1. Överklagandet avser tribunalens beslut av den 6 september 2023, Europeiska datatillsynsmannen/parlamentet och rådet,( 2 ) genom vilket talan om ogiltigförklaring som väckts av Europeiska datatillsynsmannen mot artiklarna 74a och 74b i förordning (EU) 2016/794,( 3 ) i dess lydelse enligt förordning (EU) 2022/991,( 4 ) avvisades.
Preliminär utgåva
FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT
MANUEL CAMPOS SÁNCHEZ-BORDONA
föredraget den 8 maj 2025( 1 )
Mål C ‑ 698/23 P
Europeiska datatillsynsmannen
mot
Europaparlamentet
Europeiska unionens råd
ytterligare deltagare i rättegången:
Förbundsrepubliken Tyskland
Republiken Frankrike
Europeiska kommissionen
” Överklagande – Institutionell rätt – Behandling av personuppgifter av Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) – Förordning (EU) 2016/794 – Förordning (EU) 2022/991 – Europeiska datatillsynsmannens institutionella befogenheter – Talan om ogiltigförklaring – Talerätt – Artikel 263 FEUF ”
1. Överklagandet avser tribunalens beslut av den 6 september 2023, Europeiska datatillsynsmannen/parlamentet och rådet,( 2 ) genom vilket talan om ogiltigförklaring som väckts av Europeiska datatillsynsmannen mot artiklarna 74a och 74b i förordning (EU) 2016/794,( 3 ) i dess lydelse enligt förordning (EU) 2022/991,( 4 ) avvisades.
2. I sin talan vid tribunalen gjorde Europeiska datatillsynsmannen gällande att de omtvistade bestämmelserna retroaktivt legaliserar viss praxis som tillämpas av Europeiska unionens byrå för polissamarbete (Europol), vilka Europeiska datatillsynsmannen själv hade reagerat mot i ett beslut av den 3 januari 2022.
3. Europeiska datatillsynsmannen menade att verkan av dess beslut av den 3 januari 2022 mot Europol i själva verket upphävs genom ändringen av förordning 2016/794 genom förordning 2022/991. Europeiska datatillsynsmannen anser att de nya bestämmelserna( 5 ) inkräktar på dess oberoende och undergräver dess befogenheter som tillsynsmyndighet.
4. I det överklagade beslutet slog tribunalen sammanfattningsvis fast att Europeiska datatillsynsmannen
– inte har sådan talerätt som medlemsstaterna och vissa av unionens institutioner har enligt artikel 263 andra och tredje styckena FEUF,
– endast kunde ifrågasätta giltigheten av de omtvistade bestämmelserna om den uppfyllde villkoren i artikel 263 fjärde stycket FEUF, vilket inte är fallet i förevarande mål.
I. Bakgrund till tvisten
5. I punkterna 2–13 i det överklagade beslutet redogör tribunalen för bakgrunden till tvisten enligt följande:
”2 Efter att på eget initiativ ha genomfört en utredning och ha antagit ett tillrättavisningsbeslut den 17 september 2020, antog Europeiska datatillsynsmannen den 3 januari 2022 ett beslut mot Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol), med stöd av artikel 43.3 e i den ursprungliga Europolförordningen. I detta beslut konstaterade Europeiska datatillsynsmannen att ’[e]ftersom den handlingsplan som Europol lagt fram innebar att dataset skulle blir föremål för fortsatt lagring utan att kategoriseras, [avhjälpte] denna plan inte den överträdelse som konstaterats i tillrättavisningsbeslutet av den 17 september 2020’, och att ’Europols behandling av dataset utan att kategorisera dessa enbart i syfte att hämta relevant information i enlighet med artikel 18.3 och 18.5 samt bilaga II.B i [den ursprungliga] Europolförordningen, [ ( 6 ) ] jämte principerna om uppgiftsminimering och lagringsbegränsning ([a]rtikel 28.1 c och 28.1 e i [den ursprungliga] Europolförordningen), inte [fick] överskrida en period på högst sex månader från dagen för mottagandet av bidraget’.
– 3 Till stöd för detta resonemang uppgav Europeiska datatillsynsmannen bland annat att ’[i] avsaknad av en uttrycklig lagbestämmelse som reglerar lagringstiden för personuppgifter som behandlas för detta ändamål, [var] det lämpligt att tillämpa artikel 18.6 i [den ursprungliga] Europolförordningen analogt’. [ ( 7 ) ]
– 4 Det framgår således av beslutet av den 3 januari 2022 att Europeiska datatillsynsmannen i huvudsak ålagt Europol att, för varje bidrag som mottogs från och med den 4 januari 2022, kategorisera registrerade i den mening som avses i artikel 18.5 i den ursprungliga Europolförordningen inom sex månader från dagen för mottagandet av bidraget, och inom tolv månader för de dataset som Europol förfogade över den 3 januari 2022, varefter Europol var skyldig att radera dessa uppgifter.
…
– 8 Den 8 juni 2022 antog Europaparlamentet och Europeiska unionens råd den ändrade Europolförordningen. Lydelsen i artiklarna 74a och 74b kvarstod oförändrad i denna förordning.
– 9 I dessa bestämmelser anges dels villkor för hur Europol, inom en angiven frist, ska kategorisera dataset som man förfogar över när den ändrade Europolförordningen träder i kraft, dels enligt vilka villkor och förfaranden det är tillåtet att, till stöd för en pågående brottsutredning, behandla personuppgifter som Europol mottagit före den 28 juni 2022 och som inte motsvarar någon av de kategorier av registrerade som förtecknas i bilaga II till den ändrade Europolförordningen.
…
– 10 Europeiska datatillsynsmannen ansåg att dess beslut av den 3 januari 2022 å ena sidan, och artiklarna 74a och 74b i den ändrade Europolförordningen å den andra, inte hade samma innebörd och begärde därför, den 15 juni 2022, att parlamentet, rådet och kommissionen skulle inkomma med handlingar angående sambandet mellan bestämmelserna i den ändrade Europolförordningen och Europeiska datatillsynsmannens tidigare utövande av sina kontrollbefogenheter. Parlamentet och rådet besvarade denna begäran genom skrivelser av den 12 juli respektive den 25 juli 2022.
– 11 I rådets handling nr 5370/22 av den 24 januari 2022 om förberedelserna inför trepartsmötet anges att ’[i] Europeiska datatillsynsmannens nyligen fattade beslut, som skulle kunna få operativa konsekvenser för Europols verksamhet, bekräftas att förordningen behöver antas omgående’, att ’ordförandeskapet föreslog att delegationerna skulle införa en ny artikel 74[a] för att ytterligare klargöra vad som gäller beträffande de uppgifter som för närvarande innehas av Europol, i synnerhet mot bakgrund av Europeiska datatillsynsmannens ovannämnda beslut av den 3 januari 2022’, och att ’många delegationer välkomnade principerna i detta förslag vid mötet den 19 januari [2022], men att det krävs ett godkännande av kommittén mot bakgrund av dess senaste presentation och med hänsyn till de utmaningar som uppstått kring denna fråga till följd av Europeiska datatillsynsmannens beslut.
