ROZSUDEK SOUDNÍHO DVORA (třetího senátu)
1. října 2015 (*)
„Řízení o předběžné otázce – Směrnice 95/46/ES – Zpracování osobních údajů – Články 10 a 11 – Informování subjektů údajů – Článek 13 – Výjimky a omezení – Předání osobních daňových údajů orgánem veřejné správy členského státu za účelem jejich zpracování jiným orgánem veřejné správy“
Ve věci C‑201/14,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podaná rozhodnutím Curtea de Apel Cluj (Rumunsko) ze dne 31. března 2014, došlým Soudnímu dvoru dne 22. dubna 2014, v řízení
Smaranda Bara a další
proti
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF),
SOUDNÍ DVŮR (třetí senát),
ve složení M. Ilešič, předseda senátu, A. Ó Caoimh, C. Toader, E. Jarašiūnas a C. G. Fernlund (zpravodaj), soudci,
generální advokát: P. Cruz Villalón,
vedoucí soudní kanceláře: L. Carrasco Marco, rada,
s přihlédnutím k písemné části řízení a po jednání konaném dne 29. dubna 2015,
s ohledem na vyjádření předložená:
– za S. Bara a další C. F. Costaşem a K. Kapczou, avocați,
– za Casa Naţională de Asigurări de Sănătate V. Ciurcheou, jako zmocněncem,
– za rumunskou vládu R. H. Raduem, jakož i A. Buzoianu, A.-G. Văcaru a D. M. Bulancea, jako zmocněnci,
– za českou vládu M. Smolkem a J. Vláčilem, jako zmocněnci,
– za Evropskou komisi I. Rogalskim a B. Martenczukem, jakož i J. Vondung, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 9. července 2015,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu článku 124 SFEU, jakož i článků 10, 11 a 13 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. L 281, s. 31; Zvl. vyd. 13/15, s. 355).
2 Tato žádost byla podána v rámci sporu mezi S. Bara a dalšími na jedné straně a Președintele Casei Naționale de Asigurări de Sănătate (předsedou Státního fondu sociálního zabezpečení), Casa Națională de Asigurări de Sănătate (Státním fondem sociálního zabezpečení, dále jen „CNAS“) a Agenția Națională de Administrare Fiscală (Státní agenturou pro správu daní a poplatků, dále jen „ANAF“) na straně druhé ve věci zpracování určitých údajů.
Právní rámec
Unijní právo
3 Článek 2 směrnice 95/46, nadepsaný „Definice“, zní:
„Pro účely této směrnice se rozumí:
a) ‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné osobě (subjekt údajů); identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity;
b) ‚zpracováním osobních údajů‘ (‚zpracování‘) jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace;
c) ‚rejstříkem osobních údajů‘ (‚rejstřík‘) jakýkoli uspořádaný soubor osobních údajů přístupných podle určených kritérií, ať již je tento soubor centralizován, decentralizován nebo rozdělen podle funkčního či zeměpisného hlediska;
d) ‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů; jsou-li účel a prostředky zpracování určeny právními a správními předpisy na úrovni jednotlivých států či Společenství, je možné určit správce nebo zvláštní kritéria pro jeho určení právem jednotlivých států nebo Společenství;
[…]“
4 Článek 3 této směrnice, nadepsaný „Oblast působnosti“, zní takto:
„1. Tato směrnice se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů, jakož i na neautomatizované zpracování osobních údajů, které jsou obsaženy v rejstříku nebo do něj mají být zařazeny.
