DOCUMENT DE TRAVAIL

ORDONNANCE DU TRIBUNAL (cinquième chambre)

26 juin 2025(*)

« Responsabilité non contractuelle – Coopération des autorités de police et autres services répressifs des États membres – Prétendus traitements illicites de données à caractère personnel – Méconnaissance des exigences de forme – Article 76, sous d), du règlement de procédure – Absence de préjudice moral subi du fait d’Europol – Recours en partie porté devant une juridiction manifestement incompétente pour en connaître, en partie manifestement irrecevable et en partie manifestement dépourvu de tout fondement en droit »

Dans l’affaire T-484/24,

FF, représenté par M^e J. Reisinger, avocat,

partie requérante,

contre

Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust), représentée par M^es S. van den Brande, S. Raes et P. Van Muylder, avocats,

et

Agence de l’Union européenne pour la coopération des services répressifs (Europol), représentée par M. A. Nunzi, en qualité d’agent, assisté de M^es G. Ziegenhorn, M. Kottmann et T. Shulman, avocats,

parties défenderesses,

soutenues par

Royaume d’Espagne, représenté par M^me A. Gavela Llopis, en qualité d’agent,

et par

Royaume des Pays-Bas, représenté par M^me M. Bulterman et M. J. Langer, en qualité d’agents,

parties intervenantes,

LE TRIBUNAL (cinquième chambre),

composé de MM. J. Svenningsen (rapporteur), président, J. Martín y Pérez de Nanclares et M^me M. Stancu, juges,

greffier : M. V. Di Bucci,

vu la phase écrite de la procédure,

rend la présente

Ordonnance

1 Par son recours, le requérant, FF, demande au Tribunal, d’une part, de déclarer « irrecevable » l’accord portant création d’une équipe commune d’enquête relative au service de communication cryptée « Sky ECC » (ci-après l’« accord ECE ») et, d’autre part, sur le fondement de l’article 268 TFUE, réparation, à hauteur de 30 000 euros, du préjudice moral qu’il estime avoir subi du fait d’actes commis par l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust), par l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et par certains États membres.

Antécédents du litige

2 Selon ses affirmations, le requérant fait l’objet, en Belgique, d’une procédure pénale en raison d’accusations de trafic de stupéfiants qui se fonderaient presque exclusivement sur l’exploitation des données issues de téléphones portables fonctionnant sous la licence « Sky ECC », « ECC » signifiant « Elliptic Curve Cryptography » (cryptographie par courbe elliptique).

3 Ces téléphones permettaient, grâce à un logiciel spécial et à un matériel modifié, d’établir, par l’intermédiaire de serveurs installés à Roubaix (France), une communication chiffrée de bout en bout qui n’était pas susceptible d’être interceptée par des méthodes d’enquête traditionnelles.

4 À la fin des années 2010, des mesures d’enquête engagées par les autorités belges, néerlandaises et françaises ont visé l’« organisation Sky ECC », soupçonnée de commercialiser des produits et des services de communications cryptées visant spécifiquement à faciliter la commission de faits criminels.

5 À la suite de ces mesures d’enquête nationale, le Royaume de Belgique et le Royaume des Pays-Bas ont adopté, à la fin de l’année 2018, des décisions d’enquête européenne conformément à la directive 2014/41/UE du Parlement européen et du Conseil, du 3 avril 2014, concernant la décision d’enquête européenne en matière pénale (JO 2014, L 130, p. 1), demandant à la République française de « créer une image » des serveurs utilisés sous la licence « Sky ECC » et situés à Roubaix. Celle-ci a donné suite à cette demande en procédant à l’interception, à l’enregistrement et à la transcription des communications cryptées entrant et sortant de ces serveurs.

6 Le 13 décembre 2019, les autorités belges, néerlandaises et françaises ont, par l’accord ECE, adopté sur le fondement de l’article 13 de la convention établie par le Conseil conformément à l’article 34 du traité sur l’Union européenne, relative à l’entraide judiciaire en matière pénale entre les États membres de l’Union européenne (JO 2000, C 197, p. 3) et de la décision-cadre du Conseil, du 13 juin 2002, relative aux équipes communes d’enquête (JO 2002, L 162, p. 1), créé une équipe commune d’enquête (ci-après l’« ECE »).

7 L’accord ECE prévoit notamment ce qui suit :

« 2. Missions de l’ECE

« […]

Objectif de l’ECE

La création de l’ECE vise à faciliter les enquêtes en cours en Belgique, en France et aux Pays-Bas sur le(s) fournisseur(s) et les utilisateurs du service de communication Sky ECC et à partager le savoir-faire technique et les ressources.

