CONCLUSIONI DELL’AVVOCATO GENERALE
PEDRO CRUZ VILLALÓN
presentate il 9 luglio 2015 (1)
Causa C‑201/14
Smaranda Bara e altri
contro
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF)
[domanda di pronuncia pregiudiziale proposta dalla Curtea de Apel Cluj (Romania)]
«Rinvio pregiudiziale – Politica economica e monetaria – Articolo 124 TFUE – Accesso privilegiato alle istituzioni finanziarie – Disposizione inapplicabile al procedimento principale – Irricevibilità manifesta – Ravvicinamento delle legislazioni – Direttiva 95/46/CE – Tutela delle persone fisiche con riguardo al trattamento dei dati personali – Articolo 7 – Condizioni di legittimazione del trattamento dei dati – Articoli 10 e 11 – Consenso e informazione delle persone interessate – Articolo 13 – Deroghe e restrizioni – Normativa nazionale relativa all’acquisizione della qualità di assicurato previdenziale – Protocollo di cessione, tra due istituzioni pubbliche, di dati personali relativi al reddito delle persone interessate»
1. In quale misura e in che modo le istituzioni pubbliche di uno Stato membro sono autorizzate, nel quadro dell’esercizio dei pubblici poteri, a condividere tra loro i dati personali dei cittadini, segnatamente quelli relativi al loro reddito, che esse raccolgono al fine di espletare le rispettive funzioni di interesse generale? È questa, nella sostanza, la questione primaria che si pone nell’ambito del procedimento principale e che richiede l’interpretazione, da parte della Corte, di numerose disposizioni della direttiva 95/46/CE (2).
2. La presente causa offre, più precisamente, alla Corte l’occasione di esaminare le condizioni alle quali la direttiva 95/46 subordina la trasmissione di dati personali da un’amministrazione all’altra, precisando gli obblighi a carico sia dei soggetti pubblici coinvolti in tale trasferimento sia del legislatore nazionale chiamato a disciplinare tali pratiche, segnatamente per quanto riguarda l’informazione delle persone interessate.
I – Contesto normativo
A – Il diritto dell’Unione
3. Le principali disposizioni della direttiva 95/46 che risultano pertinenti al fine della soluzione della controversia oggetto del procedimento principale sono gli articoli 7, 10, 11 e 13. Le altre disposizioni pertinenti saranno citate all’occorrenza nel prosieguo.
4. L’articolo 7 della direttiva 95/46 così dispone:
«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, oppure
b) è necessario all’esecuzione del contratto concluso con la persona interessata o all’esecuzione di misure precontrattuali prese su richiesta di tale persona, oppure
c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure
d) è necessario per la salvaguardia dell’interesse vitale della persona interessata, oppure
e) è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati, oppure
f) è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’articolo 1, paragrafo 1».
5. L’articolo 10 della direttiva 95/46 enuncia:
«Gli Stati membri dispongono che il responsabile del trattamento, o il suo rappresentante, debba fornire alla persona presso la quale effettua la raccolta dei dati che la riguardano almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:
a) l’identità del responsabile del trattamento ed eventualmente del suo rappresentante,
b) le finalità del trattamento cui sono destinati i dati;
c) ulteriori informazioni riguardanti quanto segue:
– i destinatari o le categorie di destinatari dei dati,
– se rispondere alle domande è obbligatorio o volontario, nonché le possibili conseguenze di una mancata risposta,
– se esistono diritti di accesso ai dati e di rettifica in merito ai dati che la riguardano
nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronti della persona interessata».
6. L’articolo 11 della direttiva 95/46 così dispone:
«1. In caso di dati non raccolti presso la persona interessata, gli Stati membri dispongono che, al momento della registrazione dei dati o qualora sia prevista una comunicazione dei dati a un terzo, al più tardi all’atto della prima comunicazione dei medesimi, il responsabile del trattamento o il suo rappresentante debba fornire alla persona interessata almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:
a) l’identità del responsabile del trattamento ed eventualmente del suo rappresentante,
b) le finalità del trattamento,
c) ulteriori informazioni riguardanti quanto segue:
– le categorie di dati interessate,
– i destinatari o le categorie di destinatari dei dati,
– se esiste un diritto di accesso ai dati e di rettifica in merito ai dati che la riguardano,
nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronti della persona interessata.
2. Le disposizioni del paragrafo 1 non si applicano quando, in particolare nel trattamento di dati a scopi statistici, o di ricerca storica o scientifica, l’informazione della persona interessata si rivela impossibile o richiede sforzi sproporzionati o la registrazione o la comunicazione è prescritta per legge. In questi casi gli Stati membri prevedono garanzie appropriate».
7. L’articolo 13, paragrafo 1, della direttiva 95/46 così recita:
«1. Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell’articolo 6, paragrafo 1, dell’articolo 10, dell’articolo 11, paragrafo 1 e degli articoli 12 e 21, qualora tale restrizione costituisca una misura necessaria alla salvaguardia:
a) della sicurezza dello Stato;
b) della difesa;
c) della pubblica sicurezza;
d) della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate;
e) di un rilevante interesse economico o finanziario di uno Stato membro o dell’Unione europea, anche in materia monetaria, di bilancio e tributaria;
f) di un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l’esercizio dei pubblici poteri nei casi di cui alle lettere c), d) ed e);
g) della protezione della persona interessata o dei diritti e delle libertà altrui».
B – Il diritto nazionale
8. Dalla decisione di rinvio emerge che sono la legge n. 95/2006, sulla riforma del settore sanitario, e l’ordinanza del presidente della Cassa nazionale malattia (3) n. 617/2007 del 13 agosto 2007 (4), emessa in esecuzione di tale legge, il quadro giuridico che disciplina l’accertamento della qualità di assicurato dei cittadini rumeni domiciliati nel paese, dei cittadini stranieri e degli apolidi che abbiano richiesto e ottenuto proroga del diritto di soggiorno temporaneo o che siano domiciliati in Romania, nonché gli obblighi degli stessi di pagare i contributi per la cassa malattia a loro carico.
