Tribunalens dom (femte avdelningen) den 25 februari 2026

I mål T‑1180/23,

TRIBUNALEN (femte avdelningen) vid överläggningen sammansatt av ordföranden J. Svenningsen (referent) samt domarna J. Martín y Pérez de Nanclares och M. Stancu, justitiesekreterare: handläggaren L. Ramette,

efter den skriftliga delen av förfarandet,

efter förhandlingen den 9 september 2025,

följande

Dom

I. Bakgrunden till tvisten

II. Parternas yrkanden

III. Rättslig bedömning

A. De omständigheter och akter som påståtts utgöra skadegörande handlingar samt tribunalens behörighet att pröva dessa

1. Inledande synpunkter

2. De akter som kan tillskrivas Europol eller Eurojust

a) Akter och ageranden som kan tillskrivas Europol

b) Rättsakter och ageranden som kan tillskrivas Eurojust

3. Rättsakter eller ageranden som inte kan tillskrivas Europol, men som Europol ändå kan hållas ansvarigt för

B. De olika yrkandena

1. Yrkandena om ogiltigförklaring

a) Huruvida yrkandet om ogiltigförklaring kan tas upp till sakprövning

b) Huruvida yrkandet om ogiltigförklaring ska godtas vad gäller överföringen av den 24 juni 2022

c) Grunden avseende invändningen om rättsstridighet

2. Yrkandena om skadestånd

a) De akter och ageranden som Europol kan hållas ansvarigt för

1) De påstådda skador som orsakats av Europols, Konungariket Belgiens, Republiken Frankrikes och Konungariket Nederländernas akter och ageranden, och för vilka ersättning begärs från Europol med stöd av den avvikande ordning med solidariskt ansvar som föreskrivs i artikel 50.1 i förordning 2016/794

2) De påstådda skador som enbart orsakats av Europols akter och ageranden och för vilka ersättning begärs på grundval av Europols ansvar för sina egna handlingar enligt artikel 49.3 i förordning 2016/794

i) Den åberopade skadan avseende åsidosättandet av rätten till en rättvis rättegång

ii) Den åberopade skadan avseende de nederländska och serbiska myndigheternas bristande samordning i samband med lagföringen av sökanden

iii) Den åberopade skadan avseende åsidosättande av artikel 32 i förordning 2016/794

b) De akter och ageranden som Eurojust kan hållas ansvarigt för

1) Den åberopade skadan avseende olaglig behandling av sökandens personuppgifter

2) Den åberopade skadan avseende åsidosättande av sökandens rätt till en rättvis rättegång

3) Den åberopade skadan avseende de nederländska och serbiska myndigheternas bristande samordning i samband med lagföringen av sökanden

4) Den åberopade skadan avseende åsidosättande av artiklarna 89, 91 och 92 i förordning 2018/1725

IV. Rättegångskostnader

1 Sökanden, BW, har dels – med stöd av artikel 263 FEUF – yrkat att tribunalen ska ogiltigförklara avtalet om inrättande av en gemensam utredningsgrupp (nedan kallad den gemensamma utredningsgruppen) för utredning av krypteringstjänsten Sky ECC (nedan kallat ECE-avtalet) och ogiltigförklara åtgärder för behandling, analys och delning av uppgifter rörande sökanden från nämnda krypteringstjänst, som vidtagits av Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol), Europeiska unionens byrå för straffrättsligt samarbete (Eurojust) och de medlemsstater som deltar i utredningen av denna tjänst, dels – med stöd av artikel 268 FEUF – yrkat att tribunalen ska tillerkänna honom rätt till ersättning för den ekonomiska och ideella skada som han påstår sig ha lidit till följd av Europols, Eurojusts och nämnda medlemsstaters akter och ageranden.

2 Sökanden är serbisk medborgare och avtjänar sedan den 8 maj 2023 ett fängelsestraff efter att ha åtalats och dömts i Nederländerna för import till denna medlemsstat av 743 kilo kokain, som beslagtogs i Rotterdam (Nederländerna) den 4 augusti 2020. Under hösten 2023 väcktes även åtal mot honom i Serbien för bland annat narkotikahandel.

3 De åtal som väckts av de nederländska och serbiska myndigheterna var en följd av de undersökningsåtgärder som belgiska, nederländska och franska myndigheter vidtog i slutet av 2010-talet mot organisationen Sky ECC, där ECC står för Elliptic Curve Cryptography (elliptisk kryptering). Organisationen misstänktes för att saluföra produkter och tjänster för krypterad kommunikation vilka särskilt syftade till att göra det enklare att begå brott.

4 Till följd av dessa nationella undersökningsåtgärder utfärdade Konungariket Belgien och Konungariket Nederländerna, i slutet av år 2018, utredningsorder genom vilka Republiken Frankrike anmodades att skapa en bild av de servrar som användes av tjänsten Sky ECC och som var belägna i Roubaix (Frankrike). Republiken Frankrike efterkom denna anmodan genom att, med hjälp av tekniken mannen-i-mitten-attack, uppfånga, spela in och transkribera den krypterade kommunikation som kom in till och ut ifrån dessa servrar, däri inbegripet uppgifter om sökanden.

5 Den 13 december 2019 inrättade de belgiska, franska och nederländska myndigheterna, genom ECE-avtalet – som de ingick med stöd av artikel 13 i den konvention som upprättats av rådet i enlighet med artikel 34 FEU om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater (EGT C 197, 2000, s. 3) och rådets rambeslut av den 13 juni 2002 om gemensamma utredningsgrupper (EGT L 162, 2002, s. 1) – den gemensamma utredningsgruppen.

6 I ECE-avtalet föreskrivs följande:

7 Den gemensamma utredningsgruppens arbete ledde fram till att Europol och de tre berörda medlemsstaterna delade uppfångad rådata (som därefter behövde analyseras) med varandra, samt resultaten av denna analys.

8 Europol deltog i detta samarbete, som fortfarande pågick den dag förhandlingen hölls i förevarande mål, genom att lagra uppgifterna i sitt datasystem, utföra korskontroller, utarbeta underrättelserapporter, skapa diagram för att visualisera uppgifterna och tolka flerspråkiga dataserier.

9 Eurojust bidrog å sin sida genom att lämna stöd och rådgivning om möjligheterna till rättsligt samarbete, anordna ett antal samordningsmöten för de belgiska, franska och nederländska myndigheterna och Europol, och underlätta det rättsliga samarbetet mellan å ena sidan Republiken Serbien och å andra sidan Konungariket Nederländerna och Republiken Frankrike.

10 Sökanden har yrkat att tribunalen ska

11 Eurojust och Europol har yrkat att tribunalen ska

12 Konungariket Spanien har yrkat att tribunalen ska avvisa eller, i andra hand, ogilla talan samt förplikta sökanden att ersätta rättegångskostnaderna.

13 Konungariket Nederländerna har yrkat att tribunalen ska ogilla talan och förplikta sökanden att ersätta rättegångskostnaderna.

14 Till stöd för sina yrkanden som utan åtskillnad riktas mot Europol och Eurojust har sökanden åberopat samma fyra grunder.

15 Som första grund har sökanden gjort gällande att den insamling och behandling av personuppgifter från tjänsten Sky ECC som de berörda medlemsstaterna och Europol och/eller Eurojust bedrev, från och med det första uppfångandet år 2019 till och med den sista delningen av resultaten med andra länder, var rättsstridig och oproportionerlig.

16 Som svar på en fråga från tribunalen vid förhandlingen uppgav sökanden att han inte åberopade någon akt eller något agerande från tiden efter den 24 juni 2022, som är den tidpunkt då de franska myndigheterna via Eurojust översände en länk till en webbplats för säker nedladdning till de serbiska myndigheterna, varigenom detta tredjeland fick tillgång till information om vissa konversationer som skett med hjälp av tjänsten Sky ECC och som var kopplade till särskilt fastställda inloggningsuppgifter, däribland samtal som förts av sökanden.

17 Enligt den andra grunden har sökanden gjort gällande att Europol och Eurojust har åsidosatt artikel 28 i Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 2016, s. 53), artikel 71 i Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39), artiklarna 47 och 48 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) samt artiklarna 14 och 15 i den internationella konventionen om medborgerliga och politiska rättigheter, som antogs av Förenta nationernas generalförsamling den 16 december 1966 och trädde i kraft den 23 mars 1976 (nedan kallad internationella konventionen), eftersom de uppgifter från tjänsten Sky ECC som samlats in, analyserats och överförts var av ofullständig karaktär, vilket påverkade sökandens möjlighet att försvara sig vid nederländsk och serbisk domstol.

18 Genom den tredje grunden har sökanden hävdat att Europol och Eurojust åsidosatte ECE-avtalet genom att underlåta att uppfylla sin samordningsskyldighet för att förhindra dubbel lagföring av sökanden i Nederländerna och i Serbien för samma gärningar.

19 Enligt den fjärde grunden har Europol och Eurojust åsidosatt artikel 32 i förordning 2016/794 respektive artiklarna 89 och 92 i förordning 2018/1725, eftersom de inte har skyddat sökandens personuppgifter på vederbörligt sätt.

20 Sökanden har genom sina yrkanden gjort gällande att Europol och Eurojust, utan åtskillnad, bär ansvaret för flera rättsstridiga akter eller ageranden som har haft till syfte att samla in och behandla hans personuppgifter och som har ägt rum inom ramen för de brottsutredningar vilka genomförts av Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna avseende tjänsten Sky ECC och i vilka Europol och Eurojust har deltagit.

21 Vad beträffar den omständigheten att klaganden inte endast har påstått att skadegörande handlingar ska ha begåtts av Europol och Eurojust, utan även av de medlemsstater som deltog i den gemensamma utredningsgruppen samt Republiken Serbien, vill tribunalen inledningsvis påpeka följande.

22 Vad för det första gäller det yrkande som grundar sig på artikel 263 FEUF, framgår det uttryckligen av denna bestämmelse att talan om ogiltigförklaring endast kan väckas mot akter som antagits av Europeiska unionens institutioner, organ eller byråer.

23 I ett mål där en talan väcks enligt artikel 263 FEUF är unionsdomstolen inte behörig att avgöra om en rättsakt som antagits av en nationell myndighet är lagenlig (dom av den 3 december 1992, Oleificio Borelli/kommissionen, C‑97/91, EU:C:1992:491, punkt 9) och detta gäller även om rättsakten i fråga ingår som en del av en beslutsprocess på EU-nivå (dom av den 29 januari 2020, GAEC Jeanningros, C-785/18, EU:C:2020:46, punkt 27).

24 Likaså har tribunalen slagit fast att prövningen, inom ramen av en talan om ogiltigförklaring, av frågan huruvida det är rättsenligt av en nationell åklagare eller nationella myndigheter att vidarebefordra uppgifter till en EU-institution som inhämtats med tillämpning av nationell straffrätt i princip omfattas av den nationella rätt som är tillämplig på de undersökningar som nämnda nationella myndigheter genomför, samt, för det fall det är fråga om en rättsprocess, av den nationella domstolens behörighet (se, för ett liknande resonemang, dom av den 8 juli 2004, Dalmine/kommissionen, T‑50/00, EU:T:2004:220, punkt 86).

25 Av detta följer att unionsdomstolen saknar behörighet i den mån sökandens yrkanden avser en ogiltigförklaring av de uppfångningsåtgärder som vidtagits av de franska myndigheterna – med tillstånd av en fransk domstol –, ogiltigförklaring av genomförandet av dessa åtgärder, ogiltigförklaring av de franska myndigheternas överföring till Europol av de handlingar och uppgifter som erhållits i samband med dessa sistnämnda åtgärder, ogiltigförklaring av de franska myndigheternas överföring till Eurojust och de serbiska myndigheterna av de handlingar och uppgifter som begärts ut av de serbiska myndigheterna inom ramen för deras begäran om ömsesidig rättslig hjälp samt ogiltigförklaring av det straffrättsliga förfarande som inletts vid de serbiska domstolarna.