– 12 Genom skrivelse av den 15 juli 2022 önskade Europeiska datatillsynsmannen att Europol skulle klargöra huruvida dess beslut av den 3 januari 2022 fortfarande tillämpades, mot bakgrund av artiklarna 74a och 74b i den ändrade Europolförordningen, eller om Europol ansåg att dessa artiklar hade ersatt eller ändrat innebörden av nämnda beslut.
– 13 Genom skrivelse av den 22 augusti 2022 svarade Europol Europeiska datatillsynsmannen att man fortsatte att tillämpa vissa punkter i beslutet av den 3 januari 2022, men att man i detta skede inte kunde kommentera hur situationen skulle se ut per den 3 januari 2023 och inte heller huruvida nya genomföranderapporter skulle lämnas in i fortsättningen i enlighet med detta beslut. I skrivelsen nämns även att artiklarna 74a och 74b i den ändrade Europolförordningen inte hade tillämpats på vissa bidrag som hade raderats.”
II. Förfarandet vid tribunalen och det överklagade beslutet
6. I sin talan vid tribunalen yrkade Europeiska datatillsynsmannen att de omtvistade övergångsbestämmelserna skulle ogiltigförklaras.
7. Parlamentet yrkade i sin svarsinlaga att tribunalen skulle ogilla talan.
8. Rådet gjorde å sin sida gällande att talan inte kan tas upp till prövning av ”två skäl. … dels på grund av att Europeiska datatillsynsmannen inte nämns i artikel 263 andra och tredje styckena FEUF eller i domen … parlamentet/rådet [ ( 8 ) ] dels på grund av att Europeiska datatillsynsmannen inte är direkt och personligen berörd i den mening som avses i artikel 263 fjärde stycket FEUF”.( 9 )
9. Vad beträffar denna invändning om rättegångshinder gjorde Europeiska datatillsynsmannen gällande följande:
– ”… Europeiska datatillsynsmannen [har] i första hand gjort gällande att den ska anses ha rätt att väcka talan om ogiltigförklaring enligt artikel 263 FEUF eftersom den måste kunna föra talan vid domstol för att kunna försvara sina institutionella befogenheter, särskilt sitt oberoende i egenskap av tillsynsmyndighet enligt artikel 8.3 i stadgan, och för att upprätthålla den institutionella jämvikten mellan tillsynsmyndigheterna och lagstiftaren. Europeiska datatillsynsmannen har i detta avseende preciserat att den ska anses ha talerätt enligt den rättspraxis som följer av domen [parlamentet/rådet] och att denna dom ska tillämpas analogt i förevarande fall, såtillvida att det följer därav att skyddet för institutionella befogenheter undantagsvis gör det möjligt för en institution att försvara dessa befogenheter utan att institutionen i fråga behöver uppfylla de sakprövningsförutsättningar som gäller för fysiska eller juridiska personer enligt artikel 263 fjärde stycket FEUF.”( 10 )
– ”Europeiska datatillsynsmannen har i andra hand gjort gällande att den är direkt och personligen berörd av de angripna bestämmelserna, och den har ett uppenbart och faktiskt intresse av att de ogiltigförklaras …”( 11 )
10. Tribunalen avvisade Europeiska datatillsynsmannens talan av följande skäl:
– För det första fann tribunalen att även om Europeiska datatillsynsmannen har en särskild ställning förekommer den varken bland de sökande som nämns i artikel 263 andra och tredje styckena FEUF eller i förteckningen över institutioner i artikel 13.1 FEU.
– För det andra, i motsats till Europeiska datatillsynsmannens åberopande av den rättspraxis som härrör från domen parlamentet/rådet, förklaras den talerätt som parlamentet beviljades där av behovet av att fylla den lucka som vid den tidpunkten skapades av bristen på rättsmedel mot rättsakter från de andra institutionerna som kunde kränka parlamentets egna befogenheter. Europeiska datatillsynsmannen kan däremot väcka talan om ogiltigförklaring med stöd av artikel 263 fjärde stycket FEUF, eftersom den är ett organ som inrättats genom en sekundärrättslig unionsrättsakt och kan likställas med en juridisk person.
– För det tredje kan Europeiska datatillsynsmannen, i egenskap av unionsorgan, likställas med en juridisk person i den mening som avses i artikel 263 fjärde stycket FEUF, vilket innebär att den i denna egenskap har rätt att väcka talan om ogiltigförklaring av de aktuella övergångsbestämmelserna, i den mån den direkt och personligen berörs av dem.
– I det sistnämnda avseendet ändrar de aktuella övergångsbestämmelserna det regelverk för uppgiftsskydd som övervakas av Europeiska datatillsynsmannen, men påverkar inte arten eller omfattningen av de befogenheter som klaganden tilldelas genom unionsrätten, vilket innebär att villkoret om direkt beröring inte är uppfyllt.
– Eftersom de angripna bestämmelserna inte direkt påverkar Europeiska datatillsynsmannens rättsliga ställning, och eftersom villkoren att den ska vara direkt berörd och individuellt berörd av den akt som avses med talan om ogiltigförklaring är kumulativa, fann tribunalen att talan skulle avvisas, eftersom den delvis inte kunde tas upp till prövning och delvis uppenbart inte kunde tas upp till prövning.
III. Överklagandet och förfarandet vid EU-domstolen
11. I sitt överklagande har Europeiska datatillsynsmannen yrkat att domstolen ska
– upphäva det överklagade beslutet,
– ogiltigförklara de aktuella övergångsbestämmelserna,
– förplikta svarandena i första instans att ersätta rättegångskostnaderna.
12. Till stöd för sitt överklagande har Europeiska datatillsynsmannen anfört en huvudgrund och en alternativ grund:
– I första hand har Europeiska datatillsynsmannen gjort gällande att principen om institutionell jämvikt, i den mening som avses i domen parlamentet/rådet, har åsidosatts, liksom dess rätt till ett effektivt rättsmedel för att skydda dess oberoende.
– I andra hand har Europeiska datatillsynsmannen gjort gällande att tribunalen gjorde en felaktig bedömning när den kom till slutsatsen att Europeiska datatillsynsmannen inte direkt och individuellt berörs av de omtvistade övergångsbestämmelserna, och således inte har rätt att väcka talan om ogiltigförklaring med stöd av artikel 263.4 andra stycket FEUF.
13. Parlamentet har yrkat att domstolen ska
– ogilla överklagandet, och
– förplikta Europeiska datatillsynsmannen att ersätta rättegångskostnaderna.
14. Rådet har yrkat att domstolen ska
– ogilla överklagandet eftersom det är uppenbart att det inte kan prövas i sak eller, i andra hand, eftersom det är uppenbart att det saknar grund, och
– förplikta Europeiska datatillsynsmannen att ersätta rättegångskostnaderna.
15. Republiken Frankrike och kommissionen har inkommit med skriftliga yttranden till stöd för parlamentet och rådet.
16. Efter det att en replik och en duplik lämnats in hölls en offentlig förhandling den 11 mars 2025, vid vilken Europeiska datatillsynsmannen, parlamentet, rådet och kommissionen deltog.
IV. Bedömning
A. Huvudgrunden för överklagandet
1. Parternas argument
a) Huruvida överklagandet kan tas upp till prövning
17. Rådet hävdar att denna grund inte kan tas upp till sakprövning, eftersom Europeiska datatillsynsmannen endast har upprepat argumenten från första instans och uttryckt att den motsätter sig det överklagade beslutet, utan att tydligt ange på vilket sätt det har skett en felaktig rättstillämpning.
