Gerecht EU 25 februari 2026, T-1180/23, ECLI:EU:T:2026:149

Tekst

ARREST VAN HET GERECHT (Vijfde kamer)

25 februari 2026 ( *1 )

„Samenwerking tussen de politieautoriteiten en andere rechtshandhavingsinstanties van de lidstaten – Dienst voor versleutelde communicatie Sky ECC – Gestelde onrechtmatige verwerkingen van persoonsgegevens – Beroep tot nietigverklaring – Niet voor beroep vatbare handeling – Voorbereidende handeling – Ontvankelijkheid – Verwerking van persoonsgegevens door lidstaten en doorgifte ervan aan Europol – Doorgifte van persoonsgegevens door Europol aan een lidstaat – Doorgifte van persoonsgegevens door Eurojust aan een derde land – Niet-contractuele aansprakelijkheid – Artikel 50 van verordening (EU) 2016/794 – Hoofdelijke aansprakelijkheid van Europol en de lidstaten wegens onrechtmatige verwerking van gegevens – Voldoende gekwalificeerde schending van een rechtsregel die particulieren rechten toekent – Bestaan van schade – Verordening (EU) 2018/1727 – Ontoereikende coördinatie door Eurojust van de strafrechtelijke vervolging tussen een lidstaat en een derde land – Artikelen 71, 72, 89, 91 en 92 van verordening (EU) 2018/1725”

In zaak T‑1180/23,

BW, vertegenwoordigd door J. Reisinger, advocaat,

verzoeker,

tegen

Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol), vertegenwoordigd door A. Nunzi als gemachtigde, bijgestaan door G. Ziegenhorn, M. Kottmann, T. Shulman en S. Steinbarth, advocaten,

en

Agentschap van de Europese Unie voor justitiële samenwerking in strafzaken (Eurojust), vertegenwoordigd door J. Carmona-Bermejo en M. Castro Granja als gemachtigden, bijgestaan door M. Kottmann, G. Ziegenhorn, T. Shulman en S. Steinbarth, advocaten,

verweerders,

ondersteund door

Koninkrijk België, vertegenwoordigd door M. Jacobs, M. Van Regemorter en C. Jacob als gemachtigden,

door

Koninkrijk Spanje, vertegenwoordigd door A. Gavela Llopis als gemachtigde,

en door

Koninkrijk der Nederlanden, vertegenwoordigd door J. Langer en M. Bulterman als gemachtigden,

interveniënten,

wijst

HET GERECHT (Vijfde kamer),

tijdens de beraadslagingen samengesteld als volgt: J. Svenningsen (rapporteur), president, J. Martín y Pérez de Nanclares en M. Stancu, rechters,

griffier: L. Ramette, administrateur,

gezien de stukken,

na de terechtzitting op 9 september 2025,

het navolgende

Arrest

1 Met zijn beroep vordert verzoeker, BW, in essentie, ten eerste, op grond van artikel 263 VWEU, nietigverklaring van de overeenkomst tot oprichting van een gemeenschappelijk onderzoeksteam (hierna: „GOT”) met betrekking tot de dienst voor versleutelde communicatie Sky ECC (hierna: „GOT-overeenkomst”) alsook van de activiteiten inzake verwerking, analyse en uitwisseling door het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol), het Agentschap van de Europese Unie voor justitiële samenwerking in strafzaken (Eurojust) en de bij het onderzoek naar die dienst betrokken lidstaten van de uit die dienst afkomstige gegevens die op hem betrekking hebben en, ten tweede, op grond van artikel 268 VWEU, vergoeding van de materiële en immateriële schade die hij heeft geleden als gevolg van de handelingen en gedragingen van Europol, Eurojust en die lidstaten.

I. Voorgeschiedenis van het geding

2 Verzoeker is een Servisch onderdaan die sinds 8 mei 2023 in Nederland wordt vervolgd en in hechtenis is omdat hij in die lidstaat een partij cocaïne van 743 kilo heeft ingevoerd, die op 4 augustus 2020 in Rotterdam (Nederland) is onderschept. Hij wordt sinds het najaar van 2023 ook in Servië vervolgd voor onder meer drugshandel.

3 De strafrechtelijke vervolgingen door de Nederlandse en de Servische autoriteiten vinden hun oorsprong in onderzoeksmaatregelen die eind jaren 2010 door de Belgische, de Nederlandse en de Franse autoriteiten zijn ingesteld tegen de „Sky ECC-organisatie”, waarbij „ECC” staat voor„Elliptic Curve Cryptography” (Elliptische Curve Cryptografie), die ervan wordt verdacht producten en diensten met betrekking tot versleutelde communicatie te hebben aangeboden die specifiek waren bedoeld om het plegen van strafbare feiten te vergemakkelijken.

4 Naar aanleiding van deze nationale onderzoeksmaatregelen hebben het Koninkrijk België en het Koninkrijk der Nederlanden eind 2018 beslist een gemeenschappelijk onderzoek te voeren en hebben daarbij de Franse Republiek verzocht een kopie („image”) te maken van de door de Sky ECC-dienst gebruikte servers die zich in Roubaix (Frankrijk) bevinden. Deze lidstaat heeft aan dat verzoek gevolg gegeven door met de techniek van de „man-in-the-middle-attack” versleutelde communicatie die deze servers binnenkomt en verlaat, met inbegrip van gegevens over verzoeker, te onderscheppen, op te nemen en te transcriberen.

5 Op 13 december 2019 hebben de Belgische, de Franse en de Nederlandse autoriteiten het GOT opgericht bij de GOT-overeenkomst die zij hebben gesloten op grond van artikel 13 van de door de Raad overeenkomstig artikel 34 VEU vastgestelde Overeenkomst betreffende de wederzijdse rechtshulp in strafzaken tussen de lidstaten van de Europese Unie (PB 2000, C 197, blz. 3) en het kaderbesluit van de Raad van 13 juni 2002 inzake gemeenschappelijke onderzoeksteams (PB 2002, L 162, blz. 1).

6 In de GOT-overeenkomst is het volgende bepaald: „De oprichting van het GOT beoogt de lopende onderzoeken in België, Frankrijk en Nederland naar de leverancier(s) en gebruikers van de Sky ECC-dienst te vergemakkelijken en technische knowhow en middelen te delen [...] Het GOT stelt zich tot doel om gezamenlijk de techniek uit te werken, te ontwikkelen en toe te passen die nodig is om de communicatie te decoderen en de server te ontmantelen; gebruikers die zich in en tussen de drie landen verplaatsen te identificeren en te lokaliseren; één of meerdere gezamenlijke actiedagen op te zetten en te coördineren met het oog op de aanhouding en strafrechtelijke vervolging van de facilitators en gebruikers van Sky ECC.”

7 Het GOT heeft geleid tot de uitwisseling tussen Europol en de drie betrokken lidstaten van de onderschepte en vervolgens te analyseren ruwe data, en van de resultaten van deze analyse.

8 Europol heeft in het kader van deze samenwerking, die op de dag van de terechtzitting in de onderhavige zaak nog steeds aan de gang was, de gegevens in zijn IT-systeem opgeslagen, kruiscontroles uitgevoerd, inlichtingenrapporten opgesteld, datavisualisaties gegenereerd en meertalige gegevensbestanden geïnterpreteerd.

9 Eurojust heeft van zijn kant steun en advies verstrekt over de mogelijkheden voor justitiële samenwerking en verschillende coördinatievergaderingen georganiseerd tussen de Belgische, de Franse en de Nederlandse autoriteiten en Europol, en de justitiële samenwerking tussen de Republiek Servië, enerzijds, en het Koninkrijk der Nederlanden en de Franse Republiek, anderzijds, vergemakkelijkt.

II. Conclusies van partijen

10 Verzoeker verzoekt het Gerecht in wezen: – de GOT-overeenkomst nietig te verklaren, alsook de door Europol en Eurojust op grond daarvan vastgestelde handelingen en de handelingen inzake verwerking, analyse en uitwisseling tussen Europol, Eurojust en de betrokken lidstaten van gegevens van de Sky ECC-server die op hem betrekking hebben; – Europol en Eurojust te veroordelen tot betaling van een schadevergoeding van ten minste 71000 EUR tot vergoeding van de immateriële en materiële schade die hij heeft geleden als gevolg van, ten eerste, „zijn (voorlopige) hechtenis, publieke bekendheid, gemankeerde verdedigingspositie én data die in verkeerde handen zijn gekomen [of] konden komen” en, ten tweede, „advocaatkosten en inkomstenderving”; – Eurojust en Europol te verwijzen in de kosten.

11 Eurojust en Europol verzoeken het Gerecht: – het beroep niet-ontvankelijk en in elk geval ongegrond te verklaren; – verzoeker te verwijzen in de kosten.

12 Het Koninkrijk Spanje verzoekt het Gerecht het beroep niet-ontvankelijk of, subsidiair, ongegrond te verklaren en verzoeker te verwijzen in de kosten.

13 Het Koninkrijk der Nederlanden verzoekt het Gerecht het beroep te verwerpen en verzoeker te verwijzen in de kosten.

III. In rechte

14 Ter ondersteuning van zijn vorderingen, die zonder onderscheid tegen Europol en Eurojust zijn gericht, voert verzoeker dezelfde vier middelen aan.

15 Het eerste middel heeft, in essentie, betrekking op de onrechtmatigheid en onevenredigheid van het verzamelen en verwerken van persoonsgegevens uit de Sky ECC-dienst door de betrokken lidstaten en door „Europol en/of Eurojust”, vanaf de eerste onderschepping ervan in 2019 tot de laatste uitwisseling van de resultaten met andere landen.

16 In antwoord op een vraag van het Gerecht ter terechtzitting heeft verzoeker aangegeven dat hij zich niet beriep op enige handeling of gedraging die dateert van na 24 juni 2022, de datum waarop de Franse autoriteiten aan de Servische autoriteiten via Eurojust een link naar een beveiligde downloadsite hebben doorgezonden waarop aan dit derde land informatie ter beschikking werd gesteld over bepaalde gesprekken die afkomstig waren van de Sky ECC-dienst en die verbonden waren met specifiek geïdentificeerde inloggegevens, waaronder de gesprekken van verzoeker.

17 Het tweede middel ziet, in essentie, op schending door Europol en Eurojust van respectievelijk artikel 28 van verordening (EU) 2016/794 van het Europees Parlement en de Raad van 11 mei 2016 betreffende [Europol] en tot vervanging en intrekking van de besluiten 2009/371/JBZ, 2009/934/JBZ, 2009/935/JBZ, 2009/936/JBZ en 2009/968/JBZ van de Raad (PB 2016, L 135, blz. 53) en artikel 71 van verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van verordening (EG) nr. 45/2001 en besluit nr. 1247/2002/EG (PB 2018, L 295, blz. 39), de artikelen 47 en 48 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”), alsook de artikelen 14 en 15 van het Internationaal Verdrag inzake burgerrechten en politieke rechten, vastgesteld door de Algemene Vergadering van de Verenigde Naties op 16 december 1966 en in werking getreden op 23 maart 1976 (hierna: „IVBPR”), omdat de verzamelde, geanalyseerde en doorgegeven gegevens van de Sky ECC-dienst onvolledig waren, hetgeen afbreuk heeft gedaan aan de verweermogelijkheden van verzoeker bij de Nederlandse en de Servische rechterlijke instanties.

18 Het derde middel is, in essentie, ontleend aan schending door Europol en Eurojust van de GOT-overeenkomst, doordat zij niet hebben voldaan aan hun coördinatieverplichting teneinde te voorkomen dat verzoeker voor dezelfde feiten tweemaal wordt vervolgd, in Nederland en in Servië.

19 Het vierde middel betreft, in essentie, schending door Europol en Eurojust van respectievelijk artikel 32 van verordening 2016/794 en de artikelen 89 en 92 van verordening 2018/1725, aangezien zij verzoekers persoonsgegevens niet naar behoren hebben beschermd.

A. Verweten feiten en handelingen, en de bevoegdheid van het Gerecht om daarvan kennis te nemen

1. Opmerkingen vooraf

20 Met zijn vorderingen verwijt verzoeker Europol en Eurojust zonder onderscheid verschillende onrechtmatige gedragingen of handelingen die betrekking hadden op het verzamelen en verwerken van zijn persoonsgegevens in het kader van de strafrechtelijke onderzoeken die zijn gevoerd door het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden met betrekking tot de Sky ECC-dienst en waaraan Europol en Eurojust hebben deelgenomen.

21 Aangezien verzoeker niet alleen kritiek levert op gedragingen die aan Europol en Eurojust kunnen worden toegerekend, maar ook op gedragingen die toerekenbaar zijn aan de lidstaten die aan het GOT hebben deelgenomen en aan de Republiek Servië, moeten de volgende inleidende opmerkingen worden gemaakt.

22 Wat in de eerste plaats de op artikel 263 VWEU gebaseerde vordering betreft, blijkt uit deze bepaling uitdrukkelijk dat een beroep tot nietigverklaring slechts kan worden gericht tegen handelingen van een instelling, orgaan of instantie van de Europese Unie.

23 Aldus is de Unierechter in het kader van een beroep krachtens artikel 263 VWEU niet bevoegd om zich uit te spreken over de wettigheid van een handeling van een nationale autoriteit (arrest van 3 december 1992, Oleificio Borelli/Commissie, C‑97/91, EU:C:1992:491, punt 9) en kan aan die vaststelling niet worden afgedaan door de omstandigheid dat de betrokken handeling is vastgesteld in het kader van een Unierechtelijk besluitvormingsproces (arrest van 29 januari 2020, GAEC Jeanningros,C‑785/18, EU:C:2020:46, punt 27).

