Marián Kočner v European Union Agency for Law Enforcement Cooperation.

• Jurisdiction: European Union
• Celex Number: 62021CJ0755
• ECLI: ECLI:EU:C:2024:202
• Date: 05 March 2024
• Docket Number: C-755/21
• Court: Court of Justice (European Union)

Edición provisional

SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala)

de 5 de marzo de 2024 (*)

«Recurso de casación — Cooperación policial — Reglamento (UE) 2016/794 — Artículos 49, apartado 3, y 50 — Protección de datos personales — Tratamiento ilícito de datos — Proceso penal incoado en Eslovaquia contra el recurrente — Dictamen pericial realizado por la Agencia de la Unión Europea para la Cooperación Policial (Europol) a efectos de la instrucción — Extracción de datos de teléfonos móviles y de un dispositivo de almacenamiento USB pertenecientes al recurrente — Divulgación de dichos datos — Daño moral — Recurso de indemnización — Naturaleza de la responsabilidad extracontractual»

En el asunto C‑755/21 P,

que tiene por objeto un recurso de casación interpuesto, con arreglo al artículo 56 del Estatuto del Tribunal de Justicia de la Unión Europea, el 8 de diciembre de 2021,

Marián Kočner, con domicilio en Bratislava (Eslovaquia), representado por los Sres. M. Mandzák y M. Para, advokáti,

parte recurrente,

en el que la otra parte en el procedimiento es:

Agencia de la Unión Europea para la Cooperación Policial (Europol), representada por el Sr. A. Nunzi, en calidad de agente, asistido por los Sres. M. Kottmann y G. Ziegenhorn, Rechtsanwälte,

parte demandada en primera instancia,

apoyada por

República Eslovaca, representada inicialmente por la Sra. S. Ondrášiková y posteriormente por las Sras. E. V. Drugda y S. Ondrášiková, en calidad de agentes,

parte coadyuvante en casación,

Reino de España,

parte coadyuvante en primera instancia,

EL TRIBUNAL DE JUSTICIA (Gran Sala),

integrado por el Sr. K. Lenaerts, Presidente, el Sr. L. Bay Larsen, Vicepresidente, el Sr. A. Arabadjiev, la Sra. A. Prechal, los Sres. E. Regan, F. Biltgen y N. Piçarra y la Sra. O. Spineanu-Matei (Ponente), Presidentes de Sala, y los Sres. S. Rodin y P. G. Xuereb, la Sra. L. S. Rossi, el Sr. N. Wahl, la Sra. I. Ziemele y los Sres. J. Passer y D. Gratsias, Jueces;

Abogado General: Sr. A. Rantos;

Secretario: Sr. A. Calot Escobar;

habiendo considerado los escritos obrantes en autos;

oídas las conclusiones del Abogado General, presentadas en audiencia pública el 15 de junio de 2023;

dicta la siguiente

Sentencia

1 Mediante su recurso de casación, el Sr. Marián Kočner solicita la anulación de la sentencia del Tribunal General de 29 de septiembre de 2021, Kočner/Europol (T‑528/20, en lo sucesivo, «sentencia recurrida», EU:T:2021:631), mediante la que dicho Tribunal desestimó su demanda basada en el artículo 268TFUE por la que se solicitaba una indemnización por los daños que supuestamente había sufrido como consecuencia de la divulgación por la Agencia de la Unión Europea para la Cooperación Policial (Europol) de datos personales y de la inclusión por Europol de su nombre en las «listas de mafiosos».

Marco jurídico

2 Según los considerandos 23, 45, 56, 57 y 65 del Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO 2016, L 135, p. 53):

«(23) A efectos de la prevención y lucha contra los delitos comprendidos en el ámbito de sus objetivos, es preciso que Europol disponga de la información más completa y actualizada posible. Por consiguiente, es necesario que pueda llevar a cabo el tratamiento de los datos que le hayan facilitado los Estados miembros, […]

[…]

(45) Con el fin de garantizar la seguridad de los datos personales, Europol y los Estados miembros deben poner en práctica las medidas técnicas y organizativas necesarias.

[…]

(56) Europol debe estar sujeta a una normativa general sobre responsabilidad contractual y extracontractual aplicable a las instituciones, agencias y organismos de la Unión [Europea], con excepción de la responsabilidad por el tratamiento ilícito de datos.

(57) Puede darse el caso de que para la persona física afectada no esté claro si los daños sufridos como resultado de un tratamiento ilegal son consecuencia de la acción de Europol o de un Estado miembro. Por consiguiente, Europol y el Estado miembro en que se haya producido el hecho generador de los daños deben ser responsables solidarios.

[…]

(65) Europol trata datos que requieren una protección particular, ya que incluyen información sensible e información clasificada y no clasificada de la UE. Europol debe, por tanto, elaborar normas sobre confidencialidad y tratamiento de esa información. Las normas en materia de protección de la información clasificada de la UE deben estar en consonancia con la Decisión 2013/488/UE del Consejo[, de 23 de septiembre de 2013, sobre las normas de seguridad para la protección de la información clasificada de la UE (DO 2013, L 274, p. 1)].»

