PRESUDA SUDA (treće vijeće)
1. listopada 2015.(*)
„Zahtjev za prethodnu odluku – Direktiva 95/46/EZ – Obrada osobnih podataka – Članci 10. i 11. – Obavještavanje dotičnih osoba – Članak 13. – Iznimke i ograničenja – Prijenos fiskalnih osobnih podataka koji izvrši tijelo javne uprave države članice radi toga da ih obradi drugo tijelo javne uprave“
U predmetu C‑201/14,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Prizivni sud u Cluju (Curtea de Apel Cluj, Rumunjska), odlukom od 31. ožujka 2014., koju je Sud zaprimio 22. travnja 2014., u postupku
Smaranda Bara i dr.
protiv
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF),
SUD (treće vijeće),
u sastavu: M. Ilešič, predsjednik vijeća, A. Ó Caoimh, C. Toader, E. Jarašiūnas i C. G. Fernlund (izvjestitelj), suci,
nezavisni odvjetnik: P. Cruz Villalón,
tajnik: L. Carrasco Marco, administratorica,
uzimajući u obzir pisani postupak i nakon rasprave održane 29. travnja 2015.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Smarandu Baru i dr., C. F. Costaş i K. Kapcza, avocați,
– za Casa Naţională de Asigurări de Sănătate, V. Ciurchea, u svojstvu agenta,
– za rumunjsku vladu, R. H. Radu kao i A. Buzoianu, A.-G. Văcaru i D. M. Bulancea, u svojstvu agenata,
– za češku vladu, M. Smolek i J. Vláčil, u svojstvu agenata,
– za Europsku komisiju, I. Rogalski i B. Martenczuk kao i J. Vondung, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 9. srpnja 2015.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 124. UFEU‑a kao i članaka 10., 11. i 13. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.).
2 Zahtjev je upućen u okviru spora između S. Bare i dr. s jedne strane te Președintele Casei Naționale de Asigurări de Sănătate (predsjednik Državnog zavoda za socijalnu sigurnost), Casa Națională de Asigurări de Sănătate (Državni zavod za socijalnu sigurnost, u daljnjem tekstu: CNAS) i na kraju Agenția Națională de Administrare Fiscală (Državna agencija za porezno upravljanje, u daljnjem tekstu: ANAF) s druge strane, u vezi s obradom određenih podataka.
Pravni okvir
Pravo Unije
3 Na temelju članka 2. Direktive 95/46, naslovljenog „Definicije“:
„U smislu ove Direktive
a) ,osobni podaci' znači bilo koji podaci koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi (,osoba čiji se podaci obrađuju'); osoba koja se može utvrditi je osoba čiji je identitet moguće utvrditi, izravno ili neizravno, a posebno navođenjem identifikacijskog broja ili jednog ili više činitelja značajnih za njezin fizički, fiziološki, mentalni, gospodarski, kulturni ili socijalni identitet;
b) ,obrada osobnih podataka' (,obrada') znači bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje;
c) ,sustav arhiviranja osobnih podataka' (,sustav arhiviranja') znači bilo koji strukturirani skup osobnih podataka koji je dostupan prema posebnim mjerilima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi;
d) ,nadzornik' znači fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo koje samo ili zajedno s drugima utvrđuje svrhu i načine obrade osobnih podataka; kada su svrha i načini obrade utvrđeni nacionalnim zakonodavstvom ili pravom Zajednice, nadzornik ili posebna mjerila za njegovo imenovanje mogu se utvrditi nacionalnim zakonodavstvom ili pravom Zajednice;
[...]“
4 Članak 3. te direktive, naslovljen „Područje primjene“, glasi kako slijedi:
„1. Ova Direktiva se primjenjuje na osobne podatke koji se u cijelosti ili djelomično obrađuju automatskim putem i na obradu podataka koja nije automatska, a koja čini dio sustava arhiviranja ili će činiti dio sustava arhiviranja.
