UNIONIN TUOMIOISTUIMEN TUOMIO (kolmas jaosto)
1 päivänä lokakuuta 2015 (*)
Ennakkoratkaisupyyntö – Direktiivi 95/46/EY – Henkilötietojen käsittely – 10 ja 11 artikla – Rekisteröityjen informointi – 13 artikla – Poikkeukset ja rajoitukset – Se, että jäsenvaltion viranomainen siirtää henkilökohtaisia verotietoja niiden käsittelemiseksi toisessa viranomaisessa
Asiassa C‑201/14,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Curtea de Apel Cluj (Clujin muutoksenhakutuomioistuin, Romania) on esittänyt 31.3.2014 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 22.4.2014, saadakseen ennakkoratkaisun asiassa
Smaranda Bara ym.
vastaan
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate ja
Agenţia Naţională de Administrare Fiscală (ANAF),
UNIONIN TUOMIOISTUIN (kolmas jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja M. Ilešič sekä tuomarit A. Ó Caoimh, C. Toader, E. Jarašiūnas ja C. G. Fernlund (esittelevä tuomari),
julkisasiamies: P. Cruz Villalón,
kirjaaja: hallintovirkamies L. Carrasco Marco,
ottaen huomioon kirjallisessa käsittelyssä ja 29.4.2015 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Smaranda Bara ym., edustajinaan avocat C. F. Costaş ja avocat K. Kapcza,
– Casa Naţională de Asigurări de Sănătate, asiamiehenään V. Ciurchea,
– Romanian hallitus, asiamiehinään R. H. Radu, A. Buzoianu, A.-G. Văcaru ja D. M. Bulancea,
– Tšekin hallitus, asiamiehinään M. Smolek ja J. Vláčil,
– Euroopan komissio, asiamiehinään I. Rogalski, B. Martenczuk ja J. Vondung,
kuultuaan julkisasiamiehen 9.7.2015 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee SEUT 124 artiklan sekä yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL L 281, s. 31) 10, 11 ja 13 artiklan tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa asianosaisia ovat Smaranda Bara ym. sekä Președintele Casei Naționale de Asigurări de Sănătate (kansallisen sairausvakuutuskassan johtaja), Casa Națională de Asigurări de Sănătate (kansallinen sairausvakuutuskassa, jäljempänä CNAS) ja Agenția Națională de Administrare Fiscală (kansallinen verohallinto, jäljempänä ANAF) ja joka koskee tiettyjen tietojen käsittelyä.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3 Direktiivin 95/46 2 artiklan, jonka otsikko on ”Määritelmät”, sanamuoto on seuraava:
”Tässä direktiivissä tarkoitetaan:
a) 'henkilötiedoilla' kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä ('rekisteröity') koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa, erityisesti henkilönumeron taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella,
b) 'henkilötietojen käsittelyllä' ('käsittely') kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen,
c) 'henkilötietojen rekisteröintijärjestelmällä' ('rekisteröintijärjestelmä') kaikkia sellaisia järjestettyjä henkilötietojen kokoelmia, joista tiedot ovat saatavilla tietyin perustein, oli kokoelma sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu,
d) 'rekisterinpitäjällä' luonnollista tai oikeushenkilöä, julkista viranomaista, virastoa tai muuta toimielintä, joka, yksin tai yhdessä toisten kanssa, määrittelee henkilötietojen käsittelyn tarkoituksen ja keinot; jos käsittelyn tarkoitus ja keinot määritellään kansallisilla tai yhteisön laeilla tai asetuksilla, rekisterinpitäjä tai erityiset perusteet rekisterinpitäjän nimeämiseksi voidaan vahvistaa kansallisten tai yhteisön säännösten mukaisesti,
– –”
4 Kyseisen direktiivin 3 artiklan, jonka otsikko on ”Soveltamisala”, sanamuoto on seuraava:
”1. Tätä direktiiviä sovelletaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.
2. Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,
– joka suoritetaan sellaisessa toiminnassa, joka ei kuulu yhteisön oikeuden soveltamisalaan, kuten toiminta, josta on määrätty Euroopan unionista tehdyn sopimuksen V ja VI osastossa, ja kaikissa tapauksissa käsittely, joka koskee yleistä turvallisuutta, puolustusta, valtion turvallisuutta (myös valtion taloudellista hyvinvointia, kun käsittelyoperaatio on sidoksissa valtion turvallisuutta koskeviin kysymyksiin) ja rikosoikeuden alalla tapahtuvaa valtion toimintaa,
– jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa.”