2. Tato směrnice se nevztahuje na zpracování osobních údajů:
– prová[d]ěné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva,
– prováděné fyzickou osobou pro výkon výlučně osobních či domácích činností.“
5 Článek 6 uvedené směrnice, který se týká zásad pro kvalitu údajů, stanoví:
„1. Členské státy stanoví, že osobní údaje musejí být:
a) zpracovány korektně a zákonným způsobem;
b) shromažďovány pro stanovené účely, výslovně vyjádřené a legitimní, a nesmějí být dále zpracovávány způsobem neslučitelným s těmito účely. Další zpracování pro historické, statistické nebo vědecké účely není považováno za neslučitelné, pokud členské státy poskytnou vhodná ochranná opatření;
c) přiměřené, podstatné a nepřesahující míru s ohledem na účely, pro které jsou shromažďovány a/nebo dále zpracovávány;
d) přesné, a je-li to nezbytné, i aktualizované; musí být přijata veškerá rozumná opatření, aby nepřesné nebo neúplné údaje s ohledem na účely, pro které byly shromažďovány nebo dále zpracovávány, byly vymazány nebo opraveny;
e) uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší než je nezbytné pro uskutečnění cílů, pro které jsou shromažďovány nebo dále zpracovávány. Členské státy stanoví vhodná ochranná opatření pro osobní údaje, které jsou uchovávány po dobu delší[,] než je uvedeno výše[,] pro historické, statistické či vědecké účely.
2. Dodržování odstavce 1 zajistí správce.“
6 V článku 7 téže směrnice, který se týká zásad pro oprávněné zpracování údajů, je uvedeno:
„Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:
a) subjekt údajů nezpochybnitelně udělil souhlas; nebo
b) je zpracování nezbytné pro splnění smlouvy, kde je subjekt údajů jednou ze stran, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu; nebo
c) je nezbytné pro splnění právní povinnosti, které podléhá správce; nebo
d) je nezbytné pro zachování životně důležitých zájmů subjektu údajů; nebo
e) je nezbytné pro vykonání úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce nebo třetí osoba, které jsou údaje sdělovány; nebo
f) je nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů, které vyžadují ochranu podle čl. 1 odst. 1.“
7 V článku 10 směrnice 95/46, nadepsaném „Informování v případě shromažďování údajů od subjektu údajů“, je uvedeno:
„Členské státy stanoví, že správce nebo jeho zástupce musí poskytnout osobě, od které získává údaje, které se jí týkají, alespoň dále uvedené informace, ledaže s nimi subjekt údajů již byl seznámen:
a) totožnost správce a popřípadě jeho zástupce;
b) účely zpracování, pro které jsou údaje určeny;
c) veškeré doplňující informace jako:
– příjemci nebo kategorie příjemců údajů,
– skutečnost, zda jsou odpovědi na otázky povinné nebo dobrovolné a případné důsledky neposkytnutí odpovědi,
– existence práva na přístup k údajům, které se subjektu údajů týkají, a právo na jejich opravu,
v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů vůči subjektu údajů, s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány.“
8 Článek 11 této směrnice, nadepsaný „Informování v případě, že údaje neposkytuje subjekt údajů“, zní takto:
„1. Pokud údaje neposkytuje subjekt údajů, stanoví členské státy, že správce nebo jeho zástupce musí po zaznamenání údajů nebo, počítá-li se se sdělením údajů třetí osobě, nejpozději při jejich prvním sdělení poskytnout subjektu údajů alespoň dále uvedené informace, ledaže s nimi subjekt údajů již byl seznámen:
a) totožnost správce, popřípadě jeho zástupce;
b) účely zpracování;
c) veškeré doplňující informace jako:
– kategorie dotčených údajů;
– příjemci nebo kategorie příjemců údajů;
– existence práva na přístup k údajům, které se subjektu údajů týkají, a právo na jejich opravu,
v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů vůči subjektu údajů s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány.
2. Odstavec 1 se nepoužije, ukáže-li se, zejména u zpracování pro účely statistiky nebo historických či vědeckých výzkumů, že informování subjektu údajů není možné nebo by vyžadovalo neúměrné úsilí, nebo pokud právní předpisy výslovně upravují zaznamenávání nebo sdělování údajů. V těchto případech členské státy stanoví vhodná ochranná opatření.“
9 Článek 13 uvedené směrnice, nadepsaný „Výjimky a omezení“, stanoví:
„1. Členské státy mohou přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených v čl. 6 odst. 1, v článku 10, v čl. 11 odst. 1 a v článcích 12 a 21, pokud toto omezení představuje opatření nezbytné pro zajištění:
a) bezpečnosti státu;
b) obrany;
c) veřejné bezpečnosti;
d) předcházení trestným činům a jejich vyšetřování, odhalování a stíhání nebo nedodržování deontologických pravidel pro regulovaná povolání;
e) významného hospodářského nebo finančního zájmu členského státu nebo Evropské unie včetně měnové, rozpočtové a daňové oblasti;
f) kontrolní, inspekční nebo regulační funkce vyplývající, i pouze příležitostně, z výkonu veřejné moci v případech uvedených v písmenech c), d) a e);
g) ochrany subjektu údajů nebo práv a svobod druhých.
