ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τρίτο τμήμα)
της 1ης Οκτωβρίου 2015 (*)
«Προδικαστική παραπομπή – Οδηγία 95/46/EΚ – Επεξεργασία δεδομένων προσωπικού χαρακτήρα – Άρθρα 10 και 11 – Ενημέρωση των προσώπων τα οποία αφορά η επεξεργασία δεδομένων – Άρθρο 13 – Εξαιρέσεις και περιορισμοί – Διαβίβαση φορολογικών δεδομένων προσωπικού χαρακτήρα από διοικητική αρχή κράτους μέλους προς τον σκοπό επεξεργασίας τους από άλλη διοικητική αρχή»
Στην υπόθεση C‑201/14,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Curtea de Apel Cluj (Ρουμανία) με απόφαση της 31ης Μαρτίου 2014, η οποία περιήλθε στο Δικαστήριο στις 22 Απριλίου 2014, στο πλαίσιο της δίκης
Smaranda Bara κ.λπ.
κατά
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF),
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τρίτο τμήμα),
συγκείμενο από τους M. Ilešič, πρόεδρο τμήματος, A. Ó Caoimh, C. Toader, E. Jarašiūnas και C. G. Fernlund (εισηγητή), δικαστές,
γενικός εισαγγελέας: P. Cruz Villalón
γραμματέας: L. Carrasco Marco, υπάλληλος διοικήσεως,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 29ης Απριλίου 2015,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– οι Smaranda Bara κ.λπ., εκπροσωπούμενοι από τους C. F. Costaş και K. Kapcza, avocați,
– η Casa Naţională de Asigurări de Sănătate, εκπροσωπούμενη από τον V. Ciurchea,
– η Ρουμανική Κυβέρνηση, εκπροσωπούμενη από τον R. H. Radu καθώς και από τις A. Buzoianu, A.‑G. Văcaru και D. M. Bulancea,
– η Τσεχική Κυβέρνηση, εκπροσωπούμενη από τους M. Smolek και J. Vláčil,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους I. Rogalski και B. Martenczuk καθώς και από την J. Vondung,
αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 9ης Ιουλίου 2015,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 124 ΣΛΕΕ, καθώς και των άρθρων 10, 11 και 13 της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 281, σ. 31).
2 Η υπό κρίση αίτηση υποβλήθηκε στο πλαίσιο της ένδικης διαφοράς μεταξύ της S. Bara κ.λπ. και του Președintele Casei Naționale de Asigurări de Sănătate (Προέδρου του Εθνικού Ταμείου Κοινωνικών Ασφαλίσεων), του Casa Națională de Asigurări de Sănătate (Εθνικού Ταμείου Κοινωνικής Ασφαλίσεως, στο εξής: CNAS) και της Agenția Națională de Administrare Fiscală (εθνικής φορολογικής αρχής, στο εξής: ANAF) όσον αφορά την επεξεργασία ορισμένων δεδομένων.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Κατά το άρθρο 2 της οδηγίας 95/46, που τιτλοφορείται «Ορισμοί»:
«Για τους σκοπούς της παρούσας οδηγίας, νοούνται ως:
α) “δεδομένα προσωπικού χαρακτήρα”, κάθε πληροφορία που αναφέρεται σε φυσικό πρόσωπο του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί (το πρόσωπο στο οποίο αναφέρονται τα δεδομένα)· ως πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί λογίζεται το πρόσωπο εκείνο που μπορεί να προσδιοριστεί, άμεσα ή έμμεσα, ιδίως βάσει αριθμού ταυτότητας ή βάσει ενός ή περισσοτέρων συγκεκριμένων στοιχείων που χαρακτηρίζουν την υπόστασή του από φυσική, βιολογική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική άποψη·
β) “επεξεργασία δεδομένων προσωπικού χαρακτήρα” (επεξεργασία), κάθε εργασία ή σειρά εργασιών που πραγματοποιούνται με ή χωρίς τη βοήθεια αυτοματοποιημένων διαδικασιών και εφαρμόζονται σε δεδομένα προσωπικού χαρακτήρα, όπως η συλλογή, η καταχώρηση, η οργάνωση, η αποθήκευση, η προσαρμογή ή η τροποποίηση, η ανάκτηση, η αναζήτηση πληροφοριών, η χρήση, η ανακοίνωση με διαβίβαση, η διάδοση ή κάθε άλλη μορφή διάθεσης, η εναρμόνιση ή ο συνδυασμός, καθώς και το κλείδωμα, η διαγραφή ή η καταστροφή·
γ) “αρχείο δεδομένων προσωπικού χαρακτήρα” (αρχείο), κάθε διαρθρωμένο σύνολο δεδομένων προσωπικού χαρακτήρα προσιτών με γνώμονα συγκεκριμένα κριτήρια, είτε το σύνολο αυτό είναι συγκεντρωμένο είτε αποκεντρωμένο είτε κατανεμημένο σε λειτουργική ή γεωγραφική βάση·
δ) “υπεύθυνος της επεξεργασίας”, το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή οποιοσδήποτε άλλος φορέας που μόνος ή από κοινού με άλλους καθορίζει τους στόχους και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα. Όταν οι στόχοι και ο τρόπος της επεξεργασίας καθορίζονται από νομοθετικές ή κανονιστικές διατάξεις, εθνικές ή κοινοτικές, ο υπεύθυνος της επεξεργασίας ή τα ειδικά κριτήρια για τον ορισμό του μπορούν να καθορίζονται από το εθνικό ή το κοινοτικό δίκαιο·
[...]».
4 Το άρθρο 3 της ως άνω οδηγίας, με τίτλο «Πεδίο εφαρμογής», έχει ως εξής:
«1. Οι διατάξεις της παρούσας οδηγίας εφαρμόζονται στην αυτοματοποιημένη, εν όλω ή εν μέρει, επεξεργασία δεδομένων προσωπικού χαρακτήρα καθώς και στη μη αυτοματοποιημένη επεξεργασία τέτοιων δεδομένων που περιλαμβάνονται ή πρόκειται να περιληφθούν σε αρχείο.