18. Europeiska datatillsynsmannen har svarat att den i sitt överklagande särskilt anger de omtvistade punkterna och att Europeiska datatillsynsmannen i denna instans får angripa den rättsliga tolkning som tribunalen har gjort, vars motivering dessutom är otillräcklig.
b) Prövning i sak
19. Europeiska datatillsynsmannen anser att tribunalen borde ha beviljat den rätt att väcka talan mot de aktuella övergångsbestämmelserna, oberoende av kraven i artikel 263 fjärde stycket FEUF, eftersom en oberoende tillsynsmyndighet i den mening som avses i artikel 8.3 i stadgan annars berövas rätten att väcka talan vid domstol för att bevara den institutionella jämvikten.
20. Till stöd för denna ståndpunkt hade Europeiska datatillsynsmannen hänvisat till domen parlamentet/rådet, vilken tribunalen ansåg vara irrelevant av skäl som enligt Europeiska datatillsynsmannen är ogrundade. I likhet med parlamentet i det mål som ledde fram till den domen har Europeiska datatillsynsmannen för närvarande inga möjligheter till rättslig prövning för att försvara sitt oberoende, vilket skyddas av artikel 8.3 i stadgan som en väsentlig del av skyddet av personuppgifter.
21. Europeiska datatillsynsmannen menar att det faktum att den är en juridisk person, till skillnad från parlamentet när det gäller domen parlamentet/rådet, inte kan frånta den möjligheten att försvara sitt oberoende, vilket oundvikligen äventyras av de aktuella övergångsbestämmelsernas retroaktiva karaktär.
22. Det avgörande är enligt Europeiska datatillsynsmannen att det säkerställs att det system för fördelning av befogenheter som fastställs i fördragen förblir oförändrat, vilket EU-domstolen har slagit fast. Denna utgångspunkt kräver att såväl institutionerna som ett organ som Europeiska datatillsynsmannen har tillgång till rättsmedel, med hänsyn till principen om maktbalans.
23. Det faktum att tribunalen har begränsat det rättsmedel som är tillgängligt för Europeiska datatillsynsmannen till artikel 263 fjärde stycket FEUF, har enligt Europeiska datatillsynsmannen skapat en lucka i hela det system för rättslig prövning som införts genom fördragen. Endast en allmän och självständig talerätt kan säkerställa det rättsliga försvaret av Europeiska datatillsynsmannens befogenheter under alla omständigheter, utan att vara beroende av att villkor uppfylls som, i likhet med villkoren i artikel 263 fjärde stycket FEUF, endast uppfylls i sällsynta undantagsfall. Europeiska datatillsynsmannens oberoende kan påverkas av åtgärder som inte direkt och individuellt berör den, men som kan uppmuntra till en risk för ”föregripande hörsamhet”.
24. Europeiska datatillsynsmannen kritiserar också tribunalen för att ha tillskrivit den ett påstående om en ”privilegierad” rätt att ifrågasätta all lagstiftning om behandling av personuppgifter. Dess enda avsikt är tvärtom att få sin rätt att försvara sitt oberoende erkänd, enligt villkoren i domen parlamentet/rådet, och att enbart i detta hänseende motsätta sig innehållet i en viss rättsakt under mycket specifika omständigheter.
25. Parlamentet och rådet anser, med stöd av kommissionen och den franska regeringen, att överklagandet inte kan bifallas såvitt avser dess huvudgrund, eftersom Europeiska datatillsynsmannen inte kan väcka talan om ogiltigförklaring om den inte uppfyller de villkor som föreskrivs i artikel 263 FEUF fjärde stycket.
26. Enligt parlamentets och rådets uppfattning är innehållet i artikel 263 FEUF tydligt: enligt fördragsförfattarnas vilja tillhör Europeiska datatillsynsmannen inte den krets som har rätt att väcka talan utan att behöva uppfylla villkoren i fjärde stycket i den artikeln.
27. Rådet anser att det inte finns någon sådan lucka som Europeiska datatillsynsmannen har gjort gällande och hävdar att om överklagandet skulle bifallas skulle Europeiska datatillsynsmannen potentiellt kunna angripa all lagstiftning om uppgiftsskydd, vilket skulle göra det svårare att ändra denna lagstiftning.
28. Parlamentet, rådet och kommissionen instämmer i tribunalens tolkning av domen parlamentet/rådet. De betonar att fördragen inte ger Europeiska datatillsynsmannen (ett sekundärrättsligt organ som delvis ansvarar för tillsynen över EU:s lagstiftning om uppgiftsskydd) en befogenhet som är jämförbar med den som var aktuell i det målet.
29. Kommissionen hävdar att den tolkning som Europeiska datatillsynsmannen förespråkar skulle kunna tillämpas på alla unionens organ och byråer, till förfång för villkoren i artikel 263 FEUF fjärde stycket. Dessa villkor, tolkade mot bakgrund av rätten till ett effektivt domstolsskydd, utgör inte hinder för ett vederbörligt skydd av personuppgifter, vilket är det yttersta skälet till att Europeiska datatillsynsmannen har beviljats oberoende, utan att det är nödvändigt att bevilja Europeiska datatillsynsmannen direkt och allmän talerätt.
30. Under alla förhållanden hävdar parlamentet att det inte har skett någon inskränkning av Europeiska datatillsynsmannens oberoende, utan ett legitimt utövande av lagstiftningsbefogenheten att ändra regelverket för skydd av personuppgifter.
2. Bedömning
a) Huruvida huvudgrunden kan tas upp till sakprövning
31. Till skillnad från rådet anser jag inte att huvudgrunden för överklagandet ska avvisas.
32. Ett överklagande som endast upprepar eller ordagrant återger grunder och argument som redan har anförts vid tribunalen uppfyller förvisso inte kraven i artiklarna 168.1 d och 169.2 i domstolens rättegångsregler.( 12 )
33. I domen Tyskland/kommissionen slog domstolen emellertid fast att ”[n]är en klagande har ifrågasatt tribunalens tolkning eller tillämpning av unionsrätten, kan de rättsfrågor som prövats av tribunalen dock på nytt tas upp till diskussion i målet om överklagande”.( 13 )
34. Så förhåller det sig här. Även om Europeiska datatillsynsmannen upprepar de argument som den anförde i första instans för att motivera att dess talan om ogiltigförklaring kunde tas upp till sakprövning, gör den det nu för att kritisera den tolkning av artikel 263 FEUF som tribunalen har gjort. Europeiska datatillsynsmannen identifierar (och kritiserar) de rättsliga grunderna för det överklagade beslutet och anger tydligt de rättsliga argument som ligger till grund för dess yrkande.
b) Prövning i sak
35. I punkterna 26–35 i det överklagade beslutet anges skälen till varför Europeiska datatillsynsmannen enligt tribunalen inte kan väcka talan utan att uppfylla villkoren i artikel 263 fjärde stycket FEUF.
36. Tribunalen understryker att Europeiska datatillsynsmannen inte hör till de institutioner som enligt artikel 263 FEUF uttryckligen har rätt att a) väcka talan rörande bristande behörighet, åsidosättande av väsentliga formföreskrifter, åsidosättande av fördragen eller av någon rättsregel som gäller deras tillämpning eller rörande maktmissbruk (andra stycket), och b) när det gäller vissa institutioner, väcka talan för att tillvarata sina rättigheter (tredje stycket).