24 Evenzo heeft het Gerecht reeds geoordeeld dat de toetsing, in het kader van een beroep tot nietigverklaring, van de vraag of een nationale officier van justitie of de autoriteiten gerechtigd zijn om informatie die krachtens het nationale strafrecht is verzameld aan een instelling van de Unie door te sturen, in beginsel dient te worden beoordeeld volgens de nationale rechtsvoorschriften die de onderzoeken door deze nationale autoriteiten beheersen, en dat deze vraag in een contentieuze procedure door de nationale rechter dient te worden beoordeeld (zie in die zin arrest van 8 juli 2004, Dalmine/Commissie,T‑50/00, EU:T:2004:220, punt 86).

25 Hieruit volgt dat, voor zover verzoeker verzoekt om nietigverklaring van de door de Franse autoriteiten – met machtiging van een Franse rechter – uitgevoerde onderscheppingsacties, nietigverklaring van het „verloop van die acties”, nietigverklaring van de doorgifte door de Franse autoriteiten aan Europol van de naar aanleiding van die acties verkregen documenten en informatie, nietigverklaring van de doorgifte door de Franse autoriteiten aan Eurojust en de Servische autoriteiten van de documenten en informatie die de Servische autoriteiten in het kader van hun verzoeken om rechtshulp hadden gevraagd, en nietigverklaring van de strafprocedure bij de Servische rechterlijke instanties, de Unierechter niet bevoegd is om daarvan kennis te nemen.

26 De Unierechter is evenmin bevoegd om rechtstreeks op grond van artikel 263 VWEU kennis te nemen van de wettigheid van de GOT-overeenkomst, aangezien deze overeenkomst geen handeling van de Unie is.

27 De GOT-overeenkomst is immers slechts door drie lidstaten – namelijk het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden – ondertekend en dus gesloten.

28 Hieraan wordt niet afgedaan door het feit dat de GOT-overeenkomst haar grondslag vindt in een door deze lidstaten krachtens artikel 34 VEU gesloten overeenkomst en in een kaderbesluit van de Raad van de Europese Unie (zie in die zin arrest van 17 september 2014, Liivimaa Lihaveis,C‑562/12, EU:C:2014:2229, punten 45‑51).

29 Aan die vaststelling wordt evenmin afgedaan door het feit dat Europol of Eurojust het initiatief kan hebben genomen tot oprichting van het GOT in kwestie of door het feit dat het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden krachtens punt 7 van de GOT-overeenkomst zijn overeengekomen om Europol en Eurojust als „deelnemers” bij het GOT te betrekken, zoals is toegestaan door artikel 13, lid 12, van de door de Raad overeenkomstig artikel 34 VEU vastgestelde Overeenkomst betreffende de wederzijdse rechtshulp in strafzaken tussen de lidstaten van de Europese Unie, gelezen in samenhang met overweging 9 van het kaderbesluit van de Raad van 13 juni 2002 inzake gemeenschappelijke onderzoeksteams, alsook – wat Europol betreft – artikel 5 van verordening 2016/794 en – wat Eurojust betreft – artikel 8, lid 1, onder d), van verordening (EU) 2018/1727 van het Europees Parlement en de Raad van 14 november 2018 betreffende Eurojust en tot vervanging en intrekking van besluit 2002/187/JBZ van de Raad (PB 2018, L 295, blz. 138).

30 Noch de bij artikel 5 van verordening 2016/794 en artikel 8, lid 1, onder d), van verordening 2018/1727 aan Europol of Eurojust verleende bevoegdheid om een GOT voor te stellen of aan de oprichting daarvan bij te dragen, noch de aan hun personeelsleden verleende bevoegdheid om aan een GOT deel te nemen, verleent deze agentschappen immers de status van „partij” bij de overeenkomst waarbij het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden het GOT in kwestie hebben opgericht.

31 Gelet op het voorgaande is het Gerecht niet bevoegd om krachtens artikel 263 VWEU kennis te nemen van de machtiging door de Franse rechter van de door de Franse autoriteiten uitgevoerde onderscheppingsacties, het verloop van deze acties, de doorgifte door de Franse autoriteiten aan Europol van de naar aanleiding van die acties verkregen documenten en informatie, de doorgifte door de Franse autoriteiten aan Eurojust en de Servische autoriteiten van de documenten en informatie die de Servische autoriteiten in het kader van hun verzoeken om rechtshulp hadden gevraagd, de regelmatigheid van de strafprocedure bij de Servische rechterlijke instanties, en de GOT-overeenkomst.

32 Wat in de tweede plaats de op de artikelen 268 en 340 VWEU gebaseerde vordering betreft, zij eraan herinnerd dat de Unierechter enkel bevoegd is om kennis te nemen van een op die bepalingen gebaseerde schadevordering indien de aan de schadevordering ten grondslag liggende onrechtmatigheid is begaan door een instelling, orgaan of instantie van de Unie en niet kan worden geacht toerekenbaar te zijn aan een nationale autoriteit (zie in die zin arrest van 16 december 2020, Raad/K. Chrysostomides & Co. e.a., C‑597/18 P, C‑598/18 P, C‑603/18 P en C‑604/18 P, EU:C:2020:1028, punten 80, 106 en 107).

33 Bovendien wordt de Unie, wanneer zij aansprakelijk wordt gesteld uit hoofde van een handeling of een gedraging van een van haar instellingen, organen of instanties, voor het Gerecht vertegenwoordigd door de instelling, het orgaan, of de instantie waaraan het feit dat tot de aansprakelijkheid aanleiding geeft wordt verweten (arrest van 13 november 1973, Werhahn Hansamühle e.a./Raad en Commissie, 63/72–69/72, EU:C:1973:121, punt 7).

34 De aansprakelijkheid van de Unie op grond van de artikelen 268 en 340 VWEU kan aldus niet worden ingeroepen jegens een andere instelling, een ander orgaan of een andere instantie van de Unie dan de instelling, het orgaan of de instantie waaraan het feit wordt verweten dat tot de aansprakelijkheid aanleiding geeft, tenzij de Uniewetgever uitdrukkelijk heeft voorzien in een afwijkende regeling van hoofdelijke aansprakelijkheid, hetzij tussen een van deze instellingen, organen of instanties van de Unie en een of meer lidstaten of zelfs een of meer derde landen, hetzij tussen verschillende instellingen, organen of instanties van de Unie (zie naar analogie arrest van 5 maart 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punten 62 en 63).

35 In casu moet worden vastgesteld dat noch verordening 2018/1727, noch enige andere handeling waarop verzoeker zich heeft beroepen, voorziet in een afwijkende regeling van hoofdelijke aansprakelijkheid tussen Eurojust en de lidstaten of tussen Eurojust en de Republiek Servië.

36 Evenzo heeft verzoeker in antwoord op een vraag van het Gerecht ter terechtzitting aangegeven dat de schadevordering niet was gebaseerd op een eventuele hoofdelijke aansprakelijkheid van Europol voor handelingen van Eurojust of van Eurojust voor handelingen van Europol, maar uitsluitend op de hoofdelijke aansprakelijkheid van Europol voor handelingen van de lidstaten.

37 Het Hof heeft reeds geoordeeld dat een afwijkende regeling van hoofdelijke aansprakelijkheid van Europol voor handelingen van de lidstaten dient te worden afgeleid uit overweging 57, artikel 49, leden 3 en 4, en artikel 50 van verordening 2016/794 (zie in die zin arrest van 5 maart 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punten 62 en 63).

38 Volgens deze regeling kan een natuurlijke persoon de Unierechter verzoeken om Europol aansprakelijk te stellen voor elke onrechtmatige verwerking van gegevens die heeft plaatsgevonden in het kader van een samenwerking op grond van verordening 2016/794 tussen Europol en een lidstaat waardoor hem schade is berokkend (zie in die zin arrest van 5 maart 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punten 62 en 63).

39 In casu moet worden vastgesteld dat de samenwerking met betrekking tot de Sky ECC-dienst in mei 2019 is begonnen en dat deze samenwerking, zoals Europol in antwoord op een vraag van het Gerecht ter terechtzitting heeft aangegeven, op de datum van de terechtzitting nog aan de gang was.

40 Daarenboven beroept verzoeker zich op het – door Europol in antwoord op een vraag van het Gerecht ter terechtzitting bevestigde – feit dat persoonsgegevens die afkomstig zijn van de Sky ECC-dienst en die hem betreffen zijn uitgewisseld in het kader van die samenwerking tussen Europol en de Belgische, de Franse en de Nederlandse autoriteiten, en dat die gegevens nog steeds in het bezit van Europol zijn.

41 Gelet op het voorgaande is het Gerecht niet bevoegd om kennis te nemen van de tweede vordering voor zover deze ertoe strekt Eurojust aansprakelijk te stellen voor handelingen van het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden of de Republiek Servië, of zelfs voor handelingen van Europol.

42 Het Gerecht is daarentegen wel bevoegd om kennis te nemen van de tweede vordering voor zover deze ertoe strekt Eurojust aansprakelijk te stellen voor zijn eigen gedragingen, alsmede Europol aansprakelijk te stellen voor zijn eigen gedragingen alsook voor de gedragingen die kunnen worden toegerekend aan de lidstaten die hebben deelgenomen aan de samenwerking met betrekking tot de Sky ECC-dienst.

43 Wat de hoofdelijke aansprakelijkheid van Europol betreft voor de aan de Belgische, de Franse of de Nederlandse autoriteiten toerekenbare gedragingen, moet ten eerste worden opgemerkt dat, gelet op de datum van het laatste door verzoeker aan Europol en Eurojust verweten feit – te weten de uitwisseling van zijn persoonsgegevens op 24 juni 2022 –, alleen de regeling van hoofdelijke aansprakelijkheid die is vastgesteld in verordening 2016/794 in haar oorspronkelijke versie – die van kracht was tot en met 27 juni 2022 – van toepassing is op het onderhavige geding (zie in die zin arrest van 10 september 2019, HTTS/Raad,C‑123/18 P, EU:C:2019:694, punt 39).

44 Ten tweede blijkt uit artikel 276 VWEU dat bij de uitoefening van zijn taken in verband met de bepalingen in de hoofdstukken 4 en 5 van titel V van het derde deel van het VWEU, betreffende de ruimte van vrijheid, veiligheid en recht, de Unierechter niet bevoegd is om de geldigheid of de evenredigheid na te gaan van operaties van de politie of van andere instanties belast met rechtshandhaving in een lidstaat.

45 Aldus kan Europol, in weerwil van de regeling van hoofdelijke aansprakelijkheid van artikel 50, lid 1, van verordening 2016/794, niet hoofdelijk aansprakelijk worden gesteld voor eventuele schade die voortvloeit uit de onrechtmatige verwerking van persoonsgegevens van een natuurlijke persoon naar aanleiding van operaties van de politie of andere rechtshandhavingsinstanties van een lidstaat, ook al heeft die verwerking plaatsgevonden in het kader van een op die verordening gebaseerde samenwerking (zie naar analogie arrest van 10 september 2024, KS e.a./Raad e.a.,C‑29/22 P en C‑44/22 P, EU:C:2024:725, punt 91).

46 Ondanks zijn bevoegdheid om kennis te nemen van de tweede vordering voor zover deze betrekking heeft op de hoofdelijke aansprakelijkheid van Europol voor gedragingen die met name aan de Franse autoriteiten kunnen worden toegerekend, is het Gerecht dus onbevoegd om kennis te nemen van verzoekers beweringen dat hij schade heeft geleden als gevolg van de acties bestaande in onderschepping van zijn persoonsgegevens waartoe is overgegaan in het kader van de politieoperaties door de Franse autoriteiten.

47 In die omstandigheden en voordat de door Europol en Eurojust aangevoerde middelen van niet-ontvankelijkheid en de gegrondheid van verzoekers vorderingen worden onderzocht, dient te worden vastgesteld van welke door verzoeker verweten gedragingen en handelingen de Unierechter kennis kan nemen en dient te worden bepaald of deze aan Europol of Eurojust kunnen worden toegerekend; in voorkomend geval dient te worden vastgesteld welke gedragingen of handelingen niet aan Europol kunnen worden toegerekend maar niettemin tot de aansprakelijkheid van dat agentschap kunnen leiden op grond van de afwijkende regeling van hoofdelijke aansprakelijkheid zoals bepaald in artikel 50, lid 1, van verordening 2016/794.

2. Aan Europol of Eurojust toerekenbare handelingen of gedragingen

48 Verzoeker betoogt dat de verzameling, verwerking en doorgifte van zijn persoonsgegevens in het kader van de strafrechtelijke onderzoeken met betrekking tot de Sky ECC-dienst, waaraan de Belgische, de Franse en de Nederlandse autoriteiten alsook Europol en Eurojust hebben deelgenomen en die hebben geleid tot de in punt 2 hierboven bedoelde strafrechtelijke vervolgingen, in strijd zijn met het Unierecht.

49 Meer in het bijzonder en in het licht van louter de gegevens waarvan hij kennis heeft kunnen nemen bij de raadpleging van de dossiers inzake de tegen hem ingestelde strafrechtelijke procedures, verwijt verzoeker „Europol en/of Eurojust” de verwerking van zijn persoonsgegevens „vanaf de eerste onderschepping in 2019” tot en met 24 juni 2022, de datum waarop Eurojust aan de Servische autoriteiten een e-mail van de Franse autoriteiten met een link naar een beveiligde downloadsite heeft doorgezonden, die met name bepaalde gesprekken van verzoeker bevat die van de Sky ECC-dienst afkomstig zijn (zie punt 16 hierboven).

