FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
P. CRUZ VILLALÓN
fremsat den 9. juli 2015 (1)
Sag C-201/14
Smaranda Bara m.fl.
mod
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF)
(anmodning om præjudiciel afgørelse indgivet af Curtea de Apel Cluj (Rumænien))
»Præjudiciel forelæggelse – økonomisk og monetær politik – artikel 124 TEUF – privilegeret adgang til finansielle institutioner – bestemmelse, der ikke finder anvendelse på tvisten i hovedsagen – åbenbart afvisningsgrundlag – tilnærmelse af lovgivningerne – direktiv 95/46/EF – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – artikel 7 – betingelser i forbindelse med grundlaget for behandling af oplysninger – artikel 10 og 11 – underretning af de registrerede og deres samtykke – artikel 13 – undtagelser og begrænsninger – national lovgivning om erhvervelse af status som socialt forsikret – protokol om videregivelse mellem to offentlige institutioner af personoplysninger vedrørende de registreredes indtægter«
1. I hvilket omfang og i henhold til hvilke retningslinjer har de offentlige institutioner i en medlemsstat lov til under udøvelsen af deres offentlige myndighed at udveksle personoplysninger vedrørende deres borgere, navnlig oplysninger om borgernes indtægter, som de offentlige institutioner indhenter med henblik på udførelsen af deres opgaver af almen interesse? Det er i det væsentlige hovedspørgsmålet i tvisten i hovedsagen, som kræver Domstolens fortolkning af flere bestemmelser i direktiv 95/46/EF (2).
2. Den foreliggende sag giver nærmere bestemt Domstolen lejlighed til at undersøge betingelserne i direktiv 95/46 for videregivelse af personoplysninger fra en administration til en anden og samtidig til at præcisere de forpligtelser, der påhviler såvel offentlige personer, der indgår i en sådan videregivelse, som den nationale lovgiver, der skal fastsætte rammer for denne praksis, bl.a. vedrørende underretning af de registrerede.
I – Retsforskrifter
A – EU-retten
3. De væsentligste bestemmelser i direktiv 95/46, der er relevante for løsningen af tvisten i hovedsagen, er artikel 7, 10, 11 og 13. De øvrige relevante bestemmelser citeres efter behov i det følgende.
4. Følgende fremgår af artikel 7 i direktiv 95/46:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted, hvis:
a) der ikke hersker tvivl om, at den registrerede har givet sit samtykke
eller
b) behandlingen er nødvendig af hensyn til opfyldelsen af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på dennes anmodning forud for indgåelsen af en sådan kontrakt
eller
c) behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige
eller
d) behandlingen er nødvendig for at beskytte den registreredes vitale interesser
eller
e) behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den registeransvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt
eller
f) behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«
5. Artikel 10 i direktiv 95/46 bestemmer:
»Medlemsstaterne fastsætter bestemmelser om, at den registeransvarlige eller dennes repræsentant skal give den person, hos og om hvem der indsamles oplysninger, mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder, hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:
a) den registeransvarliges og eventuelt dennes repræsentants identitet
b) formålene med den behandling, hvortil oplysningerne er bestemt
c) alle yderligere informationer som f.eks.
– modtagerne eller kategorierne af modtagere
– om det er obligatorisk eller frivilligt at besvare spørgsmålene samt mulige følger af ikke at svare
– hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede.«
6. Artikel 11 i direktiv 95/46 bestemmer:
»1. Når oplysningerne ikke er indsamlet hos den registrerede, fastsætter medlemsstaterne bestemmelser om, at den registeransvarlige eller dennes repræsentant allerede ved registreringen af oplysningerne, eller senest når oplysningerne første gang videregives til tredjemand, skal give den registrerede mindst følgende informationer, medmindre den pågældende allerede er bekendt hermed, og for så vidt som disse yderligere informationer, under hensyn til de særlige omstændigheder, hvorunder oplysningerne indsamles, er nødvendige for at sikre den registrerede en rimelig behandling af oplysningerne:
a) den registeransvarliges og eventuelt dennes repræsentants identitet
b) formålene med behandlingen
c) alle yderligere informationer som f.eks.
– hvilken type oplysninger det drejer sig om
– modtagerne eller kategorierne af modtagere
– hvorvidt der gives ret til at få indsigt i og foretage berigtigelse af de oplysninger, der vedrører den registrerede.
2. Bestemmelserne i stk. 1 finder ikke anvendelse, navnlig ikke når behandlingen foretages i statistisk øjemed eller til historiske eller videnskabelige forskningsformål, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssig vanskelig, eller registreringen eller videregivelsen af oplysningerne er udtrykkeligt fastsat ved lov. I sådanne tilfælde fastsætter medlemsstaterne de fornødne garantier.«
7. Artikel 13, stk. 1, i direktiv 95/46 bestemmer:
»1. Medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 6, stk. 1, artikel 10, artikel 11, stk. 1, samt artikel 12 og 21, hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til:
a) statens sikkerhed
b) forsvaret
c) den offentlige sikkerhed
d) forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv
e) væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller Den Europæiske Union, herunder valuta-, budget- og skatteanliggender
f) en kontrol-, tilsyns- eller reguleringsopgave, selv af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i litra c), d) og e) nævnte områder
g) beskyttelsen af den registreredes interesser eller andres rettigheder og frihedsrettigheder.«
B – National ret
8. Det fremgår af forelæggelsesafgørelsen, at det er lov nr. 95/2006 om reform på sundhedsområdet og dekret nr. 617/2007 af 13. august 2007 (3) fra formanden for det nationale sygeforsikringsinstitut (4) om gennemførelse af denne lov, som udgør retsgrundlaget for fastsættelse af status som forsikrede for rumænske statsborgere, som er bosiddende i landet, udenlandske statsborgere, statsløse, som har anmodet om en forlængelse af deres midlertidige opholdsret og har opnået en sådan forlængelse, eller som er bosiddende i Rumænien, og de forpligtelser til betaling af det sygeforsikringsbidrag, der påhviler dem.