2. Οι διατάξεις της παρούσας οδηγίας δεν εφαρμόζονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα:
– η οποία πραγματοποιείται στο πλαίσιο δραστηριοτήτων που δεν εμπίπτουν στο πεδίο εφαρμογής του κοινοτικού δικαίου, όπως οι δραστηριότητες που προβλέπονται στις διατάξεις των τίτλων V και VI της Συνθήκης για την Ευρωπαϊκή Ένωση και, εν πάση περιπτώσει, στην επεξεργασία δεδομένων που αφορά τη δημόσια ασφάλεια, την εθνική άμυνα, την ασφάλεια του κράτους (συμπεριλαμβανομένης και της οικονομικής ευημερίας του, εφόσον η επεξεργασία αυτή συνδέεται με θέματα ασφάλειας του κράτους) και τις δραστηριότητες του κράτους σε τομείς του ποινικού δικαίου,
– η οποία πραγματοποιείται από φυσικό πρόσωπο στο πλαίσιο αποκλειστικά προσωπικών ή οικιακών δραστηριοτήτων.»
5 Το άρθρο 6 της εν λόγω οδηγίας, το οποίο αφορά τις σχετικές με την ποιότητα των δεδομένων αρχές, προβλέπει τα εξής:
«1. Τα κράτη μέλη προβλέπουν ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει:
α) να υφίστανται σύννομη και θεμιτή επεξεργασία·
β) να συλλέγονται για καθορισμένους, σαφείς και νόμιμους σκοπούς και η μεταγενέστερη επεξεργασία τους να συμβιβάζεται με τους σκοπούς αυτούς. Η μεταγενέστερη επεξεργασία για ιστορικούς, στατιστικούς ή επιστημονικούς σκοπούς δεν θεωρείται ασυμβίβαστη εφόσον τα κράτη μέλη προβλέπουν κατάλληλες εγγυήσεις·
γ) να είναι κατάλληλα, συναφή προς το θέμα και όχι υπερβολικά σε σχέση με τους σκοπούς για τους οποίους συλλέγονται και υφίστανται επεξεργασία·
δ) να είναι ακριβή και, εφόσον χρειάζεται, να ενημερώνονται· πρέπει να λαμβάνονται όλα τα εύλογα μέτρα ώστε δεδομένα ανακριβή ή ελλιπή σε σχέση με τους σκοπούς για τους οποίους έχουν συλλεγεί ή υφίστανται κατόπιν επεξεργασία, να διαγράφονται ή να διορθώνονται·
ε) να διατηρούνται με μορφή που επιτρέπει τον προσδιορισμό της ταυτότητας των προσώπων στα οποία αναφέρονται μόνο κατά τη διάρκεια περιόδου που δεν υπερβαίνει την απαιτούμενη για την επίτευξη των σκοπών για τους οποίους έχουν συλλεγεί ή για τους οποίους αργότερα υφίστανται επεξεργασία. Τα κράτη μέλη προβλέπουν κατάλληλες εγγυήσεις για τα δεδομένα προσωπικού χαρακτήρα που διατηρούνται πέραν της περιόδου αυτής για σκοπούς ιστορικούς, στατιστικούς ή επιστημονικούς.
2. Εναπόκειται στον υπεύθυνο της επεξεργασίας να εξασφαλίσει την τήρηση της παραγράφου 1.»
6 Το άρθρο 7 της ίδιας οδηγίας, που αφορά τις σχετικές με τη νομιμοποίηση της επεξεργασίας δεδομένων αρχές, ορίζει τα εξής:
«Τα κράτη μέλη προβλέπουν ότι επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να γίνεται μόνον εάν:
α) το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει δώσει τη ρητή συγκατάθεσή του
ή
β) είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το ενδιαφερόμενο πρόσωπο είναι συμβαλλόμενο μέρος ή για την εκτέλεση προσυμβατικών μέτρων ληφθέντων αιτήσει του
ή
γ) είναι απαραίτητη για την τήρηση εκ του νόμου υποχρεώσεως του υπευθύνου της επεξεργασίας
ή
δ) η διαβίβαση είναι αναγκαία για τη διασφάλιση ζωτικού συμφέροντος του προσώπου στο οποίο αναφέρονται τα δεδομένα
ή
ε) είναι απαραίτητη για την εκπλήρωση έργου δημοσίου συμφέροντος ή εμπίπτοντος στην άσκηση δημοσίας εξουσίας που έχει ανατεθεί στον υπεύθυνο της επεξεργασίας ή στον τρίτο στον οποίο ανακοινώνονται τα δεδομένα
ή
στ) είναι απαραίτητη για την επίτευξη του εννόμου συμφέροντος που επιδιώκει ο υπεύθυνος της επεξεργασίας ή ο τρίτος ή οι τρίτοι στους οποίους ανακοινώνονται τα δεδομένα, υπό τον όρο ότι δεν προέχει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του προσώπου στο οποίο αναφέρονται που χρήζουν προστασίας δυνάμει του άρθρου 1, παράγραφος 1, της παρούσας οδηγίας.»
7 Το άρθρο 10 της οδηγίας 95/46, με τίτλο «Ενημέρωση σε περίπτωση συλλογής δεδομένων από το πρόσωπο στο οποίο αναφέρονται», ορίζει τα εξής:
«Τα κράτη μέλη προβλέπουν ότι ο υπεύθυνος της επεξεργασίας ή ο εκπρόσωπός του πρέπει να παρέχει στο πρόσωπο από το οποίο συλλέγονται δεδομένα που το αφορούν τουλάχιστον τις πληροφορίες που απαριθμούνται κατωτέρω, εκτός εάν το πρόσωπο αυτό έχει ήδη ενημερωθεί σχετικά:
α) την ταυτότητα του υπευθύνου της επεξεργασίας και, ενδεχομένως, του εκπροσώπου του·
β) τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα·
γ) οποιαδήποτε περαιτέρω πληροφορία, όπως:
– τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων,
– το κατά πόσον η παροχή των δεδομένων είναι υποχρεωτική ή όχι, καθώς και τις ενδεχόμενες συνέπειες της άρνησης παροχής τους,
– την ύπαρξη δικαιώματος πρόσβασης στα συγκεκριμένα δεδομένα και δικαιώματος διόρθωσής τους,
εφόσον οι πληροφορίες αυτές είναι αναγκαίες, λόγω των ειδικών συνθηκών υπό τις οποίες συλλέγονται τα δεδομένα, ώστε να εξασφαλίζεται η θεμιτή επεξεργασία έναντι του προσώπου στο οποίο αναφέρονται τα δεδομένα.»
