Marián Kočner v European Union Agency for Law Enforcement Cooperation.

• Jurisdiction: European Union
• Court: Court of Justice (European Union)
• ECLI: ECLI:EU:C:2024:202
• Docket Number: C-755/21
• Date: 05 March 2024

ARRÊT DE LA COUR (grande chambre)

5 mars 2024 ( *1 )

« Pourvoi – Coopération des services répressifs – Règlement (UE) 2016/794 – Article 49, paragraphe 3, et article 50 – Protection des données à caractère personnel – Traitement de données illicite – Procédure pénale engagée en Slovaquie contre le requérant – Expertise réalisée par l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) aux fins de l’instruction – Extraction de données de téléphones portables et d’un support de stockage USB appartenant au requérant – Divulgation de ces données – Préjudice moral – Recours en indemnité – Nature de la responsabilité extracontractuelle »

Dans l’affaire C‑755/21 P,

ayant pour objet un pourvoi au titre de l’article 56 du statut de la Cour de justice de l’Union européenne, introduit le 8 décembre 2021,

Marián Kočner, demeurant à Bratislava (Slovaquie), représenté par Mes M. Mandzák et M. Para, advokáti,

partie requérante,

l’autre partie à la procédure étant :

Agence de l’Union européenne pour la coopération des services répressifs (Europol), représentée par M. A. Nunzi, en qualité d’agent, assisté de Mes M. Kottmann et G. Ziegenhorn, Rechtsanwälte,

partie défenderesse en première instance,

soutenue par :

République slovaque, représentée initialement par Mme S. Ondrášiková, puis par Mmes E. V. Drugda et S. Ondrášiková, en qualité d’agents,

partie intervenante au pourvoi,

Royaume d’Espagne,

partie intervenante en première instance,

LA COUR (grande chambre),

composée de M. K. Lenaerts, président, M. L. Bay Larsen, vice-président, M. A. Arabadjiev, Mme A. Prechal, MM. E. Regan, F. Biltgen, N. Piçarra et Mme O. Spineanu‑Matei (rapporteure), présidents de chambre, MM. S. Rodin, P. G. Xuereb, Mme L. S. Rossi, M. N. Wahl, Mme I. Ziemele, MM. J. Passer et D. Gratsias, juges,

avocat général : M. A. Rantos,

greffier : M. A. Calot Escobar,

vu la procédure écrite,

ayant entendu l’avocat général en ses conclusions à l’audience du 15 juin 2023,

rend le présent

Arrêt

1 Par son pourvoi, M. Marián Kočner demande l’annulation de l’arrêt du Tribunal de l’Union européenne du 29 septembre 2021, Kočner/Europol (T‑528/20, ci-après l’ arrêt attaqué , EU:T:2021:631), par lequel celui-ci a rejeté sa demande fondée sur l’article 268 TFUE et tendant à obtenir réparation de préjudices qu’il aurait prétendument subis du fait de la divulgation par l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) de données à caractère personnel et de l’inscription par Europol de son nom sur les « listes des mafieux ».

Le cadre juridique

2 Aux termes des considérants 23, 45, 56, 57 et 65 du règlement (UE) 2016/794 du Parlement européen et du Conseil, du 11 mai 2016, relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO 2016, L 135, p. 53) : « (23) Afin de prévenir et de lutter contre les formes de criminalité relevant de ses objectifs, il est nécessaire qu’Europol dispose des informations les plus complètes et les plus récentes possible. En conséquence, Europol devrait pouvoir traiter les données que lui fournissent les États membres, [...] [...] (45) Afin de garantir la sécurité des données à caractère personnel, il convient qu’Europol et les États membres mettent en œuvre les mesures techniques et organisationnelles nécessaires. [...] (56) Il convient qu’Europol soit soumise aux règles générales en matière de responsabilité contractuelle et extracontractuelle applicables aux institutions, agences et organes de l’Union [européenne], à l’exception des règles relatives à la responsabilité pour traitement illicite de données. (57) Il peut être malaisé pour la personne physique concernée de déterminer si le dommage subi du fait d’un traitement illicite de données est la conséquence de l’action d’Europol ou d’un État membre. Il convient, par conséquent, qu’Europol et l’État membre dans lequel le fait dommageable s’est produit soient solidairement responsables. [...] (65) Europol traite des données qui exigent une protection particulière puisqu’elles comprennent des informations sensibles non classifiées et classifiées de l’UE. Il convient, par conséquent, qu’Europol établisse des règles en matière de confidentialité et de traitement de ces informations. Les règles en matière de protection des informations classifiées de l’UE devraient être compatibles avec la décision 2013/488/UE du Conseil[, du 23 septembre 2013, concernant les règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne (JO 2013, L 274, p. 1)]. »

