ORDONNANCE DU TRIBUNAL (première chambre élargie)
6 septembre 2023 ( *1 )
« Recours en annulation – Droit institutionnel – Traitement des données à caractère personnel par Europol – Règlement (UE) 2016/794 – Prérogatives institutionnelles du CEPD – Qualité pour agir – Recours en partie irrecevable et en partie manifestement irrecevable »
Dans l’affaire T‑578/22,
Contrôleur européen de la protection des données (CEPD), représenté par MM. D. Nardi, T. Zerdick, Mmes A. Buchta et F. Coudert, en qualité d’agents,
partie requérante,
contre
Parlement européen, représenté par Mme P. López-Carceller, MM. I. Liukkonen et R. van de Westelaken, en qualité d’agents,
et
Conseil de l’Union européenne, représenté par MM. J. Lotarski, K. Pleśniak et R. Meyer, en qualité d’agents,
parties défenderesses,
LE TRIBUNAL (première chambre élargie),
composé de MM. D. Spielmann, président, V. Valančius, R. Mastroianni, Mme M. Brkan et M. T. Tóth (rapporteur), juges,
greffier : M. V. Di Bucci,
vu la phase écrite de la procédure, notamment :
– l’exception d’irrecevabilité soulevée au titre de l’article 130, paragraphe 1, du règlement de procédure du Tribunal par le Conseil par acte séparé déposé au greffe du Tribunal le 12 décembre 2022,
– le mémoire en défense déposé par le Parlement le 13 décembre 2022,
– les demandes d’intervention déposées par la République française le 7 décembre 2022, par la République fédérale d’Allemagne le 9 décembre 2022, par la Commission le 20 décembre 2022 ainsi que par le Royaume de Belgique et le Royaume des Pays-Bas le 22 décembre 2022,
rend la présente
Ordonnance
1 Par son recours fondé sur l’article 263 TFUE, le Contrôleur européen de la protection des données (CEPD) demande l’annulation des articles 74 bis et 74 ter du règlement (UE) 2016/794 du Parlement européen et du Conseil, du 11 mai 2016, relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO 2016, L 135, p. 53, ci-après le « règlement
Europol initial »), tel que modifié par le règlement (UE) 2022/991 du Parlement européen et du Conseil, du 8 juin 2022, en ce qui concerne la coopération d’Europol avec les parties privées, le traitement de données à caractère personnel par Europol à l’appui d’enquêtes pénales et le rôle d’Europol en matière de recherche et d’innovation (JO 2022, L 169, p. 1, ci-après le « règlement Europol modifié ») (ci-après, pris ensemble, les « dispositions attaquées »).
Antécédents du litige
Sur la décision du CEPD du 3 janvier 2022
2 À la suite d’une enquête d’initiative et d’une décision d’admonestation du 17 septembre 2020, le CEPD a adopté, le 3 janvier 2022, une décision à l’encontre de l’Agence de l’Union européenne pour la coopération des services répressifs (Europol), au titre de l’article 43, paragraphe 3, sous e), du règlement Europol initial, constatant que, « [e]n prévoyant le stockage continu d’ensembles de données sans catégorisation, le plan d’action présenté par Europol ne trait[ait] pas de l’infraction
constatée dans la décision d’admonestation du 17 septembre 2020 » et que « [l]e traitement par Europol d’ensembles de données sans catégorisation […] dans le seul but d’extraire des informations pertinentes conformément à l’article 18, paragraphes 3 et 5, et à l’annexe II.B du règlement Europol [initial], ainsi qu’aux principes de minimisation des données et de limitation de la conservation des données ([a]rticle 28, paragraphe 1, sous c) et e), du règlement Europol [initial]), ne [pouvait]
excéder une période maximale de six mois à compter de la date de réception de la contribution ».
3 Pour effectuer ce raisonnement, le CEPD a notamment précisé que, « [e]n l’absence d’une disposition légale explicite fixant la durée de conservation des données à caractère personnel traitées à cette fin, […] il conv[enait] de procéder à une interprétation par analogie de l’article 18, paragraphe 6, du règlement [Europol initial] ».
4 Ainsi, il résulte de la décision du 3 janvier 2022 que le CEPD a enjoint à Europol, en substance, de procéder, pour chaque contribution reçue à partir du 4 janvier 2022, à la catégorisation des personnes concernées au sens de l’article 18, paragraphe 5, du règlement Europol initial dans un délai de six mois à compter de la date de réception de la contribution et dans un délai de douze mois pour les ensembles de données existant au 3 janvier 2022, délais au-delà desquels Europol était tenue
d’effacer ces données.
Sur l’adoption du règlement Europol modifié
5 Le 9 décembre 2020, la Commission européenne a soumis la proposition COM(2020) 796 final de règlement du Parlement européen et du Conseil modifiant le règlement 2016/794 en ce qui concernait la coopération d’Europol avec les parties privées, le traitement de données à caractère personnel par Europol à l’appui d’enquêtes pénales et le rôle d’Europol en matière de recherche et d’innovation (ci-après la « proposition de règlement modificatif »).
6 Dans l’avis 4/2021, le CEPD s’est montré favorable à la proposition de règlement modificatif, sous certaines réserves.
7 Le 1er février 2022, à la suite de la dernière négociation en trilogue, deux nouvelles dispositions ont été ajoutées à la proposition de règlement modificatif, à savoir les articles 74 bis et 74 ter, qui sont des dispositions transitoires concernant respectivement le traitement de données à caractère personnel à l’appui d’une enquête pénale en cours et le traitement de données à caractère personnel détenues par Europol.