37. De parter som får väcka sådan talan är följande:
– Medlemsstaterna, parlamentet, rådet och kommissionen, som enligt artikel 263 andra stycket FEUF har allmän talerätt.
– Revisionsrätten, Europeiska centralbanken och Regionkommittén, som enligt artikel 263 tredje stycket FEUF får väcka talan för att tillvarata sina egna rättigheter.
38. Förutom att Europeiska datatillsynsmannen inte finns med bland de parter som nämns i artikel 263 andra och tredje styckena FEUF finns den inte heller med i förteckningen över institutioner i artikel 13.1 FEU. Med undantag för Regionkommittén är detta samma institutioner som genom EU-fördraget har tilldelats sådan talerätt som Europeiska datatillsynsmannen, som inte finns med i förteckningen, nu gör gällande att den har.( 14 )
39. Europeiska datatillsynsmannen är ett unionsorgan som inrättats genom sekundärlagstiftning.( 15 ) Europeiska datatillsynsmannen kan inte i sig, enligt domstolens praxis, anses ingå i begreppet institutioner: enligt artikel 13.1 FEU, hänvisar det begreppet nämligen till en exakt förteckning över enheter som inte inbegriper unionens organ och byråer.( 16 )
40. Enligt artikel 263 första stycket in fine FEUF ska domstolen även granska ”lagenligheten av sådana akter antagna av unionens organ eller byråer som är avsedda att ha rättsverkan i förhållande till tredje man”. Dessa organ och byråer ingår emellertid inte i den krets som får väcka talan vid domstolen enligt artikel 263 andra och tredje styckena FEUF.
41. De har avsiktligen undantagits, eftersom det, såsom tribunalen med rätta påpekar, framgår av det faktum att Regionkommittén ingår bland dem som får väcka talan enligt artikel 263 tredje stycket FEUF att ”fördragets upphovsmän tog ställning till frågan huruvida andra aktörer än institutionerna ska ha möjlighet att tillvarata sina rättigheter enligt denna bestämmelse, men valde att inte inkludera Europeiska datatillsynsmannen bland dessa”.( 17 )
42. Europeiska datatillsynsmannen är en oberoende myndighet som i enlighet med artikel 16.2 FEUF ska övervaka att unionens egna institutioner, organ och byråer respekterar unionens regler på detta område.( 18 ) Detta gör Europeiska datatillsynsmannen till ett oberoende unionsorgan , men inte till en unionsinstitution .
43. Europeiska datatillsynsmannen vände sig inte till EU-domstolen för att ifrågasätta de nya bestämmelserna, vilket den skulle ha varit skyldig att göra om den hade varit en av unionens institutioner. Enligt artikel 51 b i stadgan för Europeiska unionens domstol är en sådan talan som avses i artikel 263 FEUF och som bland annat väcks av en unionsinstitution mot en lagstiftningsakt, förbehållna domstolens behörighet. Ett sådant tillvägagångssätt visar att Europeiska datatillsynsmannen själv inte såg sig som en unionsinstitution.
44. Det som Europeiska datatillsynsmannen ifrågasätter är snarare tribunalens argument för att inte godta den analoga tillämpningen av domen parlamentet/rådet, vilka utvecklas i punkterna 38–55 i det överklagade beslutet.
45. Europeiska datatillsynsmannen tycks således, åtminstone implicit, medge att artikel 263 andra och tredje styckena FEUF leder till den lösning som valts i det överklagade beslutet. Europeiska datatillsynsmannen anser emellertid att de överväganden som föranledde domstolen att i domen parlamentet/rådet erkänna parlamentets omtvistade rätt att väcka talan måste ges företräden framför ordalydelsen i dessa två bestämmelser.
46. Jag delar emellertid tribunalens uppfattning på denna punkt.
47. Den tolkning som tribunalen gör av domen parlamentet/rådet föranleder den att ”erinra” om att i domen ”konstaterade domstolen att det inte gick att utläsa av lydelsen i artikel 173 i EEG‑fördraget att parlamentet hade möjlighet att väcka talan vid unionsdomstolarna mot rättsakter som antagits av andra institutioner och som kunde kränka parlamentets egna befogenheter. Domstolen valde att fylla denna lucka genom att tillämpa den allmänna principen om institutionell jämvikt.”( 19 )
48. I domen parlamentet/rådet angav domstolen följande:
– Parlamentets befogenheter ”är en del av den institutionella jämvikt som skapats genom fördragen. Det har i fördragen införts ett system för kompetensfördelning mellan [unionens] olika institutioner, vilka var och en fått egna uppgifter inom [unionens] institutionella struktur och vid genomförandet av de uppgifter som lagts på [unionen].”( 20 )
– Det var nödvändigt att ”säkerställa att den institutionella jämvikten upprätthålls och följaktligen kunna pröva om parlamentets befogenheter respekteras, när parlamentet i denna avsikt väcker talan vid domstolen med användning av ett rättsmedel som är lämpligt för det syfte som parlamentet vill uppnå”.( 21 )
– När domstolen fullgör denna uppgift åligger det den att ”säkerställa att fördragens bestämmelser om institutionell jämvikt tillämpas fullt ut och att se till att parlamentet, liksom de andra institutionerna, inte kan få sina befogenheter kränkta utan att kunna utnyttja någon av de i fördragen föreskrivna talemöjligheterna som kan användas på ett säkert och effektivt sätt”.( 22 )
– ”Den omständigheten att det inte finns någon bestämmelse i fördragen som ger parlamentet rätt att väcka talan om ogiltigförklaring kan utgöra en processuell brist, men denna omständighet kan inte väga tyngre än det grundläggande intresset av att upprätthålla och respektera den institutionella jämvikt som slagits fast i Europeiska gemenskapernas grundläggande fördrag.”( 23 )
49. Följaktligen slog domstolen fast att en av parlamentet väckt ”talan om ogiltigförklaring av en rättsakt av rådet eller kommissionen [kan] upptas till sakprövning under förutsättning att talan uteslutande syftar till att skydda parlamentets befogenheter och endast grundas på att dessa har kränkts ”.( 24 )
50. Omständigheterna för Europeiska datatillsynsmannen skiljer sig mycket från dem som rådde när det gäller parlamentet vid tidpunkten för domen parlamentet/rådet.
51. För det första hänvisas det i domen i målet parlamentet/rådet till den institutionella jämvikten i förhållande till kompetensfördelningen ”mellan [unionens] olika institutioner”. Som jag tidigare har nämnt är Europeiska datatillsynsmannen inte en unionsinstitution.
52. För det andra hade parlamentet, i det scenario som tas upp i domen parlamentet/rådet, endast ”ineffektiva eller osäkra” rättsmedel för att skydda sina befogenheter. I förevarande mål har Europeiska datatillsynsmannen däremot för närvarande ett effektivt och säkert rättsmedel till sitt förfogande. Europeiska datatillsynsmannen hävdar( 25 ) att den kan bevisa att den uppfyller kraven för talerätt enligt artikel 263 fjärde stycket FEUF.( 26 )
53. Genom att medge att denna möjlighet finns, just i detta mål, sätter Europeiska datatillsynsmannen i stor utsträckning sin första grund för överklagandet ur spel, såvitt avser tillämpningen av den rättspraxis som följer av domen parlamentet/rådet. Utgångspunkten i den sistnämnda domen var som nämnts att parlamentet saknade effektiva och säkra rättsmedel.