8 Το άρθρο 11 της οδηγίας αυτής, με τίτλο «Ενημέρωση σε περίπτωση συλλογής δεδομένων όχι από το πρόσωπο στο οποίο αναφέρονται», έχει ως εξής:
«1. Όταν τα δεδομένα δεν έχουν συλλεγεί από το πρόσωπο το οποίο αφορούν, τα κράτη μέλη προβλέπουν ότι, ευθύς ως καταχωρηθούν τα δεδομένα ή, εάν προβλέπεται ανακοίνωσή τους σε τρίτους, το αργότερο κατά την πρώτη ανακοίνωσή τους, ο υπεύθυνος της επεξεργασίας ή ο εκπρόσωπός του πρέπει να παρέχει στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα τις εξής πληροφορίες, εκτός εάν το πρόσωπο αυτό έχει ήδη ενημερωθεί:
α) την ταυτότητα του υπευθύνου της επεξεργασίας και, ενδεχομένως, του εκπροσώπου του·
β) τους σκοπούς της επεξεργασίας·
γ) οποιαδήποτε περαιτέρω πληροφορία, όπως:
– τις κατηγορίες των σχετικών δεδομένων,
– τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων,
– την ύπαρξη δικαιώματος πρόσβασης στα συγκεκριμένα δεδομένα και δικαιώματος διόρθωσής τους,
εφόσον οι πληροφορίες αυτές είναι αναγκαίες, λόγω των ειδικών συνθηκών υπό τις οποίες συλλέγονται τα δεδομένα, ώστε να εξασφαλίζεται η θεμιτή επεξεργασία έναντι του προσώπου στο οποίο αναφέρονται τα δεδομένα.
2. Οι διατάξεις της παραγράφου 1 δεν εφαρμόζονται όταν, ιδίως όσον αφορά την επεξεργασία για σκοπούς στατιστικούς ή ιστορικής ή επιστημονικής έρευνας, η ενημέρωση του ενδιαφερομένου αποδεικνύεται αδύνατη ή προϋποθέτει δυσανάλογες προσπάθειες ή εάν η καταχώρηση ή η ανακοίνωση επιβάλλεται ρητώς από το νόμο. Στις περιπτώσεις αυτές, τα κράτη μέλη προβλέπουν κατάλληλες εγγυήσεις.»
9 Κατά το άρθρο 13 της εν λόγω οδηγίας, με τίτλο «Εξαιρέσεις και περιορισμοί»:
«1. Τα κράτη μέλη μπορούν να περιορίζουν με νομοθετικά μέτρα την εμβέλεια των υποχρεώσεων και δικαιωμάτων που προβλέπονται από τις διατάξεις του άρθρου 6, παράγραφος 1, του άρθρου 10, του άρθρου 11, παράγραφος 1, και των άρθρων 12 και 21, όταν ο περιορισμός αυτός απαιτείται για τη διαφύλαξη:
α) της ασφάλειας του κράτους·
β) της άμυνας·
γ) της δημόσιας ασφάλειας·
δ) της πρόληψης, διερεύνησης, διαπίστωσης και δίωξης παραβάσεων του ποινικού νόμου ή της δεοντολογίας των νομοθετικά κατοχυρωμένων επαγγελμάτων·
ε) σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος κράτους μέλους ή της Ευρωπαϊκής Ένωσης, συμπεριλαμβανομένων των νομισματικών, δημοσιονομικών και φορολογικών θεμάτων·
στ) αποστολής ελέγχου, επιθεώρησης ή ρυθμιστικών καθηκόντων που συνδέονται, έστω και ευκαιριακά, με την άσκηση δημόσιας εξουσίας στις περιπτώσεις που αναφέρονται στα στοιχεία γ), δ) και ε)·
ζ) της προστασίας του προσώπου στο οποίο αναφέρονται τα δεδομένα ή των δικαιωμάτων και ελευθεριών άλλων προσώπων.
2. Υπό την επιφύλαξη των προσφόρων νομικών εγγυήσεων, και ιδίως εκείνων που ορίζουν ότι τα δεδομένα δεν επιτρέπεται να χρησιμοποιηθούν για μέτρα ή αποφάσεις που ανάγονται σε συγκεκριμένα πρόσωπα, τα κράτη μέλη μπορούν, ιδίως στην περίπτωση που σαφώς ελλείπει κάθε κίνδυνος να θιγεί η ιδιωτική ζωή του προσώπου που αφορούν, να περιορίζουν νομοθετικώς τα δικαιώματα εκ του άρθρου 12 όταν η επεξεργασία δεδομένων γίνεται αποκλειστικά για επιστημονική έρευνα ή όταν αποθηκεύονται υπό μορφή στοιχείων προσωπικού χαρακτήρα επί διάστημα που δεν υπερβαίνει το αναγκαίο προς κατάρτιση στατιστικών και μόνο.»
Το ρουμανικό δίκαιο
Ο νόμος 95/2006
10 Από την απόφαση περί παραπομπής προκύπτει ότι το άρθρο 215 του νόμου 95/2006 περί μεταρρυθμίσεως του τομέα υγείας (Legea nr. 95/2006 privind reforma în domeniul sănătății), της 14ης Απριλίου 2006 (Monitorul Oficial al României, μέρος I, αριθ. 372, της 28ης Απριλίου 2006), ορίζει τα εξής:
«1. Η υποχρέωση καταβολής εισφοράς για ασφάλιση υγείας βαρύνει το φυσικό ή νομικό πρόσωπο που απασχολεί εργαζομένους βάσει ατομικής συμβάσεως εργασίας ή με ειδικό καθεστώς που προβλέπεται εκ του νόμου, και, ανά περίπτωση, τα φυσικά πρόσωπα.
2. Τα φυσικά ή νομικά πρόσωπα για τα οποία οι ασφαλισμένοι ασκούν τις δραστηριότητές τους υποχρεούνται να υποβάλλουν μηνιαίως στα ταμεία ασφαλίσεως υγείας που επιλέγουν ελεύθερα οι ασφαλισμένοι, τις ονομαστικές δηλώσεις των υποχρεώσεών τους προς το ταμείο και την απόδειξη πληρωμής των εισφορών.
[…]»
11 Το άρθρο 315 του νόμου αυτού ορίζει τα εξής:
«Τα δεδομένα που είναι απαραίτητα για την αναγνώριση της ιδιότητας του ασφαλισμένου διαβιβάζονται ατελώς στα ταμεία ασφαλίσεως υγείας από τις αρχές, τους δημόσιους οργανισμούς ή άλλους φορείς, βάσει πρωτοκόλλου.»