8 Le 8 juin 2022, le Parlement européen et le Conseil de l’Union européenne ont adopté le règlement Europol modifié. La formulation des articles 74 bis et 74 ter a été confirmée dans ce règlement.
9 Ces dispositions prévoient, en substance, les conditions dans lesquelles Europol procède, dans un délai déterminé, à la catégorisation des ensembles de données en sa possession au moment de l’entrée en vigueur du règlement Europol modifié et précisent les conditions et les procédures dans lesquelles le traitement de données à caractère personnel ne portant pas sur des catégories de personnes concernées énumérées à l’annexe II du règlement Europol modifié et qui ont été transférées à Europol avant
le 28 juin 2022 est autorisé à l’appui d’une enquête pénale en cours.
Sur les échanges entre le CEPD et Europol à la suite de l’adoption du règlement Europol modifié
10 Le 15 juin 2022, le CEPD, estimant que la portée de sa décision du 3 janvier 2022 et des articles 74 bis et 74 ter du règlement Europol modifié n’était pas la même, a demandé au Parlement, au Conseil et à la Commission de lui fournir des documents concernant l’existence d’un lien entre les dispositions du règlement Europol modifié et l’exercice antérieur de ses pouvoirs de contrôle. Le Parlement et le Conseil ont répondu à cette demande respectivement par lettres du 12 juillet et du 25 juillet
2022.
11 Dans le document no 5370/22 du Conseil, du 24 janvier 2022, portant sur la préparation au trilogue, il est précisé que « [l]a décision récente du [CEPD,] qui pourrait avoir des conséquences opérationnelles pour l’action d’Europol, confirme la nécessité d’une adoption rapide du règlement », que « [l]a Présidence a proposé aux délégations d’introduire un nouvel article 74 [bis] qui aurait pour objectif de clarifier davantage la situation des données actuellement en possession d’Europol, notamment
dans le contexte de la décision du CEPD du 3 janvier 2022 susvisée » et que « [d]e nombreuses délégations ont accueilli favorablement les principes de cette proposition lors de la réunion du 19 janvier [2022,] mais une approbation par le comité est nécessaire du fait de sa présentation récente et de l’enjeu que ce sujet représente à la suite de la décision du CEPD ».
12 Par une lettre du 15 juillet 2022, le CEPD a demandé à Europol si, au vu des articles 74 bis et 74 ter du règlement Europol modifié, sa décision du 3 janvier 2022 continuait à être mise en œuvre ou si Europol considérait que lesdits articles avaient remplacé ou modifié la portée de cette décision.
13 Par une lettre du 22 août 2022, Europol a répondu au CEPD, en substance, qu’elle continuait à mettre en œuvre certains points de la décision du 3 janvier 2022, mais qu’elle n’était pas en mesure de commenter à ce stade la situation au 3 janvier 2023 et la soumission de nouveaux rapports de mise en œuvre en vertu de cette décision. Cette lettre mentionne également le fait que les articles 74 bis et 74 ter du règlement Europol modifié n’ont pas été appliqués à certaines contributions qui avaient
été effacées.
Conclusions des parties
14 Dans la requête, le CEPD conclut à ce qu’il plaise au Tribunal :
– annuler les dispositions attaquées ;
– condamner le « défendeur » aux dépens.
15 Dans le mémoire en défense, le Parlement conclut à ce qu’il plaise au Tribunal :
– rejeter le recours ;
– condamner le CEPD aux dépens ;
– s’il devait être fait droit au recours, maintenir les effets des dispositions attaquées.
16 Dans l’exception d’irrecevabilité, le Conseil conclut à ce qu’il plaise au Tribunal :
– rejeter le recours comme étant irrecevable ;
– condamner le CEPD aux dépens.
17 Dans les observations sur l’exception d’irrecevabilité, le CEPD conclut à ce qu’il plaise au Tribunal de rejeter ladite exception soulevée par le Conseil et de statuer sur le fond.
En droit
18 En vertu de l’article 130 du règlement de procédure du Tribunal, lorsque, par acte séparé, la partie défenderesse demande au Tribunal de statuer sur l’irrecevabilité ou l’incompétence, sans engager le débat au fond, ce dernier doit statuer sur la demande dans les meilleurs délais, le cas échéant après avoir ouvert la phase orale de la procédure. En outre, en vertu de l’article 126 de ce règlement, lorsque le Tribunal est manifestement incompétent pour connaître d’un recours ou lorsque celui-ci
est manifestement irrecevable ou manifestement dépourvu de tout fondement en droit, il peut, sur proposition du juge rapporteur, à tout moment décider de statuer par voie d’ordonnance motivée, sans poursuivre la procédure.
19 En l’espèce, le Tribunal s’estime suffisamment éclairé par les pièces du dossier et décide, en application de ces dispositions, de statuer sans poursuivre la procédure.
