EUROOPA KOHTU OTSUS (kolmas koda)
1. oktoober 2015(*)
Eelotsusetaotlus – Direktiiv 95/46/EÜ – Isikuandmete töötlemine – Artiklid 10 ja 11 – Andmesubjektide teavitamine – Artikkel 13 – Erandid ja piirangud – Liikmesriigi ametiasutuse poolt maksualaste isikuandmete edastamine teisele ametiasutusele töötlemiseks
Kohtuasjas C‑201/14,
mille ese on ELTL artikli 267 alusel Curtea de Apel Cluj (Cluj apellatsioonikohus, Rumeenia) 31. märtsi 2014. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 22. aprillil 2014, menetluses
Smaranda Bara jt
versus
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF),
EUROOPA KOHUS (kolmas koda),
koosseisus: koja president M. Ilešič, kohtunikud A. Ó Caoimh, C. Toader, E. Jarašiūnas ja C. G. Fernlund (ettekandja),
kohtujurist: P. Cruz Villalón,
kohtusekretär: ametnik L. Carrasco Marco,
arvestades kirjalikus menetluses ja 29. aprilli 2015. aasta kohtuistungil esitatut,
arvestades seisukohti, mille esitasid:
– Smaranda Bara jt, esindajad: avocat F. Costaş ja avocat K. Kapcza,
– Casa Naţională de Asigurări de Sănătate, esindaja: V. Ciurchea,
– Rumeenia valitsus, esindajad: R. H. Radu, A. Buzoianu, A.‑G. Văcaru ja D. M. Bulancea,
– Tšehhi valitsus, esindajad: M. Smolek ja J. Vláčil,
– Euroopa Komisjon, esindajad: I. Rogalski ja B. Martenczuk ning J. Vondung,
olles 9. juuli 2015. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,
on teinud järgmise
otsuse
1 Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada ELTL artiklit 124 ning Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT L 281, lk 31; ELT eriväljaanne 13/15, lk 355) artikleid 10, 11 ja 13.
2 Taotlus on esitatud vaidluses, mille üks pool on S. Bara jt ja teine pool Președintele Casei Naționale de Asigurări de Sănătate (riikliku sotsiaalkindlustuskassa juhatuse esimees), Casa Națională de Asigurări de Sănătate (riiklik sotsiaalkindlustuskassa, edaspidi „CNAS”) ja Agenția Națională de Administrare Fiscală (riigi maksuamet, edaspidi „ANAF”), ning milles vaieldakse teatavate andmete töötlemise üle.
Õiguslik raamistik
Liidu õigus
3 Direktiivi 95/46 artiklis 2 „Mõisted” on ette nähtud:
„Käesolevas direktiivis kasutatakse järgmisi mõisteid:
a) isikuandmed – igasugune teave tuvastatud või tuvastatava füüsilise isiku (edaspidi „andmesubjekt”) kohta. Tuvastatav isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal;
b) isikuandmete töötlemine (edaspidi „töötlemine”) – iga isikuandmetega tehtav toiming või toimingute kogum, olenemata sellest, kas see on automatiseeritud või mitte, näiteks kogumine, salvestamine, korrastamine, säilitamine, kohandamine või muutmine, väljavõtete tegemine, päringu teostamine, kasutamine, üleandmine, levitamine või muul moel avaldamine, ühitamine või ühendamine, sulgemine, kustutamine või hävitamine;
c) isikuandmete kataloog (edaspidi „kataloog”) – kõik isikuandmete korrastatud kogumid, millest võib andmeid saada teatavate kriteeriumide põhjal, olenemata sellest, kas kõnealune andmete kogum on tsentraliseeritud, detsentraliseeritud või funktsionaalsetel või geograafilistel põhimõtetel hajutatud;
d) vastutav töötleja – füüsiline või juriidiline isik, riigiasutus, esindused või mõni muu organ, kes määrab üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui töötlemise eesmärgid ja vahendid on kindlaks määratud siseriiklike või ühenduse õigusnormidega, võib vastutava töötleja või tema ametissemääramise sätestada siseriiklikus või ühenduse õiguses;
[...]”
4 Direktiivi artikkel 3 „Reguleerimisala” on sõnastatud järgmiselt:
„1. Käesolevat direktiivi kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad kataloogi või kui nad kavatsetakse hiljem sellesse kanda.
