1.   Toute personne physique ayant subi un dommage du fait d'une opération de traitement de données illicite a le droit d'obtenir réparation du préjudice subi, soit d'Europol conformément à l'article 340 du traité sur le fonctionnement de l'Union européenne, soit de l'État membre où le fait dommageable s'est produit, conformément à son droit national. La personne physique forme un recours contre Europol devant la Cour de justice de l'Union européenne ou contre l'État membre devant une juridiction nationale compétente de cet État membre.

2.   Le conseil d'administration est saisi de tout litige entre Europol et les États membres quant à la responsabilité ultime en matière de réparation accordée à une personne physique conformément au paragraphe 1, lequel statue à la majorité des deux tiers de ses membres, sans préjudice du droit de former un recours contre cette décision conformément à l'article 263 du traité sur le fonctionnement de l'Union européenne.