MIŠLJENJE NEZAVISNOG ODVJETNIKA
PEDRA CRUZA VILLALÓNA
od 9. srpnja 2015.(1)
Predmet C‑201/14
Smaranda Bara i dr.
protiv
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF)
(zahtjev za prethodnu odluku koji je uputila Curtea de Apel Cluj (Rumunjska))
„Prethodni postupak – Ekonomska i monetarna politika – Članak 124. UFEU‑a – Povlašteni pristup financijskim institucijama – Odredba koja nije primjenjiva na spor u glavnom postupku – Očita nedopuštenost – Usklađivanje zakonodavstava – Direktiva 95/46/EZ – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Članak 7. – Uvjeti za zakonitost obrade podataka – Članci 10. i 11. – Suglasnost i obavještavanje dotičnih osoba – Članak 13. – Iznimke i ograničenja – Nacionalni propis o stjecanju statusa osiguranika socijalnog osiguranja – Protokol između dviju javnih institucija o prijenosu osobnih podataka koji se odnose na prihode dotičnih osoba“
1. U kojoj su mjeri i pod kojim uvjetima javne institucije države članice ovlaštene u okviru izvršavanja svojih javnih ovlasti razmjenjivati osobne podatke pojedinaca koji spadaju pod njihovu upravu, a osobito one koji se odnose na njihove prihode koje prikupljaju u svrhu obavljanja svojih zadaća od općeg interesa? To je u biti glavno pitanje koje se postavlja u okviru glavnog postupka i koje zahtijeva tumačenje Suda u pogledu više odredaba Direktive 95/46/EZ(2).
2. Konkretno, ovaj predmet daje Sudu priliku da ispita uvjete kojima Direktiva 95/46 podređuje prosljeđivanje osobnih podataka od jednog upravnog tijela drugom, pojašnjavajući obveze kako osoba s javnim ovlastima uključenih u takav prijenos tako i nacionalnog zakonodavstva kojim se mora pravno urediti takvo postupanje, osobito u pogledu obavještavanja dotičnih osoba.
I – Pravni okvir
A – Pravo Unije
3. Glavne su odredbe Direktive 95/46 koje se čine relevantnima za rješavanje spora u glavnom postupku članci 7., 10., 11. i 13. Druge relevantne odredbe bit će navedene prema potrebi tijekom daljnjih razmatranja.
4. Članak 7. Direktive 95/46 određuje:
„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:
(a) je osoba čiji se podaci obrađuju nedvosmisleno dala svoju suglasnost;
ili
(b) je obrada potrebna za izvršavanje ugovora kojem je osoba čiji se podaci obrađuju stranka ili kako bi se poduzele mjere na zahtjev osobe čiji se podaci obrađuju prije sklapanja ugovora;
ili
(c) je obrada potrebna za sukladnost sa zakonskom obvezom kojoj nadzornik podliježe;
ili
(d) je obrada potrebna kako bi se zaštitili vitalni interesi osobe čiji se podaci obrađuju;
ili
(e) je obrada potrebna za izvršavanje zadatka koji se provodi zbog javnog interesa ili pri izvršavanju javne ovlasti koju ima nadzornik ili treća stranka kojoj se podaci otkrivaju;
ili
(f) je obrada potrebna u svrhe zakonitog interesa koji ima nadzornik ili treća stranka ili stranke kojima se podaci otkrivaju, osim kada su ti podaci podređeni interesu za temeljna prava i slobode osobe čiji se podaci obrađuju koja zahtijeva zaštitu na temelju članka 1. stavka 1. ove Direktive.“
5. Članak 10. Direktive 95/46 određuje:
„Države članice propisuju da nadzornik ili njegov zastupnik moraju dati osobi čiji se podaci obrađuju, a od koje se prikupljaju podaci, barem sljedeće podatke, osim u slučaju da ih već ima:
(a) identitet nadzornika i njegovog zastupnika, ako ga ima;
(b) svrhu obrade podataka;
(c) bilo koje daljnje podatke kao što su
– primatelji ili vrste primatelja podataka,
– jesu li odgovori na pitanja obvezni ili dobrovoljni te moguće posljedice u slučaju da se ne odgovori na pitanja,
– postojanje prava na pristup podacima i prava na ispravljanje podataka koji se na nju odnose,
ako su takvi daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci prikupljaju, osigurati poštenu obradu u odnosu na osobu čiji se podaci.“
6. Članak 11. Direktive 95/46 određuje:
„1. Kada podaci nisu dobiveni od osobe čiji se podaci obrađuju, države članice propisuju da nadzornik ili njegov zastupnik u trenutku bilježenja osobnih podataka ili ako je predviđeno otkrivanje trećoj stranci, najkasnije u trenutku kada su podaci po prvi puta otkriveni, moraju dati osobi čiji se podaci obrađuju barem sljedeće podatke, osim u slučaju da ih već ima:
(a) identitet nadzornika i njegovog zastupnika, ako ga ima;
(b) svrhu obrade;
(c) bilo koje daljnje podatke kao što su
– vrste podataka,
– primatelji ili vrste primatelja podataka,
– postojanje prava na pristup podacima i prava na ispravljanje podataka koji se na nju odnose,
ako su daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci obrađuju, jamstvo poštene obrade u odnosu na osobu čiji se podaci obrađuju.
