Sentenza del Tribunale (Quinta Sezione) del 25 febbraio 2026.#BW contro Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto e Agenzia dell'Unione europea per la cooperazione giudiziaria penale.#Cooperazione delle autorità di polizia e delle altre autorità di contrasto degli Stati membri – Servizio di comunicazioni cifrate Sky ECC – Asseriti trattamenti illeciti di dati personali – Ricorso di annullamento – Atto non impugnabile – Atto preparatorio – Ricevibilità – Trattamento di dati personali da parte degli Stati membri e loro trasferimento a Europol – Trasferimento di dati personali da Europol a uno Stato membro – Trasferimento di dati personali da Eurojust a un paese terzo – Responsabilità extracontrattuale – Articolo 50 del regolamento (UE) 2016/794 – Responsabilità solidale di Europol e degli Stati membri per trattamenti illeciti di dati – Violazione sufficientemente qualificata di una norma giuridica che conferisce diritti ai singoli – Effettività del danno – Regolamento (UE) 2018/1727 – Insufficiente coordinamento, da parte di Eurojust, dei procedimenti penali tra uno Stato membro e un paese terzo – Articoli 71, 72, 89, 91 e 92 del regolamento (UE) 2018/1725.#Causa T-1180/23.

Edizione provvisoria

SENTENZA DEL TRIBUNALE (Quinta Sezione)

25 febbraio 2026 (*)

« Cooperazione delle autorità di polizia e delle altre autorità di contrasto degli Stati membri – Servizio di comunicazioni cifrate Sky ECC – Asseriti trattamenti illeciti di dati personali – Ricorso di annullamento – Atto non impugnabile – Atto preparatorio – Ricevibilità – Trattamento di dati personali da parte degli Stati membri e loro trasferimento a Europol – Trasferimento di dati personali da Europol a uno Stato membro – Trasferimento di dati personali da Eurojust a un paese terzo – Responsabilità extracontrattuale – Articolo 50 del regolamento (UE) 2016/794 – Responsabilità solidale di Europol e degli Stati membri per trattamenti illeciti di dati – Violazione sufficientemente qualificata di una norma giuridica che conferisce diritti ai singoli – Effettività del danno – Regolamento (UE) 2018/1727 – Insufficiente coordinamento, da parte di Eurojust, dei procedimenti penali tra uno Stato membro e un paese terzo – Articoli 71, 72, 89, 91 e 92 del regolamento (UE) 2018/1725 »

Nella causa T‑1180/23,

BW, rappresentato da J. Reisinger, avvocato,

ricorrente,

contro

Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol), rappresentata da A. Nunzi, in qualità di agente, assistito da G. Ziegenhorn, M. Kottmann, T. Shulman e S. Steinbarth, avvocati,

e

Agenzia dell’Unione europea per la cooperazione giudiziaria penale (Eurojust), rappresentata da J. Carmona-Bermejo e M. Castro Granja, in qualità di agenti, assistite da M. Kottmann, G. Ziegenhorn, T. Shulman e S. Steinbarth,

convenute,

sostenute da

Regno del Belgio, rappresentato da M. Jacobs, M. Van Regemorter e C. Jacob, in qualità di agenti,

da

Regno di Spagna, rappresentato da A. Gavela Llopis, in qualità di agente,

e da

Regno dei Paesi Bassi, rappresentato da J. Langer e M. Bulterman, in qualità di agenti,

intervenienti

IL TRIBUNALE (Quinta Sezione),

composto, al momento della deliberazione, da J. Svenningsen (relatore), presidente, J. Martín y Pérez de Nanclares e M. Stancu, giudici,

cancelliere: L. Ramette, amministratore

vista la fase scritta del procedimento,

in seguito all’udienza del 9 settembre 2025,

ha pronunciato la seguente

Sentenza

1        Con il suo ricorso, il ricorrente, BW, chiede, in sostanza, da un lato, sulla base dell’articolo 263 TFUE, l’annullamento dell’accordo volto alla costituzione di una squadra investigativa comune (in prosieguo: la «SIC») relativa al servizio di comunicazione cifrata Sky ECC (in prosieguo: l’ «accordo SIC») nonché delle operazioni di trattamento, analisi e condivisione, da parte dell’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol), l’Agenzia dell’Unione europea per la cooperazione giudiziaria penale (Eurojust) nonché gli Stati membri coinvolti nell’indagine su tale servizio, dei dati provenienti da detto servizio che lo riguardano e, dall’altra, sulla base dell’articolo 268 TFUE, il risarcimento dei danni materiali e morali che egli avrebbe subito a causa degli atti e dei comportamenti di Europol, di Eurojust e di detti Stati membri.

I.      Fatti

2        Il ricorrente è un cittadino serbo, perseguito penalmente e detenuto nei Paesi Bassi dall’8 maggio 2023 per l’importazione in tale Stato membro di 743 kg di cocaina, intercettati il 4 agosto 2020 a Rotterdam (Paesi Bassi). Dall’autunno 2023 è altresì perseguito penalmente in Serbia per, in particolare, reati di traffico di stupefacenti.

3        I procedimenti penali condotti dalle autorità dei Paesi Bassi e serbe traggono origine da misure di indagine avviate alla fine degli anni 2010 dalle autorità belghe, dei Paesi Bassi e francesi contro l’«organizzazione Sky ECC», dove «ECC» significa «Elliptic Curve Cryptography» (crittografia a curva ellittica), sospettata di commercializzare prodotti e servizi di comunicazione cifrate diretti specificamente a facilitare la commissione di reati.

4        A seguito di tali misure di indagine nazionali, il Regno del Belgio e il Regno dei Paesi Bassi hanno emesso, alla fine del 2018, decisioni di indagine comune con le quali chiedevano alla Repubblica francese di creare un’immagine dei server utilizzati dal servizio Sky ECC e situati a Roubaix (Francia). Tale Stato membro ha dato seguito a tale richiesta procedendo, mediante la tecnica dell’«attacco man in the middle» (uomo nel mezzo), all’intercettazione, alla registrazione e alla trascrizione delle comunicazioni cifrate in entrata e in uscita da tali server, compresi i dati riguardanti il ricorrente.

5        Il 13 dicembre 2019 le autorità belghe, francesi e dei Paesi Bassi, mediante l’accordo SIC concluso tra loro sulla base dell’articolo 13 della convenzione stabilita dal Consiglio conformemente all’articolo 34 TUE, relativa all’assistenza giudiziaria in materia penale tra gli Stati membri dell’Unione europea (GU 2000, C 197, pag. 1), e della decisione quadro del Consiglio, del 13 giugno 2002, relativa alle squadre investigative comuni (GU 2002, L 162, pag. 1), hanno istituito la SIC.

6        L’accordo SIC prevede quanto segue:

«La costituzione della SIC mira a facilitare le indagini in corso in Belgio, in Francia e nei Paesi Bassi sul/i fornitore/i e sugli utenti del servizio Sky ECC e a condividere il know-how tecnico e le risorse (…). L’obiettivo della SIC è l’elaborazione, lo sviluppo e l’attuazione in comune della tecnica necessaria per decriptare le comunicazioni passate e smantellare il server; l’identificazione e la localizzazione degli utenti che si muovono all’interno e tra i tre paesi; l’istituzione e il coordinamento di una giornata o di giornate d’azione comune allo scopo di arrestare e perseguire in giudizio i facilitatori e gli utenti di Sky ECC».

7        La SIC ha portato alla condivisione tra Europol e i tre Stati membri interessati dei dati grezzi intercettati, che dovevano essere successivamente analizzati, nonché dei risultati di tale analisi.

8        Nell’ambito di tale cooperazione ancora in corso alla data dell’udienza nella presente causa, Europol ha conservato i dati nel suo sistema informatico, proceduto a verifiche incrociate, prodotto relazioni di informazione, generato grafici di visualizzazione dei dati e interpretato insiemi di dati multilingua.

9        Da parte sua, Eurojust ha fornito sostegno e consulenze sulle possibilità di cooperazione giudiziaria e ha organizzato varie riunioni di coordinamento tra le autorità belghe, francesi e dei Paesi Bassi nonché Europol e ha facilitato la cooperazione giudiziaria tra la Repubblica di Serbia, da un lato, e il Regno dei Paesi Bassi e la Repubblica francese, dall’altro.

II.    Conclusioni delle parti

10      Il ricorrente chiede, in sostanza, che il Tribunale voglia:

–        annullare l’accordo SIC, gli atti di Europol e di Eurojust adottati sulla base di quest’ultimo nonché gli atti di trattamento, analisi e condivisione da parte loro e degli Stati membri interessati dei dati del server Sky ECC che lo riguardano;

–        condannare Europol ed Eurojust a versargli almeno EUR 71 000, a titolo di risarcimento dei danni morali e materiali derivanti, da un lato, dalla «sua detenzione (provvisoria), dalla sua notorietà pubblica, dalla sua posizione difensiva carente nonché dai dati che sono [o] possono essere caduti nelle mani sbagliate» e, dall’altro, «dalle spese legali e dalla perdita di reddito»;

–        condannare Eurojust ed Europol alle spese.

11      Eurojust ed Europol chiedono che il Tribunale voglia:

–        respingere il ricorso in quanto irricevibile e, in ogni caso, in quanto infondato;

–        condannare il ricorrente alle spese.

12      Il Regno di Spagna chiede che il Tribunale voglia respingere il ricorso in quanto irricevibile o, in subordine, in quanto infondato e condannare il ricorrente alle spese.

13      Il Regno dei Paesi Bassi chiede che il Tribunale voglia respingere il ricorso e condannare il ricorrente alle spese.

III. In diritto

14      A sostegno dei suoi capi delle conclusioni diretti indistintamente contro Europol ed Eurojust, il ricorrente deduce gli stessi quattro motivi di ricorso.

15      Il primo motivo di ricorso verte, in sostanza, sul carattere illegale e sproporzionato della raccolta e del trattamento dei dati personali provenienti dal servizio Sky ECC da parte degli Stati membri interessati e da «Europol e/o Eurojust», dalla loro prima intercettazione nel 2019 fino all’ultimo scambio di risultati con altri paesi.

16      In risposta a un quesito del Tribunale in udienza, il ricorrente ha dichiarato di non far valere alcun atto o comportamento successivo al 24 giugno 2022, data in cui le autorità francesi hanno trasmesso alle autorità serbe, tramite Eurojust, un link verso un sito di download protetto che metteva a disposizione di tale paese terzo le informazioni relative a talune conversazioni provenienti dal servizio Sky ECC e legate a identificativi di connessione specificamente identificati, tra i quali erano presenti le discussioni del ricorrente.

17      Il secondo motivo di ricorso verte, in sostanza, sulla violazione da parte di Europol ed Eurojust, rispettivamente, dell’articolo 28 del regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio, dell’11 maggio 2016, che istituisce l’[Europol] e sostituisce e abroga le decisioni del Consiglio 2009/371/GAI, 2009/934/GAI, 2009/935/GAI, 2009/936/GAI e 2009/968/GAI (GU 2016, L 135, pag. 53), e dell’articolo 71 del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU 2018, L 295, pag. 39), e degli articoli 47 e 48 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta») nonché degli articoli 14 e 15 del Patto internazionale relativo ai diritti civili e politici, adottato dall’Assemblea generale delle Nazioni Unite il 16 dicembre 1966 ed entrato in vigore il 23 marzo 1976 (in prosieguo: il «Patto»), a causa dell’incompletezza dei dati del servizio Sky ECC raccolti, analizzati e trasferiti, il che avrebbe pregiudicato la facoltà del ricorrente di difendersi dinanzi agli organi giurisdizionali dei Paesi Bassi e serbi.

18      Il terzo motivo di ricorso verte, in sostanza, sulla violazione da parte di Europol ed Eurojust dell’accordo SIC, in quanto esse sono venute meno al loro obbligo di coordinamento diretto ad evitare che il ricorrente fosse sottoposto, per gli stessi fatti, a due azioni penali, nei Paesi Bassi e in Serbia.

19      Il quarto motivo di ricorso verte, in sostanza, sulla violazione da parte di Europol ed Eurojust, rispettivamente, dell’articolo 32 del regolamento 2016/794 e degli articoli 89 e 92 del regolamento 2018/1725, non avendo esse debitamente protetto i dati personali del ricorrente.

A.      Sui fatti e sugli atti contestati nonché sulla competenza del Tribunale a conoscerne

1.      Osservazioni preliminari

20      Con i capi delle sue conclusioni, il ricorrente contesta indistintamente a Europol e a Eurojust diversi comportamenti o atti illeciti aventi ad oggetto la raccolta e il trattamento dei suoi dati personali, intervenuti nell’ambito delle indagini penali condotte dal Regno del Belgio, dalla Repubblica francese e dal Regno dei Paesi Bassi, relative al servizio Sky ECC e alle quali Europol ed Eurojust hanno partecipato.

21      Nei limiti in cui il ricorrente critica non solo comportamenti imputabili a Europol ed Eurojust, ma anche comportamenti imputabili agli Stati membri che hanno partecipato alla SIC nonché alla Repubblica di Serbia, occorre effettuare le seguenti osservazioni preliminari.