Η υπ’ αριθ. 617/2007 απόφαση του προέδρου του CNAS
12 Το άρθρο 35 της υπ’ αριθ. 617/2007 αποφάσεως του προέδρου του CNAS, της 13ης Αυγούστου 2007, περί εγκρίσεως των μεθοδολογικών κανόνων σχετικά με τον καθορισμό των δικαιολογητικών εγγράφων για την απόκτηση της ιδιότητας του ασφαλισμένου ή του απαλλασσόμενου από τις εισφορές ασφαλισμένου και σχετικά με την εφαρμογή των μέτρων αναγκαστικής εκτελέσεως ενόψει της εισπράξεως των οφειλόμενων στο ενιαίο εθνικό ταμείο κοινωνικής ασφαλίσεως ποσών (Monitorul Oficial al României, μέρος I, αριθ. 649, της 24ης Σεπτεμβρίου 2007), ορίζει τα εξής:
«[...] όσον αφορά τις υποχρεώσεις καταβολής σχετικά με φυσικά πρόσωπα που ασφαλίζονται με ασφαλιστική σύμβαση, εξαιρουμένων των προσώπων για τα οποία η είσπραξη των φόρων πραγματοποιείται από την ANAF, συνιστούν χρεωστικούς τίτλους, ανά περίπτωση, η δήλωση […], η πράξη επιβολής φόρου που εκδίδεται από το αρμόδιο όργανο του CA [ταμείου ασφαλίσεως υγείας], καθώς και οι δικαστικές αποφάσεις που αφορούν οφειλές έναντι του ταμείου. Η πράξη επιβολής φόρου μπορεί να εκδίδεται από το αρμόδιο όργανο του CAS και βάσει των πληροφοριών που διαβιβάζονται δυνάμει πρωτοκόλλου.»
Το πρωτόκολλο του 2007
13 Κατά το άρθρο 4 του υπ’ αριθ. P 5282/26.10.2007/95896/30.10.2007 πρωτοκόλλου το οποίο υπεγράφη μεταξύ του CNAS και της ANAF (στο εξής: πρωτόκολλο του 2007):
«Μετά τη θέση σε ισχύ του παρόντος πρωτοκόλλου, η [ANAF], μέσω των υφιστάμενων αρμόδιων μονάδων, παρέχει σε ηλεκτρονική μορφή την αρχική βάση δεδομένων αναφορικά με:
a. τα εισοδήματα των προσώπων που εμπίπτουν στις κατηγορίες του άρθρου 1, παράγραφος l, του παρόντος πρωτοκόλλου και, σε τριμηνιαία βάση, ενημέρωση της εν λόγω βάσεως δεδομένων, στο [CNAS], με υπόθεμα συμβατό με την αυτοματοποιημένη επεξεργασία, συμφώνως προς το παράρτημα 1 του παρόντος πρωτοκόλλου […]
[...]».
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
14 Οι προσφεύγοντες της κύριας δίκης πραγματοποιούν εισοδήματα από ανεξάρτητες δραστηριότητες. H ANAF διαβίβασε στο CNAS δεδομένα σχετικά με τα δηλωθέντα εισοδήματά τους. Βάσει των δεδομένων αυτών, το CNAS ζήτησε την προκαταβολή εισφορών στο σύστημα ασφαλίσεως υγείας.
15 Οι προσφεύγοντες της κύριας δίκης άσκησαν προσφυγή ενώπιον του Curtea de Apel Cluj, αμφισβητώντας τη νομιμότητα της διαβιβάσεως των σχετικών με τα εισοδήματά τους φορολογικών δεδομένων υπό το πρίσμα της οδηγίας 95/46. Υποστηρίζουν ότι τα εν λόγω δεδομένα προσωπικού χαρακτήρα διαβιβάσθηκαν βάσει απλού εσωτερικού πρωτοκόλλου και ότι χρησιμοποιήθηκαν για σκοπούς διαφορετικούς από εκείνους για τους οποίους είχαν αρχικώς γνωστοποιηθεί στην ANAF, χωρίς τη ρητή συγκατάθεση ή την προηγούμενη ενημέρωση των προσφευγόντων.
16 Από την απόφαση περί παραπομπής προκύπτει ότι οι δημόσιες αρχές δύνανται να διαβιβάζουν, δυνάμει του νόμου 95/2006, δεδομένα προσωπικού χαρακτήρα στα ταμεία ασφαλίσεως υγείας προκειμένου αυτά να μπορούν να αναγνωρίσουν την ιδιότητα του ασφαλισμένου στα πρόσωπα τα οποία αφορά η επεξεργασία των δεδομένων. Τα δεδομένα αυτά αφορούν την ταυτοποίηση των προσώπων (επώνυμο, όνομα, αριθμός ταυτότητας, τόπος κατοικίας ή διαμονής), αλλά δεν περιλαμβάνουν δεδομένα σχετικά με τα εισοδήματά τους.
17 Το αιτούν δικαστήριο ζητεί να διευκρινισθεί αν η επεξεργασία δεδομένων από το CNAS προϋπέθετε την προηγούμενη ενημέρωση των προσώπων τα οποία αφορά η επεξεργασία των δεδομένων όσον αφορά την ταυτότητα του υπεύθυνου της επεξεργασίας και τον σκοπό προς τον οποίο διαβιβάσθηκαν τα εν λόγω δεδομένα. Το αιτούν δικαστήριο κλήθηκε επίσης να αποφανθεί ως προς το ζήτημα αν η διαβίβαση των δεδομένων βάσει του πρωτοκόλλου του 2007 ήταν αντίθετη προς τις διατάξεις της οδηγίας 95/46, κατά τις οποίες κάθε περιορισμός των δικαιωμάτων των προσώπων τα οποία αφορούν τα δεδομένα πρέπει να προβλέπεται από τον νόμο και να συνοδεύεται από εγγυήσεις, ιδίως όταν τα δεδομένα χρησιμοποιούνται σε βάρος των εν λόγω προσώπων.
