slutligen kom att omfattas av EU-domstolens domsrätt.

14 Den överklagade domen, punkt 93.

15 Den överklagade domen, punkt 94.

16 Med en snarlik formulering slås det i artikel 41.3 i Europeiska unionens stadga om de grundläggande rättigheterna fast att [v]ar och en har rätt att få ersättning av unionen för skador som har orsakats av dess institutioner eller dess tjänstemän under deras tjänsteutövning, enligt de allmänna gemensamma principerna i medlemsstaternas lagstiftning.

17 Se dom av den 10 september 2019, HTTS/rådet ( C‑123/18 P, EU:C:2019:694, punkt 32 och där angiven rättspraxis).

18 Dom av den 9 september 1999, Lucaccioni/kommissionen ( C‑257/98 P, EU:C:1999:402, punkt 63), och beslut av den 12 mars 2020, EMB Consulting m.fl./ECB ( C‑571/19 P, ej publicerat, EU:C:2020:208, punkt 29).

19 Se, bland annat, artikel 9:101 om principerna för civilrättsligt skadeståndsansvar i europeisk rätt i European Group on Tort Law (EGTL) (europeiska gruppen om civilrättsligt skadeståndsansvar)(ett försök att kodifiera europeiska rättsprinciper inom området civilrättsligt skadeståndsansvar på grundval av en jämförande genomgång av de nationella rättsordningarna). vilka kan ses på följande adress: http://www.egtl.org. Såvitt avser EU-domstolens definition av (inomobligatoriskt) solidariskt ansvar, se dom av den 18 maj 2017, Latvijas Dzelzceļš ( C‑154/16, EU:C:2017:392, punkt 85), där domstolen framhöll att det följer av själva beskaffenheten hos det solidariska ansvaret att varje gäldenär ansvarar för hela skuldbeloppet och att borgenären i princip fritt kan välja att utkräva betalning av denna skuld från en eller flera gäldenärer.

20 Dom av den 16 mars 2023, Towercast ( C‑449/21, EU:C:2023:207, punkt 31 och där angiven rättspraxis).

21 Detsamma gäller för andra språkversioner av bestämmelsen. Se, utöver versionen på franska, som är originalspråket för detta förslag till avgörande (soit d’Europol …, soit de l’État membre), bland annat den grekiska (είτε εκ μέρους της Ευρωπόλ …, είτε εκ μέρους του κράτους μέλους), den engelska (either from Europol … or from the Member State) och den italienska (da Europol … o dallo Stato membro).

22 De båda metoderna har nära samband med varandra (se, i doktrinen, Lenaerts, K och Gutiérrez-Fons, J.A., Les méthodes d’interprétation de la Cour de justice de l’Union européenne, Bruylant, Bryssel, 2020, s. 104).

23 Se, bland annat, dom av den 19 juni 2014, Karen Millen Fashions ( C‑345/13, EU:C:2014:2013, punkt 31 och där angiven rättspraxis).

24 Se dom av den 19 maj 2022, Spetsializirana prokuratura (Rättegång mot en tilltalad som avvikit) ( C‑569/20, EU:C:2022:401, punkt 32 och där angiven rättspraxis). Se även, för kännedom, Gemensam praktisk handledning från Europaparlamentet, rådet och kommissionen för personer som deltar i utformningen av Europeiska unionens lagtexter, Europeiska unionens publikationsbyrå, Luxemburg, 2015. Syftet med skälen är enligt punkt 10 i det dokumentet bland annat att ge en kortfattad motivering för de grundläggande bestämmelserna i artikeldelen.