22      In primo luogo, per quanto riguarda il capo delle conclusioni fondato sull’articolo 263 TFUE, da tale disposizione risulta espressamente che il ricorso di annullamento può essere diretto solo contro atti adottati da un’istituzione, un organo o un organismo dell’Unione europea.

23      Pertanto, nell’ambito di un ricorso proposto sul fondamento dell’articolo 263 TFUE, il giudice dell’Unione non è competente a statuire sulla legittimità di un atto adottato da un’autorità nazionale (sentenza del 3 dicembre 1992, Oleificio Borelli/Commissione, C‑97/91, EU:C:1992:491, punto 9) e tale rilievo non è inficiato dalla circostanza che l’atto de quo costituisce parte integrante di un processo decisionale dell’Unione (sentenza del 29 gennaio 2020, GAEC Jeanningros, C‑785/18, EU:C:2020:46, punto 27).

24      Analogamente, il Tribunale ha avuto occasione di dichiarare che il controllo, nell’ambito di un ricorso di annullamento, della legittimità della trasmissione a un’istituzione dell’Unione, da parte di un procuratore nazionale o delle autorità, di informazioni raccolte in conformità al diritto penale nazionale era una questione che rientrava, in linea di principio, nell’ambito del diritto nazionale che disciplina lo svolgimento delle indagini condotte da dette autorità nazionali nonché, in caso di contenzioso giudiziario, nella competenza dei giudici nazionali (v., in tal senso, sentenza dell’8 luglio 2004, Dalmine/Commissione, T‑50/00, EU:T:2004:220, punto 86).

25      Ne consegue che, nei limiti in cui il ricorrente chiede l’annullamento delle operazioni di intercettazione effettuate dalle autorità francesi – su autorizzazione di un giudice francese –, l’annullamento dello «svolgimento di tali operazioni», l’annullamento della trasmissione a Europol da parte delle autorità francesi dei documenti e delle informazioni ottenute in occasione di queste ultime operazioni, l’annullamento della trasmissione a Eurojust e alle autorità serbe da parte delle autorità francesi dei documenti e delle informazioni richiesti dalle autorità serbe nell’ambito delle richieste di assistenza giudiziaria di queste ultime nonché l’annullamento del procedimento penale condotto dinanzi agli organi giurisdizionali serbi, il giudice dell’Unione non è competente a conoscerne.

26      Parimenti, il giudice dell’Unione non è competente a conoscere, direttamente sulla base dell’articolo 263 TFUE, della legittimità dell’accordo SIC, dal momento che quest’ultimo non è un atto dell’Unione.

27      Infatti, l’accordo SIC è stato firmato e quindi concluso unicamente da tre Stati membri, vale a dire il Regno del Belgio, la Repubblica francese e il Regno dei Paesi Bassi.

28      Tale conclusione non può essere messa in discussione dal fatto che l’accordo SIC trova il suo fondamento in una convenzione conclusa da tali Stati membri in forza dell’articolo 34 TUE nonché in una decisione quadro del Consiglio dell’Unione europea (v., in tal senso, sentenza del 17 settembre 2014, Liivimaa Lihaveis, C‑562/12, EU:C:2014:2229, punti da 45 a 51).

29      Detta conclusione non può essere messa in discussione neppure dal fatto che la creazione della SIC di cui trattasi possa essere attribuita all’iniziativa di Europol o Eurojust o, ancora, dal fatto che, in forza del punto 7 dell’accordo SIC, il Regno del Belgio, la Repubblica francese e il Regno dei Paesi Bassi hanno convenuto di associare Europol e Eurojust, in quanto «partecipanti» alla SIC, come consentito dall’articolo 13, paragrafo 12, della convenzione stabilita dal Consiglio conformemente all’articolo 34 TUE, relativa all’assistenza giudiziaria in materia penale tra gli Stati membri dell’Unione europea, in combinato disposto con il considerando 9 della decisione quadro del Consiglio, del 13 giugno 2002, relativa alle squadre investigative comuni, nonché, per quanto riguarda Europol, l’articolo 5 del regolamento 2016/794 e, per quanto riguarda Eurojust, l’articolo 8, paragrafo 1, lettera d), del regolamento (UE) 2018/1727 del Parlamento europeo e del Consiglio, del 14 novembre 2018, che istituisce l’[Eurojust] e che sostituisce e abroga la decisione 2002/187/GAI del Consiglio (GU 2018, L 295, pag. 138).

30      Infatti, la facoltà, conferita dall’articolo 5 del regolamento 2016/794 e dall’articolo 8, paragrafo 1, lettera d), del regolamento 2018/1727 a Europol o a Eurojust di proporre o di aiutare nella costituzione di una SIC, così come agli agenti di queste ultime di partecipare a una SIC, non conferisce a tali agenzie lo status di «parte» dell’accordo con il quale il Regno del Belgio, la Repubblica francese e il Regno dei Paesi Bassi hanno costituito la SIC di cui trattasi.

31      Visto quanto precede, il Tribunale non è competente a conoscere, sulla base dell’articolo 263 TFUE, dell’autorizzazione da parte del giudice francese alle operazioni di intercettazione effettuate dalle autorità francesi, dello svolgimento di tali operazioni, della trasmissione a Europol da parte delle autorità francesi dei documenti e delle informazioni ottenute nel corso di queste ultime, della trasmissione ad Eurojust e alle autorità serbe da parte delle autorità francesi dei documenti e delle informazioni richiesti dalle autorità serbe nell’ambito delle richieste di assistenza giudiziaria di queste ultime, della regolarità del procedimento penale condotto dinanzi agli organi giurisdizionali serbi nonché dell’accordo SIC.

32      In secondo luogo, per quanto riguarda il capo delle conclusioni fondato sugli articoli 268 e 340 TFUE, occorre ricordare che il giudice dell’Unione è competente a conoscere di un’azione di risarcimento fondata su tali disposizioni unicamente se l’illecito fatto valere a sostegno della domanda di risarcimento promana effettivamente da un’istituzione, da un organo o da un organismo dell’Unione e non può essere considerato come imputabile a un’autorità nazionale (v., in tal senso, sentenza del 16 dicembre 2020, Consiglio/K. Chrysostomides & Co. e a., C‑597/18 P, C‑598/18 P, C‑603/18 P e C‑604/18 P, EU:C:2020:1028, punti 80, 106 e 107).

33      Inoltre, qualora la responsabilità dell’Unione sorga per un atto o per un comportamento di una delle sue istituzioni o di uno dei suoi organi o organismi, deve essere convenuto in giudizio dinanzi al Tribunale l’istituzione, l’organo o organismo responsabile dell’atto impugnato (sentenza del 13 novembre 1973, Werhahn Hansamühle e a./Consiglio e Commissione, da 63/72 a 69/72, EU:C:1973:121, punto 7).

34      Pertanto, la responsabilità dell’Unione sul fondamento degli articoli 268 e 340 TFUE non può essere ricercata presso un’istituzione, un organo o un organismo dell’Unione distinto da quella o da quello al quale è addebitato il fatto generatore della responsabilità, salvo che il legislatore dell’Unione abbia espressamente previsto un regime derogatorio di responsabilità solidale tra una di tali istituzioni o uno di tali organi o organismi dell’Unione e uno o più Stati membri, o addirittura uno o più paesi terzi, oppure tra più istituzioni, organi o organismi dell’Unione (v., per analogia, sentenza del 5 marzo 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punti 62 e 63).

35      È giocoforza constatare che qui né il regolamento 2018/1727 né alcun altro atto fatto valere dal ricorrente prevede un regime derogatorio di responsabilità solidale tra Eurojust e gli Stati membri o tra Eurojust e la Repubblica di Serbia.

36      Analogamente, in risposta ad un quesito domanda del Tribunale in udienza, il ricorrente ha indicato che il capo delle conclusioni risarcitorie non si fondava su un’eventuale responsabilità solidale di Europol per Eurojust o, ancora, di Eurojust per Europol, ma unicamente sulla responsabilità solidale di Europol per gli Stati membri.

37      Orbene, come dichiarato dalla Corte, un regime derogatorio di responsabilità solidale di Europol per gli Stati membri deve essere dedotto dal combinato disposto del considerando 57 nonché dell’articolo 49, paragrafi 3 e 4, e dell’articolo 50 del regolamento 2016/794 (v., in tal senso, sentenza del 5 marzo 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punti 62 e 63).

38      In forza di tale regime, una persona fisica può chiedere, dinanzi al giudice dell’Unione, di accertare la responsabilità di Europol per qualsiasi trattamento illecito di dati verificatosi nell’ambito di una cooperazione ai sensi del regolamento 2016/794 tra Europol e uno Stato membro e che abbia cagionato un danno a tale persona (v., in tal senso, sentenza del 5 marzo 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punti 62 e 63).

39      Nel caso di specie, si deve constatare che la cooperazione relativa al servizio Sky ECC è iniziata nel corso del mese di maggio 2019 e, come indicato da Europol in risposta a un quesito del Tribunale in udienza, era ancora in corso alla data di quest’ultima.

40      Inoltre, il ricorrente fa valere il fatto, confermato da Europol in risposta a un quesito del Tribunale in udienza, che dati personali provenienti dal servizio Sky ECC e che lo riguardano sono stati, da un lato, scambiati nell’ambito di tale cooperazione intervenuta tra Europol e le autorità belghe, francesi e dei Paesi Bassi e, dall’altro, restano in possesso di Europol.

41      Sulla base di quanto precede, il Tribunale non è competente a conoscere del secondo capo delle conclusioni nella parte in cui mira all’accertamento della responsabilità di Eurojust a causa del Regno del Belgio, della Repubblica francese e del Regno dei Paesi Bassi o, ancora, della Repubblica di Serbia, o addirittura a causa di Europol.

42      Per contro, il Tribunale è competente a conoscere del secondo capo delle conclusioni nella parte in cui mira all’accertamento della responsabilità di Eurojust per i propri comportamenti nonché della responsabilità di Europol per comportamenti imputabili tanto alla stessa quanto agli Stati membri che hanno partecipato alla cooperazione relativa al servizio Sky ECC.

43      Per quanto riguarda la responsabilità solidale di Europol per i comportamenti imputabili alle autorità belghe, francesi o dei Paesi Bassi, da un lato, occorre rilevare che, tenuto conto della data dell’ultimo fatto contestato dal ricorrente a Europol e a Eurojust – ossia uno scambio dei suoi dati personali avvenuto il 24 giugno 2022 –, alla presente controversia è applicabile solo il regime di responsabilità in solido previsto dal regolamento 2016/794 nella sua versione iniziale, in vigore fino al 27 giugno 2022 (v., in tal senso, sentenza del 10 settembre 2019, HTTS/Consiglio, C‑123/18 P, EU:C:2019:694, punto 39).

44      Dall’altro lato, dall’articolo 276 TFUE risulta che, nell’esercizio delle sue attribuzioni relative alle disposizioni dei capi 4 e 5 del titolo V della parte terza del Trattato FUE, concernenti lo spazio di libertà, sicurezza e giustizia, il giudice dell’Unione non è competente a esaminare la validità o la proporzionalità di operazioni condotte dalla polizia o da altri servizi incaricati delle attività di contrasto in uno Stato membro.

45      Pertanto, malgrado il regime di responsabilità solidale previsto dall’articolo 50, paragrafo 1, del regolamento 2016/794, Europol non può essere considerato responsabile in solido dell’eventuale danno derivante da trattamenti illeciti di dati personali di una persona fisica verificatisi in occasione di operazioni condotte dalla polizia o da altri servizi incaricati delle attività di contrasto in uno Stato membro, anche se tali trattamenti sono avvenuti nell’ambito di una cooperazione fondata su tale regolamento (v., per analogia, sentenza del 10 settembre 2024, KS e a./Consiglio e a., C‑29/22 P e C‑44/22 P, EU:C:2024:725, punto 91).

46      Malgrado la sua competenza a conoscere del secondo capo delle conclusioni nella parte in cui riguarda la responsabilità solidale di Europol per comportamenti imputabili alle autorità, in particolare francesi, il Tribunale non è quindi competente a conoscere delle affermazioni del ricorrente relative ai danni che gli sarebbero stati cagionati dalle operazioni di intercettazione dei suoi dati personali intervenute nell’ambito delle operazioni di polizia condotte dalle autorità francesi.

47      In tali circostanze e prima di esaminare le eccezioni di irricevibilità sollevate da Europol e da Eurojust nonché la fondatezza dei capi delle conclusioni presentati dal ricorrente, occorre individuare i comportamenti e gli atti contestati dal ricorrente di cui il giudice dell’Unione è competente a conoscere e determinare se essi siano imputabili a Europol o a Eurojust e, se necessario, i comportamenti o gli atti che non sono imputabili a Europol, ma che potrebbero tuttavia comportare la responsabilità di quest’ultima sulla base del regime derogatorio di responsabilità solidale previsto dall’articolo 50, paragrafo 1, del regolamento 2016/794.

2.      Sugli atti o sui comportamenti imputabili a Europol o a Eurojust

48      Il ricorrente sostiene che sono contrari al diritto dell’Unione la raccolta, il trattamento e la trasmissione dei suoi dati personali intervenuti nell’ambito delle indagini penali relative al servizio Sky ECC, alle quali hanno partecipato le autorità belghe, francesi e dei Paesi Bassi nonché Europol e Eurojust e che hanno portato alle azioni penali di cui al precedente punto 2.