26 Unionsdomstolen saknar även behörighet för att, direkt på grundval av artikel 263 FEUF, pröva lagenligheten av ECE-avtalet, eftersom detta avtal inte är en unionsrättsakt.

27 ECE-avtalet undertecknades och ingicks nämligen endast av tre medlemsstater: Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna.

28 Den omständigheten att ECE-avtalet grundar sig på en konvention som ingåtts av dessa medlemsstater med stöd av artikel 34 FEU samt på ett rambeslut från Europeiska unionens råd föranleder inte någon annan slutsats (se, för ett liknande resonemang, dom av den 17 september 2014, Liivimaa Lihaveis, C‑562/12, EU:C:2014:2229, punkterna 45–51).

29 Denna slutsats påverkas inte heller av den omständigheten att det kan ha varit Europol eller Eurojust som tog initiativet till att inrätta den berörda gemensamma utredningsgruppen, och inte heller av den omständigheten att Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna enligt punkt 7 i ECE-avtalet kom överens om att involvera Europol och Eurojust i egenskap av deltagare i den gemensamma utredningsgruppen, vilket är möjligt enligt artikel 13.12 i den konvention som upprättats av rådet i enlighet med artikel 34 FEU om ömsesidig rättslig hjälp i brottmål mellan Europeiska unionens medlemsstater, jämförd med skäl 9 i rådets rambeslut av den 13 juni 2002 om gemensamma utredningsgrupper, och – vad gäller Europol – artikel 5 i förordning 2016/794 och – vad gäller Eurojust – artikel 8.1 d i Europaparlamentets och rådets förordning (EU) 2018/1727 av den 14 november 2018 om Eurojust och om ersättning och upphävande av rådets beslut 2002/187/RIF (EUT L 295, 2018, s. 138).

30 Den möjlighet som föreskrivs i artikel 5 i förordning 2016/794 och artikel 8.1 d i förordning 2018/1727 för Europol och Eurojust att föreslå eller hjälpa till med inrättandet av en gemensam utredningsgrupp, och för deras anställda att delta i en gemensam utredningsgrupp, ger nämligen inte dessa byråer ställning som part i det avtal genom vilket Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna har inrättat den gemensamma utredningsgruppen.

31 Med hänsyn till det ovan anförda saknar tribunalen behörighet att, med stöd av artikel 263 FEUF, pröva den franska domstolens tillstånd för de uppfångningsåtgärder som vidtagits av de franska myndigheterna, genomförandet av dessa åtgärder, de franska myndigheternas överföring till Europol av de handlingar och de uppgifter som erhållits i samband med dessa, de franska myndigheternas överföring till Eurojust och till de serbiska myndigheterna av de handlingar och den information som begärts ut av de serbiska myndigheterna inom ramen för deras begäran om ömsesidig rättslig hjälp, frågan huruvida det straffrättsliga förfarandet vid de serbiska domstolarna gått rätt till, samt ECE-avtalet.

32 Vad för det andra gäller det yrkande som grundar sig på artiklarna 268 och 340 FEUF, ska det erinras om att unionsdomstolen endast är behörig att pröva en skadeståndstalan som grundar sig på dessa bestämmelser om den rättsstridighet som görs gällande till stöd för skadeståndsyrkandet verkligen härrör från en av unionens institutioner, organ eller byråer och inte kan tillskrivas en nationell myndighet (se, för ett liknande resonemang, dom av den 16 december 2020, rådet/K. Chrysostomides & Co. m.fl., C‑597/18 P, C‑598/18 P, C‑603/18 P och C‑604/18 P, EU:C:2020:1028, punkterna 80, 106 och 107).

33 När det görs gällande att unionen har ett skadeståndsansvar på grund av en akt eller ett agerande av en av dess institutioner eller av ett av dess organ eller byråer, företräds unionen vid tribunalen av den eller de institutioner, organ eller byråer som påstås bära ansvaret för den skadeståndsgrundande händelsen (dom av den 13 november 1973, Werhahn Hansamühle m.fl./rådet och kommissionen, 63/72–69/72, EU:C:1973:121, punkt 7).

34 Skadeståndsansvar för unionen, grundat på artiklarna 268 och 340 FEUF, kan således inte göras gällande mot en EU-institution, ett EU-organ eller en EU-byrå som inte är den institution, det organ eller den byrå som påstås bära skulden för den skadeståndsgrundande händelsen, såvida inte unionslagstiftaren uttryckligen har föreskrivit en avvikande ordning med solidariskt ansvar antingen mellan en EU-institution, ett EU-organ eller en EU-byrå och en eller flera medlemsstater, eller eventuellt ett eller flera tredjeländer, eller mellan flera av unionens institutioner, organ eller byråer (se, analogt, dom av den 5 mars 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punkterna 62 och 63).

35 I förevarande fall kan det konstateras att det varken i förordning 2018/1727 eller i någon annan akt som sökanden har åberopat föreskrivs någon avvikande ordning med solidariskt ansvar mellan Eurojust och medlemsstaterna eller mellan Eurojust och Republiken Serbien.

36 Dessutom angav sökanden, som svar på en fråga från tribunalen vid förhandlingen, att skadeståndsyrkandet inte handlade om att Europol skulle ha ett solidariskt ansvar för Eurojust eller att Eurojust skulle ha ett solidariskt ansvar för Europol, utan endast om Europols solidariska ansvar för medlemsstaterna.

37 Såsom domstolen har slagit fast kan man av skäl 57 jämfört med artiklarna 49.3, 49.4 och 50 i förordning 2016/794 härleda en avvikande ordning som ger Europol ett solidariskt ansvar för medlemsstaterna (se, för ett liknande resonemang, dom av den 5 mars 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punkterna 62 och 63).

38 Med stöd av denna ordning kan en fysisk person vid unionsdomstolen göra gällande att Europol är skadeståndsskyldigt för otillåten behandling av uppgifter som företagits inom ramen för ett samarbete med stöd av förordning 2016/794 mellan Europol och en medlemsstat och som har åsamkat denna person skada (se, för ett liknande resonemang, dom av den 5 mars 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punkterna 62 och 63).

39 I förevarande fall kan det konstateras att samarbetet avseende tjänsten Sky ECC inleddes i maj 2019 och, såsom Europol angav som svar på en fråga från tribunalen vid förhandlingen, fortfarande pågick vid tidpunkten för förhandlingen.

40 Sökanden har dessutom åberopat den omständigheten, vilken bekräftats av Europol som svar på en fråga från tribunalen vid förhandlingen, att personuppgifter från tjänsten Sky ECC som rör honom dels utväxlades inom ramen för detta samarbete mellan Europol och de belgiska, franska och nederländska myndigheterna, dels fortfarande finns i Europols besittning.

41 Mot bakgrund av det ovan anförda saknar tribunalen behörighet att pröva det andra yrkandet i den del det avser fastställande av Eurojusts skadeståndsansvar för Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna, eller för Republiken Serbien eller Europol.

42 Däremot är tribunalen behörig att pröva det andra yrkandet i den del det avser fastställande av Eurojusts skadeståndsansvar för sina egna ageranden och fastställande av Europols skadeståndsansvar för ageranden som kan tillskrivas såväl Europol självt som de medlemsstater som deltagit i samarbetet avseende tjänsten Sky ECC.

43 När det gäller Europols solidariska ansvar för de ageranden som kan tillskrivas de belgiska, franska eller nederländska myndigheterna, ska det påpekas att det med hänsyn till datumet för den sista av de omständigheter som sökanden lagt Europol och Eurojust till last – det vill säga den utväxling av hans personuppgifter som ägde rum den 24 juni 2022 – är det endast den ordning för solidariskt skadeståndsansvar som föreskrivs i förordning 2016/794 i dess ursprungliga lydelse, som var i kraft fram till och med den 27 juni 2022, som är tillämplig i förevarande mål (se, för ett liknande resonemang, dom av den 10 september 2019, HTTS/rådet, C‑123/18 P, EU:C:2019:694, punkt 39).

44 Vidare ska det påpekas att det framgår av artikel 276 FEUF att unionsdomstolen, vid utövandet av sina befogenheter med avseende på bestämmelserna i kapitlen 4 och 5 i avdelning V i tredje delen i EUF-fördraget om ett område med frihet, säkerhet och rättvisa, inte är behörig att pröva giltigheten eller proportionaliteten av insatser som polis eller andra brottsbekämpande organ gör i en medlemsstat.

45 Trots den ordning med solidariskt skadeståndsansvar som föreskrivs i artikel 50.1 i förordning 2016/794 kan Europol således inte hållas solidariskt ansvarigt för en eventuell skada till följd av otillåten behandling av en fysisk persons personuppgifter i samband med insatser som genomförs av polis eller andra brottsbekämpande organ i en medlemsstat, även om denna behandling har skett inom ramen för ett samarbete som grundar sig på denna förordning (se, analogt, dom av den 10 september 2024, KS m.fl./rådet m.fl., C‑29/22 P och C‑44/22 P, EU:C:2024:725, punkt 91).

46 Trots sin behörighet att pröva det andra yrkandet i den del det avser Europols solidariska skadeståndsansvar för ageranden som kan tillskrivas myndigheter, bland annat de franska myndigheterna, saknar tribunalen således behörighet att pröva sökandens påståenden om att han lidit skada till följd av att hans personuppgifter uppfångats inom ramen för de franska myndigheternas polisinsatser.

47 Under dessa omständigheter ankommer det på tribunalen att, innan den prövar Europols och Eurojusts invändningar om rättegångshinder och sökandens yrkanden, ringa in de ageranden och akter som sökanden har invänt mot och som unionsdomstolen är behörig att pröva och avgöra huruvida dessa kan tillskrivas Europol eller Eurojust och, i förekommande fall, ringa in de ageranden och akter som inte kan tillskrivas Europol, men som ändå skulle kunna leda till ett skadeståndsansvar för Europol på grundval av den avvikande ordningen med solidariskt skadeståndsansvar enligt artikel 50.1 i förordning 2016/794.

48 Sökanden har gjort gällande att den insamling, behandling och överföring av hans personuppgifter som skedde i samband med brottsutredningar avseende tjänsten Sky ECC, i vilka de belgiska, franska och nederländska myndigheterna samt Europol och Eurojust deltog, och som ledde fram till de åtal som avses i punkt 2 ovan, strider mot unionsrätten.

49 Sökanden har mer specifikt, och mot bakgrund av endast de uppgifter som han fick kännedom om i samband med att han tog del av akterna i brottmålen mot honom, invänt mot den behandling av hans personuppgifter som Europol och/eller Eurojust utförde från och med det första uppfångandet år 2019 till och med den 24 juni 2022, som var det datum då Eurojust till de serbiska myndigheterna översände ett mejl från de franska myndigheterna innehållande en länk till en webbplats för säker nedladdning som bland annat innehöll vissa av hans samtal från tjänsten Sky ECC (punkt 16 ovan).

50 Sökanden har i detta avseende gjort gällande att Europol har lämnat sitt bistånd i samband med utövandet av undersökningsbefogenheter i många länder, inom och utanför unionen. Dessutom ska Europol ha anordnat ett möte med de belgiska, franska och nederländska myndigheterna den 27 maj 2019, vid vilket metadata för mer än 9000 meddelanden från eller till användare av tjänsten Sky ECC delades. I juni 2019 ska uppgifter som franska myndigheter erhållit vid uppfångningsinsatser ha delats med de belgiska och nederländska myndigheterna via Europol genom dess säkrade system för informationsutväxling Secure Information Exchange Network Application (SIENA).

51 Dessutom har sökanden hävdat att Europol och Eurojust, från och med december 2020, deltog i en insats för att samla in nycklar för dekryptering av de meddelanden som samlats in sedan mitten av år 2019, deltog i lagringen, dekrypteringen och överföringen av dessa meddelanden samt, i mars 2021, i en insats under vilken Sky ECC slaktades. Sökanden har även gjort gällande att Europol och Eurojust den 23 och den 24 juli 2020 deltog i en teknisk arbetsgrupp inom den gemensamma utredningsgruppen, inom ramen för vilken nya krypterade meddelanden uppdagades, samt i möten som hölls den 28 augusti 2019, den 7 september 2020 och den 11 februari 2021.

