DOMSTOLENS DOM (Tredje Afdeling)
1. oktober 2015 (*)
»Præjudiciel forelæggelse – direktiv 95/46/EF – behandling af personoplysninger – artikel 10 og 11 – oplysninger til de registrerede – artikel 13 – undtagelser og begrænsninger – en offentlig myndighed i en medlemsstats overførsel af personlige skatteoplysninger med henblik på disses behandling hos en anden offentlig myndighed«
I sag C-201/14,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Curtea de Apel Cluj (appelretten i Cluj, Rumænien) ved afgørelse af 31. marts 2014, indgået til Domstolen den 22. april 2014, i sagen:
Smaranda Bara m.fl.
mod
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF),
har
DOMSTOLEN (Tredje Afdeling)
sammensat af afdelingsformanden, M. Ilešič, og dommerne A. Ó Caoimh, C. Toader, E. Jarašiūnas og C.G. Fernlund (refererende dommer),
generaladvokat: P. Cruz Villalón
justitssekretær: fuldmægtig L. Carrasco Marco,
på grundlag af den skriftlige forhandling og efter retsmødet den 29. april 2015,
efter at der er afgivet indlæg af:
– Smaranda Bara m.fl. ved avocați C.F. Costaş og K. Kapcza
– Casa Naţională de Asigurări de Sănătate ved V. Ciurchea, som befuldmægtiget
– den rumænske regering ved R.H. Radu, A. Buzoianu, A.-G. Văcaru og D.M. Bulancea, som befuldmægtigede
– den tjekkiske regering ved M. Smolek og J. Vláčil, som befuldmægtigede
– Europa-Kommissionen ved I. Rogalski, B. Martenczuk og J. Vondung, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 9. juli 2015,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 124 TEUF samt artikel 10, 11 og 13 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31).
2 Anmodningen er blevet indgivet i forbindelse med en tvist mellem Smaranda Bara m.fl. og Președintele Casei Naționale de Asigurări de Sănătate (formanden for det nationale sygeforsikringsinstitut), Casa Națională de Asigurări de Sănătate (det nationale sygeforsikringsinstitut, herefter »CNAS«) og Agenția Națională de Administrare Fiscală (skattestyrelsen, herefter »ANAF«) vedrørende behandling af bestemte oplysninger.
Retsforskrifter
EU-retten
3 Artikel 2 i direktiv 95/46 med overskriften »Definitioner« fastsætter:
»I dette direktiv forstås ved:
a) »personoplysninger« enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, bl.a. ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
b) »behandling af personoplysninger« (»behandling«) enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse
c) »register med personoplysninger« (»register«) enhver struktureret samling af personoplysninger, der er tilgængelige efter bestemte kriterier, hvad enten denne samling er placeret centralt, decentralt eller er fordelt på et funktionsbestemt eller geografisk grundlag
d) »den registeransvarlige« den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; er formålet med og hjælpemidlerne ved behandlingen fastlagt ved nationale love eller forskrifter eller på fællesskabsplan, kan den registeransvarlige, eller de specifikke kriterier for udpegelse af denne, angives i den pågældende nationale ret eller i fællesskabsretten
[...]«
4 Dette direktivs artikel 3 med overskriften »Anvendelsesområde« har følgende ordlyd:
»1. Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
2. Dette direktiv gælder ikke for sådan behandling af personoplysninger,
– som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f. eks. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og under ingen omstændigheder for behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område
– som foretages af en fysisk person med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter.«
5 Nævnte direktivs artikel 6, der omhandler principperne vedrørende oplysningernes pålidelighed, bestemmer:
»1. Medlemsstaterne fastsætter bestemmelser om, at personoplysninger
a) skal behandles rimeligt og lovligt
b) skal indsamles til udtrykkeligt angivne og legitime formål, samt at senere behandling heraf ikke må være uforenelig med disse formål; senere behandling af oplysninger i historisk, statistisk eller videnskabeligt øjemed anses ikke for at være uforenelig med disse formål, såfremt medlemsstaterne giver de fornødne garantier
c) skal være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de indsamles, og til de formål, hvortil de senere behandles
d) skal være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at slette eller berigtige oplysninger, der er urigtige eller ufuldstændige i forhold til det formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt
e) ikke må opbevares på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt[; m]edlemsstaterne fastsætter de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end i ovennævnte periode.