2. Stavak 1. ovog članka ne primjenjuje se, prije svega za obradu u statističke svrhe ili u svrhe povijesnog ili znanstvenog istraživanja, kada je davanje takvih podataka nemoguće ili ako bi uključivalo nerazmjerni napor ili ako je bilježenje ili otkrivanje izričito propisano zakonom. U tim slučajevima države članice propisuju odgovarajuću zaštitu.“
7. Članak 13. stavak 1. Direktive 95/46 određuje:
„1. Države članice mogu donijeti propise za ograničavanje područja primjene obveza i prava iz članka 6. stavka 1., članka 10., članka 11. stavka 1. te članka 12. i 21. ove Direktive kada takvo ograničavanje predstavlja potrebne mjere za zaštitu:
(a) nacionalne sigurnosti;
(b) obrane;
(c) javne sigurnosti;
(d) sprečavanja, istrage, otkrivanja i progona kaznenih djela ili kršenja etike zakonom uređenih djelatnosti;
(e) važnoga gospodarskog ili financijskog interesa države članice ili Europske unije, uključujući novčana, proračunska i porezna pitanja;
(f) nadzora, inspekcije ili regulatorne funkcije povezane, čak i povremeno, s izvršavanjem javnih ovlasti u slučajevima iz točke (c), (d) i (e);
(g) zaštite osobe čiji se podaci obrađuju ili prava i slobode drugih.“
B – Nacionalno pravo
8. Iz odluke kojom se upućuje prethodno pitanje proizlazi da Zakon br. 95/2006 o reformi u području zdravstva i Uredba predsjednika Državnog zavoda za socijalnu sigurnost(3) br. 617/2007 od 13. kolovoza 2007.(4), donesena radi provedbe tog zakona, predstavljaju pravni okvir kojim je uređeno utvrđivanje statusa osiguranika rumunjskih građana koji imaju prebivalište u tuzemstvu, stranih državljana i osoba bez državljanstva koji su zatražili i ishodili produljenje svojeg prava na privremeni boravak ili koji imaju prebivalište u Rumunjskoj kao i njihovih obveza plaćanja doprinosa za osiguranje za slučaj bolesti.
9. Sud koji je uputio zahtjev pojašnjava da ta dva akta ovlašćuju državne institucije da CNAS‑u prosljeđuju informacije koje su potrebne za utvrđivanje tog statusa osiguranika. Članak 315. Zakona br. 95/2006 u tom pogledu određuje:
„Vlasti, javne i druge institucije fondovima za osiguranje za slučaj bolesti na osnovi protokola besplatno prosljeđuju podatke koji su potrebni radi utvrđivanja statusa osiguranika.“
10. Protokolom sklopljenim 26. listopada 2007., pod brojem P 5282/26.10.2007/95896/30.10.2007(5), Agenţia Naţională de Administrare Fiscală (Državna agencija za porezno upravljanje)(6) i CNAS uredili su uvjete za prosljeđivanje relevantnih podataka. Njegov članak 4. predviđa:
„Nakon što ovaj protokol stupi na snagu, [ANAF] će, posredstvom svojih podređenih specijaliziranih odjela, proslijediti, u elektroničkom obliku, prvotnu bazu podataka koja se tiče:
a. prihoda osoba koje su dio kategorije predviđene člankom 1. stavkom 1. ovog protokola i tromjesečnih ažuriranja te baze podataka [CNAS‑u], u obliku koji se može automatski obrađivati, u skladu s Prilogom br. 1 ovom protokolu [...]“
II – Glavni postupak
11. Tužitelji u glavnom postupku su osobe koje primaju prihode od samostalnih djelatnosti i od kojih je zatraženo da plate svoje doprinose Jedinstvenom državnom fondu za osiguranje za slučaj bolesti na temelju poreznih rješenja koja je izdao fond za osiguranje za slučaj bolesti u Cluju (Rumunjska), a koja se temelje na podacima u vezi s njihovim prihodima koje je ANAF dostavio CNAS‑u.
12. Navedeni tužitelji pred sudom koji je uputio zahtjev osporavaju različite upravne akte na temelju kojih je ANAF proslijedio CNAS‑u podatke potrebne za sastavljanje tih rješenja, osobito one u vezi s njihovim prihodima. Smatraju da se ANAF‑ov prijenos njihovih podataka CNAS‑u odvio kršenjem odredaba Direktive 95/46. Ti su osobni podaci na osnovi samog internog protokola bez njihove izričite suglasnosti bili proslijeđeni i korišteni u svrhe koje nisu iste onima o kojima je CNAS bio prvotno obaviješten a da pritom nisu bili o tome unaprijed obaviješteni.
13. Sud koji je uputio zahtjev u tom pogledu pojašnjava da je rumunjskim zakonodavstvom strogo i taksativno propisano prosljeđivanje podataka potrebnih za utvrđivanje statusa osiguranika, to jest podataka za utvrđivanje identiteta osobe (prezime, ime, osobni identifikacijski broj, prebivalište ili boravište u Rumunjskoj), ali ne obuhvaćajući one koji se odnose na prihode ostvarene u Rumunjskoj.
III – Prethodna pitanja i postupak pred Sudom
14. U tim je okolnostima rješenjem od 31. ožujka 2014. Curtea de Apel Cluj (Prizivni sud u Cluju, Rumunjska) odlučila prekinuti postupak i postaviti Sudu sljedeća četiri prethodna pitanja:
„1. Je li nacionalno porezno tijelo koje zastupa nadležno ministarstvo države članice financijska institucija u smislu članka 124. UFEU‑a?
2. Može li prijenos baze podataka o prihodima koje su ostvarili državljani države članice od strane nacionalnog poreznog tijela drugoj instituciji predmetne države članice biti uređen aktom koji je istovjetan upravnim aktima odnosno protokolom sklopljenim između nacionalnog poreznog tijela i druge institucije države članice a da pritom takvo postupanje ne predstavlja povlašteni pristup u smislu članka 124. UFEU‑a?
3. Obuhvaća li pojam stabilnog i sigurnog poslovanja u smislu članka 124. UFEU‑a prijenos baze podataka s ciljem nametanja građanima države članice obveza plaćanja socijalnih doprinosa instituciji države članice u korist koje se obavio prijenos?
4. Može li osobne podatke obrađivati tijelo kojem takvi podaci nisu namijenjeni, ako takvo postupanje retroaktivno uzrokuje imovinsku štetu?“
15. CNAS, rumunjska i češka vlada kao i Europska komisija podnijeli su Sudu pisana očitovanja.
16. Sud je nadalje pozvao zainteresirane stranke koje imaju pravo na podnošenje očitovanja u smislu članka 23. Statuta Suda Europske unije da na raspravi zauzmu stajalište o trima pitanjima, to jest o opsegu obveza koje na temelju članaka 10. i 11. Direktive 95/46 imaju ANAF u svojstvu pošiljatelja proslijeđenih podataka i CNAS u svojstvu primatelja tih podataka, o relevantnosti članka 13. Direktive 95/46 u svrhu tumačenja koje je zatražio sud koji je uputio zahtjev te, naposljetku, o kriterijima na temelju kojih bi Protokol od 26. listopada 2007. između CNAS‑a i ANAF‑a mogao predstavljati „zakonodavnu mjeru“ u smislu članka 13. Direktive 95/46.