[…]

L’objectif de l’ECE est l’élaboration, le développement et la mise en œuvre en commun de la technique nécessaire pour décrypter les communications passées et pour démanteler le serveur ; l’identification et la localisation des utilisateurs se mouvant dans et entre les trois pays ; la mise sur pied et la coordination d’une journée ou de journées d’action commune entreprise(s) dans le but d’arrêter et de poursuivre en justice les facilitateurs et les utilisateurs de Sky ECC.

[…]

7. Participants à l’ECE

Les parties à l’ECE conviennent d’associer Eurojust et Europol en tant que participantes à l’ECE. […]

[…]

9.1 Accords sur l’utilisation des données numériques provenant de l’écoute des serveurs

Échange mutuel d’informations

Les parties à l’ECE conviennent de partager, entre elles et avec Europol, dans les meilleurs délais, toutes les données brutes, aux fins d’analyse et d’exploitation ainsi que le résultat de ces analyses et exploitations.

Outre des éléments de preuves contre l’organisation criminelle qui développe et commercialise Sky ECC, les données brutes ou analysées peuvent également contenir des informations qui peuvent être pertinentes pour des enquêtes pénales contre d’autres auteurs ou groupes d’auteurs ou des infractions dans le cadre desquelles des moyens de communication Sky ECC ont été utilisés.

Europol fournira une assistance pour l’analyse des données numériques et sera notamment chargée de diviser les données brutes et les résultats des analyses en « paquets nationaux » sur la base de la localisation des moyens de communication utilisés.

[…] »

8 L’ECE a conduit au partage entre Europol et les trois États membres concernés des données brutes interceptées, qui devaient ensuite être analysées, ainsi que des résultats de cette analyse.

9 Dans ce cadre, Europol a stocké les données dans son système informatique, procédé à des recoupements, produit des rapports de renseignements, généré des graphiques de visualisation des données et interprété des ensembles de données multilingues.

10 Pour sa part, Eurojust a organisé, le 25 avril 2019, le 7 septembre 2020 et le 11 février 2021, des réunions de coordination des enquêtes relatives aux activités de « Sky ECC » avec la participation des autorités belges, françaises et néerlandaises ainsi que celle d’Europol, à l’occasion desquelles, d’une part, elle a fourni un soutien et des conseils quant aux possibilités de coopération judiciaire et, d’autre part, l’évolution des enquêtes de chacune de ces autorités a été évoquée.

Conclusions des parties

11 Le requérant conclut à ce qu’il plaise au Tribunal :

– déclarer « irrecevable » l’accord ECE ;

– condamner Eurojust et Europol à lui verser, d’une part, un montant de 30 000 euros en réparation du préjudice moral subi résultant de « l’incapacité pour [lui] de réfuter les allégations formulées à son égard ainsi que de la détention (provisoire) (injuste) (en résultant) », de la divulgation au public, de la « situation compromise de la partie défenderesse », de la charge mentale supplémentaire et des données qui « sont tombées entre de mauvaises mains » ou « pourraient tomber entre de mauvaises mains » ;

– condamner Eurojust et Europol aux dépens.

12 Eurojust et Europol concluent à ce qu’il plaise au Tribunal :

– rejeter le recours comme étant manifestement irrecevable et, en tout état de cause, comme étant manifestement dépourvu de tout fondement en droit ou non fondé ;

– condamner le requérant aux dépens.

13 Le Royaume d’Espagne conclut à ce qu’il plaise au Tribunal de rejeter le recours comme étant irrecevable ou, à titre subsidiaire, comme étant non fondé et de condamner le requérant aux dépens.

14 Le Royaume des Pays-Bas conclut à ce qu’il plaise au Tribunal de rejeter le recours et de condamner le requérant aux dépens.

En droit

15 Aux termes de l’article 126 du règlement de procédure du Tribunal, lorsque le Tribunal est manifestement incompétent pour connaître d’un recours ou lorsque celui-ci est manifestement irrecevable ou manifestement dépourvu de tout fondement en droit, il peut, sur proposition du juge rapporteur, à tout moment décider de statuer par voie d’ordonnance motivée, sans poursuivre la procédure.

16 En l’espèce, le Tribunal, s’estimant suffisamment éclairé par les pièces du dossier, décide de statuer sans poursuivre la procédure.

Sur le premier chef de conclusions, tendant à la constatation de l’« irrecevabilité » de l’accord ECE

17 Eurojust et Europol soutiennent que le Tribunal n’est pas compétent pour connaître du premier chef de conclusions aux motifs que l’accord ECE n’est pas un acte de l’Union européenne et que le requérant tend à obtenir un jugement déclaratoire.

18 Le requérant ne prend pas position sur cette fin de non-recevoir dans la réplique.

19 Il ressort du premier chef de conclusions de la requête, lu conjointement avec le point 68 de celle-ci, que le requérant recherche la constatation de l’« irrecevabilité » de l’accord ECE sur le fondement de l’article 277 TFUE.