2. Käesolevat direktiivi ei kohaldata isikuandmete töötlemise suhtes:
– kui see toimub sellise tegevuse käigus, mis jääb väljapoole ühenduse õigust, nagu näiteks Euroopa Liidu lepingu V ja VI jaotises osutatud tegevused, ja igal juhul sellise töötlemise suhtes, mis on seotud avaliku korra, riigikaitse, riigi julgeoleku (sealhulgas riigi majanduslik heaolu, kui töötlemine on seotud riigi julgeoleku küsimustega) ja riigi toimingutega kriminaalõiguse valdkonnas,
– kui seda teeb füüsiline isik isiklikel või kodustel eesmärkidel.”
5 Direktiivi artiklis 6, milles käsitletakse põhimõtteid andmete kvaliteedi kohta, on ette nähtud:
„1. Liikmesriigid sätestavad selle, et
a) isikuandmeid töödeldakse õiglaselt ja seaduslikult;
b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ega töödelda hiljem viisil, mis on vastuolus kõnealuste eesmärkidega. Täiendavat töötlemist ajaloo, statistika või teadusega seotud eesmärkidel ei peeta vastuolus olevaks tingimusel, et liikmesriigid kannavad hoolt vajalike tagatiste eest;
c) isikuandmed on piisavad, asjakohased ega ületa selle otstarbe piire, mille tarvis neid kogutakse ja/või hiljem töödeldakse;
d) andmed on täpsed ja vajaduse korral ajakohastatud; võetakse kõik mõistlikud meetmed, et kustutada või parandada andmete kogumise või hilisema töötlemise eesmärgi seisukohast ebaõiged või mittetäielikud andmed;
e) isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik seoses andmete kogumise või hilisema töötlemise eesmärkidega. Liikmesriigid kehtestavad vajalikud tagatised nende isikuandmete jaoks, mida säilitatakse pikema aja jooksul, et neid kasutada seoses ajaloo, statistika või teadusega.
2. Lõike 1 järgimise tagab vastutav töötleja.”
6 Sama direktiivi artiklis 7, mis käsitleb andmetöötluse seaduslikkuse kriteeriume, on ette nähtud:
„Liikmesriigid sätestavad, et isikuandmeid võib töödelda ainult juhul, kui:
a) andmesubjekt on selleks andnud oma ühemõttelise nõusoleku
või
b) töötlemine on vajalik sellise lepingu täitmiseks, mille osapool andmesubjekt on, või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele
või
c) töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks
või
d) töötlemine on vajalik andmesubjekti eluliste huvide kaitsmiseks
või
e) töötlemine on vajalik üldiste huvidega seotud ülesande täitmiseks või sellise avaliku võimu teostamiseks, mis on tehtud ülesandeks volitatud töötlejale või andmeid saavale kolmandale isikule
või
f) töötlemine on vajalik vastutava töötleja või andmeid saava kolmanda isiku või kolmandate isikute õigustatud huvide elluviimiseks, kui selliseid huve ei kaalu üles artikli 1 lõike 1 kohaselt kaitstavate andmesubjekti põhiõiguste ja -vabadustega seotud huvid.”
7 Direktiivi 95/46 artiklis 10 „Teave, mis tuleb esitada juhul, kui andmeid kogutakse andmesubjektilt” on sätestatud:
„Liikmesriigid näevad ette, et vastutav töötleja või tema esindaja peab andmesubjektile, kellelt tema enda kohta andmeid kogutakse, esitama vähemalt järgmise teabe, kui ta seda juba ei tea:
a) vastutava töötleja ja tema võimaliku esindaja andmed;
b) andmete töötlemise eesmärk;
c) täiendav teave, näiteks:
– andmete vastuvõtjad või vastuvõtjate kategooriad,
– kas küsimustele vastamine on kohustuslik või vabatahtlik ja vastamata jätmise võimalikud tagajärjed,
– isiku enda kohta käivate andmetega tutvumise ja nende parandamise õiguse olemasolu,
kuivõrd selline täiendav teave on vajalik, et tagada andmesubjekti suhtes õiglane andmete töötlemine, võttes arvesse andmete kogumise konkreetseid asjaolusid.”
