CONCLUSIONES DEL ABOGADO GENERAL
PEDRO CRUZ VILLALÓN
presentadas el 9 de julio de 2015 (1)
Asunto C‑201/14
Smaranda Bara y otros
contra
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF)
[Petición de decisión prejudicial planteada por la Curtea de Apel Cluj (Rumanía)]
«Procedimiento prejudicial — Política económica y monetaria — Artículo 124 TFUE — Acceso privilegiado a las entidades financieras — Disposición inaplicable al litigio principal — Inadmisibilidad manifiesta — Aproximación de las legislaciones — Directiva 95/46/CE — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Artículo 7 — Requisitos para la legitimación del tratamiento de datos — Artículos 10 y 11 — Consentimiento de los interesados e información a los mismos — Artículo 13 — Excepciones y limitaciones — Normativa nacional relativa a la adquisición de la condición de asegurado social — Protocolo de cesión de datos personales relativos a los ingresos de los interesados entre dos instituciones públicas»
1. ¿En qué medida y bajo qué requisitos están autorizadas las instituciones públicas de un Estado miembro, en el ejercicio de sus prerrogativas de poder público, a compartir los datos personales de sus administrados, y en particular los relativos a los ingresos de éstos, obtenidos por ellas para el cumplimiento de sus misiones de interés general? Ésta es, en esencia, la principal cuestión planteada en el procedimiento principal, para la que se requiere una interpretación por parte del Tribunal de Justicia de diversas disposiciones de la Directiva 95/46/CE. (2)
2. Más concretamente, el presente asunto ofrece al Tribunal de Justicia la oportunidad de examinar los requisitos a los que la Directiva 95/46 supedita la transmisión de datos personales de una administración a otra, precisando las obligaciones que recaen tanto sobre las personas públicas que intervienen en esa transmisión de datos como sobre el legislador nacional que debe regular estas prácticas, en particular en lo que respecta a la información a los interesados.
I. Marco jurídico
A. Derecho de la Unión
3. Las principales disposiciones de la Directiva 95/46 pertinentes para la resolución del litigio principal son sus artículos 7, 10, 11 y 13. Las demás disposiciones pertinentes se irán citando a medida que sea necesario en el análisis que sigue.
4. El artículo 7 de la Directiva 95/46 establece lo siguiente:
«Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:
a) el interesado ha dado su consentimiento de forma inequívoca, o
b) es necesario para la ejecución de un contrato en el que el interesado sea parte o para la aplicación de medidas precontractuales adoptadas a petición del interesado, o
c) es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o
d) es necesario para proteger el interés vital del interesado, o
e) es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos, o
f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.»
5. El artículo 10 de la Directiva 95/46 está redactado así:
«Los Estados miembros dispondrán que el responsable del tratamiento o su representante deberán comunicar a la persona de quien se recaben los datos que le conciernan, por lo menos la información que se enumera a continuación, salvo si la persona ya hubiera sido informada de ello:
a) la identidad del responsable del tratamiento y, en su caso, de su representante;
b) los fines del tratamiento de que van a ser objeto los datos;
c) cualquier otra información tal como:
– los destinatarios o las categorías de destinatarios de los datos,
– el carácter obligatorio o no de la respuesta y las consecuencias que tendría para la persona interesada una negativa a responder,
– la existencia de derechos de acceso y rectificación de los datos que la conciernen,
en la medida en que, habida cuenta de las circunstancias específicas en que se obtengan los datos, dicha información suplementaria resulte necesaria para garantizar un tratamiento de datos leal respecto del interesado.»
6. El artículo 11 de la Directiva 95/46 establece lo siguiente:
«1. Cuando los datos no hayan sido recabados del interesado, los Estados miembros dispondrán que el responsable del tratamiento o su representante deberán, desde el momento del registro de los datos o, en caso de que se piense comunicar datos a un tercero, a más tardar, en el momento de la primera comunicación de datos, comunicar al interesado por lo menos la información que se enumera a continuación, salvo si el interesado ya hubiera sido informado de ello:
a) la identidad del responsable del tratamiento y, en su caso, de su representante;
b) los fines del tratamiento de que van a ser objeto los datos;
c) cualquier otra información tal como:
– las categorías de los datos de que se trate,
– los destinatarios o las categorías de destinatarios de los datos,
– la existencia de derechos de acceso y rectificación de los datos que la conciernen,
en la medida en que, habida cuenta de las circunstancias específicas en que se hayan obtenido los datos, dicha información suplementaria resulte necesaria para garantizar un tratamiento de datos leal respecto del interesado.
2. Las disposiciones del apartado 1 no se aplicarán, en particular para el tratamiento con fines estadísticos o de investigación histórica o científica, cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados o el registro o la comunicación a un tercero estén expresamente prescritos por ley. En tales casos, los Estados miembros establecerán las garantías apropiadas.»
7. El artículo 13, apartado 1, de la Directiva 95/46 está formulado así:
«1. Los Estados miembros podrán adoptar medidas legales para limitar el alcance de las obligaciones y los derechos previstos en el apartado 6 del artículo 1, en el artículo 10, en el apartado 1 del artículo 11, y en los artículos 12 y 21 cuando tal limitación constituya una medida necesaria para la salvaguardia de:
a) la seguridad del Estado;
b) la defensa;
c) la seguridad pública;
d) la prevención, la investigación, la detección y la represión de infracciones penales o de las infracciones de la deontología en las profesiones reglamentadas;
e) un interés económico y financiero importante de un Estado miembro o de la Unión Europea, incluidos los asuntos monetarios, presupuestarios y fiscales;
f) una función de control, de inspección o reglamentaria relacionada, aunque sólo sea ocasionalmente, con el ejercicio de la autoridad pública en los casos a que hacen referencia las letras c), d) y e);
g) la protección del interesado o de los derechos y libertades de otras personas.»