54. Mot bakgrund av detta spelar det ingen roll om det finns andra situationer där Europeiska datatillsynsmannen, även om dess befogenheter påverkas, inte skulle ha rätt att väcka talan vid domstolen enligt artikel 263.4 FEUF.( 27 ) Oavsett om sådana fall som de som Europeiska datatillsynsmannen pekar på förekommer eller inte, är det endast de konkreta och faktiska omständigheter som tagits upp vid tribunalen som är av betydelse här. Det är endast i förhållande till detta fall som det måste avgöras om Europeiska datatillsynsmannen uppfyller villkoren för att få väcka talan mot övergångsbestämmelserna i fråga.
55. Sammanfattningsvis anser jag att Europeiska datatillsynsmannen saknar talerätt enligt artikel 263 andra och tredje styckena FEUF, vilket innebär att överklagandet inte kan vinna bifall såvitt avser dess huvudgrund.
B. Den alternativa grunden för överklagandet
1. Parternas argument
a) Huruvida huvudgrunden kan tas upp till sakprövning
56. Rådet anser att även denna grund ska avvisas, av samma skäl som gör att huvudgrunden ska avvisas.
b) Prövning i sak
57. Europeiska datatillsynsmannen börjar med att kritisera bristen på tydlighet i punkterna 76 och 77 i det överklagade beslutet, där det anges att beslutet av den 3 januari 2022 ”är … ett administrativt beslut som inte kan påverka lagstiftningsakter såsom [Europolförordningen], och inte heller dess innehåll” och att ”[ä]ven om de angripna bestämmelserna innebär att det tillämpliga regelverket ändras, vars efterlevnad Europeiska datatillsynsmannen har till uppgift att kontrollera, och trots att dessa bestämmelser inte helt och hållet har samma innebörd som beslutet av den 3 januari 2022, påverkar de inte sökandens rättsliga ställning”.
58. Enligt Europeiska datatillsynsmannen är dessa uttalanden felaktiga i två avseenden. Dels beaktar de inte att utövandet av Europeiska datatillsynsmannens befogenheter kräver rättssäkerhet och att dessa befogenheter har påverkats negativt genom antagandet av retroaktiva åtgärder. Dels beaktar de inte att de aktuella övergångsbestämmelserna är avsedda att neutralisera de pågående effekterna av ett specifikt beslut och därför riktar sig till Europeiska datatillsynsmannen och Europol.
59. Enligt Europeiska datatillsynsmannen är det just övergångsbestämmelsernas retroaktiva karaktär som gör att dess oberoende ifrågasätts, vilket inte på något sätt skulle påverkas om lagändringen skulle gälla pro futuro .
60. Europeiska datatillsynsmannen tillägger att dessa bestämmelser också påverkar den på ett särskilt sätt när den utövar sin tillsynsfunktion på området för uppgiftsskydd. Det handlar här om personuppgifter vars skydd äventyras av övergångsbestämmelser som, just av detta skäl, med nödvändighet berör Europeiska datatillsynsmannen själv.
61. Parlamentet och rådet, med stöd av kommissionen och den franska regeringen, ansluter sig i allt väsentligt till tribunalens argument.
62. Parlamentet hävdar särskilt att om det skulle godtas att varje ändring av regler som redan tillämpats av Europeiska datatillsynsmannen direkt berör den, skulle den ges ställning som privilegierad klagande, i strid med artikel 263 FEUF. I likhet med detta varnar den franska regeringen för att detta skulle göra kriteriet om direkt beröring meningslöst.
2. Bedömning
a) Huruvida grunden kan tas upp till sakprövning
63. De skäl som jag har anfört för att tillbakavisa rådets ståndpunkt att huvudgrunden för överklagandet ska avvisas kan även tillämpas på den alternativa grunden.
b) Prövning i sak
64. Såväl tribunalen som de institutioner som medverkat i detta mål är eniga om att Europeiska datatillsynsmannen inte har en sådan talerätt som avses i artikel 263 andra och tredje styckena FEUF (privilegierad talerätt). De är också överens om att Europeiska datatillsynsmannens talerätt är beroende av att villkoren i artikel 263 fjärde stycket FEUF uppfylls. Så här långt håller jag med om deras bedömningar.
65. Jag håller emellertid inte med om att Europeiska datatillsynsmannen i detta fall inte uppfyller de villkor som krävs enligt artikel 263 fjärde stycket i FEUF.
66. Om man bortser från den privilegierade talerätt som Europeiska datatillsynsmannen eftersträvar anser jag att arten av de tillsynsfunktioner för dataskyddslagstiftningen som anförtrotts detta organ talar emot en alltför strikt tolkning av dess normala rätt att väcka talan i domstol.
67. Även om jag tidigare har gjort gällande att Europeiska datatillsynsmannen inte har ställning som en unionsinstitution vill jag här understryka att den har en viktig funktion, som är inskriven i EUF-fördraget, när det gäller att se till att unionens institutioner, organ och byråer följer reglerna om skydd för enskilda personer med avseende på behandling av personuppgifter. Möjligheterna att utöva denna funktion, i form av en talan vid unionsdomstolarna, bör inte inskränkas utan mycket starka skäl.
68. Av de skäl som jag kommer att redogöra för nedan anser jag att även en restriktiv tolkning av kraven i artikel 263 fjärde stycket FEUF skulle göra det möjligt att tillerkänna Europeiska datatillsynsmannen den talerätt som den har nekats i den överklagade domen.
69. Den lösning jag förespråkar innebär inte att man föregriper prövningen av sakfrågan i talan om ogiltigförklaring. Vid prövningen av om ett överklagande kan tas upp till sakprövning är det inte nödvändigt att föregripa avgörandet i sak, utan det är tillräckligt att kontrollera om klaganden på ett adekvat sätt har angett skälen till varför den omtvistade bestämmelsen påverkar hans rättsliga ställning.( 28 )
70. Tribunalen har slagit fast att de aktuella övergångsbestämmelserna inte direkt berör Europeiska datatillsynsmannen, vilket krävs enligt artikel 263 fjärde stycket FEUF. Det beror dels på att även om det regelverk som Europeiska datatillsynsmannen har till uppgift att kontrollera har ändrats är detta inte fallet var gäller dess befogenheter.( 29 ) Dels beror det på att dessa bestämmelser ger ”Europol ett visst utrymme för skönsmässig bedömning”.( 30 )
71. Tribunalens sätt att fastställa kriterierna för att avgöra huruvida det föreligger en ”direkt beröring” är i princip korrekt. Det följer av fast praxis vid EU-domstolen att två kumulativa villkor ska vara uppfyllda för att en talan ska få väckas mot en åtgärd. ”För det första måste åtgärden ha direkt inverkan på dennes rättsliga ställning. För det andra får rättsakten inte lämna något utrymme för skönsmässig bedömning för dem till vilka den riktar sig, och som ska genomföra den, vilket innebär att genomförandet ska ha en rent automatisk karaktär och endast följa av unionslagstiftningen, utan att några mellanliggande regler tillämpas.”( 31 )
72. Vid bedömningen av huruvida de omtvistade övergångsbestämmelserna påverkar Europeiska datatillsynsmannens rättsliga ställning i detta fall anser jag emellertid att tribunalen i själva verket inte prövar huruvida talan kan tas upp till sakprövning utan att den gör en prövning i sak: dess viktigaste överväganden rör de omtvistade övergångsbestämmelsernas eventuella inverkan på Europeiska datatillsynsmannens oberoende. Tribunalen slår särskilt fast att de aktuella övergångsbestämmelsernas (påstådda) retroaktiva karaktär inte kan äventyra Europeiska datatillsynsmannens oberoende.