20 À cet égard, en premier lieu, force est de constater que l’article 277 TFUE, pas plus que toute autre disposition du traité FUE, ne permet au juge de l’Union de déclarer un acte « irrecevable ».

21 En second lieu, et à supposer que le requérant ait entendu demander au Tribunal de déclarer l’accord ECE inapplicable, il y a lieu de relever que, dans le cadre d’une exception d’illégalité soulevée sur le fondement de l’article 277 TFUE, tout comme dans le cadre d’un recours introduit sur le fondement de l’article 263 TFUE, le juge de l’Union n’est pas compétent pour statuer sur la légalité d’un acte pris par une autorité nationale (voir, en ce sens, arrêt du 3 décembre 1992, Oleificio Borelli/Commission, C-97/91, EU:C:1992:491, point 9), quand bien même cet acte national s’intègrerait dans un processus de décision de l’Union (arrêt du 29 janvier 2020, GAEC Jeanningros, C-785/18, EU:C:2020:46, point 27).

22 Or, en l’occurrence, l’accord ECE a été conclu par les seules autorités belges, françaises et néerlandaises.

23 Comme le relève à bon droit Eurojust, le fait qu’elle-même et Europol aient été associées à l’accord ECE en tant que « participantes » au sens du point 7 de cet accord ne saurait conférer à l’une ou à l’autre la qualité de partie audit accord ni conférer à ce même accord la nature d’acte adopté par une institution, un organe ou un organisme de l’Union.

24 Eu égard à ce qui précède, le premier chef de conclusions doit être rejeté en raison de l’incompétence manifeste du Tribunal pour en connaître.

Sur le second chef de conclusions, tendant à la réparation du préjudice moral prétendument subi

25 Il y a lieu de comprendre le second chef de conclusions du requérant en ce sens que, selon lui, Eurojust ou Europol et des États membres ont réalisé des opérations de traitement illicite de ses données à caractère personnel, ce qui lui aurait causé un préjudice moral qu’il évalue à 30 000 euros.

26 En substance, le requérant soutient, tout d’abord, que les autorités françaises ont illégalement collecté les données à caractère personnel des utilisateurs du service de communication « Sky ECC » sur des serveurs situés à Roubaix, ensuite, que ces données ont été irrégulièrement transmises à Eurojust ou Europol, notamment à des fins de stockage et d’analyse, et, enfin, que lesdites données ont illégalement servi d’éléments de preuve dans le cadre d’une procédure pénale prétendument ouverte contre lui par les autorités néerlandaises.

27 C’est dans ce contexte que, dans le petitum de la requête, le requérant demande la réparation du préjudice moral résultant, premièrement, de l’incapacité pour lui de réfuter les allégations formulées à son égard ainsi que de « sa détention (provisoire) (injuste) (en résultant) », deuxièmement, de la divulgation au public, troisièmement, de « la situation compromise de la partie défenderesse », quatrièmement, de la charge mentale supplémentaire et, cinquièmement, des données qui « sont tombées entre de mauvaises mains » ou « pourraient tomber entre de mauvaises mains ».

Sur la recevabilité du second chef de conclusions en tant qu’il concerne Eurojust

28 Eurojust conteste la recevabilité du second chef de conclusions en tant qu’il est dirigé contre elle. À l’appui de sa fin de non-recevoir, elle fait valoir que le requérant n’a pas démontré que les conditions de recevabilité de son second chef de conclusions étaient satisfaites. En particulier, le requérant n’aurait pas identifié les comportements prétendument illicites qui sont reprochés à Eurojust.

29 À cet égard, Eurojust conteste avoir contribué à l’acquisition de l’ensemble des données du service de communication « Sky ECC », avoir fait partie des destinataires de ces données, avoir participé à leur décryptage, y avoir eu accès ou avoir participé à leur stockage ou à leur traitement ultérieur. En outre, elle conteste avoir réalisé une quelconque opération de traitement des données à caractère personnel du requérant, dans la mesure où elle n’a apporté aucun soutien aux autorités belges dans le cadre de la procédure pénale prétendument diligentée contre celui-ci ni reçu, du Royaume de Belgique ou d’aucun autre État membre, d’informations concernant les éventuelles enquêtes ou procédures dirigées contre lui.

30 Le requérant soutient, en substance, qu’Eurojust était impliquée dans les mesures d’enquête contre les utilisateurs du service de communication « Sky ECC », car elle a notamment organisé des réunions de coordination entre les membres de l’ECE.