18 Υπό τις συνθήκες αυτές, το Curtea de Apel Cluj αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα εξής προδικαστικά ερωτήματα:
«1) Είναι η εθνική φορολογική αρχή, ως αντιπροσωπευτικό όργανο του αρμόδιου Υπουργείου κράτους μέλους, χρηματοπιστωτικό ίδρυμα κατά την έννοια του άρθρου 124 ΣΛΕΕ;
2) Είναι δυνατόν να ρυθμίζεται με οιονεί διοικητική πράξη, ήτοι με πρωτόκολλο που υπογράφεται μεταξύ της εθνικής φορολογικής αρχής και άλλου δημόσιου φορέα, η διαβίβαση της βάσεως δεδομένων που αφορά τα εισοδήματα που πραγματοποιούν υπήκοοι κράτους μέλους, από την εθνική φορολογική αρχή προς άλλο φορέα του κράτους μέλους, χωρίς τούτο να συνιστά προνομιακή πρόσβαση, όπως αυτή ορίζεται στο άρθρο 124 ΣΛΕΕ;
3) Εμπίπτει στην έννοια των “λόγων προληπτικής εποπτείας” του άρθρου 124 ΣΛΕΕ η διαβίβαση της βάσεως δεδομένων με σκοπό την επιβάρυνση των υπηκόων κράτους μέλους με υποχρεώσεις καταβολής κοινωνικών εισφορών υπέρ του φορέα του κράτους μέλους προς τον οποίο γίνεται η διαβίβαση;
4) Μπορεί τα δεδομένα προσωπικού χαρακτήρα να αποτελούν αντικείμενο επεξεργασίας από αρχή διαφορετική από εκείνη για την οποία προορίζονταν, όταν αυτή η πράξη επιφέρει αναδρομικά περιουσιακή ζημία;»
Επί των προδικαστικών ερωτημάτων
Επί του παραδεκτού
Επί του παραδεκτού του πρώτου, του δεύτερου και του τρίτου ερωτήματος
19 Κατά πάγια νομολογία, το Δικαστήριο μπορεί να αρνηθεί να αποφανθεί επί προδικαστικού ερωτήματος υποβληθέντος από εθνικό δικαστήριο, όταν προκύπτει προδήλως ότι η ερμηνεία του δικαίου της Ένωσης την οποία ζητεί το εθνικό δικαστήριο δεν έχει καμία σχέση με το υποστατό ή το αντικείμενο της διαφοράς της κύριας δίκης, όταν το πρόβλημα είναι υποθετικής φύσεως ή ακόμη όταν το Δικαστήριο δεν διαθέτει τα πραγματικά ή νομικά στοιχεία που είναι αναγκαία προκειμένου να δώσει χρήσιμη απάντηση στα ερωτήματα που του υποβλήθηκαν (βλ. απόφαση PreussenElektra, C‑379/98, E U:C:2001:160, σκέψη 39 και εκεί παρατιθέμενη νομολογία).
20 Όλες οι παρατηρήσεις που υποβλήθηκαν στο Δικαστήριο κλίνουν προς την άποψη ότι το πρώτο, το δεύτερο και το τρίτο προδικαστικό ερώτημα σχετικά με την ερμηνεία του άρθρου 124 ΣΛΕΕ είναι απαράδεκτα λόγω του ότι δεν σχετίζονται με το αντικείμενο της διαφοράς στην κύρια δίκη.
21 Συναφώς, υπενθυμίζεται ότι το άρθρο 124 ΣΛΕΕ εμπίπτει στο τρίτο μέρος, τίτλος VIII, της Συνθήκης ΛΕΕ σχετικά με την οικονομική και νομισματική πολιτική. Το άρθρο αυτό απαγορεύει κάθε μέτρο που θεσπίζει προνομιακή πρόσβαση των κοινοτικών οργάνων ή οργανισμών, των κεντρικών κυβερνήσεων, των περιφερειακών, τοπικών ή άλλων δημόσιων αρχών, των άλλων οργανισμών δημοσίου δικαίου ή των δημόσιων επιχειρήσεων των κρατών μελών στα χρηματοπιστωτικά ιδρύματα, εφόσον δεν υπαγορεύεται από λόγους προληπτικής εποπτείας.
22 Η απαγόρευση αυτή απορρέει από το άρθρο 104 A της Συνθήκης ΕΚ (ήδη άρθρο 102 EΚ) το οποίο προστέθηκε στη Συνθήκη ΕΚ με τη Συνθήκη του Μάαστριχτ. Ανήκει στις διατάξεις της Συνθήκης ΛΕΕ σχετικά με την οικονομική πολιτική που αποσκοπούν στην παρότρυνση των κρατών μελών να ακολουθούν υγιή δημοσιονομική πολιτική αποφεύγοντας το ενδεχόμενο η νομισματική χρηματοδότηση των δημοσίων ελλειμμάτων ή η προνομιακή πρόσβαση των δημοσίων αρχών στις χρηματοπιστωτικές αγορές να οδηγήσουν σε υπερχρέωση ή σε υπερβολικά ελλείμματα των κρατών μελών (βλ., υπό την έννοια αυτή, απόφαση Gauweiler κ.λπ., C‑62/14, EU:C:2015:400, σκέψη 100).
23 Επομένως, είναι προφανές ότι η ερμηνεία του άρθρου 124 ΣΛΕΕ την οποία ζητεί το αιτούν δικαστήριο ουδόλως σχετίζεται με το υποστατό ή το αντικείμενο της διαφοράς στην κύρια δίκη, που αφορά την προστασία δεδομένων προσωπικού χαρακτήρα.
24 Επομένως, παρέλκει η απάντηση στο πρώτο, το δεύτερο και το τρίτο προδικαστικό ερώτημα.
Επί του παραδεκτού του τέταρτου ερωτήματος
25 Το CNAS και η Ρουμανική Κυβέρνηση διατείνονται ότι το τέταρτο ερώτημα είναι απαράδεκτο. Η Ρουμανική Κυβέρνηση υποστηρίζει ότι δεν υφίσταται κανένας σύνδεσμος μεταξύ της ζημίας την οποία επικαλούνται οι προσφεύγοντες της κύριας δίκης και της επιδιωκόμενης στο πλαίσιο της κύριας δίκης ακυρώσεως των προσβαλλόμενων διοικητικών πράξεων.