9. Den forelæggende ret har præciseret, at disse to retsakter giver de statslige institutioner ret til at videregive de oplysninger, der er nødvendige for fastlæggelse af denne status som forsikret, til CNAS. Artikel 315 i lov nr. 95/2006 bestemmer i denne forbindelse:
»Myndighederne, de offentlige institutioner og andre institutioner videregiver vederlagsfrit de oplysninger, som er nødvendige for at fastlægge status som forsikret, til sygeforsikringerne i medfør af en protokol.«
10. Ved protokol vedtaget den 26. oktober 2007, med referencenummer P 282/26.10.2007/95896/30.10.2007 (5), fastsatte Agenţia Naţională de Administrare Fiscală (den nationale skattemyndighed) (6) og CNAS retningslinjerne for videregivelse af de relevante oplysninger. Protokollens artikel 4 bestemmer:
»Efter ikrafttrædelsen af denne protokol videregiver [ANAF] gennem de relevante underordnede strukturer elektronisk den oprindelige database vedrørende:
a) indtægter oppebåret af personerne i kategorierne i artikel l, stk. l, i denne protokol – og en kvartalsvis opdatering af denne database – til [CNAS], på et datamedium, som er kompatibelt med edb-behandling, i henhold til bilag l til denne protokol.«
II – Tvisten i hovedsagen
11. Sagsøgerne i hovedsagen er personer, der oppebærer indtægter fra selvstændig erhvervsvirksomhed, som er blevet pålagt at indbetale deres bidrag til den fælles nationale sygeforsikringsfond via en afgiftsansættelse udstedt af sygeforsikringskassen i Cluj (Rumænien), der var udarbejdet på grundlag af oplysninger om deres indtægter, som ANAF havde overført til CNAS.
12. De nævnte sagsøgere har ved den forelæggende ret anfægtet de administrative retsakter, på grundlag af hvilke ANAF videregav de oplysninger til CNAS, der var nødvendige for udarbejdelsen af disse afgiftsansættelser, navnlig oplysninger om deres indtægter. Sagsøgerne er af den opfattelse, at ANAF’s videregivelse af deres personoplysninger til CNAS er sket i strid med bestemmelserne i direktiv 95/46. Disse oplysninger skulle på grundlag af en simpel intern protokol være blevet overført og anvendt til andre formål end det formål, hvortil de oprindeligt var blevet indberettet til CNAS, uden sagsøgernes udtrykkelige samtykke, og uden at de forinden var blevet oplyst herom.
13. Den forelæggende ret har i denne forbindelse præciseret, at den rumænske lovgivning indeholder strenge og begrænsende bestemmelser om videregivelse af de oplysninger, der er nødvendige for at fastlægge status som forsikret, dvs. personoplysninger (for- og efternavn, personnummer, bopæl eller ophold i Rumænien), og altså ikke oplysninger om indtægter oppebåret i Rumænien.
III – De præjudicielle spørgsmål og retsforhandlingerne ved Domstolen
14. På denne baggrund har Curtea de Apel Cluj (appelretten i Cluj, Rumænien) ved kendelse af 31. marts 2014 besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»l) Udgør den nationale skattemyndighed – i sin egenskab af et organ, der repræsenterer det kompetente ministerium i en medlemsstat – en finansiel institution som omhandlet i artikel 124 TEUF?
2) Er det muligt ved en retsakt, som sidestilles med forvaltningsretsakter – dvs. en protokol indgået mellem den nationale skattemyndighed og en anden statslig institution – at regulere overførsel af databasen vedrørende indtægter oppebåret af en medlemsstats statsborgere fra den nationale skattemyndighed til en anden institution i medlemsstaten, uden at der er tale om privilegeret adgang som omhandlet i artikel 124 TEUF?
3) Henhører en overførsel af databasen med det formål at pålægge medlemsstatens statsborgere en pligt til at indbetale et socialt bidrag til den institution i medlemsstaten, hvortil videregivelsen sker, under begrebet »tilsynsmæssigt hensyn« som omhandlet i artikel 124 TEUF?
4) Kan personoplysninger behandles af en myndighed, som ikke oprindeligt har indsamlet dem, såfremt en sådan behandling med tilbagevirkende kraft medfører en økonomisk skade?«
15. CNAS, den rumænske og den tjekkiske regering samt Europa-Kommissionen har indgivet skriftlige indlæg til Domstolen.
16. Domstolen har endvidere under retsmødet anmodet de parter, der i henhold til artikel 23 i statutten for Den Europæiske Unions Domstol har bemyndigelse til at indgive indlæg, om at tage stilling til tre punkter, nemlig til omfanget af de forpligtelser, der i henhold til artikel 10 og 11 i direktiv 95/46 påhviler ANAF, der er kilden til de videregivne oplysninger, og CNAS, der er modtager af disse oplysninger, til relevansen af artikel 13 i direktiv 95/46 i forbindelse med den fortolkning, som den forelæggende ret har anmodet om, og endelig til de kriterier, på grundlag af hvilke protokollen af 26. oktober 2007 mellem CNAS og ANAF kunne udgøre en »lovmæssig foranstaltning« i henhold til artikel 13 i direktiv 95/46.
17. Sagsøgerne i hovedsagen, den rumænske regering og Kommissionen har indgivet mundtlige indlæg og besvaret Domstolens spørgsmål under retsmødet, der blev afholdt den 29. april 2015.
IV – Om spørgsmålenes formalitet
18. Alle de berørte parter, der har indgivet indlæg til Domstolen, er enige om, at den forelæggende rets første tre præjudicielle spørgsmål vedrørende fortolkningen af artikel 124 TEUF skal afvises, da denne bestemmelse i den primære ret ikke har nogen forbindelse med genstanden for tvisten i hovedsagen og ikke kan finde anvendelse i hovedsagen.