9. Il giudice remittente precisa che questi due atti legittimano le istituzioni dello Stato a trasmettere alla CNAS le informazioni necessarie all’accertamento della suddetta qualità di assicurato. L’articolo 315 della legge n. 95/2006 dispone al riguardo:
«I dati necessari per accertare la qualità di assicurato sono trasmessi gratuitamente alle casse malattia dalle autorità, dalle istituzioni pubbliche e dalle altre istituzioni su base di protocollo».
10. Con il protocollo stipulato il 26 ottobre 2007, classificato come P 5282/26.10.2007/95896/30.10.2007 (5), l’Agenţia Naţională de Administrare Fiscală (Agenzia nazionale per l’amministrazione tributaria) (6) e la CNAS hanno disciplinato le modalità di trasmissione dei dati pertinenti. Il suo articolo 4 così dispone:
«Dopo l’entrata in vigore del presente protocollo, l’[ANAF], tramite le pertinenti strutture subordinate, fornirà in formato elettronico la base di dati iniziale riguardante:
a. i redditi delle persone appartenenti alle categorie di cui all’articolo 1, paragrafo 1, del presente protocollo, e, con cadenza trimestrale, l’aggiornamento di tale base di dati, alla [CNAS], su supporto compatibile con il trattamento automatizzato, conformemente all’allegato 1 al presente protocollo (...)».
II – Procedimento principale
11. I ricorrenti nel procedimento principale sono persone che percepiscono reddito da lavoro autonomo chiamate a versare il proprio contributo al Fondo nazionale unico di previdenza sociale mediante avvisi di accertamento emessi dalla cassa malattia di Cluj (Romania), avvisi stabiliti sulla base di dati relativi al loro reddito forniti alla CNAS dall’ANAF.
12. Detti ricorrenti contestano dinanzi al giudice remittente i diversi atti amministrativi sulla base dei quali l’ANAF ha trasmesso alla CNAS i dati necessari all’emissione di tali avvisi, in particolare quelli relativi al loro reddito. Essi ritengono che la trasmissione, da parte dell’ANAF, dei loro dati personali alla CNAS sia avvenuta in violazione delle disposizioni della direttiva 95/46. Tali dati sarebbero stati trasmessi e utilizzati, in base a un semplice protocollo interno, per finalità diverse da quelle per cui erano stati inizialmente comunicati alla CNAS, senza il consenso espresso degli interessati e senza che essi ne fossero previamente informati.
13. Il giudice remittente precisa, al riguardo, che la legislazione rumena prevede rigorosamente e solamente la trasmissione dei dati necessari per l’accertamento della qualità di assicurato, vale a dire i dati identificativi della persona (nome, cognome, codice identificativo, domicilio o residenza in Romania), con esclusione, quindi, dei dati relativi al reddito percepito in Romania.
III – Questioni pregiudiziali e procedimento dinanzi alla Corte
14. È in tale contesto che, con ordinanza del 31 marzo 2014, la Curtea de Apel Cluj (Corte d’appello di Cluj, Romania) ha deciso di sospendere il procedimento e di sottoporre alla Corte le quattro questioni pregiudiziali seguenti:
«1) Se l’autorità tributaria nazionale, in qualità di rappresentante del ministero competente di uno Stato membro, sia un’istituzione finanziaria ai sensi dell’articolo 124 TFUE.
2) Se sia possibile regolamentare mediante un atto assimilato agli atti amministrativi, nella fattispecie un protocollo stipulato tra l’amministrazione tributaria nazionale e un’altra istituzione dello Stato, la trasmissione della base di dati relativa ai redditi dei cittadini di uno Stato membro dall’amministrazione tributaria a un’altra istituzione dello stesso Stato senza che si configuri un accesso privilegiato, quale definito dall’articolo 124 TFUE.
3) Se la trasmissione della base di dati finalizzata a imporre a cittadini dello Stato membro obblighi di pagamento a titolo di contributo previdenziale, nei confronti dell’istituzione dello Stato membro a beneficio della quale si esegue il trasferimento, rientri nella nozione di “considerazion[e] prudenzial[e]” ai sensi dell’articolo 124 TFUE.
4) Se i dati personali possano essere oggetto di trattamento da parte di autorità a cui non erano destinati, qualora una tale operazione arrechi, retroattivamente, un danno patrimoniale».
15. La CNAS, i governi rumeno e ceco nonché la Commissione europea hanno presentato osservazioni scritte alla Corte.
16. La Corte ha, peraltro, invitato gli interessati abilitati a presentare osservazioni a norma dell’articolo 23 dello Statuto della Corte di giustizia dell’Unione europea a prendere posizione in udienza su tre punti, vale a dire: sulla portata degli obblighi che incombono, ai sensi degli articoli 10 e 11 della direttiva 95/46, all’ANAF, in qualità di emittente dei dati trasferiti, e alla CNAS, in qualità di destinatario di tali dati; sulla pertinenza dell’articolo 13 della direttiva 95/46 ai fini dell’interpretazione sollecitata dal giudice remittente; infine, sui criteri in base ai quali il Protocollo del 26 ottobre 2007 tra la CNAS e l’ANAF possa costituire una «disposizione legislativa» a norma dell’articolo 13 della direttiva 95/46.
17. I ricorrenti nel procedimento principale, il governo rumeno e la Commissione hanno presentato osservazioni orali e hanno risposto ai quesiti formulati dalla Corte nel corso dell’udienza pubblica tenutasi il 29 aprile 2015.
IV – Sulla ricevibilità delle questioni
18. Tutti gli interessati che hanno presentato osservazioni alla Corte concordano nel ritenere che le prime tre questioni pregiudiziali sollevate dal giudice remittente, riguardanti l’interpretazione dell’articolo 124 TFUE, debbano essere dichiarate irricevibili, in quanto tale disposizione del diritto primario non attiene all’oggetto della controversia principale e non può trovare applicazione al procedimento principale.
