DOMSTOLENS DOM (tredje avdelningen)
den 1 oktober 2015 (*)
”Begäran om förhandsavgörande – Direktiv 95/46/EG – Behandling av personuppgifter – Artiklarna 10 och 11 – Information till berörda personer – Artikel 13 – Undantag och begränsningar – Överföring från en myndighet i en medlemsstat av personuppgifter rörande skatt för behandling av en annan myndighet”
I mål C‑201/14,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Curtea de Apel Cluj (Rumänien) genom beslut av den 31 mars 2014, som inkom till domstolen den 22 april 2014, i målet
Smaranda Bara m.fl.
mot
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF),
meddelar
DOMSTOLEN (tredje avdelningen)
sammansatt av avdelningsordföranden M. Ilešič samt domarna A. Ó Caoimh, C. Toader, E. Jarašiūnas och C. G. Fernlund (referent),
generaladvokat: P. Cruz Villalón,
justitiesekreterare: handläggaren L. Carrasco Marco,
efter det skriftliga förfarandet och förhandlingen den 29 april 2015,
med beaktande av de yttranden som avgetts av:
– Smaranda Bara m.fl., genom C. F. Costaş och K. Kapcza, avocați,
– Casa Naţională de Asigurări de Sănătate, genom V. Ciurchea, i egenskap av ombud,
– Rumäniens regering, genom R. H. Radu, A. Buzoianu, A.-G. Văcaru och D. M. Bulancea, samtliga i egenskap av ombud,
– Tjeckiens regering, genom M. Smolek, och J. Vláčil, båda i egenskap av ombud,
– Europeiska kommissionen, genom I. Rogalski, B. Martenczuk och J. Vondung, samtliga i egenskap av ombud,
och efter att den 9 juli 2015 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1 Begäran om förhandsavgörande avser tolkningen av artikel 124 FEUF och av artiklarna 10, 11 och 13 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, s. 31).
2 Begäran har framställts i ett mål mellan, å ena sidan, Smarandra Bara m.fl. och, å andra sidan, Președintele Casei Naționale de Asigurări de Sănătate (ordföranden i den nationella sjukförsäkringskassan), Casa Națională de Asigurări de Sănătate (nationella sjukförsäkringskassan) (nedan kallad CNAS) och Agenția Națională de Administrare Fiscală (nationella skattemyndigheten) (nedan kallad ANAF) rörande behandling av vissa uppgifter.
Tillämpliga bestämmelser
Unionsrätt
3 Artikel 2 i direktiv 95/46, med rubriken ”Definitioner”, har följande lydelse:
”I detta direktiv används följande beteckningar med de betydelser som här anges:
a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,
b) behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,
c) register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,
d) registeransvarig: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och medlen för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten,
…”
4 Artikel 3 i direktiv 95/46, med rubriken ”Tillämpningsområde”, har följande lydelse:
”1. Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
2. Detta direktiv gäller inte för sådan behandling av personuppgifter
– som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område,
– av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll.”
5 I artikel 6 i direktiv 95/46, som avser principer om uppgifternas kvalitet, föreskrivs följande:
”1. Medlemsstaterna skall föreskriva att personuppgifter
a) skall behandlas på ett korrekt och lagligt sätt,
b) skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skyddsåtgärder,
c) skall vara adekvata och relevanta och får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de samlats in och för vilka de senare behandlas,
d) skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas,
e) förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.
2. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.”
6 Artikel 7 i direktiv 95/46, som avser principer som gör att uppgiftsbehandling kan tillåtas, har följande lydelse:
”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om
a) den registrerade otvetydigt har lämnat sitt samtycke, eller
b) behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås, eller
c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, eller
d) behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade, eller
e) behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut, eller
f) behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1.”
7 Artikel 10 i direktiv 95/46, med rubriken ”Information vid insamling av uppgifter från den registrerade” har följande lydelse:
”Medlemsstaterna skall föreskriva att den registeransvarige eller hans företrädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till informationen:
a) Den registeransvariges och dennes eventuella företrädares identitet.
b) Ändamålen med den behandling för vilken uppgifterna är avsedda.
c) All ytterligare information, exempelvis
– mottagarna eller de kategorier som mottar uppgifterna,
– huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara,
– förekomsten av rättigheter att få tillgång till och att erhålla rättelse av uppgifter som rör honom,
i den utsträckning som denna ytterligare information – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling.