31 En vertu de l’article 76, sous d), du règlement de procédure, la requête doit contenir l’objet du litige, les moyens et arguments invoqués ainsi qu’un exposé sommaire desdits moyens. Ces éléments doivent être suffisamment clairs et précis pour permettre à la partie défenderesse de préparer sa défense et au Tribunal de statuer sur le recours, le cas échéant, sans autres informations. Afin de garantir la sécurité juridique et une bonne administration de la justice, il est nécessaire, pour qu’un recours soit recevable, que les éléments essentiels de fait et de droit sur lesquels celui-ci se fonde ressortent d’une façon cohérente et compréhensible du texte de la requête elle-même (voir ordonnance du 11 mars 2021, Techniplan/Commission, T-426/20, non publiée, EU:T:2021:129, point 19 et jurisprudence citée).

32 Pour satisfaire à ces exigences, une requête visant la réparation de dommages prétendument causés par une institution de l’Union doit contenir les éléments qui permettent d’identifier le comportement que la partie requérante reproche à l’institution, les raisons pour lesquelles elle estime qu’un lien de causalité existe entre le comportement et le préjudice qu’elle prétend avoir subi ainsi que le caractère et l’étendue de ce préjudice (voir arrêt du 20 juillet 2017, ADR Center/Commission, T-644/14, EU:T:2017:533, point 66 et jurisprudence citée).

33 En l’espèce, le requérant recherche l’engagement de la responsabilité non contractuelle d’Eurojust sur le fondement des articles 268 et 340 TFUE, lus en combinaison avec l’article 46, paragraphe 1, du règlement (UE) 2018/1727 du Parlement européen et du Conseil, du 14 novembre 2018, relatif à Eurojust et remplaçant et abrogeant la décision 2002/187/JAI du Conseil (JO 2018, L 295, p. 138), aux termes duquel Eurojust peut être tenue responsable des dommages causés à une personne du fait d’un traitement de données non autorisé ou incorrect « dont [elle] est l’auteur[e] ».

34 Il ressort du libellé clair et précis de l’article 46, paragraphe 1, du règlement 2018/1727 que, contrairement à ce que soutient le requérant, Eurojust peut voir sa responsabilité non contractuelle engagée uniquement pour les traitements de données à caractère personnel dont elle est l’auteure. Par cette disposition, le législateur de l’Union a exclu la possibilité d’engager la responsabilité d’Eurojust du fait des États membres ou du fait d’Europol, contrairement à ce qu’il a prévu s’agissant d’Europol à l’article 50, paragraphe 1, du règlement (UE) 2016/794 du Parlement européen et du Conseil, du 11 mai 2016, relatif à Europol et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO 2016, L 135, p. 53).

35 Dans ce contexte, il y a lieu de relever que les éléments essentiels de fait permettant d’identifier les opérations de traitement des données à caractère personnel du requérant auxquelles Eurojust se serait livrée ne ressortent aucunement du texte de la requête elle-même, de sorte que le recours ne répond pas aux exigences rappelées aux points 31 et 32 ci-dessus.

36 Tout d’abord, le requérant s’est, en substance, borné à affirmer qu’Eurojust, en tant que participante à l’ECE, était étroitement associée aux opérations de collecte et d’analyse des données issues des serveurs « Sky ECC », car elle aurait organisé plusieurs réunions de coordination entre les parties à l’ECE.

37 Cependant, le simple fait qu’Eurojust ait organisé des réunions de coordination entre les parties à l’ECE ne permet pas d’inférer qu’elle a collecté, reçu, stocké, transmis ou analysé des données à caractère personnel du requérant et, à l’une de ces occasions, effectué un traitement non autorisé ou incorrect de ces données à caractère personnel au sens de l’article 46, paragraphe 1, du règlement 2018/1727.

38 Ensuite, le requérant s’est limité à répondre à l’argumentation d’Eurojust, qui contestait explicitement avoir traité ses données à caractère personnel, en indiquant, notamment aux points 3, 29 ou 32 de la réplique, qu’il avait fourni, dans la requête, un nombre substantiel de documents soutenant à suffisance ses allégations.

39 S’il est certes vrai que le requérant a annexé à la requête un nombre considérable de documents, il n’a pas identifié ceux qui établiraient qu’Eurojust a effectivement traité ses données à caractère personnel, à l’occasion des réunions de coordination qu’elle admet avoir organisées ou à toute autre occasion.

40 Or, il n’appartient pas au Tribunal de compléter l’argumentation développée par le requérant dans la requête, en recherchant et, s’il y a lieu, en identifiant, dans l’une ou l’autre des 26 annexes de celle-ci, des éléments de preuve susceptibles d’étayer ses allégations (voir, en ce sens, arrêt du 13 février 2025, Commission e.a./Carpatair, C-244/23 P à C-246/23 P, EU:C:2025:87, point 77).