19. Nella fattispecie, l’articolo 124 TFUE, facente parte del capitolo del Trattato relativo alla politica economica, vieta qualsiasi misura che offra agli Stati membri un accesso privilegiato alle istituzioni finanziarie. Tale disposizione, che assoggetta le operazioni di finanziamento del settore pubblico alla disciplina del mercato e contribuisce così a rafforzare la disciplina di bilancio (7), persegue, insieme agli articoli 123 TFUE e 125 TFUE, un obiettivo di natura preventiva volto, come la Corte ha avuto l’occasione di sottolineare, a ridurre il più possibile il rischio di crisi del debito sovrano (8).
20. L’articolo 1, paragrafo 1, del regolamento n. 3604/93 definisce la nozione di «misura che offre un accesso privilegiato» come qualsiasi disposizione legislativa o regolamentare o qualsiasi atto giuridico di natura vincolante adottato nell’esercizio della pubblica autorità che obblighi le istituzioni finanziarie ad acquisire o a detenere titoli di debito, in particolare, di amministrazioni centrali, di autorità regionali o locali, di altre autorità pubbliche o di altri organismi o imprese pubbliche degli Stati membri, ovvero che conceda vantaggi fiscali di cui beneficiano unicamente le istituzioni finanziarie, o vantaggi finanziari non conformi ai principi di un’economia di mercato, al fine di favorire l’acquisizione o la detenzione di tali titoli di debito da parte di dette istituzioni.
21. È evidente che la situazione di cui trattasi nel procedimento principale, e più precisamente l’accesso della CNAS ai dati raccolti dall’ANAF, non può essere analizzata nei termini di un «accesso privilegiato» alle «istituzioni finanziarie» (9), di cui peraltro non trattasi affatto nella decisione di rinvio.
22. È, pertanto, manifesto che l’articolo 124 TFUE non può trovare applicazione nel procedimento principale e che le prime tre questioni del giudice remittente devono, di conseguenza, essere dichiarate irricevibili.
23. Occorre, peraltro, rilevare, in merito alla quarta questione del giudice remittente, che essa è formulata in termini molto generali, che non fa menzione delle disposizioni del diritto dell’Unione di cui è chiesta l’interpretazione ai fini della soluzione della controversia principale e che contiene solo una presentazione succinta del quadro giuridico e fattuale di detta controversia, cosicché si potrebbe comunque considerare di dichiararne l’irricevibilità.
24. Il governo rumeno ha eccepito, al riguardo, di non vedere alcun nesso tra il danno evocato dai ricorrenti nel procedimento principale, risultante dal trattamento dei dati in questione, e l’annullamento degli atti amministrativi impugnati nell’ambito del procedimento principale.
25. È certamente vero che la menzione, da parte del giudice remittente, dei danni patrimoniali causati retroattivamente alle persone interessate dalla trasmissione è, come emerge dall’esame nel merito della quarta questione, priva di attinenza ai fini dell’esame della compatibilità della legislazione nazionale con le prescrizioni della direttiva 95/46.
26. Tuttavia, emerge chiaramente dalla decisione di rinvio che la quarta questione verte sull’interpretazione delle disposizioni della direttiva 95/46. In effetti, il giudice remittente precisa di domandarsi, da un lato, riferendosi implicitamente alla situazione di cui all’articolo 11 della direttiva 95/46, se il trattamento da parte della CNAS dei dati personali raccolti dall’ANAF sia avvenuto nel rispetto degli obblighi di informazione a suo carico. Il giudice dichiara di domandarsi, dall’altro lato, se la trasmissione dei dati personali sulla base del Protocollo del 26 ottobre 2007 costituisca una violazione dell’obbligo a carico dello Stato membro di garantire il trattamento dei dati personali in conformità con le disposizioni della direttiva 95/46, riferendosi, ancora una volta implicitamente, all’articolo 13 della stessa, che ammette restrizioni ai diritti garantiti da detta direttiva laddove previste dalla legge e corredate da appropriate garanzie.
27. L’argomentazione del giudice remittente in merito ai suoi interrogativi consente pertanto di identificare a sufficienza la questione d’interpretazione della direttiva 95/46 sollevata nella vertenza del procedimento principale.
28. Occorre, al riguardo, ricordare che, conformemente a una giurisprudenza consolidata, il rifiuto di pronunciarsi su una questione pregiudiziale è possibile solo quando risulti manifestamente che l’interpretazione del diritto dell’Unione richiesta non ha alcuna relazione con la realtà o con l’oggetto del procedimento principale, quando il problema è di natura teorica o quando la Corte non dispone degli elementi di fatto e di diritto necessari per fornire una soluzione utile alle questioni che le vengono sottoposte (10).
29. Ritengo, di conseguenza, che la quarta questione pregiudiziale posta dal giudice remittente sia ricevibile e debba essere esaminata.
V – Sulla quarta questione
30. Con la sua quarta questione, letta alla luce delle spiegazioni fornite nella decisione di rinvio e delle considerazioni che precedono, il giudice remittente si domanda, in sostanza, se la direttiva 95/46 debba essere interpretata nel senso che essa osta a una normativa nazionale che consenta a un’istituzione pubblica di uno Stato membro di trattare dati personali di cui essa non era destinataria, in particolare dati relativi al reddito delle persone interessate, senza che queste ultime vi abbiano acconsentito o siano state previamente informate.
A – Sintesi delle osservazioni presentate alla Corte
31. I ricorrenti nel procedimento principale hanno sostenuto, nel corso dell’udienza, che il giudice remittente intendeva essenzialmente accertare in quale misura la prassi amministrativa nazionale, rispecchiata – nella fattispecie – dal Protocollo del 26 ottobre 2007 e consistente nella trasmissione alla CNAS da parte dell’ANAF, in modo automatico e ripetitivo, dei dati personali, inclusi gli estremi fiscali, di talune categorie di contribuenti (nome, cognome, fascia di reddito e imposte versate), fosse compatibile con i requisiti di ordine procedurale previsti dalla direttiva 95/46.