2. Ova se Direktiva ne primjenjuje na obradu osobnih podataka:
– tijekom aktivnosti koja je izvan područja primjene prava Zajednice, kao što je predviđeno u glavama V. i VI. Ugovora o Europskoj uniji i u svakom slučaju na postupke obrade koji se odnose na javnu sigurnost, obranu, nacionalnu sigurnost (uključujući gospodarsku dobrobit države kada se operacija obrade odnosi na pitanja nacionalne sigurnosti) i aktivnosti države u području kaznenog prava,
– koju provodi fizička osoba tijekom aktivnosti isključivo osobne ili domaće naravi.“
5 Članak 6. spomenute direktive, koji se tiče načela koja se odnose na kvalitetu podataka, određuje:
„1. Države članice osiguravaju da su osobni podaci:
(a) obrađeni pravično i zakonito;
(b) prikupljeni u posebne, izričite i zakonite svrhe te da ih se dalje ne obrađuje na način koji bi bio nespojiv s tom svrhom. Daljnja obrada podataka u povijesne, statističke ili znanstvene svrhe ne smatra se nespojivom pod uvjetom da ta država članica osigura odgovarajuću zaštitu;
(c) prikladni, relevantni i da nisu pretjerani u odnosu na svrhu zbog koje se prikupljaju i/ili dalje obrađuju;
(d) točni i, po potrebi, dopunjeni; potrebno je poduzeti sve odgovarajuće mjere da se podaci koji su netočni ili nepotpuni izbrišu ili isprave, uzimajući u obzir svrhu zbog koje se prikupljaju ili zbog koje se dalje obrađuju;
(e) čuvani u obliku koji omogućava identifikaciju osoba čiji se podaci obrađuju samo tijekom razdoblja potrebnog u svrhe zbog kojih se podaci prikupljaju ili zbog kojih se dalje obrađuju. Države članice dužne su predvidjeti odgovarajuću zaštitu za pohranu osobnih podataka za duža razdoblja ili za povijesnu, statističku ili znanstvenu uporabu.
2. Nadzornik mora osigurati postupanje u skladu sa stavkom 1. ovog članka.“
6 Članak 7. iste direktive, koji govori o načelima koja se odnose na mjerila za zakonitost obrade podataka, navodi:
„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:
(a) je osoba čiji se podaci obrađuju nedvosmisleno dala svoju suglasnost;
ili
(b) je obrada potrebna za izvršavanje ugovora kojem je osoba čiji se podaci obrađuju stranka ili kako bi se poduzele mjere na zahtjev osobe čiji se podaci obrađuju prije sklapanja ugovora;
ili
(c) je obrada potrebna za sukladnost sa zakonskom obvezom kojoj nadzornik podliježe;
ili
(d) je obrada potrebna kako bi se zaštitili vitalni interesi osobe čiji se podaci obrađuju;
ili
(e) je obrada potrebna za izvršavanje zadatka koji se provodi zbog javnog interesa ili pri izvršavanju javne ovlasti koju ima nadzornik ili treća stranka kojoj se podaci otkrivaju;
ili
(f) je obrada potrebna u svrhe zakonitog interesa koji ima nadzornik ili treća stranka ili stranke kojima se podaci otkrivaju, osim kada su ti podaci podređeni interesu za temeljna prava i slobode osobe čiji se podaci obrađuju koja zahtijeva zaštitu na temelju članka 1. stavka 1. ove Direktive.“
7 Članak 10. Direktive 95/46, naslovljen „Podaci u slučajevima prikupljanja podataka od osobe čiji se podaci obrađuju“, navodi:
„Države članice propisuju da nadzornik ili njegov zastupnik moraju dati osobi čiji se podaci obrađuju, a od koje se prikupljaju podaci, barem sljedeće podatke, osim u slučaju da ih već ima:
(a) identitet nadzornika i njegovog zastupnika, ako ga ima;
(b) svrhu obrade podataka;
(c) bilo koje daljnje podatke kao što su:
– primatelji ili vrste primatelja podataka,
– jesu li odgovori na pitanja obvezni ili dobrovoljni te moguće posljedice u slučaju da se ne odgovori na pitanja,
– postojanje prava na pristup podacima i prava na ispravljanje podataka koji se na nju odnose,
ako su takvi daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci prikupljaju, osigurati poštenu obradu u odnosu na osobu čiji se podaci obrađuju.“
8 Članak 11. te direktive, naslovljen „Podaci kada podaci nisu dobiveni od osobe čiji se podaci obrađuju“, glasi kako slijedi:
„1. Kada podaci nisu dobiveni od osobe čiji se podaci obrađuju, države članice propisuju da nadzornik ili njegov zastupnik u trenutku bilježenja osobnih podataka ili ako je predviđeno otkrivanje trećoj stranci, najkasnije u trenutku kada su podaci po prvi puta otkriveni, moraju dati osobi čiji se podaci obrađuju barem sljedeće podatke, osim u slučaju da ih već ima:
(a) identitet nadzornika i njegovog zastupnika, ako ga ima;
(b) svrhu obrade;
(c) bilo koje daljnje podatke kao što su:
– vrste podataka,
– primatelji ili vrste primatelja podataka,
– postojanje prava na pristup podacima i prava na ispravljanje podataka koji se na nju odnose,
ako su daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci obrađuju, jamstvo poštene obrade u odnosu na osobu čiji se podaci obrađuju.