8 Artikel 11 i direktivet, med rubriken ”Information när uppgifterna inte har samlats in från den registrerade” har följande lydelse:
”1. Om uppgifterna inte har samlats in från den registrerade, skall medlemsstaterna föreskriva att den registeransvarige eller hans företrädare vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än vid den tidpunkt då uppgifterna först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till informationen:
a) Den registeransvariges och dennes eventuella företrädares identitet.
b) Ändamålen med behandlingen.
c) All ytterligare information, exempelvis
– de kategorier av uppgifter som behandlingen gäller,
– mottagarna eller de kategorier som mottar uppgifterna,
– förekomsten av rättigheter att få tillgång till och att erhålla rättelse av de uppgifter som rör honom,
i den utsträckning som denna ytterligare information – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling.
2. Bestämmelserna i punkt 1 skall inte gälla när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål – visar sig omöjligt eller innebära en oproportionerligt stor ansträngning att ge information eller om registrering eller utlämnande uttryckligen föreskrivs i författning. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder.”
9 Artikel 13 i direktivet, med rubriken ”Undantag och begränsningar”, har följande lydelse:
”1. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till
a) statens säkerhet,
b) försvaret,
c) allmän säkerhet,
d) förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken,
e) ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor,
f) en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen,
g) skydd av den registrerades eller andras fri- och rättigheter.
2. Under förutsättning av lämpliga rättsliga garantier får medlemsstaterna, i synnerhet om uppgifterna inte används för åtgärder eller beslut som avser särskilda registrerade personer, i fall då det uppenbarligen inte föreligger någon risk att den berörda personens privatliv kränks, genom lagstiftning begränsa de rättigheter som anges i artikel 12 när uppgifterna endast behandlas för ändamål som har med vetenskaplig forskning att göra eller när uppgifterna endast lagras i form av personuppgifter under en begränsad tid som inte överstiger den tid som är nödvändig för att framställa statistik.”
Rumänsk rätt
Lag nr 95/2006
10 Det framgår av beslutet om hänskjutande att det i artikel 215 i lag nr 95/2006 om omorganisation på hälsovårdsområdet (Legea nr. 95/2006 privind reforma în domeniul sănătății) av den 14 april 2006 (Monitorul Oficial al României, del I, nr 372 av den 28 april 2006) föreskrivs följande:
”(1) Skyldigheten att erlägga sjukförsäkringsavgift åligger fysiska eller juridiska personer som har anställt personer med stöd av ett individuellt anställningsavtal eller med stöd av särskilda bestämmelser i lag, eller eventuellt fysiska personer.
(2) De juridiska eller fysiska personer för vilka de försäkrade personerna arbetar är skyldiga att varje månad till den sjukkassa som den försäkrade har valt lämna uppgifter, i vilka den försäkrade namnges, avseende sina förpliktelser gentemot fonden och att inkomma med bevis om att avgifter har betalats.
…”
11 I artikel 315 i denna lag föreskrivs följande:
”Nödvändiga uppgifter för bedömningen av om en enskild person ska anses vara försäkrad överförs utan kostnad till sjukförsäkringskassorna av myndigheter, offentliga institutioner och andra institutioner med stöd av ett protokoll.”
Beslut av ordföranden vid CNAS nr 617/2007
12 Artikel 35 i beslut av ordföranden vid CNAS nr 617/2007 av den 13 augusti 2007 om godkännande av metodregler för utarbetande av handlingar till styrkande av ställningen som försäkrad person eller som försäkrad person utan skyldighet att erlägga avgift och om tillämpningen av åtgärder för tvångsverkställighet för uppbörd av belopp som ska betalas till den gemensamma nationella sjukförsäkringsfonden (Monitorul Oficial al României, del I, nr 649 av den 24 september 2007) har följande lydelse:
”… vad beträffar skyldigheten att göra inbetalningar för fysiska personer som är försäkrade genom ett försäkringsavtal, andra än de för vilka ANAF sköter inbetalningen, består fordringsbeviset, beroende på det enskilda fallet, i deklarationen […], i den förklaring som avses i beslut om att skyldigheten att erlägga avgift föreligger från den behöriga enheten vid CAS [sjukförsäkringskassan] eller i domstolsavgöranden om belopp som ska erläggas till fonden. Beslutet om skyldighet att erlägga avgift kan antas av den behöriga myndigheten vid CAS på grundval av information som överförts från ANAF med stöd av ett protokoll.”
