РЕШЕНИЕ НА СЪДА (трети състав)
1 октомври 2015 година(*)
„Преюдициално запитване —Директива 95/46/ЕО — Обработка на лични данни — Членове 10 и 11 — Уведомяване на съответните лица — Член 13 — Изключения и ограничения — Предаване на лични данъчни данни от структура на публичната администрация на държава членка с оглед на обработването им от друга структура на публичната администрация“
По дело C‑201/14
с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Апелативен съд Клуж (Curtea de Apel Cluj, Румъния) с акт от 31 март 2014 г., постъпил в Съда на 22 април 2014 г., в рамките на производство по дело
Smaranda Bara и др.
срещу
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF),
СЪДЪТ (трети състав),
състоящ се от: M. Ilešič, председател на състава, A. Ó Caoimh, C. Toader, E. Jarašiūnas и C. G. Fernlund (докладчик), съдии,
генерален адвокат: P. Cruz Villalón,
секретар: L. Carrasco Marco, администратор,
предвид изложеното в писмената фаза на производството и в съдебното заседание от 29 април 2015 г.,
като има предвид становищата, представени:
– за Smaranda Bara и др., от C. F. Costaş и M. K. Kapcza, avocați,
– за Casa Naţională de Asigurări de Sănătate, от V. Ciurchea, в качеството на представител,
– за румънското правителство, от R. H. Radu, A. Buzoianu, A.‑G. Văcaru и D. M. Bulancea, в качеството на представители,
– за чешкото правителство, от M. Smolek и J. Vláčil, в качеството на представители,
– за Европейската комисия, от I. Rogalski, B. Martenczuk и J. Vondung, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 9 юли 2015 г.,
постанови настоящото
Решение
1 Преюдициалното запитване се отнася до тълкуването на член 124 ДФЕС, както и на членове 10, 11 и 13 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10).
2 Запитването е отправено в рамките на спор между г‑жа Bara и др. и Președintele Casei Naționale de Asigurări de Sănătate (председателят на Националната здравноосигурителна каса), Casa Națională de Asigurări de Sănătate (Националната здравноосигурителна каса, наричана по-нататък „CNAS“) и Agenția Națională de Administrare Fiscală (Националната агенция за управление на данъците, наричана по-нататък „ANAF“) по повод на обработката на някои данни.
Правна уредба
Правото на Съюза
3 Съгласно член 2 от Директива 95/46, озаглавен „Определения“:
„По смисъла на настоящата директива:
а) „лични данни“ означава всяка информация, свързана с идентифицирано или подлежащо на идентификация лице („съответно физическо лице“); за подлежащо на идентифициране лице се смята това лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификационен номер или един или повече специфични признаци, отнасящи се до неговата физическа, физиологическа, психологическа, умствена, икономическа, културна или социална самоличност;
б) „обработване на лични данни“ („обработване“) означава всяка операция или набор от операции, извършвани или не с автоматични средства, прилагани към личните данни, като събиране, запис, организиране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на предоставяне на данните, актуализиране или комбиниране, блокиране, изтриване или унищожаване;
в) „файл с лични данни“ („файл“) означава всеки структуриран набор от лични данни, достъпен по определени критерии, централизиран, децентрализиран или разпределен по функционален или географски принцип;
г) „администратор“ означава физическо или юридическо лице, държавен орган, агенция или друг орган, който сам или съвместно с други определя целите и средствата на обработка на лични данни; когато целите и средствата на обработката се определят от национални или общностни законови или подзаконови разпоредби, администраторът или специфичните критерии за неговото назначаване могат да бъдат определени в националното право или в правото на Общността;
[…]“.
4 Член 3 от тази директива, със заглавие „Приложно поле“, гласи:
„1. Настоящата директива се прилага към пълната или частична обработка на лични данни с автоматизирани средства, както и към обработката със средства, които не са автоматизирани, на лични данни, съставляващи част от файлова система, или които са предназначени да съставляват част от файлова система.