32. In risposta ai quesiti sollevati dalla Corte, i ricorrenti nel procedimento principale affermano che nel procedimento principale trova applicazione l’articolo 11 della direttiva 95/46. Tale disposizione definirebbe gli obblighi a carico del responsabile primario (l’ANAF) e del responsabile secondario (la CNAS) del trattamento dei dati personali, nella fattispecie l’obbligo di comunicare alle persone interessate, in particolare, l’identità del responsabile del trattamento secondario, lo scopo del trattamento dei dati trasmessi e le categorie di dati trasmessi. Detti obblighi incomberebbero principalmente al responsabile del trattamento secondario, poiché devono essere adempiuti al più tardi all’atto della prima comunicazione dei dati.
33. I medesimi ricorrenti sottolineano, al riguardo, che il Protocollo del 26 ottobre 2007 contiene un’incoerenza poiché, da un lato, il suo articolo 4 prevedrebbe la trasmissione di basi di dati generali soggette a modifiche periodiche, mentre, dall’altro, l’articolo 6, paragrafo 1, prevedrebbe che i dati siano trasmessi individualmente sulla base di un verbale. Ebbene, nella realtà della prassi nazionale, tali verbali non sussisterebbero, dato che la trasmissione avviene con modalità automatiche in violazione dei requisiti procedurali.
34. I ricorrenti nel procedimento principale eccepiscono, peraltro, che l’articolo 13 della direttiva 95/46 sia irrilevante ai fini della soluzione della controversia principale, giacché la CNAS non era competente per stabilire i contributi al fondo previdenziale. La trasmissione dei dati non era dunque necessaria, salvo per l’esigua categoria di contribuenti assoggettati a obbligo contributivo che non avevano volontariamente adempiuto tale obbligo.
35. Essi sottolineano, tuttavia, che, se la Corte dovesse ritenere applicabile l’articolo 13 della direttiva 95/46, spetterebbe all’ANAF e alla CNAS dimostrare la necessità della trasmissione dei dati in causa e, pertanto, provare l’esistenza di una disposizione legislativa che l’autorizzi in assenza di consenso da parte degli interessati. Orbene, una tale disposizione legislativa non esisterebbe e tale non potrebbe essere il Protocollo del 26 ottobre 2007. Quest’ultimo, infatti, non è stato pubblicato nella Gazzetta ufficiale, sicché non risponderebbe ai requisiti di prevedibilità e di certezza del diritto e non potrebbe, dunque, produrre effetti erga omnes.
36. Il governo rumeno, nelle sue osservazioni scritte, essenzialmente condivise dalla CNAS, ha dichiarato, da un lato, che la trasmissione delle informazioni sul reddito da lavoro autonomo tra l’ANAF e la CNAS era prevista dalla legge e necessaria ai fini dell’espletamento da parte della CNAS delle sue funzioni e, dall’altro, che il trattamento da parte di quest’ultima di tali informazioni era necessario per adempiere l’obbligo legale cui essa era soggetta ai sensi dell’articolo 7 della direttiva 95/46. Di conseguenza, non sarebbero richiesti né il consenso delle persone interessate né l’informazione di queste ultime, ai sensi degli articoli 10 e 11 della direttiva 95/46.
37. In udienza, il governo rumeno ha insistito sul fatto che la trasmissione e il trattamento dei dati personali controversi s’iscrivevano nel quadro degli obblighi di collaborazione incombenti alle istituzioni pubbliche in virtù del codice di procedura tributaria, in particolare dei suoi articoli 11 e 62. A tale riguardo, il Protocollo del 26 ottobre 2007 non costituirebbe la base giuridica di detti obblighi, bensì si limiterebbe a disciplinare le modalità di trasmissione dei dati dall’ANAF alla CNAS. Tali obblighi di trasmissione di informazioni fiscali, che potrebbero sussistere soltanto tra istituzioni pubbliche e al solo scopo di definire l’ammontare dell’imposta e dei contributi dovuti, tra cui i contributi per la cassa malattia, perseguirebbero dunque un obiettivo legittimo di tutela degli interessi finanziari pertinente alle disposizioni dell’articolo 13, paragrafo 1, lettera e), della direttiva 95/46. Di conseguenza, l’informazione delle persone interessate non sarebbe richiesta.
38. Il governo ceco sostiene principalmente che la trasmissione dei dati controversi alla CNAS da parte dell’ANAF può avvenire senza il consenso delle persone interessate, ai sensi dell’articolo 7, lettera e), della direttiva 95/46, e senza che occorra informarle, in applicazione delle eccezioni di cui agli articoli 11, paragrafo 2, e 13 della stessa direttiva. Peraltro, tale direttiva non conterrebbe alcuna disposizione che imponga che la trasmissione di dati personali tra istituzioni pubbliche sia specificamente prevista da una disposizione di portata generale.
39. La Commissione ha anzitutto sottolineato, nelle sue osservazioni scritte, che i dati controversi nel procedimento principale sono dati personali ai sensi dell’articolo 2, lettera a), della direttiva 95/46, che le due istituzioni nazionali in questione, ossia l’ANAF e la CNAS, possono essere qualificate come responsabili del trattamento di tali dati, ai sensi dell’articolo 2, lettera d), della stessa direttiva e che tanto la raccolta quanto la trasmissione di detti dati sono qualificabili come «trattamento di dati personali» ai sensi dell’articolo 2, lettera b), di quest’ultima.
40. Sempre nelle sue osservazioni scritte, la Commissione ha proposto alla Corte di dichiarare che gli articoli 6 e 7 della direttiva 95/46 devono essere interpretati nel senso che essi non ostano alla trasmissione dei dati sul reddito di cui trattasi nel procedimento principale, purché tale trasmissione sia effettuata sulla base di disposizioni legali chiare e precise la cui applicazione sia prevedibile per le persone interessate, circostanza che spetta al giudice nazionale verificare.