19. I dette tilfælde forbyder artikel 124 TEUF, der indgår i traktatens kapitel om den økonomiske politik, enhver foranstaltning, hvormed der gives medlemsstaterne en privilegeret adgang til finansielle institutioner. Denne bestemmelse, hvormed den offentlige sektors finansiering underkastes markedsmekanismernes disciplinerende virkninger, og som dermed bidrager til at undgå uforholdsmæssigt store budgetunderskud (7), forfølger sammen med artikel 123 TEUF og 125 TEUF et præventivt mål, der, som Domstolen har haft lejlighed til at fremhæve, har til formål at minimere risikoen for statsgældskriser (8).
20. I artikel 1, stk. 1, i forordning nr. 3604/93 defineres begrebet »enhver foranstaltning, hvorved der gives privilegeret adgang« som enhver lov eller administrativ bestemmelse eller enhver bindende retsakt vedtaget som led i udøvelsen af offentlig myndighed, som forpligter finansielle institutioner til at erhverve eller ligge inde med fordringer på bl.a. centralregeringer, regionale, lokale eller andre offentlige myndigheder, andre organer inden for den offentlige sektor eller offentlige foretagender i medlemsstaterne eller medfører skatte- eller afgiftsmæssige fordele, som kun kan komme finansielle institutioner til gode, eller medfører økonomiske fordele, som ikke stemmer overens med markedsøkonomiske principper, med sigte på at fremme finansielle institutioners erhvervelse eller besiddelse af fordringer af nævnte art.
21. Det er indlysende, at den i hovedsagen omhandlede situation, og nærmere bestemt CNAS’ adgang til oplysninger indsamlet af ANAF, ikke kan analyseres som en »privilegeret adgang« til de »finansielle institutioner« (9), hvilket der heller ikke er tale om i forelæggelsesafgørelsen.
22. Det står således klart, at artikel 124 TEUF ikke kan finde anvendelse på tvisten i hovedsagen, og at den forelæggende rets tre første spørgsmål derfor må afvises.
23. Det skal endvidere bemærkes, at den forelæggende rets fjerde spørgsmål er formuleret i meget brede vendinger, at det ikke anføres, hvilke bestemmelser i EU-retten der ønskes fortolket med henblik på en løsning af tvisten i hovedsagen, og at det kun indeholder en kortfattet redegørelse for den retlige og faktiske baggrund for tvisten i hovedsagen, således at det ligeledes kan overvejes at afvise det.
24. Den rumænske regering har i denne forbindelse bemærket, at den ikke kunne se nogen forbindelse mellem den skade, som sagsøgerne i hovedsagen har gjort gældende, og som følger af behandlingen af de oplysninger, der er tale om i hovedsagen, og den annullation af de administrative retsakter, som de har nedlagt påstand om i hovedsagen.
25. Det er ganske vist korrekt, at den forelæggende rets angivelse af den økonomiske skade med tilbagevirkende kraft, som de pågældende personer har lidt som følge af videregivelsen, som det fremgår af realitetsbehandlingen af dens fjerde spørgsmål, er uden relevans for vurderingen af den nationale lovgivnings forenelighed med bestemmelserne i direktiv 95/46.
26. Det fremgår dog klart af forelæggelsesafgørelsen, at det fjerde spørgsmål vedrører fortolkningen af bestemmelserne i direktiv 95/46. Den forelæggende ret har således med indirekte henvisning til situationen i artikel 11 i direktiv 95/46 præciseret, at den er i tvivl om, hvorvidt CNAS’ behandling af de personoplysninger, der er indhentet af ANAF, er sket i overensstemmelse med de underretningsforpligtelser, der påhviler CNAS. Den forelæggende ret har endvidere anført, at den er i tvivl om, hvorvidt videregivelsen af personoplysninger på grundlag af protokollen af 26. oktober 2007 udgør en overtrædelse af den forpligtelse, der påhviler medlemsstaten til at sikre, at behandlingen af personoplysninger sker i overensstemmelse med bestemmelserne i direktiv 95/46, idet den endnu en gang indirekte henviser til direktivets artikel 13, som tillader begrænsninger af de rettigheder, der garanteres ved dette direktiv, såfremt disse begrænsninger er fastsat ved lov og er omfattet af lovhjemlede garantier.
27. Den forelæggende rets redegørelse for den tvivl, den nærer, gør det således muligt på fyldestgørende vis at identificere det spørgsmål om fortolkning af direktiv 95/46, som tvisten i hovedsagen giver anledning til.
28. I denne forbindelse skal det fastslås, at Domstolen i henhold til fast retspraksis kun kan afslå at besvare et præjudicielt spørgsmål, når det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er af hypotetisk karakter, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan give en saglig korrekt besvarelse af de stillede spørgsmål (10).
29. Jeg er således af den opfattelse, at den forelæggende rets fjerde spørgsmål kan fremmes til realitetsbehandling og bør behandles.
V – Det fjerde spørgsmål
30. Med sit fjerde spørgsmål, sammenholdt med redegørelsen i forelæggelsesafgørelsen og ovenstående betragtninger, ønsker den forelæggende ret i det væsentlige oplyst, om direktiv 95/46 skal fortolkes således, at det er til hinder for en national lovgivning, der tillader en offentlig institution i en medlemsstat at behandle personoplysninger, som den ikke selv har indhentet, bl.a. oplysninger om de registreredes indtægter, uden at disse hverken har givet deres samtykke hertil eller forudgående er blevet oplyst herom.
A – Sammendrag af de indlæg, der er blevet indgivet til Domstolen
31. Sagsøgerne i hovedsagen har under retsmødet gjort gældende, at den forelæggende ret hovedsageligt søgte at afgøre, i hvilket omfang den nationale praksis, der i dette tilfælde afspejles i protokollen af 26. oktober 2007, og som består i, at ANAF automatisk og løbende videregiver personoplysninger, herunder skatteoplysninger, vedrørende bestemte kategorier af skattepligtige (for- og efternavn, indkomstgruppe og betalte skatter) til CNAS, er forenelig med de processuelle krav i direktiv 95/46.