2. Det påhviler den registeransvarlige at sikre, at bestemmelserne i stk. 1 overholdes.«
6 Samme direktivs artikel 7, der omhandler principperne vedrørende grundlaget for behandling af oplysningerne, bestemmer:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted hvis:
a) der ikke hersker tvivl om, at den registrerede har givet sit samtykke, eller
b) behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på dennes anmodning forud for indgåelsen af en sådan kontrakt, eller
c) behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige, eller
d) behandlingen er nødvendig for at beskytte den registreredes vitale interesser, eller
e) behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den registeransvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt, eller
f) behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«
7 Artikel 10 i direktiv 95/46 med overskriften »Oplysningspligt ved indsamling af oplysninger hos den registrerede« bestemmer:
»Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige eller dennes repræsentant skal give den person, hos og om hvem der indsamles oplysninger, mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder, hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:
a) den registeransvarliges og eventuelt dennes repræsentants identitet
b) formålene med den behandling, hvortil personoplysningerne er bestemt
c) alle yderligere informationer som f. eks.
– modtagerne eller kategorierne af modtagere
– om det er obligatorisk eller frivilligt at besvare spørgsmålene samt mulige følger af ikke at svare
– hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede.«
8 Direktivet artikel 11 med overskriften »Oplysningspligt, når oplysningerne ikke er indsamlet hos den registrerede« har følgende ordlyd:
»1. Når oplysningerne ikke er indsamlet hos den registrerede, fastsætter medlemsstaterne bestemmelser om, at den registeransvarlige eller dennes repræsentant allerede ved registreringen af oplysningerne, eller senest når oplysningerne første gang videregives til tredjemand, skal give den registrerede mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder, hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:
a) den registeransvarliges og eventuelt dennes repræsentants identitet
b) formålene med behandlingen
c) alle yderligere informationer som f.eks.:
– hvilken type oplysninger det drejer sig om
– modtagerne eller kategorierne af modtagere
– hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede.
2. Bestemmelserne i stk. 1 finder ikke anvendelse, navnlig ikke når behandlingen foretages i statistisk øjemed eller til historiske eller videnskabelige forskningsformål, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssig vanskelig, eller registreringen eller videregivelsen af oplysningerne er udtrykkeligt fastsat ved lov. I sådanne tilfælde fastsætter medlemsstaterne de fornødne garantier.«
9 Nævnte direktivs artikel 13 med overskriften »Undtagelser og begrænsninger« bestemmer:
»1. Medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 6, stk. 1, artikel 10, artikel 11, stk. 1, samt artikel 12 og 21, hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til:
a) statens sikkerhed
b) forsvaret
c) den offentlige sikkerhed
d) forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv
e) væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller Den Europæiske Union, herunder valuta-, budget- og skatteanliggender
f) en kontrol-, tilsyns- eller reguleringsopgave, selv af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i litra c), d) og e) nævnte områder
g) beskyttelsen af den registreredes interesser eller andres rettigheder og frihedsrettigheder.
2. Medlemsstaterne kan med forbehold af de fornødne lovhjemlede garantier, navnlig for at oplysningerne ikke anvendes til at træffe foranstaltninger eller afgørelser vedrørende bestemte personer, i tilfælde, hvor der klart ikke er nogen risiko for, at den registreredes ret til privatlivets fred krænkes, ved lov begrænse de i artikel 12 omhandlede rettigheder, hvis oplysningerne udelukkende behandles med videnskabelig forskning for øje eller kun opbevares i form af personoplysninger i det tidsrum, som kræves for at udarbejde statistikker.«
Rumænsk ret
Lov nr. 95/2006
10 Det fremgår af forelæggelsesafgørelsen, at artikel 215 i lov nr. 95/2006 om reform på sundhedsområdet (Legea nr. 95/2006 privind reforma în domeniul sănătății) af 14. april 2006 (Monitorul Oficial al României, del I, nr. 372, af 28.4.2006), bestemmer:
»(1) Sygeforsikringsbidrag skal betales af den fysiske eller juridiske person, som ansætter personer i henhold til en individuel arbejdskontrakt eller en lovbestemt særlig ordning, samt eventuelt af fysiske personer.