41. La Commissione ha comunque sviluppato tale conclusione nelle sue osservazioni orali, in risposta ai quesiti per l’udienza formulati dalla Corte. Essa, nella sostanza, ha affermato che le condizioni relative al consenso e all’informazione delle persone interessate, a cui il combinato disposto degli articoli 7, 10, 11 e 13 della direttiva 95/46 subordina la raccolta, la trasmissione e il trattamento dei dati personali, non sono soddisfatte nelle circostanze del procedimento principale e che, in ogni caso, la normativa nazionale, e in particolare il Protocollo del 26 ottobre 2007 stipulato tra l’ANAF e la CNAS, non ottempera ai requisiti di cui all’articolo 13 della stessa direttiva, come interpretato alla luce degli articoli 8 e 52 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta») e dell’articolo 8 della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, firmata a Roma il 4 novembre 1950.
42. La Commissione fa così valere che la direttiva 95/46 si fonda sul principio secondo cui la persona interessata dal trattamento dei propri dati personali deve essere a conoscenza, sulla base di disposizioni legali chiare, precise e prevedibili, di qualsiasi restrizione ai diritti che trae dalla direttiva 95/46. Orbene, la trasmissione dei dati di cui trattasi nel procedimento principale avverrebbe secondo un semplice protocollo di cooperazione tra le due istituzioni, fondato a propria volta su una disposizione della legge n. 95/2006, che, in riferimento ai dati necessari per l’accertamento della qualità di assicurato, non soddisfarebbe detti requisiti di chiarezza.
43. Esaminando i diversi quesiti con richiesta di risposta orale posti dalla Corte, la Commissione sottolinea che sia l’ANAF sia la CNAS avrebbero dovuto fornire alle persone interessate le informazioni richieste rispettivamente dagli articoli 10 e 11 della direttiva 95/46, dal momento che la legislazione rumena non ottempera le condizioni per derogare a tali obblighi.
44. Essa sottolinea, al riguardo, anzitutto che la legislazione rumena non sembra soddisfare le condizioni stabilite all’articolo 11, paragrafo 2, della direttiva 95/46, ai sensi del quale le disposizioni del suo paragrafo 1 non si applicano quando la registrazione o la comunicazione dei dati è prevista espressamente dalla legge nazionale, rimettendo tuttavia tale verifica al giudice nazionale.
45. Essa sottolinea, poi, che qualsiasi restrizione al diritto di informazione delle persone interessate, previsto agli articoli 10 e 11 della direttiva 95/46, deve, ai sensi dell’articolo 13 della stessa direttiva, essere contenuta in una disposizione legislativa, perseguire uno degli obiettivi di interesse generale che tale disposizione elenca ed essere proporzionata. Orbene, la legislazione rumena non conterrebbe alcuna misura recante una tale deroga, atteso che la disposizione sulla trasmissione dei dati dall’ANAF alla CNAS non può considerarsi una disposizione in cui sia chiaramente indicato che le persone interessate non saranno informate in merito.
46. Essa richiama l’attenzione, a tale riguardo, sul fatto che il Protocollo del 26 ottobre 2007 stipulato tra l’ANAF e la CNAS, che disciplina la trasmissione delle informazioni tra le due istituzioni senza tuttavia contenere disposizioni relative all’informazione delle persone interessate, non può essere ritenuto una disposizione legislativa ai sensi dell’articolo 13 della direttiva 95/46. Si tratterebbe di un semplice accordo bilaterale, non pubblicato nella Gazzetta ufficiale, che non produrrebbe effetti giuridici vincolanti e non sarebbe opponibile a terzi. L’articolo 13 della direttiva 95/46 rispecchierebbe, sotto tale profilo, le disposizioni dell’articolo 52, paragrafo 1, della Carta e dell’articolo 8, paragrafo 2, della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali nell’ambito specifico della tutela dei dati personali e dovrebbe, quindi, essere interpretato alla luce della giurisprudenza pertinente della Corte e della Corte europea dei diritti dell’uomo.
47. In ogni caso, e supponendo che si possa ritenere che la legislazione rumena contenga la deroga di legge richiesta, la restrizione dell’obbligo di informazione delle persone interessate dovrebbe rispondere al criterio della necessità ed essere proporzionata. Sebbene, al riguardo, si possa ammettere che il funzionamento del servizio pubblico di assicurazione sanitaria costituisca un obiettivo di interesse generale ai sensi dell’articolo 13 della direttiva 95/46 e che la trasmissione dei dati dall’ANAF alla CNAS concorra alla realizzazione di tale obiettivo, è difficile, per contro, comprendere il motivo per cui occorrerebbe non informare gli interessati, atteso che tale informazione non può arrecare pregiudizio alla realizzazione di detto obiettivo.
B – Sulle principali disposizioni della direttiva 95/46 pertinenti
48. Per fornire una risposta utile al giudice remittente, occorre cominciare rammentando le principali norme enunciate agli articoli da 5 a 7 e da 10 a 13 della direttiva 95/46 che, disciplinando il trattamento e la trasmissione di dati personali, risultano pertinenti ai fini della soluzione della controversia oggetto del procedimento principale.
49. Conformemente all’articolo 5 della direttiva 95/46, spetta agli Stati membri precisare le condizioni in cui è lecito il trattamento di dati personali, nei limiti delle disposizioni degli articoli da 6 a 21 della stessa.
50. Come ripetutamente ricordato dalla Corte, fatte salve le deroghe ammesse a norma dell’articolo 13 della direttiva 95/46, qualsiasi trattamento di dati personali deve essere conforme, da un lato, ai principi relativi alla qualità dei dati enunciati all’articolo 6 di detta direttiva e, dall’altro, a uno dei principi relativi alla legittimazione del trattamento di dati elencati all’articolo 7 della stessa (11).
51. Gli articoli 6 e 7 di tale direttiva definiscono, orbene, per quanto concerne la presente causa, tre requisiti primari gravanti sulla raccolta e sul trattamento dei dati personali.
52. Il responsabile del trattamento (12) deve, in particolare, controllare che i dati personali siano raccolti per finalità determinate, esplicite e legittime, siano trattati lealmente e lecitamente e siano successivamente trattati in modo non incompatibile con tali finalità (13).
