DOCUMENT DE TRAVAIL

ARRÊT DU TRIBUNAL (cinquième chambre)

25 février 2026 (*)

« Responsabilité non contractuelle – Coopération des autorités de police et des autres services répressifs des États membres – Prétendu traitement illicite de données à caractère personnel – Méconnaissance des exigences de forme – Article 76, sous d), du règlement de procédure – Irrecevabilité partielle – Article 50 du règlement (UE) 2016/794 – Responsabilité solidaire d’Europol et des États membres du fait de traitements illicites de données – Absence de préjudice moral subi du fait d’Europol »

Dans l’affaire T-167/24,

DG, représenté par M^e J. Reisinger, avocat,

partie requérante,

contre

Agence de l’Union européenne pour la coopération des services répressifs (Europol), représentée par M. A. Nunzi, en qualité d’agent, assisté de M^es G. Ziegenhorn, M. Kottmann, T. Shulman et S. Steinbarth, avocats,

et

Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust), représentée par M^mes J. Carmona-Bermejo et M. García Bello, en qualité d’agentes, assistées de M^es Ziegenhorn, Kottmann, Shulman et Steinbarth,

parties défenderesses,

soutenues par

Royaume d’Espagne, représenté par M^me A. Gavela Llopis, en qualité d’agente,

et par

Royaume des Pays-Bas, représenté par M^me M. Bulterman et M. J. Langer, en qualité d’agents,

parties intervenantes,

LE TRIBUNAL (cinquième chambre),

composé, lors des délibérations, de MM. J. Svenningsen (rapporteur), président, J. Martín y Pérez de Nanclares et M^me M. Stancu, juges,

greffier : M. L. Ramette, administrateur,

vu la phase écrite de la procédure,

à la suite de l’audience du 9 septembre 2025,

rend le présent

Arrêt

1 Par son recours fondé sur l’article 268 TFUE, le requérant, DG, demande, en substance, réparation des préjudices matériel et moral qu’il estime avoir subis du fait d’actes commis par l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust), par l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et par certains États membres.

Antécédents du litige

2 Le requérant indique faire l’objet de procédures pénales en Belgique et aux Pays-Bas en raison d’accusations de trafic international de stupéfiants.

3 Le requérant indique également être incarcéré dans l’un de ces deux États membres.

4 Il ressort des pièces fournies par le requérant que des saisies de cocaïne ont été effectuées aux Pays-Bas notamment à la suite de l’exploitation de données issues de téléphones portables fonctionnant sous la licence Sky ECC, « ECC » signifiant « Elliptic Curve Cryptography » (cryptographie par courbe elliptique).

5 Le Royaume de Belgique et le Royaume des Pays-Bas ont adopté, à la fin de l’année 2018, des décisions d’enquête européenne conformément à la directive 2014/41/UE du Parlement européen et du Conseil, du 3 avril 2014, concernant la décision d’enquête européenne en matière pénale (JO 2014, L 130, p. 1), demandant à la République française de créer une image des serveurs utilisés par le service Sky ECC et situés à Roubaix (France). Cet État membre a donné suite à cette demande en procédant à l’interception, à l’enregistrement et à la transcription des communications cryptées entrant et sortant de ces serveurs.

6 Le 13 décembre 2019, les autorités belges, néerlandaises et françaises ont, par un accord conclu entre elles sur le fondement de l’article 13 de la convention établie par le Conseil conformément à l’article 34 du traité sur l’Union européenne, relative à l’entraide judiciaire en matière pénale entre les États membres de l’Union européenne (JO 2000, C 197, p. 3) et de la décision-cadre du Conseil, du 13 juin 2002, relative aux équipes communes d’enquête (JO 2002, L 162, p. 1) (ci-après l’« accord ECE »), créé une équipe commune d’enquête (ci-après l’« ECE »).

7 L’accord ECE prévoit notamment ce qui suit :

« 2. Missions de l’ECE

[…]

Objectif de l’ECE

La création de l’ECE vise à faciliter les enquêtes en cours en Belgique, en France et aux Pays-Bas sur le(s) fournisseur(s) et les utilisateurs du service de communication Sky ECC et à partager le savoir-faire technique et les ressources.

[…]

L’objectif de l’ECE est l’élaboration, le développement et la mise en œuvre en commun de la technique nécessaire pour décrypter les communications passées et pour démanteler le serveur ; l’identification et la localisation des utilisateurs se mouvant dans et entre les trois pays ; la mise sur pied et la coordination d’une journée ou de journées d’action commune entreprise(s) dans le but d’arrêter et de poursuivre en justice les facilitateurs et les utilisateurs de Sky ECC.

[…]

7. Participants à l’ECE

Les parties à l’ECE conviennent d’associer Eurojust et Europol en tant que participantes à l’ECE. […]

9.1 Accords sur l’utilisation des données numériques provenant de l’écoute des serveurs

Échange mutuel d’informations

Les parties à l’ECE conviennent de partager, entre elles et avec Europol, dans les meilleurs délais, toutes les données brutes aux fins d’analyse et d’exploitation ainsi que le résultat de ces analyses et exploitations.

Outre des éléments de preuves contre l’organisation criminelle qui développe et commercialise Sky ECC, les données brutes ou analysées peuvent également contenir des informations qui peuvent être pertinentes pour des enquêtes pénales contre d’autres auteurs ou groupes d’auteurs ou des infractions dans le cadre desquelles des moyens de communication Sky ECC ont été utilisés.