2007 års protokoll
13 Artikel 4 i protokoll nr P 5282/26.10.2007/95896/30.10.2007 vilket ingåtts mellan CNAS och ANAF (nedan kallat 2007 års protokoll) har följande lydelse:
”Efter ikraftträdandet av förevarande protokoll tillhandahåller [ANAF], genom relevanta underordnade strukturer, i elektroniskt format den ursprungliga databasen avseende:
a. inkomster för personer som omfattas av de kategorier som avses i artikel 1.1 i förevarande protokoll och en uppdatering av nämnda databas en gång per kvartal till [CNAS] på ett sådant medium som är förenligt med automatisk behandling i enlighet med bilaga 1 till förevarande protokoll …
…”
Målet vid den nationella domstolen och tolkningsfrågorna
14 Sökandena i det nationella målet uppbär inkomster från eget företagande. ANAF överförde uppgifter till CNAS om deras deklarerade inkomster. CNAS begärde med ledning av dessa uppgifter betalning av förfallna sjukförsäkringsavgifter.
15 Sökandena i det nationella målet väckte talan vid Curtea de Apel Cluj (domstol i andra instans i Cluj) i vilken de, med hänvisning till direktiv 95/46, bestred lagligheten av överföringen av skatteuppgifter om deras inkomster. Sökandena gjorde gällande att dessa personuppgifter med stöd av enbart ett internt protokoll hade överförts och använts för andra syften än de för vilka uppgifterna ursprungligen hade överlämnats till ANAF, utan deras uttryckliga samtycke och utan att de på förhand informerats om detta.
16 Det framgår av beslutet om hänskjutande att offentliga institutioner enligt lag nr 95/2006 har rätt att överföra personuppgifter till sjukförsäkringskassor så att dessa kan bedöma om en enskild person ska anses vara försäkrad. Dessa uppgifter är sådana som gör att personer kan identifieras (namn, förnamn, personligt identifikationsnummer, adress) men omfattar inte uppgifter om uppburna inkomster.
17 Den hänskjutande domstolen ska avgöra om det vid CNAS:s behandling krävdes att de registrerade först hade informerats om den registeransvariges identitet och för vilka ändamål uppgifterna hade överförts. Den hänskjutande domstolen ska även avgöra om överföring av uppgifter med stöd av 2007 års protokoll strider mot bestämmelserna i direktiv 95/46, enligt vilket det krävs att varje inskränkning i registrerades rättigheter ska föreskrivas i lag och innehålla skyddsåtgärder, bland annat när uppgifterna används till personernas nackdel.
18 Under dessa omständigheter beslutade Curtea de Apel Cluj att förklara målet vilande och att ställa följande tolkningsfrågor till domstolen:
”1) Utgör den nationella skattemyndigheten, i dess egenskap av organ som företräder behörigt ministerium i en medlemsstat, ett finansinstitut i den mening som avses i artikel 124 FEUF?
2) Är det möjligt att, genom en rättsakt som liknar en administrativ rättsakt, det vill säga ett protokoll som ingåtts mellan den nationella skattemyndigheten och en annan statlig institution, reglera överföring av en databas med inkomstuppgifter för medborgarna i en medlemsstat från den nationella skattemyndigheten till en annan institution i den medlemsstaten utan att sådan positiv särbehandling föreligger som avses i artikel 124 FEUF?
3) Omfattas överföringen av databasen, som har till syfte att medborgarna i den medlemsstaten ska åläggas en skyldighet att erlägga sociala avgifter till den institution i medlemsstaten till vilken överföringen görs, av begreppet tillsynsmässiga hänsyn i artikel 124 FEUF?
4) Får personuppgifter behandlas av en myndighet som inte var avsedd att motta personuppgifterna, när en sådan behandling retroaktivt ger upphov till ekonomisk skada?”
Prövning av tolkningsfrågorna
Upptagande till sakprövning
Huruvida de tre första tolkningsfrågorna kan tas upp till sakprövning
19 Enligt fast rättspraxis kan domstolen underlåta att besvara en tolkningsfråga som en nationell domstol har ställt då det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i målet vid den nationella domstolen eller då frågorna är hypotetiska eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den (se dom PreussenElektra, C‑379/98, EU:C:2001:160, punkt 39 och där angiven rättspraxis).