41 Dans le cadre de la réplique, le requérant n’a pas non plus procédé à une identification plus précise des documents pertinents joints à la requête de nature à soutenir son allégation ni produit des preuves supplémentaires à cet effet, qu’il aurait pourtant été en droit de produire, sous réserve de respecter l’article 85, paragraphe 2, du règlement de procédure.

42 Pourtant, s’il ressortait du dossier de la procédure pénale belge – dont le requérant allègue faire l’objet et qui aurait, selon lui, impliqué Eurojust –, que cette agence avait effectivement traité ses données à caractère personnel, il lui suffisait de produire, dans la requête, les pièces pertinentes de ce dossier.

43 Enfin, le requérant n’a pas non plus pris position sur l’argumentation d’Eurojust qui a indiqué que les seules opérations de traitement auxquelles elle s’était livrée en lien avec les enquêtes relatives aux serveurs sous licence « Sky ECC » concernaient les utilisateurs de ce service de communication chiffrée pour lesquels une demande d’entraide judiciaire était nécessaire pour permettre aux autorités nationales des États ne faisant pas partie de l’ECE de recevoir les données relatives à ce service collectées par les autorités françaises.

44 Or, cette argumentation d’Eurojust est corroborée par le libellé de l’article 9, paragraphe 1, de l’accord ECE produit par le requérant, en vertu duquel les autorités belges – en tant que partie à l’ECE – pouvaient directement avoir accès aux données à caractère personnel collectées par les autorités françaises, y compris, le cas échéant, à celles du requérant, sans présenter une demande d’entraide judiciaire à Eurojust. De plus, le requérant n’a pas allégué ni a fortiori démontré que les autorités belges avaient transmis à Eurojust une demande d’entraide judiciaire le concernant afin d’accéder à ses données à caractère personnel collectées par les autorités françaises.

45 Au vu de ce qui précède, il doit être considéré que le requérant n’a pas fourni les éléments essentiels de fait permettant d’identifier un comportement d’Eurojust susceptible d’engager sa responsabilité non contractuelle conformément aux articles 268 et 340 TFUE, lus en combinaison avec l’article 46, paragraphe 1, du règlement 2018/1727.

46 Par conséquent, le second chef de conclusions doit être rejeté comme étant manifestement irrecevable en tant qu’il est dirigé contre Eurojust.

Sur le second chef de conclusions en tant qu’il est dirigé contre Europol

– Sur la recevabilité du second chef de conclusions en tant qu’il est dirigé contre Europol

47 Au soutien de sa fin de non-recevoir, Europol fait valoir que le requérant n’a fourni aucune explication et encore moins d’éléments de preuve concernant l’existence ou l’étendue du préjudice moral allégué, le comportement prétendument illicite qui lui est reproché et le lien de causalité entre ce prétendu comportement et ce préjudice allégué.

48 Le requérant conteste cette argumentation.

49 En l’espèce, même si la requête n’est pas structurée autour des trois conditions cumulatives auxquelles est subordonné l’engagement de la responsabilité non contractuelle de l’Union, elle contient les éléments qui permettent d’identifier le comportement reproché à Europol et aux États membres intervenus dans le cadre d’une coopération avec elle, la nature et le caractère du préjudice allégué ainsi que les raisons pour lesquelles le requérant estime qu’un lien de causalité existe entre ce comportement et ce préjudice (voir points 25 à 27 ci-dessus).

50 Ces indications, bien que sommaires en ce qui concerne notamment le préjudice moral allégué, peuvent être regardées comme étant suffisantes pour satisfaire aux exigences rappelées aux points 31 et 32 ci-dessus.

51 Quant à la circonstance mise en avant par Europol selon laquelle le requérant n’aurait produit aucune preuve concluante de l’étendue ou de l’existence du préjudice moral qu’il allègue, elle relève de l’appréciation du bien-fondé du recours et non de sa recevabilité (voir, en ce sens, arrêt du 2 juillet 2003, Hameico Stuttgart e.a./Conseil et Commission, T-99/98, EU:T:2003:181, point 30).

52 La fin de non-recevoir soulevée par Europol doit, par conséquent, être rejetée.

– Sur le bien-fondé du second chef de conclusions en tant qu’il est dirigé contre Europol

53 Le requérant reproche, en substance, aux autorités belges, françaises et néerlandaises ainsi qu’à Europol d’avoir réalisé des opérations de traitement illicite de ses données à caractère personnel, ce qui lui aurait causé un préjudice moral qu’il évalue à hauteur d’un montant de 30 000 euros.

