OPINIA RZECZNIKA GENERALNEGO
PEDRA CRUZA VILLALÓNA
przedstawiona w dniu 9 lipca 2015 r.(1)
Sprawa C‑201/14
Smaranda Bara i in.
przeciwko
Președintele Casei Naționale de Asigurări de Sănătate
Casa Naţională de Asigurări de Sănătate
i Agenţia Naţională de Administrare Fiscală (ANAF)
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Curtea de Apel Cluj (Rumunia)]
Odesłanie prejudycjalne – Polityka gospodarcza i pieniężna – Artykuł 124 TFUE – Uprzywilejowany dostęp do instytucji finansowych – Przepis niemający zastosowania do sporu w postępowaniu głównym – Oczywista niedopuszczalność – Zbliżanie ustawodawstw – Dyrektywa 95/46/WE – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Artykuł 7 – Przesłanki legalności przetwarzania danych – Artykuły 10 i 11 – Zgoda i informowanie osób, których dane dotyczą – Artykuł 13 – Zwolnienia i ograniczenia – Przepisy krajowe dotyczące nabycia statusu osoby ubezpieczonej – Protokół przekazania pomiędzy dwiema instytucjami publicznymi danych osobowych dotyczących dochodów odnośnych osób
1. W jakim zakresie i zgodnie z jakimi zasadami instytucje publiczne państwa członkowskiego są uprawnione, w ramach wykonywania swoich prerogatyw władzy publicznej, do przekazywania sobie nawzajem danych osobowych obywateli, w szczególności danych dotyczących ich dochodów, które gromadzą one w celu wypełniania swoich zadań wykonywanych w interesie ogólnym? W ramach sporu w postępowaniu głównym nasuwa się zasadniczo to właśnie główne pytanie, które wymaga dokonania przez Trybunał wykładni kilku przepisów dyrektywy 95/46/WE(2).
2. Konkretnie, niniejsza sprawa daje Trybunałowi okazję do zbadania warunków, jakim zgodnie z dyrektywą 95/46 podlega przekazywanie danych osobowych z jednego organu administracji do drugiego, oraz do wyjaśnienia obowiązków ciążących zarówno na podmiotach publicznych dokonujących takiego przekazania, jak i na krajowym prawodawcy powołanym do regulowania takich praktyk, w szczególności w odniesieniu do informowania osób, których dane dotyczą.
I – Ramy prawne
A – Prawo Unii
3. Głównymi przepisami dyrektywy 95/46, które wydają się mieć znaczenie dla rozstrzygnięcia sporu w postępowaniu głównym, są art. 7, 10, 11 i 13. Treść pozostałych właściwych przepisów będzie cytowana, w miarę potrzeby, w toku rozważań.
4. Artykuł 7 dyrektywy 95/46 stanowi:
„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy:
a) osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lub
b) przetwarzanie danych jest konieczne dla realizacji umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na życzenie osoby, której dane dotyczą, przed zawarciem umowy; lub
c) przetwarzanie danych jest konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega; lub
d) przetwarzanie danych jest konieczne dla ochrony żywotnych interesów osób, których dane dotyczą; lub
e) przetwarzanie danych jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane; lub
f) przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub [osób trzecich], którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które [wymagają ochrony] na podstawie art. 1 ust. 1”.
5. Artykuł 10 dyrektywy 95/46 stanowi:
„Państwa członkowskie zapewniają, aby administrator danych lub jego przedstawiciel miał obowiązek przedstawienia osobie, której dane dotyczą i od której gromadzone są dane, co najmniej następujących informacji, z wyjątkiem przypadku, kiedy informacje takie [ta osoba] już posiada:
a) tożsamości administratora danych i ewentualnie jego przedstawiciela;
b) celów przetwarzania danych, do których dane są przeznaczone;
c) wszelkich dalszych informacji, jak np.:
– odbiorcy lub kategorie odbierających dane,
– [to], czy odpowiedzi na pytania są obowiązkowe czy dobrowolne oraz ewentualne konsekwencje nieudzielenia odpowiedzi,
– istnienie prawa wglądu do swoich danych oraz ich sprostowania,
o ile takie dalsze informacje są potrzebne – biorąc pod uwagę szczególne okoliczności, w których dane są gromadzone – w celu zagwarantowania rzetelnego przetwarzania danych w stosunku do osoby, której dane dotyczą”.
6. Artykuł 11 dyrektywy 95/46 stanowi:
„1. W przypadku gdy dane uzyskiwane są z innych źródeł niż osoba, której dane dotyczą, państwa członkowskie zapewniają, aby administrator danych lub jego przedstawiciel był zobowiązany od początku gromadzenia danych osobowych lub w przypadku ujawnienia danych osobie trzeciej, nie później niż do momentu, gdy dane są ujawniane po raz pierwszy, dostarczyć osobie, której dane dotyczą, co najmniej następujące informacje, z wyjątkiem przypadku, kiedy posiada już ona takie informacje:
a) tożsamość administratora i ewentualnie jego przedstawiciela;
b) cel przetwarzania danych;
c) wszelkie dalsze informacji, jak np.:
– kategorie potrzebnych danych,
– odbiorcy lub kategorie odbierających dane,
– istnienie prawa wglądu do swoich danych oraz ich sprostowania,
o ile takie dalsze informacje są konieczne – biorąc pod uwagę szczególne okoliczności, w których dane są gromadzone – w celu zagwarantowania rzetelnego przetwarzania danych w stosunku do osoby, której dane dotyczą.
2. Ustęp 1 nie ma zastosowania, […] gdy – szczególnie w przypadku przetwarzania danych do celów statystycznych, historycznych lub naukowych – dostarczenie takich informacji [okazuje się niemożliwe lub] wymagałoby niewspółmiernie dużego wysiłku lub jeżeli gromadzenie lub ujawnianie informacji jest wyraźnie przewidziane przez prawo. W takich przypadkach państwa członkowskie zapewniają odpowiednie środki zabezpieczające”.
7. Artykuł 13 ust. 1 dyrektywy 95/46 stanowi:
„1. Państwo członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w art. 6 ust. 1, art. 10, art. 11 ust. 1, art. 12 oraz 21, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia:
a) bezpieczeństwa narodowego;
b) obronności;
c) bezpieczeństwa publicznego;
d) działań prewencyjnych, prowadzonych czynności dochodzeniowo-śledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie zasad etyki w zawodach podlegających regulacji;
e) ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub Unii Europejskiej, łącznie z kwestiami pieniężnymi, budżetowymi i podatkowymi;
f) funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach wymienionych w lit. c)–e);
g) ochrony osoby, której dane dotyczą, oraz praw i wolności innych osób”.