73. Enligt min uppfattning var tribunalens enda uppgift i detta skede av förfarandet att fastställa huruvida Europeiska datatillsynsmannen hade lagt fram en relevant (det vill säga rimlig och trovärdig) motivering till varför dessa bestämmelser kunde ha en sådan verkan.
74. På liknande sätt förhåller det sig med det andra villkoret: tribunalen utgår från att de aktuella övergångsbestämmelserna ger Europol ett utrymme för skönsmässig bedömning för att besluta ”huruvida vissa uppgifter ska fortsätta att behandlas”, vilket skulle visa att ”de angripna bestämmelserna … inte är av rent automatisk karaktär”.( 32 )
75. Tribunalen tillbakavisar Europeiska datatillsynsmannens kritik (avseende följderna av utövandet av detta utrymme för skönsmässig bedömning med avseende på dess beslut av den 3 januari 2022), med motiveringen att ”de angripna bestämmelserna inte hindrar Europeiska datatillsynsmannen från att utöva sina befogenheter på det sätt som denne önskar”.( 33 )
76. Den sistnämnda bedömningen möter dock två invändningar:
– Dels avgör den återigen själva sakfrågan genom att, vid bedömningen av huruvida talan kan tas upp till sakprövning, föregripa de rättsverkningar som de omtvistade övergångsbestämmelserna har på situationen för den person som vill angripa dem.( 34 ) Den avgör dessutom detta genom att åberopa den teoretiska möjligheten för Europol att agera på ett visst sätt, när Europols svar till Europeiska datatillsynsmannen den 22 augusti 2022( 35 ) i själva verket visade att åtminstone en del av Europeiska datatillsynsmannens beslut av den 3 januari 2022 inte längre tillämpades av Europol.
– Dels förskjuts frågan till att handla om Europeiska datatillsynsmannens eventuella reaktion på (framtida) beslut av Europol, när den avgörande frågan för att lösa tvisten var huruvida övergångsbestämmelserna i fråga i sig och på ad hoc-basis överlappade enskilda beslut som tidigare antagits av Europeiska datatillsynsmannen och som riktats mot vissa, även tidigare, ageranden från Europols sida. Under dessa förhållanden kunde det hävdas att det ”utrymme för skönsmässig bedömning” som beviljats eo ipso gjorde det möjligt för Europol att inte följa Europeiska datatillsynsmannens beslut av den 3 januari 2022.
77. Oavsett detta är jag inte så säker på att kravet på utrymme på skönsmässig bedömning, under omständigheterna i detta mål, måste avse Europols agerande. Om de aktuella övergångsbestämmelserna, vilket jag anser, berör Europeiska datatillsynsmannen direkt och, som framgår nedan, även individuellt, beror det på att de ger rättsverkningar i ett specifikt beslut av Europeiska datatillsynsmannen och därför är riktade till den. Europeiska datatillsynsmannen hade inget handlingsutrymme när det gällde frågan om detta beslut, eftersom dess innehåll enligt övergångsbestämmelserna i fråga ovillkorligen måste överensstämma med bestämmelserna i fråga.
78. Av Europeiska datatillsynsmannens redogörelse för de faktiska omständigheterna och av redogörelsen för de faktiska omständigheterna i det överklagade beslutet följer enligt min mening att de angripna övergångsbestämmelserna direkt berörde Europeiska datatillsynsmannen. Huruvida de gjorde detta på ett sätt som inkräktade på dess befogenheter eller undergrävde dess oberoende är, som nämnts, den sakfråga som Europeiska datatillsynsmannen tog upp i tribunalen.
79. En jämförelse mellan innehållet i Europeiska datatillsynsmannens beslut av den 3 januari 2022 och innehållet i de aktuella övergångsbestämmelserna visar att det åtminstone var berättigat att hävda att lagstiftaren genom den ändrade Europolförordningen avsåg att ”rätta” ett beslut av Europeiska datatillsynsmannen som hade vunnit laga kraft (det hade inte överklagats av Europol).
80. Således kan följande konstateras:
– Dels hade Europeiska datatillsynsmannen uppmanat Europol att inom 12 månader kategorisera de dataset som den förfogade över den 3 januari 2022.
– Dels innebar de aktuella övergångsbestämmelserna följande: (a) De förlängde den period som Europol har till sitt förfogande för att kategorisera de uppgifter som den förfogar över vid tidpunkten för ikraftträdandet, det vill säga den 28 juni 2022, till 18 månader, med möjlighet till förlängning, och b) angav de villkor och förfaranden enligt vilka behandling av personuppgifter som inte rör de kategorier av registrerade som anges i bilaga II till EIR och som har lämnats till Europol före den 28 juni 2022 är tillåten till stöd för en pågående brottsutredning.
81. Europeiska datatillsynsmannen är noga med att försäkra att den inte är ute efter att få väcka talan mot varje ändring av det regelverk där innehållet i myndighetens funktioner ingår. Dessutom har den inga invändningar mot att, som den gjorde vid förhandlingen, medge att den inte skulle ha några invändningar mot de nya bestämmelserna n om de endast tillämpades pro futuro .
82. I förevarande fall berör emellertid ändringsförslaget Europeiska datatillsynsmannen på så sätt att det ändrar innehållet i ett tidigare beslut av den, som redan vunnit laga kraft och som fattats i enlighet med gällande bestämmelser, vilket innebär en risk för föregripande hörsamhet som kan leda till att dess oberoende ifrågasätts.
83. Det kan ifrågasättas, vilket parlamentet också gör, huruvida de aktuella övergångsbestämmelserna har retroaktiv verkan. Det kan också ifrågasättas huruvida de, även om de är retroaktiva, påverkar Europeiska datatillsynsmannens oberoende på ett negativt sätt. Generellt sett anser jag att när lagstiftaren ändrar det materiella innehållet i de bestämmelser som ska tillämpas av ett förvaltningsorgan, påverkar detta inte organets oberoende.( 36 )
84. Jag vidhåller emellertid att detta är den sakfråga som Europeiska datatillsynsmannen tar upp i sin talan om ogiltigförklaring, och som inte kan kringgås genom att den ogillas i förväg. Tribunalen föregriper i själva verket sina skäl i sak avseende Europeiska datatillsynsmannens yrkande i sak, som en grund för beslutet att avvisa talan om ogiltigförklaring.
85. De aktuella övergångsbestämmelsernas ad hoc-karaktär innebär att även villkoret om att enskilda intressen berörs kan anses uppfyllt, en aspekt som, även om tribunalen inte har uttalat sig i frågan, måste besvaras i detta skede.( 37 )
86. Enligt min mening framgår den individuella beröringen av enbart redogörelsen för det lagstiftningsförfarande som ledde fram till antagandet av de aktuella övergångsbestämmelserna. Tribunalen har redogjort för detta i punkterna 5–11 i det överklagade beslutet.