17. Tužitelji u glavnom postupku, rumunjska vlada i Komisija podnijeli su usmena očitovanja i odgovorili na pitanja Suda tijekom javne rasprave održane 29. travnja 2015.
IV – Dopuštenost prethodnih pitanja
18. Sve zainteresirane stranke koje su podnijele očitovanja Sudu slažu se u zaključku da prva tri pitanja koja je postavio sud koji je uputio zahtjev, i to u vezi s tumačenjem članka 124. UEFU‑a, treba proglasiti nedopuštenima jer se ta odredba primarnog prava ne odnosi na predmet glavnog postupka i ne može se primijeniti na glavni postupak.
19. U ovom je slučaju člankom 124. UFEU‑a, koji je dio poglavlja Ugovora koje se odnosi na ekonomsku politiku, zabranjena svaka mjera kojom se državama članicama omogućuje povlašteni pristup financijskim institucijama. Tom se odredbom, kojom se financijsko poslovanje javnog sektora podvrgava disciplini tržišnih mehanizama te tako pridonosi jačanju proračunske discipline(7), nastoji zajedno s člancima 123. i 125. UFEU‑a ostvariti preventivni cilj, kako je Sud imao prilike istaknuti, što većeg smanjenja rizika od krize državnog duga(8).
20. Člankom 1. stavkom 1. Uredbe br. 3604/93 pojam „svaka mjera kojom se uspostavlja povlašteni pristup“ definiran je kao svaki zakon, propis ili bilo koji drugi obvezujući pravni instrument koji je donesen na temelju obnašanja javne vlasti, a koji obvezuje financijske institucije da stječu ili posjeduju obveze, među ostalim, središnjih tijela, regionalnih, lokalnih ili drugih državnih tijela, ostalih javnopravnih tijela ili javnih poduzeća država članica, ili daje porezne pogodnosti od kojih koristi mogu imati samo financijske institucije ili financijske pogodnosti koje nisu u skladu s načelima tržišnoga gospodarstva, radi poticanja tih institucija da stječu ili posjeduju takve obveze.
21. Potpuno je jasno da se situacija u glavnom postupku i konkretno CNAS‑ov pristup podacima koje prikuplja ANAF ne može analizirati kao „povlašteni pristup“ „financijskim institucijama“(9), o čemu, uostalom, uopće nije riječ u odluci kojom se upućuje prethodno pitanje.
22. Stoga je očito da se članak 124. UFEU‑a ne može primijeniti na glavni postupak i da se slijedom toga prva tri pitanja suda koji je uputio zahtjev moraju odbaciti kao nedopuštena.
23. Nadalje, u pogledu četvrtog pitanja suda koji je uputio zahtjev, mora se istaknuti da je ono preopćenito sastavljeno, da ne spominje odredbe prava Unije čije se tumačenje traži radi rješavanja spora u glavnom postupku i da sadržava samo šturi pravni i činjenični okvir spora u glavnom postupku, tako da bi također dolazilo u obzir odbacivanje kao nedopuštenog.
24. Rumunjska vlada u tom pogledu ističe da ne vidi nikakvu vezu između štete za koju tužitelji u glavnom postupku tvrde da je nastala zbog obrade podataka o kojima je riječ u glavnom postupku i poništenja upravnih akata koje traže u okviru glavnog postupka.
25. Točno je, doduše, kao što to proizlazi iz ispitivanja merituma četvrtog pitanja, da to što sud koji je uputio zahtjev spominje imovinsku štetu koja je retroaktivno uzrokovana osobama na koje se odnosi prosljeđivanje nije relevantno za ispitivanje spojivosti nacionalnog zakonodavstva s odredbama Direktive 95/46.
26. Međutim, iz odluke kojom se upućuje prethodno pitanje jasno proizlazi da se četvrto pitanje odnosi na tumačenje odredaba Direktive 95/46. Naime, sud koji je uputio zahtjev pojašnjava da se pita, s jedne strane, pozivajući se prešutno na situaciju iz članka 11. Direktive 95/46, je li osobne podatke koje je prikupio ANAF CNAS obrađivao u skladu sa svojom obvezom davanja podataka. On navodi da se pita, s druge strane, predstavlja li prosljeđivanje osobnih podataka na temelju Protokola od 26. listopada 2007. povredu obveze države članice da zajamči obradu osobnih podataka u skladu s odredbama Direktive 95/46, pri čemu se, opet prešutno, poziva na njezin članak 13., koji dopušta ograničenja prava zajamčenih tom direktivom ako su propisana zakonom i popraćena pravnom zaštitom.
27. Stoga je moguće na temelju izlaganja suda koji je uputio zahtjev u pogledu njegovih dvojbi dovoljno jasno utvrditi pitanje tumačenja Direktive 95/46 koje se postavlja u glavnom postupku.
28. U tom pogledu valja podsjetiti da se, u skladu s ustaljenom sudskom praksom, ne može odbiti dati odgovor na prethodno pitanje osim ako je očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ili predmetom spora u glavnom postupku, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima da bi se mogao dati koristan odgovor na upućena pitanja(10).
29. Slijedom toga, smatram da je četvrto prethodno pitanje koje je postavio sud koji je uputio zahtjev dopušteno i treba ga ispitati.
V – Četvrto pitanje
30. Četvrtim pitanjem, protumačenim s obzirom na objašnjenja dana u odluci kojom se upućuje prethodno pitanje i na prethodne okolnosti, sud koji je uputio zahtjev u biti se pita treba li Direktivu 95/46 tumačiti na način da joj se protivi nacionalni propis koji javnoj instituciji države članice dopušta da obrađuje osobne podatke koji joj nisu namijenjeni, osobito podatke koji se odnose na prihode dotičnih osoba, a da te osobe u tom pogledu nisu dale svoju suglasnost niti su bile unaprijed obaviještene.