8 Direktiivi artikkel 11 „Teave, mis tuleb esitada juhul, kui andmed ei ole saadud andmesubjektilt” on sõnastatud järgmiselt:
„1. Kui andmeid ei ole saadud andmesubjektilt, näeb liikmesriik ette, et hiljemalt isikuandmete salvestamise ajal, või kui andmed kavatsetakse avalikustada kolmandale isikule, siis hiljemalt andmete esmakordse avaldamise ajal esitab vastutav töötleja või tema esindaja andmesubjektile vähemalt järgmise teabe, kui ta seda juba ei tea:
[a)] vastutava töötleja ja tema võimaliku esindaja andmed;
[b)] töötlemise eesmärk;
[c)] täiendav teave, näiteks:
– asjaomaste andmete liik,
– vastuvõtjad või vastuvõtjate kategooriad,
– isiku enda kohta käivate andmetega tutvumise ja nende parandamise õiguse olemasolu,
kuivõrd selline täiendav teave on vajalik, et tagada andmesubjektide suhtes õiglane andmete töötlemine, võttes arvesse andmete töötlemise konkreetseid asjaolusid.
2. Lõiget 1 ei kohaldata, kui eelkõige statistikaga seotud eesmärkidel või ajaloo‑ või teadusuuringutega seotud eesmärkidel toimuva töötlemise puhul osutub sellise teabe andmine võimatuks või kui see eeldab ülemääraseid jõupingutusi või kui selliste andmete salvestamine või avalikustamine on õigusaktides selgelt sätestatud. Nimetatud juhtudel näevad liikmesriigid ette vajalikud tagatised.” [täpsustatud tõlge]
9 Direktiivi artiklis 13 „Erandid ja piirangud” on ette nähtud:
„1. Liikmesriigid võivad artikli 6 lõikes 1, artiklis 10, artikli 11 lõikes 1 ja artiklites 12 ja 21 sätestatud kohustuste ja õiguste ulatuse piiramiseks võtta vastu õigusakte, kui sellised piirangud on vajalikud, et kindlustada:
a) riigi julgeolek;
b) riigikaitse;
c) avalik kord;
d) kuritegude või reguleeritud kutsealade ametieetika rikkumiste ennetamine, uurimine, avastamine ja nende eest vastutuselevõtmine;
e) liikmesriigi või Euroopa Liidu olulised majanduslikud või rahanduslikud huvid, sealhulgas raha‑, eelarve‑ ja maksuküsimused;
f) jälgimine, kontrollimine ja regulatiivne funktsioon, mis on kas või ajutiselt seotud avaliku võimu teostamisega punktides c, d ja e osutatud juhtudel;
g) andmesubjekti kaitse või teiste isikute õiguste ja vabaduste kaitse.
2. Arvestades piisavaid õiguslikke tagatisi, eelkõige seda, et andmeid ei kasutata konkreetset üksikisikut puudutavate meetmete võtmiseks või otsuste tegemiseks, võivad liikmesriigid, kui ilmselt puudub oht sekkuda andmesubjekti eraellu, piirata õigusaktidega artiklis 12 sätestatud õigusi, kui andmeid töödeldakse ainult teadusuuringutega seotud eesmärgil või kui neid säilitatakse isikuandmetena ainult statistika tegemiseks vajaliku aja jooksul.”
Rumeenia õigus
Seadus nr 95/2006
10 Eelotsusetaotlusest ilmneb, et 14. aprilli 2006. aasta seaduse nr 95/2006 tervishoiureformi kohta (Legea nr. 95/2006 privind reforma în domeniul sănătății) (Monitorul Oficial al României, I osa, nr 372, 28.4.2006) artiklis 215 on sätestatud:
„(1) Ravikindlustusmaksete tasumise kohustus on igal füüsilisel ja juriidilisel isikul, kes võtab isikuid tööle individuaalsete töölepingute alusel või teenistusse seaduses ette nähtud erisätete alusel, ning teatud juhtudel ka füüsilistel isikutel.
(2) Füüsilised või juriidilised isikud, kelle alluvuses kindlustatud isik tegutseb, on kohustatud kindlustatud isiku poolt vabalt valitud ravikindlustuskassale esitama igakuiselt kindlustatud isikute nimelisi deklaratsioone, milles on ära näidatud füüsilise või juriidilise isiku kohustused fondi ees, ning tõendi maksete tasumise kohta.