20 Au soutien de sa demande en annulation des dispositions attaquées, le CEPD invoque un moyen unique, tiré de la violation de son indépendance et de ses pouvoirs en qualité d’autorité de contrôle en raison de la violation du principe de sécurité juridique et du principe de non-rétroactivité des actes juridiques. Selon le CEPD, les dispositions attaquées légalisent rétroactivement les pratiques de conservation des données litigieuses d’Europol et annulent de facto sa décision du 3 janvier 2022. En
particulier, il invoque la violation de l’article 8, paragraphe 3, de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), de l’article 55 du règlement (UE) 2018/1725 du Parlement européen et du Conseil, du 23 octobre 2018, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et
la décision no 1247/2002/CE (JO 2018, L 295, p. 39), lu conjointement avec l’article 43, paragraphe 1 et paragraphe 3, sous e), du règlement Europol modifié.
21 Concernant la recevabilité de son recours, d’une part, le CEPD fait valoir, à titre principal, que sa qualité pour agir en annulation en vertu de l’article 263 TFUE se justifie par la nécessité de pouvoir disposer d’un recours juridictionnel afin de défendre ses prérogatives institutionnelles, en particulier son indépendance en tant qu’autorité de contrôle en vertu de l’article 8, paragraphe 3, de la Charte, ainsi que l’équilibre institutionnel entre le rôle des autorités de contrôle et celui du
législateur. À cet égard, il précise avoir qualité pour agir en vertu de la jurisprudence issue de l’arrêt du 22 mai 1990, Parlement/Conseil (C‑70/88, EU:C:1990:217), qui devrait être appliquée en l’espèce par analogie, dès lors que cet arrêt démontre que la protection des prérogatives institutionnelles permet, exceptionnellement, à une institution de défendre celles-ci sans qu’il lui soit nécessaire de remplir les conditions de recevabilité applicables aux personnes physiques ou morales en vertu
de l’article 263, quatrième alinéa, TFUE.
22 D’autre part, à titre subsidiaire, le CEPD soutient qu’il est directement et individuellement concerné par les dispositions attaquées, à l’égard desquelles il a un intérêt manifeste et actuel à ce qu’elles soient annulées. En outre, il précise que le présent recours est introduit devant le Tribunal en tant que juridiction compétente, mais qu’il ne s’opposerait pas à son éventuel transfert à la Cour si le Tribunal le jugeait approprié.
23 Le Conseil excipe de l’irrecevabilité du présent recours, pour deux motifs. Il soutient, d’une part, que le recours est irrecevable au motif que le CEPD n’est pas mentionné à l’article 263, deuxième et troisième alinéas, TFUE ou encore au titre de l’arrêt du 22 mai 1990, Parlement/Conseil (C‑70/88, EU:C:1990:217), et, d’autre part, que le CEPD n’est pas directement et individuellement concerné au sens de l’article 263, quatrième alinéa, TFUE.
24 En outre, le Conseil souligne que le présent recours a été introduit devant le Tribunal et non devant la Cour, laquelle est seule compétente pour statuer sur les recours formés par les institutions de l’Union européenne. Ainsi, le Conseil met en doute le fait que le CEPD puisse, dans le cadre du même recours, faire valoir qu’il est à la fois une partie requérante « privilégiée » et une partie requérante « non privilégiée ».
Sur la compétence du Tribunal
25 À titre liminaire, bien que le CEPD ne demande pas à être considéré comme figurant au nombre des parties requérantes « privilégiées » ou « semi-privilégiées » mentionnées à l’article 263, deuxième et troisième alinéas, TFUE, dans la mesure où il se prévaut d’une qualité pour agir particulière visant à la sauvegarde de ses prérogatives, il convient de vérifier si le Tribunal est compétent pour connaître du présent recours.
26 À cet égard, il convient de rappeler que l’article 263, deuxième et troisième alinéas, TFUE prévoit que la Cour est compétente, d’une part, pour se prononcer sur les recours pour incompétence, violation des formes substantielles, violation des traités ou de toute règle de droit relative à leur application, ou détournement de pouvoir, formés par un État membre, par le Parlement, par le Conseil ou par la Commission et, d’autre part, dans les mêmes conditions, pour se prononcer sur les recours
formés par la Cour des comptes, par la Banque centrale européenne (BCE) et par le Comité des régions qui tendent à la sauvegarde des prérogatives de ceux-ci.
27 Tout d’abord, il convient de constater que le CEPD ne figure pas parmi les parties requérantes mentionnées à l’article 263, deuxième et troisième alinéas, TFUE. Il ne figure pas non plus dans la liste des institutions de l’article 13, paragraphe 1, TUE, qui établit sept institutions qui sont le Parlement, le Conseil européen, le Conseil, la Commission, la Cour de justice de l’Union européenne, la Banque centrale européenne et la Cour des comptes.
28 Ensuite, le CEPD est un organe de l’Union qui a été institué par l’article 41, paragraphe 1, du règlement (CE) no 45/2001 du Parlement européen et du Conseil, du 18 décembre 2000, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO 2001, L 8, p. 1), sur la base de l’article 286, paragraphe 2, CE.
29 Sur cette question, il y a lieu de rappeler que, conformément à l’article 13, paragraphe 1, TUE, la notion d’« institutions » renvoie à une liste précise d’entités qui n’inclut pas les organes et les organismes de l’Union, et la distinction entre les institutions, d’une part, et les organes et organismes de l’Union, d’autre part, doit valoir de manière transversale et uniforme dans les deux traités [voir, en ce sens, arrêt du 14 juillet 2022, Italie et Comune di Milano/Conseil et Parlement (Siège
de l’Agence européenne des médicaments), C‑106/19 et C‑232/19, EU:C:2022:568, points 113 et 116].
