DOCUMENT DE TRAVAIL

ORDONNANCE DU TRIBUNAL (cinquième chambre)

26 juin 2025 (*)

« Responsabilité non contractuelle – Coopération des autorités de police et autres services répressifs des États membres – Prétendus traitements illicites de données à caractère personnel – Méconnaissance des exigences de forme – Article 76, sous d), du règlement de procédure – Absence de préjudice moral subi du fait d’Europol – Recours en partie manifestement irrecevable et en partie manifestement dépourvu de tout fondement en droit »

Dans l’affaire T-148/24,

CW, représenté par M^e J. Reisinger, avocat,

partie requérante,

contre

Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust), représentée par M^me J. Carmona-Bermejo et M. N. Kyriacou, en qualité d’agents, assistés de M^es S. Raes, S. van den Brande et P. Van Muylder, avocats,

et

Agence de l’Union européenne pour la coopération des services répressifs (Europol), représentée par M. A. Nunzi, en qualité d’agent, assisté de M^es G. Ziegenhorn, M. Kottmann et T. Shulman, avocats,

parties défenderesses,

soutenues par

Royaume d’Espagne, représenté par M^me A. Gavela Llopis, en qualité d’agent,

et par

Royaume des Pays-Bas, représenté par M^me M. Bulterman et M. J. Langer, en qualité d’agents,

parties intervenantes,

LE TRIBUNAL (cinquième chambre),

composé de MM. J. Svenningsen (rapporteur), président, J. Martín y Pérez de Nanclares et M^me M. Stancu, juges,

greffier : M. V. Di Bucci,

vu la phase écrite de la procédure,

rend la présente

Ordonnance

1 Par son recours fondé sur l’article 268 TFUE, le requérant, CW, demande, en substance, réparation, à hauteur de 10 000 euros, du préjudice moral qu’il estime avoir subi du fait d’actes commis par l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust), par l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et par certains États membres.

Antécédents du litige

2 Selon ses affirmations, le requérant fait l’objet d’une procédure pénale aux Pays-Bas en raison d’accusations de trafic international de stupéfiants qui se fonderaient sur l’exploitation des données issues de téléphones portables fonctionnant sous la licence « EncroChat ». Ces téléphones permettaient, grâce à un logiciel spécial et à un matériel modifié, d’établir, par l’intermédiaire d’un serveur installé à Roubaix (France), une communication chiffrée de bout en bout qui n’était pas susceptible d’être interceptée par des méthodes d’enquête traditionnelles.

3 À partir du 30 janvier 2020, les autorités françaises ont collecté des données sur le serveur « EncroChat » de Roubaix.

4 À partir du 27 mars 2020, la République française a transmis à Europol les données collectées sur le serveur de Roubaix.

5 Le 10 avril 2020, les autorités françaises et néerlandaises ont, par un accord conclu entre elles sur le fondement de l’article 13 de la convention établie par le Conseil conformément à l’article 34 du traité sur l’Union européenne, relative à l’entraide judiciaire en matière pénale entre les États membres de l’Union européenne (JO 2000, C 197, p. 3) et de la décision-cadre du Conseil, du 13 juin 2002, relative aux équipes communes d’enquête (JO 2002, L 162, p. 1) (ci-après l’« accord ECE »), créé une équipe commune d’enquête (ci-après l’« ECE »).

6 L’accord ECE prévoit notamment ce qui suit :

« 7. Participants à l’ECE

Les parties à l’ECE conviennent d’impliquer Eurojust et Europol en tant que participantes à l’ECE. Les dispositions spécifiques relatives à la participation d’Eurojust et d’Europol sont abordées dans l’annexe correspondante du présent accord.

[…]

9.1 Accords sur l’utilisation des données numériques provenant d’EncroChat

Partage mutuel d’informations

Les parties à l’ECE conviennent de partager, entre elles et avec Europol, dans les meilleurs délais et dans la mesure du possible, toutes les données brutes provenant d’EncroChat, à des fins d’analyse, et de partager à leur tour entre elles le résultat des analyses le plus rapidement possible.

Europol participera à l’analyse des données numériques et sera notamment chargée de ventiler les données brutes et les résultats d’analyse en “paquets nationaux”, en fonction de la localisation des moyens de communication utilisés […] »

7 Europol a stocké les données qu’elle a reçues sur un réseau informatique à des fins d’analyse et les données analysées ont été partagées avec les pays concernés par ces données, le cas échéant avec l’autorisation des parties à l’ECE.