32. Som svar på Domstolens spørgsmål oplyste sagsøgerne i hovedsagen, at det ifølge dem er artikel 11 i direktiv 95/46, der finder anvendelse i hovedsagen. I denne bestemmelse fastsættes de forpligtelser, der påhviler den primære registeransvarlige (ANAF) og den sekundære registeransvarlige (CNAS) i forbindelse med behandlingen af personoplysninger, i dette tilfælde forpligtelsen til bl.a. at oplyse de registrerede om identiteten på den sekundære registeransvarlige, formålet med behandlingen af de videregivne oplysninger og de kategorier af oplysninger, der er blevet overført. Disse forpligtelser påhviler hovedsageligt den sekundære registeransvarlige og skal opfyldes senest på tidspunktet for den første meddelelse af oplysningerne.
33. De har i denne forbindelse fremhævet, at protokollen af 26. oktober 2007 er inkonsekvent, for så vidt som den i artikel 4 indeholder bestemmelser om videregivelse af generelle databaser, der regelmæssigt ændres, mens det i artikel 6, stk. 1, bestemmes, at oplysningerne skal videregives individuelt på grundlag af en protokol. Sådanne protokoller findes dog i realiteten ikke i national praksis, og overførslerne sker automatisk i strid med disse processuelle krav.
34. Sagsøgerne i hovedsagen har i øvrigt bemærket, at artikel 13 i direktiv 95/46 er uden betydning for en løsning af tvisten i hovedsagen, eftersom CNAS ikke har kompetence til at fastsætte bidragene til den nationale sygeforsikring. Videregivelsen af oplysninger var således ikke nødvendig undtagen for den lille kategori af skattepligtige, som var forpligtede til at betale bidrag, og som ikke frivilligt havde opfyldt denne forpligtelse.
35. De har dog bemærket, at det, såfremt Domstolen skulle fastslå, at artikel 13 i direktiv 95/46 finder anvendelse, påhviler ANAF og CNAS at begrunde behovet for videregivelsen af de pågældende oplysninger og dermed godtgøre, at der findes en lovmæssig foranstaltning, som tillader en sådan videregivelse uden de registreredes samtykke. En sådan lovmæssig foranstaltning findes dog ikke, da protokollen af 26. oktober 2007 ikke kan betragtes som en sådan. Da protokollen ikke er offentliggjort i lovtidende, opfylder den ikke kravene til forudsigelighed og retssikkerhed, og den kan derfor ikke have nogen virkning erga omnes.
36. Den rumænske regering har i sit skriftlige indlæg, som CNAS i det væsentlige er enig i, gjort gældende dels, at videregivelsen af oplysninger om indtægter oppebåret fra selvstændig erhvervsvirksomhed mellem ANAF og CNAS var fastsat ved lov og var nødvendig for udførelsen af CNAS’ opgaver, dels, at CNAS’ behandling af disse oplysninger var nødvendig i henhold til et lovkrav, som CNAS var underlagt i henhold til artikel 7 i direktiv 95/46. Hverken i henhold til artikel 10 eller artikel 11 i direktiv 95/46 var det således nødvendigt at indhente de registreredes samtykke eller at underrette dem om videregivelsen.
37. Den rumænske regering har under retsmødet henvist til den omstændighed, at videregivelse og behandling af de omtvistede personoplysninger indgik i de samarbejdsforpligtelser, der påhvilede de offentlige institutioner i henhold til lov om skatteproceduren, bl.a. artikel 11 og 62 heri. Protokollen af 26. oktober 2007 udgør i denne henseende ikke retsgrundlaget for disse forpligtelser, men regulerer blot retningslinjerne for videregivelse af oplysninger fra ANAF til CNAS. Disse forpligtelser til videregivelse af skatteoplysninger, som kun kan finde sted mellem offentlige institutioner og alene med det formål at fastsætte den skyldige skat og de skyldige bidrag, herunder bidrag til sygesikringen, forfølger således et legitimt mål om beskyttelse af de finansielle interesser omhandlet i bestemmelserne i artikel 13, stk. 1, litra e), i direktiv 95/46. Underretning af de registrerede var således ikke påkrævet.
38. Den tjekkiske regering har hovedsageligt gjort gældende, at ANAF’s videregivelse af de omtvistede oplysninger til CNAS i henhold til artikel 7, litra e), i direktiv 95/46 kan ske uden de registreredes samtykke, og i henhold til samme direktivs artikel 11, stk. 2, og artikel 13, uden at det er nødvendigt at underrette dem herom. Desuden indeholder dette direktiv ingen bestemmelser om, at videregivelse af personoplysninger mellem offentlige institutioner specifikt skal være omfattet af en generel bestemmelse.
39. Kommissionen har i sit skriftlige indlæg for det første påpeget, at de oplysninger, der er omhandlet i hovedsagen, er personoplysninger i henhold til artikel 2, litra a), i direktiv 95/46, at de to pågældende nationale institutioner ANAF og CNAS kan betragtes som registeransvarlige i forbindelse med de pågældende oplysninger i henhold til samme direktivs artikel 2, litra d), og at såvel indsamling som videregivelse af disse oplysninger kan betegnes som behandling af personoplysninger i henhold til samme direktivs artikel 2, litra b).
40. Kommissionen har i sine skriftlige indlæg foreslået Domstolen, at den fastslår, at artikel 6 og 7 i direktiv 95/46 skal fortolkes således, at de ikke er til hinder for videregivelse af de indtægtsoplysninger, der er tale om i hovedsagen, for så vidt som denne videregivelse sker på grundlag af klare og præcise lovbestemmelser, hvis anvendelse er forudsigelig for de registrerede, hvilket det tilkommer den forelæggende ret at efterprøve.