2. Stavak 1. ovog članka ne primjenjuje se, prije svega za obradu u statističke svrhe ili u svrhe povijesnog ili znanstvenog istraživanja, kada je davanje takvih podataka nemoguće ili ako bi uključivalo nerazmjerni napor ili ako je bilježenje ili otkrivanje izričito propisano zakonom. U tim slučajevima države članice propisuju odgovarajuću zaštitu.“
9 Na temelju članka 13. spomenute direktive, naslovljenog „Iznimke i ograničenja“:
„1. Države članice mogu donijeti propise za ograničavanje područja primjene obveza i prava iz članka 6. stavka 1., članka 10., članka 11. stavka 1. te članaka 12. i 21. ove Direktive kada takvo ograničavanje predstavlja potrebne mjere za zaštitu:
(a) nacionalne sigurnosti;
(b) obrane;
(c) javne sigurnosti;
(d) sprečavanja, istrage, otkrivanja i progona kaznenih djela ili kršenja etike zakonom uređenih djelatnosti;
(e) važnog gospodarskog ili financijskog interesa države članice ili Europske unije, uključujući novčana, proračunska i porezna pitanja;
(f) nadzora, inspekcije ili regulatorne funkcije povezane, čak i povremeno, s izvršavanjem javnih ovlasti u slučajevima iz točaka (c), (d) i (e);
(g) zaštite osobe čiji se podaci obrađuju ili prava i slobode drugih.
2. Uzimajući u obzir odgovarajuću pravnu zaštitu, posebno da se podaci ne koriste za poduzimanje mjera ili odluka u vezi bilo kojeg određenog pojedinca, države članice mogu, kada očito nema rizika od kršenja privatnosti osobe čiji se podaci obrađuju, zakonski ograničiti prava iz članka 12. ove Direktive kada se podaci obrađuju isključivo u svrhe znanstvenog istraživanja ili kada se čuvaju u osobnom obliku najduže tijekom razdoblja potrebnog za isključivu svrhu izrade statistike.“
Rumunjsko pravo
Zakon br. 95/2006
10 Iz odluke kojom se upućuje prethodno pitanje proizlazi da članak 215. Zakona br. 95/2006 o reformi u području zdravstva (Legea nr. 95/2006 privind reforma în domeniul sănătății) od 14. travnja 2006. (Monitorul Oficial al României, Dio I., br. 372 od 28. travnja 2006.) predviđa:
„(1) Obvezu uplate doprinosa za osiguranje za slučaj bolesti imaju fizičke ili pravne osobe koje zapošljavaju osobe na osnovi pojedinačnog ugovora o radu ili posebnog zakonom predviđenog statuta kao i fizičke osobe, ovisno o slučaju.
(2) Fizičke ili pravne osobe kod kojih osiguranici obavljaju djelatnosti dužne su svaki mjesec dostaviti fondovima za osiguranje za slučaj bolesti koje osiguranici slobodno izabiru izjave koje sadrže ime osiguranika i iz kojih se vide obveze koje imaju prema fondovima te koje su dokaz o uplati doprinosa.