25 Till yttermera visso skulle den behandling av personuppgifter som Europol i det aktuella fallet utförde även kunna träffas av definitionerna av personuppgifter, operativa personuppgifter och behandling i artikel 3.1, 3.2 respektive 3.3 i Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39). Förordning 2018/1725 ska visserligen enligt artikel 2.3 däri inte tillämpas bland annat på behandling av operativa personuppgifter som utförs av Europol förrän Europolförordningen har anpassats i enlighet med artikel 98 i förordning 2018/1725, men det förefaller mig ändå som om det i det aktuella fallet, med tanke på att det saknas särskilda definitioner i Europolförordningen, är möjligt att utgå från dessa definitioner vid tolkningen. Dessutom motsvarar definitionerna av personuppgifter och behandling dem som återfinns i artikel 4.1 respektive 4.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2), även om den förordningen, i enlighet med artikel 2.2 d däri, inte är tillämplig bland annat på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott.

26 Skäl 57 och artikel 50 i Europolförordningen motsvarar i allt väsentligt skäl 47 respektive artikel 52 i kommissionens ursprungliga förslag (COM(2013) 173 final av den 27 mars 2013).

27 Däremot håller jag inte med om Marián Kočners – likaledes på Europolförordningens tillkomsthistoria grundade – argument att skyddet för den skadelidande parten inte skulle kunna vara mindre omfattande enligt Europolförordningen än enligt den föregående lagstiftningen (se fotnot 11 i detta förslag till avgörande). I själva verket blir jag mer övertygad av Europols ståndpunkt, nämligen att anledningen till att den berörda medlemsstaten enligt den tidigare lagstiftningen var ensam ansvarig för alla skador till följd av lagring eller behandling av uppgifter, inbegripet såvitt avsåg Europols handlande, var att Europols handlande vid tiden för denna lagstiftning (det vill säga innan Lissabonfördraget trädde i kraft) inte omfattades av unionsdomstolens domsrätt.

28 Varvid det emellertid följer av rättspraxis, såsom Europol har erinrat om, att unionsdomstolen innan den meddelar sitt avgörande ska låta den nationella domstolen meddela sitt (se dom av den 14 juli 1967, Kampffmeyer m.fl./kommissionen, 5/66, 7/66, 13/66–16/66 och 18/66–24/66, ej publicerad, EU:C:1967:31, s. 344). Jag kommer att förklara detta mer utförligt i fotnot 33 i detta förslag till avgörande.

29 I synnerligen snarlika ordalag anges i artikel 49 i Europolförordningen att Europol ska ersätta skada som dess avdelningar eller dess personal orsakar under tjänsteutövning i enlighet med de allmänna principer som är gemensamma för medlemsstaternas rättsordningar.

30 Som exempel vill jag nämna 840 § Bürgerliches Gesetzbuch (den tyska civillagen), artikel 926 i Αστικού Κώδικα (den grekiska civillagen) och artikel 2055 i Codice civile (den italienska civillagen). Samma möjlighet förefaller finnas även i common law-rättsordningarna (se Van Dam, C., Causation, European Tort Law, Oxford, 2013, s. 331). Se även, för ett liknande resonemang, artikel 1265 i förslaget till reform av det civilrättsliga skadeståndsansvaret i den franska rättsordningen, där det i alla händelser redan förefaller finnas en solidarisk ansvarsskyldighet (ansvar in solidum) som har införts genom rättspraxis (se, i doktrinen, Ligüerre, C.G., Responsabilité solidaire et canalisation de la responsabilité, Revue des contrats, nr 4, 2019, s. 252).

31 En sådan princip föreskrivs bland annat i artikel 9:101 i European Group on Tort Law, Principles of European Tort Law. Text and Commentary, SpringerWienNewYork, 2005, s. 206.

32 I den bestämmelsen föreskrivs att om mer än en personuppgiftsansvarig eller mer än ett personuppgiftsbiträde, eller både en personuppgiftsansvarig och ett personuppgiftsbiträde, har medverkat vid samma behandling, och om de är ansvariga för en skada som behandlingen har orsakat, ska ansvar kunna utkrävas för hela skadan av varje personuppgiftsansvarig eller personuppgiftsbiträde, så att det kan säkerställas att den registrerade får effektiv ersättning. Den som har betalat full ersättning för skadan har enligt artikel 82.5 i samma förordning rätt att från de övriga ansvariga återkräva den del av ersättningen som motsvarar deras del av ansvaret för skadan. I kraft av artikel 2.2 led d i förordningen är denna bestämmelse emellertid inte direkt tillämplig i det nu aktuella fallet.