26 Υπενθυμίζεται, συναφώς, ότι, κατά πάγια νομολογία του Δικαστηρίου, τα σχετικά με την ερμηνεία του δικαίου της Ένωσης ερωτήματα που έχει υποβάλει το εθνικό δικαστήριο εντός του πραγματικού και κανονιστικού πλαισίου το οποίο έχει προσδιορίσει με δική του ευθύνη και την ακρίβεια του οποίου δεν οφείλει να ελέγξει το Δικαστήριο θεωρούνται κατά τεκμήριο λυσιτελή. Το Δικαστήριο μπορεί να απορρίψει την αίτηση προδικαστικής αποφάσεως που έχει υποβάλει το εθνικό δικαστήριο μόνον όταν προδήλως προκύπτει ότι η ερμηνεία του δικαίου της Ένωσης την οποία ζητεί το εθνικό δικαστήριο δεν έχει καμία σχέση με το υποστατό ή το αντικείμενο της διαφοράς της κύριας δίκης, όταν το πρόβλημα είναι υποθετικής φύσεως ή επίσης όταν το Δικαστήριο δεν διαθέτει τα πραγματικά και νομικά στοιχεία που είναι αναγκαία προκειμένου να δώσει χρήσιμη απάντηση στα ερωτήματα που του έχουν υποβληθεί (απόφαση Fish Legal και Shirley, C‑279/12, EU:C:2013:853, σκέψη 30 και εκεί παρατιθέμενη νομολογία).
27 Επισημαίνεται ότι η διαφορά της κύριας δίκης αφορά τη νομιμότητα της επεξεργασίας φορολογικών δεδομένων που είχε συγκεντρώσει η ANAF. Στο πλαίσιο του ελέγχου νομιμότητας της διαβιβάσεως των εν λόγω δεδομένων στο CNAS και της μεταγενέστερης επεξεργασίας τους, το αιτούν δικαστήριο διερωτάται σχετικά με την ερμηνεία των διατάξεων της οδηγίας 95/46. Κατά συνέπεια, το τέταρτο προδικαστικό ερώτημα είναι σημαντικό και αρκούντως σαφές ώστε να μπορέσει το Δικαστήριο να δώσει χρήσιμη απάντηση. Επομένως, η αίτηση προδικαστικής αποφάσεως πρέπει να θεωρηθεί παραδεκτή όσον αφορά το τέταρτο προδικαστικό ερώτημα.
Επί της ουσίας
28 Με το τέταρτο ερώτημα, το αιτούν δικαστήριο ζητεί κατ’ ουσίαν να διευκρινισθεί αν τα άρθρα 10, 11 και 13 της οδηγίας 95/46 έχουν την έννοια ότι αντιτίθενται σε εθνικά μέτρα όπως τα επίδικα, τα οποία επιτρέπουν σε διοικητική αρχή κράτους μέλους τη διαβίβαση δεδομένων προσωπικού χαρακτήρα και τη μεταγενέστερη επεξεργασία τους χωρίς προηγούμενη ενημέρωση των προσώπων τα οποία αφορούν τα δεδομένα σχετικά με την εν λόγω διαβίβαση ή επεξεργασία.
29 Συναφώς, επιβάλλεται η διαπίστωση ότι, βάσει των πληροφοριών που παρέσχε το αιτούν δικαστήριο, τα διαβιβασθέντα φορολογικά δεδομένα από το CNAS στην ANAF συνιστούν δεδομένα προσωπικού χαρακτήρα, κατά την έννοια του άρθρου 2, στοιχείο αʹ, της εν λόγω οδηγίας, καθώς πρόκειται για «πληροφορίες που αναφέρονται σε φυσικό πρόσωπο του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί» (απόφαση Satakunnan Markkinapörssi και Satamedia, C‑73/07, EU:C:2008:727, σκέψη 35). Κατά συνέπεια, τόσο η διαβίβασή τους από την ANAF, οργανισμό επιφορτισμένο με τη διαχείριση της βάσεως δεδομένων που τα συγκεντρώνει, όσο και η μεταγενέστερη επεξεργασία τους από το CNAS, έχουν τον χαρακτήρα «επεξεργασίας δεδομένων προσωπικού χαρακτήρα», κατά την έννοια του άρθρου 2, στοιχείο βʹ, της ίδιας οδηγίας (βλ., υπ’ αυτή την έννοια, μεταξύ άλλων, αποφάσεις Österreichischer Rundfunk κ.λπ., C‑465/00, C‑138/01 και C‑139/01, EU:C:2003:294, σκέψη 64, καθώς και Huber, C‑524/06, EU:C:2008:724, σκέψη 43).
30 Σύμφωνα με τις διατάξεις του κεφαλαίου II της οδηγίας 95/46, με τίτλο «Γενικές προϋποθέσεις σχετικά με τη θεμιτή επεξεργασία δεδομένων προσωπικού χαρακτήρα», υπό την επιφύλαξη των παρεκκλίσεων που δέχεται το άρθρο 13 της εν λόγω οδηγίας αυτής, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύμφωνη, αφενός, προς τις αρχές που πρέπει να τηρούνται ως προς την ποιότητα των δεδομένων, τις οποίες θέτει το άρθρο 6 της προαναφερθείσας οδηγίας, και, αφετέρου, προς τις βασικές αρχές της νόμιμης επεξεργασίας δεδομένων που απαριθμεί το άρθρο 7 της ίδιας οδηγίας (βλ. αποφάσεις Österreichischer Rundfunk κ.λπ., C‑465/00, C‑138/01 και C‑139/01, EU:C:2003:294, σκέψη 65· Huber, C‑524/06, EU:C:2008:724, σκέψη 48, καθώς και ASNEF και FECEMD, C‑468/10 και C‑469/10, EU:C:2011:777, σκέψη 26).
31 Επιπλέον, ο υπεύθυνος της επεξεργασίας των δεδομένων ή ο εκπρόσωπός του υπέχουν υποχρέωση ενημερώσεως, το περιεχόμενο της οποίας ορίζεται στα άρθρα 10 και 11 της οδηγίας 95/46 και διαφέρει αναλόγως του αν τα εν λόγω δεδομένα συγκεντρώνονται από το πρόσωπο το οποίο αφορούν τα δεδομένα ή όχι, και τούτο υπό την επιφύλαξη των εξαιρέσεων που προβλέπει το άρθρο 13 της εν λόγω οδηγίας.