49      Più specificamente e alla luce dei soli elementi di cui ha potuto prendere conoscenza in occasione della consultazione dei fascicoli relativi ai procedimenti penali avviati nei suoi confronti, il ricorrente contesta a «Europol e/o a Eurojust» il trattamento dei suoi dati personali «a partire dalla loro prima intercettazione nel 2019» fino al 24 giugno 2022, data della trasmissione da parte di Eurojust alle autorità serbe di un messaggio di posta elettronica delle autorità francesi contenente un link verso un sito di download protetto contenente in particolare alcune delle sue conversazioni provenienti dal servizio Sky ECC (precedente punto 16).

50      In tal senso, il ricorrente sostiene che Europol «ha fornito il suo sostegno all’esercizio di poteri di indagine nel territorio di numerosi paesi, all’interno e all’esterno dell’Unione». Inoltre, Europol avrebbe organizzato una riunione con le autorità belghe, francesi e dei Paesi Bassi il 27 maggio 2019, in occasione della quale sono stati condivisi i metadati di oltre 9 000 messaggi provenienti da o destinati ad utenti del servizio Sky ECC. Nel giugno 2019, dati ottenuti dalle autorità francesi in occasione di operazioni di intercettazione sarebbero stati condivisi con le autorità belghe e dei Paesi Bassi tramite Europol attraverso il suo sistema per lo scambio sicuro di informazioni chiamato «Secure Information Exchange Network Application» (SIENA).

51      Inoltre, Europol ed Eurojust sarebbero state coinvolte, a partire dal dicembre 2020, in un’operazione di raccolta delle chiavi di decriptazione dei messaggi ottenuti dalla metà del 2019, nella conservazione, nella decriptazione e nel trasferimento di tali messaggi nonché, nel marzo 2021, in un’«operazione nel corso della quale la Sky ECC è stata “abbattuta”». Il ricorrente afferma altresì che Europol ed Eurojust hanno partecipato, il 23 e il 24 luglio 2020, a un gruppo di lavoro tecnico della SIC nell’ambito del quale sono stati scoperti nuovi messaggi cifrati nonché a riunioni svoltesi il 28 agosto 2019, il 7 settembre 2020 e l’11 febbraio 2021.

52      In relazione, più in particolare, alle azioni penali avviate a suo carico in Serbia, il ricorrente deduce che Eurojust è stata destinataria di una richiesta di cooperazione delle autorità serbe presentata il 6 giugno 2022 e sfociata nella trasmissione, tramite Eurojust, di dati provenienti dal servizio Sky ECC che lo riguardavano, dalle autorità francesi alle autorità serbe, il 24 giugno successivo (in prosieguo: la «trasmissione del 24 giugno 2022»). Inoltre, nel giugno 2022, Europol avrebbe informato le autorità serbe che le sue analisi identificavano il ricorrente dietro uno specifico «identificatore Sky ECC». Infine, altri contatti avrebbero avuto luogo tra le autorità serbe ed Europol riguardo al gruppo criminale al quale si presumeva che appartenesse il ricorrente.

53      Europol e Eurojust contestano di aver preso parte ad alcuni dei fatti evocati dal ricorrente.

a)      Sugli atti e sui comportamenti imputabili a Europol

54      Nelle sue memorie, Europol indica che la SIC ha portato alla condivisione tra essa e i tre Stati membri interessati di dati intercettati dalle autorità francesi a fini di analisi nonché alla condivisione dei risultati di tali analisi.

55      In tal senso, Europol riconosce di essere stata destinataria dei metadati relativi a più di 9 000 messaggi scambiati in occasione della riunione del 27 maggio 2019, menzionata dal ricorrente, come indicato al precedente punto 50.

56      Europol indica altresì che, a partire dal 18 marzo 2021, essa ha effettivamente ricevuto dati provenienti dal servizio Sky ECC trasmessi dalle autorità francesi e li ha analizzati, poi ha trasmesso il risultato delle sue analisi alle autorità belghe, francesi e dei Paesi Bassi, in particolare sotto forma di analisi specifiche relative a taluni paesi.

57      Peraltro, Europol non nega di aver partecipato a una riunione il 28 agosto 2019, in occasione della quale sono state evocate le conseguenze di un eventuale smantellamento dell’infrastruttura del servizio Sky ECC nonché a un gruppo di lavoro tecnico della SIC organizzato il 23 e il 24 luglio 2020 e in occasione del quale sono stati scoperti nuovi messaggi cifrati.

58      Poiché non sono contestati, o sono confermati da Europol, i fatti menzionati ai precedenti punti da 54 a 57 devono quindi essere considerati dimostrati e ad essa imputabili.

59      Per contro, in primo luogo, il ricorrente non fornisce alcuna prova o, quantomeno, alcun principio di prova in grado di dimostrare che Europol abbia partecipato o contribuito alle operazioni di intercettazione dei dati in entrata e in uscita dai server del servizio Sky ECC situati in Francia.

60      Oltre alla contestazione di tali fatti da parte di Europol, l’affermazione del ricorrente non è corroborata né dal fatto che Europol abbia potuto partecipare o attivare la riunione del 27 maggio 2019 né dalla commissione rogatoria inviata dalle autorità serbe ai loro omologhi francesi, prodotta nell’allegato A.17 e riguardante «l’analisi dei dati ottenuti da Europol a partire dall’applicazione Sky ECC». Al contrario, l’allegato A.6 tende a dimostrare che le operazioni di intercettazione sono state effettuate dalle sole autorità francesi, come confermato anche dall’allegato A.14.

61      In secondo luogo, anche se Europol non nega di aver partecipato alle riunioni del 7 settembre 2020 e dell’11 febbraio 2021, è tuttavia giocoforza constatare che il documento del rechtbank van eerste aanleg te Antwerpen (Tribunale di primo grado di Anversa, Belgio), allegato al ricorso a sostegno dell’affermazione del ricorrente, menziona certamente una riunione che si sarebbe dovuta svolgere il 7 settembre 2020, ma precisa unicamente che le autorità francesi e dei Paesi Bassi, e non Europol, avrebbero dovuto parteciparvi. Analogamente, la domanda di assistenza tecnica della cour d’appel de Paris (Corte d’appello di Parigi, Francia), allegata al ricorso a sostegno dell’affermazione del ricorrente, non menziona alcuna riunione tenutasi l’11 febbraio 2021, e neppure Europol.

62      In terzo luogo, il ricorrente non fornisce né la prova né, quantomeno, un principio di prova in grado di dimostrare che Europol avrebbe partecipato alla «“giornata d’azione” [del mese] di marzo 2021 nel corso della quale Sky ECC è stata “abbattuta”». Infatti, la trascrizione della conferenza stampa del pubblico ministero belga, richiamata nel ricorso, verte certamente su tale «giornata d’azione», ma non menziona Europol. Parimenti, lo scambio di messaggi di posta elettronica, allegato al ricorso, si limita a menzionare trasferimenti di dati provenienti dal servizio Sky ECC tramite Europol, senza dimostrare che essa è stata coinvolta nella suddetta «giornata d’azione».

63      In quarto luogo, il ricorrente non fornisce alcuna prova o, quantomeno, un principio di prova in grado di dimostrare che Europol abbia trasmesso alle autorità serbe l’informazione secondo cui egli risultava essere la persona che si trovava dietro l’identificativo «DFKNBQ» del servizio Sky ECC.

64      Infatti, l’allegato A.17, su cui si basa il ricorrente e che mette effettivamente in relazione il suo nome con l’identificativo «DFKNBQ» del servizio Sky ECC nonché il nome utente «CHE GUEVARA», risulta essere una domanda presentata dalla procura per la criminalità organizzata della Repubblica di Serbia e diretta ad ottenere dalle autorità francesi la comunicazione dei messaggi vocali, dei messaggi di testo, dei video e delle fotografie relativi in particolare al ricorrente e contenuti nei server del servizio Sky ECC sequestrati da queste ultime autorità, senza menzione di Europol a qualsiasi titolo.

65      Inoltre, la procura serba vi indica che, «con [le sue] azioni e con un lavoro successivo del Ministero dell’Interno della Repubblica di Serbia, [essi sono] stati informati del fatto che, durante l’analisi dei dati ottenuti da Europol a partire dall’applicazione Sky ECC, [l’utente del] PIN DFKNBQ [e del] nome utente CHE GUEVARA [era BW]», il che tende a dimostrare che tale informazione non è stata fornita da Europol.

66      In quinto luogo, il ricorrente non fornisce alcuna prova o, quantomeno, alcun principio di prova in grado di dimostrare che Europol sia stata coinvolta nella messa a disposizione delle autorità serbe, da parte delle autorità francesi, il 24 giugno 2022, dei documenti e delle informazioni provenienti dal servizio Sky ECC che lo riguardavano.

67      Come risulta dall’allegato A.15, detti documenti e informazioni trasmessi da Eurojust alle autorità serbe, in risposta a una richiesta di assistenza giudiziaria di queste ultime, lo sono stati mediante il trasferimento di un messaggio di posta elettronica inviato dalle autorità francesi a Eurojust e contenente un link a un sito di download protetto.

68      Pertanto, il ricorrente non può, nell’ambito del presente ricorso, far valere, nei confronti di Europol, i fatti non dimostrati menzionati ai precedenti punti da 59 a 67.

69      In base a quanto precede e tenuto conto dell’affermazione del ricorrente riportata nel verbale d’udienza secondo cui l’ultimo atto contestato a Europol e a Eurojust è intervenuto il 24 giugno 2022, è necessario constatare che solo i fatti di cui ai precedenti punti da 55 a 57 e anteriori a tale data – ossia il ricevimento, il trattamento e la condivisione, a partire dal 27 maggio 2019, dei dati provenienti dal servizio Sky ECC intercettati dalle autorità francesi nonché la partecipazione alla riunione del 28 agosto 2019 e al gruppo di lavoro del 23 e 24 luglio 2020 – sono accertati e possono suffragare le conclusioni del ricorrente dirette contro Europol.

b)      Sugli atti e sui comportamenti imputabili a Eurojust

70      Nelle sue memorie, Eurojust afferma di essere stata coinvolta nei fatti indicati dal ricorrente sotto un duplice profilo.

71      Da un lato, Eurojust precisa di aver fornito, nell’ambito della SIC relativa al servizio Sky ECC, sostegno e consulenza riguardo alle possibilità di cooperazione giudiziaria e di aver organizzato varie riunioni di coordinamento tra le autorità belghe, francesi e dei Paesi Bassi nonché Europol. Tali riunioni, tenutesi il 25 aprile 2019, il 7 settembre 2020 e l’11 febbraio 2021, hanno indotto le autorità di tali Stati membri a presentare informazioni aggiornate sull’evoluzione delle loro indagini relative al servizio Sky ECC e a discutere del modo migliore per progredire in queste ultime.

72      Dall’altro lato, nell’ambito delle domande di sostegno presentate dalle autorità serbe in relazione a indagini penali avviate in Serbia contro un’organizzazione criminale – di cui il ricorrente farebbe parte – coinvolta in un traffico di stupefacenti che transitava in particolare per Rotterdam, Eurojust precisa di aver, da una parte, coordinato le indagini dei Paesi Bassi e serbe e, dall’altra, agevolato la trasmissione e l’esecuzione delle richieste di assistenza giudiziaria inviate dalle autorità serbe alle autorità francesi.

73      Per quanto riguarda la cooperazione tra le autorità dei Paesi Bassi e serbe, Eurojust conferma lo svolgimento di tre riunioni di coordinamento con la partecipazione di tali autorità il 23 maggio, il 16 novembre e l’8 dicembre 2022, in occasione delle quali esse hanno scambiato informazioni sulla portata e sullo stato di avanzamento delle loro rispettive indagini nonché sulle loro rispettive esigenze in materia di cooperazione giudiziaria, consistenti nel raggiungimento di un accordo su come proseguire la loro cooperazione in materia di scambio di informazioni e di prove nonché nel coordinamento delle loro strategie di azione penale al fine di prevenire i conflitti di competenza e le azioni penali parallele nei confronti degli stessi sospetti per gli stessi fatti.

74      Eurojust afferma altresì di aver agevolato il trasferimento di talune richieste di assistenza giudiziaria tra la Repubblica di Serbia e il Regno dei Paesi Bassi, in particolare quella del 7 ottobre 2022, o ancora di essere stata informata, da un lato, dell’organizzazione da parte delle autorità dei Paesi Bassi di una riunione con le autorità serbe, il 3 maggio 2023, destinata a informare queste ultime del previsto arresto del ricorrente e, dall’altro, del fatto che, nel corso di tale riunione, tali autorità erano giunte ad un accordo provvisorio su una strategia coordinata di esercizio dell’azione penale contro quest’ultimo per il sequestro del 4 agosto 2020 diretta ad evitare che egli fosse perseguito nei loro due Stati per i medesimi fatti.