2. Настоящата директива не се прилага за обработването на лични данни:
– при извършване на дейности, извън приложното поле на правото на Общността, например дейностите, предвидени в дял V и дял VI от Договора за Европейския съюз, и във всички случаи при дейности по обработването на данни, отнасящи се до обществената сигурност, отбраната, държавната сигурност (включително икономическото благосъстояние на държавата, когато процесът на обработка е свързани с държавната сигурност) и при дейности на държавата в областта на наказателното право,
– когато се извършва от физическо лице в хода на предимно лични или домашни занимания“.
5 Съгласно член 6 от посочената директива, който се отнася до принципите във връзка с качеството на данните:
„1. Държавите членки предвиждат, че личните данни трябва:
а) да се обработват справедливо и законно;
б) да се събират за конкретни, ясно формулирани и законни цели и да не бъдат допълнително обработени по начин, който е несъвместим с тези цели. Допълнителната обработка на данните за исторически, статистически или научни цели няма да се разглежда като несъвместима, при условие че държавите членки предоставят необходимите гаранции за това;
в) да бъдат адекватни, релевантни, и да не са прекомерни по отношение на целите, за които се събират и/или обработват допълнително;
г) да бъдат точни и при необходимост да се актуализират; трябва да се предприемат всички възможни разумни стъпки, за да се гарантира, че данни, които са неточни или непълни по отношение на целите, за които са събрани, или за които се обработват допълнително, се изтриват или поправят;
д) да се поддържат във форма, която позволява идентифицирането на съответните физически лица за срок не по-дълъг от необходимия за целите, за които тези данни са събрани или обработени допълнително. Държавите членки предвиждат подходящи гаранции за личните данни, съхранявани за по-дълъг срок за исторически, статистически или научни цели.
2. Администраторът осигурява спазването на параграф 1“.
6 Член 7 от същата директива, който се отнася до критериите за законосъобразност на обработването на данни, гласи:
„Държавите членки предвиждат, че обработването на лични данни може да се извършва, само ако:
а) съответното физическо лице е дало недвусмислено своето съгласие за това;
или
б) обработването е необходимо за изпълнението на договор, по който съответното физическо лице е страна, или за да се предприемат стъпки по искане на съответното физическо лице преди сключването на договора;
или
в) обработването е необходимо за спазването на правно задължение, чийто субект е администраторът;
или
г) обработването е необходимо, за да бъдат защитени жизнено важни интереси на съответното физическо лице;
или
д) обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора или трето лице, на което се разкриват данните;
или
е) обработването е необходимо за целите на законните интереси, преследвани от администратора или от трето лице или лица, на които се разкриват данните, с изключение на случаите, когато пред тези интереси имат преимущество интереси, свързани с основните права и свободи на съответното физическо лице, които изискват защита по силата на член 1, параграф 1“.
7 Член 10 от Директива 95/46, озаглавен „Информация при събиране на данни от съответното физическо лице“, гласи:
„Държавите членки предвиждат, че администраторът или неговият представител трябва да предостави на съответното физическо лице, от което се събират данни, отнасящи се за [самото] него, най-малкото следната информация, освен в случаите, когато то вече я притежава:
а) самоличността на администратора или на неговия представител, когато има такъв;
б) целта на обработването, за което данните са предназначени;
в) всякаква друга информация, например:
– получателите или категориите получатели на данни;
– дали отговорите на въпросите са задължителни или доброволни, както и евентуалните последици при липса на отговор;
– наличието на право на достъп и на право на поправка, на данните, които се отнасят до него,
доколкото подобна допълнителна информация е необходима като се отчитат конкретните обстоятелства, при които се събират данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице“.