53. L’articolo 7 della direttiva 95/46 prevede, dal canto suo, che il trattamento di dati personali possa essere considerato legittimo, e dunque effettuato, soltanto se corrisponde a uno dei casi di specie che esso elenca: in particolare, per quanto concerne la presente causa, se la persona interessata ha manifestato il proprio consenso al riguardo in maniera inequivocabile (14), se è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento (15) o se è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui sono comunicati i dati (16).
54. La Corte ha statuito che detta disposizione stabilisce un elenco esaustivo e tassativo dei casi in cui il trattamento di dati personali può essere considerato lecito (17). Essa ha altresì precisato che, tenuto conto dell’obiettivo della direttiva 95/46, consistente nell’assicurare un livello di protezione equivalente in tutti gli Stati membri, la nozione di necessità che emerge all’articolo 7, lettera e), di tale direttiva non può avere contenuto variabile a seconda dello Stato membro e costituisce, pertanto, un’autonoma nozione di diritto dell’Unione (18).
55. Dal canto loro, gli articoli 10 e 11 della direttiva 95/46 definiscono gli obblighi di informazione a carico del responsabile del trattamento di dati personali, distinguendo il caso in cui tali dati sono raccolti presso la persona interessata da quello in cui non lo sono.
56. L’articolo 10 della direttiva 95/46, letto alla luce del considerando 38 di quest’ultima, prevede che le persone presso le quali il responsabile del trattamento dei dati ha raccolto tali dati debbano essere messe a conoscenza, a meno che ne siano già informate, dell’esistenza del trattamento e beneficiare di un’informazione effettiva e completa circa la raccolta nonché, in particolare, affinché il trattamento possa essere ritenuto leale, delle informazioni relative alle finalità del trattamento cui i dati sono destinati e ai destinatari o alle categorie di destinatari di tali dati, in conformità alle lettere b) e c) dello stesso articolo 10.
57. L’articolo 11, paragrafo 1, della direttiva 95/46, letto alla luce dei considerando 39 e 40 di quest’ultima, contempla le ipotesi in cui il trattamento riguardi dati che non sono stati raccolti presso le persone interessate, in particolare l’ipotesi in cui i dati siano stati legittimamente comunicati a terzi quando tale comunicazione non era prevista al momento della raccolta (19). In tali casi, le persone interessate, salvo se ne siano già informate, devono altresì beneficiare, a partire dalla registrazione dei dati o al più tardi all’atto della prima comunicazione dei medesimi laddove sia prevista la comunicazione a terzi, delle informazioni relative, in particolare, alle finalità del trattamento, alle categorie di dati interessati e ai destinatari o alle categorie di destinatari dei dati, in conformità alle lettere b) e c) dello stesso articolo 11.
58. Tuttavia, in conformità all’articolo 11, paragrafo 2, della medesima direttiva, le disposizioni dell’articolo 11, paragrafo 1, non si applicano se, in particolare, la registrazione o la comunicazione dei dati è prescritta per legge, nel qual caso gli Stati membri devono però prevedere garanzie appropriate.
59. L’articolo 13 della direttiva 95/46, intitolato «Deroghe e restrizioni», stabilisce infine che gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti, segnatamente, agli articoli 6, paragrafo 1, e 11, paragrafo 1, di tale direttiva, qualora tale restrizione costituisca una misura necessaria alla salvaguardia di interessi superiori, fra i quali, in particolare, «un rilevante interesse economico o finanziario di uno Stato membro o dell’Unione europea, anche in materia monetaria, di bilancio e tributaria» (20), oppure «un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l’esercizio dei pubblici poteri nei casi di cui alle lettere c), d) e e)» dello stesso articolo 13, paragrafo 1 (21).
60. È alla luce dell’insieme di queste disposizioni che occorre ora esaminare la situazione di cui trattasi nel procedimento principale.
C – Sulla qualificazione della situazione nel procedimento principale tenuto conto della direttiva 95/46
61. In primo luogo, occorre constatare che i dati controversi nel procedimento principale, trasmessi dall’ANAF alla CNAS, costituiscono dati personali ai sensi dell’articolo 2, lettera a), della direttiva 95/46. Tali dati, infatti, che includono il nome e il cognome delle persone interessate (22) nonché informazioni sul loro reddito (23), costituiscono incontestabilmente informazioni concernenti «una persona fisica identificata o identificabile». La loro trasmissione da parte dell’ANAF e il loro trattamento da parte della CNAS hanno carattere di trattamento di dati personali ai sensi dell’articolo 2, lettera b), della suddetta direttiva.
62. Non è controverso, del resto, che la situazione di cui trattasi nel procedimento principale rientri nel campo di applicazione della direttiva 95/46.
63. La situazione oggetto del procedimento principale può rientrare, peraltro, nell’ambito di applicazione tanto dell’articolo 10 quanto dell’articolo 11 della direttiva 95/46. In effetti, e come emerge dalle considerazioni che precedono, il trattamento leale da parte dell’ANAF dei dati personali dei ricorrenti nel procedimento principale comportava che quest’ultima li informasse, in particolare, della trasmissione dei dati alla CNAS, in conformità all’articolo 10, lettera c), della direttiva 95/46. D’altro lato, il trattamento da parte della CNAS dei dati trasmessi dall’ANAF implicava altresì che detti ricorrenti fossero perlomeno informati delle finalità del suddetto trattamento e delle categorie di dati interessati, in conformità all’articolo 11, paragrafo 1, lettere b) e c), della direttiva 95/46.
64. In secondo luogo, occorre rilevare che la questione sollevata dal giudice remittente (24) non verte sul trattamento da parte dell’ANAF dei dati personali di cui trattasi nel procedimento principale, più precisamente sulle condizioni di liceità e di legittimazione di tale trattamento a norma degli articoli 6 e 7 della direttiva 95/46.
65. La questione verte solo sulla trasmissione di dati da un’istituzione pubblica all’altra, più precisamente sulla trasmissione dei dati raccolti dall’ANAF alla CNAS e sul trattamento dei suddetti dati da parte di quest’ultima, operazioni che, da un lato, sarebbero avvenute in assenza di consenso e di informazione delle persone interessate e, dall’altro, sarebbero state espletate in applicazione di una normativa nazionale che non soddisfa i requisiti della direttiva 95/46, soprattutto gli obblighi di informazione delle persone interessate previsti agli articoli 10 e 11 di quest’ultima.