Europol fournira une assistance pour l’analyse des données numériques et sera notamment chargée de diviser les données brutes et les résultats des analyses en « paquets nationaux » sur la base de la localisation des moyens de communication utilisés.

[…] »

8 L’ECE a conduit au partage entre Europol et les trois États membres concernés des données brutes interceptées, qui devaient ensuite être analysées, ainsi que des résultats de cette analyse.

9 Dans ce cadre, Europol a stocké les données dans son système informatique, procédé à des recoupements, produit des rapports de renseignements, généré des graphiques de visualisation des données et interprété des ensembles de données multilingues.

10 Pour sa part, Eurojust a organisé, le 25 avril 2019, le 7 septembre 2020 et le 11 février 2021, des réunions de coordination des enquêtes relatives aux activités du service Sky ECC avec la participation des autorités belges, françaises et néerlandaises ainsi que celle d’Europol, à l’occasion desquelles, d’une part, elle a fourni un soutien et des conseils quant aux possibilités de coopération judiciaire et, d’autre part, l’évolution des enquêtes de chacune de ces autorités a été évoquée.

Conclusions des parties

11 Le requérant conclut à ce qu’il plaise au Tribunal :

– condamner Europol et Eurojust à lui verser, d’une part, un montant de 15 000 euros en réparation du préjudice moral subi résultant de « sa détention (provisoire) », de « l’information donnée au public/la publicité », de sa « position de défense compromise », de « la double charge (mentale) due aux doubles poursuites » et des données qui « sont tombées entre de mauvaises mains » ou « pourraient tomber entre de mauvaises mains » et, d’autre part, un montant à préciser en réparation du préjudice matériel subi résultant de la « nécessité d’engager un avocat dans deux pays » ;

– condamner Eurojust et Europol aux dépens.

12 Eurojust et Europol concluent à ce qu’il plaise au Tribunal :

– rejeter le recours comme étant irrecevable et, en tout état de cause, comme étant non fondé ;

– condamner le requérant aux dépens.

13 Le Royaume des Pays-Bas conclut à ce qu’il plaise au Tribunal de rejeter le recours et de condamner le requérant aux dépens.

14 Le Royaume d’Espagne conclut à ce qu’il plaise au Tribunal de rejeter le recours comme étant irrecevable ou, à titre subsidiaire, comme étant non fondé et de condamner le requérant aux dépens.

En droit

15 Au soutien de ses conclusions dirigées indistinctement à l’encontre d’Europol et d’Eurojust, le requérant se prévaut des quatre mêmes moyens.

16 Le premier moyen est tiré, en substance, du caractère illégal et disproportionné de la collecte et du traitement des données à caractère personnel issues du service Sky ECC par les États membres concernés et par « Europol et/ou Eurojust », depuis leur première interception en 2019 jusqu’au dernier partage des résultats avec d’autres pays.

17 Le deuxième moyen est tiré, en substance, de la violation, par Europol et Eurojust, respectivement, de l’article 28 du règlement (UE) 2016/794 du Parlement européen et du Conseil, du 11 mai 2016, relatif à Europol et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO 2016, L 135, p. 53), et de l’article 71 du règlement (UE) 2018/1725 du Parlement européen et du Conseil, du 23 octobre 2018, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n^o 45/2001 et la décision n^o 1247/2002/CE (JO 2018, L 295, p. 39), et des articles 47 et 48 de la charte des droits fondamentaux de l’Union européenne ainsi que des articles 14 et 15 du pacte international relatif aux droits civils et politiques, adopté par l’Assemblée générale des Nations unies le 16 décembre 1966 et entré en vigueur le 23 mars 1976, en raison du caractère incomplet des données du service Sky ECC collectées, analysées et transférées, ce qui aurait porté atteinte à la faculté du requérant de se défendre devant les juridictions pénales belges et néerlandaises.

18 Le troisième moyen est tiré, en substance, de la violation par Europol de l’accord ECE et de la violation par Eurojust de cet accord ainsi que de l’article 4, paragraphe 1, sous b), du règlement (UE) 2018/1727 du Parlement européen et du Conseil, du 14 novembre 2018, relatif à Eurojust et remplaçant et abrogeant la décision 2002/187/JAI du Conseil (JO 2018, L 295, p. 138), en ce qu’elles ont manqué à leur obligation de coordination visant à éviter que le requérant ne fasse l’objet, pour les mêmes faits, de doubles poursuites en Belgique ainsi qu’aux Pays-Bas.

19 Le quatrième moyen est tiré, en substance, de la violation, par Europol et Eurojust, respectivement, de l’article 32 du règlement 2016/794 et des articles 89 et 92 du règlement 2018/1725, à défaut pour elles d’avoir dûment protégé les données à caractère personnel du requérant.

Remarques liminaires

Sur la portée de la responsabilité solidaire alléguée d’Europol et d’Eurojust et la compétence du Tribunal pour en connaître

20 Il convient de rappeler que le juge de l’Union européenne est compétent pour connaître d’une action en réparation fondée sur les articles 268 et 340 TFUE uniquement si l’illégalité alléguée à l’appui de la demande indemnitaire émane d’une institution, d’un organe ou d’un organisme de l’Union et ne peut être regardée comme imputable à une autorité nationale (voir, en ce sens, arrêt du 16 décembre 2020, Conseil/K. Chrysostomides & Co. e.a., C-597/18 P, C-598/18 P, C-603/18 P et C-604/18 P, EU:C:2020:1028, points 80, 106 et 107).