B. Derecho nacional
8. Se desprende de la resolución de remisión que la Ley nº 95/2006, sobre la reforma del sector sanitario, y la Orden nº 617/2007 del Presidente de la Caja Nacional del Seguro de Enfermedad, (3) de 13 de agosto de 2007, (4) dictada en aplicación de la citada Ley, constituyen el marco jurídico que regula la adquisición de la condición de asegurado por parte de los ciudadanos rumanos residentes en Rumanía y de los ciudadanos extranjeros y apátridas que hayan solicitado y obtenido la prórroga del derecho de residencia temporal o estén domiciliados en Rumanía, así como las obligaciones de los mismos de abonar la cotización del seguro de enfermedad que les corresponda.
9. El tribunal remitente precisa que estos dos textos legales facultan a las instituciones estatales para transmitir a la Caja Nacional la información necesaria para determinar la condición de asegurado. A este respecto, el artículo 315 de la Ley nº 95/2006 dispone lo siguiente:
«Las autoridades, instituciones públicas y otras instituciones transmitirán gratuitamente a las cajas del seguro de enfermedad, sobre la base de un protocolo, los datos necesarios para determinar la condición de asegurado».
10. El método de transmisión de los datos pertinentes se regula en el protocolo nº P 5282/26.10.2007/95896/30.10.2007, (5) celebrado el 26 de octubre de 2007 entre la Agenţia Naţională de Administrare Fiscală (Agencia Nacional de Administración Tributaria) (6) y la Caja Nacional. Su artículo 4 estipula lo siguiente:
«Tras la entrada en vigor del presente protocolo, la [Agencia Tributaria] transmitirá en formato electrónico, a través de sus unidades especiales subordinadas, la base de datos inicial relativa a:
a. los ingresos de las personas que pertenecen a las categorías contempladas en el artículo 1, apartado 1, del presente protocolo y, cada tres meses, la actualización de dicha base de datos, a la [Caja Nacional], en una forma que permita su tratamiento automatizado, con arreglo al anexo I del presente protocolo [...]».
II. Litigio principal
11. Los recurrentes en el litigio principal son personas que obtienen sus ingresos de actividades por cuenta propia y a las que se ha reclamado el pago de su cotización al Fondo nacional único del seguro de enfermedad mediante unas liquidaciones emitidas por la caja del seguro de enfermedad de Cluj (Rumanía), que se elaboraron a partir de los datos sobre sus ingresos proporcionados a la Caja Nacional por la Agencia Tributaria.
12. Los mencionados recurrentes impugnan ante el tribunal remitente los diferentes actos administrativos en virtud de los cuales la Agencia Tributaria trasmitió a la Caja Nacional los datos necesarios para la elaboración de esas liquidaciones, y en particular los relativos a sus ingresos, alegando que la transmisión de sus datos personales a la Caja Nacional por parte de la Agencia Tributaria se ha producido incumpliendo lo dispuesto en la Directiva 95/46. Los recurrentes sostienen así que, sin otra base que un mero protocolo interno, esos datos fueron transmitidos y utilizados para fines distintos de los fines para los que habían sido comunicados inicialmente a la Caja Nacional, sin que ellos hubieran dado su consentimiento expreso y sin que hubieran sido previamente informados.
13. A este respecto, el tribunal remitente precisa que la legislación rumana establece de un modo estricto y taxativo que se transmitirán los datos necesarios para la determinación de la condición de asegurado, es decir, los datos de identificación de la persona (apellido, nombre, número de identificación personal, domicilio o residencia en Rumanía), excluyendo, pues, los datos relativos a los ingresos obtenidos en Rumanía.
III. Cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia
14. En este contexto, mediante resolución de 31 de marzo de 2014, la Curtea de Apel Cluj (tribunal de apelación de Cluj, Rumanía) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1) La autoridad tributaria nacional, en su condición de organismo representativo del Ministerio competente de un Estado miembro, ¿es una entidad financiera en el sentido del artículo 124 TFUE?
2) ¿Puede regularse la transmisión por la administración nacional tributaria a otra institución del Estado miembro de la base de datos relativos a los ingresos obtenidos por los ciudadanos de un Estado miembro mediante un acto equivalente a los actos administrativos, a saber, un protocolo celebrado entre la autoridad tributaria nacional y otra institución del Estado, sin que ello constituya un acceso privilegiado, tal como se define en el artículo 124 TFUE?
3) La transmisión de la base de datos con objeto de obligar a los ciudadanos del Estado miembro a abonar las cotizaciones sociales a la institución del Estado miembro a cuyo favor se efectúa la transmisión, ¿está comprendida en el concepto de consideración prudencial en el sentido del artículo 124 TFUE?
4) ¿Puede tratar los datos personales una autoridad que no era destinataria de los mismos, si dicha operación crea, de modo retroactivo, un perjuicio patrimonial?»
15. Han presentado observaciones escritas ante el Tribunal de Justicia la Caja Nacional, los Gobiernos rumano y checo y la Comisión Europea.
16. Por otra parte, el Tribunal de Justicia invitó a los interesados facultados para presentar observaciones con arreglo al artículo 23 del Estatuto del Tribunal de Justicia de la Unión Europea a que tomaran posición durante la vista sobre tres puntos, a saber, sobre el alcance de las obligaciones que los artículos 10 y 11 de la Directiva 95/46 imponen a la Agencia Tributaria, como emisora de los datos transmitidos, y a la Caja Nacional, como destinataria de esos datos; sobre la pertinencia del artículo 13 de la Directiva 95/46 para la interpretación solicitada por el tribunal remitente, y, por último, sobre los criterios con arreglo a los cuales el protocolo de 26 de octubre de 2007 entre la Caja Nacional y la Agencia Tributaria podría constituir una «medida legal» a efectos del artículo 13 de la Directiva 95/46.
17. Los recurrentes en el litigio principal, el Gobierno rumano y la Comisión presentaron observaciones orales y respondieron a las preguntas formuladas por el Tribunal de Justicia en la vista pública celebrada el 29 de abril de 2015.
IV. Sobre la admisibilidad de las cuestiones
18. Todos los interesados que han presentado observaciones ante el Tribunal de Justicia coinciden en considerar que procede declarar la inadmisibilidad de las tres primeras cuestiones prejudiciales planteadas por el tribunal remitente, relativas a la interpretación del artículo 124 TFUE, dado que esta disposición de Derecho primario no tiene relación con el objeto del litigio principal ni resulta aplicable al presente asunto.