41. Kommissionen har imidlertid udbygget denne konklusion i sine mundtlige indlæg via sine svar på Domstolens spørgsmål. Den har i det væsentlige gjort gældende, at de betingelser om de registreredes samtykke og underretning af dem, som bestemmelserne i artikel 7, 10, 11 og 13 i direktiv opstiller for indsamling, videregivelse og behandling af personoplysninger, ikke er opfyldt under de omstændigheder, der foreligger i hovedsagen, og at den nationale lovgivning, navnlig protokollen af 26. november 2007 indgået mellem ANAF og CNAS, under alle omstændigheder ikke opfylder kravene i samme direktivs artikel 13, således som den fortolkes sammenholdt med artikel 8 og 52 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«) og artikel 8 i den europæiske menneskerettighedskonvention, undertegnet i Rom den 4. november 1950.
42. Kommissionen har således gjort gældende, at direktiv 95/46 er baseret på princippet om, at den person, der er berørt af behandlingen af personoplysninger, på grundlag af klare lovbestemmelser skal have kendskab til enhver begrænsning af de rettigheder, som den pågældende person har i henhold til direktiv 95/46. Den videregivelse af oplysninger, der er tale om i hovedsagen, sker imidlertid på grundlag af en simpel samarbejdsprotokol mellem de to institutioner, der igen er baseret på en bestemmelse i lov nr. 95/2006, der med en henvisning til de oplysninger, der er nødvendige for at fastslå status som forsikret, ikke opfylder kravene til tydelighed.
43. Ved behandlingen af de forskellige spørgsmål til mundtlig besvarelse, som Domstolen har stillet, har Kommissionen påpeget, at såvel ANAF som CNAS burde have givet de registrerede de oplysninger, der kræves i henholdsvis artikel 10 og artikel 11 i direktiv 95/46, idet den rumænske lovgivning ikke opfylder de krav, der er opstillet for fritagelse fra disse forpligtelser.
44. Kommissionen har i denne forbindelse først og fremmest fremhævet, at den rumænske lovgivning ikke ser ud til at opfylde de betingelser, der er opstillet i artikel 11, stk. 2, i direktiv 95/46, hvorefter bestemmelserne i stk. 1 ikke finder anvendelse, når registreringen eller videregivelsen af oplysningerne er udtrykkeligt fastsat ved national lov, idet den dog henviste denne undersøgelse til den nationale ret.
45. Kommissionen har dernæst fremhævet, at enhver restriktion af de registreredes ret til oplysning, som er fastsat i artikel 10 og 11 i direktiv 95/46, i henhold til direktivets artikel 13 skal indgå i en lovmæssig foranstaltning, forfølge et af de mål af almen interesse, der er opstillet i denne bestemmelse, og være afstemt i forhold hertil. Den rumænske lovgivning indeholder imidlertid ingen bestemmelser om en sådan undtagelse, idet bestemmelsen om videregivelse af oplysninger fra ANAF til CNAS ikke kan betragtes som en bestemmelse, hvoraf det klart fremgår, at de registrerede ikke skal underrettes herom.
46. Kommissionen har i denne forbindelse bemærket, at protokollen af 26. oktober 2007 indgået mellem ANAF og CNAS, som regulerer videregivelsen af oplysninger mellem de to institutioner, uden dog at indeholde bestemmelser om underretning af de registrerede, ikke kan betragtes som en lovmæssig foranstaltning i henhold til artikel 13 i direktiv 95/46. Der er tale om en simpel bilateral aftale, der ikke er offentliggjort i lovtidende, og som ikke har bindende retsvirkninger og ikke kan gøres gældende over for tredjemand. Artikel 13 i direktiv 95/46 afspejler i denne henseende bestemmelserne i chartrets artikel 52, stk. 1, og artikel 8, stk. 2, i den europæiske menneskerettighedskonvention specifikt vedrørende beskyttelse af personoplysninger og skal således fortolkes i lyset af Domstolens og Den Europæiske Menneskerettighedsdomstols relevante retspraksis.
47. Hvis det antages, at den rumænske lovgivning kan anses for at indeholde den krævede lovmæssige undtagelse, skal begrænsningen af forpligtelsen til underretning af de registrerede under alle omstændigheder opfylde kriteriet om nødvendighed og være afstemt. Mens det i denne henseende kan fastslås, at den offentlige sygesikrings funktion udgør et mål af almen interesse i henhold til direktivets artikel 13, og at videregivelsen af oplysninger fra ANAF til CNAS bidrager til realiseringen af dette mål, er det til gengæld vanskeligt at forstå, hvorfor det er nødvendigt at undlade at underrette de registrerede, idet en sådan underretning ikke vil skade realiseringen af det pågældende mål.
B – Om de væsentligste relevante bestemmelser i direktiv 95/46
48. Det skal for at kunne give den forelæggende ret et brugbart svar først bemærkes, at de vigtigste regler i artikel 5-7 og 10-13 i direktiv 95/46, for så vidt som de vedrører behandlingen og videregivelsen af personoplysninger, forekommer relevante med henblik på en løsning af tvisten i hovedsagen.
49. I henhold til artikel 5 i direktiv 95/46 præciserer medlemsstaterne, på hvilke betingelser behandling af personoplysninger er lovlig inden for rammerne af bestemmelserne i direktivets artikel 6-21.
50. Som Domstolen gentagne gange har fastslået, skal enhver behandling af personoplysninger, med forbehold af de i artikel 13 tilladte undtagelser, være i overensstemmelse med både principperne vedrørende oplysningernes pålidelighed, der er fastsat i direktivets artikel 6, og et af de i direktivets artikel 7 indeholdte principper vedrørende grundlaget for behandling af oplysninger (11).
51. I direktivets artikel 6 og 7 fastsættes således for så vidt angår den foreliggende sag tre primære krav til indsamling og behandling af personoplysninger.
52. Det påhviler bl.a. den registeransvarlige (12) at sikre, at personoplysninger indsamles til bestemte udtrykkeligt angivne og legitime formål, at de behandles rimeligt og lovligt, og at senere behandling heraf ikke må være uforenelig med disse formål (13).