20 Samtliga yttranden som inkommit till domstolen har innebörden att de tre första tolkningsfrågorna, avseende tolkningen av 124 FEUF, inte kan tas upp till sakprövning, eftersom de saknar samband med saken i det nationella målet.
21 Domstolen erinrar härvidlag om att artikel 124 FEUF ingår i kapitel 3 i avdelning VIII i EUF-fördaget om ekonomisk och monetär politik. Nämnda artikel förbjuder varje åtgärd som ger unionens institutioner, organ eller byråer, centrala, regionala, lokala eller andra myndigheter, andra offentligrättsliga organ eller offentliga företag i medlemsstaterna en positiv särbehandling hos finansinstitut i den mån åtgärden inte är baserad på tillsynsmässiga hänsyn.
22 Detta förbud härrör från artikel 104 A i EG‑fördraget (senare artikel 102 EG) som infördes i EG‑fördraget genom Maastricht-fördraget. Förbudet ingår i bestämmelserna om ekonomisk politik i EUF-fördraget, vilka syftar till att ge medlemsstaterna incitament att iaktta en sund finanspolitik, genom att förhindra att en monetär finansiering av offentliga underskott eller en positiv särbehandling av myndigheter på finansmarknaderna leder till alltför stor skuldsättning eller alltför stora underskott hos medlemsstaterna (se, för ett liknande resonemang, dom Gauweiler m.fl., C‑62/14, EU:C:2015:400, punkt 100).
23 Det är följaktligen uppenbart att den önskade tolkningen av artikel 124 FEUF inte har något samband med de verkliga omständigheterna eller saken i det nationella målet som avser skydd för personuppgifter.
24 Det saknas således anledning att besvara de tre första frågorna.
Huruvida den fjärde tolkningsfrågan kan tas upp till sakprövning
25 CNAS och den rumänska regeringen har hävdat att den fjärde frågan inte kan prövas i sak. Nämnda regering har gjort gällande att det inte finns något samband mellan den skada som sökandena i det nationella målet har åberopat och en ogiltigförklaring av de administrativa rättsakter som har ifrågasatts i det nationella målet.
26 Det erinras om att det framgår av fast rättspraxis att nationella domstolars frågor om tolkningen av unionsrätten, vilka ställs mot bakgrund av den beskrivning av omständigheterna i målet och tillämplig lagstiftning som den nationella domstolen har lämnat på eget ansvar, och vilka det inte ankommer på EU-domstolen att pröva riktigheten av, presumeras vara relevanta. En begäran från en nationell domstol kan bara avvisas då det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågorna är hypotetiska eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den (dom Fish Legal och Shirley, EU:C:2013:853, punkt 30 och där angiven rättspraxis).
27 Domstolen erinrar om att det nationella målet avser lagligheten av den behandling av skatteuppgifter som samlats in av ANAF. Den hänskjutande domstolen önskar få klarhet i hur bestämmelser i direktiv 95/46 ska tolkas vid prövningen av om överföringen av dessa uppgifter till CNAS och deras efterföljande behandling var laglig. Den fjärde tolkningsfrågan är således relevant och tillräckligt klar för att domstolen ska kunna lämna ett användbart svar på den. Begäran om förhandsavgörande ska således prövas i sak vad beträffar den fjärde frågan.
Prövning i sak
28 Den hänskjutande domstolen har ställt den fjärde frågan huvudsakligen för att få klarhet i huruvida artiklarna 10, 11 och 13 i direktiv 95/46 ska tolkas så, att de utgör hinder för sådana nationella bestämmelser som de i det nationella målet, som medger att en myndighet i en medlemsstat överför personuppgifter till en annan myndighet och uppgifterna därefter behandlas utan att de registrerade har informerats om denna överföring och denna behandling.
29 Det ska härvidlag, med stöd av de upplysningar som har lämnats av den hänskjutande domstolen, konstateras att de skatteuppgifter som överförts till CNAS från ANAF utgör personuppgifter i den mening som avses i artikel 2 a i direktivet, då det rör sig om ”upplysning[ar] som avser en identifierad eller identifierbar person” (dom Satakunnan Markkinapörssi och Satamedia, C‑73/07, EU:C:2008:727, punkt 35). Såväl överföringen från ANAF, det organ som ansvarar för den databas som samlar in uppgifterna, som den därefter följande behandlingen av CNAS utgör följaktligen ”behandling av personuppgifter” i den mening som avses i artikel 2 b i direktivet (se, för ett liknande resonemang, bland annat, dom Österreichischer Rundfunk m.fl., C‑465/00, C‑138/01 och C‑139/01, EU:C:2003:294, punkt 64, och dom Huber, C‑524/06, EU:C:2008:724, punkt 43).