5 Mainitun direktiivin 6 artiklassa, joka koskee tietojen laatua koskevia periaatteita, säädetään seuraavaa:
”1. Jäsenvaltioiden on säädettävä siitä, että
a) henkilötietoja käsitellään asianmukaisesti ja laillisesti,
b) henkilötiedot kerätään tiettyä nimenomaista ja laillista tarkoitusta varten, eikä niitä myöhemmin saa käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten ei pidetä yhteensopimattomana, sillä edellytyksellä, että jäsenvaltiot toteuttavat tarpeelliset suojatoimet,
c) henkilötiedot ovat asianmukaisia, olennaisia eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja missä niitä myöhemmin käsitellään,
d) henkilötiedot ovat täsmällisiä ja tarvittaessa päivitettyjä; on tehtävä kaikki mahdollinen sen varmistamiseksi, että niihin tarkoituksiin nähden virheelliset tai puutteelliset tiedot, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään, poistetaan tai oikaistaan,
e) henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan sen ajan, kuin on tarpeen niiden tarkoitusten toteuttamista varten, joita varten tiedot kerättiin tai joissa niitä myöhemmin käsitellään. Jäsenvaltiot toteuttavat niiden henkilötietojen tarpeelliset suojatoimet, joita säilytetään edellä tarkoitettua aikaa kauemmin historiantutkimusta taikka tilastollisia tai tieteellisiä tarkoituksia varten.
2. Rekisterinpitäjän on huolehdittava 1 kohdan noudattamisesta.”
6 Saman direktiivin 7 artiklassa, joka koskee tietojenkäsittelyn laillisuutta koskevia periaatteita, säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan,
a) jos rekisteröity on yksiselitteisesti antanut suostumuksensa
tai
b) jos käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osallisena, tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä
tai
c) jos käsittely on tarpeen rekisterinpitäjän laillisen velvoitteen noudattamiseksi
tai
d) jos käsittely on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi
tai
e) jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan
tai
f) jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin tämän intressin syrjäyttävät rekisteröidyn 1 artiklan 1 kohdan perusteella suojaa tarvitsevat intressit ja perusoikeudet ja ‑vapaudet.”
7 Direktiivin 95/46 10 artiklassa, jonka otsikko on ”Informointi kerättäessä tietoja rekisteröidyltä”, säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjän tai hänen edustajansa on toimitettava rekisteröidylle, jolta tietoja kerätään, vähintään jäljempänä esitetyt tiedot, paitsi jos hän jo tietää ne:
a) rekisterinpitäjän henkilöllisyys ja tarvittaessa hänen edustajansa henkilöllisyys,
b) tietojenkäsittelyn tarkoitukset,
c) kaikenlaiset lisätiedot, kuten
– tietojen vastaanottajat tai vastaanottajaryhmät,
– tieto siitä, onko kysymyksiin vastaaminen pakollista vai vapaaehtoista, sekä vastaamatta jättämisen mahdolliset seuraukset,
– onko rekisteröidyllä oikeus saada itseään koskevia tietoja ja oikeus niiden oikaisuun,
siltä osin kuin nämä lisätiedot ovat tarpeen ottaen huomioon erityiset olosuhteet, joissa tiedot kerätään, rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi.”
8 Kyseisen direktiivin 11 artiklan, jonka otsikko on ”Informointi kerättäessä tietoja muualta kuin rekisteröidyltä”, sanamuoto on seuraava:
”1. Jos tietoja ei ole kerätty rekisteröidyltä itseltään, jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjän tai hänen edustajansa on tietoja rekisteröitäessä tai, jos tietoja tullaan luovuttamaan sivulliselle, viimeistään silloin, kun tietoja ensi kerran luovutetaan, toimitettava rekisteröidylle vähintään jäljempänä esitetyt tiedot, paitsi jos hän jo tietää ne:
a) rekisterinpitäjän henkilöllisyys ja tarvittaessa hänen edustajansa henkilöllisyys,
b) tietojenkäsittelyn tarkoitukset,
c) kaikenlaiset lisätiedot, kuten
– kyseessä olevat tietoryhmät,
– tietojen vastaanottajat tai vastaanottajaryhmät,
– onko rekisteröidyllä oikeus saada itseään koskevia tietoja ja oikeus niiden oikaisuun,
siltä osin kuin nämä lisätiedot ovat tarpeen ottaen huomioon erityiset olosuhteet, joissa tietoja käsitellään, rekisteröidyn kannalta asianmukaisen tietojenkäsittelyn takaamiseksi.