[...]“
11 Članak 315. tog zakona navodi:
„Vlasti, javne i druge institucije fondovima za osiguranje za slučaj bolesti na osnovi protokola besplatno prosljeđuju podatke koji su potrebni radi utvrđivanja statusa osiguranika.“
Uredba predsjednika CNAS‑a br. 617/2007
12 Članak 35. Uredbe predsjednika CNAS‑a br. 617/2007 od 13. kolovoza 2007., koji se odnosi na odobravanje metodoloških pravila u vezi s utvrđivanjem dokumenata koji opravdavaju dodjelu statusa osiguranika ili osiguranika koji ne uplaćuje doprinose te na prisilnu primjenu provedbenih mjera s ciljem naplate iznosa dugovanih jedinstvenom državnom fondu za socijalnu sigurnost (Monitorul Oficial al României, Dio I., br. 649 od 24. rujna 2007.), navodi:
„[...] za obveze plaćanja koje prema fondu imaju fizičke osobe koje sklope ugovor o osiguranju, a za koje prihod ne ubire ANAF, dužnički vrijednosni papir je, ovisno o slučaju, izjava [...], porezno rješenje koje izdaje nadležno tijelo FOSB‑a [fond za osiguranje za slučaj bolesti] ili sudske odluke koje se odnose na dugove prema fondu. Nadležno tijelo FOSB‑a može izdati porezno rješenje i na osnovi informacija koje na temelju protokola primi od ANAF‑a.“
Protokol iz 2007.
13 Na temelju članka 4. Protokola br. P 5282/26.10.2007/95896/30.10.2007 sklopljenog između CNAS‑a i ANAF‑a (u daljnjem tekstu: Protokol iz 2007.):
„Nakon što ovaj protokol stupi na snagu, [ANAF] će, posredstvom svojih podređenih specijaliziranih odjela, proslijediti, u elektroničkom obliku, prvotnu bazu podataka koja se tiče:
a. prihoda osoba koje su dio kategorije predviđene člankom 1. stavkom 1. ovog protokola i tromjesečnih ažuriranja te baze podataka [CNAS‑u], u obliku koji se može automatski obrađivati, u skladu s Prilogom br. 1 ovom protokolu [...]
[...]“.
Glavni postupak i prethodna pitanja
14 Tužitelji u glavnom postupku primaju prihode od samostalnih djelatnosti. ANAF je CNAS‑u proslijedio podatke koji se odnose na njihove prijavljene prihode. Na osnovi tih podataka CNAS je zatražio uplatu zaostalih doprinosa u sustav osiguranja za slučaj bolesti.
15 Tužitelji u glavnom postupku podnijeli su Prizivnom sudu u Cluju tužbu u okviru koje osporavaju zakonitost prijenosa fiskalnih podataka koji se odnose na njihove prihode u pogledu Direktive 95/46. Ističu da su ti osobni podaci na osnovi samog internog protokola bili proslijeđeni i korišteni u svrhe koje nisu iste onima o kojima je ANAF bio prvotno obaviješten, bez njihove izričite suglasnosti a da pritom nisu bili o tome unaprijed obaviješteni.
16 Iz odluke kojom se upućuje prethodno pitanje proizlazi da su javna tijela ovlaštena, na temelju Zakona br. 95/2006, proslijediti osobne podatke fondovima za osiguranje za slučaj bolesti kako bi im omogućili da utvrde imaju li dotične osobe status osiguranika. Ti se podaci tiču utvrđivanja identiteta osoba (prezime, ime, osobni identifikacijski broj, adresa), ali ne obuhvaćaju one koji se odnose na ostvarene prihode.
17 Sud koji je uputio zahtjev želi utvrditi je li za obradu podataka od strane CNAS‑a potrebno unaprijed obavijestiti dotične osobe o identitetu osobe odgovorne za obradu podataka te o svrsi prosljeđivanja tih podataka. Taj sud se također treba izjasniti o tome je li prosljeđivanje podataka na osnovi Protokola iz 2007. protivno odredbama Direktive 95/46 koje zahtijevaju da je svako ograničavanje prava dotičnih osoba predviđeno zakonom te da je popraćeno zaštitom, osobito kada se ti podaci koriste protiv tih osoba.