8 Le 13 juin 2020, la collecte des données a pris fin lorsque la société EncroChat a découvert que des autorités publiques avaient intercepté les données du serveur de Roubaix.

Conclusions des parties

9 Le requérant conclut à ce qu’il plaise au Tribunal :

– condamner Eurojust et Europol à lui verser un montant de 10 000 euros en réparation du préjudice moral subi résultant, premièrement, de sa mise en détention provisoire, deuxièmement, de la publicité et du retentissement de son affaire, troisièmement, de l’affaiblissement de sa position de défense et, quatrièmement, du fait que ses données à caractère personnel « sont tombées entre de mauvaises mains » ou « pourraient tomber entre de mauvaises mains » ;

– condamner Eurojust et Europol aux dépens.

10 Eurojust et Europol concluent à ce qu’il plaise au Tribunal :

– rejeter le recours comme étant manifestement irrecevable et, en tout état de cause, comme étant manifestement dépourvu de tout fondement en droit ou non fondé ;

– condamner le requérant aux dépens.

11 Le Royaume d’Espagne conclut à ce qu’il plaise au Tribunal de rejeter le recours comme étant irrecevable ou, à titre subsidiaire, comme étant non fondé et de condamner le requérant aux dépens.

12 Le Royaume des Pays-Bas conclut à ce qu’il plaise au Tribunal de rejeter le recours et de condamner le requérant aux dépens.

En droit

13 Aux termes de l’article 126 du règlement de procédure du Tribunal, lorsqu’un recours est manifestement irrecevable ou manifestement dépourvu de tout fondement en droit, le Tribunal peut, sur proposition du juge rapporteur, à tout moment décider de statuer par voie d’ordonnance motivée, sans poursuivre la procédure.

14 En l’espèce, le Tribunal, s’estimant suffisamment éclairé par les pièces du dossier, décide de statuer sans poursuivre la procédure.

15 Il y a lieu de comprendre des écritures du requérant que, selon lui, Eurojust ou Europol et des États membres ont réalisé des opérations de traitement illicite de ses données à caractère personnel, ce qui lui aurait causé un préjudice moral qu’il évalue à 10 000 euros.

16 En substance, le requérant soutient, tout d’abord, que les autorités françaises ont illégalement collecté les données à caractère personnel des utilisateurs du service de communication « EncroChat » sur le serveur situé à Roubaix, ensuite, que ces données ont été irrégulièrement transmises à Eurojust ou Europol, notamment à des fins de stockage et d’analyse, et, enfin, que lesdites données ont illégalement servi d’éléments de preuve dans le cadre d’une procédure pénale prétendument ouverte contre lui par les autorités néerlandaises.

17 C’est dans ce contexte que, dans le petitum de la requête, le requérant demande la réparation du préjudice moral résultant, premièrement, de sa détention provisoire, deuxièmement, de la publicité et du retentissement de son affaire, troisièmement, de l’affaiblissement de sa position de défense et, quatrièmement, du fait que ses données à caractère personnel « sont tombées entre de mauvaises mains » ou « pourraient tomber entre de mauvaises mains ».

Sur le recours en tant qu’il est dirigé contre Eurojust

18 Eurojust conteste la recevabilité du recours en tant qu’il est dirigé contre elle. À l’appui de sa fin de non-recevoir, elle fait notamment valoir que le requérant n’a pas identifié le comportement prétendument illicite qui lui est reproché. En particulier, elle conteste avoir réalisé une quelconque opération de traitement des données à caractère personnel du requérant.

19 Le requérant n’a pas explicitement pris position sur cette fin de non-recevoir dans la réplique. Il soutient, en substance, qu’Eurojust était impliquée dans les mesures d’enquête contre les utilisateurs du service de communication « EncroChat », car elle a notamment organisé des réunions de coordination.

20 En vertu de l’article 76, sous d), du règlement de procédure, la requête doit contenir l’objet du litige, les moyens et arguments invoqués ainsi qu’un exposé sommaire desdits moyens. Ces éléments doivent être suffisamment clairs et précis pour permettre à la partie défenderesse de préparer sa défense et au Tribunal de statuer sur le recours, le cas échéant, sans autres informations. Afin de garantir la sécurité juridique et une bonne administration de la justice, il est nécessaire, pour qu’un recours soit recevable, que les éléments essentiels de fait et de droit sur lesquels celui-ci se fonde ressortent d’une façon cohérente et compréhensible du texte de la requête elle-même (voir ordonnance du 11 mars 2021, Techniplan/Commission, T-426/20, non publiée, EU:T:2021:129, point 19 et jurisprudence citée).