8 Член 11 от тази директива, озаглавен „Информация в случаите, когато данните не са получени от съответното физическо лице“, предвижда:
„1. Когато данните не са получени от съответното физическо лице, държавите членки предвиждат, че администраторът или негов представител трябва, при записването на личните данни или ако се предвижда разкриването им на трета страна не по-късно от момента, когато данните се разкриват за пръв път, да предостави на съответното физическо лице най-малко следната информация, освен в случаите, когато то вече я притежава:
а) самоличността на администратора или на неговия представител, когато има такъв;
б) целите на обработването;
в) всякаква допълнителна информация, като:
– категориите данни;
– получателите или категориите получатели на данни;
– наличието на право на достъп и на право на поправка, на данните, които се отнасят до него,
доколкото подобна информация е необходима, като се отчитат конкретните обстоятелства, при които се обработват данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице.
2. Параграф 1 не се прилага в случаите, когато, в частност, при обработка за статистически цели или за целите на историческо или научно изследване, предоставянето на подобна информация се оказва невъзможно или е свързано с прекомерно усилие, или ако записът или разкриването е постановено изрично от закона. В тези случаи държавите членки предоставят подходящи гаранции“.
9 Съгласно член 13 от посочената директива, озаглавен „Изключения и ограничения“:
„1. Държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени в член 6, параграф 1, член 10, член 11, параграф 1, член 12 и член 21, ако подобно ограничаване представлява необходима мярка за гарантиране на:
а) националната сигурност;
б) отбраната;
в) обществената сигурност;
г) предотвратяването, разследването, разкриването и преследването на углавни престъпления или за нарушения на етичните кодекси при регламентираните професии;
д) важни икономически и финансови интереси на държавата членка или на Европейския съюз, включително валутни, бюджетни и данъчни въпроси;
е) функции по наблюдение, проверка или регламентиране, свързани, дори случайно, с упражняването на официални правомощия в случаите, посочени в букви в), г) и д);
ж) защита на съответното физическо лице или на правата и свободите на други лица.
2. При условие, че са налице адекватни законови гаранции, и в частност, че данните не се използват за предприемане на мерки или вземане на решения относно конкретно лице, държавите членки могат, когато очевидно не съществува никакъв риск от накърняване на личния живот на съответното физическо лице, да ограничат чрез законодателна мярка правата, предвидени в член 12, ако данните се обработват единствено за целите на научни изследвания или се съхраняват под формата на лични данни за период, който не превишава периода, необходим единствено за създаване на статистически данни“.
Румънското право
Закон № 95/2006
10 Съгласно акта за преюдициално запитване член 215 от Закон № 95/2006 относно реформата в областта на здравеопазването (Legea nr. 95/2006 privind reforma în domeniul sănătății) от 14 април 2006 г. (Monitorul Oficial al României, част I, бр. 372 от 28 април 2006 г.), предвижда:
„(1) Задължението за превеждане на вноската за обществено здравно осигуряване е на физическото или юридическото лице, което наема лица по индивидуален трудов договор или въз основа на специален статут, предвиден в закон, както и на физическите лица, според съответния случай.
(2) Юридическите или физически лица, за които осигурените лица полагат труд, са длъжни всеки месец да представят в свободно избраните от осигурените лица здравноосигурителни каси поименни декларации за задълженията, които имат към фонда, и оправдателен документ за платените вноски.
[…]“.
11 Член 315 от този закон гласи:
„Данните, необходими за определяне на качеството на осигурено лице, се предават безплатно на здравноосигурителните каси от публичните органи или от други институции, с протокол“.
Заповед № 617/2007 на председателя на CNAS
12 Член 35 от Заповед № 617/2007 на председателя на CNAS от 13 август 2007 г. за одобряване на методологичните норми за изготвяне на оправдателните документи за получаването на качеството на осигурено лице, съответно на осигурено лице, освободено от заплащане на вноски, както и за прилагане на мерките за принудително събиране на сумите, дължими на Единния национален здравноосигурителен фонд (Monitorul Oficial al României, част I, бр. 649 от 24 септември 2007 г.), предвижда:
„[…] основание за вземанията по задължения за плащане към фонда на осигуряващите се по осигурителен договор физически лица, различни от тези, за които събирането на доходите се извършва от ANAF, е съответно декларацията […], актът за установяване на задължения, издаден от компетентния орган на CAS [здравноосигурителна каса], както и съдебните решения за дължими суми към фонда. Актът за установяване на задължения може да бъде издаден от компетентния орган на CAS и въз основа на данните, постъпили от ANAF с протокол“.