[…]”
11 Seaduse artiklis 315 on sätestatud:
„Kindlustatud isiku staatuse kontrollimiseks vajalikud andmed edastavad ametiasutused, avalik-õiguslikud isikud või muud avalik-õigusliku võimu kandjad ravikindlustuskassadele tasuta kooskõlas protokolliga.”
CNAS‑i juhatuse esimehe määrus nr 617/2007
12 CNAS‑i juhatuse esimehe 13. augusti 2007. aasta määruse nr 617/2007, millega kinnitatakse metodoloogilised eeskirjad, mis käsitlevad nende dokumentide koostamist, mille alusel antakse isikule kindlustatud isiku või maksete tegemise kohustuseta kindlustatud isiku staatus, ja riiklikule ühtsele sotsiaalkindlustusfondile võlgnetavate maksete sundtäitmise korras sissenõudmist (Monitorul Oficial al României, I osa, nr 649, 24.9.2007), artiklis 35 on ette nähtud:
„[...] arvestades nõuet teha makseid fondi füüsiliste isikute eest, kes saavad kindlustuskaitse kindlustuslepingu alusel ja kes ei kuulu nende isikute hulka, kellelt kogub maksu ANAF, loetakse tõendiks maksekohustuse kohta, olenevalt asjaoludest, [...] deklaratsioon, CAS‑i [haigekassa] pädeva üksuse väljastatud maksuteade või kohtuotsus fondile võlgnetavate summade kohta. Maksuteade võib olla väljastatud CAS‑i pädeva üksuse poolt ja andmete alusel, mis on protokolli alusel saadud ANAF‑ilt”.
2007. aasta protokoll
13 CNAS‑i ja ANAF‑i vahel sõlmitud protokolli nr P 5282/26.10.2007/95896/30.10.2007 (edaspidi „2007. aasta protokoll”) artiklis 4 on ette nähtud:
„Pärast käesoleva protokolli jõustumist teeb [ANAF] elektrooniliselt ja oma spetsiaalsete allüksuste vahendusel [CNAS]‑ile kättesaadavaks algse andmebaasi:
a. käesoleva protokolli artikli 1 lõikes 1 määratletud isikute tulu kohta ja iga kolme kuu tagant selle andmebaasi ajakohastatud versiooni vormis, mis võimaldab andmeid automaatselt töödelda, vastavalt protokolli lisale I […]
[...]”
Põhikohtuasi ja eelotsuse küsimused
14 Põhikohtuasja apellandid on isikud, kes teenivad tulu füüsilisest isikust ettevõtjana. ANAF edastas nende deklareeritud tulu kohta andmed CNAS‑ile. Nende andmete põhjal nõudis CNAS ravikindlustusskeemi võlgnetavate maksete tegemist.
15 Apellandid vaidlustasid Cluj apellatsioonikohtus nende tulu puudutavate maksuandmete edastamise õiguspärasuse direktiivi 95/46 alusel. Nad väidavad, et need isikuandmed edastati tavalise sisemise protokolli alusel ning neid kasutati muul otstarbel kui see, milleks nad olid esialgu ANAF-ile esitatud, ilma et selleks oleks olnud apellantide sõnaselget nõusolekut ja ilma apellante sellest eelnevalt teavitamata.
16 Eelotsusetaotlusest nähtub, et avalik‑õiguslikel üksustel on seaduse nr 95/2006 alusel õigus edastada isikuandmeid haigekassadele, et viimased saaksid kontrollida, kas asjaomastel isikutel on kindlustatud isiku staatus. Need andmed puudutavad isikute identifitseerimist (perekonna‑ ja eesnimi, isikukood, aadress), kuid ei sisalda andmeid saadud tulu kohta.
17 Eelotsusetaotluse esitanud kohus soovib selgitust selle kohta, kas CNAS‑i poolt andmete töötlemiseks oli vaja asjassepuutuvaid isikuid eelnevalt teavitada sellest, kes on vastutav töötleja ja millisel eesmärgil andmed edastatakse. Kõnealune kohus peab samuti tegema otsuse selle kohta, kas andmete edastamine 2007. aasta protokolli alusel on vastuolus direktiiviga 95/46, mis näeb ette, et kõik andmesubjektide õiguste piirangud peavad olema seadusega ette nähtud ja andma tagatisi eelkõige juhuks, kui andmeid kasutatakse nende isikute vastu.