50 In die zin betoogt verzoeker dat Europol „ondersteuning [heeft] geboden aan het [...] uitoefenen van opsporingsbevoegdheden op het grondgebied van vele landen, binnen en buiten de Europese Unie”. Bovendien heeft Europol op 27 mei 2019 een vergadering met de Belgische, de Franse en de Nederlandse autoriteiten georganiseerd, waarbij metagegevens van meer dan 9000 berichten van of naar gebruikers van de Sky ECC-dienst werden gedeeld. In juni 2019 zijn door de Franse autoriteiten bij onderscheppingsacties verkregen gegevens gedeeld met de Belgische en de Nederlandse autoriteiten via het beveiligd systeem voor informatie-uitwisseling van Europol, genaamd „Secure Information Exchange Network Application” (SIENA).

51 Voorts waren Europol en Eurojust vanaf december 2020 betrokken bij het verzamelen van sleutels voor het decoderen van de sinds medio 2019 verkregen berichten, bij de bewaring, decodering en doorgifte van die berichten en, in maart 2021, bij een „actiedag [...] waarbij Sky ECC [werd] neergehaald”. Verzoeker betoogt eveneens dat Europol en Eurojust op 23 en 24 juli 2020 hebben deelgenomen aan een technische werkgroep van het GOT in het kader waarvan nieuwe versleutelde berichten zijn ontdekt en aan vergaderingen die op 28 augustus 2019, 7 september 2020 en 11 februari 2021 hebben plaatsgevonden.

52 Met name in verband met de tegen hem in Servië ingestelde vervolging voert verzoeker aan dat Eurojust op 6 juni 2022 een verzoek om samenwerking van de Servische autoriteiten heeft ontvangen, dat heeft geleid tot de doorgifte op 24 juni daaropvolgend door de Franse autoriteiten aan de Servische autoriteiten, via Eurojust, van gegevens die van de Sky ECC-dienst afkomstig zijn en die hem betreffen (hierna: „doorgifte van 24 juni 2022”). Bovendien heeft Europol de Servische autoriteiten in juni 2022 ervan op de hoogte gebracht dat zijn analyses verzoeker identificeerden achter een specifieke „Sky ECC-account”. Ten slotte hebben er nog andere contacten plaatsgevonden tussen de Servische autoriteiten en Europol met betrekking tot de criminele groepering waartoe verzoeker zou behoren.

53 Europol en Eurojust betwisten dat zij hebben deelgenomen aan bepaalde door verzoeker vermelde feiten.

a) Aan Europol toerekenbare handelingen en gedragingen

54 Europol geeft in zijn schrifturen aan dat het GOT ertoe heeft geleid dat tussen dat agentschap en de drie betrokken lidstaten gegevens zijn uitgewisseld die door de Franse autoriteiten zijn onderschept voor analyse en dat de resultaten van die analyses zijn gedeeld.

55 In die zin erkent Europol dat het metagegevens van meer dan 9000 berichten heeft ontvangen die tijdens de door verzoeker in punt 50 hierboven genoemde vergadering van 27 mei 2019 zijn uitgewisseld.

56 Europol wijst er eveneens op dat het vanaf 18 maart 2021 inderdaad gegevens heeft ontvangen van de Franse autoriteiten die van de Sky ECC-dienst afkomstig waren, dat het deze gegevens heeft geanalyseerd en dat het vervolgens het resultaat van die analyses heeft doorgegeven aan de Belgische, de Franse en de Nederlandse autoriteiten, met name in de vorm van landspecifieke analyses.

57 Voorts betwist Europol niet dat het heeft deelgenomen aan een vergadering op 28 augustus 2019 waarop de gevolgen van een eventuele ontmanteling van de infrastructuur van de Sky ECC-dienst ter sprake zijn gebracht, alsmede aan een technische werkgroep van het GOT die op 23 en 24 juli 2020 is georganiseerd en waarbij nieuwe versleutelde berichten zijn ontdekt.

58 Aangezien de in de punten 54 tot en met 57 hierboven vermelde feiten door Europol niet worden betwist of zelfs zijn bevestigd, moeten deze derhalve als vaststaand worden beschouwd en aan Europol worden toegerekend.

59 Daarentegen levert verzoeker, ten eerste, noch enig bewijs noch op zijn minst een begin van bewijs waaruit blijkt dat Europol heeft deelgenomen of bijgedragen aan de acties tot onderschepping van de gegevens die de in Frankrijk gelegen Sky ECC-servers binnenkwamen en verlieten.

60 Niet alleen betwist Europol deze feiten, maar bovendien wordt verzoekers stelling niet gestaafd door het feit dat Europol mogelijk heeft deelgenomen aan of het initiatief heeft genomen tot de vergadering van 27 mei 2019, noch door de rogatoire commissie van de Servische autoriteiten aan hun Franse ambtgenoten, die is opgenomen in bijlage A.17 en die betrekking heeft op „de analyse van de door Europol uit de Sky ECC-applicatie verkregen gegevens”. Bijlage A.6 lijkt daarentegen aan te tonen dat de onderscheppingsacties uitsluitend door de Franse autoriteiten zijn uitgevoerd, hetgeen ook door bijlage A.14 wordt bevestigd.

61 Ten tweede moet, ondanks dat Europol niet betwist te hebben deelgenomen aan de vergaderingen van 7 september 2020 en 11 februari 2021, worden vastgesteld dat het document van de rechtbank van eerste aanleg te Antwerpen (België), dat ter ondersteuning van verzoekers stelling als bijlage bij het verzoekschrift is gevoegd, weliswaar melding maakt van een toekomstige vergadering op 7 september 2020, maar alleen preciseert dat de Franse en de Nederlandse autoriteiten, en niet Europol, daaraan zouden moeten deelnemen. Evenzo maakt het verzoek om technische bijstand van de cour d’appel de Paris (rechter in tweede aanleg Parijs, Frankrijk), dat ter ondersteuning van verzoekers stelling als bijlage bij het verzoekschrift is gevoegd, geen melding van Europol, noch van enige vergadering die op 11 februari 2021 zou hebben plaatsgevonden.

62 Ten derde levert verzoeker noch het bewijs noch op zijn minst een begin van bewijs waaruit blijkt dat Europol heeft deelgenomen aan de „actiedag” van de maand maart 2021 tijdens welke „Sky ECC [werd] neergehaald”. De in het verzoekschrift bedoelde transcriptie van de persconferentie van het Belgische Openbaar Ministerie heeft weliswaar betrekking op deze „actiedag”, maar verwijst niet naar Europol. Evenzo wordt in de bij het verzoekschrift gevoegde e-mailuitwisseling alleen melding gemaakt van de doorgifte via Europol van de uit de Sky ECC-dienst afkomstige gegevens, zonder aan te tonen dat Europol bij die „actiedag” betrokken was.

63 Ten vierde levert verzoeker noch het bewijs noch op zijn minst een begin van bewijs waaruit blijkt dat Europol de Servische autoriteiten de informatie heeft verstrekt dat verzoeker de persoon is die achter de account „DFKNBQ” van de Sky ECC-dienst schuilgaat.

64 Bijlage A.17, waarop verzoeker zich baseert en die zijn naam daadwerkelijk met de account „DFKNBQ” van de Sky ECC-dienst en de gebruikersnaam „CHE Guevara” in verband brengt, blijkt immers een door het openbaar ministerie voor georganiseerde criminaliteit van de Republiek Servië ingediend verzoek te zijn om van de Franse autoriteiten de spraakberichten, tekstberichten, video’s en foto’s te verkrijgen die met name op verzoeker betrekking hebben en die zijn opgeslagen op de door deze autoriteiten in beslag genomen servers van de Sky ECC-dienst, zonder dat Europol in welk opzicht dan ook wordt vermeld.

65 Bovendien geeft het Servische openbaar ministerie daarin aan dat „door [zijn] handelingen en door verder onderzoek van het ministerie van Binnenlandse Zaken van de Republiek Servië [zij] te weten [zijn] gekomen dat bij de analyse van de door Europol uit de Sky ECC-applicatie verkregen data [de gebruiker van] de account DFKNBQ [en van] gebruikersnaam CHE GUEVARA [BW was]”, hetgeen erop wijst dat deze informatie niet door Europol is verstrekt.

66 Ten vijfde levert verzoeker noch het bewijs noch op zijn minst een begin van bewijs dat Europol betrokken was bij de terbeschikkingstelling, door de Franse aan de Servische autoriteiten op 24 juni 2022, van documenten en informatie die afkomstig zijn van de Sky ECC-dienst en die op hem betrekking hebben.

67 Zoals blijkt uit bijlage A.15, zijn deze documenten en informatie die door Eurojust aan de Servische autoriteiten zijn overgemaakt in antwoord op een verzoek van laatstgenoemden om rechtshulp, verstrekt via de doorgifte van een e-mailbericht van de Franse autoriteiten aan Eurojust dat links bevatte naar een beveiligde downloadsite.

68 Derhalve kan verzoeker zich in het kader van het onderhavige beroep jegens Europol niet beroepen op de in de punten 59 tot en met 67 hierboven genoemde niet-bewezen feiten.

69 Gelet op het voorgaande en rekening houdend met de in het proces-verbaal van de terechtzitting opgenomen verklaring van verzoeker dat de laatste aan Europol en Eurojust verweten handeling op 24 juni 2022 heeft plaatsgevonden, moet worden vastgesteld dat alleen de in de punten 55 tot en met 57 hierboven bedoelde en aan die datum voorafgaande feiten – te weten de ontvangst, verwerking en uitwisseling, vanaf 27 mei 2019, van de door de Franse autoriteiten onderschepte gegevens die afkomstig zijn van de Sky ECC-dienst en de deelname aan de vergadering van 28 augustus 2019 en aan de werkgroep van 23 en 24 juli 2020 – zijn bewezen en kunnen dienen ter ondersteuning van verzoekers vorderingen tegen Europol.

b) Aan Eurojust toerekenbare handelingen en gedragingen

70 Eurojust geeft in zijn schrifturen aan, in twee opzichten betrokken te zijn geweest bij de door verzoeker bedoelde feiten.

71 Ten eerste verduidelijkt Eurojust dat het in het kader van het GOT met betrekking tot de Sky ECC-dienst ondersteuning heeft geboden en advies heeft verstrekt over de mogelijkheden voor justitiële samenwerking en dat het verschillende coördinatievergaderingen tussen de Belgische, de Franse en de Nederlandse autoriteiten en Europol heeft georganiseerd. Tijdens deze vergaderingen, die op 25 april 2019, 7 september 2020 en 11 februari 2021 hebben plaatsgevonden, hebben de autoriteiten van die lidstaten actuele informatie verstrekt over de stand van hun onderzoeken naar de Sky ECC-dienst en hebben zij overlegd over de meest geschikte manier om deze onderzoeken verder vooruit te helpen.

72 Ten tweede verduidelijkt Eurojust dat het de Nederlandse en de Servische onderzoeken heeft gecoördineerd in het kader van de verzoeken om bijstand van de Servische autoriteiten met betrekking tot de in Servië geopende strafrechtelijke onderzoeken tegen een criminele organisatie waar verzoeker deel van zou uitmaken. Die organisatie is betrokken bij drugshandel die onder meer via Rotterdam verloopt. Daarenboven geeft Eurojust aan dat het de doorgifte en uitvoering van de door de Servische autoriteiten aan de Franse autoriteiten gerichte verzoeken om rechtshulp heeft vergemakkelijkt.

73 Wat de samenwerking tussen de Nederlandse en de Servische autoriteiten betreft, bevestigt Eurojust dat er drie coördinatievergaderingen zijn gehouden op 23 mei, 16 november en 8 december 2022, waaraan die autoriteiten hebben deelgenomen en waarbij zij informatie hebben uitgewisseld over de reikwijdte en de voortgang van hun respectieve onderzoeken alsmede over hun respectieve behoeften op het gebied van justitiële samenwerking, namelijk het bereiken van overeenstemming over de manier waarop zij hun samenwerking op het gebied van uitwisseling van informatie en bewijsmateriaal zullen voortzetten en het coördineren van hun vervolgingsstrategieën om jurisdictiegeschillen en parallelle vervolging van dezelfde verdachten voor dezelfde feiten te voorkomen.

74 Eurojust wijst er tevens op dat het de overdracht van bepaalde verzoeken om rechtshulp tussen de Republiek Servië en het Koninkrijk der Nederlanden, in het bijzonder het verzoek van 7 oktober 2022, heeft vergemakkelijkt, en dat het ook is ingelicht over, ten eerste, een door de Nederlandse autoriteiten met de Servische autoriteiten op 3 mei 2023 georganiseerde vergadering met als doel de Servische autoriteiten op de hoogte te stellen van de voorgenomen arrestatie van verzoeker en, ten tweede, het feit dat deze autoriteiten tijdens die vergadering voorlopige overeenstemming hadden bereikt over een gecoördineerde vervolgingsstrategie om te voorkomen dat verzoeker in de twee staten zou worden vervolgd voor dezelfde feiten in verband met zijn betrokkenheid bij de op 4 augustus 2020 in beslag genomen drugslading.

75 Wat de samenwerking tussen de Franse en de Servische autoriteiten betreft, verduidelijkt Eurojust dat het, in antwoord op vier verzoeken om rechtshulp, per e-mail een voor beperkte tijd geldige hyperlink heeft toegezonden aan de Servische verbindingsmagistraat. Deze hyperlink gaf toegang tot een met een wachtwoord beveiligde downloadsite die door de Franse autoriteiten is verstrekt en waarmee deze uitsluitend aan de Servische autoriteiten de informatie ter beschikking hebben gesteld over bepaalde gesprekken die van de Sky ECC-dienst afkomstig waren en verbonden waren met specifieke inloggegevens, waaronder die van verzoeker.