21 De plus, lorsque la responsabilité de l’Union est engagée au titre d’un acte ou d’un comportement de l’une de ses institutions ou de l’un de ses organes ou organismes, elle est représentée devant le Tribunal par le ou les institutions, organes ou organismes auxquels le fait générateur de responsabilité est reproché (arrêt du 13 novembre 1973, Werhahn Hansamühle e.a./Conseil et Commission, 63/72 à 69/72, EU:C:1973:121, point 7).

22 Ainsi, la responsabilité de l’Union sur le fondement des articles 268 et 340 TFUE ne saurait être recherchée auprès d’une institution, d’un organe ou d’un organisme de l’Union distinct de celle ou de celui auquel le fait générateur de responsabilité est reproché, sauf à ce que le législateur de l’Union ait expressément prévu un régime dérogatoire de responsabilité solidaire soit entre une de ces institutions ou un de ces organes ou organismes de l’Union et un ou plusieurs États membres, voire un ou plusieurs pays tiers, soit entre plusieurs institutions, organes ou organismes de l’Union (voir, par analogie, arrêt du 5 mars 2024, Kočner/Europol, C-755/21 P, EU:C:2024:202, points 62 et 63).

23 En l’occurrence, le requérant se prévaut, en substance, de l’existence d’une responsabilité solidaire d’Europol et d’Eurojust entre elles ainsi qu’avec certains États membres, voire certains pays tiers, fondée sur l’arrêt du 5 mars 2024, Kočner/Europol (C-755/21 P, EU:C:2024:202). Il en déduit que ces deux agences peuvent être tenues solidairement responsables de l’ensemble des chefs de préjudice dont il se prévaut.

24 Force est toutefois de constater que le constat du requérant procède d’une lecture manifestement erronée de l’arrêt du 5 mars 2024, Kočner/Europol (C-755/21 P, EU:C:2024:202), ainsi que des régimes de responsabilité applicables à Europol et à Eurojust.

25 Premièrement, dans l’arrêt du 5 mars 2024, Kočner/Europol (C-755/21 P, EU:C:2024:202, points 62 et 63), la Cour a certes reconnu l’existence d’une responsabilité solidaire d’Europol sur le fondement d’une lecture conjointe de l’article 49, paragraphe 3, et de l’article 50 du règlement 2016/794, lus à la lumière du considérant 57 de ce règlement.

26 Toutefois, la responsabilité solidaire reconnue dans l’arrêt du 5 mars 2024, Kočner/Europol (C-755/21 P, EU:C:2024:202, points 62 et 63), d’une part, ne prévaut qu’entre Europol et les États membres et, d’autre part, est cantonnée aux seuls préjudices découlant de traitements illicites de données à caractère personnel intervenus dans le cadre d’une coopération au titre du règlement 2016/794 entre cette agence et un ou plusieurs États membres.

27 Deuxièmement, il ressort certes de l’article 38, paragraphe 6, du règlement 2016/794 et de l’article 55, paragraphe 2, du règlement 2018/1727 qu’Europol et Eurojust peuvent être tenues solidairement responsables d’un transfert illégal de données à caractère personnel effectué par Europol à destination d’Eurojust à la demande de cette dernière ou d’un transfert illégitime de données opérationnelles à caractère personnel effectué par Eurojust à destination d’Europol à la demande de cette dernière.

28 Néanmoins, d’une part, le requérant ne se prévaut pas des dispositions de l’article 38, paragraphe 6, du règlement 2016/794 et de l’article 55, paragraphe 2, du règlement 2018/1727.

29 Au contraire, le requérant fonde expressément ses conclusions indemnitaires sur l’article 50 du règlement 2016/794, dont la portée a été rappelée au point 26 ci-dessus, et sur l’article 46 du règlement 2018/1727 dont le paragraphe 1 prévoit qu’Eurojust est responsable, conformément à l’article 340 TFUE, de tout dommage causé à une personne du fait d’un traitement de données non autorisé ou incorrect dont elle est l’auteur et dont le paragraphe 3 prévoit que chaque État membre est responsable, conformément à son droit national, de tout dommage causé à une personne du fait d’un traitement non autorisé ou incorrect qu’il a effectué sur des données qui ont été communiquées à Eurojust.

30 D’autre part, il ne ressort pas de la requête que le requérant se prévaudrait d’échanges illégaux ou illégitimes de données à caractère personnel le concernant entre Europol et Eurojust.

31 Il en découle que, dans le cadre du présent recours, le requérant peut rechercher uniquement la responsabilité d’Eurojust de son fait propre et la responsabilité d’Europol de son fait propre ainsi que du fait de traitements de données à caractère personnel le concernant effectués par des États membres dans le cadre de la coopération concernant le service Sky ECC.

32 Ainsi, le Tribunal est incompétent pour connaître du présent recours en ce qu’il tendrait à faire constater, d’une part, la responsabilité solidaire d’Eurojust du fait d’États membres, d’Europol ou de pays tiers et, d’autre part, la responsabilité solidaire d’Europol du fait d’États membres, pour des faits autres que des traitements illicites de données à caractère personnel, d’Eurojust ou de pays tiers.