Протоколът от 2007 г.
13 Съгласно член 4 от Протокол № P 5282/26.10.2007/95896/30.10.2007, сключен между CNAS и ANAF (наричан по-нататък „Протоколът от 2007 г.“):
„След влизане в сила на настоящия протокол [ANAF], чрез подведомствените ѝ специализирани звена, предоставя в електронен формат първоначалната база данни относно:
a. доходите на лицата, които попадат в категориите, посочени в член 1, параграф 1 от настоящия протокол, а тримесечно — за актуализирането тази база данни, на [CNAS], във вид, подходящ за автоматичната обработка, в съответствие с приложение № l към настоящия протокол […]
[…]“.
Спорът по главното производство и преюдициалните въпроси
14 Жалбоподателите в главното производство получават доходи като самонаети лица. ANAF предава на CNAS данните относно декларираните им доходи. Въз основа на тези данни CNAS изисква плащане на просрочени вноски към схемата на здравното осигуряване.
15 Жалбоподателите в главното производство сезират апелативния съд в Клуж с жалба, с която оспорват законосъобразността на предаването на данъчни данни за доходите им с оглед на Директива 95/46. Те твърдят, че тези лични данни са предадени въз основа на обикновен вътрешен протокол и са използвани за цели, различни от тези, за които първоначално са били предадени на CNAS, без изричното съгласие на жалбоподателите и без те да са били предварително уведомени за това.
16 От акта за преюдициално запитване е видно, че съгласно Закон № 95/2006 публичните образувания могат да предават лични данни на здравноосигурителните каси, за да могат последните да установят качеството на осигурено лице на съответните физически лица. Тези данни се отнасят до идентификацията на лицето (фамилно име, лично име, единен граждански номер, адрес), но не включват данните относно получените доходи.
17 Запитващата юрисдикция иска да установи дали обработката на данните от CNAS предполага предварително уведомяване на съответните физически лица за самоличността на администратора и за целта на предаването на данните. Освен това тя трябва да се произнесе по въпроса дали предаването на данни въз основа на Протокола от 2007 г. противоречи на разпоредбите на Директива 95/46, които изискват всяко ограничаване на правата на съответните физически лица да бъде предвидено със закон и да е придружено от гаранции, по-специално когато тези данни се използват срещу посочените лица.
18 При тези обстоятелства апелативният съд в Клуж решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1) Съставлява ли финансова институция по смисъла на член 124 ДФЕС националният данъчен орган като представител на ресорното министерство на държава членка?
2) Възможно ли е предаването от националния данъчен орган на базата данни за доходите, получавани от гражданите на държава членка, на друга институция на държавата членка, да се урежда с акт, приравнен на административен акт, по-конкретно с протокол, подписан между националния данъчен орган и друга държавна институция, без да е налице привилегирован достъп, така както той е определен в член 124 ДФЕС?
3) Вписва ли се в понятието „обосновани от разумни съображения мерки“ по смисъла на член 124 ДФЕС предаването на базата данни с цел установяване в тежест на гражданите на държавата членка на задължения за плащане като социални осигуровки към институцията на държавата членка, в полза на която се извършва предаването?
4) Могат ли да бъдат обработвани личните данни от орган, за който тези данни не са предназначени, доколкото тази операция води с обратно действие до имуществени вреди?“.
По преюдициалните въпроси
По допустимостта
По допустимостта на първия, втория и третия въпрос
19 Съгласно постоянната съдебна практика Съдът може да откаже да се произнесе по зададен от национална юрисдикция преюдициален въпрос, когато е очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора по главното производство, когато проблемът е от хипотетично естество или още когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (вж. решение PreussenElektra, C‑379/98, EU:C:2001:160, т. 39 и цитираната съдебна практика).