76 Bovendien blijkt uit de door verzoeker overgelegde bewijzen dat Eurojust de in punt 75 hierboven bedoelde doorgifte van 24 juni 2022 erkent.

77 Daarentegen levert verzoeker, ten eerste, noch enig bewijs noch op zijn minst een begin van bewijs waaruit blijkt dat Eurojust was uitgenodigd voor of aanwezig was bij de in punt 55 hierboven bedoelde vergadering van 27 mei 2019, en dat Eurojust in dit kader de metagegevens heeft ontvangen met betrekking tot de 9000 berichten die bij die gelegenheid zijn uitgewisseld.

78 Eurojust wordt immers in geen van de vijf door verzoeker ter onderbouwing van zijn stelling genoemde bijlagen vermeld, behalve op louter algemene wijze en zonder enig rechtstreeks verband met de vergadering van 27 mei 2019.

79 Ten tweede levert verzoeker noch het bewijs noch op zijn minst een begin van bewijs waaruit blijkt dat Eurojust de in punt 51 hierboven bedoelde technische werkgroep van 23 en 24 juli 2020 heeft bijgewoond.

80 Afgezien van het feit dat verzoeker zelf erkent dat het hem „[onbekend is] of [...] medewerkers van [...] Eurojust aanwezig waren” in die werkgroep, betoogt Eurojust dat het daaraan niet heeft deelgenomen en dat het document waarop verzoeker zich baseert in dat verband geen enkele twijfel kan doen ontstaan.

81 Ten derde levert verzoeker noch het bewijs noch een begin van bewijs waaruit blijkt dat Eurojust via SIENA heeft deelgenomen aan de uitwisseling van alle gegevens die van de Sky ECC-dienst afkomstig waren of betrokken was bij de nationale „intelligence packages” inzake die dienst, aangezien Eurojust niet wordt vermeld in het document waarop verzoeker zich baseert.

82 Wat meer in het bijzonder de vermeende deelname van Eurojust aan een uitwisseling van metagegevens in februari 2022 betreft, kan uit het door verzoeker bij het verzoekschrift gevoegde e-mailbericht niet worden afgeleid dat deze metagegevens ook aan Eurojust zijn meegedeeld. In dat bericht informeert een bij Eurojust gedetacheerde nationale deskundige een procureur van de deelstaat Hessen (Duitsland) dat „de geodata van de Nederlandse aanbieder eind februari 2022 door de Nederlandse autoriteiten aan Europol zullen worden overgemaakt met een algemene gebruikstoestemming”.

83 Ten vierde levert verzoeker om dezelfde redenen als die welke in de punten 64 en 65 hierboven met betrekking tot Europol zijn vermeld, noch enig bewijs noch op zijn minst een begin van bewijs waaruit blijkt dat Eurojust de Servische autoriteiten de informatie heeft doorgezonden waaruit blijkt dat verzoeker de persoon is die achter de account „DFKNBQ” van de Sky ECC-dienst schuilgaat.

84 Derhalve kan verzoeker zich in het kader van het onderhavige beroep jegens Eurojust niet beroepen op de in de punten 77 tot en met 83 hierboven genoemde niet-bewezen feiten.

85 Gelet op het voorgaande en rekening houdend met de in het proces-verbaal van de terechtzitting opgenomen verklaring van verzoeker dat de laatste aan Eurojust en Europol verweten handeling op 24 juni 2022 heeft plaatsgevonden, moet worden vastgesteld dat alleen de in de punten 71 tot en met 76 hierboven bedoelde en aan die datum voorafgaande feiten – te weten de deelname van Eurojust aan de coördinatievergaderingen van de Belgische, de Franse en de Nederlandse autoriteiten en Europol van 25 april 2019, 7 september 2020 en 11 februari 2021, de deelname van Eurojust aan de coördinatievergadering van de Nederlandse en Servische onderzoeken van 23 mei 2022, de doorzending door dat agentschap op 24 juni 2022 aan de Servische autoriteiten van de e-mail van de Franse autoriteiten met daarin een link naar een downloadsite met persoonsgegevens van verzoeker – zijn bewezen en kunnen dienen ter ondersteuning van verzoekers vorderingen tegen Eurojust.

3. Niet aan Europol toerekenbare handelingen of gedragingen waarvoor dit agentschap niettemin aansprakelijk kan worden gesteld

86 Gelet op de punten 55 tot en met 57 en 71 tot en met 76 hierboven, moet worden vastgesteld dat verzoeker de volgende feiten heeft aangetoond.

87 Ten eerste hebben de Belgische, de Franse en de Nederlandse autoriteiten op 27 mei 2019 deelgenomen aan een vergadering waarop metagegevens van meer dan 9000 berichten die afkomstig waren van de Sky ECC-dienst tussen deze lidstaten en Europol zijn uitgewisseld.

88 Ten tweede heeft de Franse Republiek vanaf juni 2019 de van de Sky ECC-dienst afkomstige gegevens aan Europol doorgegeven, die vervolgens door dat agentschap zijn verwerkt en waarvan de resultaten daarna door laatstgenoemde aan de Belgische, de Franse en de Nederlandse autoriteiten zijn meegedeeld.

89 Ten derde hebben de Belgische, de Franse en de Nederlandse autoriteiten deelgenomen aan een vergadering op 28 augustus 2019 waarop de gevolgen van een eventuele ontmanteling van de infrastructuur van de Sky ECC-dienst ter sprake zijn gebracht, alsmede aan een technische werkgroep van het GOT op 23 en 24 juli 2020 waarbij nieuwe versleutelde berichten zijn ontdekt.

90 Ten vierde hebben de Belgische, de Franse en de Nederlandse autoriteiten op 25 april 2019, 7 september 2020 en 11 februari 2021 deelgenomen aan coördinatievergaderingen waarop zij actuele informatie hebben verstrekt over de stand van hun onderzoeken met betrekking tot de Sky ECC-dienst en hebben overlegd over de meest geschikte manier om deze onderzoeken verder vooruit te helpen.

91 Ten vijfde hebben de Nederlandse autoriteiten tijdens de vergadering van 23 mei 2022 de Servische autoriteiten via Eurojust informatie verstrekt over de reikwijdte en de voortgang van hun respectieve onderzoeken alsmede over hun behoeften op het gebied van justitiële samenwerking.

92 Ten zesde hebben de Franse autoriteiten de Servische autoriteiten op 24 juni 2022 via Eurojust een link naar een beveiligde downloadsite gezonden waarop aan dat derde land informatie ter beschikking werd gesteld over bepaalde gesprekken die van de Sky ECC-dienst afkomstig waren en die verbonden waren met specifieke inloggegevens, waaronder die van verzoeker.

93 De mogelijkheid voor verzoeker om zich in het kader van een schadevordering tegen Europol op grond van artikel 50, lid 1, van verordening 2016/794 op dergelijke, aan lidstaten toerekenbare feiten te beroepen, veronderstelt echter dat deze feiten zich hebben voorgedaan in het kader van een samenwerking op grond van verordening 2016/794 (zie in die zin arrest van 5 maart 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punten 62 en 63) en dat die feiten zijn persoonsgegevens betreffen.

94 Zoals in punt 39 hierboven is opgemerkt, is de samenwerking met betrekking tot de Sky ECC-dienst in mei 2019 begonnen en kan uit de door Eurojust en Europol verstrekte gegevens niet worden afgeleid dat de in de punten 87 tot en met 92 hierboven genoemde feiten of gedragingen die aan de Belgische, de Franse of de Nederlandse autoriteiten toerekenbaar zijn, geen verband hielden met die samenwerking.

95 Verzoeker levert daarentegen geen enkel bewijs of begin van bewijs waaruit blijkt dat de uitwisseling van de metagegevens van meer dan 9000 berichten op 27 mei 2019, tijdens de vergaderingen van 25 april en 28 augustus 2019, 7 september 2020, 11 februari 2021 en 23 mei 2022, of tijdens de technische werkgroep van het GOT van 23 en 24 juli 2020 hebben geleid tot de uitwisseling van hem betreffende persoonsgegevens door de Belgische, de Franse of de Nederlandse autoriteiten, in de zin van artikel 50, lid 1, van verordening 2016/794.

96 Derhalve is het Gerecht, wat de tegen Europol gerichte en op artikel 50, lid 1, van verordening 2016/794 gebaseerde schadevordering betreft, niet bevoegd om kennis te nemen van de stellingen die zijn gebaseerd op de in punt 95 hierboven genoemde feiten of handelingen van de Belgische, de Franse of de Nederlandse autoriteiten.

97 Daarentegen kan aan de hand van het door verzoeker overgelegde bewijsmateriaal of begin van bewijs worden vastgesteld dat in de periode van 27 mei 2019 tot en met 24 juni 2022 hem betreffende en van de Sky ECC-dienst afkomstige persoonsgegevens zijn verwerkt door, ten eerste, de Franse autoriteiten in het kader van de doorgifte aan Europol van de op de servers van Sky ECC onderschepte gegevens, ten tweede, de Belgische, de Franse en de Nederlandse autoriteiten bij de ontvangst van die gegevens van Europol vóór of na verwerking en, ten derde, de Franse autoriteiten bij de doorgifte ervan aan de Servische autoriteiten, via Eurojust, op 24 juni 2022.

98 Bijgevolg zullen alleen de in punt 97 hierboven bedoelde feiten en gedragingen worden onderzocht in het kader van de tegen Europol gerichte en op artikel 50, lid 1, van verordening 2016/794 gebaseerde schadevordering.

B. Beoordeling van de verschillende vorderingen

99 Gelet op de vorderingen van verzoeker, die in de punten 14 tot en met 19 hierboven in herinnering zijn gebracht, en niettegenstaande het feit dat verzoeker ter ondersteuning van zijn twee vorderingen dezelfde vier middelen heeft aangevoerd en zich daarbij op dezelfde feiten heeft beroepen, dient eerst de op artikel 263 VWEU gebaseerde vordering betreffende de onrechtmatigheid van bepaalde handelingen of gedragingen van Europol en Eurojust in het kader van de „Sky ECC-operatie” te worden onderzocht. Vervolgens dient de schadevordering op grond van de artikelen 268 en 340 VWEU, artikel 50 van verordening 2016/794 en artikel 46 van verordening 2018/1727 te worden onderzocht.

100 Om te beginnen moet worden opgemerkt dat Europol en Eurojust samen of afzonderlijk verschillende middelen van niet-ontvankelijkheid aanvoeren, ontleend aan, ten eerste, de niet-ontvankelijkheid van het beroep in zijn geheel wegens misbruik van procedure, ten tweede, de te late indiening van het beroep wat de vordering tot nietigverklaring betreft, ten derde, het feit dat de verwerkingen van gegevens die van de Sky ECC-dienst afkomstig zijn en die op verzoeker betrekking hebben geen voor beroep vatbare handelingen vormen en, ten vierde, de niet-ontvankelijkheid van de schadevordering omdat verzoeker de gestelde schade niet rechtens genoegzaam heeft bewezen en de rechtsmiddelen heeft omzeild.

101 In dit verband zij eraan herinnerd dat de Unierechter op grond van de omstandigheden van elke zaak mag beoordelen of een goede rechtsbedeling rechtvaardigt dat een beroep ten gronde wordt verworpen, zonder dat eerst uitspraak wordt gedaan over de ontvankelijkheid (zie in die zin arrest van 26 februari 2002, Raad/Boehringer,C‑23/00 P, EU:C:2002:118, punten 51 en 52).

102 In casu is het Gerecht van oordeel dat het, om redenen van proceseconomie, aangewezen is om alleen het middel van niet-ontvankelijkheid te onderzoeken dat is ontleend aan het feit dat de verwerkingen van gegevens die van de Sky ECC-dienst afkomstig zijn en op verzoeker betrekking hebben, geen voor beroep vatbare handelingen vormen, zonder dat eerst uitspraak wordt gedaan over de andere middelen van niet-ontvankelijkheid, aangezien het beroep in ieder geval en om de hieronder uiteengezette redenen ongegrond is.

1. Vordering tot nietigverklaring

103 Ter ondersteuning van de eerste vordering krachtens artikel 263 VWEU werpt verzoeker met name op grond van artikel 277 VWEU op dat bepaalde handelingen of gedragingen van Europol en Eurojust in het kader van de „Sky ECC-operatie” onrechtmatig zijn.

104 Artikel 263 VWEU maakt het mogelijk om de rechtmatigheid van met name door de agentschappen van de Unie vastgestelde handelingen te betwisten, mits aan bepaalde ontvankelijkheidsvoorwaarden is voldaan.

a) Ontvankelijkheid van de vordering tot nietigverklaring

105 Europol en Eurojust betogen dat de verwerkingen van gegevens die van de Sky ECC-dienst afkomstig zijn en die op verzoeker betrekking hebben geen voor beroep vatbare handelingen vormen, aangezien deze de rechtspositie van verzoeker niet aantasten.

106 Zoals blijkt uit punt 58 hierboven, verwijt verzoeker Europol dat het vanaf 27 mei 2019 de door de Franse autoriteiten onderschepte gegevens van de Sky ECC-dienst die op hem betrekking hebben heeft ontvangen, verwerkt en gedeeld, alsook dat het heeft deelgenomen aan de vergadering van 28 augustus 2019 en aan de werkgroep van 23 en 24 juli 2020.

107 Zoals blijkt uit punt 85 hierboven, verwijt verzoeker Eurojust de deelname aan de coördinatievergaderingen van de Belgische, de Franse en de Nederlandse autoriteiten en Europol van 25 april 2019, 7 september 2020 en 11 februari 2021, de deelname aan de coördinatievergadering van de Nederlandse en de Servische onderzoeken van 23 mei 2022 alsook de doorgifte van 24 juni 2022.