54 Europol conteste cette argumentation.

55 Conformément aux conditions découlant de l’article 340 TFUE, auquel l’article 50, paragraphe 1, du règlement de 2016/794 fait référence, dans le cas où la personne lésée introduit un recours contre Europol, la responsabilité non contractuelle de l’Union suppose la réunion d’un ensemble de conditions, à savoir l’illégalité du comportement reproché à cette agence, la réalité du préjudice et l’existence d’un lien de causalité entre ce comportement et le préjudice invoqué (voir, en ce sens, arrêt du 5 mars 2024, Kočner/Europol, C-755/21 P, EU:C:2024:202, point 73 et jurisprudence citée).

56 En l’occurrence, il convient d’examiner d’abord la condition relative à la réalité du préjudice moral allégué.

57 À cet égard, selon la jurisprudence, en toute circonstance, il incombe à la partie mettant en cause la responsabilité non contractuelle de l’Union d’apporter des preuves concluantes tant de l’existence que de l’étendue du préjudice qu’elle invoque (voir arrêt du 30 mai 2017, Safa Nicu Sepahan/Conseil, C-45/15 P, EU:C:2017:402, point 62 et jurisprudence citée).

58 Plus particulièrement, il appartient à la partie requérante de prouver que le préjudice dont elle demande réparation dans le cadre d’un recours en responsabilité non contractuelle de l’Union l’atteint personnellement (voir, en ce sens, ordonnances du 3 septembre 2021, Löning/Commission, C-176/21 P, non publiée, EU:C:2021:697, point 19, et du 20 juillet 2023, Baldan/Commission, T-276/23, non publiée, EU:T:2023:411, point 11 ; voir également, en ce sens et par analogie, arrêt du 9 novembre 1989, Briantex et Di Domenico/CEE et Commission, 353/88, EU:C:1989:415, point 6), mais est également réel et certain (voir, en ce sens, arrêt du 16 juillet 2009, SELEX Sistemi Integrati/Commission, C-481/07 P, non publié, EU:C:2009:461, point 36 et jurisprudence citée).

59 Il en découle que la condition relative à la réalité du préjudice subi ne saurait être regardée comme étant remplie par l’invocation des dommages subis par d’autres utilisateurs du service de communication « Sky ECC » du fait des opérations de traitement de données dénoncées dans le présent recours.

60 Pour ce qui est des dommages personnels dont le requérant se prévaut, celui-ci se borne à alléguer, aux points 3, 4 et 59 de la requête, qu’il a subi un préjudice moral du fait d’actes commis notamment par Europol, sans étayer par aucune preuve concluante les cinq chefs de préjudice moral visés dans le petitum de la requête.

61 Or, de simples allégations non étayées ne répondent pas aux conditions fixées par la jurisprudence rappelée aux points 57 et 58 ci-dessus pour que puisse être retenue la responsabilité non contractuelle d’Europol dans les conditions prévues à l’article 50, paragraphe 1, du règlement 2016/794.

62 Premièrement, en ce qui concerne la détention provisoire du requérant, évoquée uniquement sur la première page de la requête ainsi que dans son petitum, celui-ci ne fournit aucune preuve du fait qu’il a été placé en détention. De surcroît, à supposer même que tel soit le cas, il ne fournit aucun élément à même d’établir dans quel lieu et depuis combien de temps il serait détenu ou encore si cette détention a effectivement été ordonnée dans le cadre de l’« affaire Sky ECC ».

63 Deuxièmement, en ce qui concerne la prétendue publicité dont son affaire aurait fait l’objet, mentionnée uniquement dans le petitum de la requête, le requérant n’a fourni aucun élément de preuve permettant d’apprécier si son affaire a fait l’objet d’une quelconque publicité et a fortiori d’une publicité indue.

64 Troisièmement, en ce qui concerne le préjudice moral qui résulterait de l’impossibilité qui lui aurait été faite de réfuter les allégations formulées contre lui ou d’un affaiblissement de sa position de défense, le requérant n’a produit aucun élément de preuve de nature à étayer les difficultés qu’il aurait rencontrées pour assurer sa défense dans le cadre de la procédure prétendument ouverte contre lui. En outre, il n’a pas non plus fourni de preuve de nature à démontrer que les accusations formulées dans le cadre de cette prétendue procédure se fonderaient sur ses données à caractère personnel collectées sur les serveurs « Sky ECC ».

65 Quatrièmement, en ce qui concerne le préjudice moral qui résulterait du fait que ses données à caractère personnel « sont tombées entre de mauvaises mains » ou « pourraient tomber entre de mauvaises mains » – auquel doit être assimilé, à défaut de précisions supplémentaires, la « charge mentale supplémentaire » du requérant –, mentionnée uniquement dans le petitum de la requête, il convient d’observer ce qui suit.

66 D’une part, l’exigence rappelée au point 57 ci-dessus de prouver un préjudice réel et certain s’oppose à ce qu’Europol puisse être condamnée à réparer le préjudice découlant du fait que les données à caractère personnel du requérant « pourraient tomber entre de mauvaises mains », puisqu’il s’agit d’un préjudice futur et purement hypothétique insusceptible de donner lieu à réparation.