87. Det framgår av dessa punkter hur lagstiftningsförfarandet inleddes före antagandet av Europeiska datatillsynsmannens beslut av den 3 januari 2022, nämligen den 9 december 2020 med ett förslag till ändring av EIR som lades fram av kommissionen. I yttrande 4/2021( 38 ) ställde sig Europeiska datatillsynsmannen bakom förslaget, med vissa förbehåll.
88. Kort efter antagandet av Europeiska datatillsynsmannens beslut av den 3 januari 2022, den 1 februari 2022, efter den sista trepartsförhandlingen, lades de omtvistade övergångsbestämmelserna till den 1 februari 2022. Allt tyder på att ursprunget till detta införlivande finns i rådets dokument 5370/22 av den 24 januari 2022 om förberedelserna inför trepartsmötet.( 39 ) Där anges följande:
– ”[D]et beslut som [Europeiska datatillsynsmannen] nyligen antog, vilken kan få operativa konsekvenser för Europols verksamhet, bekräftar behovet av ett snabbt antagande av förordningen”.
– ”[O]rdförandeskapet föreslog delegationerna att införa en ny artikel 74 a som syftar till att ytterligare klargöra statusen för de uppgifter som för närvarande innehas av Europol, särskilt i samband med den datatillsynsmannens ovannämnda beslut av den 3 januari 2022”.
– ”[P]rinciperna i detta förslag välkomnades av många delegationer vid mötet den 19 januari [2022], men ett godkännande av kommittén är nödvändigt på grund av att det nyligen lades fram och den utmaning som denna fråga utgör efter Europeiska datatillsynsmannens beslut”.( 40 )
89. Det är svårt att förneka att de omtvistade övergångsbestämmelserna utgör ett svar på åtgärden i Europeiska datatillsynsmannens beslut av den 3 januari 2022 och därför riktas till datatillsynsmannen individuellt. Det är regler som, inför den utmaning som datatillsynsmannens beslut utgör, som inte kunde angripas eftersom det vunnit laga kraft, syftar övervinna dess innehåll och dess konsekvenser.
90. Jag förstår inte hur man i detta sammanhang kan anse att Europeiska datatillsynsmannen inte direkt och individuellt berörs av de aktuella övergångsbestämmelserna, när de specifikt syftar till att motverka ett individuellt beslut som fattats av datatillsynsmannen själv och som redan är slutgiltigt.
91. Europeiska datatillsynsmannen ska säkerställa och övervaka tillämpningen av bestämmelserna i förordning (EU) 2018/1725( 41 ) ”och i varje annan unionsakt om skydd av fysiska personers grundläggande rättigheter och friheter med avseende på behandling av personuppgifter som utförs av en unionsinstitution eller ett unionsorgan”.( 42 )
92. Om Europeiska datatillsynsmannen, när den utövar denna behörighet, ålägger ett unionsorgan att vidta en viss specifik åtgärd och, som svar på detta beslut (som blir slutgiltigt), det därefter antas en bestämmelse som särskilt syftar till att neutralisera beslutet, anser jag att datatillsynsmannen bör ges möjlighet att hänskjuta saken till unionens domstolar för att pröva giltigheten av den (nya) bestämmelsen.
93. Sammanfattningsvis anser jag, utan att föregripa innehållet i den sakfråga som Europeiska datatillsynsmannen tog upp vid tribunalen om giltigheten av de omtvistade övergångsbestämmelserna, att dessa bestämmelser berör datatillsynsmannen i tillräcklig utsträckning för att motivera den talerätt som nekas denne i det överklagade beslutet.
C. Målets slutliga avgörande
94. Enligt artikel 61 första stycket i stadgan för Europeiska unionens domstol kan domstolen, om den upphäver tribunalens avgörande, antingen själv slutligt avgöra målet, om detta är färdigt för avgörande, eller återförvisa målet till tribunalen för avgörande.
95. Europeiska datatillsynsmannen har yrkat att EU-domstolen ska meddela ett slutligt avgörande i den sakfråga som togs upp i första instans.
96. Jag anser att målet inte är färdigt för att avgöras slutligt av EU-domstolen. Europeiska datatillsynsmannen medger i själva verket själv detta, eftersom den har yrkat att det ska meddelas ”en slutlig dom efter att ha gett alla parter möjlighet att yttra sig över varje aspekt av målet”.( 43 )
97. Diskussionen i första instans inriktades på frågan om huruvida den talan som Europeiska datatillsynsmannen väckt mot de aktuella övergångsbestämmelserna kunde tas upp till sakprövning. Och även om denna fråga har lösts, såsom jag just har förklarat, genom att föregripa prövningen i sak på vissa punkter, har den inte varit föremål för en fullständig diskussion, utan endast varit instrumentell, i det enda syftet att avgöra om Europeiska datatillsynsmannen har en sådan talerätt som parlamentet och rådet ifrågasätter. Målet bör därför återförvisas till tribunalen för avgörande efter ett kontradiktoriskt förfarande.
D. Rättegångskostnader
98. I enlighet med artikel 184 i domstolens rättegångsregler och i enlighet med Europeiska datatillsynsmannens yrkande ska parlamentet och rådet förpliktas att ersätta rättegångskostnaderna i denna instans. Förbundsrepubliken Tyskland och Republiken Frankrike ska bära sina egna rättegångskostnader.
V. Förslag till avgörande
99. Mot bakgrund av vad som ovan anförts föreslår jag att domstolen beslutar enligt följande:
– Överklagandet bifalls.
– Det beslut som fattats av Europeiska unionens tribunal den 6 september 2023, Europeiska datatillsynsmannen/parlamentet och rådet (T‑578/22, EU:T:2023:522), upphävs.
– Målet återförvisas till Europeiska unionens tribunal för avgörande i sak, i enlighet med artikel 61 i stadgan för Europeiska unionens domstol.
– Europaparlamentet och Europeiska unionens råd förpliktas att ersätta rättegångskostnaderna.
– Förbundsrepubliken Tyskland och Republiken Frankrike ska bära sina rättegångskostnader.
1 Originalspråk: spanska.
2 Mål T‑578/22, EU:T:2023:522 (nedan kallat det överklagade beslutet).
3 Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 2016, s. 53) (nedan kallad nedan kallad den ursprungliga Europolförordningen).
4 Europaparlamentets och rådets förordning (EU) 2022/991 av den 8 juni 2022 om ändring av förordning (EU) 2016/794 vad gäller Europols samarbete med privata parter, Europols behandling av personuppgifter till stöd för brottsutredningar och Europols roll inom forskning och innovation (EUT L 169, 2022, s.1). Jag kommer nedan att hänvisa till Europolförordningen i den lydelse som följer av denna ändring som den ”ändrade Europolförordningen”.
5 Det rör sig om två övergångsbestämmelser (artiklarna 74a och 74b) (nedan kallade de omtvistade övergångsbestämmelserna) som, såvitt här är av intresse, avser behandling av personuppgifter till stöd för en viss pågående brottsutredning respektive behandling av personuppgifter som innehas av Europol.