21 Pour satisfaire à ces exigences, une requête visant la réparation de dommages prétendument causés par une institution de l’Union européenne doit contenir les éléments qui permettent d’identifier le comportement que la partie requérante reproche à l’institution, les raisons pour lesquelles elle estime qu’un lien de causalité existe entre le comportement et le préjudice qu’elle prétend avoir subi ainsi que le caractère et l’étendue de ce préjudice (voir arrêt du 20 juillet 2017, ADR Center/Commission, T-644/14, EU:T:2017:533, point 66 et jurisprudence citée).

22 En l’espèce, le requérant recherche l’engagement de la responsabilité non contractuelle d’Eurojust sur le fondement des articles 268 et 340 TFUE, lus en combinaison avec l’article 46, paragraphe 1, du règlement (UE) 2018/1727 du Parlement européen et du Conseil, du 14 novembre 2018, relatif à Eurojust et remplaçant et abrogeant la décision 2002/187/JAI du Conseil (JO 2018, L 295, p. 138), aux termes duquel Eurojust peut être tenue responsable des dommages causés à une personne du fait d’un traitement de données non autorisé ou incorrect « dont [elle] est l’auteur[e] ».

23 Il ressort du libellé clair et précis de l’article 46, paragraphe 1, du règlement 2018/1727 que, contrairement à ce que soutient le requérant, Eurojust peut voir sa responsabilité non contractuelle engagée uniquement pour les traitements de données à caractère personnel dont elle est l’auteure. Par cette disposition, le législateur de l’Union a exclu la possibilité d’engager la responsabilité d’Eurojust du fait des États membres ou du fait d’Europol, contrairement à ce qu’il a prévu s’agissant de cette dernière à l’article 50, paragraphe 1, du règlement (UE) 2016/794 du Parlement européen et du Conseil, du 11 mai 2016, relatif à Europol et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO 2016, L 135, p. 53).

24 Dans ce contexte, il y a lieu de relever que les éléments essentiels de fait permettant d’identifier les opérations de traitement des données à caractère personnel du requérant auxquelles Eurojust se serait livrée ne ressortent aucunement du texte de la requête elle-même, de sorte que le recours ne répond pas aux exigences rappelées aux points 20 et 21 ci-dessus.

25 Tout d’abord, le requérant s’est, en substance, borné à affirmer qu’Eurojust, en tant que participante à l’ECE, était étroitement associée aux opérations de collecte et d’analyse des données issues du serveur « EncroChat », car elle aurait organisé plusieurs réunions de coordination entre les parties à l’ECE.

26 Cependant, le simple fait qu’Eurojust ait organisé des réunions de coordination entre les parties à l’ECE ne permet pas d’inférer qu’elle a collecté, reçu, stocké, transmis ou analysé des données à caractère personnel du requérant et, à l’une de ces occasions, effectué un traitement non autorisé ou incorrect de ces données à caractère personnel au sens de l’article 46, paragraphe 1, du règlement 2018/1727.

27 Ensuite, le requérant n’a pas répondu à l’argumentation d’Eurojust qui, ainsi que cela ressort du point 18 ci-dessus, conteste explicitement avoir traité ses données à caractère personnel.

28 Au contraire, au point 21 de la réplique, le requérant a affirmé que « le fait qu’Eurojust et Europol ont été impliquées dans le traitement des données n’est pas spécialement contesté, de sorte que ce point ne sera pas examiné exhaustivement (à ce stade) », ce qui procède d’une lecture manifestement erronée du mémoire en défense d’Eurojust.

29 Enfin, le requérant n’a pas non plus pris position sur l’argumentation d’Eurojust qui a indiqué que les seules opérations de traitement de données auxquelles elle s’était livrée en lien avec les enquêtes relatives au serveur « EncroChat » concernaient certains utilisateurs de ce service de communication chiffrée, à savoir ceux pour lesquels une demande d’entraide judiciaire était nécessaire pour permettre aux autorités nationales des États ne faisant pas partie de l’ECE de recevoir les données du serveur « EncroChat » collectées par les autorités françaises.