2. Mitä 1 kohdassa säädetään, ei sovelleta, jos, erityisesti tilastollisia tarkoituksia tai historiallista tai tieteellistä tutkimusta koskevia tarkoituksia varten suoritettavan käsittelyn osalta, tietojen toimittaminen rekisteröidylle osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa tai jos lainsäädännössä nimenomaisesti säädetään tietojen tallentamisesta tai luovuttamisesta. Tällaisissa tapauksissa jäsenvaltioiden on säädettävä tarpeellisista suojatoimista.”
9 Mainitun direktiivin 13 artiklan, jonka otsikko on ”Poikkeukset ja rajoitukset”, sanamuoto on seuraava:
”1. Jäsenvaltiot voivat toteuttaa lainsäädännöllisiä toimenpiteitä, joilla pyritään rajoittamaan 6 artiklan 1 kohdassa, 10 artiklassa, 11 artiklan 1 kohdassa sekä 12 ja 21 artiklassa säädettyjen oikeuksien ja velvoitteiden alaa, jos tällaiset rajoitukset ovat välttämättömiä, jotta varmistettaisiin
a) valtion turvallisuus,
b) puolustus,
c) yleinen turvallisuus,
d) rikosten tai, säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjunta, tutkinta, selvittäminen ja syyteharkinta,
e) jäsenvaltiolle tai Euroopan unionille tärkeä taloudellinen tai rahoituksellinen etu, myös rahaa, talousarviota ja verotusta koskevissa asioissa,
f) valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttämiseen c, d ja e alakohdassa tarkoitetuissa tapauksissa,
g) rekisteröidyn suojelu tai muiden oikeudet ja vapaudet.
2. Ottaen huomioon asianmukaiset oikeudelliset takeet, erityisesti sen, että tietoja ei käytetä tiettyä rekisteröityä koskevien toimenpiteiden toteuttamiseen tai päätösten tekemiseen, jäsenvaltiot voivat, milloin siitä ei ilmeisesti aiheudu vaaraa yksityisyydelle, lainsäädännöllä rajoittaa 12 artiklassa säädettyjä oikeuksia, jos tietoja käsitellään ainoastaan tieteellisessä tarkoituksessa tai säilytetään henkilötietojen muodossa ainoastaan niin kauan, kuin on tarpeen tilastojen luomiseksi.”
Romanian oikeus
Laki nro 95/2006
10 Ennakkoratkaisupyynnöstä ilmenee, että terveydenhuoltoalan uudistuksesta 14.4.2006 annetun lain nro 95/2006 (Legea nr. 95/2006 privind reforma în domeniul sănătății; Monitorul Oficial al României, osa I, nro 372, 28.4.2006) 215 §:ssä säädetään seuraavaa:
”1. Velvollisuus maksaa sairausvakuutusmaksuja koskee luonnollista henkilöä tai oikeushenkilöä, joka palkkaa henkilöitä henkilökohtaisella työsopimuksella tai lakisääteisen erityisaseman perusteella, tai tilanteen mukaan luonnollisia henkilöitä.
2. Oikeushenkilöillä tai luonnollisilla henkilöillä, joiden lukuun vakuutetut harjoittavat toimintaansa, on velvollisuus esittää kerran kuukaudessa vakuutettujen vapaasti valitsemalle sairausvakuutuskassalle vakuutetun nimellä varustetut ilmoitukset sairausvakuutuskassaa koskevista velvoitteistaan ja todisteet maksujen suorittamisesta.
– –”
11 Kyseisen lain 315 §:ssä säädetään seuraavaa:
”Viranomaiset, julkiset laitokset ja muut laitokset toimittavat vakuutetun aseman toteamiseksi tarvittavat tiedot korvauksetta sairausvakuutuskassoille pöytäkirjan mukaisesti.”