B – Prawo krajowe
8. Z postanowienia odsyłającego wynika, że to ustawa nr 95/2006 w sprawie reformy sektora zdrowotnego i postanowienie prezesa Casa Naţională de Asigurări de Sănătate (krajowej kasy ubezpieczeń zdrowotnych)(3) nr 617/2007 z dnia 13 sierpnia 2007 r.(4), wydane w wykonaniu tej ustawy, stanowią ramy prawne regulujące nabycie statusu osoby ubezpieczonej przez obywateli rumuńskich zamieszkałych w Rumunii, obywateli obcych oraz bezpaństwowców, którzy złożyli wniosek i uzyskali przedłużenie prawa do czasowego pobytu lub są zamieszkali w Rumunii, jak również ich obowiązki w zakresie zapłaty składki z tytułu ubezpieczenia zdrowotnego.
9. Sąd odsyłający wyjaśnia, że te dwa akty upoważniają organy państwa do przekazywania CNAS informacji niezbędnych do ustalenia statusu osoby ubezpieczonej. Artykuł 315 ustawy nr 95/2006 przewiduje w tym względzie, co następuje:
„Dane niezbędne do ustalenia statusu osoby ubezpieczonej są nieodpłatnie przekazywane kasom chorych przez organy, instytucje publiczne i inne instytucje na podstawie protokołu”.
10. Protokołem nr P 5282/26.10.2007/95896/30.10.2007 zawartym w dniu 26 października 2007 r.(5). Agenţia Naţională de Administrare Fiscală (rumuńska krajowa agencja administracji podatkowej)(6) oraz CNAS uregulowały zasady przekazywania odnośnych danych. Jego art. 4 przewiduje:
„Po wejściu w życie niniejszego protokołu [ANAF], za pośrednictwem właściwych podległych struktur, udostępni w postaci elektronicznej początkową wersję bazy danych o:
a. dochodach osób należących do kategorii, o których mowa w art. 1 ust. 1 niniejszego protokołu, oraz kwartalną aktualizację tej bazy danych na rzecz [CNAS] na nośniku umożliwiającym automatyczne przetwarzanie, zgodnie z załącznikiem 1 do niniejszego protokołu […]”.
II – Spór w postępowaniu głównym
11. Skarżącymi w postępowaniu głównym są osoby uzyskujące dochody z pracy na własny rachunek, które zostały wezwane decyzjami wydanymi przez kasę ubezpieczeń zdrowotnych w Klużu (Rumunia) do wpłaty składek na rzecz krajowego funduszu ubezpieczeń zdrowotnych, ustalonych na podstawie danych dotyczących ich dochodów przekazanych CNAS przez ANAF.
12. Owi skarżący podważają przed sądem odsyłającym różne akty administracyjne, na podstawie których ANAF przekazała CNAS dane niezbędne do wydania tych decyzji, w szczególności dane dotyczące ich dochodów. W ocenie skarżących przekazanie CNAS przez ANAF ich danych osobowych nastąpiło z naruszeniem przepisów dyrektywy 95/46. Dane te zostały przekazane i wykorzystane, na podstawie zwykłego wewnętrznego protokołu, do celów innych, niż cele, do których początkowo przekazano je CNAS, i to bez wyraźnej zgody skarżących i bez wcześniejszego poinformowania ich o tym.
13. Sąd odsyłający wyjaśnia w tym względzie, że ustawodawstwo rumuńskie przewiduje w sposób ścisły i wyczerpujący przekazanie danych niezbędnych do ustalenia statusu osoby ubezpieczonej, to znaczy danych identyfikacyjnych osoby (imię, nazwisko, numer identyfikacyjny, miejsce zamieszkania lub pobytu w Rumunii), z wyłączeniem zatem danych dotyczących dochodu uzyskanego w Rumunii.
III – Pytania prejudycjalne i postępowanie przed Trybunałem
14. W tych okolicznościach postanowieniem z dnia 31 marca 2014 r. Curtea de Apel Cluj (sąd apelacyjny w Klużu, Rumunia) zawiesił postępowanie i zwrócił się do Trybunału z następującymi czterema pytaniami prejudycjalnymi:
„1) Czy krajowy organ podatkowy jako organ reprezentujący właściwe ministerstwo państwa członkowskiego jest instytucją finansową w rozumieniu art. 124 TFUE?
2) Czy przekazanie bazy danych dotyczących dochodów obywateli państwa członkowskiego przez krajowy organ podatkowy innej instytucji państwa członkowskiego może zostać uregulowane aktem zrównanym z aktami administracyjnymi, to znaczy protokołem zawartym pomiędzy krajowym organem podatkowym i inną instytucją państwową, tak iż nie stanowi to dostępu uprzywilejowanego w rozumieniu art. 124 TFUE?
3) Czy przekazanie bazy danych, dokonane w celu nałożenia na obywateli państwa członkowskiego obowiązku zapłaty składki na ubezpieczenie społeczne na rzecz instytucji państwa członkowskiego, na rzecz której dokonano przekazania, wchodzi w zakres pojęcia »względów o charakterze ostrożnościowym« w rozumieniu art. 124 TFUE?
4) Czy dane osobowe mogą być przetwarzane przez organ, dla którego nie były przeznaczone, jeżeli operacja ta powoduje ze skutkiem wstecznym szkody majątkowe?”.
15. Uwagi na piśmie przedstawili Trybunałowi: CNAS, rządy rumuński i czeski oraz Komisja Europejska.
16. Trybunał wezwał ponadto zainteresowane podmioty uprawnione do przedstawienia uwag w rozumieniu art. 23 statutu Trybunału Sprawiedliwości Unii Europejskiej do zajęcia na rozprawie stanowiska w trzech kwestiach, mianowicie, po pierwsze, zakresu obowiązków ciążących na mocy art. 10 i 11 dyrektywy 95/46 na ANAF, jako przekazującej przekazywane dane, a także na CNAS, jako na odbiorcy tych danych, po drugie, znaczenia art. 13 dyrektywy 95/46 dla wykładni, o dokonanie której zwrócił się sąd odsyłający, a po trzecie, kryteriów, na podstawie których protokół z dnia 26 października 2007 r. pomiędzy CNAS i ANAF mógłby stanowić „środek ustawodawczy” w rozumieniu art. 13 dyrektywy 95/46.