30 Enfin, à l’instar du Conseil, il y a lieu de relever que, si l’article 263, premier alinéa, TFUE vise expressément les organes et organismes de l’Union dans la liste des auteurs des actes dont la légalité peut être remise en cause dans le cadre d’un recours en annulation, il n’en est pas de même en ce qui concerne l’article 263, deuxième et troisième alinéas, TFUE.
31 En effet, la possibilité de contester des actes d’organes ou d’organismes de l’Union dans le cadre d’un recours en annulation a été introduite par le traité de Lisbonne. Néanmoins, il y a lieu de relever que les organes et organismes de l’Union n’ont pas été mentionnés à l’article 263, deuxième et troisième alinéas, TFUE.
32 À cet égard, les auteurs du traité de Lisbonne ont ajouté le Comité des régions parmi les parties requérantes visées à l’article 263, troisième alinéa, TFUE. Il s’ensuit que, même si les rédacteurs du traité ont pris en considération d’autres sujets que les institutions dans la liste des personnes habilitées à défendre leurs prérogatives en vertu de cette disposition, ils ont choisi de ne pas inclure le CEPD.
33 Certes, le statut du CEPD en tant qu’autorité indépendante de contrôle est mentionné à l’article 16, paragraphe 2, TFUE, qui dispose que le respect des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union est soumis au contrôle d’autorités indépendantes, et à l’article 8, paragraphe 3, de la Charte, lequel prévoit que le respect des règles relatives à la protection des données à
caractère personnel est soumis au contrôle d’une autorité indépendante.
34 Néanmoins, le CEPD a été institué par un acte de droit dérivé, à savoir l’article 41, paragraphe 1, du règlement no 45/2001, et non de droit primaire.
35 Partant, le CEPD, bien qu’étant un organe de l’Union ayant un statut particulier, n’est pas une institution de l’Union et, en tout état de cause, ne peut pas être considéré comme figurant parmi les parties requérantes visées à l’article 263, deuxième et troisième alinéas, TFUE.
36 Eu égard à ce qui précède, dans la mesure où l’article 51, sous b), du statut de la Cour de justice de l’Union européenne précise que sont réservés à la Cour les recours visés à l’article 263 TFUE qui sont formés notamment par une institution de l’Union contre un acte législatif et que le CEPD n’est ni une institution, ni une partie requérante visée à l’article 263, deuxième et troisième alinéas, TFUE, le Tribunal est compétent pour statuer sur le recours.
37 Partant, il convient d’examiner les motifs d’irrecevabilité soulevés par le Conseil.
Sur le premier motif d’irrecevabilité
38 Premièrement, le Conseil relève, en substance, que, lors des révisions successives des traités qui ont eu lieu depuis 1990, la qualité pour agir en annulation a été considérablement élargie à d’autres institutions, organes et organismes de l’Union, mais que le CEPD n’a pas pour autant été considéré comme un organisme devant bénéficier d’un accès privilégié aux recours en annulation. Deuxièmement, il précise que le rôle du CEPD en vertu de l’article 52, paragraphe 3, du règlement 2018/1725 est de
contrôler le traitement des données à caractère personnel effectué par les institutions et organes de l’Union et de conseiller ces institutions et organes en matière de protection des données. Troisièmement, le Conseil soutient que l’arrêt du 22 mai 1990, Parlement/Conseil (C‑70/88, EU:C:1990:217), n’est pas applicable au cas d’espèce, dans la mesure où le CEPD n’est pas privé d’une protection juridictionnelle suffisante et effective, contrairement au Parlement dans cet arrêt. Quatrièmement, le
Conseil fait valoir que le CEPD ne saurait invoquer l’article 8, paragraphe 3, et l’article 47 de la Charte pour justifier sa qualité pour agir.
39 Le CEPD conteste les arguments du Conseil.
40 Le CEPD soutient qu’il a qualité pour agir afin de défendre ses prérogatives institutionnelles, indépendamment des conditions prévues à l’article 263, quatrième alinéa, TFUE. Premièrement, il indique que le principe de l’équilibre institutionnel tel qu’interprété dans l’arrêt du 22 mai 1990, Parlement/Conseil (C‑70/88, EU:C:1990:217), protège également ses prérogatives en tant qu’autorité de contrôle indépendante des institutions et organes de l’Union, en vertu de l’article 8, paragraphe 3, de la
Charte et de l’article 16, paragraphe 2, TFUE. Deuxièmement, le CEPD estime que l’analyse effectuée par le Conseil des différentes voies de recours confirme qu’aucune de ces procédures ne pouvait être effectivement utilisée pour contester, de manière autonome, un acte du législateur qui compromettait directement et spécifiquement l’indépendance des autorités de contrôle protégée par la Charte et le traité FUE. Troisièmement, il précise que l’article 8, paragraphe 3, de la Charte consacre le droit
fondamental des personnes à bénéficier d’un contrôle indépendant de l’application des règles relatives à la protection de leurs données à caractère personnel et que l’article 16, paragraphe 2, TFUE a renforcé ces règles. Quatrièmement, il rappelle que ses prérogatives ont été affectées en l’espèce dans la mesure où les dispositions attaquées constituent une application rétroactive illégale visant son activité répressive et que la procédure législative a été utilisée comme mesure ad hoc pour
contrer cette activité.