33 Det rör sig närmare bestämt om rättspraxis från 1960-talet där unionsdomstolen fann att i fall där en och samma skada är föremål för parallella mål om skadestånd, varav ett riktar sig mot en medlemsstat och förs vid nationell domstol och det andra riktar sig mot unionen och förs vid unionsdomstolen, kan det vara nödvändigt för unionsdomstolen att avvakta den nationella domstolens avgörande i fråga om huruvida medlemsstaten ska hållas ansvarig innan den fastställer det belopp för vilket unionen ska anses vara ansvarig, så att det kan undvikas att sökanden till följd av olika bedömningar i de olika domstolarna ersätts otillräckligt eller överkompenseras (se dom av den 14 juli 1967, Kampffmeyer m.fl./kommissionen, 5/66, 7/66, 13/66–16/66 och 18/66–24/66, ej publicerad, EU:C:1967:31, dom av den 30 november 1967, Becher/kommissionen, 30/66, EU:C:1967:44, och dom av den 13 december 2006, É.R. m.fl./rådet och kommissionen, T‑138/03, EU:T:2006:390, punkt 42). I doktrinen, se Lenaerts, K., et. al., EU Procedural Law, Oxford University Press, 2014, s. 506 och 507.

34 Det saknas visserligen ett specifikt unionsrättsligt orsakssambandsbegrepp (se Van Dam, C., European tort law, Oxford, 2013, s. 321, och Gutman, K., The non-contractual liability of the European Union: principle, practice and promise, Research handbook on EU tort law, 2017, s. 26–60, särskilt s. 57), men det förefaller mig ändå som om ett orsakssamband är något som krävs för solidariskt ansvar enligt medlemsstaternas nationella rättsordningar (se, bland annat, Infantino, M., och Zervogianni, Ε., Causation in European Tort Law, The American Journal of Comparative Law, Cambridge, 2017, s. 652 och 653).

35 Härvidlag måste det konstateras att varken artikel 340 andra stycket FEUF eller de principer för solidariskt ansvar som härrör från de allmänna principer som är gemensamma för medlemsstaternas rättsordningar medger att en unionsinstitution eller ett unionsorgan befinns bära ansvar i ett fall där det saknas orsakssamband mellan institutionens eller organets agerande och den påstådda skadan.

36 Se punkt 34 i detta förslag till avgörande.

37 Samtidigt vill jag påpeka att om domstolen följer mitt förslag och bifaller överklagandet såvitt avser den första grunden, blir den andra, den tredje och den fjärde grunden verkningslösa, eftersom tribunalen då i alla händelser måste se över sin bedömning i fråga om förekomsten av ett orsakssamband.

38 Dessa regler återfinns i den slovakiska justitieministerns dekret nr 618/2005.

39 Se den överklagade domen, punkterna 68 och 84. Tribunalen bedömde protokollets bevisvärde på grundval av principen om fri bevisvärdering och med beaktande av de omständigheter som har nämnts i dess praxis (närmare bestämt domen av den 13 december 2018, Iran Insurance/rådet, T‑558/15, EU:T:2018:945, punkterna 153 och 154 samt där angiven rättspraxis) (se den överklagade domen, punkt 80). Därvid fann tribunalen att det i protokollet tydligt angavs vilka föremål och uppgifter som Europoltjänstemannen hade överlämnat till NAKA-tjänstemannen, vilket ärende som dessa föremål och dessa uppgifter var knutna till, hur överlämnandet därav hade gått till, i vilka egenskaper de ifrågavarande tjänstemännen hade agerat och vilken dag och vid vilken tidpunkt överlämnandet hade ägt rum (se den överklagade domen, punkterna 79–81).