33 Il convient également d’écarter comme étant portés devant une juridiction incompétente pour en connaître le deuxième moyen et le chef de préjudice moral découlant d’une prétendue « position de défense compromise », en tant qu’ils sont tirés, en substance, de la violation du droit à un procès équitable par les juridictions pénales néerlandaises voire belges, en raison de l’impossibilité alléguée de prendre connaissance et, de ce fait, de vérifier la légalité, la fiabilité, l’authenticité, l’intégrité ou encore la recevabilité des preuves retenues à l’encontre du requérant par ces juridictions.

34 En effet, les critiques sur lesquelles reposent le deuxième moyen et le chef de préjudice moral découlant d’une « position de défense compromise » – même si elles présentent un lien avec des données à caractère personnel prétendument traitées par Europol et par Eurojust – ne concernent pas le traitement éventuellement illicite de celles-ci, mais le régime procédural – et plus particulièrement les règles probatoires – qui leur est appliqué par les juridictions pénales néerlandaises voire belges.

Sur la compétence du Tribunal pour connaître de la collecte par les États membres concernés des données issues du service Sky ECC

35 Dans le cadre de son premier moyen, le requérant recherche la responsabilité d’Europol en raison, notamment, de la collecte des données à caractère personnel issues du service Sky ECC par les autorités françaises et néerlandaises, à laquelle Europol et Eurojust auraient participé.

36 Toutefois, d’une part, il ne ressort d’aucun élément de preuve fourni par le requérant qu’Europol ou Eurojust auraient pris part aux opérations techniques de collecte des données du service Sky ECC.

37 Au contraire, le requérant indique lui-même que les données du service Sky ECC « obtenues par la France ont été partagées avec les Pays-Bas et la Belgique, via Europol ».

38 D’autre part, il ressort de l’article 276 TFUE que, dans l’exercice de ses attributions concernant les dispositions des chapitres 4 et 5 du titre V de la troisième partie du traité FUE, relatives à l’espace de liberté, de sécurité et de justice, le juge de l’Union n’est pas compétent pour vérifier la validité ou la proportionnalité d’opérations menées par la police ou d’autres services répressifs dans un État membre.

39 Ainsi, en dépit du régime de responsabilité solidaire prévu par l’article 50, paragraphe 1, du règlement 2016/794, Europol ne saurait être tenue solidairement responsable de l’éventuel préjudice découlant de traitements illégaux de données à caractère personnel d’une personne physique survenus à l’occasion d’opérations menées par la police ou d’autres services répressifs d’un État membre, même si ces traitements sont intervenus dans le cadre d’une coopération fondée sur ce règlement (voir, par analogie, arrêt du 10 septembre 2024, KS e.a./Conseil e.a., C-29/22 P et C-44/22 P, EU:C:2024:725, point 91).

40 Dès lors, le Tribunal est incompétent pour connaître des allégations du requérant tirées de dommages qui lui auraient été causés du fait des opérations d’interception de ses données à caractère personnel intervenues dans le cadre des opérations de police menées par les autorités françaises ou néerlandaises.

Sur le recours en ce qu’il concerne Eurojust

41 Eurojust conteste la recevabilité du présent recours en tant qu’il est dirigé contre elle. À l’appui de sa fin de non-recevoir, elle fait valoir que le requérant n’a pas démontré que les conditions de recevabilité de son recours étaient satisfaites. En particulier, le requérant n’aurait pas identifié les comportements prétendument illicites qu’il lui reproche.

42 Le requérant soutient, en substance, qu’Eurojust était impliquée dans les mesures d’enquête contre les utilisateurs du service Sky ECC, car elle a coopéré activement aux activités d’enquête relatives à ce service.

43 En vertu de l’article 76, sous d), du règlement de procédure du Tribunal, la requête doit contenir l’objet du litige, les moyens et arguments invoqués ainsi qu’un exposé sommaire desdits moyens. Ces éléments doivent être suffisamment clairs et précis pour permettre à la partie défenderesse de préparer sa défense et au Tribunal de statuer sur le recours, le cas échéant, sans autres informations. Afin de garantir la sécurité juridique et une bonne administration de la justice, il est nécessaire, pour qu’un recours soit recevable, que les éléments essentiels de fait et de droit sur lesquels celui-ci se fonde ressortent d’une façon cohérente et compréhensible du texte de la requête elle-même (voir ordonnance du 11 mars 2021, Techniplan/Commission, T-426/20, non publiée, EU:T:2021:129, point 19 et jurisprudence citée).

44 Pour satisfaire à ces exigences, une requête visant la réparation de dommages prétendument causés par une agence de l’Union doit contenir les éléments qui permettent d’identifier le comportement que la partie requérante reproche à l’agence, les raisons pour lesquelles elle estime qu’un lien de causalité existe entre le comportement et le préjudice qu’elle prétend avoir subi ainsi que le caractère et l’étendue de ce préjudice (voir arrêt du 20 juillet 2017, ADR Center/Commission, T-644/14, EU:T:2017:533, point 66 et jurisprudence citée).