18 U tim je okolnostima Prizivni sud u Cluju odlučio prekinuti postupak i postaviti Sudu sljedeća prethodna pitanja:
„1. Je li nacionalno porezno tijelo koje zastupa nadležno ministarstvo države članice financijska institucija u smislu članka 124. UFEU‑a?
2. Može li prijenos baze podataka o prihodima koje su ostvarili državljani države članice od strane nacionalnog poreznog tijela drugoj instituciji predmetne države članice biti uređen aktom koji je istovjetan upravnim aktima odnosno protokolom sklopljenim između nacionalnog poreznog tijela i druge institucije države članice a da pritom takvo postupanje ne predstavlja povlašteni pristup u smislu članka 124. UFEU‑a?
3. Obuhvaća li pojam stabilnog i sigurnog poslovanja u smislu članka 124. UFEU‑a prijenos baze podataka s ciljem nametanja građanima države članice obveza plaćanja socijalnih doprinosa instituciji države članice u korist koje se obavio prijenos?
4. Može li osobne podatke obrađivati tijelo kojem takvi podaci nisu namijenjeni, ako takvo postupanje retroaktivno uzrokuje imovinsku štetu?“
O prethodnim pitanjima
Dopuštenost
Dopuštenost prvih triju pitanja
19 Prema ustaljenoj sudskoj praksi, Sud može odbiti donošenje odluke o prethodnom pitanju koje postavi nacionalni sud kad je očito da zatraženo tumačenje prava Unije nije ni u kakvoj vezi sa stvarnošću i predmetom spora u glavnom postupku, kad je pitanje hipotetske naravi i kada Sud ne raspolaže činjeničnim ili pravnim elementima nužnima da bi odgovorio na koristan način na pitanja koja su mu postavljena (vidjeti presudu PreussenElektra, C‑379/98, EU:C:2001:160, t. 39. i navedenu sudsku praksu).
20 U svim očitovanjima koja su podnesena Sudu smatra se da su prva tri prethodna pitanja koja se odnose na tumačenje članka 124. UFEU‑a nedopuštena zbog toga što nemaju veze s predmetom spora u glavnom postupku.
21 U tom pogledu, valja podsjetiti da se članak 124. UFEU‑a nalazi u trećem dijelu Glavi VIII. Ugovora o FEU‑u, koji se odnosi na ekonomsku i monetarnu politiku. Taj članak zabranjuje svaku mjeru koja se ne temelji na načelima stabilnog i sigurnog poslovanja, kojom se institucijama, tijelima, uredima i agencijama Unije, središnjim vlastima, regionalnim, lokalnim ili drugim tijelima javne vlasti, ostalim javnopravnim tijelima ili javnim poduzećima država članica omogućuje povlašteni pristup financijskim institucijama.
22 Ta zabrana potječe iz članka 104. A Ugovora o EZ‑u (kasnije članak 102. UEZ‑a), koji je Ugovorom iz Maastrichta dodan u Ugovor o EZ‑u. Ona je dio odredaba Ugovora o FEU‑u koje se odnose na ekonomsku politiku, a koje imaju za cilj potaknuti države članice na poštovanje zdrave fiskalne politike, izbjegavajući to da monetarno financiranje javnog deficita ili povlašteni pristup tijela javne vlasti financijskim tržištima dovedu do prekomjernog zaduživanja ili do prekomjernih deficita država članica (vidjeti u tom smislu presudu Gauweiler i dr., C‑62/14, EU:C:2015:400, t. 100.).
23 Stoga je očito da zahtijevano tumačenje članka 124. UFEU‑a nema nikakve veze s postojanjem ili predmetom glavnog postupka koji se tiče zaštite osobnih podataka.
24 Iz toga slijedi da nije potrebno odgovoriti na prva tri pitanja.
Dopuštenost četvrtog pitanja
25 CNAS i rumunjska vlada tvrde da je četvrto pitanje nedopušteno. Ta vlada ističe da ne postoji nikakva veza između štete na koju se pozivaju tužitelji u glavnom postupku i poništenja pobijanih upravnih akata u okviru glavnog postupka.