17. Skarżący w postępowaniu głównym, a także rząd rumuński i Komisja przedstawili uwagi ustne oraz odpowiedzieli na pytania Trybunału zadane na publicznej rozprawie, która odbyła się w dniu 29 kwietnia 2015 r.
IV – W przedmiocie dopuszczalności pytań prejudycjalnych
18. Wszyscy zainteresowani, którzy przedstawili Trybunałowi swoje uwagi, zgadzają się, że trzy pierwsze pytania zadane przez sąd odsyłający, dotyczące wykładni art. 124 TFUE, należy uznać za niedopuszczalne, ponieważ ten przepis prawa pierwotnego pozostaje bez związku z przedmiotem sporu w postępowaniu głównym i nie będzie miał zastosowania w sprawie w postępowaniu głównym.
19. Otóż art. 124 TFUE, składający się na rozdział traktatu dotyczący polityki gospodarczej, zakazuje wszelkich środków przyznających państwom członkowskim uprzywilejowany dostęp do instytucji finansowych. Przepis ten, poddający operacje finansowania sektora publicznego dyscyplinie rynkowej i przyczyniający się w ten sposób do wzmocnienia dyscypliny budżetowej(7), zmierza, wraz z art. 123 TFUE i 125 TFUE, do osiągnięcia prewencyjnego celu, który – jak Trybunał miał okazję podkreślić – polega na ograniczeniu, na ile to możliwe, ryzyka kryzysu zadłużenia państw(8).
20. Artykuł 1 ust. 1 rozporządzenia nr 3604/93 definiuje pojęcie „każdego środka ustanawiającego uprzywilejowany dostęp” jako każdą ustawę, rozporządzenie lub inny wiążący akt prawny przyjęty w wykonywaniu władzy publicznej, który albo zobowiązuje instytucje finansowe do nabywania lub przechowywania pasywów w szczególności rządów centralnych, władz regionalnych, lokalnych lub innych władz publicznych, innych instytucji lub przedsiębiorstw publicznych państw członkowskich, albo przyznaje ulgi podatkowe, które mogą przynosić korzyść jedynie instytucjom finansowym, lub udogodnienia finansowe, które nie są zgodne z zasadami gospodarki rynkowej, aby zachęcić te instytucje do nabywania lub przechowywania takich pasywów.
21. Z całą pewnością sytuacji rozpatrywanej w postępowaniu głównym, a dokładniej dostępu CNAS do danych zgromadzonych przez ANAF, nie można rozważać w kategoriach „uprzywilejowanego dostępu” do „instytucji finansowych”(9), o czym zresztą nie ma nawet mowy w postanowieniu odsyłającym.
22. Oczywiste jest zatem, że art. 124 TFUE nie może znaleźć zastosowania do sporu w postępowaniu głównym, w związku z czym trzy pierwsze pytania sądu odsyłającego należy odrzucić jako niedopuszczalne.
23. Należy ponadto wskazać, w odniesieniu do pytania czwartego zadanego przez sąd odsyłający, że zostało ono sformułowane w sposób bardzo ogólny, że nie wymienia ono przepisów prawa Unii, których wykładnia jest wymagana w celu rozstrzygnięcia sporu w postępowaniu głównym, oraz że zawiera ono jedynie zwięzłe przedstawienie ram prawnych i faktycznych sporu w postępowaniu głównym, tak że również to pytanie można byłoby odrzucić jako niedopuszczalne.
24. Rząd rumuński stwierdził w tym względzie, że nie widzi żadnego związku pomiędzy szkodą podnoszoną przez skarżących w postępowaniu głównym, wynikającą z przetwarzania danych, o których mowa w postępowaniu głównym, a stwierdzeniem nieważności aktów administracyjnych, którego domagają się oni w ramach postępowania głównego.
25. Prawdą jest, że wymienienie przez sąd odsyłający szkód majątkowych wyrządzonych ze skutkiem wstecznym osobom, których dotyczą przekazane dane, jest – jak wynika z badania co do istoty jego pytania czwartego – bez znaczenia dla oceny zgodności ustawodawstwa krajowego z wymogami dyrektywy 95/46.
26. Jednakże z postanowienia odsyłającego jasno wynika, że pytanie czwarte dotyczy wykładni przepisów dyrektywy 95/46. Sąd odsyłający wyjaśnia bowiem, że zastanawia się, po pierwsze, nawiązując w sposób dorozumiany do sytuacji wskazanej w art. 11 dyrektywy 95/46, czy przetwarzanie przez CNAS danych osobowych zebranych przez ANAF nastąpiło z poszanowaniem ciążących na niej obowiązków informowania. Wskazuje on, że zastanawia się, po drugie, czy przekazanie danych osobowych na podstawie protokołu z dnia 26 października 2007 r. stanowi naruszenie spoczywającego na państwie członkowskim obowiązku zapewnienia przetwarzania danych osobowych w zgodzie z przepisami dyrektywy 95/46, i odwołuje się ponownie w sposób dorozumiany do jej art. 13, który uprawnia do wprowadzenia ograniczeń zakresu praw gwarantowanych przez tę dyrektywę, o ile są one przewidziane przez ustawę i opatrzone gwarancjami prawnymi.
27. Przedstawienie przez sąd odsyłający jego wątpliwości pozwala zatem na wystarczające zidentyfikowanie problemu wykładni dyrektywy 95/46, podniesionego w sporze w postępowaniu głównym.
28. Należy przypomnieć w tym względzie, że zgodnie z utrwalonym orzecznictwem odmowa udzielenia odpowiedzi na pytanie prejudycjalne jest możliwa tylko wtedy, gdy jest oczywiste, iż wykładnia prawa Unii, której dotyczył wniosek, nie ma żadnego związku z rzeczywistością lub z przedmiotem sporu w postępowaniu głównym lub gdy problem jest natury hipotetycznej, lub gdy Trybunał nie dysponuje elementami stanu faktycznego albo prawnego, które są konieczne do udzielenia użytecznej odpowiedzi na pytania, które zostały mu przedstawione(10).
29. Dlatego też uważam, że czwarte pytanie prejudycjalne zadane przez sąd odsyłający jest dopuszczalne i należy je zbadać.
V – W przedmiocie pytania czwartego
30. W swoim pytaniu czwartym, rozważanym w świetle wyjaśnień przedstawionych w postanowieniu odsyłającym oraz powyższych wywodów, sąd odsyłający zmierza w istocie do ustalenia, czy dyrektywę 95/46 należy interpretować w ten sposób, że stoi ona na przeszkodzie przepisom krajowym pozwalającym instytucji publicznej państwa członkowskiego na przetwarzanie danych osobowych, których nie była adresatem, a w szczególności danych dotyczących dochodów osób, których dane dotyczą, bez wyrażenia przez nie zgody w tym względzie, ani bez wcześniejszego poinformowania ich o tym.