45 En l’espèce, ainsi que cela ressort des points 16 à 19 ci-dessus, les premier, deuxième et quatrième moyens soulevés par le requérant ainsi que les chefs de préjudice subséquents – à savoir ceux découlant de « sa détention (provisoire), [de] l’information donnée au public/la publicité, [d’]une position de défense compromise et […] des données qui sont tombées/pourraient tomber entre de mauvaises mains » – sont fondés sur la prémisse qu’Eurojust a traité ses données à caractère personnel.

46 Or, il y a lieu de relever que les éléments essentiels de fait permettant d’identifier les opérations de traitement des données à caractère personnel du requérant auxquelles Eurojust se serait livrée et qui seraient à l’origine des préjudices allégués ne ressortent aucunement du texte de la requête elle-même, de sorte que le recours ne répond pas aux exigences rappelées aux points 43 et 44 ci-dessus.

47 Tout d’abord, le requérant s’est, en substance, borné à affirmer dans la requête qu’Eurojust, en tant que participante à l’ECE, était étroitement associée aux opérations de collecte et d’analyse des données issues du service Sky ECC car elle aurait organisé plusieurs réunions de coordination entre les parties à l’ECE.

48 Cependant, à supposer que le requérant reproche à Eurojust l’organisation de réunions de coordination entre les parties à l’ECE, ce qui ne ressort pas clairement des moyens soulevés, de tels actes ne permettent pas d’inférer qu’elle aurait collecté, reçu, stocké, transmis ou analysé des données à caractère personnel le concernant et, à l’une de ces occasions, effectué un traitement non autorisé ou incorrect de ses données à caractère personnel au sens de l’article 46, paragraphe 1, du règlement 2018/1727.

49 Ensuite, dans la réplique, le requérant s’est limité à répondre à l’argumentation d’Eurojust, présentée dans son mémoire en défense, qui contestait explicitement avoir traité ses données à caractère personnel, en indiquant qu’il avait fourni, dans la requête, un grand nombre de documents soutenant à suffisance ses allégations.

50 S’il est vrai que le requérant a annexé à la requête un nombre considérable de documents, il n’a pas identifié ceux qui établiraient qu’Eurojust a effectivement traité ses données à caractère personnel.

51 Or, il n’appartient pas au Tribunal de compléter l’argumentation développée par le requérant dans la requête ou la réplique, en recherchant et, s’il y a lieu, en identifiant, dans l’une ou l’autre des 34 annexes de celles-ci, des éléments de preuve susceptibles d’étayer ses allégations (voir, en ce sens, arrêt du 13 février 2025, Commission e.a./Carpatair, C-244/23 P à C-246/23 P, EU:C:2025:87, point 77).

52 Le requérant n’a pas non plus procédé, dans le cadre de la réplique tout comme au cours de l’audience, à une identification plus précise des documents joints à la requête qui auraient été de nature à soutenir son allégation ni produit de preuves supplémentaires à cet effet, qu’il aurait pourtant été en droit de produire, sous réserve du respect de l’article 85, paragraphes 2 et 3, du règlement de procédure.

53 En réponse à une question du Tribunal lors de l’audience, le requérant a également indiqué qu’il n’était pas en mesure d’identifier plus précisément les faits qu’il reproche à Eurojust.

54 Or, s’il ressortait des dossiers des procédures pénales – dont le requérant allègue faire l’objet et qui auraient, selon lui, impliqué Eurojust –, que cette agence avait effectivement traité ses données à caractère personnel, il lui aurait suffi de produire les pièces pertinentes de ces dossiers.

55 Enfin, le requérant n’a pas non plus pris position sur l’argumentation d’Eurojust qui a indiqué que les seules opérations de traitement de données auxquelles elle s’était livrée pour les enquêtes relatives au service Sky ECC concernaient les utilisateurs de ce service de communication chiffrée, à savoir ceux pour lesquels une demande d’entraide judiciaire était nécessaire pour permettre aux autorités nationales des États ne faisant pas partie de l’ECE de recevoir les données relatives à ce service collectées par les autorités françaises.

56 Or, cette argumentation d’Eurojust est corroborée par le libellé de l’article 9, paragraphe 1, de l’accord ECE produit par le requérant, en vertu duquel les autorités belges et néerlandaises – en tant que parties à l’ECE – pouvaient directement avoir accès aux données à caractère personnel collectées par les autorités françaises, y compris, le cas échéant, celles du requérant, sans présenter une demande d’entraide judiciaire à Eurojust. De plus, le requérant n’a pas allégué ni a fortiori démontré que les autorités belges ou néerlandaises avaient transmis à Eurojust une demande d’entraide judiciaire le concernant afin d’accéder à ses données à caractère personnel collectées par les autorités françaises.

57 Eu égard à ce qui précède, il y a lieu de constater que les premier et quatrième moyens soulevés par le requérant ainsi que les chefs de préjudice moral subséquents – à savoir ceux découlant de « sa détention (provisoire), [de] l’information donnée au public/la publicité, [d’une] position de défense compromise […] et […] des données qui sont tombées/pourraient tomber entre de mauvaises mains » –, en tant qu’ils concernent Eurojust, doivent être écartés comme étant irrecevables.

58 Pour ce qui concerne le troisième moyen, tiré du fait qu’Eurojust aurait manqué à son obligation de coordination des enquêtes et des poursuites pénales dirigées à l’encontre du requérant, ce qui aurait conduit à ce qu’il fasse l’objet de doubles poursuites pénales en Belgique et aux Pays-Bas, celui-ci ne permet pas d’identifier le comportement que le requérant reproche à cette agence.

