HOTĂRÂREA CURȚII (Camera a treia) 1 octombrie 2015(*) „Trimitere preliminară – Directiva 95/46/CE – Prelucrarea datelor cu caracter personal – Articolele 10 și 11 – Informarea persoanelor vizate – Articolul 13 – Excepții și restricții – Transfer de către o autoritate a administrației publice a unui stat membru al unor date fiscale cu caracter personal în vederea prelucrării lor de către o altă autoritate a administrației publice”

1. 1.      Litigiul principal și întrebarea preliminară relevantă

Reclamanții din litigiul principal sunt persoane care obțin venituri din activități independente, respectiv avocați din Baroul Cluj, care au contestat în instanță legalitatea transferului de la Agenția Națională de Administrare Fiscală (ANAF) către Casa Națională de Asigurări de Sănătate (CNAS) a datelor fiscale privind veniturile lor, fără consimțământul lor expres și fără informarea lor prealabilă.

Avocații au susținut că, pe baza unui simplu protocol intern, și nu a unei măsuri legislative, datele menționate au fost transmise și utilizate în alte scopuri decât cele pentru care fuseseră comunicate inițial către ANAF. Pe baza acestor date, CNAS a solicitat plata restanțelor contribuțiilor la sistemul de asigurări de sănătate.

Însă, în temeiul Legii nr. 95/2006, entitățile publice sunt abilitate să transmită date cu caracter personal caselor de asigurări de sănătate, pentru a le permite acestora din urmă să stabilească calitatea de asigurat a persoanelor vizate.

În aceste condiții, Curtea de Apel Cluj a hotărât să suspende judecarea cauzei și să trimită la Curtea de Justiție a Uniunii Europene (CJUE) un set de întrebări preliminare, prin care a urmărit să stabilescă dacă prelucrarea datelor de către CNAS necesită informarea prealabilă a persoanelor vizate în ceea ce privește identitatea operatorului și scopul în care au fost transmise aceste date, precum și dacă transmiterea datelor pe baza Protocolului din 2007 încalcă dispozițiile Directivei 95/46 (Directiva) care impun ca orice restricție cu privire la drepturile persoanelor vizate să fie prevăzută de lege și însoțită de garanții, în special atunci când datele sunt utilizate împotriva acestor persoane

Din cele patru întrebări transmise, CJUE a reținut ca relevantă și admisibilă numai întrebrea nr. 4), respectiv dacă pot fi prelucrate datele personale de către o autoritate căreia nu i‑au fost destinate aceste date în condițiile în care această operațiune aduce, cu caracter retroactiv, prejudicii patrimoniale?”

1. 2.      Cu privire la fond

Prin intermediul celei de a patra întrebări, instanța de trimitere solicită, în esență, să se stabilească dacă articolele 10, 11 și 13 din Directiva 95/46 trebuie interpretate în sensul că se opun unor măsuri naționale precum cele în discuție în litigiul principal, care permit unei autorități a administrației publice a unui stat membru să transmită date personale unei alte autorități a administrației publice și prelucrarea lor ulterioară, fără ca persoanele vizate să fi fost informate despre această transmitere și despre această prelucrare.

CJUE a considerat că niciunul dintre aceste trei articole din nu a fost respectat de ANAF atunci când a transmis datele recamanților către CNAS.

2.1.            Nerespectarea art. 10 din Directivă

Art. 10 din Directivă prevede  că operatorul este obligat să furnizeze persoanei de la care colectează date personale informațiile care privesc identitatea operatorului: scopul prelucrării, precum și orice alte informații suplimentare necesare pentru asigurarea unei prelucrări corecte a datelor, cu excepția cazului în care această persoană este deja informată cu privire la datele respective.

Printre informațiile suplimentare necesare pentru a asigura o prelucrare corectă a acestor date, Directiva menționează expres: destinatarii sau categoriile de destinatari ai datelor, precum și  existența dreptului de acces la aceste date și de rectificare a acestora.