CNAS:n johtajan päätös nro 617/2007
12 CNAS:n johtajan 13.8.2007 antaman päätöksen nro 617/2007, jolla hyväksyttiin täytäntöönpanosäännöt, joissa yksilöidään vakuutetun tai maksuvelvollisuudesta vapautetun vakuutetun aseman osoittavat asiakirjat ja määrätään pakkotäytäntöönpanotoimenpiteiden soveltamisesta niiden summien perimiseksi, jotka on maksettava yhteiseen kansalliseen sairausvakuutuskassaan (Monitorul Oficial al României, osa I, nro 649, 24.9.2007), 35 §:ssä säädetään seuraavaa:
”– – niiden velvoitteiden osalta, jotka koskevat sellaisten luonnollisten henkilöiden maksuja kassaan, jotka saavat vakuutetun aseman vakuutussopimuksen välityksellä ja joiden verotus ei siten tapahdu ANAF:n kautta, saatavan muodostavat tapauskohtaisesti – – ilmoitus, CAS:n [(sairausvakuutuskassa)] toimivaltaisen elimen tekemä maksupäätös tai kassan saatavia koskevat tuomioistuinratkaisut. CAS:n toimivaltainen elin voi myös päättää maksun perimisestä ANAF:ltä pöytäkirjan nojalla saatujen tietojen perusteella.”
Vuoden 2007 pöytäkirja
13 CNAS:n ja ANAF:n välillä tehdyn pöytäkirjan nro P 5282/26.10.2007/95896/30.10.2007 (jäljempänä vuoden 2007 pöytäkirja) 4 §:ssä todetaan seuraavaa:
”[ANAF] toimittaa tämän pöytäkirjan voimaantulon jälkeen alaisuudessaan toimivien rakenteidensa avulla sähköisen alkutietokannan, joka sisältää
a. tämän pöytäkirjan 1 §:n 1 momentissa tarkoitettuihin ryhmiin kuuluvien henkilöiden tulotiedot ja tämän tietokannan päivityksen kolmen kuukauden välein [CNAS:lle] automaattisesti käsiteltävässä muodossa tämän pöytäkirjan liitteen 1 mukaisesti – –
– –”
Pääasia ja ennakkoratkaisukysymykset
14 Pääasian kantajat saavat tuloja itsenäisestä ammatinharjoittamisesta. ANAF toimitti CNAS:lle heidän ilmoittamiaan tuloja koskevia tietoja. CNAS vaati näiden tietojen perusteella kantajia suorittamaan maksamattomat sairausvakuutusmaksut.
15 Pääasian kantajat nostivat Curtea de Apel Clujissa kanteen, jossa he riitauttavat heidän tulojaan koskevien verotietojen siirtämisen lainmukaisuuden direktiivin 95/46 nojalla. He väittävät, että nämä henkilötiedot toimitettiin ja niitä käytettiin pelkän sisäisen pöytäkirjan perusteella muihin tarkoituksiin kuin niihin, joita varten ne alun perin luovutettiin ANAF:lle, ilman heidän nimenomaista suostumustaan ja ilman että he olisivat saaneet siitä ennakolta tiedon.
16 Ennakkoratkaisupyynnöstä ilmenee, että viranomaisilla on lain nro 95/2006 nojalla oikeus toimittaa henkilötietoja sairausvakuutuskassoille, jotta nämä voivat todeta rekisteröityjen vakuutetun aseman. Nämä tiedot koskevat henkilötietoja (sukunimi, etunimi, henkilötunnus, osoite), mutta niihin eivät sisälly tiedot saaduista tuloista.
17 Ennakkoratkaisua pyytänyt tuomioistuin haluaa ratkaista sen, edellyttikö CNAS:n toteuttama tietojenkäsittely sitä, että rekisteröityjä informoidaan ennakolta rekisterinpitäjän henkilöllisyydestä ja tietojensiirron tarkoituksesta. Kyseistä tuomioistuinta pyydetään myös ratkaisemaan se, onko tietojen toimittaminen vuoden 2007 pöytäkirjan perusteella vastoin direktiivin 95/46 säännöksiä, joiden mukaan kaikista rekisteröityjen oikeuksien rajoituksista on säädettävä lailla ja niihin on liitettävä suojatoimia muun muassa silloin, kun tietoja käytetään näitä henkilöitä vastaan.
18 Curtea de Apel Cluj on näin ollen päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Onko kansallinen veroviranomainen, joka on jäsenvaltion toimivaltaisen ministeriön edustaja, SEUT 124 artiklassa tarkoitettu rahoituslaitos?
2) Voidaanko hallintotoimeen verrattavissa olevalla toimella eli kansallisen verohallinnon ja valtion jonkin muun elimen tekemällä pöytäkirjalla säätää, että kansallinen verohallinto siirtää jäsenvaltion kansalaisten tulotietoja koskevan tietokannan toiselle jäsenvaltion elimelle, ilman että kyse on SEUT 124 artiklassa määrätystä erityisoikeudesta?