75      Per quanto riguarda la cooperazione tra le autorità francesi e serbe, Eurojust precisa di aver trasmesso, in risposta a quattro richieste di assistenza giudiziaria, al magistrato di collegamento serbo, per posta elettronica, un collegamento ipertestuale, valido per un periodo limitato, verso un sito di download protetto da una password fornito dalle autorità francesi e con il quale queste ultime mettevano a disposizione delle sole autorità serbe le informazioni riguardanti talune discussioni provenienti dal servizio Sky ECC e connesse a identificatori di connessione specificamente determinati, tra i quali figuravano quelle del ricorrente.

76      Inoltre, dagli elementi di prova forniti dal ricorrente risulta che la trasmissione del 24 giugno 2022 di cui al precedente punto 75 è riconosciuta da Eurojust.

77      Per contro, in primo luogo, il ricorrente non fornisce alcuna prova o, quantomeno, alcun principio di prova in grado di dimostrare che Eurojust è stata invitata o ha assistito alla riunione del 27 maggio 2019, di cui al precedente punto 55, e che, in tale contesto, essa è stata destinataria dei metadati relativi ai 9 000 messaggi scambiati in tale occasione.

78      Infatti, nessuno dei cinque allegati menzionati dal ricorrente a sostegno della sua affermazione menziona Eurojust, salvo in modo del tutto generico e privo di nesso diretto con la riunione del 27 maggio 2019.

79      In secondo luogo, il ricorrente non fornisce alcuna prova o, quantomeno, alcun principio di prova in grado di dimostrare che Eurojust ha assistito al gruppo di lavoro tecnico del 23 e 24 luglio 2020 di cui al precedente punto 51.

80      Oltre al fatto che lo stesso ricorrente ammette «di ignora[re] se fossero presenti collaboratori di (…) Eurojust» a tale gruppo di lavoro, essa sostiene di non avervi partecipato e il documento su cui il ricorrente si fonda non consente di far sorgere il minimo dubbio al riguardo.

81      In terzo luogo, il ricorrente non fornisce alcuna prova o, quanto meno, alcun principio di prova in grado di dimostrare che Eurojust ha partecipato allo scambio di tutti i dati provenienti dal servizio Sky ECC o a pacchetti nazionali di informazioni di detto servizio tramite SIENA, dato che Eurojust non è menzionata nel documento sul quale il ricorrente si basa.

82      Per quanto riguarda, più in particolare, l’asserita partecipazione di Eurojust a uno scambio di metadati nel corso del mese di febbraio 2022, il fatto che, con il messaggio di posta elettronica allegato dal ricorrente al ricorso, un esperto nazionale distaccato di Eurojust abbia informato un procuratore del Land Hessen (Land dell’Assia, Germania) del fatto che «i geodati del fornitore olandese saranno trasmessi dalle autorità dei Paesi Bassi a Europol alla fine di febbraio 2022 con un’autorizzazione generale d’uso» non consente di dedurre che tali metadati siano stati comunicati anche a Eurojust.

83      In quarto luogo, per gli stessi motivi esposti riguardo a Europol ai precedenti punti 64 e 65, il ricorrente non fornisce alcuna prova o, quantomeno, alcun principio di prova in grado di dimostrare che Eurojust abbia trasmesso alle autorità serbe l’informazione secondo cui egli risultava essere la persona che si trovava dietro l’identificativo «DFKNBQ» del servizio Sky ECC.

84      Pertanto, il ricorrente non può, nell’ambito del presente ricorso, far valere, nei confronti di Eurojust, i fatti non dimostrati menzionati ai precedenti punti da 77 a 83.

85      Visti quanto precede e tenuto conto dell’affermazione del ricorrente riportata nel verbale dell’udienza secondo cui l’ultimo atto contestato a Eurojust ed Europol è intervenuto il 24 giugno 2022, si deve constatare che solo i fatti di cui ai precedenti punti da 71 a 76 e anteriori a tale data – vale a dire la partecipazione di Eurojust alle riunioni di coordinamento delle autorità belghe, francesi e dei Paesi Bassi nonché di Europol del 25 aprile 2019, del 7 settembre 2020 e dell’11 febbraio 2021, la sua partecipazione alla riunione di coordinamento delle indagini dei Paesi Bassi e serba del 23 maggio 2022, la trasmissione, da parte sua, il 24 giugno 2022, del messaggio di posta elettronica delle autorità francesi alle autorità serbe, contenente un link verso un sito di download dei dati personali del ricorrente – sono accertati e possono suffragare le conclusioni del ricorrente dirette contro Eurojust.

3.      Sugli atti o sui comportamenti non imputabili a Europol, ma di cui essa può nondimeno essere ritenuta responsabile

86      Tenuto conto dei precedenti punti da 55 a 57 e da 71 a 76, si deve constatare che il ricorrente ha dimostrato i fatti seguenti.

87      In primo luogo, il 27 maggio 2019, le autorità belghe, francesi e dei Paesi Bassi hanno partecipato a una riunione in occasione della quale i metadati di oltre 9 000 messaggi provenienti dal servizio Sky ECC sono stati scambiati tra tali Stati membri ed Europol.

88      In secondo luogo, a partire dal mese di giugno 2019, la Repubblica francese ha trasmesso a Europol i dati provenienti dal servizio Sky ECC, dati che sono stati successivamente trattati da essa e i cui risultati sono stati da essa successivamente trasmessi alle autorità belghe, francesi e dei Paesi Bassi.

89      In terzo luogo, le autorità belghe, francesi e dei Paesi Bassi hanno partecipato a una riunione il 28 agosto 2019, in occasione della quale sono state evocate le conseguenze di un eventuale smantellamento dell’infrastruttura del servizio Sky ECC, nonché a un gruppo di lavoro tecnico della SIC il 23 e il 24 luglio 2020, in occasione del quale sono stati scoperti nuovi messaggi cifrati.

90      In quarto luogo, il 25 aprile 2019, il 7 settembre 2020 e l’11 febbraio 2021, le autorità belghe, francesi e dei Paesi Bassi hanno partecipato a riunioni di coordinamento, in occasione delle quali hanno presentato informazioni aggiornate sull’evoluzione delle loro indagini nei confronti del servizio Sky ECC e hanno discusso del modo migliore per progredire in queste ultime.

91      In quinto luogo, in occasione della riunione del 23 maggio 2022, le autorità dei Paesi Bassi hanno trasmesso alle autorità serbe, tramite Eurojust, informazioni sulla portata e sullo stato di avanzamento delle loro rispettive indagini nonché sulle loro esigenze in materia di cooperazione giudiziaria.

92      In sesto luogo, il 24 giugno 2022, le autorità francesi hanno trasmesso alle autorità serbe, tramite Eurojust, un link verso un sito di download protetto che metteva a disposizione di tale paese terzo le informazioni relative a talune conversazioni provenienti dal servizio Sky ECC e connesse a identificativi di connessione specificamente determinati, tra i quali figuravano quelle del ricorrente.

93      Tuttavia, la facoltà per il ricorrente di far valere tali fatti, imputabili a Stati membri, nell’ambito di conclusioni risarcitorie dirette contro Europol sulla base dell’articolo 50, paragrafo 1, del regolamento 2016/794 presuppone che tali fatti siano avvenuti nell’ambito di una cooperazione ai sensi del regolamento 2016/794 (v., in tal senso, sentenza del 5 marzo 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punti 62 e 63) e riguardante i suoi dati personali.

94      Come rilevato al precedente punto 39, la cooperazione relativa al servizio Sky ECC è iniziata nel corso del mese di maggio 2019 e gli elementi forniti da Eurojust ed Europol non consentono di dedurre che i fatti o i comportamenti imputabili alle autorità belghe, francesi o dei Paesi Bassi menzionati ai precedenti punti da 87 a 92 non fossero collegati a tale cooperazione.

95      Per contro, il ricorrente non fornisce alcuna prova o principio di prova in grado di dimostrare che lo scambio dei metadati di oltre 9 000 messaggi avvenuto il 27 maggio 2019, le riunioni del 25 aprile e del 28 agosto 2019, del 7 settembre 2020, dell’11 febbraio 2021 e del 23 maggio 2022 o ancora il gruppo di lavoro tecnico dell’ECE del 23 e 24 luglio 2020 abbiano dato luogo allo scambio, da parte delle autorità belghe, francesi o dei Paesi Bassi, di dati personali che lo riguardavano, ai sensi dell’articolo 50, paragrafo 1, del regolamento 2016/794.

96      Pertanto, il Tribunale non è competente a conoscere, in relazione al capo risarcitorio delle conclusioni diretto contro Europol e fondato sull’articolo 50, paragrafo 1, del regolamento 2016/794, delle affermazioni fondate sui fatti o sugli atti delle autorità belghe, francesi o dei Paesi Bassi di cui al precedente punto 95.

97      Per contro, gli elementi di prova o i principi di prova forniti dal ricorrente consentono di dimostrare che, nel corso del periodo compreso tra il 27 maggio 2019 e il 24 giugno 2022, dati personali che lo riguardano e provenienti dal servizio Sky ECC sono stati trattati, innanzitutto, dalle autorità francesi nell’ambito della trasmissione a Europol dei dati intercettati sui server del servizio Sky ECC, poi dalle autorità belghe, francesi e dei Paesi Bassi nell’ambito della ricezione di tali dati da parte di Europol prima o dopo il trattamento e, infine, al momento della loro trasmissione da parte delle autorità francesi alle autorità serbe, tramite Eurojust, il 24 giugno 2022.

98      Di conseguenza, solo i fatti e i comportamenti indicati al precedente punto 97 saranno esaminati nell’ambito della parte del capo delle conclusioni risarcitorie diretto contro Europol e fondato sull’articolo 50, paragrafo 1, del regolamento 2016/794.

B.      Sui vari capi delle conclusioni

99      Tenuto conto dei capi delle conclusioni presentati dal ricorrente, ricordati ai precedenti punti da 14 a 19, e nonostante il fatto che quest’ultimo abbia formulato gli stessi quattro motivi a sostegno dei suoi due capi delle conclusioni e si sia avvalso dei medesimi fatti a loro sostegno, occorre esaminare in successione il capo delle conclusioni fondato sull’articolo 263 TFUE e vertente sull’illegittimità di taluni atti o comportamenti di Europol e di Eurojust verificatisi nell’ambito dell’ «operazione Sky ECC», poi il capo delle conclusioni risarcitorie con il quale il ricorrente chiede la concessione di un risarcimento danni sulla base degli articoli 268 e 340 TFUE, dell’articolo 50 del regolamento 2016/794 e dell’articolo 46 del regolamento 2018/1727.

100    Anzitutto, occorre rilevare che Europol ed Eurojust sollevano, congiuntamente o separatamente, diverse eccezioni di irricevibilità, vertenti, in primo luogo, sull’irricevibilità del ricorso nel suo insieme per sviamento di procedura, in secondo luogo, sulla tardività del ricorso per quanto riguarda le conclusioni di annullamento, in terzo luogo, sul fatto che i trattamenti dei dati provenienti dal servizio Sky ECC e relativi al ricorrente non costituiscono atti impugnabili, in quarto luogo, sull’irricevibilità delle conclusioni risarcitorie in ragione del fatto che il ricorrente non ha sufficientemente provato i danni lamentati e che ha aggirato i mezzi di ricorso.

101    A tal riguardo, occorre ricordare che il giudice dell’Unione ha il diritto di valutare, a seconda delle circostanze di ciascun caso di specie, se una corretta amministrazione della giustizia giustifichi il rigetto nel merito del ricorso, senza statuire preliminarmente sulla sua ricevibilità (v., in tal senso, sentenza del 26 febbraio 2002, Consiglio/Boehringer, C‑23/00 P, EU:C:2002:118, punti 51 e 52).

102    Nel caso di specie, il Tribunale ritiene che, per ragioni di economia processuale, occorra esaminare soltanto l’eccezione di irricevibilità vertente sul fatto che i trattamenti dei dati provenienti dal servizio Sky ECC e relativi al ricorrente non costituiscono atti impugnabili, senza statuire preliminarmente sulle altre eccezioni di irricevibilità, in quanto il ricorso è, in ogni caso e per i motivi esposti in prosieguo, infondato.

1.      Sulle conclusioni di annullamento

103    A sostegno del primo capo delle conclusioni fondato sull’articolo 263 TFUE, il ricorrente eccepisce in particolare l’illegittimità di taluni atti o comportamenti di Europol e di Eurojust nell’ambito dell’«operazione Sky ECC» sul fondamento dell’articolo 277 TFUE.

104    L’articolo 263 TFUE consente di contestare la legittimità degli atti adottati, in particolare dalle agenzie dell’Unione, fatto salvo il rispetto di talune condizioni di ricevibilità.

a)      Sulla ricevibilità delle conclusioni di annullamento

105    Europol e Eurojust affermano che i trattamenti dei dati provenienti dal servizio Sky ECC e relativi al ricorrente non costituiscono atti impugnabili, in quanto non incidono sulla sua situazione giuridica.

106    Come risulta dal precedente punto 58, il ricorrente contesta a Europol la ricezione, il trattamento e la condivisione, a partire dal 27 maggio 2019, dei dati del servizio Sky ECC che lo riguardano intercettati dalle autorità francesi nonché la sua partecipazione alla riunione del 28 agosto 2019 e al gruppo di lavoro del 23 e 24 luglio 2020.