59 En effet, force est de constater que les éléments essentiels de fait permettant d’identifier les doubles poursuites pénales dont le requérant ferait l’objet en Belgique et aux Pays-Bas ne ressortent aucunement du texte de la requête elle-même, pas plus que des annexes A.16 et A.17, auxquelles elle renvoie.

60 Si l’annexe A.17 de la requête contient effectivement un document émanant du ministère public belge et faisant état de poursuites pénales à l’encontre du requérant pour des faits de trafic international de stupéfiants, l’annexe A.16, qui contient un document établi par la police néerlandaise et intitulé « procès-verbal de suspicion », ne saurait être interprétée comme établissant l’existence de poursuites pénales à l’encontre du requérant aux Pays-Bas.

61 En tout état de cause, les annexes A.16 et A.17 de la requête ne permettent pas d’établir que les mêmes faits seraient en cause en Belgique et aux Pays-Bas, dès lors qu’elles font état de saisies intervenues dans des lieux différents, portant sur des volumes de stupéfiants différents et en provenance de pays différents.

62 Or, le requérant n’a pas fourni d’éléments permettant d’infirmer les différences constatées entre les faits mentionnés dans les annexes A.16 et A.17 de la requête. Au contraire, expressément interrogé à cet égard lors de l’audience, il s’est limité à indiquer, en substance, qu’il faisait l’objet d’enquêtes multiples pour des faits « similaires » l’exposant à un risque de cumul des peines.

63 En tout état de cause, la concertation prévue par l’accord ECE concerne l’utilisation des données collectées par les États concernés et non les poursuites pénales qui pourraient être engagées sur la base desdites données par les États membres parties à cet accord, voire par des pays non parties à celui-ci.

64 En outre, l’article 4, paragraphe 1, sous b), du règlement 2018/1727 dispose qu’Eurojust « aide les autorités compétentes des États membres à garantir la meilleure coordination possible des enquêtes et des poursuites ».

65 Il en découle, comme le soutient à juste titre Eurojust, que, dans le cadre de sa fonction opérationnelle de coordination des enquêtes et des poursuites, elle est astreinte uniquement à une obligation de moyen et que la décision de déclenchement de poursuites à l’égard d’une personne appartient aux seules autorités nationales concernées, ce que confirme l’article 85 TFUE, qui constitue la base juridique du règlement 2018/1727.

66 Ainsi, Eurojust ne saurait être tenue responsable de choix procéduraux qui relèvent de la seule compétence et de la seule responsabilité des États concernés.

67 Eu égard à ce qui précède, le troisième moyen ainsi que les chefs de préjudice subséquents – à savoir le préjudice moral découlant d’une « double charge (mentale) due aux doubles poursuites » et le préjudice matériel résultant de la « nécessité d’engager un avocat dans deux pays » –, en tant qu’ils concernent Eurojust, doivent être écartés comme étant irrecevables et, en tout état de cause, non fondés.

68 En conséquence, il convient de rejeter le recours en ce qu’il concerne Eurojust.

Sur le recours en ce qu’il concerne Europol

69 À titre liminaire, il convient de rappeler que, aux points 33 et 34 ci-dessus, le Tribunal a déjà constaté qu’il était incompétent pour connaître du chef de préjudice moral invoqué par le requérant et découlant de sa prétendue « position de défense compromise » devant les juridictions néerlandaises voire belges.

Sur la recevabilité

70 Europol conteste la recevabilité du présent recours en tant qu’il est dirigé contre elle. À l’appui de sa fin de non-recevoir, elle fait valoir que le requérant n’a pas démontré que les conditions de recevabilité de son recours étaient satisfaites. En particulier, le requérant n’aurait produit aucune preuve concluante de l’étendue ou de l’existence des préjudices qu’il allègue.

71 À cet égard, il a déjà été rappelé au point 44 ci-dessus qu’une requête visant la réparation de dommages prétendument causés par une agence de l’Union doit contenir les éléments qui permettent d’identifier le comportement que la partie requérante reproche à l’agence, les raisons pour lesquelles elle estime qu’un lien de causalité existe entre le comportement et le préjudice qu’elle prétend avoir subi ainsi que le caractère et l’étendue de ce préjudice (voir arrêt du 20 juillet 2017, ADR Center/Commission, T-644/14, EU:T:2017:533, point 66 et jurisprudence citée).

72 Lorsque la partie requérante vise la réparation de dommages prétendument causés par un État membre à l’occasion d’un traitement de données à caractère personnel intervenu dans le cadre d’une coopération entre Europol et cet État membre sur le fondement du règlement 2016/794 et dont cette agence peut être tenue solidairement responsable en vertu de l’article 50 de ce règlement, la requête n’a certes pas à contenir les éléments qui permettent d’identifier à qui, d’Europol ou de l’État membre concerné, ce dommage est imputable (voir, en ce sens, arrêt du 5 mars 2024, Kočner/Europol, C-755/21 P, EU:C:2024:202, points 76 et 81), mais elle doit néanmoins contenir les éléments visés au point 71 ci-dessus.