2. S výhradou přiměřených právních ochranných opatření vylučujících zejména, že údaje mohou být použity pro účely opatření nebo rozhodnutí vztahujících se na konkrétní osoby, mohou členské státy, pokud prokazatelně neexistuje nebezpečí narušení soukromí subjektu údajů, omezit legislativním opatřením práva uvedená v článku 12, jsou-li údaje zpracovávány výlučně pro účely vědeckého výzkumu nebo jsou-li uchovávány formou osobních záznamů po dobu nepřesahující období nezbytné pro vypracování statistik.“
Rumunské právo
Zákon č. 95/2006
10 Z předkládacího rozhodnutí vyplývá, že článek 215 zákona č. 95/2006 o reformě zdravotnictví (Legea nr. 95/2006 privind reforma în domeniul sănătății) ze dne 14. dubna 2006 (Monitorul Oficial al României, část I, č. 372 ze dne 28. dubna 2006) stanoví:
„(1) Povinnost odvádět příspěvek na zdravotní pojištění mají fyzické a právnické osoby, které zaměstnávají osoby na základě individuální pracovní smlouvy nebo zvláštního řádu ve smyslu tohoto zákona, a podle okolností i fyzické osoby.
(2) Právnické a fyzické osoby, pro něž pojištěnci vykonávají činnost, jsou povinny každý měsíc předkládat pojišťovnám, které si pojištěnci svobodně vybrali, jmenovitá hlášení o závazcích, které mají vůči fondu, a doklad o odvedení příspěvků.
[…]“
11 V článku 315 tohoto zákona je uvedeno:
„Úřady, veřejné a jiné orgány bezplatně předávají zdravotním pojišťovnám na základě protokolu údaje nezbytné ke zjištění statusu pojištěnce.“
Nařízení předsedy CNAS č. 617/2007
12 V článku 35 nařízení předsedy CNAS č. 617/2007 ze dne 13. srpna 2007, jímž se schvalují metodologická pravidla pro vydávání podpůrných dokumentů k získání statusu pojištěnce, nebo pojištěnce, který není povinen odvádět příspěvky, a opatření k vymáhání částek, které mají být uhrazeny do jednotného vnitrostátního fondu sociálního zabezpečení (Monitorul Oficial al României, část I, č. 649 ze dne 24. září 2007), je uvedeno:
„[…] v případě povinností platit do fondu, které mají fyzické osoby, jež uzavřely pojistnou smlouvu a u nichž výběr daní neprovádí ANAF, představují potvrzení o nedoplatku – v závislosti na okolnostech – prohlášení […], platební výměr vydaný příslušným orgánem CAS [zdravotní pojišťovny] nebo soudní rozhodnutí o pohledávkách fondu. Příslušný orgán CAS může vydat platební výměr i na základě informací získaných od ANAF na základě protokolu.“
Protokol z roku 2007
13 Článek 4 protokolu č. P 5282/26.10.2007/95896/30.10.2007 uzavřeného mezi CNAS a ANAF (dále jen „protokol z roku 2007“) zní:
„Po vstupu tohoto protokolu v platnost předá [ANAF] prostřednictvím svých podřízených speciálních oddělení [CNAS] v elektronické formě původní databázi:
a. příjmů osob spadajících do kategorií uvedených v čl. 1 odst. 1 tohoto protokolu a čtvrtletně aktualizaci této databáze, ve formě umožňující automatizované zpracování údajů v souladu s přílohou č. 1 k tomuto protokolu […]
[…]“
Spor v původním řízení a předběžné otázky
14 Žalobcům v původním řízení plynou příjmy ze samostatných výdělečných činností. ANAF předala CNAS údaje o jejich přiznaných příjmech. Na základě těchto údajů vyžadovala CNAS uhrazení nedoplatků na příspěvcích na zdravotní pojištění.