107    Come emerge dal precedente punto 85, il ricorrente addebita a Eurojust la sua partecipazione alle riunioni di coordinamento tra le autorità belghe, francesi e dei Paesi Bassi nonché Europol del 25 aprile 2019, del 7 settembre 2020 e dell’11 febbraio 2021, la sua partecipazione alla riunione di coordinamento delle indagini dei Paesi Bassi e serba del 23 maggio 2022 nonché la trasmissione del 24 giugno 2022.

108    Ad eccezione della trasmissione del 24 giugno 2022, tutti gli atti o i comportamenti di cui ai precedenti punti 106 e 107 costituiscono atti o comportamenti di natura preparatoria, inidonei a produrre effetti giuridici obbligatori in grado di incidere sugli interessi del ricorrente modificando in misura rilevante la situazione giuridica di quest’ultimo, secondo giurisprudenza costante della Corte (v., in tal senso, sentenze dell’11 novembre 1981, IBM/Commissione, 60/81, EU:C:1981:264, punto 9, e del 30 novembre 2023, Sistem ecologica/Commissione, C‑787/22 P, non pubblicata, EU:C:2023:940, punto 51).

109    Per quanto riguarda la partecipazione di Europol e di Eurojust alle riunioni o ai gruppi di lavoro di cui trattasi, supponendo che tali riunioni e gruppi abbiano dato luogo al trattamento di dati personali del ricorrente, è giocoforza constatare che essi costituiscono solo fasi di indagini penali in corso e si limitano a creare le condizioni per il loro ulteriore svolgimento, senza modificare i diritti del ricorrente né ledere uno qualsiasi dei suoi diritti procedurali.

110    Pertanto, la partecipazione a tali riunioni o gruppi di lavoro non costituisce il momento conclusivo di un procedimento speciale distinto da quello attraverso il quale i giudici penali degli Stati membri pervengono eventualmente a statuire sulla responsabilità penale del ricorrente (v., in tal senso, sentenza dell’11 novembre 1981, IBM/Commissione, 60/81, EU:C:1981:264, punto 11, e ordinanza del 9 settembre 2020, IMG/Commissione, T‑645/19, non pubblicata, EU:T:2020:388, punto 48 e giurisprudenza citata).

111    Per quanto riguarda le trasmissioni da parte di Europol di dati personali del ricorrente provenienti dal servizio Sky ECC alle autorità degli Stati membri, ossia il Regno del Belgio, la Repubblica francese e il Regno dei Paesi Bassi, esse non si distinguono dalle trasmissioni da parte dell’Ufficio europeo per la lotta antifrode (OLAF) dalle sue relazioni finali e di informazioni agli Stati membri, le quali, per giurisprudenza costante, non sono atti impugnabili (v., in tal senso, sentenze del 30 novembre 2023, Sistem ecologica/Commissione, C‑787/22 P, non pubblicata, EU:C:2023:940, punti 55, 56, 60, 66 e 67; del 12 settembre 2007, Nikolaou/Commissione, T‑259/03, non pubblicata, EU:T:2007:254, punti 244 e 245 e giurisprudenza citata, e del 20 maggio 2010, Commissione/Violetti e a., T‑261/09 P, EU:T:2010:215, punto 47 e giurisprudenza citata).

112    Pertanto, senza che occorra stabilire se, in mancanza di formalizzazione dei diversi comportamenti contestati dal ricorrente a Europol e a Eurojust, la partecipazione di queste ultime alle riunioni o al gruppo di lavoro di cui ai precedenti punti 106 e 107 nonché le trasmissioni da parte di Europol di dati personali del ricorrente provenienti dal servizio Sky ECC alle autorità belghe, francesi e dei Paesi Bassi possano essere qualificate come «atti» ai sensi dell’articolo 263 TFUE, esse non sono, in ogni caso, impugnabili.

113    Per contro, per quanto riguarda la trasmissione del 24 giugno 2022, deve esserle riconosciuta l’impugnabilità.

114    È vero che dalla giurisprudenza ricordata al precedente punto 111 emerge che la trasmissione da parte dell’OLAF di relazioni finali e di informazioni agli Stati membri non costituisce un atto impugnabile.

115    Tuttavia, sia la Corte sia il Tribunale hanno avuto occasione di prendere in considerazione, al fine di escludere l’impugnabilità delle trasmissioni dell’OLAF, il fatto che il ricorrente avesse a sua disposizione altri mezzi per garantire il controllo della legittimità di tali decisioni di trasmissione (v. sentenza del 20 maggio 2010, Commissione/Violetti e a., T‑261/09 P, EU:T:2010:215, punto 48 e giurisprudenza citata), compreso quello del procedimento pregiudiziale [v., in tal senso, ordinanza del 19 aprile 2005, Tillack/Commission, C‑521/04 P(R), EU:C:2005:240, punto 39].

116    Orbene, la trasmissione del 24 giugno 2022 è intervenuta tra un’agenzia dell’Unione e le autorità non di uno Stato membro, bensì di un paese terzo, nella fattispecie la Repubblica di Serbia.

117    Pertanto, non potendo essere contestata nell’ambito del presente ricorso, la legittimità della trasmissione del 24 giugno 2022 rispetto al diritto dell’Unione non potrà più essere oggetto di contestazione e i dati personali in essa contenuti potranno essere considerati legittimamente trasmessi alle autorità serbe, senza che, successivamente, il ricorrente possa ottenere dai giudici di tale paese terzo o una valutazione della validità di detta trasmissione rispetto al diritto dell’Unione o un rinvio pregiudiziale alla Corte per valutarne la validità.

118    In tal senso, la trasmissione del 24 giugno 2022 costituisce il momento conclusivo di un procedimento speciale con cui Eurojust trasmette alle autorità di un paese terzo e su loro richiesta dati personali di una persona identificata.

119    Inoltre, solo il riconoscimento dell’impugnabilità della trasmissione del 24 giugno 2022 è in grado di garantire il controllo effettivo da parte di un’autorità giudiziaria o di un altro organo indipendente del trasferimento di dati personali intercettati e del loro utilizzo per fini diversi da quelli dell’organo penale per il quale essi sono stati inizialmente raccolti (v., in tal senso, Corte EDU, 1º aprile 2025, Ships Waste Oil Collector B.V. e a. c. Paesi Bassi, CE:ECHR:2025:0401JUD000279916, § 160 e 183 e giurisprudenza citata).

120    A tal riguardo, il fatto, menzionato da Eurojust, che il ricorrente possa adire i giudici francesi con un ricorso o che possa adire la Corte europea dei diritti dell’uomo (in prosieguo: la «Corte EDU») a seguito di un’eventuale condanna da parte dei giudici penali serbi è irrilevante.

121    Da un lato, i giudici francesi non possono essere investiti di un ricorso di annullamento diretto contro un atto di un’agenzia dell’Unione.

122    Dall’altro lato, in assenza di adesione dell’Unione alla Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950 (in prosieguo: la «CEDU»), la Corte EDU non può constatare un inadempimento dell’Unione a tale convenzione, in particolare nell’ambito di un ricorso proposto contro un paese terzo.

123    In considerazione di quanto precede, occorre accogliere l’eccezione di irricevibilità sollevata da Europol e da Eurojust e constatare la non impugnabilità degli atti o dei comportamenti lamentati dal ricorrente, salvo per quanto riguarda la trasmissione del 24 giugno 2022.

b)      Sulla fondatezza del capo delle conclusioni di annullamento nella parte in cui riguarda la trasmissione del 24 giugno 2022

124    È giocoforza constatare che il ricorrente non dimostra le ragioni per le quali la trasmissione del 24 giugno 2022 avrebbe dato luogo a un trattamento illecito dei suoi dati personali.

125    In primo luogo, l’articolo 45, paragrafo 2, lettera b), del regolamento 2018/1727 dispone che la responsabilità dell’esattezza dei dati personali operativi incombe allo Stato membro che ha fornito i dati a Eurojust qualora, come nel caso di specie, i dati forniti non siano stati modificati nel corso dell’elaborazione da parte di Eurojust, circostanza che il ricorrente non contesta.

126    In secondo luogo, si deve constatare che, per quanto riguarda la messa a disposizione delle autorità serbe da parte delle autorità francesi tramite Eurojust delle conversazioni del ricorrente, da un lato, nessun elemento consente di ritenere che tale trattamento di dati personali non sia stato corretto, lecito ed effettuato per finalità determinate, esplicite e legittime, ai sensi dell’articolo 71, paragrafo 1, lettere a) e b), del regolamento 2018/1725.

127    Sotto un primo profilo, tale trattamento rientrava nell’ambito dell’esecuzione dei compiti di Eurojust ed era necessario per tale esecuzione. Sotto un secondo profilo, non risulta da alcun elemento del fascicolo che i dati personali del ricorrente siano stati trattati per finalità diverse da tali missioni. Sotto un terzo profilo, detto trattamento è stato effettuato su richiesta delle autorità francesi e in esecuzione di richieste preliminari di assistenza giudiziaria. Sotto un quarto profilo, il trasferimento dei dati personali del ricorrente alle autorità serbe trovava un fondamento nell’articolo 56, paragrafo 2, lettera b), del regolamento 2018/1727 e nell’accordo di cooperazione che consentiva lo scambio di dati personali operativi, concluso tra Eurojust e la Repubblica di Serbia il 12 novembre 2019.

128    Dall’altro lato, la messa a disposizione delle autorità serbe da parte delle autorità francesi tramite Eurojust delle conversazioni del ricorrente era parimenti proporzionata e sufficientemente sicura, ai sensi dell’articolo 71, paragrafo 1, lettere c), d) ed e), del regolamento 2018/1725. Infatti, essa ha assunto la forma di una messa a disposizione di un link verso un sito di download protetto da una password fornito dalle autorità francesi e nulla consente di mettere in discussione l’affermazione di Eurojust secondo cui essa si è astenuta dall’accedere ai dati di cui trattasi e non li ha scaricati, conservati o copiati nei propri sistemi informatici.

129    Inoltre, per quanto riguarda l’affermazione del ricorrente vertente sulla violazione degli articoli 47 e 48 della Carta nonché dell’articolo 6 della CEDU e degli articoli 14 e 15 del Patto, quest’ultimo non spiega in che modo la trasmissione del 24 giugno 2022 comportasse, alla data di tale trasmissione, la violazione di tali disposizioni, a maggior ragione in assenza di una sentenza del giudice dei Paesi Bassi o serbo che constatasse a tale data la sua colpevolezza sulla base dei dati trasmessi.

130    Pertanto, occorre respingere in quanto infondate le conclusioni di annullamento della trasmissione del 24 giugno 2022.

c)      Sul motivo di ricorso vertente sull’eccezione di illegittimità

131    Secondo l’articolo 277 TFUE, nell’eventualità di una controversia che metta in causa un atto di portata generale adottato da un’istituzione, organo o organismo dell’Unione, ciascuna parte può, anche dopo lo spirare del termine previsto all’articolo 263, sesto comma, TFUE, valersi dei motivi previsti all’articolo 263, secondo comma, TFUE per invocare dinanzi al giudice dell’Unione l’inapplicabilità dell’atto stesso.

132    Orbene, nessuno degli atti o dei comportamenti contestati dal ricorrente a Europol o a Eurojust presenta le caratteristiche di un atto di portata generale.

133    Di conseguenza, occorre respingere il motivo di ricorso fondato sull’articolo 277 TFUE.

2.      Sui capi delle conclusioni risarcitorie

134    L’insorgere di una responsabilità extracontrattuale dell’Unione a titolo dell’articolo 340, secondo comma, TFUE è subordinato al soddisfacimento di un insieme di condizioni, ossia l’esistenza di una violazione sufficientemente qualificata di una norma giuridica preordinata a conferire diritti ai singoli, l’effettiva esistenza del danno e la sussistenza di un nesso di causalità tra la violazione dell’obbligo che incombe all’autore dell’atto e il danno subito dalle persone lese (v. sentenza del 5 marzo 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punto 117 e giurisprudenza citata).

135    Quando una di queste condizioni non è soddisfatta, il ricorso dev’essere respinto interamente, senza che sia necessario esaminare le altre condizioni della responsabilità extracontrattuale dell’Unione. Inoltre, il giudice dell’Unione non è obbligato ad esaminare tali condizioni in un determinato ordine (v. sentenza del 13 dicembre 2018, Unione europea/Kendrion, C‑150/17 P, EU:C:2018:1014, punto 118 e giurisprudenza citata).

136    Tuttavia, la Corte ha dichiarato che, quando il legislatore dell’Unione ha previsto un regime derogatorio di responsabilità solidale tra un’agenzia dell’Unione e uno o più Stati membri, nell’ambito di tale regime derogatorio l’insorgere della responsabilità di tale agenzia non richiedeva di dimostrare che il danno di cui si chiedeva il risarcimento fosse imputabile a detta agenzia, se esso lo era quantomeno a uno o più di tali Stati membri (v., in tal senso, sentenza del 5 marzo 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punti 125 e 132).