30 Or, cette argumentation d’Eurojust est corroborée par le libellé de l’article 9, paragraphe 1, de l’accord ECE produit par le requérant, en vertu duquel les autorités néerlandaises pouvaient directement avoir accès aux données à caractère personnel collectées par les autorités françaises, y compris, le cas échéant, celles du requérant, sans présenter une demande d’entraide judiciaire à Eurojust. De plus, le requérant n’a pas allégué ni a fortiori démontré que les autorités néerlandaises avaient transmis à Eurojust une demande d’entraide judiciaire le concernant afin d’accéder à ses données à caractère personnel collectées par les autorités françaises.

31 Au vu de ce qui précède, il doit être considéré que le requérant n’a pas fourni les éléments essentiels de fait permettant d’identifier le comportement d’Eurojust susceptible d’engager sa responsabilité non contractuelle conformément aux articles 268 et 340 TFUE, lus en combinaison avec l’article 46, paragraphe 1, du règlement 2018/1727.

32 Par conséquent, le recours doit être rejeté comme étant manifestement irrecevable en tant qu’il est dirigé contre Eurojust.

Sur le recours en tant qu’il est dirigé contre Europol

Sur la recevabilité du recours en tant qu’il est dirigé contre Europol

33 Au soutien de sa fin de non-recevoir, Europol fait valoir que le requérant n’a fourni aucune explication et encore moins d’éléments de preuve concernant l’existence ou l’étendue du préjudice moral allégué, le comportement prétendument illicite qui lui est reproché et le lien de causalité entre ce prétendu comportement et ce préjudice allégué.

34 Le requérant conteste cette argumentation.

35 En l’espèce, même si la requête n’est pas structurée autour des trois conditions cumulatives auxquelles est subordonné l’engagement de la responsabilité non contractuelle de l’Union, elle contient les éléments qui permettent d’identifier le comportement reproché à Europol et aux États membres intervenus dans le cadre d’une coopération avec elle, la nature et le caractère du préjudice allégué ainsi que les raisons pour lesquelles le requérant estime qu’un lien de causalité existe entre ce comportement et ce préjudice (voir points 15 à 17 ci-dessus).

36 Ces indications, bien que sommaires en ce qui concerne notamment le préjudice moral allégué, peuvent être regardées comme étant suffisantes pour satisfaire aux exigences rappelées aux points 20 et 21 ci-dessus.

37 Quant à la circonstance mise en avant par Europol selon laquelle le requérant n’aurait produit aucune preuve concluante de l’étendue ou de l’existence du préjudice moral qu’il allègue, elle relève de l’appréciation du bien-fondé du recours et non de sa recevabilité (voir, en ce sens, arrêt du 2 juillet 2003, Hameico Stuttgart e.a./Conseil et Commission, T-99/98, EU:T:2003:181, point 30).

38 La fin de non-recevoir soulevée par Europol doit, par conséquent, être rejetée.

Sur le bien-fondé du recours en tant qu’il est dirigé contre Europol

39 Le requérant reproche, en substance, aux autorités françaises et néerlandaises ainsi qu’à Europol d’avoir réalisé des opérations de traitement illicite de ses données à caractère personnel, ce qui lui aurait causé un préjudice moral qu’il évalue à hauteur d’un montant de 10 000 euros.

40 Europol conteste cette argumentation.

41 Conformément aux conditions découlant de l’article 340 TFUE, auquel l’article 50, paragraphe 1, du règlement 2016/794 fait référence, dans le cas où la personne lésée introduit un recours contre Europol, la responsabilité non contractuelle de l’Union suppose la réunion d’un ensemble de conditions, à savoir l’illégalité du comportement reproché à cette agence, la réalité du préjudice et l’existence d’un lien de causalité entre ce comportement et le préjudice invoqué (voir, en ce sens, arrêt du 5 mars 2024, Kočner/Europol, C-755/21 P, EU:C:2024:202, point 73 et jurisprudence citée).

42 En l’occurrence, il convient d’examiner d’abord la condition relative à la réalité du préjudice moral allégué.

43 À cet égard, selon la jurisprudence, en toute circonstance, il incombe à la partie mettant en cause la responsabilité non contractuelle de l’Union d’apporter des preuves concluantes tant de l’existence que de l’étendue du préjudice qu’elle invoque (voir arrêt du 30 mai 2017, Safa Nicu Sepahan/Conseil, C-45/15 P, EU:C:2017:402, point 62 et jurisprudence citée).