3) Käsittävätkö SEUT 124 artiklassa tarkoitetut toiminnan vakauden valvontaan liittyvät seikat tietokannan siirtämisen, jonka tarkoituksena on velvoittaa jäsenvaltion kansalaiset maksamaan sosiaaliturvamaksua jäsenvaltion elimelle, jolle tietokanta siirretään?
4) Voiko viranomainen, jota varten henkilötietoja ei ole kerätty, käsitellä näitä tietoja, kun tästä aiheutuu taannehtivasti varallisuusvahinkoa?”
Ennakkoratkaisukysymysten tarkastelu
Tutkittavaksi ottaminen
Ensimmäisen, toisen ja kolmannen kysymyksen tutkittavaksi ottaminen
19 Unionin tuomioistuin voi vakiintuneen oikeuskäytännön mukaan kieltäytyä vastaamasta kansallisen tuomioistuimen esittämään ennakkoratkaisukysymykseen, jos on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen taikka jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin (ks. tuomio PreussenElektra, C-379/98, EU:C:2001:160, 39 kohta oikeuskäytäntöviittauksineen).
20 Kaikissa unionin tuomioistuimelle toimitetuissa huomautuksissa vaaditaan unionin tuomioistuinta katsomaan, että SEUT 124 artiklan tulkintaa koskevat ensimmäinen, toinen ja kolmas ennakkoratkaisukysymys on jätettävä tutkimatta sillä perusteella, etteivät ne liity pääasian oikeudenkäynnin kohteeseen.
21 Tässä yhteydessä on muistutettava, että SEUT 124 artikla kuuluu Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan VIII osastoon, joka koskee talous‑ ja rahapolitiikkaa. Kyseisen artiklan mukaan kaikki toimenpiteet, joilla unionin toimielimille, elimille tai laitoksille, jäsenvaltioiden keskushallinnoille, alueellisille, paikallisille tai muille viranomaisille, muille julkisoikeudellisille laitoksille tai julkisille yrityksille annetaan erityisoikeuksia rahoituslaitoksissa, ovat kiellettyjä, jos ne eivät perustu toiminnan vakauden valvontaan liittyviin seikkoihin.
22 Tämä kielto perustuu EY:n perustamissopimuksen 104 a artiklaan (josta on tullut EY 102 artikla), joka lisättiin EY:n perustamissopimukseen Maastrichtin sopimuksella. Kielto on osa EUT‑sopimuksen määräyksiä, jotka koskevat talouspolitiikkaa ja joiden tarkoituksena on kannustaa jäsenvaltioita noudattamaan tervettä budjettipolitiikkaa, jolloin vältetään se, että budjettialijäämien keskuspankkirahoitus tai viranomaisten erityisoikeudet rahoitusmarkkinoilla johtaisivat jäsenvaltioiden liialliseen velkaantumiseen tai liiallisiin budjettialijäämiin (ks. vastaavasti tuomio Gauweiler ym., C‑62/14, EU:C:2015:400, 100 kohta).
23 On siten selvää, ettei pyydetyllä SEUT 124 artiklan tulkitsemisella ole mitään yhteyttä pääasian oikeudenkäynnin, joka koskee henkilötietojen suojaa, tosiseikkoihin tai kohteeseen.
24 Tästä seuraa, ettei ensimmäiseen, toiseen ja kolmanteen kysymykseen ole tarpeen vastata.
Neljännen kysymyksen tutkittavaksi ottaminen
25 CNAS ja Romanian hallitus väittävät, että neljäs kysymys on jätettävä tutkimatta. Kyseinen hallitus väittää, ettei vahingon, johon pääasian kantajat ovat vedonneet, ja pääasian oikeudenkäynnissä riitautettujen hallintotoimien kumoamisen välillä ole mitään yhteyttä.
26 Tästä on muistutettava, että unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan olettamana on, että kansallisen tuomioistuimen niiden oikeudellisten seikkojen ja tosiseikkojen perusteella, joiden määrittämisestä se vastaa ja joiden paikkansapitävyyden selvittäminen ei ole unionin tuomioistuimen tehtävä, esittämillä unionin oikeuden tulkintaan liittyvillä kysymyksillä on merkitystä asian ratkaisun kannalta. Unionin tuomioistuin voi jättää tutkimatta kansallisen tuomioistuimen esittämän ennakkoratkaisupyynnön ainoastaan, jos on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen taikka jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin (tuomio Fish Legal ja Shirley, C-279/12, EU:C:2013:853, 30 kohta oikeuskäytäntöviittauksineen).