137    In tali circostanze, occorre esaminare separatamente gli atti o i comportamenti di cui, rispettivamente, Europol – l’unica soggetta ad un siffatto regime derogatorio di responsabilità solidale con gli Stati membri – ed Eurojust possono essere considerate responsabili.

a)      Sugli atti e sui comportamenti di cui Europol può essere ritenuta responsabile

138    Con la sua prima voce di danno, presentata nell’ambito del suo primo motivo di ricorso, il ricorrente contesta a Europol e agli Stati membri coinvolti di aver trattato i dati provenienti dal servizio Sky ECC – compresi i suoi – in modo illecito e scorretto e, pertanto, di aver violato in particolare l’articolo 28, paragrafo 1, lettera a), del regolamento 2016/794.

139    A causa del suo carattere indifferenziato, il trattamento iniziale dei dati provenienti dal servizio Sky ECC non sarebbe stato né necessario, ai sensi dell’articolo 18, paragrafo 1, del regolamento 2016/794, né proporzionato, ai sensi del suo articolo 28, paragrafo 1, lettera c), in mancanza di presunzioni sufficienti di coinvolgimento di tutti gli utenti del servizio Sky ECC in fatti di rilevanza penale.

140    Inoltre, il trattamento successivo dei dati provenienti dal servizio Sky ECC avrebbe violato l’articolo 28, paragrafo 1, lettera b), del regolamento 2016/794 in quanto avrebbe riguardato dati che non erano esclusivamente connessi a reati e che erano stati raccolti in modo indifferenziato e senza finalità determinate, esplicite e legittime.

141    Visto tale argomento, la prima voce di danno deve essere interpretata nel senso che essa riguarda affermazioni di trattamenti non corretti di dati sia da parte di Europol sia da parte del Regno del Belgio, della Repubblica francese e del Regno dei Paesi Bassi, ove questi ultimi rientrano nel regime derogatorio di responsabilità solidale di cui all’articolo 50, paragrafo 1, del regolamento 2016/794.

142    Pertanto, ai fini dell’esame di questa prima voce di danno, si devono prendere in considerazione non solo gli atti o i comportamenti di Europol, in base al regime di responsabilità derivante dall’articolo 49 del regolamento 2016/794, ma anche quelli dei tre Stati membri interessati, ai sensi del regime derogatorio di responsabilità solidale di cui all’articolo 50, paragrafo 1, di tale regolamento.

143    Con la sua seconda voce di danno, presentata nell’ambito del suo secondo motivo di ricorso, malgrado la menzione, al punto 68 del ricorso, dell’articolo 28 del regolamento 2016/794, il ricorrente deduce, in sostanza, soltanto una violazione del diritto a un equo processo a causa dell’impossibilità di verificare il carattere «utilizzabile» dei dati provenienti dal servizio Sky ECC nei procedimenti penali nazionali che hanno fatto seguito alle indagini a cui Europol ha partecipato.

144    Nell’ambito del suo secondo motivo di ricorso, quindi, il ricorrente non contesta la liceità del trattamento dei suoi dati personali, ai sensi dell’articolo 28 del regolamento 2016/794 – unico argomento che può far rientrare una contestazione nell’ambito del regime derogatorio di responsabilità solidale derivante dall’articolo 50, paragrafo 1, di tale regolamento.

145    In tali circostanze, ai fini dell’esame di questa seconda voce di danno, occorre prendere in considerazione soltanto gli atti o i comportamenti di Europol in forza del regime di responsabilità derivante dall’articolo 49 del regolamento 2016/794.

146    Con la sua terza voce di danno, presentata nell’ambito del suo terzo motivo di ricorso, il ricorrente lamenta l’esistenza di due azioni penali per gli stessi fatti, esercitate nei suoi confronti dalle autorità penali dei Paesi Bassi e serbe.

147    Il ricorrente afferma, in sostanza, che, in particolare, Europol ha violato l’esigenza di coordinamento ottimale richiesta dall’accordo SIC, privandolo così della possibilità di garantire correttamente la propria difesa in violazione degli articoli 47 e 48 della Carta, dell’articolo 6 della CEDU e degli articoli 14 e 15 del Patto.

148    Se è vero che informazioni detenute e trattate da Europol sono state, nel caso di specie, da essa messe a disposizione delle autorità dei Paesi Bassi e sono state trasmesse dalle autorità francesi alle autorità serbe, resta il fatto che, con la sua terza voce di danno, il ricorrente contesta a Europol non un eventuale «trattamento non corretto dei dati» ai sensi dell’articolo 50, paragrafo 1, del regolamento 2016/794, ma unicamente un inadempimento da parte sua dei suoi obblighi derivanti dall’accordo SIC.

149    Di conseguenza, ai fini dell’esame di questa terza voce di danno, è necessario prendere in considerazione soltanto gli atti o i comportamenti di Europol, in forza del regime di responsabilità derivante dall’articolo 49 del regolamento 2016/794.

150    Con la sua quarta voce di danno, presentata nell’ambito del suo quarto motivo di ricorso, il ricorrente deduce un trattamento insufficientemente sicuro e non conforme dei suoi dati provenienti dal servizio Sky ECC da parte di Europol ed Eurojust, come egli ha confermato in risposta a un quesito del Tribunale in udienza.

151    Le sue affermazioni poggiano sull’articolo 32 del regolamento 2016/794 nonché sugli articoli 89, 91 e 92 del regolamento 2018/1725.

152    Orbene, per i fatti invocati dal ricorrente – vale a dire fatti anteriori al 24 giugno 2022 –, solo l’articolo 32 del regolamento 2016/794 era applicabile ratione temporis a Europol, in applicazione dell’articolo 2 del regolamento 2018/1725.

153    In tali circostanze, ai fini dell’esame di questa quarta voce di danno, occorre prendere in considerazione soltanto gli atti o i comportamenti di Europol, e ciò alla sola luce dell’articolo 32 del regolamento 2016/794.

1)      Sui danni asseriti derivanti dagli atti o dai comportamenti di Europol, del Regno del Belgio, della Repubblica francese o del Regno dei Paesi Bassi, di cui si chiede il risarcimento a Europol sulla base del regime derogatorio di responsabilità solidale previsto all’articolo 50, paragrafo 1, del regolamento 2016/794

154    Come rilevato ai precedenti punti da 138 a 142, nell’ambito della sua prima voce di danno, il ricorrente fa valere danni derivanti dal carattere non corretto del trattamento dei suoi dati provenienti dal servizio Sky ECC sia da parte di Europol sia da parte del Regno del Belgio, della Repubblica francese e del Regno dei Paesi Bassi.

155    Secondo il ricorrente, i dati provenienti dal servizio Sky ECC – compresi i suoi – sono stati oggetto di un trattamento indifferenziato, contrario agli articoli 17, 18, 28 e 38 del regolamento 2016/794, agli articoli 7, 8, da 10 a 12, 51 e 52 della Carta, all’articolo 8 della CEDU e all’articolo 17 del Patto.

156    Tali dati sarebbero stati trattati inizialmente dagli Stati membri interessati in violazione dei principi di necessità e di proporzionalità, in mancanza di una presunzione fondata di coinvolgimento di tutti gli utenti del servizio Sky ECC in un qualsiasi fatto penale. Così facendo, tale raccolta violerebbe la giurisprudenza della Corte EDU che consente la raccolta indifferenziata di dati solo in via eccezionale. Parimenti, la raccolta e il trattamento dei metadati potrebbero essere effettuati solo su autorizzazione giudiziaria e nel settore della sicurezza nazionale o della lotta contro le forme gravi di criminalità, ipotesi che non ricorrerebbe nel caso di specie.

157    Orbene, conformemente all’articolo 17, paragrafo 1, lettera a), del regolamento 2016/794, Europol potrebbe trattare solo dati che siano stati trattati dagli Stati membri conformemente al loro diritto nazionale, il che non si sarebbe verificato nel caso di specie.

158    Successivamente, tali dati sarebbero stati trattati da Europol senza una finalità legittima, in quanto talune discussioni conservate erano prive di collegamento con un qualsiasi reato. Essi sarebbero anche stati trattati in modo scorretto e illecito.

159    In tal senso, Europol avrebbe violato il punto 32, lettere h), i), p) e q), della raccomandazione del Parlamento [europeo] del 15 giugno 2023 destinata al Consiglio e alla Commissione in seguito all’esame delle denunce di infrazione e di cattiva amministrazione nell’applicazione del diritto dell’Unione in relazione all’uso di Pegasus e di spyware di sorveglianza equivalenti [2023/2500 (RSP)], in quanto non avrebbe soppresso i dati non pertinenti, avrebbe conservato i dati in questione oltre un periodo specifico e non avrebbe notificato alle persone prese e non prese di mira.

160    Tali violazioni sarebbero confermate dalla recente condanna di Europol da parte del Garante europeo della protezione dei dati (GEPD) in relazione alla conservazione e alla soppressione di serie di dati senza categorizzazione (EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation, Cases 2019-0370 & 2021-0699, 21 dicembre 2021).

161    Europol afferma che tale voce di danno è priva di fondamento.

162    Occorre sin d’ora rilevare che Europol sostiene erroneamente che essa non può essere ritenuta responsabile degli atti o dei comportamenti degli Stati membri e che il Tribunale non può valutarne la legittimità.

163    Se è vero che, in forza dell’articolo 276 TFUE, il giudice dell’Unione non è competente a verificare la validità o la proporzionalità di operazioni condotte dalla polizia o da altri servizi incaricati delle attività di contrasto in uno Stato membro, anche nell’ambito di ricorsi fondati sugli articoli 268 e 340 TFUE (v. precedenti punti da 44 a 46), resta il fatto che, al di fuori di tali operazioni specifiche, il regime derogatorio di responsabilità solidale previsto dall’articolo 50, paragrafo 1, del regolamento 2016/794 comporta implicitamente ma necessariamente che Europol possa essere ritenuta responsabile di atti o di comportamenti degli Stati membri.

164    Ne consegue altrettanto necessariamente che, nell’ambito di ricorsi per risarcimento fondati sull’articolo 50, paragrafo 1, del regolamento 2016/794, il Tribunale è autorizzato a valutare la legittimità degli atti o dei comportamenti degli Stati membri diversi da quelli i cui servizi di polizia o altri servizi incaricati di attività di contrasto hanno proceduto alla raccolta dei dati di cui trattasi, che sia sulla base del diritto dell’Unione e in particolare del regolamento 2016/794 (v., in tal senso, sentenza del 5 marzo 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punto 121) o sulla base del diritto nazionale dello Stato interessato.

165    Sotto un primo profilo, per quanto riguarda il trattamento dei dati raccolti dalle autorità francesi, il ricorrente si limita a indicare che taluni dati sarebbero stati trattati senza avere alcun nesso con un qualsiasi reato e che, in virtù di ciò, il loro trattamento violerebbe l’articolo 30, paragrafo 1, del regolamento 2016/794, vertente sul trattamento di dati personali relativi a vittime di reato, testimoni o altre persone che possono fornire informazioni riguardanti reati, e a persone di età inferiore agli anni diciotto.

166    Tuttavia, è giocoforza constatare che il ricorrente risulta essere una persona maggiorenne che, in base al diritto nazionale dello Stato membro interessato, era sospettata di aver commesso un reato o partecipato a un reato rientrante nella competenza di Europol, vale a dire un traffico di stupefacenti, di cui all’articolo 3, paragrafo 1, del regolamento 2016/794.

167    Pertanto, il ricorrente non può utilmente avvalersi dell’articolo 30, paragrafo 1, del regolamento 2016/794.

168    Per il resto, il ricorrente non fornisce alcun elemento che consenta di dubitare del fatto che il trattamento dei dati provenienti dal servizio Sky ECC in particolare da parte delle autorità nazionali interessate, prima della loro trasmissione all’Europol, sia stato effettuato per le finalità legittime per le quali erano stati raccolti, vale a dire la realizzazione di analisi di natura strategica o tematica nonché di analisi operative, ai sensi dell’articolo 18, paragrafo 2, lettere b) e c), del regolamento 2016/794, nel contesto dell’esecuzione delle decisioni di indagine comune di cui al precedente punto 4 e della SIC.

169    Sotto un secondo profilo, il ricorrente non fornisce alcun elemento in grado di dimostrare che le trasmissioni dei dati raccolti dalle autorità francesi a Europol siano state effettuate in violazione dei principi di cui all’articolo 28, paragrafo 1, del regolamento 2016/794.

170    Sotto un terzo profilo, per quanto riguarda l’attività di Europol relativamente ai dati del ricorrente, nulla indica che la ricezione, il trattamento e la successiva trasmissione del risultato dell’analisi di tali dati agli Stati membri interessati siano stati effettuati in violazione dei principi enunciati all’articolo 28, paragrafo 1, del regolamento 2016/794.

171    In primo luogo, l’insieme di dette operazioni è stato effettuato in un quadro definito che persegue finalità determinate, esplicite e legittime, vale a dire un’operazione specifica relativa al servizio Sky ECC, diretta in particolare all’identificazione, ai fini dell’azione penale, dei suoi utenti, per giunta mediante una SIC avente lo stesso obiettivo e creata per mezzo di una convenzione specifica che identifica espressamente i suoi obiettivi da parte del Regno del Belgio, della Repubblica francese nonché del Regno dei Paesi Bassi e alla quale Europol era associata (v. precedenti punti da 3 a 6).