67 La condition relative à l’existence d’un préjudice réel et certain peut, certes, être considérée comme étant remplie lorsque le préjudice est imminent et prévisible avec une certitude suffisante, même s’il ne peut pas encore être chiffré avec précision (voir, en ce sens, ordonnance du 19 mai 2008, Transports Schiocchet Excursions/Commission, T-220/07, non publiée, EU:T:2008:156, point 33 et jurisprudence citée).

68 Néanmoins, en l’occurrence, en ce que le requérant se prévaut du fait que ses données à caractère personnel « pourraient tomber entre de mauvaises mains », il n’allègue ni a fortiori ne démontre que ce préjudice est imminent et prévisible avec une certitude suffisante.

69 Par ailleurs, le requérant n’a fourni aucun élément de nature à prouver qu’il aurait subi un préjudice moral résultant du fait que ses données à caractère personnel, qu’il a d’ailleurs omis de produire dans la présente procédure, étaient « tombées entre de mauvaises mains ».

70 Certes, le requérant a produit plusieurs annexes, dont certaines d’entre elles démontrent l’existence de mesures d’enquête émanant de différentes autorités nationales à propos de services de communication et de plateformes en ligne suspectés d’être ou d’avoir été utilisés par des réseaux criminels.

71 Toutefois, le requérant n’a pas établi de lien entre les annexes produites et le préjudice moral allégué. Or, comme cela a déjà été rappelé au point 40 ci-dessus, il n’appartient pas au Tribunal de compléter l’argumentation développée par le requérant dans la requête, en recherchant et en identifiant, dans les annexes de celle-ci, des éléments de preuve susceptibles d’étayer l’existence et l’étendue du préjudice moral qu’il prétend avoir subi.

72 À cet égard, le Tribunal observe qu’il ressort d’une note en bas de page sous le point 75 de la réplique que le requérant possède un « rapport officiel » contenant les données à caractère personnel le concernant et qui auraient été interceptées, puis traitées par Europol ainsi que par les États membres concernés, mais qu’il n’entend pas produire ce rapport dans la présente procédure « pour des raisons qui seront spécifiées ultérieurement, incluant la protection de [sa] vie privée », raisons qu’il n’expose toutefois pas par la suite.

73 À cet égard, d’une part, il doit être rappelé que, selon l’article 76, sous f), du règlement de procédure, la requête contient les preuves et offres de preuve, s’il y a lieu. D’autre part, aux termes de l’article 85, paragraphes 1 et 2, du règlement de procédure, les preuves et les offres de preuve sont présentées dans le cadre du premier échange de mémoires et les parties principales peuvent encore produire des preuves ou faire des offres de preuve dans la réplique et la duplique à l’appui de leur argumentation, à condition que le retard dans la présentation de celles-ci soit justifié.

74 Il découle de l’article 85, paragraphes 1 et 2, du règlement de procédure qu’il n’appartient pas au Tribunal de demander la production de pièces ou de procéder à une instruction d’office du dossier afin de suppléer les carences des parties en matière d’administration de la preuve (voir, en ce sens, arrêt du 2 juillet 2003, Hameico Stuttgart e.a./Conseil et Commission, T-99/98, EU:T:2003:181, point 74 et jurisprudence citée).

75 Or, à supposer que la note en bas de page visée au point 72 ci-dessus puisse être interprétée comme une offre de preuve, le requérant n’a pas justifié le retard dans la présentation de cette offre de preuve formulée dans la réplique, de sorte que celle-ci est tardive et, donc, irrecevable.

76 En tout état de cause, étant donné que le requérant reproche à Europol d’avoir procédé à des opérations de traitement illicite de ses données à caractère personnel, il ne saurait être argué que lesdites données présentent un caractère confidentiel à l’égard de celle-ci. Partant, rien n’indique que le droit à la protection de la vie privée du requérant faisait obstacle à ce qu’il produise ces données dans la requête, celles-ci n’étant au demeurant pas confidentielles à l’égard du Tribunal.

77 Au vu de ce qui précède, il y a lieu de conclure que le requérant n’a pas satisfait à la charge de la preuve qui lui incombe de prouver l’existence et l’étendue du préjudice moral dont il recherche réparation auprès d’Europol.

78 Certes, même en l’absence d’éléments de preuve de nature à démontrer l’existence et l’étendue d’un préjudice moral, la condition relative à l’existence d’un tel préjudice peut être satisfaite si la partie requérante établit qu’un préjudice moral découlait nécessairement du comportement reproché (arrêt du 12 décembre 2024, DD/FRA, C-130/22 P, EU:C:2024:1018, point 111). Il incombe, toutefois, à la partie requérante, d’établir, à tout le moins, que le comportement reproché à l’institution concernée était de nature à lui causer un tel préjudice (arrêt du 16 juillet 2009, SELEX Sistemi Integrati/Commission, C-481/07 P, non publié, EU:C:2009:461, point 38).