(2) De juridiske eller fysiske personer, for hvilke de forsikrede udfører arbejde, skal til de af de forsikrede frit valgte sygeforsikringer foretage en månedlig indberetning med angivelse af den forsikredes navn vedrørende vedkommendes forpligtelser over for fonden og bevis for, at bidragene er indbetalt.
[…]«
11 Lovens artikel 315 bestemmer:
»Myndighederne, offentlige institutioner og andre institutioner overfører vederlagsfrit de oplysninger, som er nødvendige for at fastlægge status som forsikret, til sygeforsikringerne i medfør af protokollen.«
Dekret nr. 617/2007 fra formanden for CNAS
12 Artikel 35 i dekret nr. 617/2007 fra formanden for CNAS af 13. august 2007 om reglerne for udarbejdelse af dokumentation for at opnå status som forsikret eller som forsikret uden bidragspligt og om anvendelse af fuldbyrdelsesforanstaltninger med henblik på opkrævning af skyldige beløb til den samlede nationale sygeforsikringsfond (Monitorul Oficial al României, del I, nr. 649, af 24.9.2007) bestemmer:
»[...] [F]or så vidt angår pligten til indbetaling til fonden for andre fysiske personer, som er forsikret ved forsikringsaftaler, end dem, for hvilke indtægter beskattes af ANAF – udgøres gældsforpligtelsen alt efter omstændighederne af angivelsen i […] skatteansættelsen udarbejdet af det kompetente organ inden for CAS [sygeforsikringen] eller i retsafgørelser vedrørende fondens tilgodehavender. Skatteansættelsen kan udstedes af det kompetente organ inden for CAS og på grundlag af oplysningerne modtaget fra ANAF på basis af en protokol.«
2007-protokollen
13 I henhold til artikel 4 i protokol nr. P 282/26.10.2007/95896/30.10.2007 indgået mellem CNAS og ANAF (herefter »2007-protokollen«) gælder:
»Efter ikrafttrædelsen af denne protokol leverer [ANAF], gennem de relevante underordnede strukturer, elektronisk den oprindelige database vedrørende:
a. indtægter oppebåret af personer i kategorierne i artikel l, stk. l, i denne protokol – og en kvartalsvis opdatering af denne database – til [CNAS], på et datamedium, som er kompatibelt med edb-behandling, i henhold til bilag nr. l til denne protokol […]
[...]«
Tvisten i hovedsagen og de præjudicielle spørgsmål
14 Sagsøgerne i hovedsagen er personer, der oppebærer indtægter fra selvstændig erhvervsvirksomhed. ANAF har overført oplysninger om deres angivne indtægter til CNAS. På grundlag af disse oplysninger har CNAS krævet efterbetaling af deres bidrag til sygeforsikringsordningen.
15 Sagsøgerne i hovedsagen har anlagt sag ved appelretten i Cluj, hvormed de under hensyntagen til direktiv 95/46 anfægter lovligheden af videregivelsen af skatteoplysninger vedrørende deres indtægter. Sagsøgerne har gjort gældende, at disse personoplysninger på grundlag af en simpel intern protokol er blevet overført og anvendt til andre formål end det formål, hvortil de oprindeligt var blevet indberettet til ANAF, uden sagsøgernes udtrykkelige samtykke, og uden at de forinden var blevet oplyst herom.
16 Det fremgår af forelæggelsesafgørelsen, at offentlige institutioner i henhold til lov nr. 95/2006 har beføjelse til at videregive personoplysninger til sygeforsikringerne, således at disse sidstnævnte kan fastlægge de pågældende personers status som forsikrede. Disse oplysninger vedrører identifikation af personerne (for- og efternavn, personnummer, bopæl), men ikke oplysninger om oppebårne indtægter.