A – Streszczenie uwag przedstawionych Trybunałowi
31. Skarżący w postępowaniu głównym wskazali na rozprawie, że sąd odsyłający zmierzał w istocie do ustalenia, w jakim stopniu krajowa praktyka administracyjna, w tym przypadku praktyka przejawiająca się w protokole z dnia 26 października 2007 r. i polegająca na przekazywaniu CNAS przez ANAF, automatycznie i powtarzalnie, danych osobowych, w tym danych podatkowych, pewnych kategorii podatników (imię, nazwisko, kategorie dochodów i zapłacone podatki), jest zgodna z wymogami proceduralnymi przewidzianymi w dyrektywie 95/46.
32. W odpowiedzi na pytania Trybunału skarżący w postępowaniu głównym wskazują, że art. 11 dyrektywy 95/46 znajduje zastosowanie w sprawie w postępowaniu głównym. Przepis ten definiuje obowiązki ciążące na głównym (ANAF) oraz na wtórnym (CNAS) administratorze danych osobowych, mianowicie obowiązek informowania osób, których dane dotyczą, w szczególności o tożsamości wtórnego administratora danych, o celu przetwarzania przekazanych danych i o kategoriach przekazanych danych. Obowiązki te ciążą przede wszystkim na wtórnym administratorze danych, ponieważ należało ich dopełnić najpóźniej w dniu pierwszego ujawnienia tych danych.
33. Podkreślają oni w tym względzie, że protokół z dnia 26 października 2007 r. jest niespójny, ponieważ z jednej strony jego art. 4 przewiduje przekazanie ogólnych baz danych będących przedmiotem okresowych zmian, podczas gdy z drugiej strony jego art. 6 ust. 1 stanowi, że dane te mają być przekazywane indywidualnie na podstawie protokołu. Tymczasem w rzeczywistości takie protokoły nie istnieją w praktyce krajowej, zaś przekazanie następuje w sposób automatyczny z naruszeniem tych wymogów proceduralnych.
34. Wskazują oni poza tym, że art. 13 dyrektywy 95/46 nie ma wpływu na rozstrzygnięcie sporu w postępowaniu głównym, ponieważ CNAS nie ma kompetencji do ustalania składek na fundusz ubezpieczenia zdrowotnego. Przekazanie danych nie było więc niezbędne, za wyjątkiem niewielkiej kategorii podatników, dla których ustalono obowiązek składkowy, a którzy nie wypełnili z własnej woli tego obowiązku.
35. Podkreślają oni jednak, że jeśli Trybunał uzna, iż art. 13 dyrektywy 95/46 znajduje zastosowanie, do ANAF i CNAS należeć będzie wówczas uzasadnienie konieczności przekazania omawianych danych, a więc wykazanie istnienia środka ustawodawczego uprawniającego do tego przekazania w braku zgody osób, których dane dotyczą. Tymczasem taki środek ustawodawczy nie istnieje, a protokół z dnia 26 października 2007 r. nie może go zastąpić. Nie został on opublikowany w dzienniku urzędowym, a więc nie odpowiada wymogom przewidywalności i pewności prawa, w związku z czym nie może wywoływać skutków erga omnes.
36. W swych uwagach na piśmie, podzielanych zasadniczo przez CNAS, rząd rumuński wskazał po pierwsze, że przekazanie informacji w przedmiocie dochodów z pracy na własny rachunek pomiędzy ANAF i CNAS zostało przewidziane w ustawie i było niezbędne do wykonywania przez CNAS jej zadań, a po drugie, że przetwarzanie przez tę ostatnią tych informacji było niezbędne dla poszanowania prawnego obowiązku ciążącego na niej w rozumieniu art. 7 dyrektywy 95/46. W konsekwencji ani zgoda osób, których dane dotyczą, ani poinformowanie ich o tym nie było wymagane na mocy art. 10 ani art. 11 dyrektywy 95/46.
37. Rząd rumuński podkreślił na rozprawie okoliczność, że przekazanie i przetwarzanie spornych danych osobowych wpisywało się w ramy obowiązków współpracy ciążących na instytucjach publicznych na mocy kodeksu postępowania podatkowego, w szczególności jego art. 11 i 62. W tym względzie protokół z dnia 26 października 2007 r. nie stanowił podstawy prawnej tych obowiązków, ale ograniczał się do uregulowania zasad przekazywania danych przez ANAF do CNAS. Te obowiązki przekazywania informacji podatkowych, które mogą występować wyłącznie pomiędzy instytucjami publicznymi i jedynie w celu ustalenia kwoty podatku i należnych składek, w tym składek na ubezpieczenie zdrowotne, zmierzają zatem do osiągnięcia zgodnego z prawem celu ochrony interesów finansowych objętych art. 13 ust. 1 lit. e) dyrektywy 95/46. W konsekwencji informowanie osób, których dane dotyczą, nie jest wymagane.
38. Rząd czeski podniósł głównie, że przekazanie spornych danych CNAS przez ANAF może nastąpić bez zgody osób, których dane dotyczą, na mocy art. 7 lit. e) dyrektywy 95/46 i bez potrzeby informowania ich o tym, na podstawie wyjątków przewidzianych w art. 11 ust. 2 i art. 13 tejże dyrektywy. Dyrektywa ta nie zawiera przy tym żadnego przepisu nakazującego, aby przekazanie danych osobowych pomiędzy instytucjami publicznymi było w sposób szczególny przewidziane w przepisie o ogólnym zasięgu.
39. Komisja podkreśliła w swoich uwagach na piśmie wpierw, że dane rozpatrywane w postępowaniu głównym stanowią dane osobowe w rozumieniu art. 2 lit. a) dyrektywy 95/46, że obie wspomniane instytucje krajowe, mianowicie ANAF i CNAS, mogą zostać uznane za administratorów tych danych w rozumieniu art. 2 lit. d) tej samej dyrektywy oraz że zarówno gromadzenie, jak i przekazywanie tych danych powinno zostać uznane za „przetwarzanie danych osobowych” w rozumieniu art. 2 lit. b) rzeczonej dyrektywy.
40. Komisja zaproponowała w swoich uwagach na piśmie, aby Trybunał orzekł, że art. 6 i 7 dyrektywy 95/46 należy interpretować w ten sposób, iż nie stoją one na przeszkodzie przekazywaniu danych dotyczących dochodów, o których mowa w postępowaniu głównym, o ile przekazanie to następują na podstawie jasnych i precyzyjnych przepisów prawnych, których stosowanie jest przewidywalne dla osób, których dane dotyczą, co powinien ustalić sąd odsyłający.