41 À cet égard, il convient de rappeler que, dans l’arrêt du 22 mai 1990, Parlement/Conseil (C‑70/88, EU:C:1990:217), la Cour a constaté que le texte de l’article 173 du traité CEE n’offrait au Parlement aucune possibilité de contester, devant les juges de l’Union, les actes adoptés par les autres institutions susceptibles de porter atteinte à ses propres prérogatives et elle a choisi de combler cette lacune en recourant au principe général de l’équilibre institutionnel.
42 En premier lieu, dans l’arrêt du 22 mai 1990, Parlement/Conseil (C‑70/88, EU:C:1990:217), après avoir précisé, au point 13, que le Parlement n’était pas mentionné à l’article 173, premier alinéa, du traité CEE ou à l’article 146, premier alinéa, du traité CEEA parmi les institutions qui pouvaient, avec les États membres, agir en annulation contre tout acte d’une autre institution, la Cour a constaté au point 14 que le Parlement n’était pas une personne morale et que, ainsi, il ne pouvait pas
saisir la Cour sur le fondement du deuxième alinéa de l’article 173CEE, qui a été remplacé par l’article 230 CE, puis par l’article 263 TFUE et qui correspond en substance au quatrième alinéa de ce dernier article.
43 Or, en l’espèce, ainsi que cela sera développé aux points 59 à 66 ci-après, un organe ou un organisme créé par un acte de droit dérivé de l’Union peut être assimilé à une personne morale et, partant, introduire un recours en annulation sur le fondement de l’article 263, quatrième alinéa, TFUE.
44 En second lieu, la Cour a également estimé aux points 21 et 22 de l’arrêt du 22 mai 1990, Parlement/Conseil (C‑70/88, EU:C:1990:217), que les prérogatives du Parlement « [étaient] l’un des éléments de l’équilibre institutionnel créé par les traités » et que « [l]e respect de l’équilibre institutionnel impliqu[ait] que chacune des institutions exerce ses compétences dans le respect de celles des autres [et] exige[ait] que tout manquement à cette règle, s’il [venait] à se produire, puisse être
sanctionné ».
45 Ainsi, la Cour a considéré qu’elle devait pouvoir assurer le maintien de l’équilibre institutionnel et, par conséquent, le contrôle juridictionnel du respect des prérogatives du Parlement, lorsqu’elle était saisie à cette fin par ce dernier, par une voie de droit adaptée à l’objectif qu’il poursuivait (voir, en ce sens, arrêt du 22 mai 1990, Parlement/Conseil, C‑70/88, EU:C:1990:217, point 23).
46 Néanmoins, il a été établi aux points 25 à 36 ci-dessus que le CEPD ne pouvait pas être considéré comme une institution, mais qu’il était un organe de l’Union, non visé à l’article 263, deuxième et troisième alinéas, TFUE.
47 Certes, le CEPD a un statut particulier, dans la mesure où l’article 16, paragraphe 2, TFUE indique que le respect des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union est soumis au contrôle d’autorités indépendantes et l’article 8, paragraphe 3, de la Charte prévoit que le respect des règles relatives à la protection des données à caractère personnel est soumis au contrôle
d’une autorité indépendante.
48 Cependant, bien qu’il ne soit pas contesté que la création d’autorités de contrôle indépendantes est un élément essentiel de la protection des individus concernant la protection des données personnelles, l’indépendance dans laquelle le CEPD doit exercer ses fonctions en pratique n’a pas vocation à limiter les pouvoirs du législateur de l’Union.
49 Sur cette question, il y a lieu de constater que le pouvoir législatif réservé au Parlement et au Conseil, à l’article 14, paragraphe 1, et à l’article 16, paragraphe 1, TUE, qui s’inscrit dans le principe d’attribution des pouvoirs consacré à l’article 13, paragraphe 2, TUE et, plus largement, dans le principe d’équilibre institutionnel, caractéristique de la structure institutionnelle de l’Union, implique qu’il revient exclusivement à ces institutions de déterminer le contenu d’un acte
législatif [voir arrêt du 14 juillet 2022, Italie et Comune di Milano/Conseil et Parlement (Siège de l’Agence européenne des médicaments), C‑106/19 et C‑232/19, EU:C:2022:568, point 146 et jurisprudence citée].
50 À cet égard, l’article 16, paragraphe 2, TFUE prévoit, dans la première phrase, que « [l]e Parlement européen et le Conseil, statuant conformément à la procédure législative ordinaire, fixent les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union », puis, dans la seconde phrase, que « [l]e respect de ces règles est soumis au contrôle d’autorités indépendantes ».
51 Partant, le CEPD est tenu d’exercer ses missions et pouvoirs, en toute indépendance, mais dans le cadre des actes législatifs adoptés conjointement par le Parlement et le Conseil et conformément à ceux-ci. Ainsi, c’est dans le cadre de l’application des actes législatifs adoptés par ces deux institutions que le CEPD, qui est une autorité indépendante, contrôle le respect des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les
institutions, organes et organismes de l’Union.
52 Sur cette question, il convient de noter, à l’instar du Conseil, que le législateur de l’Union a précisé, à l’article 58, paragraphe 4, du règlement 2018/1725 que « le [CEPD] a le pouvoir de saisir la Cour dans les conditions prévues par les traités et d’intervenir dans les affaires portées devant la Cour ».