30 I enlighet med bestämmelserna i kapitel II i direktiv 95/46, med rubriken ”Allmänna bestämmelser om när personuppgifter får behandlas”, ska, med förbehåll för de undantag som får göras enligt artikel 13 i direktivet, all behandling av personuppgifter stå i överensstämmelse, dels med de principer om uppgifternas kvalitet som anges i artikel 6 i detta direktiv, dels med någon av de principer som gör att uppgiftsbehandlingen kan tillåtas, som anges i artikel 7 i direktivet (dom Österreichischer Rundfunk m.fl., C‑465/00, C‑138/01 och C‑139/01, EU:C:2003:294, punkt 65, dom Huber, C‑524/06, EU:C:2008:724, punkt 48, och dom ASNEF och FECEMD, C‑468/10 och C‑469/10, EU:C:2011:777, punkt 26).
31 För den registeransvarige eller dennes företrädare gäller en skyldighet att ge information, och villkoren för denna skyldighet, i artikel 10 och 11 i direktiv 95/46, varierar beroende på huruvida uppgifterna har samlats in hos den registrerade eller ej, med reservation för de tillåtna undantag som anges i artikel 13 i direktivet.
32 Vad för det första beträffar artikel 10 i direktivet föreskrivs i denna bestämmelse att den registeransvarige ska ge den person från vilken uppgifter om honom själv samlas in den information som anges under punkterna a–c i denna artikel, utom i fall då han redan känner till informationen. Denna information avser den registeransvariges identitet, ändamålen med behandlingen samt all ytterligare information som är nödvändig för tillförsäkra en korrekt behandling av uppgifterna. Bland den ytterligare information som är nödvändig för att tillförsäkra en korrekt behandling av uppgifterna anges uttryckligen i artikel 10 c i direktivet ”mottagarna eller de kategorier som mottar uppgifterna” och ”förekomsten av rättigheter att få tillgång till och att erhålla rättelse av de uppgifter som rör [denna person]”.
33 Såsom generaladvokaten påpekade i punkt 74 i sitt förslag till avgörande, är kravet på information till dem vars personuppgifter behandlas av särskilt stor betydelse, eftersom det utgör en nödvändig förutsättning för att de ska kunna utöva sin rätt till tillgång och rättelse av de behandlade uppgifterna, vilken avses i artikel 12 i direktiv 95/46, och deras rätt att göra invändningar mot behandlingen av dessa uppgifter, vilken fastställs i artikel 14 i direktivet.
34 Härav följer att kravet att behandla personuppgifter korrekt i artikel 6 i direktiv 95/46 förpliktar en myndighet att upplysa de personer som berörs av överföringen av dessa uppgifter om att uppgifterna har överförts till en annan myndighet för att behandlas av denna i dess egenskap av mottagare av nämnda uppgifter.
35 Det framgår av de förklaringar som lämnats av den hänskjutande domstolen att sökandena i det nationella målet inte har informerats av ANAF om att personuppgifter som rör dem har överförts till CNAS.
36 Den rumänska regeringen har emellertid gjort gällande att ANAF är skyldig, bland annat enligt artikel 315 i lag nr 95/2006, att överföra nödvändig information till regionala sjukförsäkringskassor för att CNAS ska kunna bedöma om en enskild person som uppbär inkomster från eget företagande ska anses vara försäkrad.
37 Förvisso föreskrivs uttryckligen i artikel 315 i lag nr 95/2006 att ”nödvändiga uppgifter för bedömningen av om en enskild person ska anses vara försäkrad överförs utan kostnad till sjukkassorna från myndigheter, offentliga institutioner och andra institutioner med stöd av ett protokoll”. Det framgår dock av de förklaringar som lämnats av den hänskjutande domstolen att nödvändiga uppgifter för att bedöma om en enskild person ska anses vara försäkrad i den mening som avses i denna bestämmelse inte omfattar inkomstupplysningar, då lagen även medger att personer utan skattepliktiga inkomster ska anses vara försäkrade.