44 Plus particulièrement, il appartient à la partie requérante de prouver que le préjudice dont elle demande réparation dans le cadre d’un recours en responsabilité non contractuelle de l’Union l’atteint personnellement (voir, en ce sens, ordonnance du 3 septembre 2021, Löning/Commission, C-176/21 P, non publiée, EU:C:2021:697, point 19) et qu’il est réel et certain (voir, en ce sens, arrêt du 16 juillet 2009, SELEX Sistemi Integrati/Commission, C-481/07 P, non publié, EU:C:2009:461, point 36 et jurisprudence citée).

45 Il en découle que la condition relative à la réalité du préjudice subi ne saurait être regardée comme étant remplie par l’invocation des dommages subis par d’autres utilisateurs du serveur « EncroChat » du fait des opérations de traitement de données dénoncées dans le présent recours.

46 En l’espèce, il doit être relevé d’emblée que, d’une part, le requérant se borne à alléguer, aux points 2, 3, 32 et 92 de la requête, qu’il a subi un préjudice moral du fait d’actes commis notamment par Europol et, d’autre part, les quatre chefs de préjudice moral visés dans le petitum de la requête ne sont étayés par aucune preuve concluante.

47 Or, de simples allégations non étayées ne répondent pas aux conditions fixées par la jurisprudence rappelée aux points 43 et 44 ci-dessus pour que puisse être retenue la responsabilité non contractuelle d’Europol dans les conditions prévues à l’article 50, paragraphe 1, du règlement 2016/794.

48 Premièrement, en ce qui concerne la détention provisoire du requérant, évoquée uniquement dans le petitum de la requête, celui-ci n’a fourni aucune preuve du fait qu’il avait été placé en détention.

49 Deuxièmement, en ce qui concerne la prétendue publicité dont son affaire aurait fait l’objet, également mentionnée uniquement dans le petitum de la requête, le requérant n’a fourni aucun élément de preuve de nature à établir l’existence d’une procédure pénale à son égard ni aucun document permettant d’apprécier si son affaire a fait l’objet d’une quelconque publicité et a fortiori d’une publicité indue.

50 Troisièmement, en ce qui concerne le préjudice moral qui résulterait d’un affaiblissement de sa position de défense, le requérant n’a produit aucun élément de preuve de nature à étayer les difficultés qu’il aurait rencontrées pour assurer sa défense dans le cadre de la procédure prétendument ouverte contre lui. En outre, il n’a pas non plus fourni de preuve de nature à démontrer que les accusations formulées dans le cadre de cette prétendue procédure se fonderaient sur ses données à caractère personnel collectées sur le serveur « EncroChat ».

51 Quatrièmement, en ce qui concerne le préjudice moral qui résulterait du fait que ses données à caractère personnel « sont tombées entre de mauvaises mains » ou « pourraient tomber entre de mauvaises mains », il convient d’observer ce qui suit.

52 D’une part, l’exigence rappelée au point 44 ci-dessus de prouver un préjudice réel et certain s’oppose à ce qu’Europol puisse être condamnée à réparer le préjudice découlant du fait que les données à caractère personnel du requérant « pourraient tomber entre de mauvaises mains », puisqu’il s’agit d’un préjudice futur et purement hypothétique insusceptible de donner lieu à réparation.

53 La condition relative à l’existence d’un préjudice réel et certain peut, certes, être considérée comme étant remplie lorsque le préjudice est imminent et prévisible avec une certitude suffisante, même s’il ne peut pas encore être chiffré avec précision (voir, en ce sens, ordonnance du 19 mai 2008, Transports Schiocchet Excursions/Commission, T-220/07, non publiée, EU:T:2008:156, point 33 et jurisprudence citée).

54 Néanmoins, en l’occurrence, le requérant n’allègue ni a fortiori ne démontre que le préjudice résultant du fait que ses données à caractère personnel « pourraient tomber entre de mauvaises mains » était imminent et prévisible avec une certitude suffisante.

55 D’autre part, le requérant n’a fourni aucun élément de nature à prouver qu’il aurait subi un préjudice moral résultant du fait que ses données à caractère personnel, qu’il a d’ailleurs omis de produire dans la présente procédure, étaient « tombées entre de mauvaises mains ».