A – Sažetak očitovanja podnesenih Sudu
31. Tužitelji u glavnom postupku istaknuli su na raspravi da sud koji je uputio zahtjev zapravo želi utvrditi u kojoj je mjeri nacionalna upravna praksa, koja se u ovom slučaju odražava u Protokolu od 26. listopada 2007. i koja se u pogledu ANAF‑a sastoji u tome da automatski i opetovano prosljeđuje CNAS‑u osobne podatke, među kojima i porezne, nekih kategorija poreznih obveznika (prezime, ime, kategorije prihoda i plaćeni porezi), spojiva s postupovnim zahtjevima koji su predviđeni Direktivom 95/46.
32. Odgovarajući na pitanja koja je postavio Sud, tužitelji u glavnom postupku ističu da se u glavnom postupku primjenjuje članak 11. Direktive 95/46. Tom se odredbom utvrđuju obveze primarnog (ANAF) i sekundarnog nadzornika (CNAS) osobnih podataka, što je u ovom slučaju obveza da se dotičnim osobama dostave, među ostalim, identitet sekundarnog nadzornika obrade, svrha obrade proslijeđenih podataka i kategorije proslijeđenih podataka. To su uglavnom obveze sekundarnog nadzornika i moraju se ispuniti najkasnije u trenutku kada su podaci prvi put otkriveni.
33. Oni u tom pogledu ističu da je Protokol od 26. listopada 2007. neusklađen jer, s jedne strane, njegov članak 4. predviđa da prosljeđivanje općih baza podataka podliježe povremenim izmjenama, iako, s druge strane, njegov članak 6. stavak 1. predviđa da se podaci moraju prosljeđivati pojedinačno na temelju zapisnika. U stvarnosti takvi zapisnici ne postoje u nacionalnoj praksi jer se prijenosi odvijaju automatski uz kršenje tih postupovnih zahtjeva.
34. Oni nadalje ističu da članak 13. Direktive 95/46 ne utječe na rješavanje spora u glavnom postupku jer CNAS nije nadležan za utvrđivanje doprinosa fondu za osiguranje za slučaj bolesti. Prosljeđivanje podataka stoga nije bilo potrebno, osim za malu kategoriju poreznih obveznika za koje je bila utvrđena obveza doprinosa i koji tu obvezu nisu dobrovoljno izvršili.
35. Ističu, međutim, da, ako bi Sud trebao smatrati da je članak 13. Direktive 95/46 primjenjiv, tada bi na ANAF‑u i CNAS‑u bilo da opravdaju potrebu za prosljeđivanjem predmetnih podataka i time dokažu postojanje zakonodavne mjere kojom se dopušta to prosljeđivanje u izostanku suglasnosti dotičnih osoba. Takva zakonodavna mjera ne postoji i Protokol od 26. listopada 2007. ne može je zamijeniti. Budući da taj protokol nije objavljen u Službenom listu, ne odgovara zahtjevima predvidljivosti i pravne sigurnosti te stoga ne može proizvoditi učinak erga omnes.
36. U svojim pisanim očitovanjima, koja u bitnome dijeli CNAS, rumunjska vlada ističe da je, s jedne strane, ANAF‑ovo prosljeđivanje informacija o prihodima od samostalnih djelatnosti CNAS‑u bilo predviđeno zakonom i potrebno za ispunjavanje CNAS‑ove zadaće te je, s druge strane, CNAS‑ova obrada tih podataka bila potrebna za ispunjavanje zakonske obveze koju je imao u smislu članka 7. Direktive 95/46. Slijedom toga, ni suglasnost dotičnih osoba ni obavještavanje tih osoba nisu bili potrebni na temelju članaka 10. i 11. Direktive 95/46.
37. Tijekom rasprave rumunjska vlada ustrajala je na činjenici da prosljeđivanje i obrada spornih osobnih podataka spadaju u okvir obveza suradnje kojima podliježu javne institucije na temelju Zakonika o poreznom postupku, a osobito njegovih članaka 11. i 62. U tom pogledu, Protokol od 26. listopada 2007. ne predstavlja pravnu osnovu za te obveze, nego samo uređuje uvjete za to da ANAF prosljeđuje podatke CNAS‑u. Stoga se tim obvezama prosljeđivanja poreznih podataka, koje mogu nastati samo između javnih institucija, i to s jedinim ciljem utvrđivanja iznosa poreza i doprinosa koji se moraju platiti i među kojima su doprinosi za osiguranje za slučaj bolesti, nastoji ostvariti legitiman cilj zaštite financijskih interesa koji je obuhvaćen odredbama članka 13. stavka 1. točke (e) Direktive 95/46. Slijedom navedenog, obavještavanje dotičnih osoba nije potrebno.
38. Češka vlada u glavnome ističe da se ANAF‑ovo prosljeđivanje spornih podataka CNAS‑u može odvijati bez suglasnosti dotičnih osoba na temelju članka 7. točke (e) Direktive 95/46 i bez potrebe obavještavanja tih osoba na temelju iznimki iz članka 11. stavka 2. i članka 13. iste direktive. Osim toga, ta direktiva ne sadržava nikakvu odredbu kojom bi se zahtijevalo da se prosljeđivanje osobnih podataka između javnih institucija posebno propiše odredbom opće primjene.
39. U svojim pisanim očitovanjima Komisija je prije svega istaknula da su podaci o kojima je riječ u glavnom postupku osobni podaci u smislu članka 2. točke (a) Direktive 95/46, da se dvije predmetne nacionalne institucije, to jest ANAF i CNAS, mogu smatrati nadzornicima obrade navedenih podataka u smislu članka 2. točke (d) iste direktive te da se prikupljanje i prosljeđivanje tih podataka može kvalificirati kao „obrada osobnih podataka“ u smislu članka 2. točke (b) navedene direktive.
40. U svojim pisanim očitovanjima Komisija je također predložila Sudu da odluči da se članci 6. i 7. Direktive 95/46 trebaju tumačiti na način da se ne protive prosljeđivanju podataka u vezi s prihodima o kojima je riječ u glavnom postupku pod uvjetom da se to prosljeđivanje odvija na temelju jasnih i preciznih zakonskih odredaba čija je primjena predvidljiva za dotične osobe, a što je na sudu koji je uputio zahtjev da provjeri.