41. Komisja rozwinęła jednak ten wniosek w swoich uwagach ustnych, udzielając odpowiedzi na pytania zadane przez Trybunał na rozprawie. Podniosła ona w istocie, że przesłanki dotyczące zgody i informowania osób, których dane dotyczą, którym to przesłankom przepisy art. 7 w związku z art. 10, 11 i 13 dyrektywy 95/46 poddają gromadzenie, przekazywanie i przetwarzanie danych osobowych, nie są spełnione w okolicznościach sprawy w postępowaniu głównym, oraz że w każdym razie przepisy krajowe, a w szczególności protokół z dnia 26 października 2007 r. zawarty pomiędzy ANAF i CNAS nie odpowiada wymogom przewidzianym w art. 13 tej dyrektywy, interpretowanym w świetle art. 8 i 52 Karty praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”) i art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r.
42. Komisja podnosi tym samym, że dyrektywa 95/46 oparta jest na zasadzie, zgodnie z którą osoba, której dane osobowe są przetwarzane, powinna wiedzieć, na podstawie jasnych, precyzyjnych i przewidywalnych przepisów prawnych, o wszystkich ograniczeniach praw przysługujących jej na mocy dyrektywy 95/46. Tymczasem przekazywanie danych omawianych w postępowaniu głównym następuje na podstawie zwykłego protokołu o współpracy pomiędzy dwiema instytucjami, opartego na przepisie ustawy nr 95/2006, który, odnosząc się do danych niezbędnych dla ustalenia statusu osoby ubezpieczonej, nie odpowiada tym wymogom jasności.
43. Badając różne pytania zadane przez Trybunał i wymagające odpowiedzi ustnej, Komisja podkreśla, że zarówno ANAF, jak i CNAS powinny były przekazać osobom, których dane dotyczą, informacje wymagane odpowiednio przez art. 10 i 11 dyrektywy 95/46, ponieważ ustawodawstwo rumuńskie nie spełnia wymogów pozwalających na odstępstwo od tych obowiązków.
44. Podkreśla ona w tym względzie na wstępie, że przepisy rumuńskie nie wydają się spełniać przesłanek przewidzianych w art. 11 ust. 2 dyrektywy 95/46, na mocy którego przepisy jego pierwszego ustępu nie znajdują zastosowania, gdy ustawodawstwo krajowe wyraźnie przewiduje gromadzenie lub ujawnianie danych, przekazując jednak badanie tej kwestii do sądu odsyłającego.
45. Podkreśla ona następnie, że wszelkie ograniczenia prawa osób, których dane dotyczą, do informacji przewidzianego w art. 10 i 11 dyrektywy 95/46 powinny, zgodnie z art. 13 tej dyrektywy, zostać zawarte w środku ustawodawczym, zmierzać do jednego z celów leżących w ogólnym interesie, wymienionych w tym przepisie i być proporcjonalne. Tymczasem ustawodawstwo rumuńskie nie zawiera żadnych środków przewidujących takie odstępstwo, ponieważ przepis przewidujący przekazywanie danych przez ANAF do CNAS nie może być uważany za przepis jasno wskazujący, że osoby, których dane dotyczą, nie będą o tym informowane.
46. Komisja zauważa w tym względzie, że protokół z dnia 26 października 2007 r. zawarty pomiędzy ANAF i CNAS, który reguluje przekazywanie informacji pomiędzy tymi dwiema instytucjami, lecz nie zawiera przepisów dotyczących informowania osób, których dane dotyczą, nie może zostać uznany za środek ustawodawczy w rozumieniu art. 13 dyrektywy 95/46. Stanowi on zwykłe dwustronne porozumienie, niepublikowane w dzienniku urzędowym, które nie wywołuje wiążących skutków prawnych i nie jest skuteczne względem osób trzecich. Artykuł 13 dyrektywy 95/46 odzwierciedla w tym względzie przepisy art. 52 ust. 1 Karty i art. 8 ust. 2 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności w szczególnej dziedzinie ochrony danych osobowych, w związku z czym należy go interpretować w świetle stosownego orzecznictwa Trybunału i Europejskiego Trybunału Praw Człowieka.
47. W każdym razie, zakładając, że można uznać, iż ustawodawstwo rumuńskie zawiera wymagane odstępstwo prawne, ograniczenie obowiązku informowania osób, których dane dotyczą, musiałoby odpowiadać kryterium niezbędności i musiałoby być proporcjonalne. Wprawdzie można uznać w tym względzie, że funkcjonowanie usługi publicznej ubezpieczenia zdrowotnego faktycznie stanowi cel leżący w interesie ogólnym w rozumieniu art. 13 dyrektywy 95/46 oraz że przekazywanie danych przez ANAF do CNAS przyczynia się do realizacji tego celu, jednak trudno jest zrozumieć, dlaczego niezbędne jest odstąpienie od informowania o tym osób, których dane dotyczą, skoro takie informowanie nie może zaszkodzić realizacji wspomnianego celu.
B – W przedmiocie głównych przepisów dyrektywy 95/46 mających znaczenie dla sprawy
48. Aby móc udzielić użytecznej odpowiedzi sądowi odsyłającemu, należy zacząć od przypomnienia głównych reguł zawartych w art. 5–7 i 10–13 dyrektywy 95/46, które mają znaczenie dla rozstrzygnięcia sporu w postępowaniu głównym, ponieważ regulują przetwarzanie i przekazywanie danych osobowych.
49. Zgodnie z art. 5 dyrektywy 95/46 państwa członkowskie określają szczegółowe warunki ustalania legalności przetwarzania danych osobowych, w granicach przepisów zawartych w jej art. 6–21.
50. Jak Trybunał przypominał wielokrotnie, z zastrzeżeniem odstępstw dozwolonych na mocy art. 13 dyrektywy 95/46, każda operacja przetwarzania danych osobowych musi być zgodna z jednej strony z wyrażonymi w art. 6 tej dyrektywy zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z kryteriów legalności przetwarzania danych, wymienionych w art. 7 tej dyrektywy(11).
51. Artykuły 6 i 7 tej dyrektywy definiują zatem, w odniesieniu do niniejszej sprawy, trzy pierwsze wymogi dotyczące gromadzenia i przetwarzania danych osobowych.