53. Artikel 7 i direktiv 95/46 bestemmer, at behandling af personoplysninger kun kan anses for at være lovlig og derfor kun må finde sted, hvis den svarer til en af de situationer, der er opstillet i denne artikel, og bl.a. hvad angår den foreliggende sag, hvis der ikke hersker tvivl om, at den registrerede har givet sit samtykke (14), hvis behandlingen er nødvendig for at overholde en retlig forpligtelse, som gælder for den registeransvarlige (15), eller hvis behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den registeransvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt (16).
54. Domstolen har fastslået, at denne bestemmelse fastsætter en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig (17). Den har ligeledes præciseret, at eftersom målet med direktiv 95/46 består i at sikre et ensartet beskyttelsesniveau i alle medlemsstater, må nødvendighedsbegrebet i dette direktivs artikel 7, litra e), følgelig ikke tillægges forskelligt indhold i medlemsstaterne, og det er således et selvstændigt EU-retligt begreb (18).
55. I artikel 10 og 11 i direktiv 95/46 fastsættes den oplysningspligt, der påhviler den registeransvarlige, idet der sondres mellem de tilfælde, hvor disse oplysninger indsamles hos den registrerede, og de tilfælde, hvor oplysningerne ikke indsamles hos den registrerede.
56. Artikel 10 i direktiv 95/46, sammenholdt med 38. betragtning hertil, bestemmer således, at personer, hos hvem den registeransvarlige har indsamlet disse oplysninger, medmindre de på anden måde informeres herom, skal kunne få kendskab til en behandlings eksistens og til nøjagtige og fyldestgørende oplysninger med hensyn til de nærmere omstændigheder ved indsamlingen, og navnlig, for at behandlingen kan betragtes som rimelig, til oplysninger om formålet med den behandling, som oplysningerne skal bruges til, samt til modtagerne eller kategorierne af modtagere af de oplysninger, der er omhandlet i nævnte artikel 10, litra b) og c).
57. Artikel 11, stk. 1, i direktiv 95/46, sammenholdt med 39. og 40. betragtning til dette direktiv, opstiller de tilfælde, i hvilke behandlingen vedrører oplysninger, der ikke er blevet indsamlet hos den registrerede, navnlig når de lovligt er blevet overført til tredjeparter, selv om dette ikke var hensigten, da oplysningerne blev indsamlet (19). De registrerede skal, medmindre de på anden måde informeres herom, ligeledes, så snart oplysningerne registreres og senest på tidspunktet for den første videregivelse af oplysninger, når en videregivelse til en tredjepart påtænkes, modtage oplysninger om bl.a. formålene med behandlingen, de pågældende kategorier af oplysninger og modtagerne eller kategorierne af modtagere af de oplysninger, der er omhandlet i nævnte artikel 11, litra b) og c).
58. I henhold til direktivets artikel 11, stk. 2, finder bestemmelserne i stk. 1 dog ikke anvendelse, når registreringen eller videregivelsen af oplysningerne er udtrykkeligt fastsat ved lov. I sådanne tilfælde fastsætter medlemsstaterne de fornødne garantier.
59. Endelig bestemmer artikel 13 i direktiv 95/46 med overskriften »Undtagelser og begrænsninger«, at medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i direktivets artikel 6, stk. 1, og artikel 11, stk. 1, hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til højerestående interesser, bl.a. »væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller Den Europæiske Union, herunder valuta-, budget- og skatteanliggender« (20), eller »en kontrol-, tilsyns- eller reguleringsopgave, selv af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i dette direktivs artikel 13, stk. 1, litra c), d) og e), nævnte områder« (21).
60. Situationen i hovedsagen skal nu behandles på baggrund af alle disse bestemmelser.
C – Om kvalificering af situationen i hovedsagen i henhold til direktiv 95/46
61. Det skal for det første fastslås, at de oplysninger, der er tale om i hovedsagen, og som er blevet overført fra ANAF til CNAS, er personoplysninger som omhandlet i artikel 2, litra a), i direktiv 95/46. Disse oplysninger, der bl.a. omfatter de registreredes for- og efternavn (22) og oplysninger om deres indtægter (23), udgør utvivlsomt »information om en identificeret eller identificerbar fysisk person«. ANAF’s videregivelse af disse oplysninger og CNAS’ behandling af dem har karakter af behandling af personoplysninger i henhold til direktivets artikel 2, litra b).
62. Det er i øvrigt ubestridt, at situationen i hovedsagen henhører under anvendelsesområdet for direktiv 95/46.
63. Situationen i hovedsagen kan endvidere være omfattet af såvel artikel 10 som artikel 11 i direktiv 95/46. Som det fremgår af ovenstående betragtninger, indebar ANAF’s rimelige behandling af personoplysninger vedrørende sagsøgerne i hovedsagen, at ANAF oplyste dem om bl.a. videregivelsen af disse oplysninger til CNAS i overensstemmelse med artikel 10, litra c), i direktiv 95/46. Endvidere indebar CNAS’ behandling af de af ANAF videregivne oplysninger ligeledes, at sagsøgerne i hovedsagen i det mindste blev underrettet om formålene med den pågældende behandling og de berørte kategorier af oplysninger i overensstemmelse med artikel 11, stk. 1, litra b) og c), i direktiv 95/46.
64. Det skal for det andet bemærkes, at den forelæggende rets spørgsmål (24) ikke vedrører ANAF’s behandling af personoplysninger i hovedsagen, nærmere bestemt en lovlig og legitim behandling i henhold til artikel 6 og 7 i direktiv 95/46.
65. Spørgsmålet vedrører kun videregivelsen af oplysninger fra en offentlig institution til en anden, nærmere bestemt videregivelse af oplysninger indhentet af ANAF til CNAS og CNAS’ behandling af disse oplysninger, som dels er foregået uden nogen form for samtykke fra og underretning af de registrerede, dels er blevet gennemført i henhold til en national lovgivning, der ikke opfylder kravene i direktiv 95/46, navnlig underretningspligten over for de registrerede i artikel 10 og 11 i direktiv 95/46.