41. Međutim, taj zaključak Komisija je upotpunila u svojim usmenim očitovanjima odgovorima na pitanja za raspravu koja je postavio Sud. Ona je u bitnome istaknula da uvjeti koji se odnose na suglasnost i obavještavanje dotičnih osoba, a kojima odredbe članaka 7., 10., 11. i 13. Direktive 95/46 zajednički podvrgavaju prikupljanje, prosljeđivanje i obradu osobnih podataka, u okolnostima glavnog postupka nisu ispunjeni te da nacionalni propis, a osobito Protokol od 26. listopada 2007. sklopljen između ANAF‑a i CNAS‑a, nikako ne odgovara zahtjevima iz članka 13. te direktive, kako je protumačen s obzirom na članke 8. i 52. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) i članak 8. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda, potpisane u Rimu 4. studenoga 1950.
42. Komisija također ističe da se Direktiva 95/46 temelji na načelu da osoba na koju se odnosi obrada osobnih podataka mora na temelju jasnih, preciznih i predvidljivih zakonskih odredaba znati za svako ograničenje prava koja ima na temelju te direktive. Prosljeđivanje podataka o kojima je riječ u glavnom postupku odvija se samo na temelju protokola o suradnji između dviju institucija koji se sam temelji na odredbi Zakona br. 95/2006 koja time što upućuje na podatke potrebne za utvrđivanje statusa osiguranika ne odgovara tim zahtjevima jasnoće.
43. Razmatrajući različita pitanja Suda na koja je trebalo usmeno odgovoriti, Komisija ističe da su i ANAF i CNAS trebali dotičnim osobama dostaviti odnosne informacije koje se zahtijevaju na temelju članaka 10. i 11. Direktive 95/46 jer rumunjsko zakonodavstvo ne ispunjava zahtjeve koji dopuštaju odstupanje od tih obveza.
44. U tom pogledu ona prije svega ističe da se čini da rumunjski propis ne ispunjava uvjete utvrđene člankom 11. stavkom 2. Direktive 95/46 na temelju kojeg se odredbe njegova stavka 1. ne primjenjuju ako je bilježenje ili otkrivanje podataka izričito propisano nacionalnim zakonom, prepuštajući, međutim, to ispitivanje nacionalnom sudu.
45. Potom ističe da svako ograničenje prava na obavještavanje dotičnih osoba predviđenog člancima 10. i 11. Direktive 95/46 mora, u skladu s člankom 13. te direktive, biti sadržano u zakonodavnoj mjeri, slijediti jedan od ciljeva od općeg interesa navedenih u toj odredbi i biti proporcionalno. Rumunjsko zakonodavstvo ne sadržava nikakvu mjeru koja predviđa takvo odstupanje jer se odredba koja predviđa ANAF‑ovo prosljeđivanje podataka CNAS‑u ne može smatrati odredbom u kojoj se jasno navodi da dotične osobe neće biti obaviještene u tom pogledu.
46. Ona u tom pogledu ističe da se Protokol od 26. listopada 2007. sklopljen između ANAF‑a i CNAS‑a kojim je uređeno prosljeđivanje podataka između dviju institucija i koji ne sadržava odredbe o obavještavanju dotičnih osoba ne može smatrati zakonodavnom mjerom u smislu članka 13. Direktive 95/46. Radi se samo o dvostranom sporazumu, neobjavljenom u Službenom listu, koji ne proizvodi obvezujuće pravne učinke i kojem se treće osobe ne mogu protiviti. Članak 13. Direktive 95/46 u tom pogledu odražava odredbe članka 52. stavka 1. Povelje i članka 8. stavka 2. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda u okviru posebnog područja zaštite osobnih podataka i stoga se treba tumačiti s obzirom na relevantnu sudsku praksu Suda i Europskog suda za ljudska prava.
47. U svakom slučaju i pod pretpostavkom da se može smatrati da rumunjsko zakonodavstvo sadržava potrebno zakonsko odstupanje, ograničenje obveze obavještavanja dotičnih osoba treba odgovarati kriteriju potrebe i biti proporcionalno. Čak i ako se može prihvatiti da, s jedne strane, funkcioniranje javnog zdravstvenog osiguranja za slučaj bolesti predstavlja cilj od općeg interesa u smislu članka 13. Direktive 95/46 i da ANAF‑ovo prosljeđivanje podataka CNAS‑u doprinosi ostvarivanju tog cilja, ipak je teško shvatiti po čemu bi bilo potrebno propustiti obavijestiti dotične osobe jer to obavještavanje ne može ugroziti ostvarivanje navedenog cilja.
B – Glavne relevantne odredbe Direktive 95/46
48. Kako bi se sudu koji je uputio zahtjev mogao dati koristan odgovor, valja započeti podsjećanjem na glavna pravila utvrđena člancima 5. do 7. i 10. do 13. Direktive 95/46, koja su u dijelu u kojem uređuju obradu i prosljeđivanje osobnih podataka relevantna za rješavanje spora u glavnom postupku.
49. U skladu s člankom 5. Direktive 95/46, države članice moraju u granicama odredaba njezinih članaka 6. do 21. podrobno utvrditi uvjete pod kojima je obrada [osobnih] podataka zakonita.
50. Kao što je to Sud više puta podsjetio, osim odstupanja predviđenih u članku 13. Direktive 95/46, svaka obrada osobnih podataka treba, s jedne strane, biti u skladu s načelima koja se odnose na kvalitetu podataka navedenima u članku 6. spomenute direktive i, s druge strane, odgovarati na jedno od načela koja se odnose na zakonitost obrade podataka navedenih u članku 7. te iste direktive(11).
51. Što se tiče ovog predmeta, člancima 6. i 7. te direktive definirana su prva tri zahtjeva koja se odnose na prikupljanje i obradu osobnih podataka.
52. Nadzornik(12) mora osobito osigurati da se osobni podaci prikupljaju u posebne, izričite i zakonite svrhe, da se obrađuju pošteno i zakonito te da ih se dalje ne obrađuje na način koji bi bio nespojiv s tom svrhom(13).