53 Cette conclusion ne saurait être remise en cause par l’argumentation du CEPD relative au fait que son indépendance a été, en l’espèce, affectée par l’utilisation des pouvoirs législatifs pour modifier rétroactivement une situation définitivement réglée par une décision qu’il aurait adoptée en vertu des règles applicables ratione temporis.
54 À cet égard, il y a lieu de relever que la décision du 3 janvier 2022, dont les effets, selon le CEPD, ont été annulés rétroactivement par les dispositions attaquées, a été adoptée dans le cadre de la mission du CEPD de contrôler le respect des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union, telle que prévue à l’article 16, paragraphe 2, TFUE.
55 Le fait que les règles susvisées aient été modifiées par le législateur n’affecte pas l’indépendance du CEPD en tant que telle, mais modifie le cadre dans lequel il doit exercer son contrôle sur lesdites règles, en tant qu’autorité indépendante.
56 Partant, l’arrêt du 22 mai 1990, Parlement/Conseil (C‑70/88, EU:C:1990:217), ne saurait être appliqué par analogie au cas d’espèce et le CEPD ne saurait se voir reconnaître qualité pour agir en vertu cet arrêt.
57 Par conséquent, le CEPD doit être considéré comme une partie requérante devant remplir les conditions prévues à l’article 263, quatrième alinéa, TFUE.
Sur le second motif d’irrecevabilité
58 Selon l’article 263, quatrième alinéa, deuxième membre de phrase, TFUE, toute personne physique ou morale peut former un recours contre les actes qui la concernent directement et individuellement.
59 Il y a donc lieu, à titre liminaire, d’examiner si le CEPD peut, en tant qu’organe de l’Union, être assimilé à une personne morale au sens de l’article 263, quatrième alinéa, TFUE.
60 À cet égard, il a été considéré que la notion de « personne morale » utilisée à l’article 263, quatrième alinéa, TFUE ne saurait recevoir une interprétation restrictive [arrêt du 22 juin 2021, Venezuela/Conseil (Affectation d’un État tiers), C‑872/19 P, EU:C:2021:507, point 44].
61 Il ressort d’ailleurs plus généralement de la jurisprudence que non seulement les personnes morales privées, mais également les entités publiques, ont la qualité pour agir conformément à l’article 263, quatrième alinéa, TFUE [arrêt du 22 juin 2021, Venezuela/Conseil (Affectation d’un État tiers), C‑872/19 P, EU:C:2021:507, point 46].
62 Il a également été considéré qu’une entité, dans la mesure où elle jouissait de la personnalité juridique, pouvait, en principe, introduire un recours en annulation en vertu de l’article 263, quatrième alinéa, TFUE [arrêt du 22 juin 2021, Venezuela/Conseil (Affectation d’un État tiers), C‑872/19 P, EU:C:2021:507, point 45, et ordonnance du 10 septembre 2020, Cambodge et CRF/Commission, T‑246/19, EU:T:2020:415, point 48].
63 À cet égard, ont été identifiés comme des éléments de base de la personnalité juridique, notamment, une autonomie et une responsabilité, même restreints (voir, en ce sens, ordonnance du 14 novembre 1963, Lassalle/Parlement, 15/63, EU:C:1963:47, p. 100).
64 En l’espèce, aux termes de l’article 54, paragraphe 2, du règlement 2018/1725, le CEPD dispose des ressources humaines et financières nécessaires à l’exercice de ses missions. Par ailleurs, au titre de l’article 58, paragraphes 4 et 5, du même règlement, il a la capacité de saisir le juge de l’Union et l’exercice de ses pouvoirs peut faire l’objet d’un recours juridictionnel effectif.
65 Dans ces conditions, une interprétation de l’article 263, quatrième alinéa, TFUE à la lumière des principes de contrôle juridictionnel effectif et de l’État de droit milite en faveur de l’interprétation suivant laquelle il convient de considérer qu’un organe de l’Union, tel que le CEPD, devrait avoir la qualité pour agir, en tant que « personne morale », au sens de l’article 263, quatrième alinéa, TFUE, lorsque les autres conditions prévues par cette disposition sont remplies. Une telle personne
morale est en effet tout autant susceptible qu’une autre personne ou entité d’être affectée négativement dans ses droits ou intérêts par un acte de l’Union et doit ainsi être en mesure, dans le respect de ces conditions, de poursuivre l’annulation d’un tel acte [voir, en ce sens, arrêt du 22 juin 2021, Venezuela/Conseil (Affectation d’un État tiers), C‑872/19 P, EU:C:2021:507, point 50].
66 Il s’ensuit que, conformément à l’article 263, quatrième alinéa, TFUE, le CEPD a la qualité pour agir en annulation contre les dispositions attaquées, à condition qu’il soit directement et individuellement concerné par celles-ci au sens de cet article.
67 Le Conseil excipant de l’irrecevabilité du recours faute d’affectation directe et individuelle du CEPD, il y a lieu d’examiner si le recours est recevable au regard de ces conditions.
68 S’agissant de l’affectation directe, le Conseil fait valoir, en substance, que les dispositions attaquées n’affectent pas les compétences du CEPD ni la décision de ce dernier du 3 janvier 2022 et qu’elles laissent un pouvoir d’appréciation à leurs destinataires.