27 On todettava, että pääasia koskee ANAF:n keräämien verotietojen käsittelyn lainmukaisuutta. Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee, miten direktiivin 95/46 säännöksiä on tulkittava tietojen CNAS:lle tapahtuvan siirron laillisuusvalvonnan ja näiden tietojen myöhemmän käsittelyn yhteydessä. Neljäs ennakkoratkaisukysymys on siten merkityksellinen ja riittävän täsmällinen, jotta unionin tuomioistuin voisi antaa siihen hyödyllisen vastauksen. Ennakkoratkaisupyyntö on näin ollen otettava tutkittavaksi neljännen kysymyksen osalta.
Asiakysymys
28 Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee neljännellä kysymyksellään lähinnä, onko direktiivin 95/46 10, 11 ja 13 artiklaa tulkittava siten, että ne ovat esteenä pääasiassa kyseessä olevien kaltaisille kansallisille toimenpiteille, joiden nojalla jäsenvaltion viranomainen voi siirtää henkilötietoja toiselle viranomaiselle ja joiden nojalla näitä tietoja voidaan käsitellä myöhemmin, ilman että rekisteröidyille on ilmoitettu tästä siirrosta sekä käsittelystä.
29 Ennakkoratkaisua pyytäneen tuomioistuimen toimittamien tietojen perusteella on tältä osin todettava, että ANAF:n CNAS:lle toimittamia verotietoja on pidettävä mainitun direktiivin 2 artiklan a alakohdassa tarkoitettuina henkilötietoina, koska kyse on ”tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevista tiedoista” (tuomio Satakunnan Markkinapörssi ja Satamedia, C‑73/07, EU:C:2008:727, 35 kohta). Se, että ANAF, joka on henkilötietoja keräävän tietokannan hallinnoimisesta vastaava elin, siirtää näitä tietoja, sekä se, että CNAS käsittelee niitä myöhemmin, ovat näin ollen luonteeltaan saman direktiivin 2 artiklan b alakohdassa tarkoitettua ”henkilötietojen käsittelyä” (ks. vastaavasti mm. tuomio Österreichischer Rundfunk ym., C‑465/00, C‑138/01 ja C‑139/01, EU:C:2003:294, 64 kohta ja tuomio Huber, C‑524/06, EU:C:2008:724, 43 kohta).
30 Direktiivin 95/46 II luvun, jonka otsikkona on ”Yleiset säännöt henkilötietojen käsittelyn laillisuudesta”, säännösten mukaan on niin, että jollei direktiivin 13 artiklassa säädetyistä poikkeuksista muuta johdu, henkilötietojen käsittelyssä on noudatettava yhtäältä tietojen laatua koskevia periaatteita, jotka mainitaan tämän direktiivin 6 artiklassa, ja toisaalta jotain tietojen käsittelyn laillisuutta koskevista periaatteista, jotka luetellaan sen 7 artiklassa (tuomio Österreichischer Rundfunk ym., C‑465/00, C‑138/01 ja C‑139/01, EU:C:2003:294, 65 kohta; tuomio Huber, C‑524/06, EU:C:2008:724, 48 kohta ja tuomio ASNEF ja FECEMD, C‑468/10 ja C‑469/10, EU:C:2011:777, 26 kohta).
31 Rekisterinpitäjällä tai hänen edustajallaan on lisäksi informointivelvollisuus, jonka yksityiskohdat, jotka on mainittu direktiivin 95/46 10 ja 11 artiklassa, vaihtelevat sen mukaan, kerätäänkö nämä tiedot rekisteröidyltä vai ei, jollei kyseisen direktiivin 13 artiklan nojalla hyväksytyistä poikkeuksista muuta johdu.
32 Ensinnäkin mainitun direktiivin 10 artiklassa säädetään, että rekisterinpitäjän on toimitettava rekisteröidylle, jolta häntä itseään koskevia tietoja kerätään, kyseisen artiklan a–c alakohdassa mainitut tiedot, paitsi jos hän jo tietää ne. Nämä tiedot koskevat rekisterinpitäjän henkilöllisyyttä, tietojenkäsittelyn tarkoituksia ja kaikenlaisia lisätietoja, jotka ovat tarpeen asianmukaisen tietojenkäsittelyn takaamiseksi. Saman direktiivin 10 artiklan c alakohdassa mainitaan asianmukaisen tietojenkäsittelyn takaamiseksi tarpeellisiin lisätietoihin kuuluvan nimenomaisesti tiedot ”tietojen vastaanottaj[ista] tai vastaanottajaryhm[istä]” sekä siitä, ”onko [mainitulla henkilöllä] oikeus saada itseään koskevia tietoja ja oikeus niiden oikaisuun”.