6 I artikel 18 (”Syftet med behandlingen av uppgifter”) i den ursprungliga Europolförordningen föreskrevs följande i punkterna 3 och 5:
”3. Behandling för operativa analyser som avses i punkt 2 c ska genomföras i form av projekt för operativa analyser för vilka följande särskilda skyddsåtgärder ska tillämpas:
a) För varje projekt för operativa analyser ska den verkställande direktören fastställa det särskilda syftet, kategorier av personuppgifter och av registrerade, deltagare, hur länge uppgifterna får lagras och villkoren för åtkomst, överföring och användning av de berörda uppgifterna, och ska informera styrelsen och Europeiska datatillsynsmannen.
b) Personuppgifter får endast samlas in och behandlas för det angivna projektet för operativa analyser. Om det framkommer att personuppgifter kan vara relevanta för ett annat projekt för operativa analyser, ska fortsatt behandling av dessa personuppgifter vara tillåten endast i den mån den fortsatta behandlingen är nödvändig och proportionell och personuppgifterna är förenliga med de bestämmelser i led a som är tillämpliga på det andra analysprojektet.
c) Endast bemyndigad personal kan få tillgång till och behandla uppgifter avseende det berörda projektet.
…
5. Bilaga II innehåller en förteckning över kategorier av personuppgifter och kategorier av registrerade vars uppgifter får samlas in och behandlas för vart och ett av de syften som avses i punkt 2.”
7 I artikel 18.6 i den ursprungliga Europolförordningen föreskrevs följande: ”Europol får tillfälligt behandla uppgifter för att fastställa om uppgifterna i fråga är relevanta för dess uppgifter och, i så fall, för vilket av de syften som avses i punkt 2. Styrelsen ska på förslag av den verkställande direktören och efter att ha hört Europeiska datatillsynsmannen närmare ange villkoren för behandling av sådana uppgifter, särskilt när det gäller tillgång till och användning av uppgifterna, samt tidsgränser för lagring och utplåning av uppgifterna vilka inte får överskrida sex månader, med vederbörlig hänsyn till de principer som avses i artikel 28.”
8 Dom av den 22 maj 1990 (C‑70/88, EU:C:1990:217) (nedan kallad domen parlamentet/rådet).
9 Punkt 23 i det överklagade beslutet.
10 Punkt 21 i det överklagade beslutet.
11 Punkt 22 i det överklagade beslutet.
12 Dom av den 17 december 2020, Tyskland/kommissionen (C‑475/19 och C‑688/19 P, EU:C:2020:1036) (nedan kallad domen Tyskland/kommissionen), punkt 33, som rådet hänvisar till.
13 Se föregående fotnot, och där angiven rättspraxis.
14 Detta angav tribunalen i punkt 27 i den överklagade domen.
15 Artikel 41.1 i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, 2001, s. 1).
16 Punkt 29 i det överklagade beslutet, i vilket det hänvisas till dom av den 14 juli 2022, Italien och Comune di Milano/rådet och parlamentet (Europeiska läkemedelsmyndighetens säte) (C‑106/19 och C‑232/19, EU:C:2022:568), punkterna 113 och 116.
17 Punkt 32 i det överklagade beslutet.
18 Punkt 33 i det överklagade beslutet har följande lydelse: ”Europeiska datatillsynsmannens ställning som oberoende tillsynsmyndighet nämns visserligen i artikel 16.2 FEUF, där det föreskrivs att det ska antas bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter hos unionens institutioner, organ och byråer, och att oberoende myndigheter ska kontrollera att dessa bestämmelser följs. På samma sätt anges i artikel 8.3 i stadgan att en oberoende myndighet ska kontrollera efterlevnaden av regler om skydd för personuppgifter.”
19 Punkt 41 i det överklagade beslutet. I domen parlamentet/rådet (punkt 16) medgav domstolen att de olika rättsmedel som i domen av den 27 september 1988, parlamentet/rådet (302/87, EU:C:1988:461), hade ansetts vara tillräckliga för att underkasta rådets eller kommissionens rättsakter som antagits i strid med parlamentets rättigheter domstolsprövning, kunde visa sig ”ineffektiva eller osäkra”.
20 Domen parlamentet/rådet, punkt 21.
21 Domen parlamentet/rådet, punkt 23.
22 Domen parlamentet/rådet, punkt 25.
23 Domen parlamentet/rådet, punkt 26.
24 Domen parlamentet/rådet, punkt 27. Min kursivering.
25 Punkt 30 i dess överklagande.
26 I detta perspektiv är det irrelevant att uppfyllandet av dessa krav för EDPS är en följd av de ”mycket exceptionella” omständigheterna i förevarande mål.
27 Punkterna 32 och 33 i dess överklagande.
28 Dom av den 6 november 2018, Scuola Elementare Maria Montessori/kommissionen, kommissionen/Scuola Elementare Maria Montessori och kommissionen/Ferracci (C‑622/16 P–C‑624/16 P, EU:C:2018:873, punkt 47): ”I den mån villkoret direkt berörd fordrar att den angripna rättsakten har direkt inverkan på sökandens rättsliga ställning, ska unionsdomstolen kontrollera huruvida sökanden på ett relevant sätt har redogjort för skälen till varför kommissionsbeslutet kan ge denne en konkurrensnackdel och därmed påverka dennes rättsliga ställning.” Min kursivering.
29 Punkt 74 i det överklagade beslutet.
30 Punkt 78 i det överklagade beslutet.
31 Se exempelvis dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet (C‑348/20 P, EU:C:2022:548, punkterna 43 och 44 samt där angiven rättspraxis).
32 Punkterna 80 och 82 i det överklagade beslutet.
33 Punkt 83 i den överklagade domen.
34 Dom av den 12 juli 2022, Nord Stream 2/parlamentet och rådet (C‑348/20 P, EU:C:2022:548, punkt 98 och där angiven rättspraxis).
35 Punkt 13 i det överklagade beslutet.
36 Vid förhandlingen fördes en omfattande diskussion om denna fråga som enligt min mening hör till den materiella bedömningen av datatillsynsmannens yrkanden och inte till bedömningen av huruvida överklagandet ska tas upp till sakprövning.
37 Även om tribunalen har uteslutit förekomsten av direkt beröring kan dess beslut att avvisa datatillsynsmannens talan i slutändan vara motiverat på andra rättsliga grunder, särskilt om villkoret om individuell beröring inte är uppfyllt. Se till exempel domarna av den 6 november 2018, Scuola Elementare Maria Montessori/kommissionen, kommissionen/ Scuola Elementare Maria Montessori och kommissionen/Ferracci (C‑622/16 P–C‑624/16 P, EU:C:2018:873, punkt 48) och där angiven rättspraxis, och dom av den 22 juni 2021, Venezuela/rådet (Berört tredjeland) (C‑872/19 P, EU:C:2021:507, punkterna 86 och 87).
38 Europeiska datatillsynsmannens yttrande av den 8 mars 2021 om förslaget till ändring av Europolförordningen , tillgängligt på https://www.edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-amendment-europol-regulation_en.
39 Tillgängligt på https://data.consilium.europa.eu/doc/document/ST-5370–2022-INIT/fr/pdf.
40 Punkt 11 i det överklagade beslutet.
41 Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39).
42 Artikel 52.3 i förordning 2018/1725.
43 Punkt 68 in fine i dess överklagande.