73 En l’espèce, s’agissant du préjudice matériel qui découlerait de la nécessité d’engager des avocats dans deux pays différents où le requérant serait poursuivi pénalement pour les mêmes faits, force est de constater, d’une part, que ce préjudice – pourtant matériel – n’est aucunement quantifié, même à titre provisoire et, d’autre part, que ce chef de préjudice ne permet pas d’identifier le comportement que le requérant reproche à Europol, comme cela a déjà été constaté aux points 59 à 62 ci-dessus.

74 Dès lors, ce chef de préjudice doit être rejeté comme étant irrecevable.

75 S’agissant du préjudice moral, il doit être relevé que, premièrement, le chef de préjudice découlant de la prétendue « double charge (mentale) due aux doubles poursuites » doit être rejeté comme étant irrecevable en ce qu’il ne permet pas d’identifier le comportement que le requérant reproche à Europol (voir points 59 à 62 et 73 ci-dessus).

76 Deuxièmement, est aussi irrecevable le chef de préjudice découlant de la prétendue « détention (provisoire) » du requérant, évoquée pour la première et unique fois dans le petitum de la requête. En effet, celui-ci ne fournit aucune preuve du fait qu’il a été placé en détention.

77 De surcroît, à supposer même que, ainsi qu’il a été soutenu lors de l’audience, le requérant soit retourné dans l’Union depuis une semaine et demie après avoir été incarcéré à l’étranger dans l’attente de son extradition, celui-ci ne fournit aucun élément à même d’établir dans quel lieu et depuis combien de temps il aurait été ou serait détenu ou encore si cette détention a effectivement été ordonnée dans le cadre de l’« affaire Sky ECC ».

78 Troisièmement, est également irrecevable le chef de préjudice tiré de la prétendue publicité dont son affaire aurait fait l’objet, mentionné uniquement dans le petitum de la requête et au sujet duquel le requérant n’a fourni aucun élément de preuve permettant d’apprécier si son affaire a fait l’objet d’une quelconque publicité et a fortiori d’une publicité indue.

79 En revanche, pour le surplus, même si la requête n’est pas structurée autour des trois conditions cumulatives auxquelles est subordonné l’engagement de la responsabilité non contractuelle de l’Union, elle contient les éléments qui permettent d’identifier le comportement reproché à Europol et aux États membres intervenus dans le cadre d’une coopération avec elle, la nature et le caractère du préjudice allégué ainsi que les raisons pour lesquelles le requérant estime qu’un lien de causalité existe entre ce comportement et ce préjudice.

80 Les indications quant à l’existence d’un préjudice moral découlant du traitement illicite des données à caractère personnel concernant le requérant et qui « sont tombées ou pourraient tomber entre de mauvaises mains », bien que sommaires, peuvent être regardées comme étant suffisantes pour satisfaire aux exigences rappelées aux points 43 et 44 ci-dessus.

81 Quant à la circonstance mise en avant par Europol selon laquelle le requérant n’aurait produit aucune preuve concluante de l’étendue ou de l’existence du préjudice moral qu’il allègue, elle relève de l’appréciation du bien-fondé du recours et non de sa recevabilité (voir, en ce sens, arrêt du 2 juillet 2003, Hameico Stuttgart e.a./Conseil et Commission, T-99/98, EU:T:2003:181, point 30).

82 La fin de non-recevoir soulevée par Europol portant sur le chef de préjudice moral résultant des données qui « sont tombées ou pourraient tomber entre de mauvaises mains » doit, par conséquent, être rejetée.

Sur le bien-fondé

83 Dans le cadre de son chef de préjudice moral résultant de ses données qui « sont tombées ou pourraient tomber entre de mauvaises mains », le requérant reproche, en substance, aux autorités belges, françaises et néerlandaises ainsi qu’à Europol d’avoir réalisé des opérations de traitement illicite de données à caractère personnel le concernant, ce qui lui aurait causé un préjudice moral qu’il évalue à une fraction de 15 000 euros.

84 Europol conteste cette argumentation.

85 Conformément aux conditions découlant de l’article 340 TFUE, auquel l’article 50, paragraphe 1, du règlement 2016/794 fait référence, dans le cas où la personne lésée introduit un recours contre Europol, la responsabilité non contractuelle de l’Union suppose la réunion d’un ensemble de conditions, à savoir l’illégalité du comportement reproché à cette agence, la réalité du préjudice et l’existence d’un lien de causalité entre ce comportement et le préjudice invoqué (voir, en ce sens, arrêt du 5 mars 2024, Kočner/Europol, C-755/21 P, EU:C:2024:202, point 73 et jurisprudence citée).

86 En l’occurrence, le requérant a produit, en annexe à la requête, un procès-verbal de la police néerlandaise du 8 octobre 2021, élaboré dans le cadre d’une enquête préliminaire contre lui et faisant état du fait que les soupçons pesant sur lui se fondaient notamment sur des conversations qu’il avait eues en utilisant le service Sky ECC.

87 Toutefois, le requérant ne précise ni l’objet ou la nature des conversations qu’il a eues en utilisant le service Sky ECC ni le préjudice résultant de leur traitement prétendument illicite.

88 En outre, il ressort d’une note en bas de page sous le point 46 de la réplique que le requérant possède un « rapport » contenant les données à caractère personnel le concernant échangées entre le 24 juin 2019 et le 15 décembre 2020 qui auraient été interceptées, puis traitées par Europol ainsi que par les États membres concernés, mais qu’il n’entend pas produire ce rapport dans la présente procédure pour des raisons qui seront spécifiées ultérieurement, dont la protection de sa vie privée, raisons qu’il n’a toutefois pas exposées par la suite.