33 Kuten julkisasiamies totesi ratkaisuehdotuksensa 74 kohdassa, tämä vaatimus antaa tietoja niille henkilöille, joita heidän henkilötietojensa käsittely koskee, on sitäkin tärkeämpi, sillä se on välttämätön edellytys sille, että kyseiset henkilöt käyttävät direktiivin 95/46 12 artiklassa määriteltyä oikeuttaan tutustua käsiteltäviin tietoihin ja oikaista niitä sekä kyseisen direktiivin 14 artiklassa tarkoitettua oikeuttaan vastustaa mainittujen tietojen käsittelyä.
34 Tästä seuraa, että direktiivin 95/46 6 artiklassa säädetty vaatimus henkilötietojen asianmukaisesta käsittelystä velvoittaa viranomaisen ilmoittamaan rekisteröidyille näiden tietojen siirtämisestä toiselle viranomaiselle, jotta tämä voisi käsitellä niitä mainittujen tietojen vastaanottajana.
35 Ennakkoratkaisua pyytäneen tuomioistuimen selityksistä ilmenee, ettei ANAF ole ilmoittanut pääasian kantajille heitä koskevien henkilötietojen siirtämisestä CNAS:lle.
36 Romanian hallitus väittää kuitenkin, että ANAF:llä on muun muassa lain nro 95/2006 315 §:n nojalla velvollisuus siirtää alueellisille sairausvakuutuskassoille tarvittavat tiedot, jotta CNAS voi määrittää itsenäisestä ammatinharjoittamisesta tuloja saavien henkilöiden vakuutetun aseman.
37 Lain nro 95/2006 315 §:ssä säädetään tosin nimenomaisesti, että ”viranomaiset, julkiset laitokset ja muut laitokset toimittavat vakuutetun aseman toteamiseksi tarvittavat tiedot korvauksetta sairausvakuutuskassoille pöytäkirjan mukaisesti”. Ennakkoratkaisua pyytäneen tuomioistuimen toimittamista selityksistä ilmenee kuitenkin, että mainitussa säännöksessä tarkoitettuihin vakuutetun aseman toteamiseksi tarvittaviin tietoihin eivät sisälly tuloja koskevat tiedot, koska laissa tunnustetaan vakuutetun asema myös henkilöille, joilla ei ole verotettavaa tuloa.
38 Tällaisessa tilanteessa lain nro 95/2006 315 §:ää ei voida pitää direktiivin 95/46 10 artiklassa tarkoitettuna ennakkoinformointina, jonka nojalla rekisterinpitäjä voidaan vapauttaa velvollisuudestaan informoida henkilöitä, joilta se kerää tietoja heidän tuloistaan, näiden tietojen vastaanottajista. Kyseessä olevaa siirtoa ei täten voida katsoa toteutetun direktiivin 95/46 10 artiklan säännösten mukaisesti.
39 On tutkittava, voiko tämä rekisteröityjen informoimatta jättäminen kuulua mainitun direktiivin 13 artiklan soveltamisalaan. Kyseisen 13 artiklan 1 kohdan e ja f alakohdasta ilmenee nimittäin, että jäsenvaltiot voivat rajoittaa saman direktiivin 10 artiklassa säädettyjen oikeuksien ja velvoitteiden alaa, jos tällaiset rajoitukset ovat välttämättömiä, jotta varmistettaisiin ”jäsenvaltiolle – – tärkeä taloudellinen tai rahoituksellinen etu, myös rahaa, talousarviota ja verotusta koskevissa asioissa”, sekä ”valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttämiseen c, d ja e alakohdassa tarkoitetuissa tapauksissa”. Mainitussa 13 artiklassa edellytetään kuitenkin nimenomaisesti tällaisista rajoituksista säädettävän lainsäädännöllä.