56 Certes, parmi les pièces versées au dossier, le requérant a produit plusieurs annexes démontrant l’existence de mesures d’enquête émanant de différentes autorités nationales à propos de services de communication et de plateformes en ligne suspectés d’être ou d’avoir été utilisés par des réseaux criminels.

57 Toutefois, le requérant n’a pas établi de lien entre les annexes produites et le préjudice moral allégué. Or, il n’appartient pas au Tribunal de compléter l’argumentation développée par le requérant dans la requête, en recherchant et en identifiant, dans les annexes de celle-ci, des éléments de preuve susceptibles d’étayer l’existence et l’étendue du préjudice moral qu’il prétend avoir subi (voir, en ce sens, arrêt du 13 février 2025, Commission e.a./Carpatair, C-244/23 P à C-246/23 P, EU:C:2025:87, point 77).

58 Au demeurant, ces différentes annexes ne sont manifestement pas toutes de nature à démontrer l’existence et l’étendue du préjudice moral allégué en l’espèce. Il peut notamment être constaté que l’annexe A.11 de la requête concerne des utilisateurs d’une plateforme en ligne dénommée « WallStreet Market », dont le requérant n’a pas expliqué le lien avec le service de communication chiffrée « EncroChat ». De même, l’annexe A.12 de la requête concerne d’autres utilisateurs du service « EncroChat », ayant d’autres identifiants que celui que le requérant prétend avoir utilisé.

59 Par ailleurs, le requérant ne saurait utilement se prévaloir de la circonstance qu’il serait dans l’impossibilité d’apporter des preuves de ses allégations, car l’ensemble des données collectées sur le serveur « EncroChat » ne lui aurait pas été communiqué.

60 En effet, cette circonstance, à la supposer établie, n’est pas de nature à exonérer le requérant de son obligation d’apporter dans la requête à tout le moins un commencement de preuve de l’existence et de l’étendue du préjudice moral qu’il invoque.

61 En outre, il ressort du point 49 de la réplique que le requérant possède un « rapport » contenant les données à caractère personnel à partir desquelles il aurait été identifié comme étant l’un des utilisateurs du service de communication chiffrée « EncroChat », mais qu’il n’entend pas produire ce rapport dans la présente procédure pour des raisons de « protection de [sa] vie privée ».

62 À cet égard, d’une part, il doit être rappelé que, selon l’article 76, sous f), du règlement de procédure, la requête doit contenir les preuves et offres de preuve, s’il y a lieu. D’autre part, aux termes de l’article 85, paragraphes 1 et 2, du règlement de procédure, les preuves et les offres de preuve sont présentées dans le cadre du premier échange de mémoires et les parties principales peuvent encore produire des preuves ou faire des offres de preuve dans la réplique et la duplique à l’appui de leur argumentation, à condition que le retard dans la présentation de celles-ci soit justifié.

63 Il découle de l’article 85, paragraphes 1 et 2, du règlement de procédure qu’il n’appartient pas au Tribunal de demander la production de pièces ou de procéder à une instruction d’office du dossier afin de suppléer les carences des parties en matière d’administration de la preuve (voir, en ce sens, arrêt du 2 juillet 2003, Hameico Stuttgart e.a./Conseil et Commission, T-99/98, EU:T:2003:181, point 74 et jurisprudence citée).

64 En outre, à supposer que le point 49 de la réplique puisse être interprété comme une offre de preuve, le requérant n’a pas justifié le retard dans la présentation de cette offre, de sorte que celle-ci est tardive et, donc, irrecevable.

65 En tout état de cause, étant donné que le requérant reproche à Europol d’avoir procédé à des opérations de traitement illicite de ses données à caractère personnel, il ne saurait être argué que lesdites données présentent un caractère confidentiel à l’égard de cette agence. Partant, rien n’indique que le droit à la protection de la vie privée du requérant faisait obstacle à ce qu’il produise ces données dans la requête, celles-ci n’étant au demeurant pas confidentielles à l’égard du Tribunal.

66 Au vu de ce qui précède, il y a lieu de conclure que le requérant n’a pas satisfait à la charge de la preuve qui lui incombe de prouver l’existence et l’étendue du préjudice moral dont il recherche réparation auprès d’Europol.