15 Žalobci v původním řízení podali u Curtea de Apel Cluj (odvolacího soudu v Kluži) žalobu, v níž zpochybnili legalitu předání daňových údajů o jejich příjmech z hlediska směrnice 95/46. Namítají, že tyto osobní údaje byly předány a použity na základě pouhého interního protokolu k jiným účelům, než pro které byly ANAF původně poskytnuty, aniž k tomu dali žalobci výslovný souhlas a aniž o tom byli předem informováni.
16 Z předkládacího rozhodnutí vyplývá, že veřejnoprávní subjekty jsou podle zákona č. 95/2006 oprávněny předávat zdravotním pojišťovnám osobní údaje, aby jim tak umožnily zjistit, zda mají subjekty údajů status pojištěnce. Tyto údaje se týkají identifikace osob (příjmení, jméno, rodné číslo, adresa), nezahrnují však údaje o příjmech.
17 Předkládající soud se snaží určit, zda zpracování údajů ze strany CNAS vyžadovalo, aby byly subjekty údajů předem informovány o totožnosti správce a o účelu předání těchto údajů. Tento soud se má rovněž vyjádřit k otázce, zda je předání údajů na základě protokolu z roku 2007 v rozporu s ustanoveními směrnice 95/46, která vyžadují, aby bylo jakékoliv omezení práv subjektů údajů upraveno zákonem a aby s ním byla spojena ochranná opatření, zejména jsou-li údaje použity proti těmto subjektům.
18 Za těchto podmínek se Curtea de Apel Cluj rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Je vnitrostátní daňový orgán jako orgán, který zastupuje příslušné ministerstvo členského státu, finanční institucí ve smyslu článku 124 SFEU?
2) Je možné prostřednictvím aktu obdobného správním aktům, a sice protokolu uzavřeného mezi vnitrostátním daňovým orgánem a jiným státním orgánem, upravit, že vnitrostátní daňový orgán předává jinému orgánu členského státu databázi údajů o příjmech státních příslušníků tohoto členského státu, aniž by to představovalo zvýhodněný přístup definovaný v článku 124 SFEU?
3) Spadá předání databáze, jehož cílem je uložit občanům členského státu povinnost uhradit příspěvky na sociální zabezpečení orgánu členského státu, v jehož zájmu se předání provádí, pod pojem veřejný dohled ve smyslu článku 124 SFEU?
4) Mohou být osobní údaje předmětem zpracování ze strany orgánu, kterému nebyly určeny, pokud takový postup vede zpětně k majetkové újmě?“
K předběžným otázkám
K přípustnosti
K přípustnosti první až třetí otázky
19 Podle ustálené judikatury platí, že Soudní dvůr může odmítnout rozhodnutí o předběžné otázce položené vnitrostátním soudem tehdy, pokud je zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém nebo jestliže Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny (viz rozsudek PreussenElektra, C‑379/98, EU:C:2001:160, bod 39 a citovaná judikatura).
20 Ve všech vyjádřeních předložených Soudnímu dvoru se jejich autoři přiklání k názoru, že první tři předběžné otázky týkající se výkladu článku 124 SFEU jsou nepřípustné, protože nemají žádný vztah k předmětu sporu v původním řízení.
21 V tomto ohledu je třeba připomenout, že článek 124 SFEU se nachází ve třetí části, hlavě VIII Smlouvy o FEU, která se týká hospodářské a měnové politiky. Tento článek zakazuje jakákoli opatření, která nejsou odůvodněna veřejným dohledem a která umožňují orgánům, institucím nebo jiným subjektům Unie, ústředním vládám, regionálním nebo místním orgánům nebo jiným veřejným orgánům, jiným veřejnoprávním subjektům nebo veřejným podnikům členských států zvýhodněný přístup k finančním institucím.