40 Ennakkoratkaisua pyytäneen tuomioistuimen toteaman seikan, jonka mukaan tuloja koskevat tiedot eivät ole vakuutetun aseman toteamiseksi tarvittavia henkilötietoja, lisäksi on kuitenkin korostettava, että lain nro 95/2006 315 §:ssä ainoastaan säädetään periaatteesta, jonka mukaan viranomaisten, julkisten laitosten ja muiden laitosten hallussa olevat kyseiset henkilötiedot voidaan siirtää. Ennakkoratkaisupyynnöstä ilmenee myös, ettei siirrettävien tietojen määritelmästä eikä näiden tietojen siirtämisen toteuttamistavoista ole säädetty lainsäädännöllä vaan ANAF:n ja CNAS:n välillä tehdyllä vuoden 2007 pöytäkirjalla, jota ei ole julkaistu virallisesti.
41 Tällaisessa tilanteessa direktiivin 95/46 13 artiklassa asetettujen edellytysten, joiden nojalla jäsenvaltio voisi poiketa kyseisen direktiivin 10 artiklaan perustuvista oikeuksista ja velvoitteista, ei voida katsoa täyttyvän.
42 Toiseksi mainitun direktiivin 11 artiklan 1 kohdassa säädetään, että sellaisia tietoja koskevan rekisterin pitäjän, joita ei ole kerätty rekisteröidyltä, on toimitettava rekisteröidylle kyseisen artiklan a–c alakohdassa mainitut tiedot. Nämä tiedot koskevat rekisterinpitäjän henkilöllisyyttä, tietojenkäsittelyn tarkoituksia ja kaikenlaisia lisätietoja, jotka ovat tarpeen asianmukaisen tietojenkäsittelyn takaamiseksi. Saman direktiivin 11 artiklan 1 kohdan c alakohdassa mainitaan näihin lisätietoihin kuuluvan nimenomaisesti ”kyseessä olevat tietoryhmät” sekä se, ”onko rekisteröidyllä oikeus saada itseään koskevia tietoja ja oikeus niiden oikaisuun”.
43 Tästä seuraa, että pääasian olosuhteissa se, että CNAS käsittelee ANAF:n toimittamia tietoja, edellytti direktiivin 95/46 11 artiklan 1 kohdan b ja c alakohdan mukaisesti sitä, että rekisteröityjä, joita nämä tiedot koskevat, olisi informoitu tietojenkäsittelyn tarkoituksista sekä kyseessä olevista tietoryhmistä.
44 Ennakkoratkaisua pyytäneen tuomioistuimen antamista selityksistä kuitenkin ilmenee, ettei CNAS ole toimittanut pääasian kantajille mainitun direktiivin 11 artiklan 1 kohdan a–c alakohdassa mainittuja tietoja.
45 On lisättävä, että direktiivin 95/46 11 artiklan 2 kohdan mukaan direktiivin 11 artiklan 1 kohdan säännöksiä ei sovelleta, jos muun muassa laissa säädetään tietojen tallentamisesta tai luovuttamisesta, jolloin jäsenvaltioiden on säädettävä tarpeellisista suojatoimista. Tämän tuomion 40 ja 41 kohdassa mainittujen perusteiden nojalla lain nro 95/2006 säännökset, joihin Romanian hallitus on vedonnut, ja vuoden 2007 pöytäkirja eivät voi kuulua mainitun direktiivin 11 artiklan 2 kohdassa eikä sen 13 artiklassa tarkoitettuihin poikkeusjärjestelyihin.
46 Kaiken edellä esitetyn perusteella esitettyyn kysymykseen on vastattava, että direktiivin 95/46 10, 11 ja 13 artiklaa on tulkittava siten, että ne ovat esteenä pääasiassa kyseessä olevien kaltaisille kansallisille toimenpiteille, joiden nojalla jäsenvaltion viranomainen voi siirtää henkilötietoja toiselle viranomaiselle ja joiden nojalla näitä tietoja voidaan käsitellä myöhemmin, ilman että rekisteröityjä on informoitu tästä siirrosta tai tästä käsittelystä.
Oikeudenkäyntikulut
47 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (kolmas jaosto) on ratkaissut asian seuraavasti:
Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY 10, 11 ja 13 artiklaa on tulkittava siten, että ne ovat esteenä pääasiassa kyseessä olevien kaltaisille kansallisille toimenpiteille, joiden nojalla jäsenvaltion viranomainen voi siirtää henkilötietoja toiselle viranomaiselle ja joiden nojalla näitä tietoja voidaan käsitellä myöhemmin, ilman että rekisteröityjä on informoitu tästä siirrosta tai tästä käsittelystä.
Allekirjoitukset