53. S druge strane, člankom 7. Direktive 95/46 predviđeno je da se obrada osobnih podataka može smatrati zakonitom i stoga izvršiti jedino ako odgovara jednom od ondje navedenih slučajeva, a u vezi s ovim predmetom osobito samo ako je osoba čiji se podaci obrađuju nedvosmisleno dala svoju suglasnost u tom pogledu(14), ili ako je obrada potrebna za sukladnost sa zakonskom obvezom kojoj nadzornik podliježe(15) ili još ako je potrebna za izvršavanje zadatka koji se provodi zbog javnog interesa ili pri izvršavanju javne ovlasti koju ima nadzornik ili treća stranka kojoj se podaci otkrivaju(16).
54. Sud je presudio da je tom odredbom utvrđen iscrpan i taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom(17). On je također pojasnio, u pogledu cilja Direktive 95/46, koji se sastoji u osiguranju jednake razine zaštite u svim državama članicama, da pojam potrebe, onako kako proizlazi iz članka 7. točke (e) te direktive, ne može imati različit sadržaj ovisno o državama članicama i stoga predstavlja autonoman pojam prava Unije(18).
55. Člancima 10. i 11. Direktive 95/46 utvrđuju se obveze nadzornika, pri čemu se razlikuje slučaj prikupljanja podataka od osobe čiji se podaci obrađuju od slučaja kada podaci nisu dobiveni od osobe čiji se podaci obrađuju.
56. Članak 10. Direktive 95/46 u vezi s njezinom uvodnom izjavom 38. predviđa da osobe od kojih je nadzornik prikupio podatke, osim u slučaju da su o tome već obaviještene, moraju imati mogućnost upoznati se s postupkom obrade i moraju im se dati točni i potpuni podaci u vezi s prikupljanjem, a osobito, kako bi se prikupljanje moglo smatrati poštenim, podaci o svrsi obrade podataka i o primateljima ili vrstama primatelja tih podataka, kako je navedeno u članku 10. točkama (b) i (c).
57. Članak 11. stavak 1. Direktive 95/46 u vezi s njezinim uvodnim izjavama 39. i 40. predviđa slučajeve u kojima se obrada odnosi na podatke koji nisu dobiveni od osoba čiji se podaci obrađuju, a osobito kada se opravdano otkrivaju trećoj stranci iako to otkrivanje nije bilo predviđeno u trenutku njihova prikupljanja(19). U tim je slučajevima potrebno obavijestiti osobe čiji se podaci obrađuju u trenutku kada su podaci evidentirani ili barem kada su prvi put otkriveni trećoj stranci – osim ako inače nisu obaviještene – među ostalim, o svrsi obrade, vrsti podataka i o primateljima ili vrstama primatelja podataka, kako je navedeno u članku 11. stavku 1. točkama (b) i (c).
58. Međutim, u skladu s člankom 11. stavkom 2. te iste direktive, odredbe njegova stavka 1. ne primjenjuju se, među ostalim, ako je bilježenje ili otkrivanje propisano zakonom, pri čemu države članice moraju propisati i odgovarajuću zaštitu.
59. Naposljetku, članak 13. Direktive 95/46, naslovljen „Iznimke i ograničenja“, predviđa da države članice mogu donijeti propise za ograničavanje područja primjene obveza i prava, među ostalim, iz članka 6. stavka 1. i članka 11. stavka 1. navedene direktive, kada takvo ograničavanje predstavlja potrebne mjere za zaštitu viših interesa, a osobito „važnoga gospodarskog ili financijskog interesa države članice ili Europske unije, uključujući novčana, proračunska i porezna pitanja“(20), ili „nadzora, inspekcije ili regulatorne funkcije povezane, čak i povremeno, s izvršavanjem javnih ovlasti u slučajevima iz točke (c), (d) i (e)“ članka 13. stavka 1. te direktive(21).
60. Situaciju o kojoj je riječ u glavnom postupku sada valja ispitati s obzirom na sve te odredbe.
C – Kvalifikacija situacije u glavnom postupku s obzirom na Direktivu 95/46
61. Na prvome mjestu valja utvrditi da podaci o kojima je riječ u glavnom postupku i koje ANAF prosljeđuje CNAS‑u predstavljaju osobne podatke u smislu članka 2. točke (a) Direktive 95/46. Naime, ti podaci – koji obuhvaćaju, među ostalim, prezime i ime dotičnih osoba(22) kao i informacije o njihovim prihodima(23) – nesporno predstavljaju „informacije koje se tiču fizičke osobe čiji je identitet utvrđen ili se može utvrditi“. ANAF‑ovo prosljeđivanje i CNAS‑ova obrada tih podataka imaju obilježje obrade osobnih podataka u smislu članka 2. točke (b) navedene direktive.
62. Nije sporno ni to da situacija o kojoj je riječ u glavnom postupku doista spada u područje primjene Direktive 95/46.
63. Situacija o kojoj je riječ u glavnom postupku može, osim toga, biti obuhvaćena člankom 10. Direktive 95/46 i njezinim člankom 11. Naime, kao što to proizlazi iz prethodnih razmatranja, ANAF‑ova poštena obrada osobnih podataka tužitelja u glavnom postupku podrazumijevala je da ih ANAF obavještava osobito o prosljeđivanju tih podataka CNAS‑u, u skladu s člankom 10. točkom (c) Direktive 95/46. Osim toga, CNAS‑ova obrada podatka koje je dostavio ANAF podrazumijevala je također da su navedeni tužitelji trebali biti obaviješteni barem o svrsi navedene obrade kao i o vrstama podataka, u skladu s člankom 11. stavkom 1. točkama (b) i (c) Direktive 95/46.
64. Na drugome mjestu valja istaknuti da se pitanje suda koji je uputio zahtjev(24) ne odnosi na ANAF‑ovu obradu osobnih podataka o kojima je riječ u glavnom postupku, odnosno konkretno na pravila o zakonitosti te obrade u smislu članaka 6. i 7. Direktive 95/46.