66. La quarta questione posta dal giudice remittente, da esaminare per quanto concerne sia gli obblighi a carico dell’ANAF sia quelli a carico della CNAS, deve dunque essere considerata essenzialmente con riferimento, anzitutto, alle disposizioni degli articoli 7, 10 e 11 della direttiva 95/46 e alle condizioni di consenso e di informazione delle persone interessate dal trattamento dei dati controversi che esse comportano. Dopodiché, tale questione dovrà essere considerata, all’occorrenza, con riferimento alle disposizioni dell’articolo 13 della stessa direttiva, recante le deroghe e le restrizioni alla portata degli obblighi e dei diritti previsti in particolare agli articoli 10 e 11, paragrafo 1, della medesima.
D – Sull’adempimento degli obblighi di informazione delle persone interessate stabiliti agli articoli 10 e 11 della direttiva 95/46
67. È assodato che i ricorrenti nel procedimento principale e, più ampiamente, le persone interessate dalla trasmissione da parte dell’ANAF dei dati personali da essa raccolti alla CNAS e dal trattamento di detti dati da parte di quest’ultima, da un lato, non sono state informate di tale trasmissione da parte dell’ANAF, quale prescritta dall’articolo 10 della direttiva 95/46. Tali persone, dall’altro, non hanno peraltro formalmente acconsentito, ai sensi dell’articolo 7, paragrafo 1, lettera a), della direttiva 95/46, al suddetto trattamento da parte della CNAS, né sono state informate di tale trattamento a norma delle disposizioni dell’articolo 11, paragrafo 1, della stessa direttiva.
68. Quanto al consenso, appare chiaro che, come sostenuto dal governo rumeno e dalla CNAS, il trattamento da parte di quest’ultima dei dati personali delle persone che percepiscono reddito da lavoro autonomo attiene alle disposizioni di cui all’articolo 7, lettera e), della direttiva 95/46. Di conseguenza, il consenso di queste ultime al riguardo non era richiesto (25).
69. In effetti, la CNAS ha l’obbligo, nel caso di specie, ai sensi della legge n. 95/2006, di accertare la qualità di assicurato delle persone che percepiscono reddito da lavoro autonomo, qualità il cui riconoscimento è subordinato al versamento da parte loro di contributi per la cassa malattia alle casse malattia territoriali. Il trattamento, da parte della CNAS, dei dati personali delle persone titolari di reddito da lavoro autonomo che le sono trasmessi dall’ANAF è, pertanto, necessario per accertare la loro qualità di assicurato e, in definitiva, per il godimento dei diritti derivanti da tale qualità. Ne consegue che il consenso delle persone interessate dal trattamento dei dati personali di cui trattasi nel procedimento principale non era richiesto.
70. Spetta tuttavia al giudice remittente assicurarsi che i dati così trasmessi e trattati dalla CNAS rispondano al criterio di necessità previsto da detta disposizione, verificando che non eccedano quanto strettamente necessario all’espletamento da parte della CNAS delle sue funzioni (26).
71. L’attenzione deve dunque concentrarsi essenzialmente sulla questione dell’osservanza degli obblighi di informazione delle persone interessate dalla trasmissione di dati personali da parte dell’ANAF e dal loro trattamento da parte della CNAS, secondo le condizioni stabilite agli articoli 10 e 11 della direttiva 95/46.
72. Come testé accennato, la trasmissione da parte dell’ANAF dei dati personali delle persone che percepiscono reddito da lavoro autonomo alla CNAS e il trattamento da parte di quest’ultima di detti dati possono essere ritenuti conformi ai criteri della direttiva 95/46 soltanto a condizione che le persone interessate ne siano state informate a norma degli articoli 10 e 11, paragrafo 1, della medesima direttiva.
73. Spettava, più precisamente, allo Stato membro prevedere le misure necessarie affinché l’una e l’altra istituzione, entrambe responsabili del trattamento dei dati personali in questione nel procedimento principale, comunicassero alle persone interessate le informazioni richieste, vale a dire l’ANAF ai sensi dell’articolo 10 della direttiva 95/46 e la CNAS ai sensi dell’articolo 11 della stessa direttiva, salvo che, in quest’ultimo caso, la registrazione o la comunicazione dei dati non fossero prescritte dalla legge.
74. Preme sottolineare, al riguardo, che, come rilevato dalla Commissione in udienza, l’obbligo di informare le persone interessate dal trattamento dei loro dati personali, a garanzia della trasparenza di qualsiasi trattamento, è ancora più rilevante poiché condiziona l’esercizio da parte loro dei diritti di accesso ai dati trattati, sancito all’articolo 12 della direttiva 95/46, e di opposizione al trattamento dei medesimi, sancito all’articolo 14 della stessa direttiva.
75. È assodato, nel caso di specie, che i ricorrenti nel procedimento principale non sono stati formalmente e individualmente informati dall’ANAF della trasmissione alla CNAS dei loro dati personali, in particolare dei dati relativi al loro reddito, come invece richiede l’articolo 10 della direttiva 95/46. È altrettanto assodato che nemmeno la CNAS ha fornito loro, all’atto della registrazione dei dati trasmessi dall’ANAF, le informazioni elencate all’articolo 11, paragrafo 1, lettere da a) a c), della direttiva 95/46.
76. Il governo rumeno ha, tuttavia, eccepito che l’ANAF, in virtù di svariate disposizioni del codice di procedura tributaria e dell’articolo 315 della legge n. 95/2006, ha l’obbligo di trasmettere alle casse malattia territoriali le informazioni necessarie all’accertamento da parte della CNAS della «qualità di assicurato» delle persone che percepiscono reddito da lavoro autonomo e che l’ammontare dei contributi a carico di queste ultime può essere determinato solo sulla base delle informazioni relative a detto reddito detenute dall’ANAF, presso la quale le suddette persone devono depositare ogni anno una dichiarazione dei redditi.