52 Sökanden har, vad gäller mer exakt de åtal som sökanden är föremål för i Serbien, gjort gällande att Eurojust mottog en begäran om samarbete från de serbiska myndigheterna den 6 juni 2022, vilken ledde till att de franska myndigheterna den 24 juni samma år, via Eurojust, översände uppgifter om honom från tjänsten Sky ECC till de serbiska myndigheterna (nedan kallad överföringen av den 24 juni 2022). I juni 2022 informerade Europol dessutom de serbiska myndigheterna om att dess analyser gav vid handen att sökanden dolde sig bakom ett specifikt Sky ECC‑användarnamn. Slutligen ska ytterligare kontakter ha ägt rum mellan de serbiska myndigheterna och Europol vad gäller den kriminella grupp som sökanden presumeras tillhöra.

53 Europol och Eurojust har bestritt vissa av sökandens påståenden när det gäller deras deltagande.

54 Europol har i sina inlagor angett att den gemensamma utredningsgruppens arbete har lett till en utväxling mellan Europol och de tre berörda medlemsstaterna av uppgifter som uppfångats av de franska myndigheterna för analysändamål, samt av resultaten av dessa analyser.

55 Europol har i detta avseende tillstått att den mottog metadata för mer än 9000 meddelanden som utväxlades vid det möte den 27 maj 2019 som sökanden har hänvisat till (punkt 50 ovan).

56 Europol har även angett att det stämmer att den från och med den 18 mars 2021 tog emot och analyserade uppgifter från tjänsten Sky ECC som de franska myndigheterna hade överfört, och därefter vidarebefordrade resultatet av sina analyser till de belgiska, franska och nederländska myndigheterna, bland annat i form av landspecifika analyser.

57 Europol har inte heller bestritt att den deltog i ett möte den 28 augusti 2019, vid vilket följderna av en eventuell avveckling av infrastrukturen för tjänsten Sky ECC diskuterades och i en teknisk arbetsgrupp inom den gemensamma utredningsgruppen som träffades den 23 och den 24 juli 2020 varvid nya krypterade meddelanden uppdagades.

58 Då de omständigheter som anges i punkterna 54–57 ovan varken har bestritts eller bekräftats av Europol, finner domstolen att de således ska anses vara styrkta och att de kan tillskrivas Europol.

59 Däremot ska det, för det första, konstateras att sökanden inte har lagt fram några bevis, eller ens några prima facie-bevis, som kan styrka att Europol har deltagit i eller bidragit till uppfångandet av de uppgifter som skickats till och från Sky ECC:s servrar i Frankrike.

60 Förutom att Europol bestrider dessa omständigheter, så styrks sökandens påstående inte heller av vare sig det faktum att Europol skulle kunna ha deltagit i eller tagit initiativ till mötet den 27 maj 2019 eller av den begäran om bevisupptagning som de serbiska myndigheterna riktade till sina franska motsvarigheter, som återfinns i bilaga A.17 och avser analys av de uppgifter som Europol erhållit från Sky ECC‑applikationen. Tvärtom tyder bilaga A.6 på att uppfångningsinsatserna endast utfördes av de franska myndigheterna, vilket även bekräftas av bilaga A.14.

61 För det andra ska det konstateras att även om Europol inte nekar till att ha deltagit i mötena den 7 september 2020 och den 11 februari 2021, så konstaterar tribunalen att det i den handling från Rechtbank van eerste aanleg te Antwerpen (Förstainstansdomstolen i Antwerpen, Belgien), som bilagts ansökan till stöd för sökandens påstående, visserligen nämns att ett möte skulle äga rum den 7 september 2020, men att det endast anges att de franska och nederländska myndigheterna skulle delta i mötet, utan något omnämnande av Europol. Inte heller innehåller ansökan om tekniskt bistånd från Cour d’appel de Paris (Appellationsdomstolen i Paris, Frankrike), som bilagts ansökan till stöd för sökandens påstående, något omnämnande av något möte som skulle ha hållits den 11 februari 2021, eller av Europol.

62 För det tredje har sökanden inte lagt fram några bevis, eller ens några prima facie-bevis, som kan styrka att Europol deltog i den insatsdag i mars 2021 under vilken Sky ECC slaktades. Visserligen rör transkriberingen från den belgiska åklagarmyndighetens presskonferens, som det hänvisas till i ansökan, denna insatsdag. Europol nämns dock inte. I den mejlväxling som bilagts ansökan nämns endast överföringar av uppgifter från Sky ECC tjänsten som gjorts av Europol, men inget visar att Europol deltog i insatsdagen.

63 För det fjärde har sökanden inte lagt fram några bevis, eller ens några prima facie-bevis, som kan styrka att Europol till de serbiska myndigheterna hade översänt informationen om att det visat sig att sökanden är den person som döljer sig bakom identifikationskoden DFKNBQ för tjänsten Sky ECC.

64 Bilaga A.17, som sökanden har baserat sig på och som de facto kopplar hans namn till identifikationskoden DFKNBQ för tjänsten Sky ECC, och även användarnamnet CHE GUEVARA, är en begäran från åklagarmyndigheten för organiserad brottslighet i Republiken Serbien om att från de franska myndigheterna erhålla röstmeddelanden, textmeddelanden, videor och fotografier som rör bland annat sökanden och som finns på de servrar för tjänsten Sky ECC som de sistnämnda myndigheterna beslagtagit. I denna begäran nämns Europol över huvud taget inte.

65 Dessutom anger den serbiska åklagarmyndigheten där att man genom [dess] åtgärder och senare arbetsinsatser från Republiken Serbiens inrikesministerium [har] informerats om att det vid analysen av de uppgifter som Europol erhållit från Sky ECC‑applikationen framkommit att [användaren] av PIN-koden DFKNBQ [och av] användarnamnet CHE GUEVARA [var BW], vilket snarast styrker att denna information inte har lämnats av Europol.

66 För det femte har sökanden inte lagt fram några bevis, eller ens några prima facie-bevis, som kan styrka att Europol spelat en roll i samband med att de franska myndigheterna den 24 juni 2022 ställde handlingarna och uppgifterna från tjänsten Sky ECC rörande sökanden till de serbiska myndigheternas förfogande.

67 Såsom framgår av bilaga A.15 överfördes dessa handlingar och uppgifter – som Eurojust tillhandahöll de serbiska myndigheterna som svar på en begäran om ömsesidig rättslig hjälp som framställs av de sistnämnda myndigheterna – genom överföring av ett mejl som de franska myndigheterna skickat till Eurojust och som innehöll länkar till en webbplats för säker nedladdning.

68 Sökanden kan därför inte, inom ramen för förevarande talan, vinna framgång med sitt åberopande mot Europol av de icke styrkta omständigheter som nämns ovan punkterna 59–67.

69 Mot bakgrund av det ovan anförda och med beaktande av sökandens påstående, som förts in i förhandlingsprotokollet, att den sista akt som läggs Europol och Eurojust till last ägde rum den 24 juni 2022, konstaterar tribunalen följande. Det är endast de omständigheter som avses ovan i punkterna 55–57 och som ägde rum före detta datum – det vill säga mottagandet, behandlingen och delningen, från och med den 27 maj 2019, av de uppgifter från tjänsten Sky ECC som fångats upp av de franska myndigheterna, samt deltagandet i mötet den 28 augusti 2019 och i arbetsgruppen den 23 och den 24 juli 2020 – som är styrkta och kan utgöra stöd för sökandens yrkanden mot Europol.

70 Eurojust har i sina inlagor angett att Eurojust i två avseenden har spelat en roll när det gäller de omständigheter som sökanden har hänvisat till.

71 Eurojust har angett att man inom ramen för den gemensamma utredningsgruppen för tjänsten Sky ECC tillhandahöll stöd och råd om möjligheterna till rättsligt samarbete och anordnade flera samordningsmöten mellan de belgiska, franska och nederländska myndigheterna samt Europol. Dessa möten, som hölls den 25 april 2019, den 7 september 2020 och den 11 februari 2021, ledde till att myndigheterna i dessa medlemsstater lade fram uppdaterad information om hur deras utredningar avseende tjänsten Sky ECC fortskred och diskuterade på vilket sätt man bäst kunde komma framåt med dessa utredningar.

72 Eurojust har vidare angett att man med anledning av de ansökningar om bistånd som framställts av de serbiska myndigheterna i samband med brottsutredningar som inletts i Serbien mot en kriminell organisation – i vilken sökanden är medlem – som är inblandad i narkotikahandel som bland annat transiterar via Rotterdam, har samordnat de nederländska och serbiska utredningarna och underlättat översändandet och verkställandet av de framställningar om ömsesidig rättslig hjälp som de serbiska myndigheterna riktade till de franska myndigheterna.

73 När det gäller samarbetet mellan de nederländska och serbiska myndigheterna har Eurojust bekräftat att det hållits tre samordningsmöten med deltagande av dessa myndigheter den 23 maj, den 16 november och den 8 december 2022, vid vilka dessa myndigheter utväxlade information om var de befann sig i sina respektive utredningar, om innehållet i utredningarna och om deras behov av rättsligt samarbete, närmare bestämt av att nå en överenskommelse om hur de skulle gå vidare med sitt samarbete i fråga om utväxling av information och bevis samt av att samordna sina åtalsstrategier för att förhindra behörighetskonflikter och parallella åtal mot samma misstänkta personer för samma gärningar.

74 Eurojust har även angett att man hjälpt till med överföringen av vissa framställningar om ömsesidig rättslig hjälp mellan Republiken Serbien och Konungariket Nederländerna, där man särskilt nämnt begäran av den 7 oktober 2022, och att Eurojust hade informerats dels om att de nederländska myndigheterna den 3 maj 2023 hade anordnat ett möte med de serbiska myndigheterna för att informera de sistnämnda om det planerade gripandet av sökanden, dels om att dessa myndigheter under detta möte hade nått en preliminär överenskommelse om en samordnad lagföringsstrategi för beslaget den 4 augusti 2020 i syfte att undvika att han åtalades i båda länderna för samma gärningar.

75 När det gäller samarbetet mellan de franska och de serbiska myndigheterna har Eurojust preciserat att man, som svar på fyra framställningar om ömsesidig rättslig hjälp, till den serbiska sambandspersonen via mejl översänt en hyperlänk – vilken var giltig under en begränsad tid – till en lösenordsskyddad webbplats för nedladdning som de franska myndigheterna tillhandahållit, och varigenom dessa sistnämnda myndigheter uteslutande till de serbiska myndigheterna ställde information till förfogande avseende vissa diskussioner som härrörde från tjänsten Sky ECC och som var kopplade till särskilt fastställda inloggningsuppgifter, däribland sökandens.

76 Det framgår dessutom av den bevisning som sökanden har lagt fram att Eurojust har erkänt överföringen av den 24 juni 2022 som avses i punkt 75 ovan.

77 Däremot ska det, för det första, konstateras att sökanden inte har lagt fram några bevis, eller ens några prima facie-bevis, som kan styrka att Eurojust bjöds in eller deltog i mötet den 27 maj 2019, som avses i punkt 55 ovan, och att Eurojust i detta sammanhang mottog metadata avseende de 9000 meddelanden som utväxlades vid detta tillfälle.

78 Eurojust nämns nämligen inte i någon av de fem bilagor som sökanden har nämnt till stöd för sitt påstående, förutom helt allmänt och utan direkt samband med mötet den 27 maj 2019.

79 För det andra ska det konstateras att sökanden inte har lagt fram några bevis, eller ens några prima facie-bevis, som kan styrka att Eurojust deltog i den tekniska arbetsgruppens möten den 23 och 24 juli 2020 som avses i punkt 51 ovan.

