Europol en lidstaat hoofdelijk aansprakelijk voor onrechtmatige gegevensverwerking

HvJ EU 5 maart 2024, IT 4497, ECLI:EU:C:2024:202 (Kočner tegen Europol). Naar aanleiding van de moord op een Slowaakse journalist en zijn verloofde is door Slowaakse autoriteiten een uitgebreid onderzoek gestart. Op verzoek van deze autoriteiten heeft Europol gegevens die waren opgeslagen op twee mobiele telefoons behorend tot Marian Kočner overhandigd. Europol gaf bovendien in een van zijn rapporten aan dat Kočner in hechtenis zat en dat zijn naam in verband werd gebracht met “maffialijsten”. Kočner vordert van Europol €100.000,- immateriële schadevergoeding wegens schade die hij stelt te hebben geleden door de onrechtmatige verwerking van zijn gegevens. Het Gerecht heeft dit beroep verworpen, omdat Kočner niet bewezen zou hebben dat er een oorzakelijk verband bestond tussen de gestelde schade en het gedrag van Europol, evemin dat de "maffialijsten” door Europol waren opgesteld en werden bijgehouden. Kočner heeft hogere voorziening ingesteld bij het Hof.

Het Hof oordeelt dat sprake is van hoofdelijke aansprakelijkheid van Europol en de lidstaat waar de schade zich heeft voorgedaan ten gevolge van een onrechtmatige verwerking van gegevens in het kader van een onderlinge samenwerking. Betrokkene kan zich dus wenden tot beide instanties (voor zover de schade toerekenbaar is). De betrokken persoon hoeft dan enkel aan te tonen dat in het kader van de samenwerking tussen Europol en de betrokken lidstaat er onrechtmatig verwerkt is en dit tot schade heeft geleid. Hij hoeft niet aan te tonen welke van de twee lidstaten de onrechtmatige verwerking toegerekend kan worden. De betreffende overhandiging van de gegevens van Kočner heeft ertoe geleid dat intieme gesprekken tussen Kočner en zijn vriendin publiek toegankelijk zijn geworden. Het Hof oordeelt dat sprake is van privacyschending en Kočner immateriële schade heeft geleden. Het Hof vernietigt het arrest van het Gerecht en kent Kočner €2.000,- schadevergoeding toe.

55. Artikel 50, lid 1, van verordening 2016/794 bepaalt dat de persoon die schade heeft geleden ten gevolge van een onrechtmatige gegevensverwerking recht heeft op vergoeding van de geleden schade „hetzij van Europol [...], hetzij van de lidstaat waar het schadeveroorzakende feit zich heeft voorgedaan”. Zoals de advocaat-generaal in punt 38 van zijn conclusie heeft opgemerkt, zijn deze bewoordingen niet eenduidig over de aard van de bedoelde aansprakelijkheid. Zij kunnen immers betekenen dat de natuurlijke persoon die schade heeft geleden zich ofwel tot Europol moet wenden in geval van schade die geheel of gedeeltelijk aan Europol kan worden toegerekend, ofwel tot de betrokken lidstaat in geval van schade die geheel of gedeeltelijk aan deze staat kan worden toegerekend. Aangezien uit die bewoordingen echter ook kan voortvloeien dat de persoon die schade heeft geleden zich zonder onderscheid tot elk van de entiteiten – dus tot Europol of tot de betrokken lidstaat – kan richten met het oog op de vergoeding van alle schade die hij heeft geleden ten gevolge van een onrechtmatige gegevensverwerking in het kader van een samenwerking tussen Europol en die lidstaat, sluiten diezelfde bewoordingen niet uit dat die bepaling in dit verband een hoofdelijke aansprakelijkheid van die entiteiten kan invoeren.

58. Hieruit volgt dat de Uniewetgever – rekening houdend met de situatie waarin een natuurlijke persoon die schade heeft geleden door een onrechtmatige gegevensverwerking, niet kan vaststellen of zijn schade is toe te schrijven aan het optreden van Europol of aan dat van een lidstaat waarmee deze heeft samengewerkt – een regeling heeft ingevoerd waarbij Europol en de lidstaat waar het schadeveroorzakende feit zich heeft voorgedaan, hoofdelijk aansprakelijk zijn, teneinde die persoon volledige bescherming te bieden ingeval hij zich in een dergelijke situatie zou bevinden.

74. In de specifieke context van verordening 2016/794 blijkt uit de bewoordingen van artikel 50, lid 1, van die verordening dat de natuurlijke persoon die zijn recht op schadevergoeding op grond van die bepaling wil doen gelden jegens hetzij Europol, hetzij de lidstaat waartegen hij opkomt, moet aantonen dat er sprake is van een „onrechtmatige gegevensverwerking”, van „schade” en van een oorzakelijk verband tussen die handeling en die schade. Gelet op de eerste van de in het vorige punt in herinnering gebrachte voorwaarden, hoeft deze persoon dus enkel aan te tonen dat een onrechtmatige gegevensverwerking heeft plaatsgevonden in het kader van een samenwerking tussen Europol en een lidstaat op grond van die verordening.

80. Hieruit volgt dat artikel 50, lid 1, van verordening 2016/794, gelezen in het licht van overweging 57 van die verordening, aldus moet worden uitgelegd dat het de betrokken natuurlijke persoon die heeft aangetoond dat er sprake is van een onrechtmatige gegevensverwerking in het kader van een samenwerking tussen Europol en een lidstaat op grond van die verordening, niet de verplichting oplegt om vast te stellen welke van de bij die samenwerking betrokken entiteiten de gedraging heeft gesteld die aan de basis ligt van de onrechtmatige gegevensverwerking.