172    In secondo luogo, nulla indica che il trattamento dei dati del ricorrente da parte di Europol sia stato inadeguato, non pertinente o eccessivo rispetto all’obiettivo di identificazione degli utenti del servizio Sky ECC al fine in particolare di perseguirli penalmente.

173    A tal riguardo, il fatto che Europol abbia potuto essere destinataria della decisione del GEPD di cui al precedente punto 160 è irrilevante. Infatti, il ricorrente né sostiene né a fortiori dimostra che i suoi dati rientravano nell’ambito di tale decisione, vale a dire i dati detenuti da Europol e che non erano oggetto di categorizzazione.

174    Al contrario, dagli elementi a disposizione del Tribunale risulta che i dati del ricorrente erano stati associati a un’indagine specifica relativa al servizio Sky ECC, riguardante in particolare l’identificazione dei suoi utenti (v. precedenti punti da 4 a 6), che Europol aveva collegato il nome del ricorrente con il suo identificativo del servizio Sky ECC e il suo nome utente e potuto quindi identificare le sue conversazioni (v. precedenti punti 64 e 65) e aveva altresì costituito pacchetti nazionali (v. precedente punto 81).

175    In terzo luogo, dal fascicolo non risulta che i dati riguardanti il ricorrente e trattati da Europol abbiano presentato carattere inesatto o, ancora, non abbiano beneficiato di un’adeguata sicurezza, sapendo che tali dati sono stati trasmessi solo agli Stati o alle agenzie direttamente o indirettamente coinvolti nella SIC e utilizzati ai soli fini dei procedimenti penali avviati dal Regno dei Paesi Bassi e dalla Repubblica di Serbia contro il ricorrente.

176    In quarto luogo, nulla indica che i dati del ricorrente, i cui procedimenti penali erano ancora in corso alla data di proposizione del presente ricorso, siano stati conservati per un periodo di tempo superiore a quello necessario, in particolare, al corretto svolgimento di tali procedimenti.

177    In quinto luogo, il ricorrente non può validamente invocare il fatto di non aver potuto accedere ai suoi dati, dal momento che, conformemente al considerando 41 del regolamento 2016/794 – al quale deve essere riconosciuto un importante valore interpretativo (v., in tal senso, sentenza del 5 marzo 2024, Kočner/Europol, C‑755/21 P, EU:C:2024:202, punto 59), Europol può rifiutare l’accesso ai dati personali di una persona per assolvere debitamente i suoi compiti, per tutelare la sicurezza e l’ordine pubblico, per prevenire la criminalità o per garantire che un’indagine nazionale non sia compromessa.

178    Sotto un quarto profilo, dagli elementi messi a disposizione del Tribunale non risulta in alcun modo che Europol abbia violato i principi relativi al trattamento dei dati personali durante le riunioni del 27 maggio e del 28 agosto 2019 o, ancora, nel gruppo di lavoro del 23 e 24 luglio 2020, in occasione del quale sono scoperti rivelati nuovi messaggi (v. precedenti punti 55 e 57).

179    Tali incontri rientravano manifestamente tra i compiti affidati a Europol e contemplati in particolare all’articolo 4, paragrafo 1, lettera c), del regolamento 2016/794, in particolare nella situazione di specie in cui Europol partecipava a una SIC, come previsto dall’articolo 4, paragrafo 1, lettera d), di tale regolamento.

180    Sotto un quinto profilo, nessun elemento consente di concludere che il Regno del Belgio, la Repubblica francese o il Regno dei Paesi Bassi abbiano commesso irregolarità nella ricezione dei dati loro trasmessi da Europol.

181    Sotto un sesto profilo, nulla indica che le informazioni trasmesse dalle autorità dei Paesi Bassi alle autorità serbe siano mai state in possesso di Europol, il che esclude qualsiasi responsabilità solidale di quest’ultima.

182    Inoltre, per quanto riguarda la trasmissione del 24 giugno 2022, nulla indica che essa sia contraria all’articolo 28 del regolamento 2016/794.

183    Peraltro, e per motivi analoghi a quelli menzionati ai precedenti punti da 171 a 182, nessuna violazione degli articoli 7, 8, da 10 a 12, 51 e 52 della Carta, dell’articolo 8 della CEDU e dell’articolo 17 del Patto può essere addebitata a Europol nonché al Regno del Belgio, alla Repubblica francese o al Regno dei Paesi Bassi.

184    A tal riguardo, si deve anche ricordare che l’articolo 52, paragrafo 1, della Carta prevede la possibilità che siano apportate limitazioni ai diritti garantiti da quest’ultima – compreso il diritto al rispetto della vita privata e familiare, la protezione dei dati personali, la libertà di pensiero, di coscienza e di religione, la libertà di espressione e d’informazione, la libertà di riunione e di associazione – purché tali limitazioni siano previste dalla legge, rispettino il contenuto essenziale dei diritti e delle libertà in questione e, nel rispetto del principio di proporzionalità, siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui [v. sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C‑548/21, EU:C:2024:830, punto 119 e giurisprudenza citata].

185    In più, la lotta contro la criminalità grave – in cui rientra la lotta contro il traffico di stupefacenti – è idonea a giustificare ingerenze gravi nei diritti fondamentali sanciti in particolare agli articoli 7 e 8 della Carta, come quelle che comporta la conservazione dei dati relativi al traffico e dei dati relativi all’ubicazione (v., in tal senso, sentenza del 7 settembre 2023, Lietuvos Respublikos generalinė prokuratūra, C‑162/22, EU:C:2023:631, punto 37).

186    Infine, nella parte in cui il ricorrente fa valere la raccomandazione del Parlamento europeo di cui al precedente punto 159, è sufficiente constatare che un siffatto documento non ha effetti giuridici vincolanti.

187    Visto quanto precede, il ricorrente non ha dimostrato alcuna violazione sufficientemente qualificata di una norma giuridica preordinata a conferirgli diritti.

188    Mancando tale condizione per il sorgere della responsabilità di Europol ai sensi dell’articolo 50, paragrafo 1, del regolamento 2016/794, non occorre esaminare le altre condizioni per il sorgere della responsabilità di Europol a tale titolo (v., in tal senso, sentenza del 13 dicembre 2018, Unione europea/Kendrion, C‑150/17 P, EU:C:2018:1014, punto 118).

189    Pertanto, la voce di danno sollevata dal ricorrente nei confronti di Europol e fondata sull’articolo 50, paragrafo 1, del regolamento 2016/794 deve essere respinta in quanto infondata.

2)      Sui danni asseriti derivanti dai soli atti o comportamenti di Europol, di cui si chiede il risarcimento sulla base della sua responsabilità per fatto suo proprio prevista all’articolo 49, paragrafo 3, del regolamento 2016/794

i)      Sulla voce di danno relativa alla violazione del diritto a un processo penale equo

190    Il ricorrente sostiene di aver subito un danno a causa della violazione del suo diritto a un processo penale equo, garantito dagli articoli 47 e 48 della Carta nonché dagli articoli 14 e 15 del Patto, derivante dall’impossibilità di verificare la veridicità, l’autenticità, l’affidabilità e la legalità dei dati trattati e trasferiti nell’ambito della cooperazione relativa al servizio Sky ECC o, quantomeno, dall’assenza di garanzie formali e sostanziali.

191    Infatti, il «principio (auspicato), più o meno assoluto, di fiducia interstatale» e i «metodi (d’indagine) segreta (di Stato)» renderebbero impossibile il controllo formale e sostanziale dei dati provenienti dal servizio Sky ECC, in quanto elementi di prova, nell’ambito dei procedimenti penali nazionali, e ciò quand’anche tali dati siano incompleti e, quindi, siano stati raccolti e trattati in modo scorretto, illecito, inadeguato e contrario alla finalità dell’utilizzo delle prove in materia penale.

192    Europol sostiene che tale voce di danno è priva di fondamento.

193    Anzitutto, nella parte in cui il ricorrente afferma, in sostanza, che i procedimenti penali tanto dei Paesi Bassi quanto serbo non gli consentono di contestare la ricevibilità o la forza probatoria dei dati provenienti dal servizio Sky ECC utilizzati nell’ambito di questi ultimi, tale argomento deve essere respinto, in assenza di responsabilità solidale di Europol per fatto di uno Stato membro per quanto riguarda atti o comportamenti diversi dai trattamenti non corretti di dati e in assenza di responsabilità solidale di Europol per fatto di un paese terzo.

194    Inoltre, se, con la presente voce di danno, il ricorrente fa valere l’illiceità del trattamento dei suoi dati, tale argomento è già stato respinto al precedente punto 187.

195    Per tale ragione, occorre respingere la voce di danno dedotta dal ricorrente e relativa alla violazione da parte di Europol degli articoli 47 e 48 della Carta e degli articoli 14 e 15 del Patto.

ii)    Sulla voce di danno relativa alla mancanza di coordinamento tra le autorità dei Paesi Bassi e serbe ai fini dei procedimenti penali avviati contro il ricorrente

196    Con il suo terzo motivo di ricorso, il ricorrente afferma che Europol gli ha cagionato un danno non conformandosi al suo obbligo di coordinamento dei procedimenti penali pur previsto dall’accordo SIC, sebbene essa sia stata coinvolta nella condivisione dei suoi dati ai fini delle azioni penali esercitate contro di lui.

197    Tale inadempimento avrebbe indotto il ricorrente a doversi difendere nei Paesi Bassi e in Serbia, pur essendo detenuto nei Paesi Bassi, il che avrebbe pregiudicato la sua difesa in Serbia e avrebbe violato gli articoli 47 e 48 della Carta, l’articolo 6 della CEDU nonché gli articoli 14 e 15 del Patto.

198    Europol sostiene che tale voce di danno è priva di fondamento.

199    A tal riguardo, è sufficiente rilevare che l’argomento del ricorrente deriva da una lettura erronea del passaggio dell’accordo SIC, di cui egli si avvale.

200    Sotto il titolo «9.1 Accordi sull’utilizzo dei dati digitali provenienti dall’ascolto di server – Scambio di informazioni con paesi che non fanno parte della SIC», l’accordo SIC prevede che «qualora (…) utenti di diversi paesi della SIC o di paesi non facenti parte della SIC possano essere coinvolti in fatti simili o connessi, le parti della SIC interessate si consultano senza indugio, se del caso anche con i paesi che non fanno parte della SIC ed Europol».

201    Pertanto, oltre al fatto che la concertazione con Europol sull’utilizzo dei dati digitali provenienti dall’ascolto di server è solo facoltativa, è giocoforza constatare che, tenuto conto del titolo in cui è collocato il passaggio menzionato dal ricorrente, detta concertazione riguarda l’utilizzo di tali dati e non i procedimenti penali che potrebbero essere avviati sulla base dei suddetti dati dagli Stati membri parti dell’accordo SIC, o addirittura da paesi non parti di quest’ultimo.

202    Inoltre, nessun obbligo di coordinamento delle azioni penali a livello nazionale può essere opposto a Europol, in quanto il regolamento 2016/794 – e in particolare il suo articolo 4, paragrafo 1 – non la autorizza in alcun modo a decidere di avviare procedimenti penali nei confronti di un individuo identificato in un determinato paese o ancora a coordinare i procedimenti avviati in più di tali paesi.

203    Pertanto, Europol non può essere ritenuta responsabile di violazioni degli articoli 47 e 48 della Carta, dell’articolo 6 della CEDU nonché degli articoli 14 e 15 del Patto, violazioni che, alla data di proposizione del presente ricorso, risultavano del tutto ipotetiche, in quanto i procedimenti penali avviati contro il ricorrente erano ancora pendenti.

204    Di conseguenza, occorre respingere la voce di danno dedotta dal ricorrente e relativa alla violazione da parte di Europol dell’accordo SIC nonché degli articoli 47 e 48 della Carta, dell’articolo 6 della CEDU e degli articoli 14 e 15 del Patto.

iii) Sulla voce di danno relativa alla violazione dell’articolo 32 del regolamento 2016/794

205    Con il suo quarto motivo di ricorso, il ricorrente afferma che, anche supponendo che la raccolta e il trattamento dei suoi dati personali si siano rivelati leciti e corretti, Europol gli ha cagionato un danno venendo meno al suo obbligo di garantire un livello di sicurezza adeguato dei suoi dati, in violazione dell’articolo 32 del regolamento 2016/794.

206    Europol sostiene che tale voce di danno è priva di fondamento.

207    È giocoforza constatare che le affermazioni del ricorrente relative all’inadempimento di Europol al suo obbligo di adottare le misure tecniche e organizzative adeguate al fine di garantire un livello di sicurezza adeguato al rischio non sono suffragate da alcuna prova o principio di prova.

208    Il ricorrente non dimostra che, a causa di un siffatto inadempimento, i suoi dati personali siano stati oggetto, in particolare, di una divulgazione, di una modifica o di un accesso non autorizzati o di qualsiasi altra forma di trattamento non autorizzato.

209    A tal riguardo, occorre rilevare che l’affermazione del ricorrente relativa alla divulgazione del suo nome sulla stampa a causa di Europol non è corroborata da alcuna prova.