38 Artikel 315 i lag nr 95/2006 kan således inte, i den mening som avses i artikel 10 i direktiv 95/46, anses utgöra en information som de registrerade berörda redan känner till och som gör att den registeransvarige befrias från sin skyldighet att informera de personer från vilka inkomstuppgifter har samlats in om vem som är mottagare av uppgifterna. Det kan således inte anses att den berörda överföringen har skett med iakttagande av bestämmelserna i artikel 10 i direktiv 95/46.
39 Det ska härefter prövas om avsaknaden av information till de registrerade kan omfattas av artikel 13 i direktivet. Det framgår nämligen av artikel 13.1 e och f att medlemsstaterna får begränsa omfattningen av de skyldigheter och rättigheter som avses i artikel 10 i direktivet i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till ”ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat … inklusive monetära frågor, budgetfrågor och skattefrågor” och ”en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i e under punkterna c), d) och e) nämnda fallen”. Det krävs emellertid uttryckligen i artikel 13 att sådana begränsningar vidtas genom lagstiftning.
40 Förutom den omständigheten, vilken har anförts av den hänskjutande domstolen, att inkomstuppgifter inte ingår bland de personuppgifter som är nödvändiga för bedömningen av om en person ska anses vara försäkrad, ska det emellertid påpekas att artikel 315 i lag nr 95/2006 i princip enbart avser överföring av sistnämnda uppgifter som finns hos myndigheter, offentliga institutioner och andra institutioner. Det framgår likaså av beslutet om hänskjutande att definitionen av överförbar information samt villkoren för att överföra denna information inte har vidtagits genom lagstiftning utan genom 2007 års protokoll mellan ANAF och CNAS, vilket inte har publicerats i författningssamlingen.
41 Under sådana omständigheter kan det inte anses att de villkor som uppställs i artikel 13 i direktiv 95/46 för att en medlemsstat ska få göra undantag från de rättigheter och skyldigheter som anges i artikel 10 i direktivet är uppfyllda.
42 Vad för det andra beträffar artikel 11 i direkrivet, föreskrivs det i punkt 1 i denna artikel att den registeransvarige, när uppgifterna inte har samlats in från den registrerade, ska ge denne den information som anges i leden a och c. Denna information avser den registeransvariges identitet, ändamålen med behandlingen samt all ytterligare information som är nödvändig för att tillförsäkra en korrekt behandling av upplysningarna. Bland denna ytterligare information anges uttryckligen i artikel 11.1 c direktivet ”de kategorier av uppgifter som behandlingen gäller” och ”förekomsten av rättigheter att få tillgång till och att erhålla rättelse av de uppgifter som rör honom”.
43 Härav följer, under de omständigheter som gäller i det nationella målet, att enligt artikel 11.1 b och c i direktiv 95/46 ska de registrerade som berörs av CNAS:s behandling av de uppgifter som överförts av ANAF informeras om ändamålen med behandlingen och om de kategorier av uppgifter som behandlingen gäller.
44 Det framgår av de förklaringar som har lämnats av den hänskjutande domstolen att CNAS inte har gett sökandena i det nationella målet den information som anges i artikel 11.1 a och c i direktivet.
45 Domstolen tillfogar att enligt artikel 11.2 i direktiv 95/46 ska bestämmelserna i artikel 11.1 i direktivet inte gälla bland annat när registrering eller utlämnande föreskrivs i författning. Medlemsstaterna ska i sådana fall föreskriva lämpliga skyddsåtgärder. Av de skäl som angetts i punkterna 40 och 41 i denna dom omfattas de bestämmelser i lag nr 95/2006 som har åberopats av den rumänska regeringen och 2007 års protokoll varken av undantagen i artikel 11.2 eller av undantagen i artikel 13 i direktivet.
46 Mot bakgrund av samtliga ovan angivna omständigheter ska frågan besvaras som följer. Artiklarna 10, 11 och 13 i direktiv 95/46 ska tolkas så, att de utgör hinder för sådana nationella bestämmelser som de i det nationella målet, vilka medger att en myndighet i en medlemsstat överför personuppgifter till en annan myndighet och att uppgifterna därefter behandlas, utan att de berörda personerna har informerats om denna överföring och denna behandling.
Rättegångskostnader
47 Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på den nationella domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:
Artiklarna 10, 11 och 13 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att de utgör hinder för sådana nationella bestämmelser som de i det nationella målet, vilka medger att en myndighet i en medlemsstat överför personuppgifter till en annan myndighet och att uppgifterna därefter behandlas, utan att de berörda personerna har informerats om denna överföring och denna behandling.
Underskrifter