52. Administrator danych(12) winien w szczególności zapewnić, by dane osobowe były gromadzone do określonych, jednoznacznych i legalnych celów, by były przetwarzane rzetelnie i w sposób zgodny z prawem oraz by nie były poddawane dalszemu przetwarzaniu w sposób niezgodny z tymi celami(13).
53. Artykuł 7 dyrektywy 95/46 stanowi natomiast, że przetwarzanie danych osobowych może być uważane za zgodne z prawem, a więc może być dokonywane tylko wówczas, gdy odpowiada jednemu z przypadków wymienionych w tym artykule, w szczególności, w odniesieniu do niniejszej sprawy, jeśli osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę(14), lub jeśli jest ono konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega(15), lub też jeśli jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane(16).
54. Trybunał orzekł, że przepis ten zawiera wyczerpujące i enumeratywne wyliczenie przypadków, w których przetwarzanie danych osobowych może być uważane za zgodne z prawem(17). Wyjaśnił również, że zważywszy na cel dyrektywy 95/46 polegający na zapewnieniu jednolitego poziomu ochrony we wszystkich państwach członkowskich, pojęcie konieczności w rozumieniu art. 7 lit. e) tej dyrektywy nie może mieć różnego zakresu w poszczególnych państwach członkowskich, w związku z czym stanowi autonomiczne pojęcie prawa Unii(18).
55. Artykuły 10 i 11 dyrektywy 95/46 definiują natomiast obowiązek przekazywania informacji ciążący na administratorze danych osobowych, rozróżniając przypadek gromadzenia danych od osoby, której dane dotyczą, od przypadku uzyskiwania danych z innych źródeł niż osoba, której dane dotyczą.
56. Artykuł 10 dyrektywy 95/46, odczytywany w świetle jej motywu 38, przewiduje zatem, że osoby, których dane dotyczą i od których administrator danych je zgromadził, powinny móc – z wyjątkiem przypadku, kiedy posiadają już takie informacje – dowiedzieć się o wystąpieniu czynności przetwarzania danych oraz otrzymać dokładne i pełne informacje dotyczące okoliczności ich pozyskiwania, w szczególności – aby to przetwarzanie mogło zostać uznane za rzetelne – informacje dotyczące celów przetwarzania danych, do których dane są przeznaczone, lub odbiorców lub kategorii osób odbierających te dane, wskazanych w art. 10 lit. b) i c).
57. Artykuł 11 ust. 1 dyrektywy 95/46, odczytywany w świetle jej motywów 39 i 40, odnosi się do sytuacji, w której przetwarzane dane zostały pozyskane z innych źródeł niż osoby, których dane dotyczą, w szczególności w przypadku legalnego ujawnienia tych danych osobie trzeciej, podczas gdy to ujawnienie nie było przewidywane w chwili ich gromadzenia(19). W tych przypadkach zainteresowane osoby powinny również – chyba, że posiadają już te informacje – zostać poinformowane przy rejestracji danych lub też najpóźniej kiedy dane zostają po raz pierwszy ujawnione osobie trzeciej, w szczególności o celu przetwarzania danych, o kategoriach tych danych oraz o odbiorcach lub kategoriach osób odbierających dane, przewidzianych w art. 11 ust. 1 lit. b) i c).
58. Jednakże zgodnie z art. 11 ust. 2 tej dyrektywy przepisy jego ustępu pierwszego nie mają zastosowania w przypadku, gdy w szczególności gromadzenie lub ujawnianie danych jest wyraźnie przewidziane przez prawo, zaś państwa członkowskie mają wówczas obowiązek zapewnienia odpowiednich środków zabezpieczających.
59. Artykuł 13 dyrektywy 95/46, zatytułowany „Zwolnienia i ograniczenia”, przewiduje wreszcie, że państwa członkowskie mogą przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianych w szczególności w art. 6 ust. 1 i art. 11 ust. 1 omawianej dyrektywy, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia nadrzędnych interesów, a w szczególności „ważnego interesu ekonomicznego lub finansowego państwa członkowskiego lub Unii Europejskiej, łącznie z kwestiami pieniężnymi, budżetowymi i podatkowymi”(20) lub „funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach wymienionych w lit. c)–e)” art. 13 ust. 1 tej dyrektywy(21).
60. Sytuację rozpatrywaną w postępowaniu głównym należy teraz zbadać w świetle wszystkich tych przepisów.
C – W przedmiocie kwalifikacji sytuacji w postępowaniu głównym w świetle dyrektywy 95/46
61. W pierwszej kolejności należy stwierdzić, że dane omawiane w sprawie w postępowaniu głównym, przekazane CNAS przez ANAF, są danymi osobowymi w rozumieniu art. 2 lit. a) dyrektywy 95/46. Dane te, zawierające w szczególności imię i nazwisko osób, których dane dotyczą(22), a także informacje o ich dochodach(23), stanowią bowiem niezaprzeczalnie „informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej”. Przekazywanie ich przez ANAF oraz przetwarzanie ich przez CNAS stanowi przetwarzanie danych osobowych w rozumieniu art. 2 lit. b) tej dyrektywy.
62. Nie jest zresztą kwestionowana okoliczność, że sytuacja rozpatrywana w postępowaniu głównym objęta jest zakresem stosowania dyrektywy 95/46.
63. Sytuacja rozpatrywana w postępowaniu głównym może ponadto podlegać zarówno art. 10 dyrektywy 95/46, jak i jej art. 11. Jak bowiem wynika z powyższych rozważań, rzetelne przetwarzanie przez ANAF danych osobowych skarżących w postępowaniu głównym wymaga, aby ANAF poinformowała ich w szczególności o przekazaniu tych danych do CNAS, zgodnie z art. 10 lit. c) dyrektywy 95/46. Poza tym przetwarzanie przez CNAS danych przekazanych przez ANAF wymaga także, aby wspomniani skarżący zostali poinformowani przynajmniej o celach tego przetwarzania oraz o kategoriach odnośnych danych, zgodnie z art. 11 ust. 1 lit. b) i c) dyrektywy 95/46.
64. W drugiej kolejności należy wskazać, że pytanie sądu odsyłającego(24) nie dotyczy przetwarzania przez ANAF danych osobowych rozpatrywanych w postępowaniu głównym, a dokładniej przesłanek legalności tego przetwarzania w rozumieniu art. 6 i 7 dyrektywy 95/46.