3 L’article 2 de ce règlement, intitulé « Définitions », dispose : « Aux fins du présent règlement, on entend par : [...] h) “données à caractère personnel”, toute information se rapportant à une personne concernée ; i) “personne concernée”, une personne physique identifiée ou identifiable, une “personne identifiable” étant une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel [qu’un] nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ; [...] k) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ; [...] »

4 L’article 3 dudit règlement, intitulé « Objectifs », énonce, à son paragraphe 1 : « Europol appuie et renforce l’action des autorités compétentes des États membres et leur collaboration mutuelle dans la prévention de la criminalité grave affectant deux ou plusieurs États membres, du terrorisme et des formes de criminalité qui portent atteinte à un intérêt commun qui fait l’objet d’une politique de l’Union, ainsi que dans la lutte contre ceux-ci [...] »

5 L’article 17 du même règlement, intitulé « Sources d’information », dispose, à son paragraphe 1 : « Europol ne traite que les informations qui lui ont été fournies : a) par les États membres, conformément à leur droit national et à l’article 7 ; [...] »

6 L’article 18 du règlement 2016/794, intitulé « Finalités des activités de traitement d’informations », dispose, à son paragraphe 1 : « Dans la mesure nécessaire pour atteindre ses objectifs tels qu’énoncés à l’article 3, Europol peut traiter des informations, y compris des données à caractère personnel. »

7 L’article 28 de ce règlement, intitulé « Principes généraux en matière de protection de données », dispose, à son paragraphe 1 : « Les données à caractère personnel sont : a) traitées loyalement et licitement ; b) collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. [...] [...] f) traitées de manière à leur assurer un niveau de sécurité approprié. »

8 L’article 32 dudit règlement, intitulé « Sécurité du traitement », prévoit, à son paragraphe 1 : « Europol met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle ou la divulgation, la modification et l’accès non autorisés, ou contre toute autre forme de traitement non autorisé. »

9 L’article 38 du même règlement, intitulé « Responsabilité en matière de protection des données », énonce, à ses paragraphes 4, 5 et 7 : « [...] 4. Europol est responsable du respect des principes visés à l’article 28, paragraphe 1, points a), b), [...] et f). 5. La responsabilité de la légalité du transfert des données incombe à : a) l’État membre qui a fourni les données à caractère personnel à Europol ; b) Europol, dans le cas de données à caractère personnel fournies par celui-ci à des États membres [...] [...] 7. Europol assume la responsabilité de toutes les opérations de traitement de données qu’elle effectue, [...] »

10 L’article 49 du règlement 2016/794, intitulé « Dispositions générales en matière de responsabilité et droit à réparation », dispose, à son paragraphe 3 : « Sans préjudice de l’article 49, en matière de responsabilité extracontractuelle, Europol, conformément aux principes généraux communs aux droits des États membres, répare tout dommage causé par ses services ou par son personnel dans l’exercice de leurs fonctions. »

11 L’article 50 de ce règlement, intitulé « Responsabilité du fait d’un traitement incorrect de données et droit à réparation », prévoit : « 1. Toute personne physique ayant subi un dommage du fait d’une opération de traitement de données illicite a le droit d’obtenir réparation du préjudice subi, soit d’Europol conformément à l’article 340 [TFUE], soit de l’État membre où le fait dommageable s’est produit, conformément à son droit national. La personne physique forme un...