18 Neil asjaoludel otsustas Cluj apellatsioonikohus menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1. Kas liikmesriigi maksuamet kui selle riigi pädevat ministeeriumi esindav asutus on rahaasutus ELTL artikli 124 tähenduses?
2. Kas haldusaktiga võrdsustatud aktiga, täpsemalt liikmesriigi maksuameti ja muu riikliku institutsiooni vahelise protokolliga on võimalik ette näha selle liikmesriigi kodanike teenitud tulude kohta teavet sisaldava andmebaasi edastamine liikmesriigi maksuametilt muule riiklikule institutsioonile, ilma et tegemist oleks eesõigusega ELTL artikli 124 tähenduses?
3. Kas olukord, kus andmebaasi edastamise eesmärk on kohustada liikmesriigi kodanikke tasuma sotsiaalkindlustusmakseid sellele liikmesriigi institutsioonile, kellele need andmed edastatakse, kuulub mõiste „usaldatavusnormatiivide täitmise järelevalve kaalutlused” alla ELTL artikli 124 tähenduses?
4. Kas isikuandmeid võib töödelda ametiasutus, kellele need ei olnud adresseeritud, kui selline töötlemine tekitab tagasiulatuvalt varalist kahju?”
Eelotsuse küsimuste analüüs
Vastuvõetavus
Esimese, teise ja kolmanda küsimuse vastuvõetavus
19 Väljakujunenud kohtupraktikast tuleneb, et Euroopa Kohus võib keelduda liikmesriigi kohtu esitatud eelotsuse küsimusele vastamisest, kui on ilmselge, et taotletud liidu õiguse tõlgendusel ei ole mingit seost põhikohtuasja asjaolude või esemega, või kui kõnealune probleem on oletuslik, või kui Euroopa Kohtule ei ole teada eelotsuse küsimustele tarviliku vastuse andmiseks vajalikud faktilised ja õiguslikud asjaolud (vt kohtuotsus PreussenElektra, C‑379/98, EU:C:2001:160, punkt 39 ja seal viidatud kohtupraktika).
20 Kõikides Euroopa Kohtule esitatud seisukohtades leitakse, et ELTL artikli 124 tõlgendamist puudutavad esimene, teine ja kolmas eelotsuse küsimus on vastuvõetamatud, sest neil ei ole seost põhikohtuasja esemega.
21 Sellega seoses tuleb märkida, et ELTL artikkel 124 kuulub EL toimimise lepingu kolmanda osa VIII jaotisesse, mis käsitleb majandus‑ ja rahapoliitikat. Selle artikli kohaselt on keelatud kõik liidu institutsioonidele, organitele või asutustele, liikmesriikide keskvalitsustele, regionaalsetele, kohalikele või muudele avaliku võimu organitele, teistele avalik-õiguslikele isikutele või riigi osalusega äriühingutele rahaasutustes eesõigusi andvad meetmed, kui need ei põhine usaldatavusnormatiivide täitmise järelevalve kaalutlustel.
22 See keeld pärineb EÜ asutamislepingu artiklist 104 A (hiljem EÜ artikkel 102), mis lisati EÜ asutamislepingusse Maastrichti lepinguga. See kuulub EL toimimise lepingu majanduspoliitikat käsitlevate sätete hulka, mille eesmärk on innustada liikmesriike järgima usaldusväärset eelarvepoliitikat, vältides seejuures olukorda, et eelarvepuudujäägi monetaarne rahastamine või avalik-õiguslike isikute eelisjuurdepääs rahaturgudele ei too kaasa liikmesriikide ülemäärast võlakoormust või eelarvepuudujääki (vt selle kohta kohtuotsus Gauweiler jt, C‑62/14, EU:C:2015:400, punkt 100).
23 Seega on selge, et ELTL artikli 124 tõlgendamisel, mida taotleti, ei ole mingit seost isikuandmete kaitset puudutava põhikohtuasja asjaolude või esemega.
24 Järelikult ei ole esimesele, teisele ja kolmandale küsimusele vaja vastata.
Neljanda küsimuse vastuvõetavus
25 CNAS ja Rumeenia valitsus väidavad, et neljas küsimus on vastuvõetamatu. Kõnealuse valitsuse arvates ei ole põhikohtuasja apellantide väidetava kahju ja põhikohtuasjas vaidlustatud haldusaktide tühistamise vahel mingit seost.