22 Tento zákaz má původ v článku 104a Smlouvy o ES (nyní článek 102 ES), který byl do Smlouvy o ES vložen Maastrichtskou smlouvou. Patří k ustanovením Smlouvy o FEU o hospodářské politice, jejichž účelem je přimět členské státy, aby dodržovaly zdravou rozpočtovou politiku, a to tak, že zamezí tomu, aby měnové financování veřejných rozpočtů nebo zvýhodněný přístup veřejnoprávních orgánů k finančním trhům vedly k nadměrnému zadlužení nebo k nadměrným deficitům členských států (v tomto smyslu viz rozsudek Gauweiler a další, C‑62/14, EU:C:2015:400, bod 100).
23 Je tedy zjevné, že žádaný výklad článku 124 SFEU nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, který se týká ochrany osobních údajů.
24 Z toho vyplývá, že na první až třetí otázku není třeba odpovídat.
K přípustnosti čtvrté otázky
25 CNAS a rumunská vláda tvrdí, že čtvrtá otázka je nepřípustná. Rumunská vláda namítá, že mezi újmou, na kterou poukazují žalobci v původním řízení, a zrušením správních aktů napadených v rámci původního řízení, neexistuje žádná souvislost.
26 V tomto ohledu je třeba připomenout, že podle ustálené judikatury Soudního dvora platí, že na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí v rámci své odpovědnosti a jehož správnost nepřísluší Soudnímu dvoru ověřovat, se vztahuje domněnka relevance. Soudní dvůr může odmítnout rozhodnout o žádosti o rozhodnutí o předběžné otázce podané vnitrostátním soudem pouze tehdy, je-li zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém nebo jestliže Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny (rozsudek Fish Legal a Shirley, C‑279/12, EU:C:2013:853, bod 30 a citovaná judikatura).
27 Je třeba uvést, že věc v původním řízení se týká legality zpracování daňových údajů, které shromáždila ANAF. Předkládající soud si klade otázku, jak je třeba vykládat ustanovení směrnice 95/46 v rámci přezkumu legality předání těchto údajů CNAS a jejich následného zpracovávání. Čtvrtá předběžná otázka je tedy relevantní a dostatečně konkrétní k tomu, aby na ni Soudní dvůr mohl užitečně odpovědět. Pokud jde tedy o čtvrtou otázku, žádost o rozhodnutí o předběžné otázce je nutno považovat za přípustnou.
K věci samé
28 Podstatou čtvrté otázky předkládajícího soudu je, zda musí být články 10, 11 a 13 směrnice 95/46 vykládány v tom smyslu, že brání takovým vnitrostátním opatřením, o jaké jde ve věci v původním řízení, která umožňují orgánu veřejné správy členského státu předávat jinému orgánu veřejné správy osobní údaje a následně je zpracovávat, aniž byly subjekty údajů o tomto předání a zpracování informovány.
29 V tomto ohledu je třeba na základě informací poskytnutých předkládajícím soudem konstatovat, že daňové údaje, které ANAF předala CNAS, jsou osobními údaji ve smyslu čl. 2 písm. a) uvedené směrnice, jelikož se jedná o „informace o identifikované nebo identifikovatelné osobě“ (rozsudek Satakunnan Markkinapörssi a Satamedia, C‑73/07, EU:C:2008:727, bod 35). Jejich předání ze strany ANAF, tj. orgánu, který je pověřený správou databáze shromážděných údajů, i jejich následné zpracování ze strany CNAS tudíž má povahu „zpracování osobních údajů“ ve smyslu čl. 2 písm. b) téže směrnice (v tomto smyslu viz zejména rozsudky Österreichischer Rundfunk a další, C‑465/00, C‑138/01 a C‑139/01, EU:C:2003:294, bod 64, jakož i Huber, C‑524/06, EU:C:2008:724, bod 43).
30 V souladu s ustanoveními kapitoly II směrnice 95/46, nadepsané „Obecné podmínky pro zákonnost zpracování osobních údajů“, musí být jakékoli zpracování osobních údajů, s výhradou výjimek, které připouští článek 13 této směrnice, v souladu se zásadami pro kvalitu údajů zakotvenými v článku 6 uvedené směrnice a musí odpovídat některé ze zásad pro oprávněné zpracování údajů uvedených v článku 7 téže směrnice (rozsudky Österreichischer Rundfunk a další, C‑465/00, C‑138/01 a C‑139/01, EU:C:2003:294, bod 65; Huber, C‑524/06, EU:C:2008:724, bod 48, jakož i ASNEF a FECEMD, C‑468/10 a C‑469/10, EU:C:2011:777, bod 26).