3 El artículo 2 de este Reglamento, titulado «Definiciones», dispone cuanto sigue:

«A efectos del presente Reglamento, se entenderá por:

[…]

h) “datos personales”: toda información sobre un interesado;

i) “interesado”: una persona física identificada o identificable, esto es, cuya identidad pueda determinarse, directa o indirectamente en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

[…]

k) “tratamiento”: cualquier operación o conjunto de operaciones, efectuadas o no con medios automáticos, aplicadas a datos personales o conjuntos de datos personales, como la recogida, anotación, organización, conservación, adaptación o alteración, extracción, consulta, utilización, divulgación mediante transmisión, difusión o cualquier otra forma puesta a disposición, alineación o combinación, bloqueo, cancelación o destrucción;

[…]».

4 El artículo 3 de dicho Reglamento, titulado «Objetivos», enuncia, en su apartado 1, lo siguiente:

«Europol apoyará y reforzará la actuación de las autoridades competentes de los Estados miembros y su cooperación mutua en la prevención y la lucha contra la delincuencia grave que afecte a dos o más Estados miembros, el terrorismo y las formas de delincuencia que afecten a un interés común protegido por una política de la Unión […]».

5 El artículo 17 del mismo Reglamento, titulado «Fuentes de información», dispone lo siguiente en su apartado 1:

«Europol solamente podrá tratar la información que le haya sido facilitada por:

a) los Estados miembros, de conformidad con su Derecho nacional y con el artículo 7;

[…]».

6 El artículo 18 del Reglamento 2016/794, titulado «Fines de las actividades de tratamiento de la información», dispone, en su apartado 1, lo siguiente:

«En la medida en que sea necesario para la consecución de sus objetivos, enunciados en el artículo 3, Europol puede tratar información, incluidos los datos personales.»

7 El artículo 28 de este Reglamento, titulado «Principios generales en materia de protección de datos», dispone cuanto sigue en su apartado 1:

«Los datos personales deberán ser:

a) objeto de un tratamiento equitativo y conforme a la ley;

b) recogidos con fines determinados, explícitos y legítimos, y no ser tratados ulteriormente de forma incompatible con esos fines. […]

[…]

f) tratados de un modo que garantice una seguridad adecuada de los datos personales.»

8 El artículo 32 de dicho Reglamento, titulado «Seguridad del tratamiento», establece lo siguiente en su apartado 1:

«Europol pondrá en práctica medidas técnicas y organizativas apropiadas para proteger los datos personales contra su destrucción accidental o ilícita, extravío accidental o divulgación, alteración y acceso no autorizados o cualquier otra forma de tratamiento no autorizado.»

9 El artículo 38 del mismo Reglamento, titulado «Responsabilidad en materia de protección de datos», establece, en sus apartados 4, 5 y 7, cuanto sigue:

«[…]

4. Europol será responsable del cumplimiento de los principios a que se refiere el artículo 28, apartado 1, letras a), b), […] y f).

5. La responsabilidad por la legalidad de la transferencia de los datos recaerá en:

a) el Estado miembro que facilitó los datos personales a Europol;

b) Europol en el caso de los datos personales facilitados por él a los Estados miembros […]

[…]

7. Europol será responsable de todas las operaciones de tratamiento de datos efectuadas por sus servicios, […]».

10 El artículo 49 del Reglamento 2016/794, titulado «Disposiciones generales sobre responsabilidad y derecho a una indemnización», establece lo siguiente en su apartado 3:

«Sin perjuicio de lo dispuesto en el artículo 49, en el caso de responsabilidad extracontractual, Europol, de conformidad con los principios generales comunes a los Derechos de los Estados miembros, indemnizará los daños causados por sus servicios o por su personal en el ejercicio de sus funciones.»

11 Según el artículo 50 de este Reglamento, titulado «Responsabilidad por el tratamiento incorrecto de datos personales y derecho a una indemnización»:

«1. Cualquier persona física que haya sufrido un daño como consecuencia de una operación de tratamiento ilícita tendrá derecho a recibir una indemnización por el daño sufrido, bien de Europol de conformidad con el artículo 340 del TFUE, bien del Estado miembro en que se haya producido el hecho que originó el daño de conformidad con su Derecho nacional. El interesado deberá interponer una acción contra Europol ante el Tribunal de Justicia de la Unión Europea o contra el Estado miembro ante un tribunal nacional competente de ese Estado miembro.

2. Cualquier litigio entre Europol y los Estados miembros en relación con la responsabilidad última por la indemnización concedida a una persona de conformidad con el apartado 1 deberá someterse al Consejo de Administración, que se pronunciará por mayoría de dos tercios de sus miembros, sin perjuicio del derecho a impugnar dicha...