67 Certes, même en l’absence d’éléments de preuve de nature à démontrer l’existence et l’étendue d’un préjudice moral, la condition relative à l’existence d’un tel préjudice peut être satisfaite si la partie requérante établit qu’un préjudice moral découlait nécessairement du comportement reproché (arrêt du 12 décembre 2024, DD/FRA, C-130/22 P, EU:C:2024:1018, point 111).

68 En l’espèce, une telle démonstration fait défaut.

69 En effet, le requérant n’a pas produit ses propres données à caractère personnel qui, selon lui, auraient fait l’objet d’un traitement illicite et il n’a fourni aucun élément de nature à établir que ces données avaient été en possession des autorités françaises ou néerlandaises ou encore d’Europol.

70 Or, Europol ne saurait voir sa responsabilité non contractuelle engagée en l’absence d’éléments de preuve permettant au Tribunal d’identifier les données à caractère personnel ayant prétendument fait l’objet d’opérations de traitement illicite et d’évaluer si et dans quelle mesure le préjudice moral allégué découlait nécessairement de ces opérations.

71 Cette conclusion n’est pas infirmée par l’argumentation du requérant tirée de l’arrêt du 5 mars 2024, Kočner/Europol (C-755/21 P, EU:C:2024:202).

72 Aux termes de l’article 50, paragraphe 1, du règlement 2016/794, lu à la lumière du considérant 57 de ce règlement, toute personne physique ayant subi un préjudice du fait d’une opération de traitement de données illicite a le droit d’obtenir réparation du préjudice subi, soit d’Europol conformément à l’article 340 TFUE, soit de l’État membre où le fait préjudiciable s’est produit conformément à son droit national. La personne physique forme un recours contre Europol devant la Cour de justice de l’Union européenne ou contre l’État membre devant une juridiction nationale compétente de cet État membre.

73 Le législateur a établi ce régime de responsabilité solidaire d’Europol et des États membres notamment pour répondre aux difficultés auxquelles peut être exposée une personne physique pour déterminer si le préjudice subi du fait d’un traitement illicite de ses données à caractère personnel est la conséquence d’une action d’Europol ou d’un État membre (voir, en ce sens, arrêt du 5 mars 2024, Kočner/Europol, C-755/21 P, EU:C:2024:202, points 75 et 76).

74 En revanche, l’article 50, paragraphe 1, du règlement 2016/794 ne saurait être lu comme exonérant une personne qui s’estime lésée par un traitement illicite de ses données à caractère personnel des conditions découlant de l’article 340 TFUE, auquel cette disposition se réfère, notamment la condition relative à la réalité du préjudice allégué.

75 Au vu de tout ce qui précède, il y a lieu de conclure que la condition relative à la réalité du préjudice allégué n’est pas remplie.

76 Partant, le recours doit être rejeté comme étant manifestement dépourvu de tout fondement en droit en tant qu’il est dirigé contre Europol, sans qu’il soit besoin de se prononcer sur les autres conditions d’engagement de la responsabilité non contractuelle de l’Union, ces conditions étant cumulatives (voir, en ce sens, arrêt du 30 novembre 2022, KN/Parlement, T-401/21, EU:T:2022:736, point 34 et jurisprudence citée).

77 Il convient, en conséquence, de rejeter le recours dans son intégralité.

Sur les dépens

78 Aux termes de l’article 134, paragraphe 1, du règlement de procédure, toute partie qui succombe est condamnée aux dépens, s’il est conclu en ce sens. Le requérant ayant succombé dans son recours, il y a lieu de le condamner aux dépens, conformément aux conclusions d’Eurojust et d’Europol. Par ailleurs, en application de l’article 138, paragraphe 1, du règlement de procédure, le Royaume d’Espagne et le Royaume des Pays-Bas supporteront leurs propres dépens.

Par ces motifs,

LE TRIBUNAL (cinquième chambre)

ordonne :

1) Le recours est rejeté comme étant manifestement irrecevable en tant qu’il est dirigé contre l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust).

2) Le recours est rejeté comme étant manifestement dépourvu de tout fondement en droit en tant qu’il est dirigé contre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol).

3) CW supportera ses propres dépens ainsi que ceux exposés par Eurojust et Europol.

4) Le Royaume d’Espagne et le Royaume des Pays-Bas supporteront leurs propres dépens.

Fait à Luxembourg, le 26 juin 2025.

* Langue de procédure : le néerlandais.