79 En l’espèce, une telle démonstration fait défaut.

80 En effet, le requérant n’a pas produit ses propres données à caractère personnel qui, selon lui, auraient fait l’objet d’un traitement illicite et il n’a fourni aucun élément de nature à établir que ces données avaient été en possession des autorités belges, françaises ou néerlandaises ou encore d’Europol.

81 Or, Europol ne saurait voir sa responsabilité non contractuelle engagée en l’absence d’éléments de preuve permettant au Tribunal d’identifier les données à caractère personnel ayant prétendument fait l’objet d’opérations de traitement illicite et d’évaluer si et dans quelle mesure le préjudice moral allégué découlait nécessairement de ces opérations.

82 Cette conclusion n’est pas infirmée par l’argumentation du requérant tirée de l’arrêt du 5 mars 2024, Kočner/Europol (C-755/21 P, EU:C:2024:202).

83 Aux termes de l’article 50, paragraphe 1, du règlement 2016/794, lu à la lumière du considérant 57 de ce règlement, toute personne physique ayant subi un préjudice du fait d’une opération de traitement de données illicite a le droit d’obtenir réparation du préjudice subi, soit d’Europol conformément à l’article 340 TFUE, soit de l’État membre où le fait préjudiciable s’est produit conformément à son droit national. La personne physique forme un recours contre Europol devant la Cour de justice de l’Union européenne ou contre l’État membre devant une juridiction nationale compétente de cet État membre.

84 Le législateur a établi ce régime de responsabilité solidaire d’Europol et des États membres notamment pour répondre aux difficultés auxquelles peut être exposée une personne physique pour déterminer si le préjudice subi du fait d’un traitement illicite de ses données à caractère personnel est la conséquence d’une action d’Europol ou d’un État membre (voir, en ce sens, arrêt du 5 mars 2024, Kočner/Europol, C-755/21 P, EU:C:2024:202, points 75 et 76).

85 En revanche, l’article 50, paragraphe 1, du règlement 2016/794 ne saurait être lu comme exonérant une personne qui s’estime lésée par un traitement illicite de ses données à caractère personnel des conditions découlant de l’article 340 TFUE, auquel cette disposition se réfère, notamment la condition relative à la réalité du préjudice allégué.

86 Au vu de tout ce qui précède, il y a lieu de conclure que la condition relative à la réalité du préjudice allégué n’est pas remplie.

87 Partant, le second chef de conclusions doit être rejeté comme étant manifestement dépourvu de tout fondement en droit en tant qu’il est dirigé contre Europol, sans qu’il soit besoin de se prononcer sur les autres conditions d’engagement de la responsabilité non contractuelle de l’Union, ces conditions étant cumulatives (voir, en ce sens, arrêt du 30 novembre 2022, KN/Parlement, T-401/21, EU:T:2022:736, point 34 et jurisprudence citée).

88 Il convient, en conséquence, de rejeter le recours dans son intégralité.

Sur les dépens

89 Aux termes de l’article 134, paragraphe 1, du règlement de procédure, toute partie qui succombe est condamnée aux dépens, s’il est conclu en ce sens. Le requérant ayant succombé, il y a lieu de le condamner aux dépens, conformément aux conclusions d’Eurojust et d’Europol. Par ailleurs, en application de l’article 138, paragraphe 1, du règlement de procédure, le Royaume d’Espagne et le Royaume des Pays-Bas supporteront leurs propres dépens.

Par ces motifs,

LE TRIBUNAL (cinquième chambre)

ordonne :

1) Le recours est rejeté comme étant porté devant une juridiction manifestement incompétente pour en connaître en ce qu’il tend à la constatation de l’« irrecevabilité » de l’accord portant création d’une équipe commune d’enquête relative au service de communication cryptée « Sky ECC ».

2) Le recours est rejeté comme étant manifestement irrecevable en tant qu’il est dirigé contre l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust) et tend à la réparation du préjudice moral qui lui est imputé.

3) Le recours est rejeté comme étant manifestement dépourvu de tout fondement en droit en tant qu’il est dirigé contre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et tend à la réparation du préjudice moral qui lui est imputé.

4) FF supportera ses propres dépens ainsi que ceux exposés par Eurojust et Europol.

5) Le Royaume d’Espagne et le Royaume des Pays-Bas supporteront leurs propres dépens.

Fait à Luxembourg, le 26 juin 2025.

* Langue de procédure : l’anglais.