80 Utöver den omständigheten att sökanden själv har medgett att han inte vet om medarbetare från … Eurojust var närvarande vid denna arbetsgrupps möten, konstaterar tribunalen att Eurojust har gjort gällande att Eurojust inte deltog i denna arbetsgrupp, och det dokument som sökanden stöder sig på ger inte upphov till någon osäkerhet i detta avseende.

81 För det tredje ska det konstateras att sökanden inte har lagt fram några bevis, eller ens några prima facie-bevis, som kan styrka att Eurojust deltog i utväxlingen av samtliga uppgifter från tjänsten Sky ECC eller i de nationella underrättelsepaketen avseende denna tjänst via SIENA, eftersom Eurojust inte nämns i den handling som sökanden baserar sig på.

82 När det närmare bestämt gäller Eurojusts påstådda deltagande i en utväxling av metadata under februari månad 2022, kan den omständigheten att en utstationerad nationell expert från Eurojust, genom det mejl som sökanden har bifogat ansökan, informerar en åklagare i Land Hessen (delstaten Hessen, Tyskland) om att de nederländska myndigheterna i slutet av februari 2022 kommer att överföra den nederländska leverantörens geodata till Europol med ett allmänt användningstillstånd inte leda till slutsatsen att dessa metadata också överfördes till Eurojust.

83 För det fjärde finner tribunalen, av samma skäl som angetts avseende Europol i punkterna 64 och 65 ovan, att sökanden inte lagt fram några bevis, eller ens några prima facie-bevis, som kan styrka att Eurojust till de serbiska myndigheterna hade översänt informationen om att det visat sig vara sökanden som döljer sig bakom identifikationskoden DFKNBQ för tjänsten Sky ECC.

84 Sökanden kan därför inte, inom ramen för förevarande talan, vinna framgång med sitt åberopande mot Europol av de icke styrkta omständigheter som nämns i ovan punkterna 77–83.

85 Mot bakgrund av det ovan anförda och med beaktande av sökandens påstående, som förts in i förhandlingsprotokollet, att den sista omständighet varigenom Europol och Eurojust begick en skadegörande handling ägde rum den 24 juni 2022, konstaterar tribunalen följande. Det är endast de omständigheter som avses ovan i punkterna 71–76 och som ägde rum före detta datum – det vill säga Eurojusts deltagande i de belgiska, franska och nederländska myndigheternas och Europols samordningsmöten den 25 april 2019, den 7 september 2020 och den 11 februari 2021, dess deltagande i mötet för samordning av de nederländska och serbiska utredningarna den 23 maj 2022, och Eurojusts översändande till de serbiska myndigheterna den 24 juni 2022 av ett mejl från de franska myndigheterna innehållande en länk till en webbplats för nedladdning av sökandens personuppgifter – som är styrkta och kan utgöra stöd för sökandens yrkanden mot Eurojust.

86 Mot bakgrund av punkterna 55–57 och 71–76 ovan konstaterar tribunalen att sökanden har styrkt följande omständigheter.

87 För det första deltog de belgiska, franska och nederländska myndigheterna den 27 maj 2019 i ett möte vid vilket metadata för mer än 9000 meddelanden från tjänsten Sky ECC utväxlades mellan dessa medlemsstater och Europol.

88 För det andra översände Republiken Frankrike, från och med juni 2019, uppgifter från tjänsten Sky ECC till Europol, som därefter behandlade dessa uppgifter varefter resultaten översändes till de belgiska, franska och nederländska myndigheterna.

89 För det tredje deltog de belgiska, franska och nederländska myndigheterna i ett möte den 28 augusti 2019, vid vilket följderna av en eventuell avveckling av infrastrukturen för tjänsten Sky ECC diskuterades, och i en teknisk arbetsgrupp inom den gemensamma utredningsgruppen som träffades den 23 och den 24 juli 2020 varvid nya krypterade meddelanden uppdagades.

90 För det fjärde deltog de belgiska, franska och nederländska myndigheterna den 25 april 2019, den 7 september 2020 och den 11 februari 2021 i samordningsmöten, där de presenterade uppdaterad information om hur deras utredningar avseende tjänsten Sky ECC fortskred och diskuterade på vilket sätt man bäst kunde komma framåt med dessa utredningar.

91 För det femte överlämnade de nederländska myndigheterna vid mötet den 23 maj 2022 via Eurojust information till de serbiska myndigheterna om var de befann sig i sina respektive utredningar, om innehållet i utredningarna och om deras behov av rättsligt samarbete.

92 För det sjätte översände de franska myndigheterna, den 24 juni 2022, via Eurojust en länk till en säker nedladdningswebbplats till de serbiska myndigheterna, varigenom detta tredjeland fick tillgång till information om vissa konversationer via tjänsten Sky ECC som var kopplade till särskilt fastställda inloggningskoder, däribland samtal som sökanden fört.

93 Möjligheten för sökanden att åberopa sådana omständigheter som kan tillskrivas medlemsstaterna inom ramen för ett skadeståndsyrkande mot Europol med stöd av artikel 50.1 i förordning 2016/794 förutsätter emellertid att dessa omständigheter har ägt rum inom ramen för ett samarbete med stöd av förordning 2016/794 (se, för ett liknande resonemang, dom av den 5 mars 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punkterna 62 och 63) och rör sökandens personuppgifter.

94 Såsom har påpekats ovan i punkt 39 inleddes samarbetet avseende tjänsten Sky ECC i maj 2019, och det går inte att utifrån de uppgifter som lämnats av Eurojust och Europol dra slutsatsen att de omständigheter eller ageranden som kan tillskrivas de belgiska, franska eller nederländska myndigheterna och som nämns ovan i punkterna 87–92 inte hade något samband med detta samarbete.

95 Däremot har sökanden inte lagt fram några bevis, eller ens några prima facie-bevis, som kan styrka att utväxlingen av metadata för mer än 9000 meddelanden den 27 maj 2019, mötena den 25 april och den 28 augusti 2019, den 7 september 2020, den 11 februari 2021 och den 23 maj 2022 eller mötena i den gemensamma utredningsgruppens tekniska arbetsgrupp den 23 och den 24 juli 2020 innebar att de belgiska, franska eller nederländska myndigheterna utväxlade personuppgifter rörande sökanden, i den mening som avses i artikel 50.1 i förordning 2016/794.

96 Tribunalen är således inte behörig att, med avseende på det skadeståndsyrkande som framställts mot Europol med stöd av artikel 50.1 i förordning 2016/794, pröva de påståenden som grundar sig på de omständigheter eller akter som kan tillskrivas belgiska, franska eller nederländska myndigheter och som avses i punkt 95 ovan.

97 Däremot framgår det av de bevis eller prima facie-bevis som sökanden har lagt fram att under perioden från den 27 maj 2019 till den 24 juni 2022 behandlades personuppgifter avseende honom som härrörde från tjänsten Sky ECC, för det första av de franska myndigheterna i samband med överföringen till Europol av uppgifter som uppfångats från tjänsten Sky ECC:s servrar, för det andra av de belgiska, franska och nederländska myndigheterna i samband med mottagandet av dessa uppgifter från Europol före eller efter behandlingen och, för det tredje, vid de franska myndigheternas överföring av dessa uppgifter till de serbiska myndigheterna via Eurojust den 24 juni 2022.

98 Följaktligen kommer endast de omständigheter och ageranden som avses i punkt 97 ovan att prövas inom ramen för den del av det skadeståndsyrkande som avser Europol och som grundar sig på artikel 50.1 i förordning 2016/794.

99 Mot bakgrund av de yrkanden som sökanden har framställt, vilka det erinrats om i punkterna 14–19 ovan, och trots att han har anfört samma fyra grunder till stöd för båda sina yrkanden och åberopat samma omständigheter till stöd för dessa, ankommer det på tribunalen att i tur och ordning pröva först det yrkande som grundar sig på artikel 263 FEUF och påståendet att vissa rättsakter eller ageranden från Europols och Eurojusts sida inom ramen för Sky ECC‑insatsen är rättsstridiga, och därefter det yrkande om skadestånd som sökanden har framställt med stöd av artiklarna 268 och 340 FEUF, artikel 50 i förordning 2016/794 och artikel 46 i förordning 2018/1727.

100 Det ska inledningsvis påpekas att Europol och Eurojust, tillsammans eller var för sig, har framställt flera invändningar om rättegångshinder. Det handlar för det första om att talan ska avvisas i sin helhet på grund av åsidosättande av förfaranderegler, för det andra om att talan har väckts för sent vad gäller yrkandena om ogiltigförklaring, för det tredje om att behandlingen av de uppgifter från tjänsten Sky ECC som rör sökanden inte utgör akter mot vilka talan kan väckas, och för det fjärde, att skadeståndsyrkandena inte kan tas upp till sakprövning på grund av att sökanden inte har styrkt den påstådda skadan och att han har kringgått rättsmedlen.

101 Det ska i detta hänseende erinras om att unionsdomstolen har rätt att mot bakgrund av omständigheterna i det enskilda fallet bedöma huruvida en god rättskipning motiverar att talan ogillas i sak, utan att det först prövas huruvida talan kan tas upp till sakprövning (se, för ett liknande resonemang, dom av den 26 februari 2002, rådet/Boehringer, C‑23/00 P, EU:C:2002:118, punkterna 51 och 52).

102 I förevarande fall anser tribunalen att det av processekonomiska skäl finns anledning att endast pröva den invändning om rättegångshinder som avser att behandlingen av de uppgifter från tjänsten Sky ECC som rör sökanden inte utgör akter mot vilka talan kan väckas, utan att först pröva övriga invändningar om rättegångshinder, eftersom talan under alla omständigheter och av de skäl som anges nedan ska ogillas.

103 Till stöd för det första yrkandet med stöd av artikel 263 FEUF har sökanden bland annat, med stöd av artikel 277 FEUF, gjort gällande att vissa akter eller ageranden från Europols och Eurojusts sida inom ramen för Sky ECC‑insatsen är rättsstridiga.

104 Artikel 263 FEUF gör det möjligt att bestrida lagenligheten av akter som antagits av bland annat unionens byråer under förutsättning att vissa sakprövningsförutsättningar är uppfyllda.

105 Europol och Eurojust har gjort gällande att behandlingen av de uppgifter från tjänsten Sky ECC som rör sökanden inte utgör akter mot vilka talan kan väckas, eftersom de inte påverkar hans rättsliga ställning.

106 Såsom framgår av punkt 58 ovan har sökanden gjort gällande att Europols mottagande, behandling och delning, från och med den 27 maj 2019, av de uppgifter från tjänsten Sky ECC som rör honom och som uppfångats av de franska myndigheterna samt mot Europols deltagande i mötet den 28 augusti 2019 och i arbetsgruppen den 23 och 24 juli 2020 utgjorde skadegörande handlingar.

107 Såsom framgår av punkt 85 ovan har sökanden påstått att Eurojusts deltagande i samordningsmötena mellan de belgiska, franska och nederländska myndigheterna samt Europol den 25 april 2019, den 7 september 2020 och den 11 februari 2021, Eurojusts deltagande i mötet om samordning av de nederländska och serbiska utredningarna den 23 maj 2022 och Eurojusts överföring den 24 juni 2022 utgjorde skadegörande handlingar.

108 Med undantag för överföringen av den 24 juni 2022 utgör samtliga akter och ageranden som avses ovan i punkterna 106 och 107 akter eller ageranden av förberedande karaktär som inte kan ha sådana bindande rättsverkningar som kan påverka sökandens intressen genom att klart förändra dennes rättsliga ställning, i den mening som avses i EU-domstolens fasta praxis (se, för ett liknande resonemang, dom av den 11 november 1981, IBM/kommissionen, 60/81, EU:C:1981:264, punkt 9, och dom av den 30 november 2023, Sistem ecologica/kommissionen, C‑787/22 P, ej publicerad, EU:C:2023:940, punkt 51).

109 När det gäller Europols och Eurojusts deltagande i de berörda mötena eller arbetsgrupperna finner tribunalen att även om det antas att dessa möten och grupper har gett upphov till behandling av sökandens personuppgifter, så utgör de endast olika steg i pågående brottsutredningar och det de gör är endast att skapa förutsättningar för den fortsatta utredningen, utan att förändra sökandens rättigheter eller kränka någon av hans processuella rättigheter.