19. El artículo 124 TFUE, que forma parte del capítulo del Tratado relativo a la política económica, prohíbe todas las medidas que otorguen a los Estados miembros un acceso privilegiado a las entidades financieras. Esta disposición, que somete las operaciones de financiación del sector público a la disciplina del mercado y contribuye, por tanto, a fortalecer la disciplina presupuestaria, (7) persigue, junto con los artículos 123 TFUE y 125 TFUE, un objetivo de carácter preventivo consistente, como el Tribunal de Justicia ha tenido la oportunidad de afirmar, en reducir todo lo posible el riesgo de crisis de la deuda soberana. (8)
20. El artículo 1, apartado 1, del Reglamento nº 3604/93 define el concepto de «medida que establezca un acceso privilegiado» como toda disposición legal o reglamentaria o todo acto jurídico de carácter vinculante adoptado en el ejercicio de la autoridad pública, que, o bien obligue a las entidades financieras a adquirir o mantener derechos de crédito frente a, entre otros, administraciones centrales, autoridades regionales o locales u otras autoridades públicas u otros organismos o empresas públicas de los Estados miembros, o bien conceda ventajas fiscales que beneficien únicamente a las entidades financieras o ventajas financieras que no se atengan a los principios de economía de mercado, para favorecer la adquisición o el mantenimiento de dichos derechos de crédito por parte de esas entidades.
21. Resulta evidente que la situación que se discute en el litigio principal, y más concretamente el acceso de la Caja Nacional a los datos recogidos por la Agencia Tributaria, no puede interpretarse en términos de «acceso privilegiado» a las «entidades financieras», (9) a las que, por lo demás, ni siquiera se hace referencia en la resolución de remisión.
22. Por lo tanto, el artículo 124 TFUE resulta manifiestamente inaplicable al litigio principal y, en consecuencia, procede declarar la inadmisibilidad de las tres primeras cuestiones formuladas por el tribunal remitente.
23. Por otra parte, en lo que respecta a la cuarta cuestión del tribunal remitente, procede señalar que está formulada en términos muy generales, que no menciona las disposiciones del Derecho de la Unión cuya interpretación se requiere para la resolución del litigio principal y que sólo contiene una sucinta exposición del marco jurídico y de los hechos del litigio principal, por lo que también podría contemplarse la posibilidad de declarar su inadmisibilidad.
24. A este respecto, el Gobierno rumano ha alegado que no veía ninguna relación entre el perjuicio invocado por los recurrentes en el litigio principal, derivado del tratamiento de los datos controvertido en ese litigio, y la anulación de los actos administrativos solicitada por ellos en dicho procedimiento.
25. Es preciso reconocer en efecto que, tal y como se desprende del examen de fondo de la cuarta cuestión del tribunal remitente, la referencia de éste al perjuicio patrimonial causado retroactivamente a los interesados por la transmisión de los datos no es pertinente para el examen de la compatibilidad de la legislación nacional con las disposiciones de la Directiva 95/46.
26. Sin embargo, se desprende claramente de la resolución de remisión que la cuarta cuestión se refiere a la interpretación de las disposiciones de la Directiva 95/46. En efecto, el tribunal remitente indica que se pregunta, por una parte, si la Caja Nacional trató los datos personales recogidos por la Agencia Tributaria respetando la obligación de información a la que estaba sujeta, con lo que se refiere implícitamente a la situación contemplada en el artículo 11 de la Directiva 95/46. También afirma que, por otra parte, se pregunta si la transmisión de datos personales sobre la base del protocolo de 26 de octubre de 2007 constituye un incumplimiento de la obligación del Estado miembro de garantizar un tratamiento de los datos personales que se ajuste a lo dispuesto en la Directiva 95/46, haciendo así referencia, de nuevo implícitamente, al artículo 13 de ésta, que permite restringir los derechos garantizados por dicha Directiva en la medida en que tales restricciones estén establecidas por ley y vayan acompañadas de garantías legales.
27. El modo en que el tribunal remitente expone sus interrogantes permite así identificar suficientemente la cuestión de interpretación de la Directiva 95/46 que se plantea en el litigio principal.
28. A este respecto es preciso recordar que, según reiterada jurisprudencia, la negativa a pronunciarse sobre una cuestión prejudicial sólo es posible cuando resulte evidente que la interpretación del Derecho de la Unión que se solicita no tiene relación alguna con la realidad o con el objeto del litigio principal, cuando el problema sea de naturaleza hipotética o cuando el Tribunal de Justicia no disponga de los datos de hecho y de Derecho necesarios para dar una respuesta útil a las cuestiones que se le plantean. (10)
29. Por consiguiente, mantengo la opinión de que la cuarta cuestión prejudicial planteada por el tribunal remitente es admisible y debe ser examinada.
V. Sobre la cuarta cuestión prejudicial
30. En su cuarta cuestión prejudicial, interpretada a la vista de las explicaciones que ofrece la resolución de remisión y del análisis que se ha expuesto, el tribunal remitente se pregunta, en esencia, si la Directiva 95/46 debe interpretarse en el sentido de que se opone a una normativa nacional que permite que una institución pública de un Estado miembro trate datos personales de los que no era destinataria, y en particular datos relativos a los ingresos de los interesados, sin que estos últimos hayan dado su consentimiento al respecto ni estuvieran previamente informados.
A. Resumen de las observaciones presentadas ante el Tribunal de Justicia
31. Los recurrentes en el litigio principal han alegado, en la vista, que el tribunal remitente pretendía determinar, esencialmente, en qué medida era compatible con los requisitos de procedimiento establecidos por la Directiva 95/46 la práctica administrativa nacional reflejada en el presente asunto en el protocolo de 26 de octubre de 2007 y consistente en una transmisión automática y repetitiva desde la Agencia Tributaria a la Caja Nacional de los datos personales, y entre ellos los datos fiscales, de ciertas categorías de contribuyentes (apellidos, nombre, clases de ingresos e impuestos pagados).