17 Den forelæggende ret ønsker oplyst, om CNAS’ behandling af oplysningerne nødvendiggjorde, at de registrerede forudgående skulle være blevet oplyst om identiteten på den registeransvarlige og formålet med videregivelsen af oplysningerne. Den forelæggende ret skal også tage stilling til, hvorvidt videregivelsen af oplysningerne på grundlag af 2007-protokollen er i strid med bestemmelserne i direktiv 95/46, der kræver, at enhver restriktion af de registreredes rettigheder skal være fastsat ved lov og være forbundet med garantier, bl.a. når oplysningerne bruges imod disse personer.
18 Under disse omstændigheder har appelretten i Cluj besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Udgør den nationale skattemyndighed – i sin egenskab af organ, der repræsenterer det kompetente ministerium i en medlemsstat – en finansiel institution som omhandlet i artikel 124 TEUF?
2) Er det muligt ved en retsakt, som sidestilles med forvaltningsretsakter – dvs. en protokol indgået mellem den nationale skattemyndighed og en anden statslig institution – at regulere overførsel af databasen vedrørende indtægter oppebåret af en medlemsstats statsborgere fra den nationale skattemyndighed til en anden institution i medlemsstaten, uden at der er tale om privilegeret adgang som omhandlet i artikel 124 TEUF?
3) Henhører en overførsel af databasen med det formål at pålægge medlemsstatens statsborgere en pligt til at indbetale et socialt bidrag til den institution i medlemsstaten, hvortil overførslen sker, under begrebet »tilsynsmæssigt hensyn« som omhandlet i artikel 124 TEUF?
4) Kan personoplysninger behandles af den myndighed, hvortil de oprindeligt ikke er blevet indsamlet, såfremt en sådan behandling med tilbagevirkende kraft medfører en økonomisk skade?«
Om de præjudicielle spørgsmål
Formaliteten
Formaliteten med hensyn til første til tredje spørgsmål
19 I henhold til fast retspraksis kan Domstolen afslå at træffe afgørelse vedrørende et præjudicielt spørgsmål fra en national retsinstans, når det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er af hypotetisk karakter, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en saglig korrekt besvarelse af de stillede spørgsmål (jf. dom PreussenElektra, C-379/98, EU:C:2001:160, præmis 39 og den deri nævnte retspraksis).
20 I alle de indlæg, der er indgivet til Domstolen, er det blevet anført, at første til tredje præjudicielle spørgsmål vedrørende fortolkningen af artikel 124 TEUF ikke kan antages til realitetsbehandling, fordi de ikke har nogen forbindelse med hovedsagens genstand.
21 I denne henseende skal der mindes om, at artikel 124 TEUF hører til bestemmelserne i EUF-traktatens afsnit VIII, tredje del, om den økonomiske og monetære politik. Denne artikel forbyder enhver foranstaltning, der ikke er baseret på tilsynsmæssige hensyn, og hvorved der gives EU-institutioner, ‑organer, ‑kontorer eller ‑agenturer, centralregeringer, regionale, lokale eller andre offentlige myndigheder, andre organer inden for den offentlige sektor eller offentlige foretagender i medlemsstaterne privilegeret adgang til finansielle institutioner.
22 Dette forbud har sin oprindelse i EF-traktatens artikel 104 A (senere artikel 101 EF), som blev indsat i EF-traktaten ved Maastrichttraktaten. Det udgør en del af EUF-traktatens bestemmelser om den økonomiske politik, der har til formål at tilskynde medlemsstaterne til at følge en sund budgetpolitik ved at undgå, at monetær finansiering af offentlige underskud eller gunstigere vilkår for offentlige myndigheders lånoptagelse på de finansielle markeder fører til alt for store budgetunderskud eller alt for stor gæld hos medlemsstaterne (jf. i denne retning dom Gauweiler m.fl., C-62/14, EU:C:2015:400, præmis 100).
23 Det er således åbenlyst, at den ønskede fortolkning af artikel 124 TEUF savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, der omhandler beskyttelsen af personoplysninger.