108 Met uitzondering van de doorgifte van 24 juni 2022 vormen alle in de punten 106 en 107 hierboven bedoelde handelingen of gedragingen, voorbereidende handelingen of gedragingen die geen bindende rechtsgevolgen in het leven kunnen roepen die de belangen van verzoeker aantasten doordat zij diens rechtspositie aanmerkelijk wijzigen in de zin van de vaste rechtspraak van het Hof (zie in die zin arresten van 11 november 1981, IBM/Commissie,60/81, EU:C:1981:264, punt 9, en 30 november 2023, Sistem ecologica/Commissie, C‑787/22 P, niet gepubliceerd, EU:C:2023:940, punt 51).

109 Wat de deelname van Europol en Eurojust aan de betrokken vergaderingen of werkgroepen betreft, gesteld al dat die vergaderingen en werkgroepen tot de verwerking van verzoekers persoonsgegevens hebben geleid, moet worden vastgesteld dat deze slechts fasen in lopende strafrechtelijke onderzoeken vormen en alleen de voorwaarden scheppen voor het verdere verloop ervan, zonder verzoekers rechten te wijzigen of een van zijn procedurele rechten aan te tasten.

110 De deelname aan deze vergaderingen of werkgroepen markeert aldus niet het einde van een bijzondere procedure die zich onderscheidt van de procedure die de strafrechters van de betrokken lidstaten in staat moet stellen om eventueel uitspraak te doen over de strafrechtelijke aansprakelijkheid van de verzoeker (zie in die zin arrest van 11 november 1981, IBM/Commissie,60/81, EU:C:1981:264, punt 11, en beschikking van 9 september 2020, IMG/Commissie, T‑645/19, niet gepubliceerd, EU:T:2020:388, punt 48 en aldaar aangehaalde rechtspraak).

111 De doorgifte door Europol van uit de Sky ECC-dienst afkomstige persoonsgegevens van verzoeker aan de autoriteiten van lidstaten zoals het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden onderscheidt zich niet van de doorgifte door het Europees Bureau voor fraudebestrijding (OLAF) van zijn eindverslagen en informatie aan de lidstaten, die volgens vaste rechtspraak geen voor beroep vatbare handeling is (zie in die zin arresten van 30 november 2023, Sistem ecologica/Commissie, C‑787/22 P, niet gepubliceerd, EU:C:2023:940, punten 55, 56, 60, 66 en 67; 12 september 2007, Nikolaou/Commissie, T‑259/03, niet gepubliceerd, EU:T:2007:254, punten 244 en 245 en aldaar aangehaalde rechtspraak, en 20 mei 2010, Commissie/Violetti e.a.,T‑261/09 P, EU:T:2010:215, punt 47 en aldaar aangehaalde rechtspraak).

112 Derhalve hoeft niet te worden bepaald of, bij gebreke van formalisering van de verschillende door verzoeker aan Europol en Eurojust verweten gedragingen, de deelname van deze agentschappen aan de in de punten 106 en 107 hierboven bedoelde vergaderingen of werkgroep en de doorgifte door Europol van uit de Sky ECC-dienst afkomstige persoonsgegevens van verzoeker aan de Belgische, de Franse en de Nederlandse autoriteiten kunnen worden aangemerkt als „handelingen” in de zin van artikel 263 VWEU, aangezien zij hoe dan ook niet aanvechtbaar zijn.

113 Wat daarentegen de doorgifte van 24 juni 2022 betreft, moet worden erkend dat dit een voor beroep vatbare handeling is.

114 Het is juist dat uit de in punt 111 hierboven in herinnering gebrachte rechtspraak blijkt dat de doorgifte door OLAF van eindverslagen en informatie aan de lidstaten geen voor beroep vatbare handeling is.

115 Niettemin heeft zowel het Hof als het Gerecht, teneinde het aanvechtbare karakter van de doorgiften door OLAF uit te sluiten, rekening kunnen houden met het feit dat de verzoeker over andere middelen beschikte om het toezicht op de rechtmatigheid van dergelijke beslissingen tot doorgifte te verzekeren (zie arrest van 20 mei 2010, Commissie/Violetti e.a.,T‑261/09 P,EU:T:2010:215, punt 48 en aldaar aangehaalde rechtspraak), daaronder begrepen de prejudiciële procedure [zie in die zin beschikking van 19 april 2005, Tillack/Commissie,C‑521/04 P(R), EU:C:2005:240, punt 39].

116 De doorgifte van 24 juni 2022 vond echter niet plaats tussen een agentschap van de Unie en de autoriteiten van een lidstaat, maar tussen een dergelijk agentschap en de autoriteiten van een derde land, in casu de Republiek Servië.

117 Indien de rechtmatigheid van de doorgifte van 24 juni 2022 niet kan worden betwist in het kader van het onderhavige beroep, zal zij ook uit het oogpunt van het Unierecht dus niet meer kunnen worden betwist en kunnen de daarin opgenomen persoonsgegevens worden geacht rechtmatig aan de Servische autoriteiten te zijn doorgegeven, zonder dat verzoeker nadien kan verkrijgen dat de rechterlijke instanties van dit derde land hetzij de geldigheid van die doorgifte toetsen in het licht van het Unierecht, hetzij bij het Hof een verzoek om een prejudiciële beslissing betreffende de geldigheid ervan indienen.

118 In die zin markeert de doorgifte van 24 juni 2022 het einde van een bijzondere procedure waarbij Eurojust aan de autoriteiten van een derde land, op hun verzoek, persoonsgegevens van een geïdentificeerde persoon doorgeeft.

119 Bovendien kan alleen de erkenning dat de doorgifte van 24 juni 2022 een voor beroep vatbare handeling is, waarborgen dat een rechterlijke autoriteit of een ander onafhankelijk orgaan een effectieve toetsing verricht van de doorgifte van onderschepte persoonsgegevens en van het gebruik daarvan voor andere doeleinden dan die van de strafprocedure waarvoor zij oorspronkelijk zijn verzameld (zie in die zin EHRM, 1 april 2025, Ships Waste Oil Collector B.V. e.a. tegen Nederland, CE:ECHR:2025:0401JUD000279916, §§ 160 en 183 en aldaar aangehaalde rechtspraak).

120 In dit verband is het door Eurojust aangevoerde feit dat verzoeker zich tot de Franse rechterlijke instanties kan wenden of dat hij na een eventuele veroordeling door de Servische strafrechters de zaak aanhangig kan maken bij het Europees Hof voor de Rechten van de Mens (EHRM), niet relevant.

121 Ten eerste kan bij de Franse rechterlijke instanties geen beroep tot nietigverklaring van een handeling van een agentschap van de Unie worden ingesteld.

122 Ten tweede kan het EHRM, bij gebreke van toetreding van de Unie tot het op 4 november 1950 te Rome ondertekende Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM), niet vaststellen dat de Unie dit verdrag heeft geschonden, met name in het kader van een beroep tegen een derde land.

123 Gelet op het voorgaande moet het door Europol en Eurojust aangevoerde middel van niet-ontvankelijkheid worden toegewezen en moet worden vastgesteld dat, behalve wat de doorgifte van 24 juni 2022 betreft, de door verzoeker bekritiseerde handelingen of gedragingen geen voor beroep vatbare handelingen zijn.

b) Gegrondheid van de vordering tot nietigverklaring voor zover deze betrekking heeft op de doorgifte van 24 juni 2022

124 Vastgesteld moet worden dat verzoeker niet uiteenzet waarom de doorgifte van 24 juni 2022 tot een onrechtmatige verwerking van zijn persoonsgegevens heeft geleid.

125 In de eerste plaats bepaalt artikel 45, lid 2, onder b), van verordening 2018/1727 dat de verantwoordelijkheid voor de juistheid van de operationele persoonsgegevens ligt bij de lidstaat die de gegevens aan Eurojust heeft verstrekt, indien – zoals in casu – de verstrekte gegevens tijdens de verwerking door dat agentschap niet zijn gewijzigd, hetgeen verzoeker niet betwist.

126 In de tweede plaats moet met betrekking tot het feit dat de Franse autoriteiten de gesprekken van verzoeker via Eurojust ter beschikking van de Servische autoriteiten hebben gesteld om te beginnen worden vastgesteld dat uit niets kan worden afgeleid dat deze verwerking van persoonsgegevens niet behoorlijk, rechtmatig en voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden is verricht in de zin van artikel 71, lid 1, onder a) en b), van verordening 2018/1725.

127 Ten eerste maakte die verwerking deel uit van de uitvoering van de taken van Eurojust en was zij noodzakelijk voor die uitvoering. Ten tweede blijkt uit geen enkel element van het dossier dat verzoekers persoonsgegevens voor andere doeleinden dan die taken zijn verwerkt. Ten derde is die verwerking verricht op verzoek van de Franse autoriteiten en ter uitvoering van voorafgaande verzoeken om rechtshulp. Ten vierde was de doorgifte van verzoekers persoonsgegevens aan de Servische autoriteiten gebaseerd op artikel 56, lid 2, onder b), van verordening 2018/1727 en op de op 12 november 2019 tussen Eurojust en de Republiek Servië gesloten samenwerkingsovereenkomst die de uitwisseling van operationele persoonsgegevens toestaat.

128 Daarnaast was de terbeschikkingstelling van de gesprekken van verzoeker door de Franse autoriteiten via Eurojust aan de Servische autoriteiten ook evenredig en voldoende beveiligd in de zin van artikel 71, lid 1, onder c), d) en e), van verordening 2018/1725. Deze terbeschikkingstelling gebeurde immers in de vorm van een link naar een met een wachtwoord beveiligde downloadsite die door de Franse autoriteiten is verstrekt, en niets laat toe om de bewering van Eurojust in twijfel te trekken dat het zich geen toegang heeft verschaft tot de betrokken gegevens en deze niet in zijn eigen computersystemen heeft gedownload, opgeslagen of gekopieerd.

129 Wat verzoekers stelling betreft dat de artikelen 47 en 48 van het Handvest, artikel 6 EVRM en de artikelen 14 en 15 IVBPR zijn geschonden, legt verzoeker niet uit waarom de doorgifte van 24 juni 2022 op de dag van die doorgifte schending van die bepalingen opleverde, met name bij gebreke van een uitspraak van de Nederlandse of de Servische rechterlijke instanties houdende vaststelling van zijn schuld op die datum op grond van de verstrekte gegevens.

130 Bijgevolg moet de vordering tot nietigverklaring van de doorgifte van 24 juni 2022 als ongegrond worden afgewezen.

c) Middel inzake de exceptie van onwettigheid

131 Overeenkomstig artikel 277 VWEU kan iedere partij, ook na het verstrijken van de in artikel 263, zesde alinea, VWEU bedoelde termijn, naar aanleiding van een geschil waarbij een door een instelling, een orgaan of een instantie van de Unie vastgestelde handeling van algemene strekking in het geding is de in artikel 263, tweede alinea, VWEU bedoelde middelen aanvoeren om voor de Unierechter de niet-toepasselijkheid van deze handeling in te roepen.

132 Geen van de door verzoeker aan Europol of Eurojust verweten handelingen of gedragingen vertoont de kenmerken van een handeling van algemene strekking.

133 Bijgevolg moet het op artikel 277 VWEU gebaseerde middel worden afgewezen.

2. Schadevordering

134 Voor de niet-contractuele aansprakelijkheid van de Unie op grond van artikel 340, tweede alinea, VWEU, moet zijn voldaan aan een aantal voorwaarden, te weten dat er sprake is van een voldoende gekwalificeerde schending van een rechtsregel die ertoe strekt aan particulieren rechten toe te kennen, dat er werkelijk schade is geleden en dat er een oorzakelijk verband bestaat tussen de schending van de op de auteur van de handeling rustende verplichting en de door de benadeelde persoon geleden schade (zie arrest van 5 maart 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punt 117 en aldaar aangehaalde rechtspraak).

135 Het beroep moet in zijn geheel worden verworpen wanneer aan één van die voorwaarden niet is voldaan, zonder dat de overige voorwaarden voor de niet-contractuele aansprakelijkheid van de Unie hoeven te worden onderzocht. Bovendien bestaat er voor de Unierechter geen verplichting om die voorwaarden in een bepaalde volgorde te onderzoeken (zie arrest van 13 december 2018, Europese Unie/Kendrion,C‑150/17 P, EU:C:2018:1014, punt 118 en aldaar aangehaalde rechtspraak).

136 Evenwel heeft het Hof geoordeeld dat wanneer de Uniewetgever heeft voorzien in een afwijkende regeling van hoofdelijke aansprakelijkheid tussen een agentschap van de Unie en een of meer lidstaten, binnen de werkingssfeer van die afwijkende regeling voor de aansprakelijkheid van dat agentschap niet vereist is dat wordt aangetoond dat de schade waarvan vergoeding wordt beoogd aan dat agentschap kan worden toegerekend, aangezien die schade op zijn minst aan een of meer van deze lidstaten kan worden toegerekend (zie in die zin arrest van 5 maart 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punten 125 en 132).

137 In die omstandigheden moeten de handelingen of gedragingen waarvoor respectievelijk Europol – dat als enige onder een dergelijke afwijkende regeling van hoofdelijke aansprakelijkheid met de lidstaten valt – en Eurojust aansprakelijk kan worden gesteld, afzonderlijk worden onderzocht.

a) Handelingen en gedragingen waarvoor Europol aansprakelijk kan worden gesteld

138 Met zijn eerste grief, die hij in het kader van zijn eerste middel aanvoert, verwijt verzoeker Europol en de betrokken lidstaten dat zij de gegevens die afkomstig zijn van de Sky ECC-dienst – met inbegrip van zijn eigen gegevens – op onrechtmatige en oneerlijke wijze hebben verwerkt en dat zij daardoor met name artikel 28, lid 1, onder a), van verordening 2016/794 hebben geschonden.