32. En respuesta a las preguntas formuladas por el Tribunal de Justicia, los recurrentes en el litigio principal estiman que la disposición aplicable al asunto examinado en dicho litigio es el artículo 11 de la Directiva 95/46. A su juicio, esta disposición determina las obligaciones que recaen en el responsable primario (la Agencia Tributaria) y en el responsable secundario (la Caja Nacional) del tratamiento de los datos personales, a saber, la obligación de comunicar a los interesados, en particular, la identidad del responsable del tratamiento secundario, los fines del tratamiento de los datos transmitidos y las categorías de datos trasmitidas. Según estas partes, es principalmente en el responsable del tratamiento secundario en quien recaen estas obligaciones, que deben cumplirse, a más tardar, en la fecha de la primera comunicación de datos.
33. A este respecto, ponen de relieve que el protocolo de 26 de octubre de 2007 contiene una incoherencia, en la medida en que, por una parte, su artículo 4 estipula la transmisión de bases de datos generales que son objeto de modificaciones periódicas y, por otra, su artículo 6, apartado 1, establece que los datos deben transmitirse individualmente mediante un acta. Ahora bien, según afirman, en la práctica nacional realmente seguida no existen tales actas y las transmisiones de datos se producen automáticamente, sin respetar estos requisitos de procedimiento.
34. Por otro lado, los recurrentes en el litigio principal alegan que el artículo 13 de la Directiva 95/46 no afecta a la solución de dicho litigio, en la medida en que la Caja Nacional no era competente para determinar las cotizaciones al Fondo del seguro de enfermedad. La transmisión de esos datos no era, pues, necesaria, salvo para la pequeña categoría de personas obligadas a cotizar para quienes se había determinado que existía la obligación de cotizar y que no la habían ejecutado voluntariamente.
35. No obstante, estas partes ponen de relieve que, si el Tribunal de Justicia considerara que el artículo 13 de la Directiva 95/46 resulta aplicable, correspondería entonces a la Agencia Tributaria y a la Caja Nacional justificar la necesidad de transmitir los datos de que se trata y, por tanto, acreditar la existencia de una medida legal que autorizaba esa transmisión sin el consentimiento de los interesados. Ahora bien, en su opinión, no existe tal medida legal, pues el protocolo de 26 de octubre de 2007 no puede calificarse de tal, ya que, como no se publicó en el boletín oficial, no cumple los requisitos de previsibilidad y de seguridad jurídica y no puede, por tanto, producir un efecto erga omnes.
36. En sus observaciones escritas, que la Caja Nacional comparte en lo esencial, el Gobierno rumano ha sostenido, por un lado, que la transmisión de información entre la Agencia Tributaria y la Caja Nacional sobre los ingresos de las actividades por cuenta propia estaba establecida por ley y era necesaria para que la Caja Nacional cumpliera su misión y, por otro lado, que el tratamiento de dicha información por parte de la Caja Nacional era necesario para el cumplimiento de una obligación jurídica a la que ésta se hallaba sujeta, en el sentido del artículo 7 de la Directiva 95/46. Por consiguiente, alega, en este caso no se requería ni el consentimiento de los interesados ni la información a estos últimos que se exigen en el artículo 10 y en el artículo 11 de la Directiva 95/46.
37. En la vista, el Gobierno rumano insistió en el hecho de que la transmisión y el tratamiento de los datos personales controvertidos se enmarcaban en el contexto de las obligaciones de colaboración que el Código de procedimiento fiscal, y en particular sus artículos 11 y 62, impone a las instituciones públicas. A este respecto, el protocolo de 26 de octubre de 2007 no constituye la base jurídica de esas obligaciones, sino que se limita a regular el modo en que se transmiten los datos de la Agencia Tributaria a la Caja Nacional. En opinión del Gobierno rumano, estas obligaciones de transmisión de información fiscal, que sólo pueden darse entre instituciones públicas y cuya única finalidad consiste en determinar el importe del impuesto y de las cotizaciones sociales que se adeudan, entre las que figuran las cotizaciones al seguro de enfermedad, perseguían pues un objetivo legítimo de protección de intereses financieros, por lo que resultaba aplicable lo dispuesto en el artículo 13, apartado 1, letra e), de la Directiva 95/46. En consecuencia, a su juicio, no era preciso informar a los interesados.
38. El Gobierno checo sostiene, principalmente, que la transmisión por la Agencia Tributaria a la Caja Nacional de los datos controvertidos puede producirse sin el consentimiento de los interesados, en virtud del artículo 7, letra e), de la Directiva 95/46, y sin necesidad de informarles al respecto, en aplicación de las excepciones establecidas en el artículo 11, apartado 2, y en el artículo 13 de esta misma Directiva. Por otra parte, considera que esta Directiva no contiene ninguna disposición que exija que la transmisión de datos personales entre instituciones públicas esté expresamente establecida en una disposición de alcance general.
39. En sus observaciones escritas, la Comisión comenzó subrayando que los datos de que se trata en el litigio principal son datos personales en el sentido del artículo 2, letra a), de la Directiva 95/46; que las dos instituciones nacionales de que se trata, a saber, la Agencia Tributaria y la Caja Nacional, pueden calificarse de responsables del tratamiento de dichos datos, en el sentido del artículo 2, letra d), de la misma Directiva, y que tanto a la recogida como a la transmisión de esos datos se les aplica la calificación de tratamiento de datos personales, en el sentido del artículo 2, letra b), de la misma Directiva.
40. Siempre en sus observaciones escritas, la Comisión propuso al Tribunal de Justicia que declarase que los artículos 6 y 7 de la Directiva 95/46 deben interpretarse en el sentido de que no se oponen a la transmisión de los datos sobre los ingresos que se discuten en el litigio principal, siempre que esa transmisión se efectúe sobre la base de disposiciones legales claras y precisas y cuya aplicación sea previsible para los interesados, extremos que corresponde verificar al tribunal remitente.