65. Pytanie dotyczy jedynie przekazywania danych przez jedną instytucję publiczną do innej, a dokładniej przekazywania danych zgromadzonych przez ANAF do CNAS oraz przetwarzania tych danych przez tę ostatnią – operacji dokonywanych, po pierwsze, bez zgody i poinformowania osób, których dane dotyczą, a po drugie, przeprowadzanych na podstawie przepisów krajowych niespełniających wymogów dyrektywy 95/46, w szczególności obowiązku informowania osób, których dane dotyczą, przewidzianego w art. 10 i 11 dyrektywy 95/46.
66. Pytanie czwarte zadane przez sąd odsyłający, które należy zbadać zarówno z punktu widzenia obowiązków ciążących na ANAF, jak i obowiązków ciążących na CNAS, winno zatem zostać w istocie przeanalizowane przede wszystkim w świetle przepisów art. 7, 10 i 11 dyrektywy 95/46 i zawartych w nich przesłanek zgody i informowania osób, których dotyczy przetwarzanie tych danych. Winno ono również zostać zbadane, w razie potrzeby, w świetle art. 13 tej samej dyrektywy, który określa zwolnienia oraz ograniczenia zakresu praw i obowiązków przewidzianych w szczególności w art. 10 i 11 ust. 1 tejże dyrektywy.
D – W przedmiocie spełnienia wymogów informowania osób, których dane dotyczą, ustanowionych w art. 10 i 11 dyrektywy 95/46
67. Bezsporne jest, że skarżący w postępowaniu głównym, a bardziej ogólnie osoby, których dotyczy przekazywanie przez ANAF gromadzonych przez nią danych osobowych do CNAS oraz przetwarzanie tych danych przez tę ostatnią, po pierwsze, nie zostały poinformowane o tym przekazaniu przez ANAF, przy zachowaniu wymogów art. 10 dyrektywy 95/46. Po drugie, osoby te nie wyraziły ponadto formalnie zgody, w rozumieniu art. 7 ust. 1 lit. a) dyrektywy 95/46 na to przetwarzanie przez CNAS, ani nie zostały poinformowane o tym przetwarzaniu z poszanowaniem przepisów art. 11 ust. 1 tej dyrektywy.
68. Jeśli chodzi o wyrażenie zgody, jest jasne, że – jak podnoszą rząd rumuński i CNAS – przetwarzanie przez tę ostatnią danych osobowych osób uzyskujących dochody z pracy na własny rachunek objęte jest przepisami art. 7 lit. e) dyrektywy 95/46. W konsekwencji wyrażenie przez nie zgody w tym względzie nie było wymagane(25).
69. Na CNAS spoczywa bowiem w tym przypadku, na mocy ustawy nr 95/2006, obowiązek ustalenia statusu osoby ubezpieczonej w odniesieniu do osób uzyskujących dochody z pracy na własny rachunek, zaś uznanie tego statusu uzależnione jest od płacenia przez te osoby składek na ubezpieczenie zdrowotne do regionalnych kas ubezpieczenia zdrowotnego. Przetwarzanie przez CNAS danych osobowych osób uzyskujących dochody z pracy na własny rachunek, które są jej przekazywane przez ANAF, jest więc niezbędne dla ustalenia ich statusu osób ubezpieczonych oraz in fine do korzystania z praw płynących z tego statusu. Wynika stąd, że zgoda osób, których dotyczy przetwarzanie danych osobowych omawianych w postępowaniu głównym, nie była wymagana.
70. Do sądu odsyłającego należy jednak upewnienie się, że dane przekazywane w ten sposób i przetwarzane przez CNAS spełniają kryterium niezbędności przewidziane w tym przepisie, poprzez zbadanie, czy nie wykraczają one poza to, co jest ściśle niezbędne do realizacji przez CNAS jej zadań(26).
71. Należy zatem mieć na uwadze głównie kwestię spełnienia wymogów informowania osób, których dotyczy przekazywanie przez ANAF danych osobowych i ich przetwarzanie przez CNAS, w warunkach ustanowionych w art. 10 i 11 dyrektywy 95/46.
72. Jak już zaznaczono powyżej, przekazywanie przez ANAF danych osobowych osób uzyskujących dochody z pracy na własny rachunek do CNAS i ich przetwarzanie przez tę ostatnią może zostać uznane za spełniające wymogi dyrektywy 95/46 tylko pod warunkiem, że osoby, których dane dotyczą, zostały o tym poinformowane zgodnie z art. 10 i 11 ust. 1 tej dyrektywy.
73. Konkretnie państwo członkowskie powinno przewidzieć środki niezbędne do tego, aby obie te instytucje administrujące danymi osobowymi omawianymi w postępowaniu głównym przekazywały osobom, których dane dotyczą, wymagane informacje, mianowicie ANAF na mocy art. 10 dyrektywy 95/46, a CNAS na mocy art. 11 tej dyrektywy, chyba, że w tym ostatnim przypadku gromadzenie lub ujawnienie danych nie było przewidziane przez ustawę.
74. Należy podkreślić w tym względzie, że – jak Komisja wskazała na rozprawie – ten wymóg informowania osób, których dotyczy przetwarzanie ich danych osobowych, który gwarantuje przejrzystość wszelkich czynności przetwarzania, jest tym ważniejszy, iż uzależnione jest od niego wykonywanie przez osoby zainteresowane ich prawa dostępu do przetwarzanych danych, przewidzianego w art. 12 dyrektywy 95/46, oraz ich prawa sprzeciwu wobec przetwarzania tych danych, zdefiniowanego w art. 14 tej dyrektywy.
75. Bezsporne jest w niniejszym przypadku, że skarżący w postępowaniu głównym nie zostali formalnie i indywidualnie poinformowani przez ANAF o przekazaniu ich danych osobowych do CNAS, a w szczególności danych dotyczących ich dochodów, jak tego wymaga art. 10 dyrektywy 95/46. Bezsporne jest także, że CNAS nie dostarczyła im również, w czasie gromadzenia danych przekazanych przez ANAF, informacji wymienionych w art. 11 ust. 1 lit. a)–c) dyrektywy 95/46.
76. Rząd rumuński wskazał natomiast, że na podstawie szeregu przepisów kodeksu postępowania podatkowego i art. 315 ustawy nr 95/2006 na ANAF spoczywa obowiązek przekazania do regionalnych kas ubezpieczenia zdrowotnego informacji niezbędnych do ustalenia przez CNAS „statusu osoby ubezpieczonej” w przypadku osób uzyskujących dochody z pracy na własny rachunek, oraz że kwotę należnych od nich składek można ustalić jedynie na podstawie informacji dotyczących tych dochodów gromadzonych przez ANAF, do której wspomniane osoby mają obowiązek składać corocznie zeznanie dotyczące dochodów.