139 De initiële verwerking van de gegevens die van de Sky ECC-dienst afkomstig waren, was wegens het ongedifferentieerde karakter ervan noch noodzakelijk in de zin van artikel 18, lid 1, van verordening 2016/794, noch evenredig in de zin van artikel 28, lid 1, onder c), ervan, aangezien er onvoldoende vermoedens bestonden dat alle gebruikers van de Sky ECC-dienst betrokken waren bij strafbare feiten.

140 Bovendien was de verdere verwerking van de gegevens die van de Sky ECC-dienst afkomstig waren in strijd met artikel 28, lid 1, onder b), van verordening 2016/794, aangezien deze verwerking gegevens betrof die niet uitsluitend betrekking hadden op strafbare feiten en die zonder onderscheid en niet voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden waren verzameld.

141 Gelet op dit betoog moet de eerste grief aldus worden uitgelegd dat zij betrekking heeft op een vermeende onjuiste verwerking van gegevens door zowel Europol als het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden, die vallen onder de in artikel 50, lid 1, van verordening 2016/794 bedoelde afwijkende regeling van hoofdelijke aansprakelijkheid.

142 Aldus dient voor het onderzoek van deze eerste grief niet alleen rekening te worden gehouden met de handelingen of gedragingen van Europol in het kader van de uit artikel 49 van verordening 2016/794 voortvloeiende aansprakelijkheidsregeling, maar ook met de handelingen of gedragingen van de drie betrokken lidstaten in het kader van de afwijkende regeling van hoofdelijke aansprakelijkheid als bedoeld in artikel 50, lid 1, van die verordening.

143 Met zijn tweede grief, die is aangevoerd in het kader van zijn tweede middel, beroept verzoeker zich – ondanks de vermelding van artikel 28 van verordening 2016/794 in punt 68 van het verzoekschrift – in wezen alleen op schending van het recht op een eerlijk proces, aangezien de van de Sky ECC-dienst afkomstige gegevens niet op hun „bruikbaarheid” kunnen worden geverifieerd in de nationale strafrechtelijke procedures die zijn ingesteld naar aanleiding van de onderzoeken waaraan Europol heeft deelgenomen.

144 Aldus betwist verzoeker in het kader van zijn tweede middel niet de rechtmatigheid van de verwerking van zijn persoonsgegevens in de zin van artikel 28 van verordening 2016/794 – het enige argument op grond waarvan een betwisting binnen de werkingssfeer kan vallen van de afwijkende regeling inzake hoofdelijke aansprakelijkheid die voortvloeit uit artikel 50, lid 1, van die verordening.

145 In die omstandigheden moet voor het onderzoek van deze tweede grief alleen rekening worden gehouden met de handelingen of gedragingen van Europol in het kader van de uit artikel 49 van verordening 2016/794 voortvloeiende aansprakelijkheidsregeling.

146 Met zijn derde grief, die in het kader van zijn derde middel is aangevoerd, klaagt verzoeker over het bestaan van dubbele vervolging voor dezelfde feiten, die door de Nederlandse en door de Servische strafrechtelijke autoriteiten tegen hem is ingesteld.

147 Verzoeker betoogt in wezen dat Europol met name niet heeft voldaan aan het vereiste van optimale coördinatie zoals voorgeschreven door de GOT-overeenkomst, waardoor hem de mogelijkheid is ontnomen om zich naar behoren te verweren, hetgeen in strijd is met de artikelen 47 en 48 van het Handvest, artikel 6 EVRM en de artikelen 14 en 15 IVBPR.

148 Het is juist dat door Europol bewaarde en verwerkte informatie in casu door dat agentschap ter beschikking is gesteld aan de Nederlandse autoriteiten en dat deze informatie door de Franse autoriteiten is doorgegeven aan de Servische autoriteiten, maar dat neemt niet weg dat verzoeker met zijn derde grief Europol geen mogelijk „onjuiste verwerking van persoonsgegevens” in de zin van artikel 50, lid 1, van verordening 2016/794 verwijt, maar enkel de niet-nakoming van zijn uit de GOT-overeenkomst voortvloeiende verplichtingen.

149 Bijgevolg moet voor het onderzoek van deze derde grief alleen rekening worden gehouden met de handelingen of gedragingen van Europol in het kader van de uit artikel 49 van verordening 2016/794 voortvloeiende aansprakelijkheidsregeling.

150 Met zijn vierde grief, die in het kader van zijn vierde middel is aangevoerd, beroept verzoeker zich op een onvoldoende beveiligde en niet-conforme verwerking door Europol en Eurojust van de gegevens die van de Sky ECC-dienst afkomstig zijn, zoals hij in antwoord op een vraag van het Gerecht ter terechtzitting heeft bevestigd.

151 Zijn beweringen zijn gebaseerd op artikel 32 van verordening 2016/794 en op de artikelen 89, 91 en 92 van verordening 2018/1725.

152 Voor de feiten waarop verzoeker zich beroept – te weten feiten van vóór 24 juni 2022 – was krachtens artikel 2 van verordening 2018/1725 alleen artikel 32 van verordening 2016/794 ratione temporis van toepassing op Europol.

153 In die omstandigheden moet voor het onderzoek van deze vierde grief alleen rekening worden gehouden met de handelingen of gedragingen van Europol, en dit uitsluitend in het licht van artikel 32 van verordening 2016/794.

1) Gestelde schade die voortvloeit uit de handelingen of gedragingen van Europol, het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden, waarvan vergoeding wordt gevorderd bij Europol op grond van de afwijkende regeling van hoofdelijke aansprakelijkheid als bedoeld in artikel 50, lid 1, van verordening 2016/794

154 Zoals in de punten 138 tot en met 142 hierboven is opgemerkt, beroept verzoeker zich in het kader van zijn eerste grief op schade die voortvloeit uit de onjuiste verwerking van zijn gegevens die van de Sky ECC-dienst afkomstig zijn, door zowel Europol als het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden.

155 Volgens verzoeker zijn de van de Sky ECC-dienst afkomstige gegevens – met inbegrip van zijn eigen gegevens – verwerkt op ongedifferentieerde wijze, in strijd met de artikelen 17, 18, 28 en 38 van verordening 2016/794, de artikelen 7, 8, 10 tot en met 12, 51 en 52 van het Handvest, artikel 8 EVRM en artikel 17 IVPBR.

156 Deze gegevens zijn aanvankelijk door de betrokken lidstaten verwerkt in strijd met het noodzakelijkheids- en het evenredigheidsbeginsel, aangezien er geen gegrond vermoeden bestond dat alle gebruikers van de Sky ECC-dienst bij enig strafbaar feit betrokken waren. Aldus is het verzamelen van die gegevens in strijd met de rechtspraak van het EHRM, die het ongedifferentieerd verzamelen van gegevens slechts bij wijze van uitzondering toestaat. Evenzo mogen metagegevens alleen met rechterlijke toestemming en in het kader van de nationale veiligheid of de bestrijding van ernstige vormen van criminaliteit worden verzameld en verwerkt, hetgeen in casu niet het geval is.

157 Overeenkomstig artikel 17, lid 1, onder a), van verordening 2016/794 mag Europol alleen gegevens verwerken die door de lidstaten overeenkomstig hun nationale recht zijn verwerkt, hetgeen in casu niet het geval is geweest.

158 Deze gegevens zijn vervolgens door Europol zonder legitiem doel verwerkt, aangezien sommige bewaarde gesprekken geen verband hielden met enig strafbaar feit. Eveneens zijn zij op oneerlijke en onrechtmatige wijze verwerkt.

159 In die zin heeft Europol punt 32, onder h), i), p) en q), van de aanbeveling van het Parlement van 15 juni 2023 aan de Raad en de Commissie naar aanleiding van het onderzoek naar vermeende inbreuken op, en gevallen van wanbeheer bij, de toepassing van het Unierecht met betrekking tot het gebruik van Pegasus en soortgelijke spyware voor surveillance [2023/2500(RSP)] geschonden door de irrelevante gegevens niet te wissen, de betrokken gegevens langer dan een specifieke periode te bewaren en de beoogde en niet-beoogde personen niet te informeren.

160 Deze schendingen worden bevestigd door de recente veroordeling van Europol door de Europese Toezichthouder voor gegevensbescherming (EDPS) in verband met de opslag en het wissen van niet-gecategoriseerde datasets (EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation, Cases 2019‑0370 & 2021‑0699, van 21 december 2021).

161 Europol betoogt dat deze grief ongegrond is.

162 Om te beginnen moet worden opgemerkt dat Europol ten onrechte stelt dat het niet aansprakelijk kan worden gesteld voor de handelingen of gedragingen van de lidstaten en dat het Gerecht de rechtmatigheid van die handelingen of gedragingen niet kan beoordelen.

163 De Unierechter is krachtens artikel 276 VWEU weliswaar niet bevoegd om de geldigheid of de evenredigheid na te gaan van operaties van de politie of andere rechtshandhavingsinstanties in een lidstaat, ook niet in het kader van beroepen op grond van de artikelen 268 en 340 VWEU (zie de punten 44 tot en met 46 hierboven), maar dit neemt niet weg dat buiten die specifieke operaties de afwijkende regeling van hoofdelijke aansprakelijkheid als bedoeld in artikel 50, lid 1, van verordening 2016/794 impliciet maar noodzakelijkerwijs inhoudt dat Europol aansprakelijk kan worden gesteld voor handelingen of gedragingen van de lidstaten.

164 Daaruit volgt evenzeer noodzakelijkerwijs dat het Gerecht in het kader van schadevorderingen krachtens artikel 50, lid 1, van verordening 2016/794 bevoegd is om de rechtmatigheid te beoordelen van handelingen of gedragingen van lidstaten, met uitzondering van die waarbij hun politiediensten of andere rechtshandhavingsinstanties zijn overgegaan tot het verzamelen van de betrokken gegevens, hetzij op grond van het Unierecht en in het bijzonder van verordening 2016/794 (zie in die zin arrest van 5 maart 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punt 121), hetzij op grond van het nationale recht van de betrokken staat.

165 Wat ten eerste de verwerking van de door de Franse autoriteiten verzamelde gegevens betreft, geeft verzoeker enkel aan dat bepaalde gegevens zijn verwerkt terwijl zij geen verband houden met enig strafbaar feit en dat de verwerking ervan bijgevolg in strijd is met artikel 30, lid 1, van verordening 2016/794, dat betrekking heeft op de verwerking van persoonsgegevens in verband met slachtoffers van een strafbaar feit, getuigen of andere personen die informatie kunnen verstrekken over strafbare feiten, of in verband met personen jonger dan achttien jaar.

166 Vastgesteld moet echter worden dat verzoeker een meerderjarige blijkt te zijn die overeenkomstig het nationale recht van de betrokken lidstaat verdacht werd van het plegen van of deelnemen aan een strafbaar feit dat onder de bevoegdheid van Europol valt, te weten drugshandel, als bedoeld in artikel 3, lid 1, van verordening 2016/794.

167 Verzoeker kan zich dus niet met succes beroepen op artikel 30, lid 1, van verordening 2016/794.

168 Voor het overige voert verzoeker geen enkel element aan op grond waarvan kan worden betwijfeld dat de verwerking van de gegevens die van de Sky ECC-dienst afkomstig zijn, met name door de nationale autoriteiten voorafgaand aan de doorgifte ervan aan Europol, heeft plaatsgevonden voor de legitieme doeleinden waarvoor zij waren verzameld, te weten het opstellen van analyses van strategische of thematische aard alsmede operationele analyses in de zin van artikel 18, lid 2, onder b) en c), van verordening 2016/794, in de context van de uitvoering van de in punt 4 hierboven bedoelde beslissingen om een gemeenschappelijk onderzoek te voeren en van het GOT.

169 Ten tweede voert verzoeker geen enkel element aan waaruit blijkt dat de door de Franse autoriteiten verzamelde gegevens aan Europol zijn doorgegeven in strijd met de in artikel 28, lid 1, van verordening 2016/794 bedoelde beginselen.

170 Wat ten derde de activiteit van Europol met betrekking tot verzoekers gegevens betreft, wijst niets erop dat de ontvangst, de verwerking en de verdere doorgifte van het resultaat van de analyse van die gegevens aan de betrokken lidstaten zijn verricht in strijd met de in artikel 28, lid 1, van verordening 2016/794 neergelegde beginselen.

171 In de eerste plaats zijn al deze handelingen verricht binnen een welomschreven kader dat specifieke, expliciete en gerechtvaardigde doeleinden nastreeft, te weten een specifieke operatie met betrekking tot de Sky ECC-dienst, die met name tot doel heeft de gebruikers ervan te identificeren met het oog op vervolging, en dit bovendien door middel van een GOT dat hetzelfde doel nastreeft en dat is opgericht bij een specifieke overeenkomst waarin de doelstellingen van dat GOT uitdrukkelijk door het Koninkrijk België, de Franse Republiek en het Koninkrijk der Nederlanden zijn vastgesteld, en waar Europol bij betrokken was (zie de punten 3 tot en met 6 hierboven)

172 In de tweede plaats wijst niets erop dat de verwerking van verzoekers gegevens door Europol inadequaat, irrelevant of bovenmatig is geweest in het licht van de doelstelling om de gebruikers van de Sky ECC-dienst te identificeren, met name om hen strafrechtelijk te vervolgen.