65. Pitanje se odnosi samo na prijenos podataka s jedne javne institucije na drugu, konkretno na prijenos CNAS‑u podataka koje je ANAF prikupio te na CNAS‑ovu obradu navedenih podataka, što su operacije koje su se, s jedne strane, odvijale bez bilo kakve suglasnosti i obavještavanja dotičnih osoba, a koje su, s druge strane, poduzete na temelju nacionalnog propisa koji ne odgovara zahtjevima Direktive 95/46, konkretno, obvezama obavještavanja dotičnih osoba predviđenih u člancima 10. i 11. Direktive 95/46.
66. Četvrto pitanje suda koji je uputio zahtjev, koje se mora ispitati s aspekta ANAF‑ovih i CNAS‑ovih obveza, stoga se mora razmotriti prije svega s obzirom na odredbe članaka 7., 10. i 11. Direktive 95/46 i uvjete sadržane u njima, a koji se odnose na suglasnost i obavještavanje osoba na koje se odnosi predmetna obrada podataka. Ono će se također morati, prema potrebi, razmotriti s obzirom na odredbe članka 13. iste direktive kojim su utvrđene iznimke i ograničenja područja primjene obveza i prava iz, među ostalim, članka 10. i članka 11. stavka 1. te iste direktive.
D – Poštovanje zahtjeva o obavještavanju osoba utvrđenih u člancima 10. i 11. Direktive 95/46
67. Nesporno je da tužitelji te, šire, osobe na koje se odnosi ANAF‑ovo prosljeđivanje CNAS‑u podataka koje prikuplja i CNAS‑ova obrada tih podataka, nisu, s jedne strane, bili obaviješteni o tom ANAF‑ovu prosljeđivanju u skladu sa zahtjevima članka 10. Direktive 95/46. Osim toga, te osobe nisu, s druge strane, formalno dale suglasnost za navedenu CNAS‑ovu obradu u smislu članka 7. stavka 1. točke (a) Direktive 95/46 niti su bile obaviještene o toj obradi u skladu s odredbama članka 11. stavka 1. iste direktive.
68. Što se tiče suglasnosti, jasno proizlazi da je, kao što to ističu rumunjska vlada i CNAS, CNAS‑ova obrada osobnih podataka osoba koje ostvaruju prihode od samostalnih djelatnosti obuhvaćena odredbama članka 7. točke (e) Direktive 95/46. Slijedom toga, suglasnost tih osoba u tom pogledu nije bila potrebna(25).
69. Naime, CNAS u ovom slučaju ima obvezu na temelju Zakona br. 95/2006 utvrditi status osiguranika onih osoba koje ostvaruju prihode od samostalnih djelatnosti, pri čemu se priznavanje tog statusa uvjetuje time da te osobe plaćaju doprinose za osiguranje za slučaj bolesti područnim fondovima za osiguranje za slučaj bolesti. Stoga je CNAS‑ova obrada osobnih podataka osoba koje ostvaruju prihode od samostalnih djelatnosti koje mu dostavlja ANAF potrebna za utvrđivanje njihova statusa osiguranika i naposljetku za korištenje pravima koja proistječu iz tog statusa. Proizlazi da suglasnost osoba na koje se odnosi predmetna obrada osobnih podataka nije bila potrebna.
70. Međutim, na sudu koji je uputio zahtjev jest da se uvjeri da podaci koji su proslijeđeni i koje je CNAS obradio odgovaraju kriteriju potrebe koji je predviđen tom odredbom, tako da utvrdi da ne prelaze ono što je nužno potrebno za ispunjavanje CNAS‑ove zadaće(26).
71. Stoga, ono što u biti zaslužuje pozornost jest pitanje poštovanja zahtjeva u vezi s obavještavanjem osoba na koje se odnosi ANAF‑ovo prosljeđivanje osobnih podataka i njihova obrada od CNAS‑a, pod uvjetima utvrđenima u člancima 10. i 11. Direktive 95/46.
72. Kao što je to već gore naznačeno, za ANAF‑ovo prosljeđivanje CNAS‑u osobnih podataka osoba koje ostvaruju prihode od samostalnih djelatnosti i CNAS‑ovu obradu navedenih podataka može se smatrati da odgovaraju zahtjevima Direktive 95/46 samo pod uvjetom da su dotične osobe bile o tome obaviještene u skladu s člancima 10. i 11. stavkom 1. te iste direktive.
73. Konkretno, na državi članici jest da propiše potrebne mjere tako da jedna i druga od tih dviju institucija – obje odgovorne za obradu osobnih podataka o kojoj je riječ u glavnom postupku – dostave dotičnim osobama potrebne informacije, to jest ANAF na temelju članka 10. Direktive 95/46, a CNAS na temelju članka 11. te iste direktive, osim ako je u ovom potonjem slučaju bilježenje ili otkrivanje propisano zakonom.
74. U tom pogledu valja naglasiti da je, kao što je to Komisija istaknula tijekom rasprave, taj zahtjev za obavještavanje osoba na koje se odnosi obrada njihovih osobnih podataka, a koji jamči transparentnost svake obrade, još važniji jer se njime uvjetuje ostvarivanje prava zainteresiranih osoba na pristup obrađenim podacima, kako je propisano člankom 12. Direktive 95/46, i njihovo pravo prigovora obradi navedenih podataka, kako je definirano u članku 14. iste direktive.
75. U ovom je slučaju nesporno da tužitelje u glavnom postupku ANAF nije formalno ni pojedinačno obavijestio o prosljeđivanju njihovih osobnih podataka CNAS‑u, a osobito podataka u vezi s njihovim prihodima, kako to zahtijeva članak 10. Direktive 95/46. Također je nesporno da im CNAS prilikom bilježenja podataka koje mu je ANAF proslijedio nije dostavio ni informacije navedene u članku 11. stavku 1. točkama (a) do (c) Direktive 95/46.
76. Međutim, rumunjska vlada ističe da, na temelju više odredaba Zakonika o poreznom postupku i članka 315. Zakona br. 95/2006, ANAF ima obvezu područnim fondovima za osiguranje za slučaj bolesti proslijediti podatke koji su potrebni da CNAS utvrdi „status osiguranika“ osoba koje ostvaruju prihode od samostalnih djelatnosti i da se iznos doprinosa koji te osobe moraju platiti ne može utvrditi na temelju podataka o navedenim prihodima koje ima ANAF, a kojemu navedene osobe moraju dostaviti izjavu o godišnjim prihodima.