89 À cet égard, étant donné que le requérant reproche à Europol d’avoir procédé à des opérations de traitement illicite de ses données à caractère personnel, il ne saurait valablement soutenir que lesdites données présentent un caractère confidentiel à l’égard de celle-ci. Partant, rien n’indique que le droit à la protection de la vie privée du requérant faisait obstacle à ce qu’il produise ces données dans la requête, celles-ci n’étant au demeurant pas confidentielles à l’égard du Tribunal.

90 De plus, il doit être rappelé que, d’une part, selon l’article 76, sous f), du règlement de procédure, la requête contient les preuves et offres de preuve, s’il y a lieu. D’autre part, aux termes de l’article 85, paragraphes 1 et 2, du règlement de procédure, les preuves et les offres de preuve sont présentées dans le cadre du premier échange de mémoires et les parties principales peuvent encore produire des preuves ou faire des offres de preuve dans la réplique et la duplique à l’appui de leur argumentation, à condition que le retard dans la présentation de celles-ci soit justifié.

91 Il découle de l’article 85, paragraphes 1 et 2, du règlement de procédure qu’il n’appartient pas au Tribunal de demander la production de pièces ou de procéder à une instruction d’office du dossier afin de suppléer les carences des parties en matière d’administration de la preuve (voir, en ce sens, arrêt du 2 juillet 2003, Hameico Stuttgart e.a./Conseil et Commission, T-99/98, EU:T:2003:181, point 74 et jurisprudence citée).

92 Au vu de ce qui précède, il y a lieu de conclure que le requérant n’a pas satisfait à la charge qui lui incombe de prouver l’existence et l’étendue du préjudice moral dont il recherche réparation auprès d’Europol.

93 Certes, même en l’absence d’éléments de preuve de nature à démontrer l’existence et l’étendue d’un préjudice moral, la condition relative à l’existence d’un tel préjudice peut être satisfaite si la partie requérante établit qu’un préjudice moral découlait nécessairement du comportement reproché (arrêt du 12 décembre 2024, DD/FRA, C-130/22 P, EU:C:2024:1018, point 111). Il incombe toutefois à la partie requérante d’établir, à tout le moins, que le comportement reproché à l’institution concernée était de nature à lui causer un tel préjudice (arrêt du 16 juillet 2009, SELEX Sistemi Integrati/Commission, C-481/07 P, non publié, EU:C:2009:461, point 38).

94 En l’espèce, une telle démonstration fait défaut.

95 En effet, le requérant n’a pas produit ses propres données à caractère personnel qui, selon lui, auraient fait l’objet d’un traitement illicite par Europol ainsi que par les autorités françaises, néerlandaises voire belges.

96 De plus, le requérant se prévaut du fait que les conversations qu’il a eues en utilisant le service Sky ECC contiendraient, notamment, des photographies ainsi que des informations concernant sa famille. Or, de telles affirmations s’avèrent manquer de crédibilité. Dans son mémoire en défense, Europol a indiqué, sans être contredite sur ces points par le requérant, que les caméras, les microphones et le GPS des téléphones utilisant le service Sky ECC étaient désactivés ou encore que ces téléphones ne pouvaient communiquer qu’avec d’autres téléphones utilisant également ce service, et non des téléphones traditionnels. En outre, le requérant n’a pas soutenu que des membres de sa famille auraient disposé de téléphones utilisant le service Sky ECC, lui permettant ainsi d’échanger avec ceux-ci des données les concernant.

97 Or, Europol ne saurait voir sa responsabilité non contractuelle engagée en l’absence d’éléments de preuve permettant au Tribunal d’identifier les données à caractère personnel ayant prétendument fait l’objet d’opérations de traitements illicites et d’évaluer si et dans quelle mesure le préjudice moral allégué découlait nécessairement de ces opérations.

98 Au vu de tout ce qui précède, il y a lieu de conclure que la condition relative à la réalité du chef de préjudice résultant des prétendues données qui « sont tombées ou pourraient tomber entre de mauvaises mains » n’est pas remplie et que le recours en ce qu’il est dirigé contre Europol doit être rejeté.

99 Il convient, en conséquence, de rejeter le recours dans son intégralité.

Sur les dépens

100 Aux termes de l’article 134, paragraphe 1, du règlement de procédure, toute partie qui succombe est condamnée aux dépens, s’il est conclu en ce sens. Le requérant ayant succombé, il y a lieu de le condamner aux dépens, conformément aux conclusions d’Europol et d’Eurojust. Par ailleurs, en application de l’article 138, paragraphe 1, du règlement de procédure, le Royaume d’Espagne et le Royaume des Pays-Bas supporteront leurs propres dépens.

Par ces motifs,

LE TRIBUNAL (cinquième chambre)

déclare et arrête :

1) Le recours est rejeté.

2) DG supportera ses propres dépens ainsi que ceux exposés par l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust).

3) Le Royaume d’Espagne et le Royaume des Pays-Bas supporteront leurs propres dépens.

Ainsi prononcé en audience publique à Luxembourg, le 25 février 2026.

Signatures

* Langue de procédure : le néerlandais.