69 Le CEPD conteste les arguments du Conseil et fait valoir, en substance, que les dispositions attaquées créent un précédent en vertu duquel le législateur exerce une pression injustifiée sur une autorité de contrôle, que la décision du 3 janvier 2022 a été privée d’effet par les dispositions attaquées et que, indépendamment de toute action d’Europol ou des États membres, les dispositions attaquées produisent des effets juridiques contraires à ceux découlant de la législation telle qu’elle existait
et telle qu’elle est interprétée par cette décision.
70 S’agissant de la condition selon laquelle une personne morale doit être directement concernée, celle-ci requiert, selon une jurisprudence constante, que deux critères soient cumulativement satisfaits, à savoir que la mesure contestée, d’une part, produise directement des effets sur la situation juridique de la partie requérante et, d’autre part, ne laisse aucun pouvoir d’appréciation aux destinataires chargés de sa mise en œuvre, celle-ci ayant un caractère purement automatique et découlant de la
seule réglementation de l’Union, sans application d’autres règles intermédiaires (voir arrêt du 13 janvier 2022, Allemagne – Ville de Paris e.a./Commission, C‑177/19 P à C‑179/19 P, EU:C:2022:10, point 72 et jurisprudence citée).
71 En outre, pour déterminer si un acte produit des effets juridiques, il y a lieu de s’attacher notamment à son objet, à son contenu, à sa portée, à sa substance ainsi qu’au contexte juridique et factuel dans lequel il est intervenu [arrêt du 22 juin 2021, Venezuela/Conseil (Affectation d’un État tiers), C‑872/19 P, EU:C:2021:507, point 66].
72 Plus particulièrement, il a été considéré qu’un acte du droit de l’Union qui empêchait une personne morale publique d’exercer, comme elle l’entendait, ses compétences propres produisait directement des effets sur la situation juridique de cette personne morale, de sorte que celle-ci devait être considérée comme étant directement concernée par cet acte, au sens de l’article 263, quatrième alinéa, TFUE [arrêt du 13 janvier 2022, Allemagne – Ville de Paris e.a./Commission, C‑177/19 P à C‑179/19 P,
EU:C:2022:10, point 73 ; voir également, en ce sens, arrêt du 22 juin 2021, Venezuela/Conseil (Affectation d’un État tiers), C‑872/19 P, EU:C:2021:507, point 69].
73 Concernant, premièrement, la condition relative aux effets sur la situation juridique du CEPD, en premier lieu, il y a lieu de relever qu’il ressort de l’article 1er, paragraphe 3, du règlement 2018/1725 et de l’article 43, paragraphe 1, du règlement Europol initial que le CEPD est chargé du contrôle de l’application par les institutions, les organes ou organismes de l’Union des règles pertinentes relatives à la protection des données à caractère personnel. En l’espèce, les dispositions attaquées
modifient le règlement Europol initial et concernent principalement ce dernier. Ainsi, ces dernières n’ont pas d’incidence sur la nature ou sur la portée des missions confiées au CEPD par la législation de l’Union.
74 S’il est vrai que le régime juridique que le CEPD est chargé de contrôler a été modifié, ses propres compétences ne l’ont pas été, car la manière dont il peut légalement exercer ces dernières n’a pas été modifiée en tant que telle.
75 Ainsi, le CEPD n’est pas directement concerné par les dispositions attaquées, dans la mesure où ses droits, obligations ou compétences n’ont pas été affectés par ces dispositions.
76 En second lieu, s’agissant des effets des dispositions attaquées sur la décision du 3 janvier 2022, il y a lieu de relever qu’il existe un chevauchement entre les ensembles de données visés par la décision précitée et par les dispositions attaquées. Toutefois, la décision du 3 janvier 2022 est une décision administrative qui ne saurait avoir d’incidence sur des actes législatifs tel que le règlement Europol modifié ni en affecter le contenu.
77 Cette conclusion ne saurait être remise en cause par l’argument du CEPD selon lequel les dispositions attaquées créeraient un précédent en vertu duquel le législateur pourrait exercer une pression injustifiée sur une autorité de contrôle. En effet, bien que les dispositions attaquées modifient le cadre juridique applicable, dont le CEPD est chargé de contrôler le respect, et qu’elles n’aient pas entièrement la même portée que celle de la décision du 3 janvier 2022, elles n’affectent pas pour
autant sa situation juridique.
78 Deuxièmement, et en tout état de cause, s’agissant de la condition relative à la marge d’appréciation des destinataires chargés de la mise en œuvre des dispositions attaquées, il y a lieu de relever que ces dernières laissent une certaine marge d’appréciation à Europol.
79 En effet, conformément aux dispositions attaquées, Europol est chargée de décider de la manière de traiter les ensembles de données qui lui ont été transmis par un État membre ou par d’autres entités et qui étaient en sa possession au moment de l’entrée en vigueur du règlement Europol modifié. Europol est appelée à catégoriser les ensembles de données qui étaient en sa possession au moment de l’entrée en vigueur du règlement Europol modifié et à décider s’il y a lieu de continuer à traiter les
ensembles de données appartenant à des catégories de personnes qui ne relèvent pas du champ d’application de l’annexe II du règlement Europol modifié à l’appui d’enquêtes pénales en cours et qui lui ont été transmis par un État membre ou par d’autres entités.