110 Deltagandet i dessa möten eller arbetsgrupper utgör således inte slutpunkten för ett särskilt förfarande som skiljer sig från det som ska göra det möjligt för brottmålsdomstolarna i de berörda medlemsstaterna att eventuellt uttala sig om sökandens straffrättsliga ansvar (se, i detta avseende, domen av den 11 november 1981, IBM/kommissionen, 60/81, EU:C:1981:264, punkt 11, och beslut av den 9 september 2020, IMG/kommissionen, T‑645/19, ej publicerat, EU:T:2020:388, punkt 48 och där angiven rättspraxis).

111 När det gäller Europols överföring av personuppgifter avseende sökanden från tjänsten Sky ECC till myndigheterna i medlemsstaterna Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna, så skiljer denna sig inte från Europeiska byrån för bedrägeribekämpnings (Olaf) överföring av sina slutrapporter och uppgifter till medlemsstaterna, vilka enligt fast rättspraxis inte utgör akter mot vilka talan kan väckas (se, för ett liknande resonemang, dom av den 30 november 2023, Sistem ecologica/kommissionen, C‑787/22 P, ej publicerad, EU:C:2023:940, punkterna 55, 56, 60, 66 och 67, dom av den 12 september 2007, Nikolaou/kommissionen, T‑259/03, ej publicerad, EU:T:2007:254, punkterna 244 och 245 samt där angiven rättspraxis, och dom av den 20 maj 2010, kommissionen/Violetti m.fl., T‑261/09 P, EU:T:2010:215, punkt 47 och där angiven rättspraxis).

112 Följaktligen konstaterar tribunalen, utan att det behöver fastställas huruvida, i avsaknad av formalisering av de olika ageranden som sökanden betraktar som skadegörande handlingar från Europols och Eurojusts sida, Europols och Eurojusts deltagande i de möten och den arbetsgrupp som avses i punkterna 106 och 107 ovan och Europols överföring av sökandens personuppgifter från tjänsten Sky ECC till de belgiska, franska och nederländska myndigheterna kan kvalificeras som akter i den mening som avses i artikel 263 FEUF, att det i vilket fall som helst inte går att väcka talan mot dessa handlingar.

113 Överföringen av den 24 juni 2022 ska däremot anses utgöra en akt mot vilken talan kan väckas.

114 Det framgår visserligen av den rättspraxis som det erinrats om ovan i punkt 111 att Olafs överföring av slutrapporter och uppgifter till medlemsstaterna inte utgör akter mot vilken talan kan väckas.

115 Det ska dock noteras att när domstolen och tribunalen kom fram till att Olafs överföringar inte utgjorde akter mot vilka talan kan väckas kunde beakta det faktum att sökanden förfogade över andra medel för att få till stånd en prövning av om dessa överföringsbeslut var lagliga (se dom av den 20 maj 2010, Kommissionen/Violetti m.fl., T‑261/09 P, EU:T:2010:215, punkt 48 och där angiven rättspraxis), bland annat förfarandet med begäran om förhandsavgörande (se, för ett liknande resonemang, beslut av den 19 april 2005, Tillack/kommissionen, C‑521/04 P(R), EU:C:2005:240, punkt 39).

116 Överföringen av den 24 juni 2022 skedde emellertid mellan en EU-byrå och myndigheter i ett tredjeland, nämligen Republiken Serbien, och inte myndigheter i en medlemsstat.

117 Det betyder att om det inte inom ramen för den nu aktuella talan går att göra gällande att överföringen av den 24 juni 2022 strider mot unionsrätten, så kommer det inte att finnas någon sådan möjlighet vid ett senare tillfälle och de personuppgifter som därigenom överfördes kan komma att betraktas som lagligen överförda till de serbiska myndigheterna utan att sökandena vid ett senare tillfälle har möjlighet att utverka att domstolarna i detta tredjeland prövar överföringens giltighet utifrån unionsrätten eller hänskjuter en fråga om överföringens giltighet till EU-domstolen för förhandsavgörande.

118 I den meningen utgör överföringen av den 24 juni 2022 slutpunkten i ett särskilt förfarande genom vilket Eurojust till myndigheterna i ett tredjeland, och på dessa myndigheters begäran, överför personuppgifter om en viss angiven person.

119 Att erkänna möjligheten att väcka talan mot överföringen av den 24 juni 2022 är dessutom det enda sättet att säkerställa att en rättslig myndighet eller ett annat oberoende organ kan utföra en effektiv kontroll av överföringen av de uppfångade personuppgifterna och deras användning för andra ändamål än det straffrättsliga förfarande för vilket uppgifterna ursprungligen samlades in (se, för ett liknande resonemang, Europadomstolen, 1 april 2025, Ships Waste Oil Collector B.V. m.fl. mot Nederländerna, CE:ECHR:2025:0401JUD000279916, §§ 160 och 183 samt där angiven rättspraxis).

120 Att Eurojust har anfört att sökanden skulle kunna väcka talan vid fransk domstol eller vid Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) efter en eventuellt fällande dom i en serbisk brottmålsdomstol saknar i detta hänseende betydelse.

121 För det första finns det ingen möjlighet att i fransk domstol väcka talan om ogiltigförklaring av en rättsakt som antagits av EU-byrå.

122 För det andra finns det, eftersom unionen inte har anslutit sig till Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen), ingen möjlighet för Europadomstolen att fastställa att unionen har åsidosatt skyldigheter enligt denna konvention, särskilt inte i ett mål där talan har väckts mot ett tredjeland.

123 Mot bakgrund av det ovan anförda ska Europols och Eurojusts invändning om rättegångshinder bifallas och det konstateras att talan inte kan väckas mot de akter och ageranden som sökanden har påstått utgör skadegörande handlingar, med undantag för överföringen av den 24 juni 2022.

124 Tribunalen konstaterar att sökanden inte har visat på vilket sätt överföringen av den 24 juni 2022 skulle ha gett upphov till en otillåten behandling av sökandens personuppgifter.

125 Inledningsvis framhåller tribunalen att det föreskrivs i artikel 45.2 b i förordning 2018/1727 att ansvaret för att de operativa personuppgifterna är korrekta åvilar den medlemsstat som tillhandahöll Eurojust uppgifterna, om dessa, såsom i förevarande fall, inte har ändrats i samband med Eurojusts behandling av dem, vilket sökanden inte har bestritt.

126 Vidare konstaterar tribunalen att när det gäller åtgärden bestående i att de franska myndigheterna, via Eurojust, tillhandahöll de serbiska myndigheterna sökandens samtal, så finns det inget som tyder på att denna behandling av personuppgifter inte var korrekt och laglig och skedde för särskilda, uttryckligt angivna och berättigade ändamål i den mening som avses i artikel 71.1 a och b i förordning 2018/1725.

127 För det första ingick denna behandling i utförandet av Eurojusts uppdrag och var nödvändig för att Eurojust skulle kunna utföra sitt uppdrag. För det andra framgår det inte av handlingarna i målet att sökandens personuppgifter skulle ha behandlats för andra ändamål än detta uppdrag. För det tredje utfördes behandlingen på begäran av de franska myndigheterna och för att efterkomma föregående framställningar om ömsesidig rättslig hjälp. För det fjärde hade överföringen av sökandens personuppgifter till de serbiska myndigheterna stöd i artikel 56.2 b i förordning 2018/1727 och i det samarbetsavtal om tillåtande av utväxling av operativa personuppgifter som ingicks mellan Eurojust och Republiken Serbien den 12 november 2019.

128 Ovannämnda åtgärd, bestående i att de franska myndigheterna, via Eurojust, tillhandahöll de serbiska myndigheterna sökandens samtal, var även proportionerlig och tillräckligt säker i den mening som avses i artikel 71.1 c, d och e i förordning 2018/1725. Åtgärden bestod nämligen i ett tillhandahållande av en länk till en lösenordsskyddad nedladdningswebbplats som de franska myndigheterna hade skickat, och inget ger anledning att betvivla att Eurojust, såsom byrån gjort gällande, avstod från att ta del av de aktuella uppgifterna och inte laddade ned, sparade eller kopierade dem i sina egna it-system.

129 Vad vidare gäller sökandens påstående att artiklarna 47 och 48 i stadgan samt artikel 6 i Europakonventionen och artiklarna 14 och 15 i internationella konventionen har åsidosatts, så har sökanden inte förklarat på vilket sätt överföringen av den 24 juni 2022, den dag då överföringen skedde, innebar ett åsidosättande av dessa bestämmelser, särskilt då ingen nederländsk eller serbisk domstol vid den tidpunkten meddelat någon fällande dom mot sökanden på grundval av de överförda uppgifterna.

130 Yrkandet om ogiltigförklaring av överföringen av den 24 juni 2022 ska således ogillas.

131 Genom tillämpning av artikel 277 FEUF så finns en möjlighet, även om den frist som anges i artikel 263 sjätte stycket FEUF har löpt ut, för parterna i en tvist om en akt med allmän giltighet som antagits av någon av unionens institutioner eller byråer eller något av dess organ, att med stöd av artikel 263 andra stycket FEUF inför unionsdomstolen göra gällande att akten inte ska tillämpas.

132 Ingen av de akter och inget av de ageranden som sökanden har påstått utgjorde skadegörande handlingar från Europols eller Eurojusts sida uppvisar emellertid de kännetecken som utmärker en akt med allmän giltighet.

133 Talan kan följaktligen inte vinna bifall såvitt avser den grund som avser artikel 277 FEUF.

134 Unionens utomobligatoriska ansvar enligt artikel 340 andra stycket FEUF förutsätter att ett antal villkor är uppfyllda, nämligen att det föreligger en tillräckligt klar överträdelse av en rättsregel som har till syfte att ge enskilda rättigheter, att det verkligen föreligger en skada och att det finns ett orsakssamband mellan åsidosättandet av den skyldighet som åligger den som är ansvarig för handlandet och den skada som de drabbade personerna har lidit (dom av den 5 mars 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punkt 117 och där angiven rättspraxis).

135 Om ett av dessa villkor inte är uppfyllt, ska talan ogillas i sin helhet utan att det är nödvändigt att pröva de andra villkoren för unionens utomobligatoriska skadeståndsansvar. Unionsdomstolen är vidare inte skyldig att pröva villkoren i en viss bestämd ordning (se dom av den 13 december 2018, Europeiska unionen/Kendrion, C‑150/17 P, EU:C:2018:1014, punkt 118 och där angiven rättspraxis).

136 EU-domstolen har emellertid slagit fast, att i de fall där unionslagstiftaren har föreskrivit ett avvikande system med solidariskt ansvar mellan en EU-byrå och en eller flera medlemsstater, så krävs det för att byrån ska bli skadeståndsansvarig inte att det styrks att den skada som åberopas till stöd för yrkandet om skadestånd har orsakats av byrån, då åtminstone en eller flera av dessa medlemsstater varit med om att orsaka skadan (se, för ett liknande resonemang, dom av den 5 mars 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punkterna 125 och 132).

137 Mot denna bakgrund ska de akter och ageranden som Europol – som ensam omfattas av denna avvikande ordning med solidariskt ansvar för medlemsstaterna – och Eurojust kan hållas ansvariga för, prövas var för sig.

138 Genom den första åberopade skadan, som sökanden har hänvisat till inom ramen för den första grunden, har sökanden gjort gällande att Europol och de berörda medlemsstaterna har behandlat uppgifter från tjänsten Sky ECC – inklusive uppgifter avseende sökanden – på ett icke korrekt och icke lagenligt sätt, och därmed har åsidosatt bland annat artikel 28.1 a i förordning 2016/794.

139 Sökanden har gjort gällande att den inledande behandlingen av uppgifterna från tjänsten Sky ECC skedde på ett odifferentierat sätt vilket innebar att den varken var nödvändig, i den mening som avses i artikel 18.1 i förordning 2016/794, eller proportionerlig i den mening som avses i artikel 28.1 c i förordningen, eftersom det inte fanns tillräckliga presumtioner för att samtliga användare av tjänsten Sky ECC skulle ha varit inblandade i brottslighet.