66. Den forelæggende rets fjerde præjudicielle spørgsmål, der skal behandles både på grundlag af den pligt, der påhviler ANAF, og på grundlag af den pligt, der påhviler CNAS, skal således hovedsageligt behandles på grundlag af bestemmelserne i artikel 7, 10 og 11 i direktiv 95/46 og de betingelser om samtykke og underretning af de registrerede, som er omfattet af behandlingen af de oplysninger, de indeholder. Det skal ligeledes i givet fald behandles på grundlag af bestemmelserne i samme direktivs artikel 13, hvori fastsættes undtagelser og begrænsninger af rækkevidden af de forpligtelser og rettigheder, der er opstillet i samme direktivs artikel 10 og artikel 11, stk. 1.
D – Om overholdelse af de krav om underretning af de registrerede, som er fastsat i artikel 10 og 11 i direktiv 95/46
67. Det er ubestridt, at sagsøgerne i hovedsagen og mere generelt de personer, der er berørt af ANAF’s videregivelse af de personoplysninger, denne myndighed har indhentet, dennes behandling af disse oplysninger, ikke er blevet underrettet om denne videregivelse foretaget af ANAF i henhold til forskrifterne i artikel 10 i direktiv 95/46. Disse personer har i øvrigt og endvidere ikke formelt givet deres samtykke i henhold til artikel 7, stk. 1, litra a), i direktiv 95/46 til CNAS’ behandling, og er heller ikke blevet informeret om denne behandling i henhold til bestemmelserne i samme direktivs artikel 11, stk. 1.
68. Med hensyn til samtykke fremgår det, som den rumænske regering og CNAS har gjort gældende, klart, at CNAS’ behandling af personoplysninger vedrørende personer, som oppebærer indtægter fra selvstændig erhvervsvirksomhed, er omfattet af bestemmelserne i artikel 7, litra e), i direktiv 95/46. Disse personers samtykke var derfor ikke påkrævet (25).
69. CNAS er i dette tilfælde således forpligtet til i henhold til lov nr. 95/2006 at fastslå status som forsikret for personer, der oppebærer indtægter fra selvstændig erhvervsvirksomhed, idet anerkendelse af en sådan status er en betingelse for, at disse personer kan betale deres sygeforsikringsbidrag til de territoriale sygeforsikringer. CNAS’ behandling af personoplysninger om personer, der oppebærer indtægter fra selvstændig erhvervsvirksomhed, som videregives af ANAF, er således nødvendig for, at deres status som forsikret kan fastslås, og i sidste ende for, at de kan nyde godt af de rettigheder, der følger af denne status. Det følger heraf, at de registreredes samtykke til behandling af de personoplysninger, der er tale om i hovedsagen, ikke var påkrævet.
70. Det tilkommer dog den forelæggende ret at sikre sig, at de således videregivne oplysninger, der behandles af CNAS, opfylder nødvendighedskriteriet i denne bestemmelse, ved at kontrollere, at de ikke går videre end det strengt nødvendige for, at CNAS kan udføre sin opgave (26).
71. Der skal således hovedsageligt lægges vægt på spørgsmålet om, hvorvidt kravene om underretning af de registrerede, der er berørt af ANAF’s videregivelse af personoplysninger og CNAS’ behandling af disse oplysninger, er blevet overholdt i forhold til de betingelser, der er opstillet i artikel 10 og 11 i direktiv 95/46.
72. Som skitseret ovenfor kan ANAF’s videregivelse af personoplysninger vedrørende personer, der oppebærer en indtægt fra erhvervsmæssig virksomhed, og CNAS’ behandling af disse oplysninger kun anses for at opfylde kravene i direktiv 95/46, hvis den registrerede er blevet underrettet herom i henhold til direktivets artikel 10 og artikel 11, stk. 1.
73. Det tilkommer nærmere bestemt medlemsstaten at fastsætte de nødvendige foranstaltninger for, at en af disse to institutioner, som begge er ansvarlige for behandlingen af de personoplysninger, der er tale om i hovedsagen, meddeler de registrerede de krævede oplysninger, ANAF i medfør af artikel 10 i direktiv 95/46 og CNAS i medfør af samme direktivs artikel 11, medmindre registreringen eller videregivelsen af oplysningerne i sidstnævnte tilfælde ikke er blevet fastsat ved lov.
74. Som Kommissionen bemærkede under retsmødet, er det i denne forbindelse vigtigt at fremhæve, at dette krav om underretning af de registrerede, hvis personoplysninger behandles, som sikrer hele behandlingens gennemsigtighed, er så meget desto vigtigere, som det er en betingelse for, at de pågældende personer kan udøve deres ret til indsigt i de behandlede oplysninger, som er omhandlet i artikel 12 i direktiv 95/46, og gøre den ret til indsigelse mod behandlingen af disse oplysninger, som er fastsat i direktivets artikel 14, gældende.
75. Det er i dette tilfælde ubestridt, at ANAF ikke formelt og individuelt har underrettet sagsøgerne i hovedsagen om videregivelsen af deres personoplysninger til CNAS, navnlig oplysninger om deres indtægter, som det kræves i artikel 10 i direktiv 95/46. Det er ligeledes ubestridt, at CNAS i forbindelse med registreringen af de af ANAF videresendte oplysninger heller ikke har givet dem de i artikel 11, stk. 1, litra a)-c), i direktiv 95/46 omhandlede informationer.
76. Den rumænske regering har imidlertid gjort gældende, at ANAF i henhold til bestemmelserne i lov om skatteproceduren og artikel 315 i lov nr. 95/2006 er forpligtet til at videregive de oplysninger til de territoriale sygeforsikringer, der er nødvendige for, at CNAS kan fastslå status som forsikret for personer, der oppebærer en indtægt fra selvstændig erhvervsvirksomhed, og at de bidrag, som disse personer skal betale, kun kan fastsættes på grundlag af de oplysninger om de pågældende indtægter, som ANAF er i besiddelse af, idet de pågældende personer hvert år skal indsende en selvangivelse til ANAF.