32 Πρώτον, όσον αφορά το άρθρο 10 της εν λόγω οδηγίας, αυτό προβλέπει ότι ο υπεύθυνος της επεξεργασίας πρέπει να παρέχει στο πρόσωπο από το οποίο συλλέγονται δεδομένα που το αφορούν τουλάχιστον τις πληροφορίες που απαριθμούνται στα στοιχεία αʹ έως γʹ, εκτός εάν το πρόσωπο αυτό έχει ήδη ενημερωθεί σχετικώς. Οι πληροφορίες αυτές αφορούν την ταυτότητα του υπευθύνου της επεξεργασίας των δεδομένων αυτών, τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα, καθώς και κάθε πρόσθετη απαραίτητη πληροφορία προκειμένου να διασφαλίζεται η θεμιτή επεξεργασία των δεδομένων αυτών. Στις πρόσθετες πληροφορίες για τη διασφάλιση της θεμιτής επεξεργασίας των δεδομένων, το άρθρο 10, στοιχείο γʹ, της ίδιας οδηγίας αναφέρει ρητώς «τους αποδέκτες ή τις κατηγορίες αποδεκτών των προσωπικών δεδομένων» καθώς και «την ύπαρξη δικαιώματος πρόσβασης στα συγκεκριμένα δεδομένα […] όσον αφορά [το εν λόγω πρόσωπο] και δικαιώματος διόρθωσής τους».
33 Όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 74 των προτάσεών του, η εν λόγω απαίτηση ενημερώσεως των προσώπων τα οποία αφορά η επεξεργασία των δεδομένων προσωπικού χαρακτήρα έχει ακόμα μεγαλύτερη σημασία καθώς από αυτήν εξαρτάται η άσκηση από τα πρόσωπα αυτά του δικαιώματός τους να έχουν πρόσβαση στα υπό επεξεργασία δεδομένα, το οποίο μνημονεύεται στο άρθρο 12 της οδηγίας 95/46, και του δικαιώματός τους να αντιτάσσονται στην επεξεργασία των εν λόγω δεδομένων, το οποίο προβλέπει το άρθρο 14 της ίδιας οδηγίας.
34 Συνεπώς, η απαίτηση περί θεμιτής επεξεργασίας προσωπικών δεδομένων την οποία προβλέπει το άρθρο 6 της οδηγίας 95/46 υποχρεώνει τη διοικητική αρχή να ενημερώνει τα πρόσωπα τα οποία αφορούν τα δεδομένα σχετικά με τη διαβίβαση των εν λόγω δεδομένων σε άλλη διοικητική αρχή προς τον σκοπό επεξεργασίας τους από τη δεύτερη ως αποδέκτρια των εν λόγω δεδομένων.
35 Από τις επεξηγήσεις που παρέσχε το αιτούν δικαστήριο προκύπτει ότι οι προσφεύγοντες στην κύρια δίκη δεν ενημερώθηκαν από την ANAF σχετικά με τη διαβίβαση των προσωπικών δεδομένων τους στο CNAS.
36 Εντούτοις, η Ρουμανική Κυβέρνηση υποστηρίζει ότι η ANAF υποχρεούται, δυνάμει, ιδίως, του άρθρου 315 του νόμου 95/2006, να διαβιβάζει στα τοπικά ταμεία ασφαλίσεως υγείας τις απαραίτητες πληροφορίες για τον προσδιορισμό από το CNAS των προσώπων που πραγματοποιούν εισοδήματα από ανεξάρτητες δραστηριότητες στα οποία πρέπει να αναγνωρισθεί η ιδιότητα του ασφαλισμένου.
37 Ασφαλώς, το άρθρο 315 του νόμου 95/2006 προβλέπει ρητώς ότι «τα δεδομένα που είναι απαραίτητα για την αναγνώριση της ιδιότητας του ασφαλισμένου διαβιβάζονται ατελώς στα ταμεία ασφαλίσεως υγείας από τις αρχές, τους δημόσιους οργανισμούς ή άλλους φορείς, βάσει πρωτοκόλλου». Εντούτοις, από τις επεξηγήσεις που παρέσχε το αιτούν δικαστήριο προκύπτει ότι στα απαραίτητα για την αναγνώριση της ιδιότητας του ασφαλισμένου δεδομένα, κατά την έννοια της προαναφερθείσας διατάξεως, δεν συγκαταλέγονται τα σχετικά με τα εισοδήματα δεδομένα, καθόσον ο νόμος αναγνωρίζει την ιδιότητα του ασφαλισμένου και σε πρόσωπα χωρίς φορολογητέα εισοδήματα.
38 Υπό αυτές τις συνθήκες, το άρθρο 315 του νόμου 95/2006 δεν μπορεί να συνιστά, υπό την έννοια του άρθρου 10 της οδηγίας 95/46, προηγούμενη ενημέρωση ικανή να απαλλάξει τον υπεύθυνο της επεξεργασίας από την υποχρέωσή του να ενημερώνει τα πρόσωπα από τα οποία συγκεντρώνει δεδομένα σχετικά με εισοδήματα όσον αφορά τους αποδέκτες των εν λόγω δεδομένων. Επομένως, δεν μπορεί να θεωρηθεί ότι η επίμαχη διαβίβαση πραγματοποιήθηκε συμφώνως προς τα οριζόμενα στο άρθρο 10 της οδηγίας 95/46.
39 Είναι σκόπιμο να εξετασθεί αν η εν λόγω έλλειψη πληροφοριών σχετικά με τα πρόσωπα τα οποία αφορούν τα δεδομένα είναι δυνατό να εμπίπτει στο πεδίο εφαρμογής του άρθρου 13 της εν λόγω οδηγίας. Ειδικότερα, από την παράγραφο 1, στοιχεία εʹ και στʹ, του συγκεκριμένου άρθρου 13 προκύπτει ότι τα κράτη μέλη μπορούν να περιορίζουν με νομοθετικά μέτρα την εμβέλεια των υποχρεώσεων και δικαιωμάτων που προβλέπονται από τις διατάξεις του άρθρου 6, παράγραφος 1, του άρθρου 10, του άρθρου 11, παράγραφος 1, και των άρθρων 12 και 21, όταν ο περιορισμός αυτός απαιτείται για τη διαφύλαξη «σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος κράτους μέλους […], συμπεριλαμβανομένων νομισματικών, δημοσιονομικών και φορολογικών θεμάτων» καθώς και «αποστολής ελέγχου, επιθεώρησης ή ρυθμιστικών καθηκόντων που συνδέονται, έστω και ευκαιριακά, με την άσκηση δημόσιας εξουσίας στις περιπτώσεις που αναφέρονται στα στοιχεία γ), δ) και ε)». Εντούτοις, το εν λόγω άρθρο 13 απαιτεί ρητώς να επιβάλλονται τέτοιου είδους περιορισμοί με νομοθετικά μέτρα.