140 Dessutom har sökanden anfört att den efterföljande behandlingen av uppgifter från tjänsten Sky ECC stred mot artikel 28.1 b i förordning 2016/794, eftersom den avsåg uppgifter som inte uteslutande hade samband med brott och som hade samlats in på ett odifferentierat sätt och utan detta skett för särskilda, uttryckligt angivna och berättigade syften.

141 Mot bakgrund av detta argument ska den första åberopade skadan förstås så, att den avser påståenden om att såväl Europol som Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna – vilka omfattas av den avvikande ordning med solidariskt ansvar som avses i artikel 50.1 i förordning 2016/794 – har gjort sig skyldiga till felaktig behandling av uppgifter.

142 Vid prövningen av den första åberopade skadan ska således inte bara Europols akter och ageranden beaktas, enligt det ansvarssystem som följer av artikel 49 i förordning 2016/794, utan även de tre berörda medlemsstaternas akter och ageranden enligt den avvikande ordning med solidariskt ansvar som avses i artikel 50.1 i denna förordning.

143 Genom den andra åberopade skadan, som sökanden har hänvisat till inom ramen för den andra grunden, trots omnämnandet i punkt 68 i ansökan av artikel 28 i förordning 2016/794, så gör sökanden i princip endast gällande att rätten till en rättvis rättegång har åsidosatts på grund av att det inte är möjligt att kontrollera huruvida uppgifterna från tjänsten Sky ECC är användbara i de nationella straffrättsliga förfaranden som de utredningar i vilka Europol deltog ledde fram till.

144 Det betyder att sökanden inom ramen för den andra grunden inte har bestritt lagenligheten av behandlingen av hans personuppgifter, i den mening som avses i artikel 28 i förordning 2016/794 – som är det enda argumentet som kan medföra att ett bestridande omfattas av den avvikande ordning med solidariskt ansvar som följer av artikel 50.1 i denna förordning.

145 Vid prövningen av den andra åberopade skadan är det mot denna bakgrund endast Europols akter och ageranden som ska beaktas enligt det ansvarssystem som följer av artikel 49 i förordning 2016/794.

146 Genom den tredje åberopade skadan, som sökanden har hänvisat till inom ramen för den tredje grunden, har sökanden gjort gällande att han av nederländska och serbiska straffrättsliga myndigheterna gjorts till föremål för dubbla åtal för samma gärningar.

147 Sökanden har i huvudsak gjort gällande att Europol bland annat har åsidosatt kravet på optimal samordning enligt ECE-avtalet och därigenom berövat honom möjligheten att försvara sig på vederbörligt sätt. Detta strider enligt sökanden mot artiklarna 47 och 48 i stadgan, artikel 6 i Europakonventionen och artiklarna 14 och 15 i internationella konventionen.

148 Det kan i förevarande fall visserligen konstateras att uppgifter som Europol innehade och behandlade ställdes till förfogande för de nederländska myndigheterna av Europol och översändes av de franska myndigheterna till de serbiska myndigheterna. Genom den tredje åberopade skadan har sökanden emellertid inte gjort gällande att Europol har gjort sig skyldig till en eventuell felaktig behandling av personuppgifter i den mening som avses i artikel 50.1 i förordning 2016/794, utan endast för att Europol har åsidosatt sina skyldigheter enligt ECE-avtalet.

149 Vid prövningen av den tredje åberopade skadan är det följaktligen endast Europols akter och ageranden som ska beaktas, enligt det ansvarssystem som följer av artikel 49 i förordning 2016/794.

150 Genom den fjärde åberopade skadan, som sökanden har hänvisat till inom ramen för den fjärde grunden, har sökanden gjort gällande att hans uppgifter från tjänsten Sky ECC har behandlats av Europol och Eurojust på ett sätt som inte är tillräckligt säkert och inte är i överensstämmelse med gällande regler, vilket sökanden bekräftade när han besvarade en fråga från tribunalen under förhandlingen.

151 Hans påståenden grundar sig på artikel 32 i förordning 2016/794 samt artiklarna 89, 91 och 92 i förordning 2018/1725.

152 Vad gäller de omständigheter som sökanden har åberopat – det vill säga omständigheter som inträffat före den 24 juni 2022 – var det endast artikel 32 i förordning 2016/794 som var tillämplig i tiden (ratione temporis) på Europol, i enlighet med artikel 2 i förordning 2018/1725.

153 Vid prövningen av den fjärde åberopade skadan är det mot denna bakgrund endast Europols akter och ageranden som ska beaktas och detta endast i ljuset av artikel 32 i förordning 2016/794.

154 Såsom har påpekats i punkterna 138–142 ovan har sökanden, inom ramen för den första åberopade skadan, gjort gällande att han lidit skada till följd av att såväl Europol som Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna behandlade hans uppgifter från tjänsten Sky ECC på ett felaktigt sätt.

155 Enligt sökanden har uppgifterna från tjänsten Sky ECC – inklusive uppgifter avseende sökanden – behandlats på ett odifferentierat sätt, i strid med artiklarna 17, 18, 28 och 38 i förordning 2016/794, artiklarna 7, 8, 10–12, 51 och 52 i stadgan, artikel 8 i Europakonventionen och artikel 17 i internationella konventionen.

156 Sökanden har gjort gällande att dessa uppgifter inledningsvis behandlades av de berörda medlemsstaterna i strid med nödvändighets- och proportionalitetsprinciperna, eftersom det inte förelåg någon välgrundad presumtion om att samtliga användare av tjänsten Sky ECC var inblandade brottslig verksamhet. Därigenom strider insamlingen av uppgifterna, enligt sökanden, mot Europadomstolens praxis, enligt vilken det endast i undantagsfall är tillåtet med en odifferentierad insamling av uppgifter. Dessutom får insamling och behandling av metadata endast ske efter tillstånd från domstol och på området för nationell säkerhet eller bekämpning av grov brottslighet, vilket inte är fallet i förevarande mål.

157 Sökanden har anfört att Europol enligt artikel 17.1 a i förordning 2016/794 endast får behandla uppgifter som behandlas av medlemsstaterna i enlighet med deras nationella rätt, vilket inte var fallet i förevarande mål.

158 Dessa uppgifter behandlades, enligt sökanden, därefter av Europol utan berättigat syfte, eftersom vissa sparade diskussioner inte hade koppling till något brott. Dessutom behandlades de på ett icke lagenligt och ett icke korrekt sätt.

159 Sökanden har anfört att Europol i denna mening har åsidosatt punkt 32 h, i, p och q i Europaparlamentets rekommendation av den 15 juni 2023 till rådet och kommissionen efter undersökningen av påstådda överträdelser och missförhållanden vid tillämpningen av unionsrätten i fråga om användningen av Pegasus och liknande spionprogram (2023/2500(RSP)), genom att inte radera irrelevanta uppgifter, genom att lagra de aktuella uppgifterna under längre tid än en viss tidsperiod och genom att underlåta att underrätta såväl personer som var måltavlor för åtgärden som personer som inte var det.

160 Dessa överträdelser bekräftas enligt sökanden av att Europeiska datatillsynsmannen nyligen utfärdade ett föreläggande mot Europol i samband med lagring och radering av icke kategoriserade dataset (EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation, Cases 2019–0370, 2021–0699, 21 december 2021).

161 Europol har gjort gällande att denna åberopade skada saknar grund.

162 Tribunalen påpekar inledningsvis att Europols påstående att Europol inte kan hållas ansvarigt för medlemsstaternas akter och ageranden och att tribunalen inte kan pröva huruvida de är lagenliga är felaktigt.

163 Det är visserligen riktigt att unionsdomstolen enligt artikel 276 FEUF inte är behörig att pröva giltigheten eller proportionaliteten av insatser som polis eller andra brottsbekämpande organ gör i en medlemsstat, vilket även gäller inom ramen för mål där talan väckts med stöd av artiklarna 268 och 340 FEUF (se ovan punkterna 44–46). Utanför dessa specifika insatser innebär emellertid den avvikande ordning med solidariskt ansvar som föreskrivs i artikel 50.1 i förordning 2016/794, underförstått men nödvändigtvis, att Europol kan hållas ansvarigt för medlemsstaternas akter och ageranden.

164 Likaså följer nödvändigtvis av detta att tribunalen, inom ramen för en skadeståndstalan enligt artikel 50.1 i förordning 2016/794, är behörig att bedöma lagenligheten av akter och ageranden när det gäller andra medlemsstater än dem vars polismyndigheter eller andra brottsbekämpande organ har samlat in de berörda uppgifterna, antingen med stöd av unionsrätten och i synnerhet förordning 2016/794 (se, för ett liknande resonemang, dom av den 5 mars 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punkt 121), eller med stöd av den nationella rätten i den berörda medlemsstaten.

165 För det första konstaterar tribunalen att sökanden, när det gäller behandlingen av de uppgifter som samlats in av de franska myndigheterna, endast har hävdat att vissa uppgifter har behandlats trots att de inte hade någon koppling till någon brott och att behandlingen av dem av den anledningen stred mot artikel 30.1 i förordning 2016/794 om behandling av personuppgifter om brottsoffer, vittnen eller andra personer som kan lämna uppgifter beträffande brott, eller om personer under 18 år.

166 Sökanden är dock en myndig person som enligt den berörda medlemsstatens nationella rätt misstänktes för att ha begått ett brott eller deltagit i ett brott som omfattades av Europols behörighet enligt artikel 3.1 i förordning 2016/794, nämligen narkotikahandel.

167 Sökanden kan således inte med framgång åberopa artikel 30.1 i förordning 2016/794.

168 Sökanden har inte heller anfört någon omständighet som ger anledning att betvivla att behandlingen av uppgifterna från tjänsten Sky ECC, av bland annat de berörda nationella myndigheterna, innan uppgifterna överfördes till Europol, utfördes för de berättigade syften för vilka de samlades in, det vill säga utarbetande av analyser av strategisk eller tematisk karaktär och operativa analyser, i den mening som avses i artikel 18.2 b och c i förordning 2016/794, mot bakgrund av verkställigheten av de beslut om gemensam utredning som avses i punkt 4 ovan och den gemensamma utredningsgruppens arbete.

169 För det andra konstaterar tribunalen att sökanden inte anfört någon omständighet som kan styrka att överföringarna till Europol av de uppgifter som samlats in av de franska myndigheterna har skett i strid med de principer som avses i artikel 28.1 i förordning 2016/794.

170 För det tredje finner tribunalen vad gäller Europols åtgärder med avseende på sökandens uppgifter, att det inte finns något som tyder på att mottagandet, behandlingen och därefter överföringen av resultatet av analysen av dessa uppgifter till de berörda medlemsstaterna skulle ha skett i strid med de principer som anges i artikel 28.1 i förordning 2016/794.

171 Det första skälet till detta, är att samtliga dessa åtgärder genomfördes inom en avgränsad ram med särskilda, uttryckligt angivna och berättigade ändamål, nämligen en specifik insats avseende tjänsten Sky ECC, som bland annat syftade till att identifiera tjänstens användare, för att kunna lagföra dem, och dessutom med hjälp av en gemensam utredningsgrupp som eftersträvade samma syfte och som hade inrättats genom ett särskilt avtal, där dess mål uttryckligen angavs, mellan Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna, till vilket Europol var knutet (se punkterna 3–6).

172 Det andra skälet till detta, är att inget tyder på att Europols behandling av sökandens uppgifter skulle ha varit olämplig, irrelevant eller alltför långtgående med hänsyn till målet att identifiera användarna av tjänsten Sky ECC med siktet inställt särskilt på att inleda straffrättsliga förfaranden mot dem.

173 Den omständigheten att Europeiska datatillsynsmannen riktade det beslut som avses i punkt 160 ovan mot Europol saknar i detta avseende betydelse. Sökanden har nämligen inte hävdat, och än mindre visat, att hans uppgifter var sådana som omfattades av detta beslut, det vill säga uppgifter som innehas av Europol och som inte är föremål för kategorisering.