41. Sin embargo, la Comisión ha desarrollado más ampliamente esta conclusión en sus observaciones orales, al responder a las preguntas que el Tribunal de Justicia formuló para que recibieran respuesta en la vista. Ha alegado así, esencialmente, que en las circunstancias del asunto principal no concurren los requisitos de consentimiento de los interesados y de información a los mismos que los artículos 7, 10, 11 y 13 de la Directiva 95/46 imponen para la recogida, la transmisión y el tratamiento de datos personales y que, en cualquier caso, la normativa nacional, y en particular el protocolo de 26 de octubre de 2007 celebrado entre la Agencia Tributaria y la Caja Nacional, no satisface los requisitos del artículo 13 de esta misma Directiva, tal como ha sido interpretado a la luz de lo dispuesto en los artículos 8 y 52 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta») y en el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, firmado en Roma el 4 de noviembre de 1950.
42. La Comisión sostiene así que la Directiva 95/46 parte del principio de que la persona a la que concierne el tratamiento de sus datos personales debe estar informada, mediante unas disposiciones legales claras, precisas y previsibles, de toda limitación impuesta a los derechos que le confiere la Directiva 95/46. Ahora bien, la transmisión de los datos de que se trata en el litigio principal se produce sobre la base de un mero protocolo de cooperación entre las dos instituciones, basado a su vez en una disposición de la Ley nº 95/2006 que, al hacer referencia a los datos necesarios para determinar la condición de asegurado, no cumple, en su opinión, este requisito de claridad.
43. Examinando las diferentes preguntas formuladas por el Tribunal de Justicia para que recibieran respuesta oral, la Comisión subraya que tanto la Agencia Tributaria como la Caja Nacional hubieran debido proporcionar a los interesados la información exigida, respectivamente, por los artículos 10 y 11 de la Directiva 95/46, pues la legislación rumana no cumple los requisitos exigidos para poder establecer una excepción a esas obligaciones.
44. A este respecto, la Comisión pone de relieve, en primer lugar, que la normativa rumana no parece cumplir los requisitos que impone el artículo 11, apartado 2, de la Directiva 95/46, con arreglo al cual las disposiciones del apartado 1 de dicho artículo no se aplicarán cuando el registro o la comunicación de los datos estén expresamente prescritos por la ley nacional, pero se remite no obstante al órgano jurisdiccional nacional para el examen de esta cuestión.
45. A continuación recalca que, con arreglo al artículo 13 de la Directiva 95/46, toda restricción al derecho de los interesados a ser informados, establecido en los artículos 10 y 11 de dicha Directiva, debe figurar en una medida legal, perseguir alguno de los objetivos de interés general enumerados en el propio artículo 13 y ser proporcionada. Ahora bien, según sus alegaciones, la legislación rumana no contiene ninguna medida que establezca esa excepción, pues la disposición que ordena la transmisión de los datos de la Agencia Tributaria a la Caja Nacional no puede considerarse una disposición que indique claramente que no se informará al respecto a los interesados.
46. A este respecto, la Comisión indica que el protocolo de 26 de octubre de 2007 celebrado entre la Agencia Tributaria y la Caja Nacional, que regula la transmisión de información entre ambas instituciones pero sin incluir, no obstante, disposiciones sobre la información a los interesados, no puede considerarse una medida legal en el sentido del artículo 13 de la Directiva 95/46, pues se trata de un mero acuerdo bilateral, no publicado en el boletín oficial, que no produce efectos jurídicos obligatorios y no es oponible a terceros. En su opinión, el artículo 13 de la Directiva 95/46 refleja, a este respecto, las disposiciones del artículo 52, apartado 1, de la Carta y del artículo 8, apartado 2, del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales en el ámbito específico de la protección de los datos personales y debe interpretarse, por tanto, a la luz de la jurisprudencia pertinente del Tribunal de Justicia y del Tribunal Europeo de Derechos Humanos.
47. En cualquier caso, y aun suponiendo que pueda considerarse que la legislación rumana establece en efecto la excepción legal requerida, es necesario, a juicio de la Comisión, que la restricción de la obligación de informar a los interesados responda al criterio de necesidad y sea proporcionada. A este respecto, aunque cabe reconocer, por una parte, que el funcionamiento del servicio público del seguro de enfermedad constituye efectivamente un objetivo de interés general en el sentido del artículo 13 de la Directiva 95/46 y que la transmisión de los datos de la Agencia Tributaria a la Caja Nacional contribuye a la realización de este objetivo, resulta en cambio difícil, en su opinión, comprender la necesidad de no informar a los interesados, pues tal información no puede obstaculizar la realización de ese objetivo.
B. Sobre las principales disposiciones pertinentes de la Directiva 95/46
48. Para poder ofrecer una respuesta útil al tribunal remitente, es preciso comenzar por recordar las principales normas establecidas en los artículos 5 a 7 y 10 a 13 de la Directiva 95/46, que, en la medida en que regulan el tratamiento y la transmisión de datos personales, se revelan pertinentes para la resolución del litigio principal.
49. Con arreglo al artículo 5 de la Directiva 95/46, corresponde a los Estados miembros precisar las condiciones en que son lícitos los tratamientos de datos personales, dentro de los límites de las disposiciones de los artículos 6 a 21 de dicha Directiva.
50. Como el Tribunal de Justicia ha recordado en varias ocasiones, sin perjuicio de las excepciones admitidas al amparo del artículo 13 de la Directiva 95/46, todo tratamiento de datos personales debe ser conforme, por una parte, con los principios relativos a la calidad de los datos, enunciados en el artículo 6 de dicha Directiva, y, por otra, con alguno de los principios relativos a la legitimación del tratamiento de datos, enumerados en su artículo 7. (11)
51. Los artículos 6 y 7 de esta Directiva determinan así, en lo que respecta al presente asunto, tres primeros requisitos aplicables a la recogida y al tratamiento de datos personales.