24 Det følger heraf, at det er ufornødent at besvare det første til det tredje spørgsmål.
Formaliteten med hensyn til det fjerde spørgsmål
25 CNAS og den rumænske regering har gjort gældende, at det fjerde spørgsmål ikke kan antages til realitetsbehandling. Den rumænske regering har gjort gældende, at der ikke er nogen forbindelse mellem den skade, som sagsøgerne i hovedsagen har gjort gældende, og annullationen af de i hovedsagen anfægtede administrative retsakter.
26 I denne henseende skal det bemærkes, at der ifølge Domstolens faste praksis foreligger en formodning for, at de spørgsmål om en fortolkning af EU-retten, som den nationale ret har stillet på det retlige og faktiske grundlag, som den har fastlagt inden for sit ansvarsområde, er relevante, hvorfor det ikke tilkommer Domstolen at efterprøve rigtigheden heraf. Domstolen kan kun afvise en anmodning om en præjudiciel afgørelse fra en national ret, såfremt det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er af hypotetisk karakter, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en sagligt korrekt besvarelse af de stillede spørgsmål (jf. dom Fish Legal og Shirley, C-279/12, EU:C:2013:853, præmis 30 og den deri nævnte retspraksis).
27 Det skal bemærkes, at hovedsagen vedrører lovligheden af behandling af skatteoplysninger indsamlet af ANAF. Den forelæggende ret er i tvivl om fortolkningen af bestemmelserne i direktiv 95/46 i forbindelse med legalitetskontrollen af videregivelsen af disse oplysninger til CNAS og af deres efterfølgende behandling. Det fjerde præjudicielle spørgsmål er således relevant og tilstrækkeligt præcist til, at Domstolen kan besvare det på en hensigtsmæssig måde. Således kan anmodningen om præjudiciel forelæggelse antages til realitetsbehandling for så vidt angår det fjerde spørgsmål.
Om realiteten
28 Med det fjerde spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 10, 11 og 13 i direktiv 95/46 skal fortolkes således, at de er til hinder for nationale foranstaltninger som de i hovedsagen omhandlede, som tillader en offentlig myndighed i en medlemsstat at videregive personoplysninger til en anden offentlig myndighed og den efterfølgende behandling af oplysningerne, uden at de registrerede på forhånd er blevet underrettet om denne videregivelse og denne behandling.
29 Det skal i denne forbindelse på grundlag af de af den forelæggende ret fremlagte oplysninger fastslås, at de skatteoplysninger, som er blevet overført fra ANAF til CNAS, er personoplysninger som omhandlet i nævnte direktivs artikel 2, litra a), idet der er tale om »information om en identificeret eller identificerbar fysisk person« (dom Satakunnan Markkinapörssi og Satamedia, C-73/07, EU:C:2008:727, præmis 35). Såvel den videregivelse, som ANAF – den organisation, der var ansvarlig for forvaltning af den database, der samler oplysningerne – som CNAS’ efterfølgende behandling af disse har således karakter af »behandling af personoplysninger« som omhandlet i nævnte direktivs artikel 2, litra b) (jf. i denne retning bl.a. domme Österreichischer Rundfunk m.fl., C-465/00, C-138/01 og C-139/01, EU:C:2003:294, præmis 64, og Huber, C-524/06, EU:C:2008:724, præmis 43).
30 Ifølge de bestemmelser, der er indeholdt i kapitel II i direktiv 95/46 under overskriften »Almindelige betingelser for lovlig behandling af personoplysninger«, skal enhver behandling af personoplysninger – med forbehold af de i artikel 13 tilladte fravigelser – foregå i overensstemmelse med principperne vedrørende oplysningernes pålidelighed, der er fastsat i direktivets artikel 6, og skal opfylde et af de i direktivets artikel 7 opregnede principper vedrørende grundlaget for behandling af oplysninger (domme Österreichischer Rundfunk m.fl., C-465/00, C-138/01 og C-139/01, EU:C:2003:294, præmis 65, Huber, C-524/06, EU:C:2008:724, præmis 48, og ASNEF og FECEMD, C-468/10 og C-469/10, EU:C:2011:777, præmis 26).