40 Επιπλέον, πέραν της περιστάσεως ότι τα σχετικά με τα εισοδήματα δεδομένα δεν συγκαταλέγονται μεταξύ των προσωπικών δεδομένων που είναι απαραίτητα για την αναγνώριση της ιδιότητας του ασφαλισμένου, την οποία υπογράμμισε το αιτούν δικαστήριο, πρέπει να τονισθεί ότι το άρθρο 315 του νόμου 95/2006 προβλέπει καταρχήν τη διαβίβαση απλώς και μόνο των προσωπικών δεδομένων που έχουν στη διάθεσή τους οι αρχές, οι δημόσιοι οργανισμοί και άλλοι φορείς. Επίσης από την απόφαση περί παραπομπής προκύπτει ότι ο ορισμός των διαβιβάσιμων πληροφοριών καθώς και οι όροι της διαβιβάσεως των εν λόγω πληροφοριών θεσπίσθηκαν όχι με νομοθετικό μέτρο, αλλά με πρωτόκολλο του 2007 που συνήφθη μεταξύ της ANAF και του CNAS, το οποίο δεν αποτέλεσε αντικείμενο επίσημης δημοσιεύσεως.
41 Υπό αυτές τις περιστάσεις, δεν μπορεί να γίνει δεκτό ότι πληρούνται οι προϋποθέσεις που τάσσει το άρθρο 13 της οδηγίας 95/46 προκειμένου ένα κράτος μέλος να μπορεί να εξαιρεθεί από τα δικαιώματα και τις υποχρεώσεις του άρθρου 10 της εν λόγω οδηγίας.
42 Δεύτερον, όσον αφορά, το άρθρο 11 της εν λόγω οδηγίας, αυτό προβλέπει, στην πρώτη του παράγραφο, ότι ο υπεύθυνος της επεξεργασίας πρέπει να παρέχει στο πρόσωπο το οποίο αφορούν τα δεδομένα τις πληροφορίες που απαριθμούν τα στοιχεία αʹ έως γʹ. Οι πληροφορίες αυτές αφορούν την ταυτότητα του υπεύθυνου επεξεργασίας καθώς και όλες τις πρόσθετες πληροφορίες που είναι απαραίτητες για να διασφαλισθεί η θεμιτή επεξεργασία των δεδομένων. Μεταξύ των εν λόγω πρόσθετων πληροφοριών, το άρθρο 11, παράγραφος 1, στοιχείο γʹ, της ίδιας οδηγίας αναφέρει ρητώς «τις κατηγορίες των σχετικών δεδομένων» καθώς και «την ύπαρξη δικαιώματος πρόσβασης στα συγκεκριμένα δεδομένα και δικαιώματος διόρθωσής τους».
43 Κατά συνέπεια, συμφώνως προς το άρθρο 11, παράγραφος 1, στοιχεία βʹ και γʹ, της οδηγίας 95/46, υπό τις περιστάσεις της υποθέσεως της κύριας δίκης, η επεξεργασία από το CNAS των δεδομένων που διαβίβασε η ANAF προϋποθέτει ότι τα πρόσωπα τα οποία αφορούν τα εν λόγω δεδομένα ενημερώθηκαν σχετικά με τους σκοπούς της επεξεργασίας αυτής καθώς και τις κατηγορίες των σχετικών δεδομένων.
44 Από τις επεξηγήσεις που παρέσχε το αιτούν δικαστήριο προκύπτει ότι το CNAS δεν παρέσχε στους προσφεύγοντες της κύριας δίκης τις πληροφορίες που απαριθμεί το άρθρο 11, παράγραφος 1, στοιχεία αʹ έως γʹ της εν λόγω οδηγίας.
45 Πρέπει να προστεθεί ακόμη ότι, κατά το άρθρο 11, παράγραφος 2, της οδηγίας 95/46, οι διατάξεις του άρθρου 11, παράγραφος 1, της εν λόγω οδηγίας δεν εφαρμόζονται όταν η καταχώριση ή η ανακοίνωση επιβάλλεται ρητώς από τον νόμο, περιπτώσεις στις οποίες τα κράτη μέλη οφείλουν να προβλέπουν κατάλληλες εγγυήσεις. Για τους λόγους που παρατέθηκαν στις σκέψεις 40 και 41 της παρούσας αποφάσεως, οι διατάξεις του νόμου 95/2006 τις οποίες επικαλείται η Ρουμανική Κυβέρνηση και το πρωτόκολλο του 2007 δεν εμπίπτουν ούτε στο εξαιρετικό καθεστώς του άρθρου 11, παράγραφος 2, ούτε στο καθεστώς που προβλέπει το άρθρο 13 της εν λόγω οδηγίας.
46 Λαμβανομένου υπόψη του συνόλου των προεκτεθεισών εκτιμήσεων, στο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι τα άρθρα 10, 11 και 13 της οδηγίας 95/46 έχουν την έννοια ότι αντιτίθενται σε εθνικά μέτρα όπως τα επίδικα, τα οποία επιτρέπουν σε διοικητική αρχή κράτους μέλους τη διαβίβαση δεδομένων προσωπικού χαρακτήρα και τη μεταγενέστερη επεξεργασία τους χωρίς προηγούμενη ενημέρωση των προσώπων τα οποία αφορούν τα δεδομένα σχετικά με τη διαβίβαση ή επεξεργασία αυτή.
Επί των δικαστικών εξόδων
47 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του εθνικού δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (τρίτο τμήμα) αποφαίνεται:
Τα άρθρα 10, 11 και 13 της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών, έχουν την έννοια ότι αντιτίθενται σε εθνικά μέτρα όπως τα επίδικα, τα οποία επιτρέπουν σε διοικητική αρχή κράτους μέλους τη διαβίβαση δεδομένων προσωπικού χαρακτήρα και τη μεταγενέστερη επεξεργασία τους χωρίς προηγούμενη ενημέρωση των προσώπων τα οποία αφορούν τα δεδομένα σχετικά με τη διαβίβαση ή επεξεργασία αυτή.
(υπογραφές)