210    Il solo timore non suffragato del ricorrente che si sia potuta verificare una violazione dei suoi dati personali non può essere sufficiente per dimostrare che Europol è venuta meno ai suoi obblighi derivanti dall’articolo 32 del regolamento 2016/794.

211    Di conseguenza, occorre respingere il capo di danno invocato dal ricorrente e vertente sulla violazione da parte di Europol dell’articolo 32 del regolamento 2016/794 e, di conseguenza, le conclusioni risarcitorie nella parte in cui sono dirette contro Europol.

b)      Sugli atti e sui comportamenti di cui Eurojust può essere ritenuta responsabile

1)      Sulla voce di danno relativa al trattamento illecito dei dati personali del ricorrente

212    Con il suo primo motivo di ricorso, il ricorrente sostiene di aver subito un danno a causa del trattamento dei suoi dati personali, in violazione degli articoli 71 e 72 del regolamento 2018/1725, degli articoli «(9 e) 26, e 27 del regolamento 2018/1727», degli articoli 7, 8 e da 10 a 12 della Carta, in combinato disposto con i suoi articoli 51 e 52, dell’articolo 8 della CEDU nonché dell’articolo 17 del Patto.

213    A sostegno della sua argomentazione, il ricorrente indica di rinviare mutatis mutandis alle critiche formulate nei confronti di Europol e menzionate ai precedenti punti da 154 a 160. Egli aggiunge che Eurojust ha altresì violato il segreto professionale degli avvocati.

214    Eurojust sostiene che tale voce di danno è priva di fondamento.

215    In via preliminare, occorre respingere gli argomenti del ricorrente che possono essere intesi nel senso che criticano, sulla base della violazione dei suoi dati personali, atti o comportamenti di Eurojust che hanno riguardato dati diversi dai suoi dati personali.

216    Infatti, affinché possa sorgere la responsabilità dell’Unione, il richiedente deve dimostrare che il danno di cui chiede il risarcimento lo riguarda personalmente (ordinanza del 3 settembre 2021, Löning/Commissione, C‑176/21 P, non pubblicata, EU:C:2021:697, punto 19).

217    Devono quindi essere respinte le critiche del ricorrente relative alla fornitura di un sostegno e di consulenze in materia di cooperazione giudiziaria al Regno del Belgio, alla Repubblica francese, al Regno dei Paesi Bassi e a Europol in occasione di tre riunioni organizzate il 25 aprile 2019, il 7 settembre 2020 e l’11 febbraio 2021 (precedente punto 71) e le critiche relative al coordinamento delle indagini dei Paesi Bassi e serba in occasione della riunione organizzata il 23 maggio 2022 (precedente punto 73), di cui il ricorrente non afferma né tantomeno dimostra che abbiano dato luogo al trattamento dei suoi dati personali.

218    Lo stesso vale per l’affermazione relativa alla violazione, da parte di Eurojust, del segreto professionale dell’avvocato.

219    Infatti, è vero che il ricorrente menziona una denuncia di un avvocato del foro di Rotterdam relativa al trattamento dei suoi dati provenienti dal servizio Sky ECC. Tuttavia, egli non indica affatto che tale avvocato sia stato o sia il suo rappresentante e che le informazioni asseritamente trattate da Eurojust siano state relative alla sua difesa e che, di conseguenza, essa abbia violato il suo diritto di essere consigliato da un avvocato nell’ambito di un procedimento giurisdizionale, diritto sancito dall’articolo 47, secondo comma, della Carta (v., in tal senso, sentenza dell’8 dicembre 2022, Orde van Vlaamse Balies e a., C‑694/20, EU:C:2022:963, punto 53).

220    Per quanto riguarda la trasmissione del 24 giugno 2022 e come rilevato ai precedenti punti da 124 a 130, il ricorrente non dimostra le ragioni per le quali essa abbia dato luogo a un trattamento illecito dei suoi dati personali.

221    Inoltre, e per quanto riguarda l’affermazione vertente sulla violazione degli articoli 47 e 48 della Carta nonché dell’articolo 6 della CEDU e degli articoli 14 e 15 del Patto, il ricorrente non spiega in che modo un eventuale trattamento illecito dei suoi dati personali comporterebbe una violazione di tali disposizioni.

222    Alla luce di quanto precede, occorre respingere la voce di danno dedotta dal ricorrente e relativa al trattamento illecito dei suoi dati personali nonché a violazioni degli articoli 47 e 48 della Carta, all’articolo 6 della CEDU e agli articoli 14 e 15 del Patto.

2)      Sulla voce di danno relativa alla violazione del diritto del ricorrente a un processo penale equo

223    Con il suo secondo motivo di ricorso, il ricorrente afferma che Eurojust gli ha cagionato un danno violando il suo diritto a un processo penale equo, garantito dagli articoli 47 e 48 della Carta nonché dagli articoli 14 e 15 del Patto, derivante dall’impossibilità di verificare la veridicità, l’autenticità, l’affidabilità e la legalità dei dati trattati e trasferiti nell’ambito della cooperazione relativa al servizio Sky ECC o, quantomeno, dall’assenza di garanzie formali e sostanziali.

224    A sostegno della sua argomentazione, il ricorrente si avvale degli stessi argomenti di cui al precedente punto 191.

225    Eurojust sostiene che tale voce di danno è priva di fondamento.

226    Nell’ambito del secondo motivo di ricorso, che verte unicamente sul regime delle prove utilizzate nell’ambito dei procedimenti penali nazionali avviati contro il ricorrente, si deve constatare che Eurojust si è limitata a procedere alla trasmissione del 24 giugno 2022.

227    Orbene, le conclusioni di annullamento della trasmissione del 24 giugno 2022, fondate sugli stessi argomenti, sono già state respinte ai precedenti punti da 128 a 130.

228    Peraltro, il ricorrente non menziona alcun elemento o argomento diretto a dimostrare che, successivamente a tale trasmissione, sia intervenuta una qualsivoglia lesione del suo diritto a un ricorso giurisdizionale effettivo.

229    In ogni caso, occorre ricordare che l’articolo 52, paragrafo 1, della Carta prevede la possibilità di apportare limitazioni ai diritti garantiti da quest’ultima – compreso il diritto a un ricorso giurisdizionale effettivo – alle condizioni ricordate al precedente punto 184.

230    In considerazione di quanto precede, occorre respingere la voce di danno dedotta dal ricorrente e relativa alla violazione da parte di Eurojust degli articoli 47 e 48 della Carta, o anche degli articoli 14 e 15 del Patto.

3)      Sulla voce di danno relativa alla mancanza di coordinamento tra le autorità dei Paesi Bassi e serbe ai fini dei procedimenti penali avviati contro il ricorrente

231    Con il suo terzo motivo di ricorso, il ricorrente sostiene che Eurojust gli ha cagionato un danno non conformandosi al suo obbligo di coordinamento delle azioni penali, sebbene previsto dall’articolo 4, paragrafo 1, lettera b), del regolamento 2018/1727 nonché dall’accordo SIC, nonostante essa sia stata coinvolta nella condivisione dei suoi dati ai fini dell’esercizio di azioni penali contro di lui.

232    Tale inadempimento avrebbe indotto il ricorrente a doversi difendere nei Paesi Bassi e in Serbia, pur essendo detenuto nei Paesi Bassi, il che avrebbe pregiudicato la sua difesa in Serbia e avrebbe violato gli articoli 47 e 48 della Carta, l’articolo 6 della CEDU e gli articoli 14 e 15 del Patto.

233    Eurojust sostiene che tale voce di danno è priva di fondamento.

234    A tal riguardo, occorre ricordare che, come già indicato ai precedenti punti da 199 a 201, la concertazione prevista dall’accordo SIC riguarda l’utilizzo dei dati raccolti dagli Stati interessati e non i procedimenti penali che potrebbero essere avviati sulla base di detti dati dagli Stati membri parti dell’accordo SIC, o anche da paesi non parti di quest’ultimo.

235    Inoltre, occorre rilevare che l’articolo 4, paragrafo 1, lettera b), del regolamento 2018/1727 dispone che Eurojust «[assiste] le autorità competenti degli Stati membri nell’assicurare un coordinamento ottimale delle indagini e delle azioni penali».

236    Ne consegue, come sostiene giustamente Eurojust, che, nell’ambito di tale funzione operativa di coordinamento delle indagini e delle azioni penali, essa è vincolata unicamente a un obbligo di mezzi e che la decisione di avviare un’azione penale nei confronti di una persona spetta alle sole autorità nazionali interessate, il che è confermato dall’articolo 85 TFUE, che costituisce la base giuridica del regolamento 2018/1727.

237    Pertanto, Eurojust non può essere ritenuta responsabile di scelte procedurali che rientrano nella sola competenza e nella sola responsabilità degli Stati interessati.

238    Visto quanto precede, occorre respingere la voce di danno dedotta dal ricorrente e relativa alla violazione da parte di Eurojust dell’accordo SIC, dell’articolo 4, paragrafo 1, lettera b), del regolamento 2018/1727 nonché degli articoli 47 e 48 della Carta, dell’articolo 6 della CEDU e degli articoli 14 e 15 del Patto.

4)      Sulla voce di danno relativa alla violazione degli articoli 89, 91 e 92 del regolamento 2018/1725

239    Con il suo quarto motivo di ricorso, il ricorrente afferma che, anche supponendo che la raccolta e il trattamento dei suoi dati personali si siano rivelati leciti e corretti, anzitutto, Eurojust gli ha cagionato un danno venendo meno al suo obbligo di garantire un adeguato livello di sicurezza dei suoi dati, in violazione dell’articolo 91 del regolamento 2018/1725.

240    Inoltre, tenuto conto del carattere di novità delle modalità di ottenimento dei dati del servizio Sky ECC – vale a dire il ricorso alla tecnica dell’«attacco “man in the middle”» –, Eurojust sarebbe venuta meno al suo obbligo di effettuare una valutazione d’impatto preventiva relativa alla protezione dei dati del ricorrente, prevista all’articolo 89 del regolamento 2018/1725.

241    Infine, Eurojust sarebbe venuta meno al suo obbligo di notificare al GEPD la violazione dei dati personali del ricorrente, in violazione dell’articolo 92 del regolamento 2018/1725.

242    Eurojust sostiene che tale voce di danno è priva di fondamento.

243    Anzitutto, le affermazioni del ricorrente, vertenti sull’inadempimento da parte di Eurojust del suo obbligo di adottare le misure tecniche e organizzative adeguate al fine di garantire un livello di sicurezza adeguato al rischio, devono essere respinte per motivi simili a quelli di cui ai precedenti punti da 207 a 210.

244    Il ricorrente, poi, non spiega le ragioni per le quali Eurojust sarebbe venuta meno al suo obbligo di procedere ad una valutazione d’impatto preventiva alla trasmissione alle autorità serbe del link fornito dalle autorità francesi verso un sito protetto da una password contenente le sue conversazioni del servizio Sky ECC (precedente punto 75).

245    Una siffatta trasmissione, di cui nulla indica che presentasse un rischio particolare per i diritti e le libertà del richiedente o quantomeno un rischio superiore ad altre modalità di trasmissione, non giustificava la realizzazione della valutazione d’impatto preventiva prevista dall’articolo 89 del regolamento 2018/1725.

246    Infine, non avendo dimostrato, a un titolo o a un altro, che Eurojust aveva violato i suoi dati personali, il ricorrente non può contestarle di essere venuta meno al suo obbligo, previsto all’articolo 92 del regolamento 2018/1725, di notificare al GEPD una siffatta violazione.

247    In base a quanto precede, occorre respingere la voce di danno invocata dal ricorrente e relativa alla violazione degli articoli 89, 91 e 92 del regolamento 2018/1725 e, di conseguenza, le conclusioni risarcitorie nella parte in cui sono dirette contro Eurojust.

248    Tenuto conto di tutto quanto precede, il ricorso deve essere integralmente respinto, senza che sia necessario pronunciarsi sulle altre eccezioni di irricevibilità opposte da Europol e da Eurojust.

IV.    Sulle spese

249    Ai sensi dell’articolo 134, paragrafo 1, del regolamento di procedura del Tribunale, la parte soccombente è condannata alle spese se ne è stata fatta domanda. Il ricorrente, rimasto soccombente, dev’essere condannato alle spese, conformemente alle conclusioni di Europol e di Eurojust. Inoltre, in applicazione dell’articolo 138, paragrafo 1, del regolamento di procedura, le spese sostenute dal Regno del Belgio, dal Regno di Spagna e dal Regno dei Paesi Bassi resteranno a loro carico.

Per questi motivi,

IL TRIBUNALE (Quinta Sezione)

dichiara e statuisce:

1)      Il ricorso è respinto.

2)      BW si farà carico delle proprie spese nonché di quelle sostenute dall’Agenzia dell’Unione europea per la cooperazione nell’attività di contrasto (Europol) e dall’Agenzia dell’Unione europea per la cooperazione giudiziaria penale (Eurojust).

3)      Le spese sostenute dal Regno del Belgio, dal Regno di Spagna e dal Regno dei Paesi Bassi resteranno a loro carico.

Così deciso e pronunciato a Lussemburgo il 25 febbraio 2026.

Firme

---

*      Lingua processuale: il neerlandese.