26 Olgu meelde tuletatud, et Euroopa Kohtu väljakujunenud praktika kohaselt eeldatakse, et liidu õiguse tõlgendamist puudutavad küsimused, mis liikmesriigi kohus on esitanud õiguslikus ja faktilises raamistikus, mille ta on määratlenud omal vastutusel ja mille paikapidavuse kontrollimine ei ole Euroopa Kohtu ülesanne, on asjakohased. Euroopa Kohus võib liikmesriigi kohtu esitatud eelotsusetaotlusele vastamast keelduda vaid siis, kui on ilmne, et taotletav liidu õiguse tõlgendus ei ole mingil viisil seotud põhikohtuasja faktiliste asjaolude või esemega, või ka juhul, kui probleem on hüpoteetiline, või kui Euroopa Kohtule ei ole teada vajalikke faktilisi ja õiguslikke asjaolusid, et anda tarvilik vastus talle esitatud küsimustele (kohtuotsus Fish Legal ja Shirley, C‑279/12, EU:C:2013:853, punkt 30 ja seal viidatud kohtupraktika).
27 Tuleb nentida, et põhikohtuasi puudutab ANAF‑i kogutud maksuandmete töötlemise õiguspärasust. Eelotsusetaotluse esitanud kohtul on tekkinud küsimus direktiivi 95/46 sätete tõlgendamise kohta seoses nende andmete CNAS‑ile edastamise ja sellele järgneva töötlemise õiguspärasuse kontrollimisega. Neljas eelotsuse küsimus on seega asjakohane ja piisavalt täpne, et Euroopa Kohus saaks sellele anda tarviliku vastuse. Seetõttu tuleb pidada eelotsusetaotlust neljanda küsimuse osas vastuvõetavaks.
Sisulised küsimused
28 Oma neljanda küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas direktiivi 95/46 artikleid 10, 11 ja 13 tuleb tõlgendada nii, et nendega on vastuolus sellised riigisisesed meetmed nagu põhikohtuasjas käsitletavad, mis lubavad liikmesriigi ametiasutusel edastada isikuandmeid teisele ametiasutusele ja neid seejärel töödelda, kuigi andmesubjekte ei ole sellest edastamisest ja töötlemisest teavitatud.
29 Sellega seoses tuleb eelotsusetaotluse esitanud kohtu andmete põhjal tuvastada, et CNAS‑ile ANAF‑i poolt edastatud maksuandmed on isikuandmed kõnealuse direktiivi artikli 2 lõike a tähenduses, kuna need on „teave tuvastatud või tuvastatava füüsilise isiku [...] kohta” (kohtuotsus Satakunnan Markkinapörssi ja Satamedia, C‑73/07, EU:C:2008:727, punkt 35). Nii nende andmete edastamine ANAF‑i poolt, kelle ülesanne on hallata neid andmeid sisaldavaid andmebaase, kui ka sellele järgnev nende andmete töötlemine CNAS‑i poolt on seega „isikuandmete töötlemine” selle direktiivi artikli 2 lõike b tähenduses (vt selle kohta eelkõige kohtuotsused Österreichischer Rundfunk jt, C‑465/00, C‑138/01 ja C‑139/01, EU:C:2003:294, punkt 64, ja Huber, C‑524/06, EU:C:2008:724, punkt 43).
30 Vastavalt direktiivi 95/46 II peatüki „Üldised eeskirjad isikuandmete töötlemise seaduslikkuse kohta” sätetele tuleb juhul, kui direktiivi artiklis 13 toodud eranditega ei ole ette nähtud teisiti, isikuandmete töötlemisel ühelt poolt järgida põhimõtteid andmete kvaliteedi kohta, mis on sätestatud direktiivi artiklis 6, ning teiselt poolt andmetöötluse seaduslikkuse kriteeriume, mis on loetletud direktiivi artiklis 7 (kohtuotsused Österreichischer Rundfunk jt, C‑465/00, C‑138/01 ja C‑139/01, EU:C:2003:294, punkt 65; Huber, C‑524/06, EU:C:2008:724, punkt 48, ning ASNEF ja FECEMD, C‑468/10 ja C‑469/10, EU:C:2011:777, punkt 26).