26 Valja u tom pogledu podsjetiti da prema ustaljenoj sudskoj praksi za pitanja o tumačenju prava Unije koja uputi nacionalni sudac unutar pravnog i činjeničnog okvira koji sam utvrdi i čiju točnost Sud nije dužan provjeravati vrijedi presumpcija relevantnosti. Sud može odbiti odlučiti o zahtjevu za prethodnu odluku koji je uputio nacionalni sud samo ako je očito da tumačenje prava Unije koje se traži nema nikakve veze s postojanjem ili predmetom glavnog spora, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima nužnima da na koristan način odgovori na pitanja koja su mu postavljena (presuda Fish Legal i Shirley, C‑279/12, EU:C:2013:853, t. 30. i navedena sudska praksa).
27 Valja utvrditi da se glavni predmet odnosi na zakonitost obrade fiskalnih podataka koje skuplja ANAF. Sud koji je uputio zahtjev pita kako valja tumačiti odredbe Direktive 95/46 u okviru nadzora zakonitosti prijenosa tih podataka CNAS‑u i njihove obrade koja uslijedi. Stoga je četvrto prethodno pitanje relevantno i dovoljno precizno te je Sud u mogućnosti na njega odgovoriti na koristan način. Dakle, zahtjev za prethodnu odluku treba smatrati dopuštenim što se tiče četvrtog pitanja.
Meritum
28 Svojim četvrtim pitanjem sud koji je uputio zahtjev u biti pita treba li članke 10., 11. i 13. Direktive 95/46 tumačiti na način da su im protivne nacionalne mjere, kao što su one o kojima je riječ u glavnom postupku, koje tijelu javne uprave države članice dopuštaju da osobne podatke proslijedi nekom drugom tijelu javne uprave te da ih naknadno obradi a da dotične osobe nisu bile obaviještene ni o tom prosljeđivanju ni o toj obradi.
29 U tom pogledu valja na osnovi navoda koje je dostavio sud koji je uputio zahtjev zaključiti da su fiskalni podaci koje je ANAF proslijedio CNAS‑u osobni podaci u smislu članka 2. točke (a) spomenute direktive, s obzirom na to da je riječ o „informacijama koje se tiču fizičke osobe čiji je identitet utvrđen ili se može utvrditi“ (presuda Satakunnan Markkinapörssi i Satamedia, C‑73/07, EU:C:2008:727, t. 35.). Činjenica da ih je proslijedio ANAF, tijelo zaduženo za upravljanje bazama podataka u kojima su prikupljeni, kao i da ih je potom obradio CNAS, upućuje stoga na to da je riječ o „obradi osobnih podataka“ u smislu članka 2. točke (b) iste direktive (vidjeti u tom smislu osobito presude Österreichischer Rundfunk i dr., C‑465/00, C‑138/01 i C‑139/01, EU:C:2003:294, t. 64. kao i Huber, C‑524/06, EU:C:2008:724, t. 43.).
30 U skladu s odredbama Glave II. Direktive 95/46, naslovljene „Opća pravila o zakonitosti obrade osobnih podataka“, osim odstupanja predviđenih u članku 13. te direktive, svaka obrada osobnih podataka treba s jedne strane biti u skladu s načelima koja se odnose na kvalitetu podataka navedenima u članku 6. spomenute direktive i, s druge strane, odgovarati na jedno od načela koja se odnose na zakonitost obrade podataka navedenih u članku 7. te iste direktive (presude Österreichischer Rundfunk i dr., C‑465/00, C‑138/01 i C‑139/01, EU:C:2003:294, t. 65.; Huber, C‑524/06, EU:C:2008:724, t. 48. kao i ASNEF i FECEMD, C‑468/10 i C‑469/10, EU:C:2011:777, t. 26.).
31 Osim toga, nadzornik obrade podataka, ili njegov predstavnik, ima obvezu davanja podataka čiji se načini izvršavanja navedeni u člancima 10. i 11. Direktive 95/46 razlikuju prema tome prikupljaju li se ti podaci od dotičnih osoba ili ne i to uz poštovanje odstupanja priznatih na temelju članka 13. te direktive.