52. El responsable del tratamiento (12) debe asegurarse, en particular, de que los datos personales se recojan con fines determinados, explícitos y legítimos, se traten de manera leal y lícita y no reciban un tratamiento posterior incompatible con dichos fines. (13)
53. Por su parte, el artículo 7 de la Directiva 95/46 dispone que el tratamiento de los datos de carácter personal sólo puede considerarse legítimo y, por tanto, sólo puede efectuarse si está comprendido en alguno de los supuestos que en él se enumeran y, en particular, por lo que se refiere al presente asunto, si el interesado ha dado su consentimiento al respecto de forma inequívoca, (14) o si ese tratamiento de datos es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, (15) o, también, si es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos. (16)
54. El Tribunal de Justicia ha declarado ya que esta disposición establece una lista exhaustiva y taxativa de los supuestos en que un tratamiento de datos personales puede considerarse lícito. (17) Ha precisado igualmente que, habida cuenta del objetivo de la Directiva 95/46, consistente en equiparar el nivel de protección en todos los Estados miembros, el concepto de necesidad, tal como resulta del artículo 7, letra e), de dicha Directiva, no puede tener un contenido variable en función de los Estados miembros y constituye, por tanto, un concepto autónomo del Derecho de la Unión. (18)
55. Los artículos 10 y 11 de la Directiva 95/46 establecen, por su parte, las obligaciones de información a que está sometido el responsable del tratamiento de datos personales, distinguiendo el supuesto en el que estos datos se obtienen del interesado y el supuesto en el que no se obtienen del interesado.
56. El artículo 10 de la Directiva 95/46, interpretado a la luz del considerando 38 de ésta, dispone así que, a menos que ya hayan sido informadas de otro modo, las personas de quienes el responsable del tratamiento de datos ha recabado los datos que les conciernen deben poder conocer la existencia de ese tratamiento y recibir una información precisa y completa en cuanto a esa recogida de datos, y en particular, para que dicho tratamiento pueda considerarse leal, información sobre los fines del tratamiento de que van a ser objeto los datos y sobre los destinatarios o las categorías de destinatarios de esos datos, como indican las letras b) y c) de dicho artículo.
57. El artículo 11, apartado 1, de la Directiva 95/46, interpretado a la luz de los considerandos 39 y 40 de ésta, contempla los supuestos en los que los datos objeto de tratamiento no se han recabado de las personas a quienes conciernen, en particular cuando tales datos han sido legítimamente comunicados a un tercero pese a que dicha comunicación no estaba prevista en el momento en que se recogieron. (19) En estos supuestos, desde el momento del registro de los datos o, en caso de que se piense comunicarlos a un tercero, a más tardar en el momento de la primera comunicación de los datos, los interesados deben recibir igualmente, a menos que ya hayan sido informados de otro modo, información sobre los fines del tratamiento, sobre las categorías de los datos de que se trate y sobre los destinatarios o las categorías de destinatarios de esos datos, como indican las letras b) y c) de dicho artículo 11, apartado 1.
58. No obstante, según el artículo 11, apartado 2, de esta misma Directiva, las disposiciones de su apartado 1 no se aplicarán cuando el registro o la comunicación de los datos a un tercero estén expresamente prescritos por ley, pero en tal caso los Estados miembros deben establecer las garantías apropiadas.
59. Por último, el artículo 13 de la Directiva 95/46, titulado «Excepciones y limitaciones», dispone que los Estados miembros podrán adoptar medidas legales para limitar el alcance de las obligaciones y los derechos previstos en los artículos 6, apartado 1, y 11, apartado 1, de dicha Directiva, entre otros, cuando tal limitación constituya una medida necesaria para la salvaguardia de intereses superiores, como por ejemplo «un interés económico y financiero importante de un Estado miembro o de la Unión Europea, incluidos los asuntos monetarios, presupuestarios y fiscales» (20) o «una función de control, de inspección o reglamentaria relacionada, aunque sólo sea ocasionalmente, con el ejercicio de la autoridad pública en los casos a que hacen referencia las letras c), d) y e)» del apartado 1 del artículo 13 de la Directiva. (21)
60. La situación que se discute en el litigio principal debe examinarse a la luz de este conjunto de disposiciones.
C. Sobre la calificación de la situación que se discute en el litigio principal con arreglo a la Directiva 95/46
61. En primer lugar, procede hacer constar que los datos de que se trata en el litigio principal, transmitidos por la Agencia Tributaria a la Caja Nacional, son datos personales en el sentido del artículo 2, letra a), de la Directiva 95/46. En efecto, esos datos, entre los que figuran el nombre y apellidos de los interesados (22) e información sobre sus ingresos, (23) constituyen indudablemente «información sobre una persona física identificada o identificable». La transmisión de estos datos por parte de la Agencia Tributaria y su tratamiento por parte de la Caja Nacional tienen el carácter de tratamiento de datos personales en el sentido del artículo 2, letra b), de dicha Directiva.
62. No se ha negado, por lo demás, que la situación que se discute en el litigio principal está indudablemente comprendida en el ámbito de aplicación de la Directiva 95/46.
63. Por otra parte, a la situación que se discute en el litigio principal pueden aplicársele tanto el artículo 10 de la Directiva 95/46 como su artículo 11. En efecto, como se deduce del análisis precedente, el tratamiento leal de los datos personales de los recurrentes en el litigio principal por parte de la Agencia Tributaria exigía que esta última les informara, en particular, de la transmisión de esos datos a la Caja Nacional, con arreglo al artículo 10, letra c), de la Directiva 95/46. Además, el tratamiento por parte de la Caja Nacional de los datos transmitidos por la Agencia Tributaria exigía igualmente que se informara a aquellos recurrentes, como mínimo, de los fines de ese tratamiento y de las categorías de datos de que se trataba, conforme al artículo 11, apartado 1, letra b) y letra c), de la Directiva 95/46.
64. En segundo lugar, procede señalar que la cuestión planteada por el tribunal remitente (24) no se refiere al tratamiento aplicado por la Agencia Tributaria a los datos personales de que se trata en el litigio principal, ni más concretamente a los requisitos de licitud y de legitimación de dicho tratamiento establecidos en los artículos 6 y 7 de la Directiva 95/46.