31 Peale selle on vastutaval töötlejal või tema esindajal teavitamiskohustus, mille direktiivi 95/46 artiklites 10 ja 11 sätestatud tingimused sõltuvad sellest, kas andmed on kogutud andmesubjektilt või mitte, kusjuures arvestada tuleb direktiivi artikli 13 alusel lubatud erandeid.
32 Mis puudutab esiteks direktiivi artiklit 10, siis näeb see ette, et vastutav töötleja peab andmesubjektile, kellelt tema enda kohta andmeid kogutakse, esitama selle artikli punktides a–c nimetatud teabe, kui andmesubjekt seda juba ei tea. See teave puudutab nende andmete vastutava töötleja enda andmeid, andmete töötlemise eesmärki ja täiendavat teavet, et tagada andmete õiglane töötlemine. Andmete õiglase töötlemise tagamiseks ette nähtud täiendava teabe hulgas on direktiivi artikli 10 punktis c sõnaselgelt nimetatud „andmete vastuvõtjad või vastuvõtjate kategooriad” ja „isiku enda kohta käivate andmetega tutvumise ja nende parandamise õiguse olemasolu”.
33 Kohtujurist märkis oma ettepaneku punktis 74, et nende isikute, kelle isikuandmeid töödeldakse, teavitamise nõue on seda tähtsam, et see on vajalik tingimus, et asjassepuutuvad isikud saaksid kasutada oma direktiivi 95/46 artiklis 12 ette nähtud õigust töödeldud andmetega tutvuda ja neid parandada ning esitada nende andmete töötlemisele vastuväiteid, mis on sätestatud sama direktiivi artiklis 14.
34 Sellest tuleneb, et direktiivi 95/46 artiklis 6 ette nähtud isikuandmete õiglase töötlemise nõue paneb ametiasutusele kohustuse teavitada andmesubjekte sellest, et viimati nimetatud asutus on edastanud need andmed nende töötlemiseks teisele ametiasutusele kui nende andmete vastuvõtjale.
35 Eelotsusetaotluse esitanud kohtu selgitustest nähtub, et ANAF ei teavitanud põhikohtuasja hagejaid neid puudutavate isikuandmete edastamisest CNAS‑le.
36 Rumeenia valitsus väidab siiski seda, et ANAF on eelkõige seaduse nr 95/2006 artikli 315 alusel kohustatud edastama kohalikele haigekassadele vajaliku teabe, et CNAS saaks kindlaks teha, kas füüsilisest isikust ettevõtjana tulu teenivad isikud on kindlustatud isiku staatuses.
37 Seaduse nr 95/2006 artiklis 315 on küll sõnaselgelt ette nähtud, et „kindlustatud isiku staatuse kontrollimiseks vajalikud andmed edastavad ametiasutused, avalik-õiguslikud isikud või muud avalik-õigusliku võimu kandjad ravikindlustuskassadele tasuta kooskõlas protokolliga”. Eelotsusetaotluse esitanud kohtu selgitustest nähtub aga, et kindlustatud isiku staatuse tuvastamiseks vajalikud andmed ei hõlma selle sätte tähenduses tuluga seotud andmeid, kuna seaduse kohaselt on kindlustatud isiku staatus ka isikutel, kes maksustatavat tulu ei saa.
38 Neil asjaoludel ei saa seaduse nr 95/2006 artikkel 315 kujutada endast direktiivi 95/46 artikli 10 tähenduses eelnevat teavet, mis vabastab vastutava töötleja kohustusest teavitada isikuid, kellelt ta kogub andmeid nende tulu kohta, nende andmete vastuvõtjast. Seega ei saa asuda seisukohale, et kõnealusel edastamisel järgiti direktiivi 95/46 artikli 10 sätteid.
39 Tuleb kontrollida, kas see andmesubjektide teavitamata jätmine võib kuuluda kõnealuse direktiivi artikli 13 kohaldamisalasse. Nimelt tuleneb artikli 13 lõike 1 punktidest e ja f, et liikmesriigid võivad sama direktiivi artiklis 10 sätestatud kohustuste ja õiguste ulatust piirata, kui sellised piirangud on vajalikud, et kindlustada „liikmesriigi [...] olulised majanduslikud või rahanduslikud huvid, sealhulgas raha‑, eelarve‑ ja maksuküsimused” ning „jälgimine, kontrollimine ja regulatiivne funktsioon, mis on kas või ajutiselt seotud avaliku võimu teostamisega punktides c, d ja e osutatud juhtudel”. Artiklis 13 on aga selgelt nõutud, et niisugused piirangud peavad olema kehtestatud õigusaktides.