20 Във всички представени пред Съда становища се твърди, че първият, вторият и третият въпрос, които се отнасят до тълкуването на член 124 ДФЕС, са недопустими, тъй като нямат връзка с предмета на спора по главното производство.
21 В това отношение следва да се припомни, че член 124 ДФЕС е включен в част трета, дял VIII от Договора за функционирането на ЕС, относно икономическата и паричната политика. Този член забранява всички необосновани с разумни съображения мерки, които създават привилегирован достъп на институции, органи, служби или агенции на Съюза, органи на централната власт, регионални, местни или други органи на публична власт, други органи, регулирани от публичното право, или публични предприятия на държавите членки до финансови институции.
22 Тази забрана се основава на член 104 А от Договора за ЕО (впоследствие член 102 ЕО), включен в Договора за ЕО с Договора от Маастрихт. Тя е част от разпоредбите на Договора за функционирането на ЕС относно икономическата политика, които целят да насърчат държавите членки да водят разумна бюджетна политика, като предотвратят опасността паричното финансиране на публичните дефицити или привилегированият достъп на публичните органи до финансовите пазари да доведе до прекомерно задлъжняване или прекомерни дефицити на държавите членки (вж. в този смисъл решение Gauweiler и др., C‑62/14, EU:C:2015:400, т. 100).
23 Ето защо е ясно, че исканото тълкуване на член 124 ДФЕС няма никаква връзка с предмета на спора в главното производство, който се отнася до защитата на личните данни.
24 Поради това не следва да се отговаря на първия, втория и третия въпрос.
По допустимостта на четвъртия въпрос
25 CNAS и румънското правителство поддържат, че четвъртият въпрос е недопустим. Това правителство твърди, че няма никаква връзка между твърдяната от жалбоподателите в главното производство вреда и отмяната на обжалваните административни актове в рамките на главното производство.
26 В това отношение следва да се припомни, че съгласно постоянната практика на Съда въпросите, които са свързани с тълкуването на правото на Съюза и са поставени от националния съд в нормативната и фактическата рамка, които той определя съгласно своите правомощия и проверката на чиято точност не е задача на Съда, се ползват с презумпция за релевантност. Съдът може да откаже да се произнесе по отправеното от национална юрисдикция преюдициално запитване само ако е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или също когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (решение Fish Legal и Shirley, C‑279/12, EU:C:2013:853, т. 30 и цитираната съдебна практика).
27 Следва да се отбележи, че делото в главното производство се отнася до законосъобразността на обработването на данъчни данни, събрани от ANAF. Запитващата юрисдикция поставя въпроса за тълкуването, което следва да се даде на разпоредбите на Директива 95/46 в рамките на контрола за законосъобразност на предаването на посочените данни на CNAS и на последващата им обработка. Ето защо четвъртият въпрос е релевантен и достатъчно точен, за да позволи на Съда да даде полезен отговор. Поради това преюдициалното запитване трябва да се приеме за допустимо по отношение на четвъртия въпрос.
По съществото на спора
28 С четвъртия си въпрос запитващата юрисдикция иска по същество да установи дали членове 10, 11 и 13 от Директива 95/46 трябва да се тълкуват в смисъл, че не допускат национални мерки като разглежданите в главното производство, които позволяват на структура на публичната администрация на държава членка да предаде лични данни на друга структура на публичната администрация и последващото им обработване, без съответните физически лица да са били уведомени за това предаване на данни и за това обработване.
29 В това отношение следва да се констатира, въз основа на предоставената от запитващата юрисдикция информация, че данъчните данни, предадени на CNAS от ANAF, представляват лични данни по смисъла на член 2, буква а) от посочената директива, тъй като става въпрос за „информация, свързана с идентифицирано или подлежащо на идентификация лице“ (решение Satakunnan Markkinapörssi и Satamedia, C‑73/07, EU:C:2008:727, т. 35). Следователно както предаването на тези данни от ANAF, която отговаря за управлението на базата данни, която ги обединява, така и последващото им обработване от страна на CNAS представляват „обработване на лични данни“ по смисъла на член 2, буква б) от същата директива (в този смисъл вж. по-специално решения Österreichischer Rundfunk и др., C‑465/00, C‑138/01 и C‑139/01, EU:C:2003:294, т. 64 и Huber, C‑524/06, EU:C:2008:724, т. 43).