32 Što se na prvom mjestu tiče članka 10. spomenute direktive, on predviđa da nadzornik mora dati osobi čiji se podaci obrađuju, a od koje se prikupljaju podaci, podatke navedene u tom članku u točkama (a) do (c), osim u slučaju da ih ta osoba već ima. Ti se podaci tiču identiteta nadzornika obrade tih podataka, svrhe obrade kao i bilo kojih daljnjih podataka potrebnih da bi se osigurala poštena obrada podataka. Među daljnjim podacima potrebnima radi osiguranja poštene obrade podataka, članak 10. točka (c) iste direktive izričito spominje „primatelje ili vrste primatelja podataka“ kao i „postojanje prava na pristup podacima i prava na ispravljanje podataka koji se na nju odnose“.
33 Kao što je nezavisni odvjetnik naveo u točki 74. svojeg mišljenja, taj zahtjev o obavještavanju osoba kojih se tiče obrada njihovih osobnih podataka je tim važniji zato što je riječ o nužnoj pretpostavci za to da te osobe koriste svoje pravo na pristup i ispravljanje obrađenih podataka, koje je utvrđeno u članku 12. Direktive 95/46, i svoje pravo prigovora obradi spomenutih podataka iz članka 14. te direktive.
34 Iz toga slijedi da zahtjev za poštenu obradu osobnih podataka predviđen u članku 6. Direktive 95/46 propisuje obvezu tijelu javne uprave da obavijesti dotične osobe o prosljeđivanju tih podataka drugom tijelu javne uprave s ciljem da ih potonja kao adresat spomenutih podataka obradi.
35 Iz pojašnjenja suda koji je uputio zahtjev proizlazi da ANAF nije obavijestio tužitelje u glavnom postupku o tome da je CNAS‑u proslijedio osobne podatke koji se na njih odnose.
36 Rumunjska vlada međutim ističe da je ANAF obvezan, osobito na temelju članka 315. Zakona br. 95/2006, regionalnim fondovima za osiguranje za slučaj bolesti proslijediti podatke potrebne da bi CNAS utvrdio imaju li osobe koje ostvaruju prihode od samostalnih djelatnosti status osiguranika.
37 Doista, članak 315. Zakona br. 95/2006 izričito predviđa da „vlasti, javne i druge institucije fondovima za osiguranje za slučaj bolesti na osnovi protokola besplatno prosljeđuju podatke koji su potrebni radi utvrđivanja statusa osiguranika“. Ipak, iz objašnjenja koja je dao sud koji je uputio zahtjev proizlazi da podaci potrebni radi utvrđivanja statusa osiguranika, u smislu spomenute odredbe, ne uključuju one koji se odnose na prihode, s obzirom na to da zakon status osiguranika također priznaje i osobama bez oporezivih prihoda.
38 U takvim okolnostima, članak 315. Zakona br. 95/2006 ne može obuhvaćati, u smislu članka 10. Direktive 95/46, prethodnu obavijest kojom bi se nadzorniku dopustilo da se oslobodi svoje obveze da osobe od kojih skuplja podatke o njihovim prihodima obavijesti o adresatima tih podataka. Stoga se ne može smatrati da je predmetno prosljeđivanje podataka bilo izvršeno uz poštovanje odredaba članka 10. Direktive 95/46.
39 Valja ispitati može li neobavještavanje dotičnih osoba potpadati pod članak 13. spomenute direktive. Naime, iz stavka 1. točaka (e) i (f) tog članka 13. proizlazi da države članice mogu ograničiti područje primjene obveza i prava iz članka 10. iste direktive kada takvo ograničavanje predstavlja potrebnu mjeru za zaštitu „važnog gospodarskog ili financijskog interesa države članice [...], uključujući novčana, proračunska i porezna pitanja“ kao i „nadzora, inspekcije ili regulatorne funkcije povezane, čak i povremeno, s izvršavanjem javnih ovlasti u slučajevima iz točaka (c), (d) i (e)“. Međutim, spomenuti članak 13. izričito zahtijeva da se takva ograničenja propisuju zakonskim mjerama.