77. Według rządu rumuńskiego ustawa ta przewiduje więc ciążący na CNAS obowiązek przetwarzania danych osobowych osób uzyskujących dochody z pracy na własny rachunek, w szczególności w celu wszczęcia postępowań egzekucyjnych zmierzających do ściągnięcia nieprzelanych składek, zaś ANAF odpowiednio zobowiązana jest do dostarczenia niezbędnych w tym celu informacji dotyczących dochodów tych osób, przy czym konkretne zasady przekazywania omawianych informacji pomiędzy tymi dwiema instytucjami krajowymi uregulowane zostały w protokole z dnia 26 października 2007 r. zawartym przez te dwie instytucje, wyraźnie przewidzianym w art. 315 ustawy nr 95/2006.
78. W tym względzie należy zauważyć przede wszystkim, że okoliczność, iż sporne dane są przekazywane pomiędzy instytucjami publicznymi w wykonaniu ogólnych obowiązków współpracy przewidzianych w przepisach ogólnych ustawy nr 95/2006 lub kodeksu postępowania podatkowego, nie zwalnia sama w sobie państwa członkowskiego i odnośnych instytucji z obowiązku informowania, który na nich ciąży na mocy dyrektywy 95/46.
79. Nie można w żadnym razie uznać, że art. 315 ustawy nr 95/2006 mógłby zastąpić wcześniejsze poinformowanie osób, których dane dotyczą, w rozumieniu art. 10 dyrektywy 95/46. Przepis ten odnosi się bowiem do informacji dotyczących statusu osoby ubezpieczonej, zaś w ogóle nie wspomina o dochodach osób, których dane dotyczą, tak że owe osoby nie mogą zostać uznane za poinformowane o przekazywaniu danych dotyczących ich dochodów w rozumieniu wspomnianego art. 10.
80. Tymczasem dane dotyczące dochodów odnośnych osób mają znaczenie, które w pełni uzasadnia, by ich przekazanie przez gromadzącą je instytucję publiczną innej instytucji publicznej było przedmiotem szczególnej informacji w sposób spełniający wymogi art. 10 lit. b) i c) dyrektywy 95/46, co nie miało miejsca w sprawie w postępowaniu głównym.
E – W przedmiocie spełnienia wymogów art. 13 dyrektywy 95/46
81. Na tym etapie analizy sytuacji w postępowaniu głównym pozostaje więc jedynie zbadanie, czy niepoinformowanie osób, których dane dotyczą, może alternatywnie być objęte wymogami art. 13 dyrektywy 95/46, który to przepis przewiduje dla państw członkowskich możliwość wprowadzenia zwolnień i ograniczeń zakresu praw i obowiązków przewidzianych w szczególności w art. 10 i 11 ust. 1 tej dyrektywy z poszanowaniem gwarancji odpowiadających gwarancjom ustanowionym w art. 52 ust. 1 Karty(27). Przepis ten wymaga, aby takie ograniczenie obowiązku informowania osób, których dane dotyczą, zostało ustanowione w środku ustawodawczym(28), aby było uzasadnione jednym z celów leżących w interesie ogólnym, wymienionych w tym przepisie oraz aby było ściśle proporcjonalne do zamierzonego celu.
82. W niniejszej sprawie bezsporne jest, że przekazywanie przez ANAF danych niezbędnych do ustalenia przez CNAS statusu osoby ubezpieczonej w przypadku osób uzyskujących dochody z pracy na własny rachunek, podobnie zresztą jak przetwarzanie przez CNAS przekazanych w ten sposób informacji, mogłoby okazać się niezbędne dla ochrony ważnego interesu ekonomicznego lub finansowego w dziedzinie podatkowej danego państwa członkowskiego w rozumieniu art. 13 ust. 1 lit. e) dyrektywy 95/46.
83. Tymczasem ani z postanowienia odsyłającego, ani z uwag na piśmie i uwag ustnych przedstawionych Trybunałowi przez rząd rumuński nie wynika, że ustawodawstwo krajowe mające zastosowanie do sprawy w postępowaniu głównym zawiera przepisy ustawowe zwalniające jasno i wyraźnie ANAF lub CNAS z ciążących na nich obowiązków informowania.
84. Nie można w tym względzie przyjąć argumentu przedstawionego przez rząd rumuński, zgodnie z którym przepisy ustawowe nakazujące ANAF przekazywanie do CNAS danych niezbędnych do wykonania jej zadań i protokół z dnia 26 października 2007 r. zawarty między tymi dwiema instytucjami organizujący to przekazywanie, stanowią „środek ustawodawczy” wymagany przez art. 13 ust. 1 dyrektywy 95/46 w celu wprowadzenia odstępstwa od obowiązku informowania ciążącego na administratorach danych osobowych.
85. Protokół z dnia 26 października 2007 r. wskazany przez rząd rumuński nie spełnia bowiem ewidentnie, jak podkreśliła to Komisja, pierwszego z tych wymogów, ponieważ nie jest w żadnym razie środkiem ustawodawczym o zasięgu ogólnym, prawidłowo opublikowanym i skutecznym wobec osób, których dotyczy przekazywanie spornych danych.
86. W konsekwencji uważam, że na czwarte pytanie zadane przez sąd odsyłający należy odpowiedzieć, iż dyrektywę 95/46 należy interpretować w ten sposób, że stoi ona na przeszkodzie przepisom krajowym, takim jak przepisy rozpatrywane w postępowaniu głównym, które pozwalają instytucji publicznej państwa członkowskiego na przetwarzanie danych osobowych przekazanych jej przez inną instytucję publiczną, a w szczególności danych dotyczących dochodów odnośnych osób, bez wcześniejszego poinformowania tych osób o tym przekazaniu i przetwarzaniu.
VI – Wnioski
87. W świetle wszystkich powyższych rozważań proponuję, aby Trybunał odpowiedział na pytania prejudycjalne zadane przez Curtea de Apel Cluj w następujący sposób:
1) Trzy pierwsze pytania prejudycjalne dotyczące wykładni art. 124 TFUE są niedopuszczalne.
2) Dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych należy interpretować w ten sposób, że stoi ona na przeszkodzie przepisom krajowym, takim jak przepisy rozpatrywane w postępowaniu głównym, które pozwalają instytucji publicznej państwa członkowskiego na przetwarzanie danych osobowych przekazanych jej przez inną instytucję publiczną, a w szczególności danych dotyczących dochodów odnośnych osób, bez wcześniejszego poinformowania tych osób o tym przekazaniu i przetwarzaniu.