77. Ifølge den rumænske regering fastsætter loven således en forpligtelse for CNAS til at behandle personoplysninger vedrørende personer, der oppebærer en indtægt fra selvstændighed erhvervsvirksomhed, navnlig med henblik på at indlede tvangsinddrivelse af ubetalte bidrag, og ANAF har tilsvarende pligt til at videregive de oplysninger om de pågældende personers indtægter, der er nødvendige med henblik herpå, idet det præciseres, at de konkrete retningslinjer for videregivelse af de pågældende oplysninger mellem de to nationale institutioner reguleres af protokollen af 26. oktober 2007 indgået af de to institutioner, hvilket udtrykkeligt fremgår af artikel 315 i lov nr. 95/2006.
78. Det skal i denne forbindelse først og fremmest bemærkes, at den omstændighed, at videregivelse af de omtvistede oplysninger mellem offentlige institutioner i henhold til de generelle samarbejdsforpligtelser fastsat i de generelle bestemmelser i lov nr. 95/2006 eller i lov om skatteproceduren ikke i sig selv kan fritage medlemsstaten og de berørte institutioner fra de oplysningsforpligtelser, der påhviler dem i henhold til direktiv 95/46.
79. Artikel 315 i lov nr. 95/2006 kan under alle omstændigheder ikke anses for at udgøre en forudgående underretning af de registrerede som omhandlet i artikel 10 i direktiv 95/46. Denne bestemmelse henviser således til oplysninger om status som forsikret, uden at der på nogen måde henvises til de registreredes indtægter, således at de registrerede ikke kan anses for at være blevet oplyst om videregivelse af oplysninger om deres indtægter som omhandlet i nævnte artikel 10.
80. Oplysningerne om de registreredes indtægter har imidlertid så stor betydning, at deres videregivelse fra den offentlige institution, der har indhentet dem, til en anden offentlig institution, til fulde berettiger, at der i henhold til forskrifterne i artikel 10, litra b) og c), i direktiv 95/46 specifikt oplyses om denne videregivelse, hvilket ikke er sket i hovedsagen.
E – Om overholdelse af forskrifterne i artikel 13 i direktiv 95/46
81. På dette tidspunkt af analysen af situationen i hovedsagen står det således blot tilbage at undersøge, om den manglende underretning af de registrerede alternativt kan være omfattet af forskrifterne i artikel 13 i direktiv 95/46, der åbner mulighed for, at medlemsstaterne kan indføre undtagelser og begrænsninger i udøvelsen af de rettigheder og pligter, der bl.a. er fastsat i dette direktivs artikel 10 og artikel 11, stk. 1, og som respekterer garantier svarende til garantierne i chartrets artikel 52, stk. 1 (27). Denne bestemmelse indebærer, at en sådan begrænsning af underretningspligten over for de registrerede er fastsat ved en lovmæssig foranstaltning (28), at den er begrundet i et af de mål af almen interesse, der er opstillet i denne bestemmelse, og at den er nøje afstemt efter det formål, der forfølges.
82. Det er ikke i dette tilfælde blevet anfægtet, at ANAF’s videregivelse af de oplysninger, der er nødvendige for, at CNAS kan fastslå status som forsikret for personer, der oppebærer indtægter fra selvstændig erhvervsvirksomhed, og CNAS’ behandling af de således videregivne oplysninger kunne vise sig at være nødvendige for at beskytte en væsentlig økonomisk eller finansiel interesse i skatteanliggender i den pågældende medlemsstat i henhold til artikel 13, stk. 1, litra e), i direktiv 95/46.
83. Det fremgår imidlertid hverken af forelæggelsesafgørelsen eller af de skriftlige og mundtlige indlæg, som den rumænske regering har indgivet til Domstolen, at den gældende nationale lovgivning i hovedsagen indeholder lovbestemmelser, der klart og udtrykkeligt fritager ANAF og/eller CNAS fra deres underretningsforpligtelser.
84. I denne forbindelse kan det argument, som den rumænske regering har fremført, hvorefter de lovbestemmelser, der pålægger ANAF at videregive de oplysninger til CNAS, der er nødvendige for, at CNAS kan udføre sin opgave, og den protokol af 26. oktober 2007, som er indgået mellem de to organisationer, der organiserer denne videregivelse, udgør den »lovmæssige foranstaltning«, der kræves i artikel 13, stk. 1, i direktiv 95/46 for at afvige fra den underretningsforpligtelse, der påhviler de ansvarlige for behandlingen af personoplysninger, ikke tages til følge.
85. Protokollen af 26. oktober 2007, som den rumænske regering har gjort gældende, opfylder, som Kommissionen har fremhævet, således tydeligvis ikke det første af disse krav, idet den på ingen måde kan sidestilles med en generel lovmæssig foranstaltning, der er behørigt offentliggjort, og som kan gøres gældende over for de registrerede, der er omfattet af videregivelsen af de omtvistede oplysninger.
86. Jeg mener derfor, at den forelæggende rets fjerde præjudicielle spørgsmål skal besvares således, at det kendes for ret, at direktiv 95/46 skal fortolkes således, at det er til hinder for en national lovgivning som den i hovedsagen omhandlede, som tillader en offentlig institution i en medlemsstat at behandle personoplysninger, der er blevet videregivet af en anden offentlig institution, navnlig oplysninger om de registreredes indtægter, uden at de registrerede på forhånd er blevet underrettet om denne videregivelse og denne behandling.
VI – Forslag til afgørelse
87. Henset til det ovenstående foreslår jeg Domstolen, at den besvarer de præjudicielle spørgsmål fra Curtea de Apel Cluj således:
»1) De tre første præjudicielle spørgsmål om fortolkning af artikel 124 TEUF afvises.
2) Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at det er til hinder for en national lovgivning som den i hovedsagen omhandlede, som tillader en offentlig institution i en medlemsstat at behandle personoplysninger, der er blevet videregivet af en anden institution, navnlig oplysninger om de registreredes indtægter, uden at de registrerede på forhånd er blevet underrettet om denne videregivelse og denne behandling.«