40 Samas tuleb lisaks eelotsusetaotluse esitanud kohtu märgitud asjaolule, et tulu puudutavad andmed ei kuulu nende isikuandmete hulka, mida on vaja kindlustatud isiku staatuse tuvastamiseks, rõhutada, et seaduse nr 95/2006 artiklis 315 on ainult põhimõttena nimetatud ametiasutuste, avalik-õiguslike isikute või muude avalik-õigusliku võimu kandjate valduses olevate andmete edastamist. Eelotsusetaotlusest nähtub samuti, et edastatava teabe määratlus ja selle teabe edastamise tingimused ei ole ette nähtud õigusaktis, vaid ANAF‑i ja CNAS‑i vahel sõlmitud 2007. aasta protokollis, mida ei ole ametlikult avaldatud.
41 Neil asjaoludel ei saa asuda seisukohale, et tingimused, mis on ette nähtud direktiivi 95/46 artiklis 13 selleks, et liikmesriik saaks teha erandeid artiklist 10 tulenevatest õigustest ja kohustustest, on täidetud.
42 Mis puudutab teiseks direktiivi artiklit 11, siis on selle lõikes 1 sätestatud, et vastutav töötleja, kes ei ole andmeid saanud andmesubjektilt, peab viimati nimetatule esitama punktides a–c nimetatud teabe. See teave puudutab vastutava töötleja andmeid, töötlemise eesmärki ja täiendavat teavet, et tagada andmete õiglane töötlemine. Selle täiendava teabe hulgas on direktiivi artikli 11 lõike 1 punktis c sõnaselgelt nimetatud „asjaomaste andmete liik” ja „isiku enda kohta käivate andmetega tutvumise ja nende parandamise õiguse olemasolu”.
43 Sellest järeldub, et direktiivi 95/46 artikli 11 lõike 1 punktide b ja c kohaselt on põhikohtuasja asjaoludel vaja selleks, et CNAS saaks töödelda ANAF‑i poolt talle edastatud andmeid, et nende andmete subjekte on teavitatud töötlemise eesmärgist ja asjaomaste andmete liigist.
44 Samas nähtub eelotsusetaotluse esitanud kohtu selgitustest, et CNAS ei esitanud põhikohtuasja hagejatele direktiivi artikli 11 lõike 1 punktides a–c nimetatud teavet.
45 Lisaks ei ole direktiivi 95/46 artikli 11 lõike 2 kohaselt selle direktiivi artikli 11 lõike 1 sätted kohaldatavad, kui selliste andmete salvestamine või avalikustamine on õigusaktides sätestatud, kusjuures liikmesriigid peavad siis ette nägema vajalikud tagatised. Käesoleva kohtuotsuse punktides 40 ja 41 kirjeldatud põhjustel ei kuulu Rumeenia valitsuse viidatud seaduse nr 95/2006 sätted ja 2007. aasta protokoll ei artikli 11 lõikest 2 ega ka artiklist 13 tuleneva erandkorra alla.
46 Kõiki eespool toodud kaalutlusi arvestades tuleb esitatud küsimusele vastata, et direktiivi 95/46 artikleid 10, 11 ja 13 tuleb tõlgendada nii, et nendega on vastuolus sellised riigisisesed meetmed nagu põhikohtuasjas käsitletavad, mis lubavad liikmesriigi ametiasutusel edastada isikuandmeid teisele ametiasutusele ja neid seejärel töödelda, kuigi andmesubjekte ei ole sellest edastamisest ja töötlemisest teavitatud.
Kohtukulud
47 Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.
Esitatud põhjendustest lähtudes Euroopa Kohus (kolmas koda) otsustab:
Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta artikleid 10, 11 ja 13 tuleb tõlgendada nii, et nendega on vastuolus sellised riigisisesed meetmed nagu põhikohtuasjas käsitletavad, mis lubavad liikmesriigi ametiasutusel edastada isikuandmeid teisele ametiasutusele ja neid seejärel töödelda, kuigi andmesubjekte ei ole sellest edastamisest ja töötlemisest teavitatud.
Allkirjad