CJUE a reținut că deși articolul 315 din Legea nr. 95/2006 prevede expres că „datele necesare pentru stabilirea calității de asigurat vor fi transmise în mod gratuit caselor de asigurări de sănătate de către autoritățile, instituțiile publice și alte instituții pe bază de protocol”, acestea nu includ și datele privind veniturile. Datele respective privesc identificarea persoanelor (nume, prenume, număr de identificare personal, adresă), însă nu cuprind date privind veniturile obținute.

În consecință, articolul 315 din Legea nr. 95/2006 nu poate constitui, în sensul articolului 10 din Directiva 95/46, o informație prealabilă care să permită scutirea operatorului de obligația de a informa persoanele de la care colectează date privind veniturile lor despre destinatarii acestor date și nu se poate considera că transmiterea în cauză a fost efectuată cu respectarea dispozițiilor articolului 10 din Directiva 95/46.

2.2.            Nerespectarea art. 13 din Directivă

Potrivit art. 13 din Directivă, care prevede, excepții și restricții de la aplicarea acesteia, statele membre pot restrânge domeniul obligațiilor și drepturilor prevăzute la articolul 10, dacă o astfel de restricție constituie o măsură necesară pentru a proteja „un interes economic sau financiar important al unui stat membru, inclusiv în domeniile monetar, bugetar și fiscal”, precum și „o funcție de monitorizare, inspecție sau de reglementare legată, chiar și ocazional, de exercitarea autorității publice în anumite cazuri specifice.  Cu toate acestea, același articol 13 impune expres ca astfel de limitări să fie adoptate prin măsuri legislative.

Or, modalitățile de efectuare a transmiterii acestor informații au fost elaborate nu prin intermediul unei măsuri legislative, ci prin intermediul Protocolului din 2007 încheiat între ANAF și CNAS, care nu a făcut obiectul unei publicări oficiale. În aceste împrejurări, nu se poate considera că sunt îndeplinite condițiile prevăzute la articolul 13 din Directiva 95/46 pentru ca un stat membru să poată deroga de la drepturile și obligațiile care decurg din articolul 10 din această directivă.

2.3.            Nerespectarea art. 11 din Directivă

În ceea ce privește  articolul 11 din directiva menționată, acesta spune că operatorul care prelucrează date care nu au fost colectate de la persoana vizată trebuie să îi comunice acesteia informațiile care privesc identitatea operatorului, scopul prelucrării, precum și orice alte informații suplimentare necesare pentru a asigura o prelucrare corectă a datelor, cum sunt: „categoriile de date în cauză”, precum și „existența dreptului de acces la datele care o privesc și de rectificare a datelor cu caracter personal”.

În consecință, în împrejurările din cauza principală, prelucrarea de către CNAS a datelor transmise de ANAF presupunea informarea persoanelor vizate de aceste date în legătură cu scopurile acestei prelucrări, precum și cu categoriile de date vizate, ceea ce nu s-a întâmplat.

Or, din explicațiile date de instanța de trimitere rezultă că CNAS nu a oferit reclamanților din litigiul principal aceste informații.

1. 3.      Concluzii

Așadar,  dispozițiile Legii nr. 95/2006 invocate de guvernul român și Protocolul din 2007 nu pot intra nici sub incidența regimului derogatoriu instituit de articolul 11 alineatul (2), nici sub incidența celui care rezultă din articolul 13 din directiva menționată.

Față de aceste considerente, CJUE a concluzionat că articolele 10, 11 și 13 din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretate în sensul că se opun unor măsuri naționale precum cele în discuție în litigiul principal, care permit unei autorități a administrației publice a unui stat membru să transmită date personale unei alte autorități a administrației publice și prelucrarea lor ulterioară, fără ca persoanele vizate să fi fost informate despre această transmitere sau despre această prelucrare.