173 In dit verband is het irrelevant dat Europol mogelijkerwijs de adressaat van het in punt 160 hierboven bedoelde besluit van de EDPS was. Verzoeker voert immers niet aan, laat staan dat hij aantoont, dat zijn gegevens onder het toepassingsgebied van dat besluit vielen, te weten gegevens in het bezit van Europol die niet waren gecategoriseerd.

174 Integendeel, uit de elementen ter beschikking van het Gerecht blijkt dat verzoekers gegevens in verband waren gebracht met een specifiek onderzoek inzake de Sky ECC-dienst, dat met name tot doel had de gebruikers ervan te identificeren (zie de punten 4 tot en met 6 hierboven), dat Europol de naam van verzoeker in verband had gebracht met zijn account van de Sky ECC-dienst en zijn gebruikersnaam waardoor het zijn gesprekken kon identificeren (zie de punten 64 en 65 hierboven), en dat het ook nationale „intelligence packages” had opgesteld (zie punt 81 hierboven).

175 In de derde plaats blijkt niet uit het dossier dat de door Europol verwerkte gegevens betreffende verzoeker onjuist waren of geen passende beveiliging genoten, aangezien deze gegevens enkel zijn doorgegeven aan de staten of agentschappen die direct of indirect bij het GOT betrokken waren en uitsluitend zijn gebruikt voor de strafrechtelijke vervolging die het Koninkrijk der Nederlanden en de Republiek Servië tegen verzoeker hebben ingesteld.

176 In de vierde plaats wijst niets erop dat de gegevens van verzoeker, tegen wie de strafrechtelijke procedures ten tijde van de instelling van het onderhavige beroep nog steeds liepen, langer zijn bewaard dan nodig was voor met name het goede verloop van die procedures.

177 In de vijfde plaats kan verzoeker zich niet met succes beroepen op het feit dat hij geen toegang heeft kunnen krijgen tot zijn gegevens, aangezien volgens overweging 41 van verordening 2016/794 – waaraan een belangrijke interpretatieve waarde moet worden toegekend (zie in die zin arrest van 5 maart 2024, Kočner/Europol,C‑755/21 P, EU:C:2024:202, punt 59) – Europol de toegang tot persoonsgegevens kan weigeren om zijn taken naar behoren te vervullen, de veiligheid en de openbare orde te beschermen, strafbare feiten te voorkomen of te waarborgen dat een nationaal onderzoek niet in gevaar wordt gebracht.

178 Ten vierde blijkt uit de elementen ter beschikking van het Gerecht geenszins dat Europol de beginselen inzake verwerking van persoonsgegevens heeft geschonden tijdens de vergaderingen van 27 mei en 28 augustus 2019 of in het kader van de werkgroep van 23 en 24 juli 2020, waarbij nieuwe berichten zijn ontdekt (zie de punten 55 en 57 hierboven).

179 Deze bijeenkomsten vielen duidelijk onder de aan Europol toevertrouwde taken, met name onder die bedoeld in artikel 4, lid 1, onder c), van verordening 2016/794, in het bijzonder in de onderhavige situatie waarin Europol deelnam aan een GOT, zoals bepaald in artikel 4, lid 1, onder d), van die verordening.

180 Ten vijfde wijst niets erop dat het Koninkrijk België, de Franse Republiek of het Koninkrijk der Nederlanden onregelmatigheden zou hebben begaan bij de ontvangst van de gegevens die Europol hun had doorgegeven.

181 Ten zesde wijst niets erop dat de door de Nederlandse autoriteiten aan de Servische autoriteiten doorgegeven informatie ooit in het bezit van Europol is geweest, waardoor elke hoofdelijke aansprakelijkheid van Europol uitgesloten is.

182 Wat ten zevende de doorgifte van 24 juni 2022 betreft, wijst niets erop dat dit in strijd is met artikel 28 van verordening 2016/794.

183 Voorts kan Europol, het Koninkrijk België, de Franse Republiek of het Koninkrijk der Nederlanden om soortgelijke redenen als die welke in de punten 171 tot en met 182 hierboven zijn vermeld, geen schending van de artikelen 7, 8, 10 tot en met 12, 51 en 52 van het Handvest, artikel 8 EVRM en artikel 17 IVBPR worden verweten.

184 In dit verband zij er tevens aan herinnerd dat artikel 52, lid 1, van het Handvest voorziet in de mogelijkheid dat beperkingen worden gesteld aan de door het Handvest gewaarborgde rechten – waaronder het recht op eerbiediging van het privéleven en het familie- en gezinsleven, de bescherming van persoonsgegevens, de vrijheid van gedachte, geweten en godsdienst, de vrijheid van meningsuiting en van informatie en de vrijheid van vergadering en vereniging –, op voorwaarde dat deze beperkingen bij wet worden gesteld, de wezenlijke inhoud van de betrokken rechten en vrijheden eerbiedigen en, met inachtneming van het evenredigheidsbeginsel, noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en de vrijheden van anderen [zie arrest van 4 oktober 2024, Bezirkshauptmannschaft Landeck (Poging tot het verkrijgen van toegang tot op een mobiele telefoon opgeslagen persoonsgegevens), C‑548/21, EU:C:2024:830, punt 119 en aldaar aangehaalde rechtspraak].

185 Bovendien kan de bestrijding van zware criminaliteit – waartoe de bestrijding van de drugshandel behoort – een rechtvaardiging vormen voor ernstige inmengingen in de met name in de artikelen 7 en 8 van het Handvest verankerde grondrechten, zoals die welke voortvloeien uit de bewaring van verkeers‑ en locatiegegevens (zie in die zin arrest van 7 september 2023, Lietuvos Respublikos generalinė prokuratūra,C‑162/22, EU:C:2023:631, punt 37).

186 Ten slotte, voor zover verzoeker zich beroept op de in punt 159 hierboven bedoelde aanbeveling van het Parlement, volstaat het vast te stellen dat een dergelijk document geen bindende rechtsgevolgen heeft.

187 Gelet op het voorgaande heeft verzoeker niet aangetoond dat er sprake is van een voldoende gekwalificeerde schending van een rechtsregel die ertoe strekt hem rechten toe te kennen.

188 Aangezien niet is voldaan aan deze voorwaarde voor het intreden van de aansprakelijkheid van Europol op grond van artikel 50, lid 1, van verordening 2016/794, hoeven de overige voorwaarden voor het intreden van die aansprakelijkheid niet te worden onderzocht (zie in die zin arrest van 13 december 2018, Europese Unie/Kendrion, C‑150/17 P, EU:C:2018:1014, punt 118).

189 Bijgevolg moet de grief die verzoeker jegens Europol aanvoert op grond van artikel 50, lid 1, van verordening 2016/794, ongegrond worden verklaard.

2) Gestelde grief die uitsluitend voortvloeit uit de handelingen of gedragingen van Europol, waarvan vergoeding wordt gevorderd op grond van zijn aansprakelijkheid voor eigen optreden als bedoeld in artikel 49, lid 3, van verordening 2016/794

i) Grief ontleend aan schending van het recht op een eerlijk strafproces

190 Verzoeker voert aan dat hij schade heeft geleden als gevolg van de schending van zijn recht op een eerlijk strafproces, dat wordt gewaarborgd door de artikelen 47 en 48 van het Handvest alsook door de artikelen 14 en 15 IVBPR. Deze schade vloeit voort uit de onmogelijkheid om de waarachtigheid, authenticiteit, betrouwbaarheid en wettigheid te controleren van de gegevens die in het kader van de samenwerking met betrekking tot de Sky ECC-dienst zijn verwerkt en doorgegeven, of althans uit het ontbreken van formele en materiële waarborgen.

191 De „(wens van) een min of meer absoluut beginsel van interstatelijk vertrouwen” en de „(staats)geheime (opsporings)methoden” maken de formele en materiële toetsing van de gegevens die afkomstig zijn van de Sky ECC-dienst als bewijsmateriaal in nationale strafprocessen immers onmogelijk, en dit terwijl deze gegevens onvolledig zijn en daardoor op oneerlijke, onrechtmatige, inadequate en in strijd met het doeleinde van het bewijsgebruik in strafzaken zijn verzameld en verwerkt.

192 Europol betoogt dat deze grief ongegrond is.

193 Om te beginnen moet, voor zover verzoeker in wezen betoogt dat hij noch in de Nederlandse, noch in de Servische strafprocedure de ontvankelijkheid of de bewijskracht van de in het kader daarvan gebruikte gegevens van de Sky ECC-dienst kan betwisten, dit betoog worden afgewezen, aangezien Europol niet hoofdelijk aansprakelijk is voor handelingen of gedragingen van een lidstaat, met uitzondering van de onjuiste verwerking van persoonsgegevens, en Europol evenmin hoofdelijk aansprakelijk is voor handelingen of gedragingen van een derde land.

194 Voor zover verzoeker zich met de onderhavige grief beroept op de onrechtmatige verwerking van zijn persoonsgegevens, dient voorts te worden opgemerkt dat dit betoog reeds in punt 187 hierboven is afgewezen.

195 Bijgevolg moet de door verzoeker aangevoerde grief die is ontleend aan schending door Europol van de artikelen 47 en 48 van het Handvest en van de artikelen 14 en 15 IVBPR, worden afgewezen.

ii) Grief ontleend aan het gebrek aan coördinatie tussen de Nederlandse en de Servische autoriteiten wat de tegen verzoeker ingestelde strafrechtelijke vervolgingen betreft

196 Met zijn derde middel betoogt verzoeker dat Europol hem schade heeft berokkend doordat het de verplichting tot coördinatie van de strafrechtelijke vervolgingen – die nochtans is neergelegd in de GOT-overeenkomst – niet is nagekomen, terwijl het wel betrokken was bij het delen van verzoekers gegevens ten behoeve van de tegen hem ingestelde vervolgingen.

197 Deze niet-nakoming heeft ertoe geleid dat verzoeker zich zowel in Nederland als in Servië heeft moeten verweren, terwijl hij in Nederland in hechtenis was. Dit heeft zijn verweer in Servië aangetast en is in strijd met de artikelen 47 en 48 van het Handvest, artikel 6 EVRM en de artikelen 14 en 15 IVBPR.

198 Europol betoogt dat deze grief ongegrond is.

199 Dienaangaande volstaat het op te merken dat verzoekers betoog berust op een onjuiste lezing van de door hem aangevoerde passage van de GOT-overeenkomst.

200 Onder de titel met als opschrift „9.1 Afspraken over de aanwending van digitale data uit de servertap – Informatiedeling met landen die geen deel uitmaken van het GOT”, bepaalt de GOT-overeenkomst dat „wanneer [...] vermoedelijk gebruikers uit verschillende GOT-landen of landen die geen deel uitmaken van het GOT bij dezelfde of gelieerde feiten betrokken zijn [...] de betreffende GOT-partijen, en indien gewenst, landen die geen deel uitmaken van het GOT en Europol zo snel mogelijk overleg [zullen] plegen”.

201 Afgezien van het feit dat het overleg met Europol over de aanwending van digitale data uit servertaps slechts facultatief is, dient dus te worden vastgesteld dat dit overleg, gelet op het opschrift waaronder de door verzoeker genoemde passage is geplaatst, betrekking heeft op het gebruik van die data en niet op de strafrechtelijke vervolgingen die op grond van die data kunnen worden ingesteld door de lidstaten die partij zijn bij de GOT-overeenkomst of zelfs door landen die geen partij daarbij zijn.

202 Bovendien kan Europol geen enkele verplichting tot coördinatie van de vervolgingen op nationaal niveau worden tegengeworpen, aangezien verordening 2016/794 – en met name artikel 4, lid 1, ervan – aan dat agentschap geenszins de bevoegdheid verleent om te beslissen of vervolging moet worden ingesteld tegen een geïdentificeerd persoon in een bepaald land of om de vervolgingen te coördineren die in verschillende landen worden ingesteld.

203 Om die reden kan Europol niet aansprakelijk worden gesteld voor schendingen van de artikelen 47 en 48 van het Handvest, artikel 6 EVRM en de artikelen 14 en 15 IVBPR, waarbij die schendingen ten tijde van de instelling van het onderhavige beroep volstrekt hypothetisch waren, aangezien de tegen verzoeker ingeleide strafrechtelijke procedures nog steeds aanhangig waren.

204 Bijgevolg moet de door verzoeker aangevoerde grief die is ontleend aan schending door Europol van de GOT-overeenkomst, alsmede van de artikelen 47 en 48 van het Handvest, artikel 6 EVRM en de artikelen 14 en 15 IVBPR, worden afgewezen.

iii) Grief ontleend aan schending van artikel 32 van verordening 2016/794

205 Met zijn vierde middel voert verzoeker aan dat Europol, gesteld al dat het zijn persoonsgegevens rechtmatig en eerlijk heeft verzameld en verwerkt, hem schade heeft berokkend doordat het, in strijd met artikel 32 van verordening 2016/794, niet aan de verplichting heeft voldaan om zijn gegevens voldoende te beveiligen.

206 Europol betoogt dat deze grief ongegrond is.

207 Vastgesteld moet worden dat verzoekers bewering dat Europol zijn verplichting niet is nagekomen om passende technische en organisatorische maatregelen vast te stellen teneinde een op de risico’s afgestemd beveiligingsniveau te waarborgen, door geen enkel bewijs of begin van bewijs wordt gestaafd.

208 Verzoeker toont niet aan dat zijn persoonsgegevens, als gevolg van een dergelijke niet-nakoming, het voorwerp hebben uitgemaakt van met name een ongeoorloofde verspreiding, wijziging of toegang daartoe, of van enige andere vorm van ongeoorloofde verwerking.