31 Derudover er den registeransvarlige eller dennes repræsentant underlagt en underretningsforpligtelse, hvis nærmere detaljer, som er indeholdt i artikel 10 og 11 i direktiv 95/46, varierer alt efter om oplysningerne er indsamlet, henholdsvis ikke indsamlet hos den registrerede – med forbehold af de i artikel 13 tilladte fravigelser.
32 Hvad for det første angår nævnte direktivs artikel 10 bestemmer denne, at den registeransvarlige skal give den person, hos og om hvem der indsamles oplysninger, de informationer, der er opregnet i denne artikels litra a)-c), medmindre den pågældende allerede er bekendt hermed. Disse oplysninger omfatter den registreredes identitet, formålene med den behandling, hvortil oplysningerne er bestemt, samt alle yderligere informationer, der er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne. Blandt de yderligere informationer, som er nødvendige for at sikre en rimelig behandling af oplysningerne, nævner samme direktivs artikel 10, litra c), udtrykkeligt »modtagerne eller kategorierne af modtagere« samt, »hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den [pågældende] registrerede«.
33 Som generaladvokaten har anført i punkt 74 i forslaget til afgørelse, er dette krav om underretning af de registrerede, hvis personoplysninger behandles, så meget desto vigtigere, som det er en nødvendig betingelse for, at de pågældende personer kan udøve deres ret til indsigt i og til at foretage berigtigelse af de behandlede oplysninger, som er fastsat i artikel 12 i direktiv 95/46, og til at gøre deres ret til indsigelse mod behandlingen af disse oplysninger, som er omhandlet i direktivets artikel 14, gældende.
34 Heraf følger, at kravet om rimelig behandling af personoplysninger i artikel 6 i direktiv 95/46 forpligter en offentlig myndighed til at underrette de registrerede om videregivelsen af oplysninger til en anden offentlig myndighed med henblik på disses behandling hos myndigheden i dennes egenskab af modtager af de nævnte oplysninger.
35 Det fremgår af den forelæggende rets forklaringer, at sagsøgerne i hovedsagen ikke af ANAF er blevet underrettet om videregivelsen af personoplysninger, der er registreret om dem, til CNAS.
36 Den rumænske regering har imidlertid gjort gældende, at ANAF bl.a. i henhold til artikel 315 i lov nr. 95/2006 har pligt til at videregive de oplysninger til de territoriale sygeforsikringer, der er nødvendige for, at CNAS kan fastslå status som forsikret for personer, der oppebærer indtægter fra selvstændig erhvervsvirksomhed.
37 Ganske vidst er det rigtigt, at artikel 315 i lov nr. 95/2006 udtrykkelig bestemmer, at »[m]yndighederne, offentlige institutioner og andre institutioner […] vederlagsfrit [overfører] de oplysninger, som er nødvendige for at fastlægge status som forsikret, til sygeforsikringerne i medfør af protokollen«. Imidlertid fremgår det af de forklaringer, der er givet af den forelæggende ret, at de oplysninger, som er nødvendige for at fastlægge status som forsikret som omhandlet i den nævnte bestemmelse, ikke omfatter oplysninger om indtægt, idet loven også anerkender status som forsikret for personer uden skattepligtig indkomst.
38 Under sådanne omstændigheder kan artikel 315 i lov nr. 95/2006 ikke udgøre en forudgående underretning som omhandlet i artikel 10 i direktiv 95/46, der fritager den registeransvarlige fra sin forpligtelse til at underrette de personer, hos hvem der indsamles oplysninger om deres indtægt, om modtageren af disse oplysninger. Det kan således ikke konkluderes, at den pågældende videregivelse er foretaget under overholdelse af bestemmelserne i artikel 10 i direktiv 95/46.
39 Det skal undersøges, hvorvidt denne manglende underrettelse af de registrerede kan være omfattet af nævnte direktivs artikel 13. Det fremgår nemlig af artikel 13, stk. 1, litra e) og f), at medlemsstaterne kan begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i samme direktivs artikel 10, hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til »væsentlige økonomiske eller finansielle interesser hos en medlemsstat […], herunder valuta-, budget- og skatteanliggender« samt »en kontrol-, tilsyns- eller reguleringsopgave, selv af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i litra c), d) og e) nævnte områder«. Nævnte artikel 13 kræver dog udtrykkeligt, at sådanne begrænsninger træffes ved lovmæssige foranstaltninger.