31 Správce nebo jeho zástupce má kromě toho – s výhradou výjimek, které připouští článek 13 směrnice 95/46 – povinnost informování, jehož způsoby, uvedené v článcích 10 a 11 této směrnice, se liší podle toho, zda jsou tyto údaje shromažďovány od subjektu údajů, či nikoliv.
32 Zaprvé, co se týče článku 10 uvedené směrnice, ten stanoví, že správce musí poskytnout osobě, od které získává údaje, které se jí týkají, informace uvedené v písmenech a) až c) tohoto článku, ledaže s nimi byl tento subjekt již seznámen. Tyto informace se týkají totožnosti správce, účelů zpracování, jakož i veškerých doplňujících informací, které jsou nezbytné pro zajištění řádného zpracování údajů. Mezi doplňujícími informacemi, které jsou nezbytné pro zajištění řádného zpracování údajů, jsou v čl. 10 písm. c) této směrnice výslovně uvedeni „příjemci nebo kategorie příjemců údajů“, jakož i „existence práva na přístup k údajům, které se [uvedeného] subjektu […] týkají, a právo na jejich opravu“.
33 Jak v této souvislosti uvedl generální advokát v bodě 74 svého stanoviska, tento požadavek informování subjektů dotčených zpracováním jejich osobních údajů je o to důležitější, že je nezbytným předpokladem pro to, aby tyto subjekty mohly vykonat své právo na přístup ke zpracovávaným údajům a právo na jejich opravu, vymezené v článku 12 směrnice 95/46, a právo na podání námitky proti zpracování uvedených údajů podle článku 14 této směrnice.
34 Z toho vyplývá, že požadavek korektního zpracování osobních údajů stanovený v článku 6 směrnice 95/46 ukládá orgánu veřejné správy povinnost, aby subjekty údajů informoval, že jsou tyto údaje předány jinému orgánu veřejné správy s tím účelem, aby je tento orgán zpracoval jako jejich příjemce.
35 Z vysvětlení podaných předkládajícím soudem vyplývá, že ANAF žalobce v původním řízení o tom, že předala CNAS osobní údaje, které se jich týkaly, neinformovala.
36 Rumunská vláda však tvrdí, že ANAF je zejména na základě článku 315 zákona č. 95/2006 povinna předávat regionálním zdravotním pojišťovnám informace nezbytné k tomu, aby CNAS u osob, jimž plynou příjmy ze samostatných výdělečných činností, zjistila, zda mají status pojištěnců.
37 Je pravda, že článek 315 zákona č. 95/2006 výslovně stanoví, že „úřady, veřejné a jiné orgány bezplatně předávají zdravotním pojišťovnám na základě protokolu údaje nezbytné ke zjištění statusu pojištěnce“. Z vysvětlení podaných předkládajícím soudem ovšem vyplývá, že údaje nezbytné ke zjištění statusu pojištěnce ve smyslu uvedeného ustanovení nezahrnují údaje o příjmech, jelikož zákon přiznává status pojištěnce i osobám bez zdanitelných příjmů.
38 Za takových podmínek nemůže článek 315 zákona č. 95/2006 představovat předchozí informování ve smyslu článku 10 směrnice 95/46, které by mohlo zbavit správce povinnosti informovat osoby, od kterých získává údaje o jejich příjmech, o příjemcích těchto údajů. Nelze mít tudíž za to, že dotyčné předání údajů bylo provedeno v souladu s článkem 10 směrnice 95/46.
39 Je třeba posoudit, zda se na toto neinformování subjektů údajů může vztahovat článek 13 uvedené směrnice. Z článku 13 odst. 1 písm. e) a f) totiž vyplývá, že členské státy mohou omezit rozsah povinností a práv uvedených v článku 10 této směrnice, pokud toto omezení představuje opatření nezbytné pro zajištění „významného hospodářského nebo finančního zájmu členského státu […] včetně měnové, rozpočtové a daňové oblasti“, jakož i „kontrolní, inspekční nebo regulační funkce vyplývající, i pouze příležitostně, z výkonu veřejné moci v případech uvedených v písmenech c), d) a e)“. Uvedený článek 13 ovšem výslovné vyžaduje, aby byla taková omezení přijata prostřednictvím legislativních opatření.