80 Ainsi, il revient à Europol de décider de poursuivre ou non le traitement de certaines données. Partant, le rôle de contrôle du CEPD concernant les dispositions attaquées est sujet à l’intervention première d’Europol, d’États membres ou d’autres entités.
81 En effet, d’une part, l’article 74 bis du règlement Europol modifié prévoit qu’Europol transmet au CEPD pour information l’évaluation visée à l’article 74 bis, paragraphe 1, sous c), et paragraphe 3, sous d), de ce règlement. D’autre part, l’article 74 ter du règlement Europol modifié prévoit, en substance, qu’Europol peut effectuer une analyse préliminaire des données à caractère personnel reçues avant le 28 juin 2022 pendant une période ne dépassant pas 18 mois ou, dans des cas justifiés et
avec l’autorisation préalable du CEPD, pendant une plus longue période.
82 Ainsi, les dispositions attaquées laissent un pouvoir d’appréciation à leurs destinataires. Elles n’ont donc pas un caractère purement automatique et découlant de la seule réglementation de l’Union envers le CEPD, sans application d’autres règles intermédiaires.
83 Cette conclusion ne saurait être remise en cause par l’argument du CEPD selon lequel le simple fait de laisser aux États membres ou aux agences de l’Union le choix d’autoriser la poursuite du traitement de données sans catégorisation porte directement atteinte à la décision du 3 janvier 2022. En effet, sur cette question il y a lieu de relever que les dispositions attaquées n’empêchent pas le CEPD d’exercer, comme il l’entend, ses compétences propres au sens de la jurisprudence rappelée au
point 72 ci-dessus.
84 Par conséquent, les dispositions attaquées n’affectent pas directement la situation juridique du CEPD.
85 Ainsi, les conditions de l’affectation directe et de l’affectation individuelle par l’acte dont l’annulation est demandée étant cumulatives, le fait que l’une d’entre elles fasse défaut à l’égard d’une partie requérante a pour conséquence que le recours en annulation qu’elle a formé contre cet acte doit être considéré comme étant irrecevable (arrêt du 3 octobre 2013, Inuit Tapiriit Kanatami e.a./Parlement et Conseil, C‑583/11 P, EU:C:2013:625, point 76).
86 Eu égard à ce qui précède, il y a lieu d’accueillir l’exception d’irrecevabilité soulevée par le Conseil et de rejeter les conclusions dirigées contre ce dernier comme étant irrecevables au titre de l’article 130 du règlement de procédure.
87 Pour ce motif, les conclusions dirigées contre le Parlement et qui visent à l’annulation des dispositions attaquées dont ce dernier est également l’auteur doivent être rejetées comme étant manifestement irrecevables au sens de l’article 126 du règlement de procédure.
88 En outre, conformément à l’article 144, paragraphe 3, du règlement de procédure, lorsque la partie défenderesse a déposé une exception d’irrecevabilité ou d’incompétence visée à l’article 130, paragraphe 1, du même règlement, il n’est statué sur la demande d’intervention qu’après le rejet ou la jonction de l’exception au fond. En outre, conformément à l’article 142, paragraphe 2, du même règlement, l’intervention perd son objet, notamment lorsque la requête est déclarée irrecevable. En l’espèce,
le recours étant rejeté comme étant irrecevable dans son ensemble, il n’y a pas lieu de statuer sur la demande d’intervention de la République française, de la République fédérale d’Allemagne, de la Commission, du Royaume de Belgique et du Royaume des Pays-Bas.
Sur les dépens
89 Aux termes de l’article 134, paragraphe 1, du règlement de procédure, toute partie qui succombe est condamnée aux dépens, s’il est conclu en ce sens.
90 Le CEPD ayant succombé, il y a lieu de le condamner aux dépens exposés par le Conseil et le Parlement conformément aux conclusions de ces derniers, à l’exception de ceux afférents aux demandes d’intervention.
91 En outre, en application de l’article 144, paragraphe 10, du règlement de procédure, lorsqu’il est mis fin à l’instance dans l’affaire principale avant qu’il ne soit statué sur une demande d’intervention, le demandeur en intervention et les parties principales supportent chacun leurs propres dépens afférents à la demande en intervention. Par conséquent, le CEPD, le Conseil et le Parlement ainsi que la Commission, le Royaume de Belgique, la République fédérale d’Allemagne, la République française
et le Royaume des Pays-Bas supporteront leurs propres dépens afférents aux demandes d’intervention.
Par ces motifs,
LE TRIBUNAL (première chambre élargie)
ordonne :
1) Le recours est rejeté comme étant en partie irrecevable et en partie manifestement irrecevable.
2) Il n’y a pas lieu de statuer sur les demandes en intervention présentées par la Commission européenne, par le Royaume de Belgique, par la République fédérale d’Allemagne, par la République française et par le Royaume des Pays-Bas.
3) Le Contrôleur européen de la protection des données (CEPD) est condamné à supporter ses propres dépens ainsi que ceux du Conseil de l’Union européenne et du Parlement européen, à l’exception de ceux afférents aux demandes en intervention.
4) Le CEPD, le Conseil, le Parlement ainsi que la Commission, le Royaume de Belgique, la République fédérale d’Allemagne, la République française et le Royaume des Pays-Bas supporteront leurs propres dépens afférents aux demandes en intervention.
Fait à Luxembourg, le 6 septembre 2023.
Signatures.
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( *1 ) Langue de procédure : l’anglais.