77. La legge prevedrebbe così, sempre secondo detto governo, l’obbligo per la CNAS di trattare i dati personali delle persone che percepiscono reddito da lavoro autonomo, in particolare per avviare le procedure di recupero coattivo dei contributi non versati, e, correlatamente, l’obbligo per l’ANAF di fornire le informazioni relative al reddito delle suddette persone necessarie a tal fine, precisando che le modalità pratiche di trasmissione delle informazioni in questione tra le due istituzioni nazionali sono disciplinate dal Protocollo del 26 ottobre 2007 stipulato da entrambe le istituzioni e previsto espressamente all’articolo 315 della legge n. 95/2006.
78. A tal riguardo occorre osservare, anzitutto, che il fatto che la trasmissione dei dati controversi avvenga tra istituzioni pubbliche, in forza di obblighi generali di collaborazione previsti dalle disposizioni generali della legge n. 95/2006 o del codice di procedura tributaria, non può, di per sé, esonerare lo Stato membro e le istituzioni interessate dagli obblighi di informazione loro incombenti ai sensi della direttiva 95/46.
79. Né si può ritenere, in ogni caso, che l’articolo 315 della legge n. 95/2006 possa sostituirsi all’informazione preventiva delle persone interessate a norma dell’articolo 10 della direttiva 95/46. Tale disposizione si riferisce, infatti, alle informazioni relative alla qualità di assicurato, senza alcuna menzione del reddito delle persone interessate, cosicché queste ultime non possono essere ritenute informate della trasmissione dei dati relativi al loro reddito ai sensi di detto articolo 10.
80. Orbene, i dati relativi al reddito delle persone interessate assumono una rilevanza che giustifica ampiamente che la loro trasmissione da parte dell’istituzione pubblica che li raccoglie a un’altra istituzione pubblica sia oggetto di un’informazione specifica nel rispetto delle prescrizioni dell’articolo 10, lettere b) e c), della direttiva 95/46, ma non è stato così nel procedimento principale.
E – Sull’osservanza delle prescrizioni dell’articolo 13 della direttiva 95/46
81. Giunti a questa fase dell’analisi della situazione di cui al procedimento principale, resta soltanto da esaminare se l’assenza di informazione delle persone interessate sia, in alternativa, soggetta all’applicazione delle prescrizioni dell’articolo 13 della direttiva 95/46, disposizione che prevede la possibilità, per gli Stati membri, di istituire deroghe e restrizioni alla portata dei diritti e degli obblighi enunciati, in particolare, agli articoli 10 e 11, paragrafo 1, della stessa direttiva nel rispetto di garanzie corrispondenti a quelle sancite all’articolo 52, paragrafo 1, della Carta (27). Detto articolo 13 implica che una tale restrizione dell’obbligo di informazione delle persone interessate sia prevista da una disposizione legislativa (28), sia giustificata da uno degli obiettivi di interesse generale che esso stesso elenca e sia rigorosamente proporzionata all’obiettivo perseguito.
82. Non viene contestato, nel caso di specie, che la trasmissione da parte dell’ANAF dei dati necessari all’accertamento a cura della CNAS della qualità di assicurato delle persone che percepiscono reddito da lavoro autonomo, così come del resto il trattamento da parte di quest’ultima delle informazioni in tal modo trasmesse, possano rivelarsi necessari per salvaguardare un rilevante interesse economico o finanziario in materia tributaria dello Stato membro in questione, ai sensi dell’articolo 13, paragrafo 1, lettera e), della direttiva 95/46.
83. Nondimeno, non emerge né dalla decisione di rinvio né dalle osservazioni scritte e orali presentate alla Corte dal governo rumeno che la legislazione nazionale applicabile al procedimento principale contenga disposizioni legislative che esonerino in modo chiaro ed esplicito l’ANAF e/o la CNAS dai loro obblighi di informazione.
84. Non può essere accolto, al riguardo, l’argomento del governo rumeno secondo cui le disposizioni legali che impongono all’ANAF la trasmissione alla CNAS dei dati necessari all’espletamento delle sue funzioni e il Protocollo del 26 ottobre 2007 stipulato tra le due istituzioni concertante detta trasmissione costituirebbero la «disposizione legislativa» richiesta dall’articolo 13, paragrafo 1, della direttiva 95/46 ai fini della deroga all’obbligo di informazione gravante sui responsabili del trattamento di dati personali.
85. In effetti, il Protocollo del 26 ottobre 2007 evocato dal governo rumeno non soddisfa, evidentemente, come sottolineato dalla Commissione, il primo di detti criteri, non essendo in alcun modo assimilabile a un provvedimento legislativo di portata generale, debitamente pubblicato e opponibile alle persone interessate dalla trasmissione dei dati controversi.
86. Ritengo, di conseguenza, che occorra rispondere alla quarta questione del giudice remittente dichiarando che la direttiva 95/46 deve essere interpretata nel senso che essa osta a una normativa nazionale, come quella di cui trattasi nel procedimento principale, che consenta a un’istituzione pubblica di uno Stato membro di trattare dati personali che le sono stati trasmessi da un’altra istituzione pubblica, in particolare dati relativi al reddito delle persone interessate, senza che queste ultime siano state previamente informate né di tale trasmissione né di tale trattamento.
VI – Conclusione
87. Tutto ciò considerato, propongo alla Corte di rispondere alle questioni pregiudiziali della Curtea de Apel Cluj nei seguenti termini:
1) Le prime tre questioni pregiudiziali sull’interpretazione dell’articolo 124 TFUE sono irricevibili.
2) La direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, deve essere interpretata nel senso che essa osta a una normativa nazionale, come quella di cui trattasi nel procedimento principale, che consenta a un’istituzione pubblica di uno Stato membro di trattare dati personali che le sono stati trasmessi da un’altra istituzione pubblica, in particolare dati relativi al reddito delle persone interessate, senza che queste ultime siano state previamente informate né di tale trasmissione né di tale trattamento.