30 Съгласно разпоредбите на глава II от Директива 95/46, озаглавена „Общи правила относно законността на обработването на лични данни“, извън случаите на допуснатите на основание член 13 от тази директива случаи на дерогиране обработването на лични данни трябва да отговаря, от една страна, на отнасящите се до качеството на данните принципи, прогласени в член 6 от посочената директива, и от друга страна, на някой от критериите за законосъобразност на обработването на лични данни, изброени в член 7 от същата директива (решения Österreichischer Rundfunk и др., C‑465/00, C‑138/01 и C‑139/01, EU:C:2003:294, т. 65, Huber, C‑524/06, EU:C:2008:724, т. 48 и ASNEF и FECEMD, C‑468/10 и C‑469/10, EU:C:2011:777, т. 26).
31 Освен това администраторът или неговият представител има задължение за уведомяване, чийто обхват, установен в членове 10 и 11 от Директива 95/46, варира според това дали данните са събрани от съответното физическо лице, или не са получени от него, като се отчитат допустимите дерогации съгласно член 13 от тази директива.
32 Що се отнася, на първо място, до член 10 от посочената директива, той предвижда, че администраторът трябва да предостави на съответното физическо лице, от което се събират данни, отнасящи се до самото него, посочената в букви а)—в) от този член информация, освен ако тя вече е известна на съответното лице. Тази информация се отнася до самоличността на администратора, целта на обработването, както и всяка друга информация, необходима за гарантиране на справедливата обработка на данните. Сред допълнителната информация, необходима за гарантиране на справедливата обработка на данните, член 10, буква в) от същата директива посочва изрично „наличието на право на достъп и на право на поправка на данните, които се отнасят до [посоченото лице]“.
33 Както отбелязва генералният адвокат в точка 74 от своето заключение, това изискване за уведомяване на лицата, чиито лични данни се обработват, е още по-важно, доколкото то е условие за упражняване на правото на тези лица на достъп до обработваните данни и на поправка на същите, уредено в член 12 от Директива 95/46, и на правото на възражение срещу обработването на посочените данни, установено в член 14 от тази директива.
34 От това следва, че предвиденото в член 6 от Директива 95/46 изискване за справедлива обработка на личните данни задължава публичната администрация да уведоми съответните физически лица, че данните им ще бъдат предадени на друга структура на публичната администрация за обработване от страна на последната в качеството ѝ на получател на данни.
35 От предоставената от запитващата юрисдикция информация личи, че жалбоподателите в главното производство не са били уведомени от ANAF за предаването на CNAS на отнасящите се до тях лични данни.
36 Румънското правителство обаче твърди, че ANAF е длъжна, по-специално по силата на член 315 от Закон № 95/2006, да предаде на районните здравноосигурителни каси необходимата информация за определянето от страна на CNAS на качеството на осигурени лица на субектите, които получават доходи като самонаети лица.
37 Наистина член 315 от Закон № 95/2006 предвижда изрично, че „данните, необходими за определяне на качеството на осигурено лице, се предават безплатно на здравноосигурителните каси от публичните органи или от други институции, с протокол“. От предоставената от запитващата юрисдикция информация обаче следва, че данните, необходими за определяне на качеството на осигурено лице по смисъла на тази разпоредба, не включват данните относно доходите, тъй като законът признава качеството на осигурено лице и на лица без облагаеми доходи.
38 При тези условия член 315 от закон № 95/2006 не може да представлява, по смисъла на член 10 от Директива 95/46, предварителна информация, която позволява освобождаване на администратора от задължението му да уведоми лицата, от които е събрал данните относно доходите им, за адресатите на тези данни. Ето защо не може да се приеме, че разглежданото предаване е било извършено в съответствие с разпоредбите на член 10 от Директива 95/46.