40 Se den överklagade domen, bland annat punkterna 71 och 77. Tribunalen påpekade också att protokollet förelåg på ett papper med NAKA:s officiella brevhuvud, avsåg ett angivet ärende och hade både daterats och undertecknats av en namngiven NAKA-tjänsteman, som uppgav sig ha tagit emot den berörda hårddisken från en likaledes namngiven Europoltjänsteman (punkt 76 i den överklagade domen); Marián Kočner har inte bestritt dessa omständigheter.

41 Jag vill också påpeka att Republiken Slovakien i sin interventionsinlaga har bestritt Marián Kočners argument att det ifrågavarande protokollet behövde ingå i utredningsakten i enlighet med den nationella lagstiftningen och därvid har angett att vissa processuella handlingar i överensstämmelse med den lagstiftningen inte ingår i originalutredningsakten utan har sparats i ett annat exemplar av denna akt.

42 Marián Kočner har tillagt att återlämnandet av mobiltelefonerna, som nämndes i punkt 67 i den överklagade domen, också är ovidkommande i detta sammanhang, eftersom vad som ska beaktas inte är dessa mobiltelefoner utan de uppgifter som de innehåller. Att den slovakiska åklagarmyndigheten redan den 1 april 2019 förfogade över de omtvistade meddelandena betyder vidare enligt Marián Kočner inte att utlämnandet av dessa uppgifter härrörde från dessa meddelanden.

43 Något som också torde ha bekräftats av att de slovakiska straffrättsliga myndigheterna, såsom Marián Kočner har erinrat om, använde de omtvistade uppgifterna den 1 april 2019.

44 I detta hänseende har Marián Kočner bestritt tribunalens slutsats – baserad på ett vittnesmål av en Europoltjänsteman inför en slovakisk brottmålsdomstol (se den överklagade domen, punkt 82) – att Europol inskränkte sig till att från mobiltelefonerna insamla och utvinna uppgifter i krypterad form som de slovakiska myndigheterna sedan dekrypterade (se den överklagade domen, punkt 87). Enligt Marián Kočner innefattade de insamlings- och utvinningsåtgärder som Europol utförde att filer och därtill knutna lösenord laddades ned, något som gjorde det enkelt för vem som helst att dekryptera de ifrågavarande uppgifterna.

45 Härvidlag har Marián Kočner också anfört en grund som avser bristfällig motivering i så måtto att tribunalen enligt honom inte förklarade varför de uppgifter som eventuellt läcktes i krypterad form inte skulle ha kunnat dekrypteras av tredje part. Jag anser emellertid att tribunalen i det aktuella fallet vederbörligen förklarade att den ansåg att Europol inte var ansvarigt därför att Europol inte hade förfogat över de omtvistade meddelandena i dekrypterad form; huruvida det finns fog för det påståendet är däremot en fråga om huruvida motiveringen är välgrundad.

46 Marián Kočners argument är således av rent spekulativ art. Till yttermera visso har han själv vitsordat att det är svårt att avgöra huruvida det är Europol eller den berörda medlemsstaten som bär ansvaret för skadan, vilket är skälet till att han har gjort gällande att dessa båda enheter är solidariskt ansvariga (se den första och den femte grunden för överklagandet).

47 Noteras bör att om det var styrkt att Europol aldrig förfogade över de omtvistade meddelandena i dekrypterad form, skulle detta utgöra en stark indikation på att det saknades icke-exklusivt orsakssamband mellan Europols handlande och den påstådda skadan, något som skulle kunna föranleda slutsatsen att orsakssamband saknades även såvitt avsåg Europols solidariska ansvar. Detta är emellertid enligt min uppfattning en bedömning i sak som det i första hand ankommer på tribunalen att göra.