77. Rumunjska vlada usto tvrdi da zakon predviđa CNAS‑ovu obvezu da obrađuje osobne podatke osoba koje ostvaruju prihode od samostalnih djelatnosti, osobito radi pokretanja postupka prisilne naplate neplaćenih doprinosa, a ANAF ima odgovarajuću obvezu dostavljanja podataka o prihodima navedenih osoba koji su potrebni u tu svrhu, pri čemu pojašnjava da su konkretni uvjeti za prosljeđivanje predmetnih podataka između dviju nacionalnih institucija uređeni Protokolom od 26. listopada 2007. koji je sklopljen između tih dviju institucija i izričito predviđen člankom 315. Zakona br. 95/2006.
78. U tom pogledu prije svega valja primijetiti da okolnost da se prosljeđivanje spornih podataka odvija između javnih institucija u okviru ispunjavanja općih obveza suradnje predviđenih općim odredbama Zakona br. 95/2005 ili Zakonika o poreznom postupku ne može sama po sebi osloboditi državu članicu i dotične institucije obveza obavještavanja koje imaju na temelju Direktive 95/46.
79. Nipošto se ne može smatrati da članak 315. Zakona br. 95/2006 može zamijeniti prethodno obavještavanje dotičnih osoba u smislu članka 10. Direktive 95/46. Ta odredba, naime, upućuje na podatke o statusu osiguranika a da uopće ne spominje prihode dotičnih osoba, tako da se za te osobe ne može smatrati da su obaviještene o prosljeđivanju podataka koji se odnose na njihove prihode u smislu navedenog članka 10.
80. Međutim, podaci o prihodima dotičnih osoba toliko su važni da uvelike opravdavaju to da se o njihovu prosljeđivanju javne institucije koja ih je prikupila drugoj javnoj instituciji posebno obavijesti u skladu sa zahtjevima iz članka 10. točaka (b) i (c) Direktive 95/46, a što nije bio slučaj u glavnom postupku.
E – Poštovanje zahtjeva iz članka 13. Direktive 95/46
81. U ovom stadiju analize ostaje još samo ispitati može li neobavještavanje dotičnih osoba potpasti, alternativno, pod zahtjeve iz članka 13. Direktive 95/46, odredbe koja predviđa mogućnost da države članice uvedu iznimke i ograničenja područja primjene obveza i prava iz, među ostalim, članka 10. i članka 11. stavka 1. te direktive, poštujući jamstva koja odgovaraju onima iz članka 52. stavka 1. Povelje(27). Ta odredba podrazumijeva da je takvo ograničenje obveze obavještavanja dotičnih osoba predviđeno zakonodavnom mjerom(28), da je opravdano ciljevima od općeg interesa navedenima u toj odredbi i da treba biti nužno proporcionalno cilju koji se nastoji ostvariti.
82. U ovom slučaju nije sporno da bi se ANAF‑ovo prosljeđivanje podataka potrebnih da CNAS utvrdi status osiguranika osoba koje ostvaruju prihode od samostalnih djelatnosti, kao i CNAS‑ova obrada tako proslijeđenih podataka, mogli pokazati nužnima za zaštitu gospodarskog ili financijskog interesa predmetne države članice u smislu članka 13. stavka 1. točke (e) Direktive 95/46.
83. Međutim, ni iz odluke kojom se upućuje prethodno pitanje ni iz pisanih i usmenih očitovanja koja je Sudu podnijela rumunjska vlada ne proizlazi da nacionalno zakonodavstvo mjerodavno u glavnom postupku sadržava zakonodavne odredbe koje jasno i izričito izuzimaju ANAF i/ili CNAS od njihovih obveza obavještavanja.
84. U tom se pogledu ne može prihvatiti argument koji je iznijela rumunjska vlada i prema kojem zakonske odredbe koje ANAF obvezuju da CNAS‑u prosljeđuje podatke potrebne za izvršavanje njegove zadaće i Protokol od 26. listopada 2007., koji je sklopljen između tih dviju institucija i kojim se organizira to prosljeđivanje, predstavljaju „zakonodavnu mjeru“ koja se zahtijeva člankom 13. stavkom 1. Direktive 95/46 u svrhu odstupanja od obveze obavještavanja koju nadzornici imaju.
85. Naime, Protokol od 26. listopada 2007., na koji se rumunjska vlada poziva, očito ne odgovara, kao što to ističe Komisija, prvom od tih zahtjeva jer ni po čemu ne sliči zakonodavnoj mjeri opće primjene koja je pravilno objavljena i kojoj osobe na koje se odnosi obrada spornih podataka mogu prigovoriti.
86. Slijedom navedenog, smatram da na četvrto pitanje suda koji je uputio zahtjev treba odgovoriti presuđujući da Direktivu 95/46 treba tumačiti na način da joj se protivi nacionalni propis kao što je onaj o kojem je riječ u glavnom postupku, a koji javnoj instituciji države članice dopušta da obrađuje osobne podatke koje joj je proslijedila druga javna institucija, osobito podatke koji se odnose na prihode dotičnih osoba, a da te osobe nisu bile unaprijed obaviještene ni o tom prosljeđivanju ni o toj obradi.
VI – Zaključak
87. S obzirom na sva iznesena razmatranja, predlažem Sudu da na prethodna pitanja koja je postavila Curtea de Apel Cluj odgovori na sljedeći način:
1. Prva tri prethodna pitanja o tumačenju članka 124. UFEU‑a su nedopuštena.
2. Direktivu 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka treba tumačiti na način da joj se protivi nacionalni propis kao što je onaj o kojem je riječ u glavnom postupku, a koji javnoj instituciji države članice dopušta da obrađuje osobne podatke koje joj je proslijedila druga javna institucija, osobito podatke koji se odnose na prihode dotičnih osoba, a da te osobe nisu bile unaprijed obaviještene ni o tom prosljeđivanju ni o toj obradi.