40 Bortset fra den omstændighed, som den forelæggende ret har henvist til, at oplysninger om indtægt ikke henhører under de personoplysninger, som er nødvendige for at fastlægge status som forsikret, skal det understreges, at artikel 315 i lov nr. 95/2006 i princippet kun omhandler videregivelsen af de sidstnævnte personoplysninger, som myndigheder, offentlige institutioner og andre institutioner er i besiddelse af. Det fremgår ligeledes af forelæggelsesafgørelsen, at fastlæggelsen af de oplysninger, der må videregives, såvel som retningslinjerne for videregivelse af disse oplysninger, ikke er blevet fastsat via en lovmæssig foranstaltning, men via 2007-protokollen indgået mellem ANAF og CNAS, der ikke er blevet bekendtgjort officielt.
41 Under sådanne omstændigheder kan det ikke konkluderes, at de betingelser, der stilles i artikel 13 i direktiv 95/46, for, at en medlemsstat kan afvige fra de forpligtelser og rettigheder, der følger af direktivets artikel 10, er opfyldt.
42 Hvad for det andet angår nævnte direktivs artikel 11 bestemmer denne i stk. 1, at den registeransvarlige for oplysninger, der ikke er indsamlet hos den registrerede, skal give den registrerede de informationer, der er opregnet i litra a)-c). Disse informationer vedrører den registeransvarliges identitet, formålene med behandlingen samt alle yderligere informationer, som er nødvendige for at sikre en rimelig behandling af oplysningerne. Blandt disse yderligere informationer nævnes udtrykkeligt i samme direktivs artikel 11, stk. 1, litra c), »hvilken type oplysninger det drejer sig om«, samt »hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede«.
43 Heraf følger, at CNAS’ behandling af de af ANAF videregivne oplysninger, under omstændigheder som de i hovedsagen foreliggende, i overensstemmelse med artikel 11, stk. 1, litra b) og c), i direktiv 95/46 indebærer, at de registrerede, som er berørt af behandlingen af oplysningerne, skulle være blevet underrettet om formålene med den pågældende behandling og de berørte kategorier af oplysninger.
44 Imidlertid fremgår det af den forelæggende rets bemærkninger, at CNAS ikke har givet sagsøgerne i hovedsagen de informationer, der er opregnet i det nævnte direktivs artikel 11, stk. 1, litra a)-c).
45 Det bør tilføjes, at bestemmelserne i artikel 11, stk. 1, i direktiv 95/46, i overensstemmelse med direktivets artikel 11, stk. 2, ikke finder anvendelse, bl.a. når registreringen eller videregivelsen af oplysningerne er udtrykkeligt fastsat ved lov, idet medlemsstaterne i så fald fastsætter de fornødne garantier. Af de grunde, der er nævnt i denne doms præmis 40 og 41, kan bestemmelserne i lov nr. 95/2006, som den rumænske regering har påberåbt sig, og 2007-protokollen hverken anses for at henhøre under den fravigelsesordning, der følger af artikel 11, stk. 2, eller den, der fremgår af artikel 13 i nævnte direktiv.
46 Henset til samtlige ovenstående betragtninger skal det forelagte spørgsmål besvares med, at artikel 10, 11 og 13 i direktiv 95/46 skal fortolkes således, at de er til hinder for nationale foranstaltninger som de i hovedsagen omhandlede, som tillader en offentlig myndighed i en medlemsstat at videregive personoplysninger til en anden offentlig myndighed og den efterfølgende behandling af oplysningerne, uden at de registrerede på forhånd er blevet underrettet om denne videregivelse og denne behandling.
Sagens omkostninger
47 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den nationale ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret:
Artikel 10, 11 og 13 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at de er til hinder for nationale foranstaltninger som de i hovedsagen omhandlede, som tillader en offentlig myndighed i en medlemsstat at videregive personoplysninger til en anden offentlig myndighed og den efterfølgende behandling af oplysningerne, uden at de registrerede på forhånd er blevet underrettet om denne videregivelse og denne behandling.
Underskrifter