174 Tvärtom framgår det av de uppgifter som tribunalen förfogar över att sökandens uppgifter hade kopplats till en specifik utredning avseende tjänsten Sky ECC, som särskilt syftade till att identifiera tjänstens användare (se ovan punkterna 4–6), att Europol hade kopplat samman sökandens namn med dennes identifieringskod för tjänsten Sky ECC och dennes användarnamn och således kunde identifiera sökandens konversationer (se ovan punkterna 64 och 65) och även hade tillhandahållit nationella paket (se ovan punkt 81).

175 Det tredje skälet till detta, är att det inte framgår av handlingarna i målet att de uppgifter avseende sökanden som behandlats av Europol var felaktiga eller att de inte var lämpligen säkrade, med hänsyn till att dessa uppgifter enbart överfördes till de länder och organ som direkt eller indirekt deltog i den gemensamma utredningsgruppen och att de endast användes för det straffrättsliga förfarande som inletts mot sökanden av Konungariket Nederländerna och Republiken Serbien.

176 Det fjärde skälet till detta, är att det inte finns något som tyder på att uppgifterna avseende sökanden, som när talan i detta mål väcktes fortfarande var föremål för straffrättsliga förfaranden, skulle ha sparats under en längre tidsperiod än vad som var nödvändigt bland annat för att dessa förfaranden skulle kunna genomföras på ett smidigt sätt.

177 Det femte skälet till detta, är att sökanden inte med framgång kan göra gällande att han inte har kunnat få tillgång till sina uppgifter, eftersom det följer av skäl 41 i förordning 2016/794 – som bör tillerkännas ett betydande tolkningsvärde (se, för ett liknande resonemang, dom av den 5 mars 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punkt 59) – att Europol har möjlighet att vägra åtkomsten till en persons personuppgifter för att kunna utföra sina arbetsuppgifter på ett korrekt sätt, skydda säkerhet och allmän ordning, förhindra brott eller garantera att nationella utredningar inte äventyras.

178 För det fjärde konstaterar tribunalen att det inte på något sätt framgår av de uppgifter som ställts till tribunalens förfogande att Europol skulle ha åsidosatt principerna om behandling av personuppgifter vid mötena den 27 maj och den 28 augusti 2019 eller vid arbetsgruppens möten den 23 och 24 juli 2020, vid vilket nya meddelanden uppdagades (se punkterna 55 och 57).

179 Det är uppenbart att dessa möten omfattades av de uppdrag som Europol tilldelats och som bland annat avses i artikel 4.1 c i förordning 2016/794, särskilt i den aktuella situationen där Europol deltog i en gemensam utredningsgrupp, såsom föreskrivs i artikel 4.1 d i denna förordning.

180 För det femte konstaterar tribunalen att det inte föreligger någon omständighet som gör det möjligt att dra slutsatsen att Konungariket Belgien, Republiken Frankrike eller Konungariket Nederländerna gjorde sig skyldiga till oegentligheter vid mottagandet av de uppgifter som Europol överförde till dem.

181 För det sjätte konstaterar tribunalen att det inte finns något som tyder på att de uppgifter som de nederländska myndigheterna överförde till de serbiska myndigheterna någonsin var i Europols besittning, vilket utesluter allt solidariskt ansvar för Europol.

182 För det sjunde konstaterar tribunalen att det inte finns något som tyder på att överföringen av den 24 juni 2022 stred mot artikel 28 i förordning 2016/794.

183 Vidare finner tribunalen, av skäl liknande dem som angetts i punkterna 171–182 ovan, att Europol, Konungariket Belgien, Republiken Frankrike och Konungariket Nederländerna inte kan anses ha åsidosatt artiklarna 7, 8, 10–12, 51 och 52 i stadgan, artikel 8 i Europakonventionen och artikel 17 i internationella konventionen.

184 Det ska även erinras om att det i artikel 52.1 i stadgan föreskrivs en möjlighet att begränsa de rättigheter som garanteras i stadgan – däribland rätten till respekt för privatlivet och familjelivet, skyddet av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, mötes- och föreningsfrihet – under förutsättning att dessa begränsningar är föreskrivna i lag, att de är förenliga dels med det väsentliga innehållet i de aktuella fri- och rättigheterna, och att de, med beaktande av proportionalitetsprincipen, endast görs om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter (se dom av den 4 oktober 2024, Bezirkshauptmannschaft Landeck (Försök att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon), C‑548/21, EU:C:2024:830, punkt 119 och där angiven rättspraxis).

185 Dessutom kan kampen mot grov brottslighet – som kampen mot narkotikahandel utgör en del av – motivera allvarliga ingrepp i de grundläggande rättigheter som stadfästs i bland annat artiklarna 7 och 8 i stadgan, exempelvis det ingrepp som det innebär att lagra trafik- och lokaliseringsuppgifter (se, för ett liknande resonemang, dom av den 7 september 2023, Lietuvos Respublikos generalinė prokuratūra, C‑162/22, EU:C:2023:631, punkt 37).

186 Vad slutligen gäller sökandens åberopande av Europaparlamentets rekommendation, som avses i punkt 159 ovan, räcker det att konstatera att en sådan handling inte är juridiskt bindande.

187 Mot bakgrund av det ovan anförda har sökanden inte visat att det föreligger en tillräckligt klar överträdelse av en rättsregel som har till syfte att ge honom rättigheter.

188 Eftersom detta villkor för att Europol ska ådra sig skadeståndsansvar med stöd av artikel 50.1 i förordning 2016/794 inte är uppfyllt, saknas det anledning att pröva de övriga villkoren för Europols ansvar i detta avseende (se, för ett liknande resonemang, dom av den 13 december 2018, Europeiska unionen/Kendrion, C‑150/17 P, EU:C:2018:1014, punkt 118).

189 Talan ska således ogillas såvitt gäller den skada som sökanden har åberopat mot Europol med stöd av artikel 50.1 i förordning 2016/794.

190 Sökanden har gjort gällande att han har lidit skada av att hans rätt till en rättvis rättegång i brottmål, vilken garanteras i artiklarna 47 och 48 i stadgan och i artiklarna 14 och 15 i internationella konventionen, har åsidosatts, till följd av att det är omöjligt att kontrollera sanningshalten, äktheten, tillförlitligheten och lagenligheten hos de uppgifter som har behandlats och överförts inom ramen för samarbetet avseende tjänsten Sky ECC, eller åtminstone till följd av att det saknas formella och materiella skyddsregler.

191 Sökanden har nämligen anfört att den mer eller mindre absoluta (eftersträvade) principen om mellanstatligt förtroende och metoderna för hemlig (statlig) (utredning) omöjliggör en formell och materiell kontroll av uppgifter som härrör från tjänsten Sky ECC, vilka används som bevisning inom ramen för nationella straffrättsliga förfaranden, trots att uppgifterna är ofullständiga och därför har samlats in och behandlats på ett icke lagenligt, icke korrekt och olämpligt sätt i strid mot syftet med användningen av bevisning i brottmål.

192 Europol har gjort gällande att denna åberopade skada saknar grund.

193 I den del sökanden i huvudsak har gjort gällande att varken de nederländska eller de serbiska straffrättsliga förfarandena ger honom någon möjlighet att bestrida att de uppgifter från tjänsten Sky ECC som använts inom ramen för dessa förfaranden kan tillåtas eller har bevisvärde, ska detta argument underkännas, eftersom Europol inte är solidariskt ansvarigt för en medlemsstat för andra akter och ageranden än felaktig behandling av uppgifter och eftersom Europol inte är solidariskt ansvarigt för ett tredjeland.

194 Även om sökanden genom denna åberopade skada har gjort gällande att behandlingen av hans uppgifter var olaglig kan det konstateras att detta argument redan har underkänts i punkt 187 ovan.

195 Den av sökanden åberopade skada som påstås ha uppkommit till följd av att Europol åsidosatt artiklarna 47 och 48 i stadgan och artiklarna 14 och 15 i internationella konventionen ska därför inte godtas.

196 Genom sin tredje grund har sökanden gjort gällande att Europol har vållat honom skada genom att inte uppfylla sin skyldighet enligt ECE-avtalet att samordna lagföringen, trots att Europol varit inblandat i utväxlingen av hans uppgifter inför lagföringen av honom.

197 Denna underlåtenhet gjorde att sökanden blev tvungen att försvara sig i både Nederländerna och Serbien, samtidigt som han var frihetsberövad i Nederländerna, vilket påverkade hans försvar i Serbien och stred mot artiklarna 47 och 48 i stadgan, artikel 6 i Europakonventionen samt artiklarna 14 och 15 i internationella konventionen.

198 Europol har gjort gällande att denna åberopade skada saknar grund.

199 Det räcker i detta avseende med att påpeka att sökandens argument grundar sig på en felaktig tolkning av det avsnitt i ECE-avtalet som han har åberopat.

200 I ECE-avtalet anges, under rubriken 9.1 Avtal om användning av digitala data från avlyssning av servrar – Utbyte av upplysningar med länder som inte ingår i den gemensamma utredningsgruppen, att om … användare från olika länder i den gemensamma utredningsgruppen eller från länder som inte ingår i den gemensamma utredningsgruppen sannolikt är inblandade i liknande eller därmed sammanhängande gärningar, ska de berörda deltagarna i den gemensamma utredningsgruppen utan dröjsmål samråda, vid behov även med länder som inte ingår i den gemensamma utredningsgruppen och med Europol.

201 Förutom den omständigheten att samrådet med Europol om användningen av digitala data från avlyssning av servrar är frivilligt, så konstaterar tribunalen att detta samråd, med hänsyn till den rubrik under vilken det avsnitt som sökanden har nämnt är placerat, handlar om användningen av dessa uppgifter och inte om de straffrättsliga förfaranden som skulle kunna inledas på grundval av dessa uppgifter av de medlemsstater som är parter i ECE-avtalet, eller av länder som inte är parter i detta avtal.

202 Vidare kan ingen skyldighet att samordna lagföringen på nationell nivå göras gällande mot Europol, eftersom förordning 2016/794 – och särskilt artikel 4.1 i denna – inte på något sätt ger Europol befogenhet att besluta om lagföring av en person som identifierats i ett visst land eller att samordna den lagföring som inletts i flera av dessa länder.

203 Europol kan således inte anses har gjort sig skyldigt till åsidosättanden av artiklarna 47 och 48 i stadgan, av artikel 6 i Europakonventionen eller av artiklarna 14 och 15 i internationella konventionen, åsidosättanden som vid den tidpunkt då den nu aktuella talan väcktes inte var mer än hypoteser, eftersom de straffrättsliga förfaranden som inletts mot sökanden fortfarande pågick.

204 Den av sökanden åberopade skada som påstås ha uppkommit till följd av att Europol åsidosatt ECE-avtalet, artiklarna 47 och 48 i stadgan, artikel 6 i Europakonventionen och artiklarna 14 och 15 i internationella konventionen kan därför inte godtas.

205 Genom sin fjärde grund har sökanden gjort gällande att för det fall insamlingen och behandlingen av hans personuppgifter visar sig vara laglig och korrekt, så har Europol åsamkat honom skada genom att inte uppfylla sin skyldighet att säkerställa en lämplig säkerhetsnivå för sökandens uppgifter, i strid med artikel 32 i förordning 2016/794.

206 Europol har gjort gällande att denna åberopade skada saknar grund.

207 Tribunalen konstaterar att sökandens påståenden om att Europol har underlåtit att uppfylla sin skyldighet att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är anpassad till risken inte stöds av något bevis eller något prima facie-bevis.

208 Sökanden har inte visat att hans personuppgifter, till följd av en sådan underlåtenhet, bland annat varit föremål för otillåtet utlämnande, otillåtna ändringar, otillåten åtkomst eller annat slag av otillåten behandling.