65. La cuestión se refiere únicamente a la transmisión de esos datos desde una institución pública a otra, y más concretamente a la transmisión a la Caja Nacional de los datos recogidos por la Agencia Tributaria y al tratamiento de dichos datos por parte de la Caja Nacional, operaciones de las que se afirma, por una parte, que se produjeron sin el consentimiento de los interesados y sin información alguna a los mismos y, por otra, que se llevaron a cabo en aplicación de una normativa nacional que no cumple los requisitos de la Directiva 95/46, y muy especialmente las obligaciones de informar a los interesados establecidas en los artículos 10 y 11 de dicha Directiva.
66. Por lo tanto, la cuarta cuestión prejudicial del tribunal remitente, que ha de analizarse tanto desde el punto de vista de las obligaciones que recaen sobre la Agencia Tributaria como desde el punto de vista de las que recaen sobre la Caja Nacional, debe examinarse teniendo en cuenta esencialmente, en primer lugar, las disposiciones de los artículos 7, 10 y 11 de la Directiva 95/46 y los requisitos, allí establecidos, de consentimiento de las personas a las que concierne el tratamiento de los datos de que se trata y de información a las mismas. Esta cuestión deberá examinarse igualmente, en su caso, a la luz de las disposiciones del artículo 13 de la misma Directiva, que determina las excepciones y las limitaciones del alcance de las obligaciones y derechos recogidos en los artículos 10 y 11, apartado 1, de dicha Directiva.
D. Sobre la observancia de los requisitos de información a los interesados establecidos en los artículos 10 y 11 de la Directiva 95/46
67. Por una parte, ha quedado acreditado que los recurrentes en el litigio principal y, en términos más generales, las personas a las que concierne la transmisión por parte de la Agencia Tributaria a la Caja Nacional de datos personales sobre ellas recogidos por dicha Agencia y el tratamiento de dichos datos por parte de la Caja Nacional no fueron informadas por la Agencia Tributaria de esa transmisión conforme a lo dispuesto en el artículo 10 de la Directiva 95/46. Por otra parte, tales personas no dieron su consentimiento formal, con arreglo al artículo 7, apartado 1, letra a), de la Directiva 95/46, a dicho tratamiento de datos por parte de la Caja Nacional ni fueron informadas del mismo conforme a lo dispuesto en el artículo 11, apartado 1, de esta misma Directiva.
68. En lo que respecta al consentimiento, es evidente que, como han alegado el Gobierno rumano y la Caja Nacional, el tratamiento por parte de esta última de los datos personales de las personas que obtienen ingresos de actividades por cuenta propia está comprendido en el ámbito de aplicación de las disposiciones del artículo 7, letra e), de la Directiva 95/46. Por consiguiente, a este respecto no se requería el consentimiento de esas personas. (25)
69. En efecto, con arreglo a la Ley nº 95/2006, la Caja Nacional tiene la obligación de determinar la condición de asegurados de las personas que obtienen ingresos de actividades por cuenta propia, condición cuyo reconocimiento está supeditado al abono por parte de éstas de sus cotizaciones del seguro de enfermedad a las cajas territoriales del seguro de enfermedad. Así pues, el tratamiento por parte de la Caja Nacional de los datos personales de las personas que obtienen ingresos de actividades por cuenta propia, que le son transmitidos por la Agencia Tributaria, es necesario para determinar la condición de asegurados de éstas y, en definitiva, para que disfruten de los derechos que se derivan de esa condición. De ello se deduce que para el tratamiento de los datos personales de que se trata en el litigio principal no se requería el consentimiento de los interesados.
70. No obstante, incumbe al tribunal remitente asegurarse de que los datos así transmitidos y tratados por la Caja Nacional responden al criterio de necesidad establecido en esa disposición, verificando así que no van más allá de lo que es estrictamente necesario para que la Caja Nacional cumpla su misión. (26)
71. Por lo tanto, la cuestión en la que debe centrarse el análisis es principalmente la de si la transmisión de los datos personales por la Agencia Tributaria y su tratamiento por la Caja Nacional cumplieron los requisitos de información a los interesados establecidos en los artículos 10 y 11 de la Directiva 95/46.
72. Tal como se ha mencionado antes, la transmisión por la Agencia Tributaria a la Caja Nacional de los datos personales de las personas que obtienen ingresos de actividades por cuenta propia y el tratamiento de dichos datos por la Caja Nacional sólo pueden considerarse conformes a las requisitos de la Directiva 95/46 si los interesados fueron informados al respecto con arreglo a lo dispuesto en los artículos 10 y 11, apartado 1, de esta misma Directiva.
73. Más concretamente, correspondía al Estado miembro adoptar las medidas necesarias para que esas dos instituciones, ambas responsables del tratamiento de los datos personales de que se trata en el litigio principal, comunicaran a los interesados la información exigida, la Agencia Tributaria en virtud del artículo 10 de la Directiva 95/46 y la Caja Nacional en virtud del artículo 11 de esta misma Directiva, a menos que, en este último caso, el registro o la comunicación de esos datos estuviera establecido en la ley.
74. A este respecto es necesario poner de relieve que, como indicó la Comisión en la vista, la obligación de informar a las personas a las que concierne el tratamiento de sus datos personales, que garantiza la transparencia de todo tratamiento de esos datos, resulta especialmente importante en la medida en que condiciona el ejercicio del derecho de acceso de los interesados a los datos objeto de tratamiento, establecido en el artículo 12 de la Directiva 95/46, y el ejercicio de su derecho de oposición al tratamiento de esos datos, fijado en el artículo 14 de la misma Directiva.
75. En el presente asunto, consta que la Agencia Tributaria no informó formal e individualmente a los recurrentes en el litigio principal de la transmisión a la Caja Nacional de sus datos personales, y en particular de los datos relativos a sus ingresos, como exige el artículo 10 de la Directiva 95/46. Consta igualmente que, al registrar los datos transmitidos por la Agencia Tributaria, la Caja Nacional tampoco les proporcionó la información enumerada en las letras a) a c) del artículo 11, apartado 1, de la Directiva 95/46.
76. El Gobierno rumano alega sin embargo que, con arreglo a diversas disposiciones del Código de procedimiento fiscal y al artículo 315 de la Ley nº 95/2006, la Agencia Tributaria tiene la obligación de transmitir a las cajas territoriales la información necesaria para que la Caja Nacional determine la «condición de asegurado» de las personas que obtienen ingresos de actividades por cuenta propia y que el importe de las cotizaciones sociales que estas últimas adeudan sólo puede determinarse basándose en la información sobre dichos ingresos que obra en poder de la Agencia Tributaria, ante quien dichas personas deben presentar una declaración de ingresos anual.