39 Следва да се провери дали тази липса на уведомяване на съответните физически лица може да попадне в обхвата на член 13 от посочената директива. Параграф 1, букви д) и е) от този член предвижда, че държавите членки могат да ограничат обхвата на правата и задълженията, предвидени в член 10 от тази директива, ако подобно ограничаване представлява необходима мярка за гарантиране на „важни икономически и финансови интереси на държавата членка […], включително валутни, бюджетни и данъчни въпроси“, както и на „функции по наблюдение, проверка или регламентиране, свързани, дори случайно, с упражняването на официални правомощия в случаите, посочени в букви в), г) и д)“. Посоченият член 13 обаче съдържа изрично изискване всяко евентуално ограничение на задължението за уведомяване да се извършва чрез законодателни мерки.
40 Освен изтъкнатото от запитващата юрисдикция обстоятелство, че данните за доходите не са част от личните данни, необходими за определянето на качеството на осигурено лице, трябва да се подчертае, че член 315 от закон № 95/2006 предвижда само по принцип предаване на такива лични данни, притежавани от органи, публични и други институции. От акта за преюдициално запитване е видно също, че определянето на информацията, която подлежи на предаване, и на реда и условията за предаване на тази информация не е уредено със закон, а чрез Протокола от 2007 г., подписан между ANAF и CNAS, който не е обнародван.
41 При тези условия не може да се приеме, че са изпълнени условията, закрепени с член 13 от Директива 95/46, за да може държава членка да дерогира правата и задълженията, произтичащи от член 10 от тази директива.
42 Що се отнася, на второ място, до член 11 от посочената директива, той предвижда, в параграф 1, че когато данните не са получени от съответното физическо лице, администраторът трябва да предостави на последното информацията, посочена в букви а)—в). Тази информация се отнася до самоличността на администратора, целта на обработването, както и всяка друга информация, необходима за гарантиране на справедливата обработка на данните. Сред допълнителната информация член 11, параграф 1, буква в) от тази директива посочва изрично „категориите данни“, както и „наличието на право на достъп и на право на поправка на данните, които се отнасят до него“.
43 От това следва, че съгласно член 11, параграф 1, букви б) и в) от Директива 95/46, при обстоятелствата в главното производство обработването от страна на CNAS на данните, предадени от ANAF, предполага уведомяване на съответните физически лица за целите на това обработване, както и за категориите данни.
44 Предоставената от запитващата юрисдикция информация обаче показва, че CNAS не е предоставила на жалбоподателите в главното производство информацията, посочена в член 11, параграф 1, букви а)—в) от посочената директива.
45 Следва да се добави, че съгласно член 11, параграф 2 от Директива 95/46 разпоредбите на член 11, параграф 1 от последната не се прилагат по-специално когато записът или разкриването на данните са предвидени изрично от закон, в който случай държавите членки трябва да предоставят подходящи гаранции. По изложените в точки 40 и 41 от настоящото решение съображения разпоредбите на Закон № 95/2006, на които се позовава румънското правителство, и Протоколът от 2007 г. не са обхванати нито от дерогациите по член 11, параграф 2, нито от тези по член 13 от посочената директива.
46 С оглед на всички гореизложени съображения на поставения въпрос следва да се отговори, че членове 10, 11 и 13 от Директива 95/46 трябва да се тълкуват в смисъл, че не допускат национални мерки като разглежданите в главното производство, които позволяват на структура на публичната администрация на държава членка да предаде лични данни на друга структура на публичната администрация и последващото им обработване, без съответните физически лица да са били уведомени за това предаване на данни или за това обработване.
По съдебните разноски
47 С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (трети състав) реши:
Членове 10, 11 и 13 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни трябва да се тълкуват в смисъл, че не допускат национални мерки като разглежданите в главното производство, които позволяват на структура на публичната администрация на държава членка да предаде лични данни на друга структура на публичната администрация и последващото им обработване, без съответните физически лица да са били уведомени за това предаване на данни или за това обработване.
Подписи