40 Osim okolnosti koju je istaknuo sud koji je uputio zahtjev, prema kojoj podaci koji se odnose na prihode nisu dio osobnih podataka koji su nužni da bi se utvrdio status osiguranika, valja naglasiti da članak 315. Zakona br. 95/2006 predviđa samo načelo prosljeđivanja tih potonjih osobnih podataka kojima raspolažu vlasti, javne ili druge institucije. Iz odluke kojom se upućuje prethodno pitanje također proizlazi da utvrđivanje podataka koji se mogu prosljeđivati kao i načini provedbe tog prosljeđivanja nisu propisani zakonskom mjerom, već Protokolom iz 2007. sklopljenim između ANAF‑a i CNAS‑a, a koji nije bio službeno objavljen.
41 U takvim okolnostima ne može se smatrati da su ispunjene pretpostavke koje članak 13. Direktive 95/46 propisuje da bi država članica mogla odstupiti od prava i obveza koje proizlaze iz članka 10. te direktive.
42 Što se na drugom mjestu tiče članka 11. spomenute direktive, on u stavku 1. predviđa da nadzornik obrade podataka koji nisu prikupljeni od dotične osobe mora potonjoj pružiti podatke navedene u točkama (a) do (c). Ti se podaci tiču identiteta nadzornika obrade tih podataka, svrhe obrade kao i bilo kojih daljnjih podataka potrebnih da bi se osigurala poštena obrada podataka. Među tim daljnjim podacima, članak 11. stavak 1. točka (c) iste direktive izričito spominje „vrste podataka“ kao i „postojanje prava na pristup podacima i prava na ispravljanje podataka koji se na nju odnose“.
43 Iz toga slijedi da je, u skladu s člankom 11. stavkom 1. točkama (b) i (c) Direktive 95/46, s obzirom na okolnosti u glavnom postupku, činjenica da je CNAS obrađivao podatke koje mu je proslijedio ANAF podrazumijevala da su osobe na koje su se ti podaci odnosili obaviještene o svrsi njihove obrade kao i o vrstama dotičnih podataka.
44 Iz pojašnjena koja je dao sud koji je uputio zahtjev proizlazi da CNAS tužiteljima u glavnom postupku nije pružio podatke navedene u članku 11. stavku 1. točkama (a) do (c) spomenute direktive.
45 Valjda dodati da se, u skladu s člankom 11. stavkom 2. Direktive 95/46, odredbe članka 11. stavka 1. te direktive ne primjenjuju, osobito kada su registracija ili obavještavanje o tim podacima predviđeni zakonom, pri čemu države članice stoga moraju predvidjeti odgovarajuću zaštitu. Zbog razloga navedenih u točkama 40. i 41. ove presude, odredbe Zakona br. 95/2006 na koje se poziva rumunjska vlada i Protokol iz 2007. ne mogu potpadati pod odstupanja propisana člankom 11. stavkom 2. kao ni pod ona koja proizlaze iz članka 13. spomenute direktive.
46 Uzimajući u obzir sva prethodna razmatranja, na postavljeno pitanje valja odgovoriti da članke 10., 11. i 13. Direktive 95/46 treba tumačiti na način da su im protivne nacionalne mjere, kao što su one o kojima je riječ u glavnom postupku, koje tijelu javne uprave države članice dopuštaju da osobne podatke proslijedi nekom drugom tijelu javne uprave te da ih naknadno obradi a da dotične osobe nisu bile obaviještene ni o tom prosljeđivanju ni o toj obradi.
Troškovi
47 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenoga, Sud (treće vijeće) odlučuje:
Članke 10., 11. i 13. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka treba tumačiti na način da su im protivne nacionalne mjere, kao što su one o kojima je riječ u glavnom postupku, koje tijelu javne uprave države članice dopuštaju da osobne podatke proslijedi nekom drugom tijelu javne uprave te da ih naknadno obradi a da dotične osobe nisu bile obaviještene ni o tom prosljeđivanju ni o toj obradi.
Potpisi