209 In dit verband moet worden opgemerkt dat verzoekers bewering dat zijn naam door Europol in de pers openbaar is gemaakt, door geen enkel bewijs wordt gestaafd.

210 De loutere, niet onderbouwde vrees van verzoeker dat er sprake kan zijn van een schending met betrekking tot zijn persoonsgegevens, volstaat op zich niet om aan te tonen dat Europol de krachtens artikel 32 van verordening 2016/794 opgelegde verplichtingen niet is nagekomen.

211 Bijgevolg moet de door verzoeker aangevoerde grief die is ontleend aan schending door Europol van artikel 32 van verordening 2016/794, en bijgevolg de schadevordering, voor zover deze tegen Europol is gericht, worden afgewezen.

b) Handelingen en gedragingen waarvoor Eurojust aansprakelijk kan worden gesteld

1) Grief ontleend aan de onrechtmatige verwerking van verzoekers persoonsgegevens

212 Met zijn eerste middel voert verzoeker aan dat hij schade heeft geleden als gevolg van de verwerking van zijn persoonsgegevens in strijd met de artikelen 71 en 72 van verordening 2018/1725, de artikelen „(9 en) 26 en 27 [van] verordening 2018/1727”, de artikelen 7, 8 en 10 tot en met 12 van het Handvest, in samenhang met de artikelen 51 en 52 van het Handvest, artikel 8 EVRM en artikel 17 IVBPR.

213 Ter ondersteuning van zijn betoog verwijst verzoeker mutatis mutandis naar de in de punten 154 tot en met 160 hierboven bedoelde kritiek die is geuit ten aanzien van Europol. Hij voegt daaraan toe dat Eurojust ook het beroepsgeheim van advocaten heeft geschonden.

214 Eurojust betoogt dat deze grief ongegrond is.

215 Om te beginnen dienen verzoekers argumenten te worden afgewezen voor zover zij kunnen worden opgevat als kritiek, op grond van schending met betrekking tot zijn persoonsgegevens, op handelingen of gedragingen van Eurojust die betrekking hadden op andere gegevens dan zijn persoonsgegevens.

216 Om de aansprakelijkheid van de Unie te kunnen vaststellen, moet de verzoeker namelijk aantonen dat de schade waarvoor vergoeding wordt gevraagd hem persoonlijk raakt (beschikking van 3 september 2021, Löning/Commissie, C‑176/21 P, niet gepubliceerd, EU:C:2021:697, punt 19).

217 Verzoekers kritiek op de verlening van ondersteuning en advies op het gebied van justitiële samenwerking ten behoeve van het Koninkrijk België, de Franse Republiek, het Koninkrijk der Nederlanden en Europol naar aanleiding van drie op 25 april 2019, 7 september 2020 en 11 februari 2021 georganiseerde vergaderingen (punt 71 hierboven) en zijn kritiek op de coördinatie van de Nederlandse en de Servische onderzoeken naar aanleiding van de vergadering van 23 mei 2022 (punt 73 hierboven), waarvan verzoeker noch stelt, laat staan aantoont, dat deze tot de verwerking van zijn persoonsgegevens hebben geleid, moeten dus van de hand worden afgewezen.

218 Hetzelfde geldt voor de stelling dat Eurojust het beroepsgeheim van advocaten heeft geschonden.

219 Verzoeker verwijst immers naar een klacht van een advocaat aan de balie van Rotterdam over de verwerking van zijn gegevens die van de Sky ECC-dienst afkomstig zijn. Hij geeft evenwel niet aan of die advocaat zijn vertegenwoordiger was of is, of de vermeende door Eurojust verwerkte informatie betrekking had op zijn verweer en of het daardoor zijn recht heeft aangetast om in het kader van een gerechtelijke procedure door een advocaat te worden geadviseerd, welk recht is neergelegd in artikel 47, tweede alinea, van het Handvest (zie in die zin arrest van 8 december 2022, Orde van Vlaamse Balies e.a.,C‑694/20, EU:C:2022:963, punt 53).

220 Wat de doorgifte van 24 juni 2022 betreft en zoals in de punten 124 tot en met 130 hierboven is opgemerkt, zet verzoeker niet uiteen waarom deze doorgifte tot een onrechtmatige verwerking van zijn persoonsgegevens heeft geleid.

221 Bovendien, en wat betreft de stelling dat de artikelen 47 en 48 van het Handvest alsmede artikel 6 EVRM en de artikelen 14 en 15 IVBPR zijn geschonden, licht verzoeker niet toe in welk opzicht een eventuele onrechtmatige verwerking van zijn persoonsgegevens in strijd zou zijn met die bepalingen.

222 Gelet op het voorgaande moet de door verzoeker aangevoerde grief die is ontleend aan de onrechtmatige verwerking van zijn persoonsgegevens en aan schending van de artikelen 47 en 48 van het Handvest, artikel 6 EVRM en de artikelen 14 en 15 IVBPR, ongegrond worden verklaard.

2) Grief ontleend aan schending van verzoekers recht op een eerlijk strafproces

223 Met zijn tweede middel voert verzoeker aan dat Eurojust hem schade heeft berokkend als gevolg van de schending van zijn recht op een eerlijk strafproces, dat wordt gewaarborgd door de artikelen 47 en 48 van het Handvest alsook door de artikelen 14 en 15 IVBPR. Deze schade vloeit voort uit de onmogelijkheid om de waarachtigheid, authenticiteit, betrouwbaarheid en wettigheid te controleren van de gegevens die in het kader van de samenwerking met betrekking tot de Sky ECC-dienst zijn verwerkt en doorgegeven, of althans uit het ontbreken van formele en materiële waarborgen.

224 Ter ondersteuning van zijn betoog voert verzoeker dezelfde argumenten aan als die welke in punt 191 hierboven zijn genoemd.

225 Eurojust betoogt dat deze grief ongegrond is.

226 In de context van het tweede middel, dat uitsluitend betrekking heeft op de regeling betreffende de bewijzen die zijn gebruikt in het kader van de tegen verzoeker ingeleide nationale strafrechtelijke procedures, moet worden vastgesteld dat Eurojust zich heeft beperkt tot de doorgifte van 24 juni 2022.

227 De op dezelfde argumenten gebaseerde vordering tot nietigverklaring van de doorgifte van 24 juni 2022 is echter reeds afgewezen in de punten 128 tot en met 130 hierboven.

228 Voorts voert verzoeker geen enkel element of argument aan waaruit blijkt dat zijn recht op een doeltreffende voorziening in rechte, na die doorgifte, op enigerlei wijze is geschonden.

229 In ieder geval zij eraan herinnerd dat artikel 52, lid 1, van het Handvest voorziet in de mogelijkheid om onder de in punt 184 hierboven in herinnering gebrachte voorwaarden beperkingen te stellen aan de door het Handvest gewaarborgde rechten, daaronder begrepen het recht op een doeltreffende voorziening in rechte.

230 Gelet op het voorgaande moet de door verzoeker aangevoerde grief die is ontleend aan schending door Eurojust van de artikelen 47 en 48 van het Handvest en van de artikelen 14 en 15 IVBPR, worden afgewezen.

3) Grief ontleend aan het gebrek aan coördinatie tussen de Nederlandse en de Servische autoriteiten wat de tegen verzoeker ingestelde strafrechtelijke vervolgingen betreft

231 Met zijn derde middel betoogt verzoeker dat Eurojust hem schade heeft berokkend doordat het de verplichting tot coördinatie van de strafrechtelijke vervolgingen – die nochtans is neergelegd in artikel 4, lid 1, onder b), van verordening 2018/1727 en in de GOT-overeenkomst – niet is nagekomen, terwijl het wel betrokken was bij het delen van verzoekers gegevens ten behoeve van de tegen hem ingestelde vervolgingen.

232 Deze niet-nakoming heeft ertoe geleid dat verzoeker zich zowel in Nederland als in Servië moest verweren, terwijl hij in Nederland in hechtenis was. Dit heeft zijn verweer in Servië aangetast en is in strijd met de artikelen 47 en 48 van het Handvest, artikel 6 EVRM en de artikelen 14 en 15 IVBPR.

233 Eurojust betoogt dat deze grief ongegrond is.

234 In dit verband zij eraan herinnerd dat, zoals reeds is aangegeven in de punten 199 tot en met 201 hierboven, het in de GOT-overeenkomst geregelde overleg betrekking heeft op het gebruik van de door de betrokken staten verzamelde gegevens en niet op de strafrechtelijke vervolgingen die op grond van die gegevens kunnen worden ingesteld door de lidstaten die partij zijn bij de GOT-overeenkomst of zelfs door landen die geen partij daarbij zijn.

235 Bovendien moet worden opgemerkt dat Eurojust volgens artikel 4, lid 1, onder b), van verordening 2018/1727 „de bevoegde autoriteiten van de lidstaten [bijstaat] met het oog op een optimale coördinatie van de onderzoeken en vervolgingen”.

236 Hieruit volgt, zoals Eurojust terecht stelt, dat het in het kader van deze operationele taak van coördinatie van de onderzoeken en vervolgingen enkel een inspanningsverplichting heeft en dat het besluit om over te gaan tot de vervolging van een persoon uitsluitend aan de betrokken nationale autoriteiten toekomt, hetgeen wordt bevestigd door artikel 85 VWEU, dat de rechtsgrondslag van verordening 2018/1727 vormt.

237 Aldus kan Eurojust niet aansprakelijk worden gesteld voor procedurele keuzes die tot de uitsluitende bevoegdheid en verantwoordelijkheid van de betrokken staten behoren.

238 Gelet op het voorgaande moet de door verzoeker aangevoerde grief die is ontleend aan schending door Eurojust van de GOT-overeenkomst, artikel 4, lid 1, onder b), van verordening 2018/1727, alsmede de artikelen 47 en 48 van het Handvest, artikel 6 EVRM en de artikelen 14 en 15 IVBPR, worden afgewezen.

4) Grief ontleend aan schending van de artikelen 89, 91 en 92 van verordening 2018/1725

239 Met zijn vierde middel voert verzoeker aan dat Eurojust, gesteld al dat het zijn persoonsgegevens rechtmatig en eerlijk heeft verzameld en verwerkt, hem om te beginnen schade heeft berokkend doordat het, in strijd met artikel 91 van verordening 2018/1725, niet aan de verplichting heeft voldaan om zijn gegevens voldoende te beveiligen.

240 Voorts is Eurojust, gelet op de nieuwe manier waarop de gegevens van de Sky ECC-dienst zijn verkregen – te weten via de techniek van de „man-in-the-middle-attack” –, de in artikel 89 van verordening 2018/1725 neergelegde verplichting niet nagekomen om vóór de verwerking een effectbeoordeling uit te voeren betreffende de bescherming van verzoekers gegevens.

241 Ten slotte is Eurojust, in strijd met artikel 92 van verordening 2018/1725, zijn verplichting om de EDPS in kennis te stellen van de schending betreffende de persoonsgegevens van verzoeker niet nagekomen.

242 Eurojust betoogt dat deze grief ongegrond is.

243 Om te beginnen moet verzoekers bewering dat Eurojust zijn verplichting niet is nagekomen om passende technische en organisatorische maatregelen vast te stellen teneinde een op de risico’s afgestemd beveiligingsniveau te waarborgen, worden afgewezen om soortgelijke redenen als die welke in de punten 207 tot en met 210 hierboven zijn genoemd.

244 Vervolgens legt verzoeker niet uit op welke wijze Eurojust zijn verplichting niet is nagekomen om een effectbeoordeling uit te voeren vóór de doorgifte aan de Servische autoriteiten van de door de Franse autoriteiten verstrekte link naar een met een wachtwoord beveiligde website die de gesprekken van verzoeker bevatte die van de Sky ECC-dienst afkomstig waren (punt 75 hierboven).

De tekst gaat verder: De uitspraak op EUR-Lex

Aangehaalde artikelen

• Artikel 6 EVRM
• Artikel 8 EVRM
• Artikel 15 BUPO
• Artikel 14 BUPO
• Artikel 85 VWEU
• Artikel 263 VWEU
• Artikel 268 VWEU
• Artikel 276 VWEU
• Artikel 277 VWEU
• Artikel 340 VWEU
• Artikel 34 VvL
• Artikel 5
• Artikel 28
• Artikel 32
• Artikel 49
• Artikel 50

Aangehaalde uitspraken

• HvJ EU 4 oktober 2024, C-548/21, ECLI:EU:C:2024:830
• HvJ EU 10 september 2024, C-29/22, ECLI:EU:C:2024:725
• HvJ EU 5 maart 2024, C-755/21, ECLI:EU:C:2024:202
• HvJ EU 7 september 2023, C-162/22, ECLI:EU:C:2023:631
• HvJ EU 8 december 2022, C-694/20, ECLI:EU:C:2022:963
• HvJ EU 16 december 2020, C-597/18, ECLI:EU:C:2020:1028
• HvJ EU 29 januari 2020, C-785/18, ECLI:EU:C:2020:46
• HvJ EU 10 september 2019, C-123/18, ECLI:EU:C:2019:694
• HvJ EU 13 december 2018, C-150/17, ECLI:EU:C:2018:1014
• HvJ EU 17 september 2014, C-562/12, ECLI:EU:C:2014:2229
• Gerecht EU 12 september 2007, T-259/03, ECLI:EU:T:2007:254
• Gerecht EU 8 juli 2004, T-50/00, ECLI:EU:T:2004:220
• HvJ EU 26 februari 2002, C-23/00, ECLI:EU:C:2002:118
• HvJ EU 3 december 1992, C-97/91, ECLI:EU:C:1992:491
• HvJ EU 11 november 1981, 60/81, ECLI:EU:C:1981:264