48 Den överklagade domen, punkterna 74 och 75.

49 Marián Kočner har inte förklarat hur utvinningen av uppgifter från de båda ifrågavarande mobiltelefonerna skulle ha kunnat ske vid en tidpunkt efter protokollet av den 23 oktober 2018 och har för övrigt inte heller hävdat att han har bestritt denna påstådda förvanskning inför en brottmålsdomstol. Att Europol endast företedde ett fotografi av protokollet av den 23 oktober 2018 är vidare inte tillräckligt för att styrka att det protokollet hade antedaterats och än mindre för att styrka att tribunalen missuppfattade den aktuella bevisningen genom att inte dra den slutsatsen.

50 Se även punkt 63 i detta förslag till avgörande.

51 Från och med att de ifrågavarande uppgifterna fanns både hos Europol och hos de slovakiska myndigheterna, kan det nämligen inte anses styrkt att endast Europol förfogade över de ifrågavarande mobiltelefonerna och över de transkriptioner som dessa innehöll, något som tribunalen också slog fast i punkterna 64 och 65 i den överklagade domen.

52 Se, bland annat, dom av den 30 maj 2017, Safa Nicu Sepahan/rådet ( C‑45/15 P, EU:C:2017:402, punkt 62 och där angiven rättspraxis). Denna slutsats avser en allmän bedömning av bevisbördan för orsakssambandet som är tillämplig på varje skadeståndstalan, och den påverkar inte den bedömning av beskaffenheten hos Europols ansvar som ska göras inom ramen för den första och den femte grunden för överklagandet. Om domstolen i linje med mitt förslag i punkterna 24–54 i detta förslag till avgörande finner att Europol i det aktuella fallet är solidariskt ansvarigt tillsammans med den berörda medlemsstaten, betyder detta nämligen att tribunalen visserligen tillämpade fel beviskrav (genom att kräva ett exklusivt orsakssamband mellan Europols behandling av uppgifterna och den påstådda skadan) men däremot med gott fog ålade Marián Kočner bevisbördan för orsakssambandet i första instans.

53 Marián Kočner har inte närmare angett vilket dekret han åsyftar, men det rör sig troligen om dekret nr 618/2005, som han har åberopat inom ramen för den andra grunden.

54 Se punkt 63 i detta förslag till avgörande.

55 Detsamma gäller för Marián Kočners påstående att innehållet i det ifrågavarande protokollet skulle ha förvanskats, något som det inte har anförts några indicier till stöd för (se fotnot 49 i detta förslag till avgörande).

56 Se, för ett liknande resonemang, beslut av den 29 oktober 2004, Ripa di Meana/parlamentet ( C‑360/02 P, EU:C:2004:690, punkt 36).

57 Se, för ett liknande resonemang, dom av den 22 oktober 2020, EKETA/kommissionen ( C‑273/19 P, ej publicerad, EU:C:2020:852, punkt 69).

58 Se dom av den 6 november 2018, Scuola Elementare Maria Montessori/kommissionen, kommissionen/Scuola Elementare Maria Montessori och kommissionen/Ferracci ( C‑622/16 P–C‑624/16 P, EU:C:2018:873, punkt 86 och där angiven rättspraxis).

59 Se punkterna 33–53 i detta förslag till avgörande.

60 Se punkt 11 i detta förslag till avgörande.

61 Den överklagade domen, punkt 107.

62 För att det ska föreligga solidariskt ansvar krävs det nämligen, som jag har påpekat i punkterna 56–58 i detta förslag till avgörande, inte att det föreligger ett exklusivt orsakssamband, i enlighet med de allmänna reglerna, mellan en av de ansvarigas handlande och den påstådda skadan (vilket var vad tribunalens prövning i det aktuella fallet avsåg), men däremot krävs det att de olika skadehändelserna kan ge upphov till den påstådda skadan.

63 Se punkt 34 i detta förslag till avgörande.