209 Det ska i detta hänseende påpekas att sökandens påstående att hans namn har röjts i pressen på grund av Europols agerande inte stöds av någon bevisning.

210 Enbart en obestyrkt rädsla hos sökanden för att hans personuppgifter kan ha kränkts räcker inte för att fastställa att Europol har underlåtit att uppfylla sina skyldigheter enligt artikel 32 i förordning 2016/794.

211 Den av sökanden åberopade skada som påstås ha uppkommit till följd av att Europol åsidosatt artikel 32 i förordning 2016/794, kan således inte godtas, och därmed ska skadeståndsyrkandet i den mån det är riktat mot Europol ogillas.

212 Genom sin första grund har sökanden gjort gällande att han lidit skada till följd av behandlingen av hans personuppgifter i strid med artiklarna 71 och 72 i förordning 2018/1725, artiklarna (9 och) 26 och 27 i förordning 2018/1727, artiklarna 7, 8 och 10–12 jämförda med artiklarna 51 och 52 i stadgan, artikel 8 i Europakonventionen och artikel 17 i internationella konventionen.

213 Sökanden har till stöd för sina argument mutatis mutandis hänvisat till vad han har gjort gällande beträffande Europol enligt punkterna 154–160 ovan. Han tillägger att Eurojust också har åsidosatt principen om advokaters tystnadsplikt.

214 Eurojust har gjort gällande att denna åberopade skada saknar grund.

215 Tribunalen underkänner inledningsvis de argument som sökanden har anfört och som kan förstås så, att han, med åberopande av åsidosättanden av hans personuppgifter, har gjort gällande akter och ageranden från Eurojusts sida rörande andra uppgifter än sökandens personuppgifter utgör skadegörande handlingar.

216 För att unionen ska kunna ådra sig skadeståndsansvar måste sökanden nämligen visa att den skada för vilken han begär ersättning drabbar honom eller henne personligen (beslut av den 3 september 2021, Löning/kommissionen, C‑176/21 P, ej publicerat, EU:C:2021:697, punkt 19).

217 Tribunalen underkänner således det sökanden har gjort gällande beträffande tillhandahållandet av stöd och rådgivning i fråga om rättsligt samarbete till Konungariket Belgien, Republiken Frankrike, Konungariket Nederländerna och Europol vid tre möten som anordnades den 25 april 2019, den 7 september 2020 och den 11 februari 2021 (punkt 71 ovan), samt beträffande samordningen av de nederländska och serbiska utredningarna i samband med mötet den 23 maj 2022 (punkt 73 ovan); sökanden har varken påstått eller – än mindre – visat att dessa har gett upphov till behandling av sökandens personuppgifter.

218 Detsamma gäller påståendet att Eurojust har åsidosatt principen om advokaters tystnadsplikt.

219 Sökanden hänvisar visserligen till ett klagomål från en advokat vid advokatsamfundet i Rotterdam avseende behandlingen av dennes uppgifter från tjänsten Sky ECC. Sökanden har emellertid ingalunda angett att denna advokat har varit eller är hans ombud och att den information som Eurojust påstås ha behandlat rör sökandens försvar och att Eurojust därigenom har åsidosatt hans rätt att erhålla rådgivning från en advokat inom ramen för ett domstolsförfarande, vilket en rättighet som stadfästs i artikel 47 andra stycket i stadgan (se, för ett liknande resonemang, dom av den 8 december 2022, Orde van Vlaamse Balies m.fl., C‑694/20, EU:C:2022:963, punkt 53).

220 Vad gäller överföringen av den 24 juni 2022, och såsom har påpekats i punkterna 124–130 ovan, har sökanden inte visat varför det skulle ha gett upphov till en olaglig behandling av hans personuppgifter.

221 Vidare, vad gäller sökandens påstående att artiklarna 47 och 48 i stadgan samt artikel 6 i Europakonventionen och artiklarna 14 och 15 i internationella konventionen har åsidosatts, konstaterar tribunalen att sökanden inte har förklarat på vilket sätt en eventuell olaglig behandling av hans personuppgifter har skett i strid mot dessa bestämmelser.

222 Mot bakgrund av det ovan anförda underkänner tribunalen den av sökanden åberopade skada som påstås ha uppkommit till följd av olaglig behandling av hans personuppgifter samt åsidosättande av artiklarna 47 och 48 i stadgan, artikel 6 i Europakonventionen och artiklarna 14 och 15 i internationella konventionen.

223 Genom den andra grunden har sökanden gjort gällande att Eurojust har åsamkat honom skada genom att åsidosätta hans rätt till en rättvis rättegång i brottmål, vilken garanteras i artiklarna 47 och 48 i stadgan och i artiklarna 14 och 15 i internationella konventionen, på grund av att det är omöjligt att kontrollera sanningshalten, äktheten, tillförlitligheten och lagenligheten hos de uppgifter som behandlats och överförts inom ramen för samarbetet avseende tjänsten Sky ECC, eller åtminstone till följd av att det saknas formella och materiella skyddsregler.

224 Till stöd för sin argumentering har sökanden åberopat samma argument som dem som avses i punkt 191 ovan.

225 Eurojust har gjort gällande att denna åberopade skada saknar grund.

226 När det gäller den andra grunden, som endast avser de bevisregler som tillämpats i de nationella straffrättsliga förfaranden som inletts mot sökanden, ska det konstateras att Eurojust endast har överfört uppgifter genom överföringen av den 24 juni 2022.

227 Yrkandet om ogiltigförklaring av överföringen av den 24 juni 2022, som grundar sig på samma argument, har redan underkänts ovan i punkterna 128–130.

228 Vidare har sökanden inte åberopat någon omständighet eller anfört något argument som visar att hans rätt till ett effektivt rättsmedel har kränkts efter nämnda överföring.

229 Det ska under alla omständigheter erinras om att det i artikel 52.1 i stadgan föreskrivs en möjlighet att begränsa de rättigheter som garanteras av stadgan – däribland rätten till ett effektivt rättsmedel – på de villkor som det erinrats om i punkt 184 ovan.

230 Mot bakgrund av det ovan anförda finner tribunalen att den av sökanden åberopade skada som påstås ha uppkommit till följd av att Eurojust åsidosatt artiklarna 47 och 48 i stadgan och artiklarna 14 och 15 i internationella konventionen inte ska godtas.

231 Genom den tredje grunden har sökanden gjort gällande att Eurojust har vållat honom skada genom att inte uppfylla sin skyldighet enligt artikel 4.1 b i förordning 2018/1727 och ECE-avtalet att samordna lagföringen, trots att Eurojust varit inblandat i utväxlingen av hans uppgifter inför lagföringen av honom.

232 Denna underlåtenhet gjorde att sökanden blev tvungen att försvara sig i både Nederländerna och Serbien, samtidigt som han var frihetsberövad i Nederländerna, vilket påverkade hans försvar i Serbien och stred mot artiklarna 47 och 48 i stadgan, artikel 6 i Europakonventionen samt artiklarna 14 och 15 i internationella konventionen.

233 Eurojust har gjort gällande att denna åberopade skada saknar grund.

234 Det ska i detta hänseende erinras om att, såsom redan har angetts i punkterna 199–201 ovan, det samråd som föreskrivs i ECE-avtalet handlar om användningen av uppgifter som samlats in av de berörda länderna och inte om de straffrättsliga förfaranden som skulle kunna inledas på grundval av dessa uppgifter av de medlemsstater som är parter i ECE-avtalet, eller av länder som inte är parter i detta avtal.

235 Det ska dessutom påpekas att det i artikel 4.1 b i förordning 2018/1727 föreskrivs att Eurojust ska bistå de behöriga myndigheterna i medlemsstaterna genom att säkerställa bästa möjliga samordning av utredningar och lagföring.

236 Av detta följer, såsom Eurojust med rätta har gjort gällande, att Eurojust, inom ramen för denna operativa uppgift att samordna utredningar och lagföring, endast har en skyldighet att vidta bästa möjliga åtgärder och att det endast är de berörda nationella myndigheterna som kan besluta om att inleda lagföring av en person, vilket bekräftas av artikel 85 FEUF, som utgör den rättsliga grunden för förordning 2018/1727.

237 Eurojust kan således inte hållas ansvarigt för processuella val som faller under de berörda staternas exklusiva behörighet och exklusiva ansvar.

238 Mot bakgrund av det ovan anförda underkänner tribunalen den av sökanden åberopade skada som påstås ha uppkommit till följd av att Eurojust åsidosatt ECE-avtalet, artikel 4.1 b i förordning 2018/1727, artiklarna 47 och 48 i stadgan, artikel 6 i Europakonventionen och artiklarna 14 och 15 i internationella konventionen.

239 Genom sin fjärde grund har sökanden gjort gällande att för det fall insamlingen och behandlingen av hans personuppgifter visar sig vara laglig och korrekt, så har Eurojust åsamkat honom skada genom att inte uppfylla sin skyldighet att säkerställa en lämplig säkerhetsnivå för sökandens uppgifter, i strid med artikel 91 i förordning 2018/1725.

240 Sökanden anser att Eurojust, med hänsyn till att nya metoder har använts för att erhålla uppgifter från tjänsten Sky ECC – nämligen användningen av tekniken mannen-i-mitten-attack –, har åsidosatt sin skyldighet att göra en sådan föregående konsekvensbedömning avseende skyddet av sökandens personuppgifter som föreskrivs i artikel 89 i förordning 2018/1725.

241 Slutligen har Eurojust åsidosatt sin skyldighet att anmäla personuppgiftsincidenten avseende sökandens personuppgifter till Europeiska datatillsynsmannen, vilket strider mot artikel 92 i förordning 2018/1725.

242 Eurojust har gjort gällande att denna åberopade skada saknar grund.

243 Först och främst konstaterar tribunalen att sökandens påståenden om att Eurojust har underlåtit att uppfylla sin skyldighet att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är anpassad till risken ska underkännas av skäl liknande dem som anges i punkterna 207–210 ovan.

244 Vidare har sökanden inte förklarat varför han anser att Eurojust åsidosatte sin skyldighet att göra en konsekvensbedömning innan den länk som de franska myndigheterna tillhandahöll – som gick till en lösenordsskyddad webbplats som innehöll sökandens samtal via tjänsten Sky ECC – överfördes till de serbiska myndigheterna (punkt 75 ovan).

245 En sådan överföring, för vilken det inte finns något som tyder på att den medförde en särskild risk för sökandens fri- och rättigheter eller åtminstone en större risk än andra överföringssätt, utgjorde inte någon grund för att göra en sådan föregående konsekvensbedömning som föreskrivs i artikel 89 i förordning 2018/1725.

246 Slutligen kan sökanden, eftersom han inte har visat att Eurojust på det ena eller andra sättet hade kränkt sökandens personuppgifter, inte vinna framgång med sitt påstående att Eurojust har åsidosatt sin skyldighet enligt artikel 92 i förordning 2018/1725 att underrätta Europeiska datatillsynsmannen om en sådan personuppgiftsincident.

247 Mot bakgrund av det ovan anförda kan den av sökanden åberopade skada som påstås ha uppkommit till följd av att Eurojust åsidosatt artiklarna 89, 91 och 92 i förordning 2018/1725 inte godtas, och därmed ska skadeståndsyrkandet i den mån det är riktat mot Eurojust ogillas.

248 Mot bakgrund av det ovan anförda ska talan ogillas i sin helhet. Det saknas därmed anledning att pröva Europols och Eurojusts övriga invändningar om rättegångshinder.

249 Enligt artikel 134.1 i rättegångsreglerna ska tappande rättegångsdeltagare förpliktas att ersätta rättegångskostnaderna, om detta har yrkats. Europol och Eurojust har yrkat att sökanden ska förpliktas att ersätta rättegångskostnaderna. Sökanden har tappat målet och ska därför ersätta rättegångskostnaderna. I enlighet med artikel 138.1 i rättegångsreglerna ska Konungariket Belgien, Konungariket Spanien och Konungariket Nederländerna bära sina rättegångskostnader.

1 Rättegångsspråk: nederländska.