40 Kromě okolnosti – na kterou poukazuje předkládající soud – že údaje o příjmech nepatří mezi osobní údaje nezbytné ke zjištění statusu pojištěnce, je přitom třeba zdůraznit i to, že článek 315 zákona č. 95/2006 v zásadě předvídá předávání pouze posledně uvedených osobních údajů, které mají k dispozici úřady a veřejné a jiné orgány. Z předkládacího rozhodnutí rovněž vyplývá, že definice informací, které lze předat, jakož i podmínky jejich předání nebyly stanoveny prostřednictvím legislativního opatření, ale prostřednictvím protokolu z roku 2007 uzavřeného mezi ANAF a CNAS, který nebyl úředně zveřejněn.
41 Za takových okolností nelze mít za to, že jsou splněny podmínky, které článek 13 směrnice 95/46 stanovuje pro to, aby se mohl členský stát odchýlit od práv a povinností, které vyplývají z článku 10 této směrnice.
42 Zadruhé, co se týče článku 11 uvedené směrnice, ten v odstavci 1 stanoví, že správce musí v případě údajů, které neposkytuje subjekt údajů, poskytnout tomuto subjektu informace uvedené v písmenech a) až c). Tyto informace se týkají totožnosti správce, účelů zpracování, jakož i veškerých doplňujících informací, které jsou nezbytné pro zajištění řádného zpracování údajů. Mezi těmito doplňujícími informacemi jsou v čl. 11 odst. 1 písm. c) téže směrnice výslovně uvedeny „kategorie dotčených údajů“, jakož i „existence práva na přístup k údajům, které se subjektu údajů týkají, a právo na jejich opravu“.
43 Z toho vyplývá, že za okolností věci v původním řízení bylo pro zpracování údajů ze strany CNAS, které předala ANAF, podle čl. 11 odst. 1 písm. b) a c) směrnice 95/46 třeba, aby byly subjekty těchto údajů seznámeny s účely tohoto zpracování, jakož i s kategoriemi dotčených údajů.
44 Z vysvětlení podaných předkládajícím soudem však vyplývá, že CNAS žalobcům v původním řízení informace uvedené v čl. 11 odst. 1 písm. a) až c) uvedené směrnice neposkytla.
45 Je třeba dodat, že podle čl. 11 odst. 2 směrnice 95/46 se čl. 11 odst. 1 této směrnice nepoužije, mimo jiné pokud je zaznamenávání nebo sdělování údajů upraveno zákonem; členské státy musí v takovém případě stanovit vhodná ochranná opatření. Z důvodů uvedených v bodech 40 a 41 tohoto rozsudku se na ustanovení zákona č. 95/2006, kterých se dovolává rumunská vláda, a na protokol z roku 2007 nemůže vztahovat ani odchylný režim podle čl. 11 odst. 2, ani odchylný režim vyplývající z článku 13 uvedené směrnice.
46 S ohledem na všechny výše uvedené úvahy je třeba na položenou otázku odpovědět tak, že články 10, 11 a 13 směrnice 95/46 musí být vykládány v tom smyslu, že brání takovým vnitrostátním opatřením, o něž se jedná ve věci v původním řízení, která umožňují orgánu veřejné správy členského státu předávat jinému orgánu veřejné správy osobní údaje a následně je zpracovávat, aniž byly subjekty údajů o tomto předání nebo zpracování informovány.
K nákladům řízení
47 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (třetí senát) rozhodl takto:
Články 10, 11 a 13 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládány v tom smyslu, že brání takovým vnitrostátním opatřením, o něž se jedná ve věci v původním řízení, která umožňují orgánu veřejné správy členského státu předávat jinému orgánu veřejné správy osobní údaje a následně je zpracovávat, aniž byly subjekty údajů o tomto předání nebo zpracování informovány.
Podpisy.