77. Siempre según el Gobierno rumano, la ley establece así la obligación de la Caja Nacional de tratar los datos personales de las personas que obtienen ingresos de actividades por cuenta propia, principalmente con objeto de iniciar procedimientos de recaudación en vía de apremio de las cotizaciones no abonadas, y la Agencia Tributaria, por su parte, tiene la obligación de aportar la información sobre los ingresos de dichas personas que sea necesaria al efecto. Dicho Gobierno precisa igualmente que el mecanismo concreto de transmisión de la información de que se trata entre las dos instituciones nacionales se regula en el protocolo de 26 de octubre de 2007, celebrado por estas dos instituciones y expresamente prescrito por el artículo 315 de la Ley nº 95/2006.
78. A este respecto, es preciso comenzar señalando que, en sí mismo, el hecho de que la transmisión de los datos controvertidos se produzca entre instituciones públicas que actúan en cumplimiento de las obligaciones generales de colaboración establecidas por las disposiciones generales de la Ley nº 95/2006 o del Código de procedimiento fiscal no puede eximir al Estado miembro ni a las instituciones de que se trata de las obligaciones de información que les impone la Directiva 95/46.
79. En cualquier caso, el artículo 315 de la Ley nº 95/2006 no puede hacer las veces de una información previa a los interesados en el sentido del artículo 10 de la Directiva 95/46. En efecto, este artículo 315 se refiere a la información relativa a la condición de asegurado, pero no contiene referencia alguna a los ingresos de los interesados, de modo que no cabe considerar que estos últimos estuvieran ya informados, en el sentido del artículo 10 de la Directiva, de la transmisión de los datos relativos a sus ingresos.
80. Ahora bien, la importancia de los datos relativos a los ingresos de los interesados justifica ampliamente que su transmisión a otra institución pública por parte de la institución pública que los recoge sea objeto de una información específica que respete las disposiciones del artículo 10, letras b) y c), de la Directiva 95/46, circunstancia que no concurre en el caso que se examina en el litigio principal.
E. Sobre el cumplimiento de los requisitos del artículo 13 de la Directiva 95/46
81. Llegados a este punto en el análisis de la situación que se discute en el litigio principal, sólo queda ya por examinar si la falta de información a los interesados puede considerarse cubierta por las disposiciones del artículo 13 de la Directiva 95/46, que ofrece a los Estados miembros la posibilidad de establecer excepciones y limitaciones a los derechos y obligaciones recogidos en su artículo 10 y en su artículo 11, apartado 1, así como de limitar su alcance, respetando unas garantías que se corresponden con las que figuran en el artículo 52, apartado 1, de la Carta. (27) Esta disposición implica que esa limitación de la obligación de informar a los interesados debe ser establecida por una medida legal, (28) estar justificada por alguno de los objetivos de interés general enumerados en ella y ser estrictamente proporcionada al objetivo que se persigue.
82. En el presente caso, no se discute que la transmisión por parte de la Agencia Tributaria de los datos necesarios para que la Caja Nacional determine la condición de asegurado de las personas que obtienen ingresos de actividades por cuenta propia, al igual, por lo demás, que el tratamiento por parte de esta última de la información así transmitida, podrían revelarse necesarios para la salvaguardia de un interés económico o financiero importante en materia fiscal del Estado miembro de que se trata, en el sentido del artículo 13, apartado 1, letra e), de la Directiva 95/46.
83. Sin embargo, no se deduce ni de la resolución de remisión ni de las observaciones escritas y orales del Gobierno rumano ante el Tribunal de Justicia que la legislación nacional aplicable en el asunto que se examina en el litigio principal contenga disposiciones legales que eximan clara y expresamente a la Agencia Tributaria o a la Caja Nacional de sus obligaciones de información.
84. A este respecto, no cabe acoger la alegación formulada por el Gobierno rumano, según la cual las disposiciones legales que obligan a la Agencia Tributaria a transmitir a la Caja Nacional los datos necesarios para el cumplimiento de su misión y el protocolo de 26 de octubre de 2007 celebrado entre estas dos instituciones, que regula esa transmisión, constituyen la «medida legal» exigida por el artículo 13, apartado 1, de la Directiva 95/46 para establecer una excepción a la obligación de información que recae en los responsables del tratamiento de datos personales.
85. En efecto, es evidente que, como puso de relieve la Comisión, el protocolo de 26 de octubre de 2007 invocado por el Gobierno rumano no cumple el primero de estos requisitos, pues no puede asimilarse en absoluto a una medida legal de alcance general, debidamente publicada y oponible a las personas a las que concierne la transmisión de los datos controvertidos.
86. Por consiguiente, considero que procede responder a la cuarta cuestión prejudicial del tribunal remitente declarando que la Directiva 95/46 debe interpretarse en el sentido de que se opone a una normativa nacional, como la controvertida en el litigio principal, que permite que una institución pública de un Estado miembro trate datos personales que le han sido transmitidos por otra institución pública, y en particular datos relativos a los ingresos de los interesados, sin que estos últimos hayan sido previamente informados ni de la transmisión ni del tratamiento de esos datos.
VI. Conclusión
87. Habida cuenta del análisis que he ido exponiendo en los puntos anteriores, propongo al Tribunal de Justicia que responda en los siguientes términos a las cuestiones prejudiciales planteadas por la Curtea de Apel Cluj:
«1) Procede declarar la inadmisibilidad de las tres primeras cuestiones prejudiciales sobre la interpretación del artículo 124 TFUE.
2) La Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que se opone a una normativa nacional, como la controvertida en el litigio principal, que permite que una institución pública de un Estado miembro trate datos personales que le han sido transmitidos por otra institución pública, y en particular datos relativos a los ingresos de los interesados, sin que estos últimos hayan sido previamente informados ni de la transmisión ni del tratamiento de esos datos.»