ARREST VAN HET HOF (Derde kamer)
1 oktober 2015 (*)
„Prejudiciële verwijzing – Richtlijn 95/46/EG – Verwerking van persoonsgegevens – Artikelen 10 en 11 – Informeren van de betrokkenen – Artikel 13 – Uitzonderingen en beperkingen – Overdracht van persoonlijke belastinggegevens door een overheidsinstantie van een lidstaat met het oog op de verwerking ervan door een andere overheidsinstantie”
In zaak C‑201/14,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Curtea de Apel Cluj (Roemenië), bij beslissing van 31 maart 2014, ingediend bij het Hof op 22 april 2014, in de zaak
Smaranda Bara e.a.
tegen
Președintele Casei Naționale de Asigurări de Sănătate,
Casa Naţională de Asigurări de Sănătate,
Agenţia Naţională de Administrare Fiscală (ANAF),
wijst
HET HOF (Derde kamer),
samengesteld als volgt: M. Ilešič, kamerpresident, A. Ó Caoimh, C. Toader, E. Jarašiūnas en C. G. Fernlund (rapporteur), rechters,
advocaat-generaal: P. Cruz Villalón,
griffier: L. Carrasco Marco, administrateur,
gezien de stukken en na de terechtzitting op 29 april 2015,
gelet op de opmerkingen van:
– Smaranda Bara e.a., vertegenwoordigd door C. F. Costaş en K. Kapcza, advocaten,
– de Casa Naţională de Asigurări de Sănătate, vertegenwoordigd door V. Ciurchea als gemachtigde,
– de Roemeense regering, vertegenwoordigd door R. H. Radu alsook door A. Buzoianu, A.‑G. Văcaru en D. M. Bulancea als gemachtigden,
– de Tsjechische regering, vertegenwoordigd door M. Smolek en J. Vláčil als gemachtigden,
– de Europese Commissie, vertegenwoordigd door I. Rogalski en B. Martenczuk, alsook door J. Vondung als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 9 juli 2015,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 124 VWEU en de artikelen 10, 11, en 13 van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31).
2 Dit verzoek is ingediend in het kader van een geding tussen S. Bara e.a. en Președintele Casei Naționale de Asigurări de Sănătate (voorzitter van het nationale socialezekerheidsorgaan) en Casa Națională de Asigurări de Sănătate (nationaal socialezekerheidsorgaan; hierna: „CNAS”) en Agenția Națională de Administrare Fiscală (nationale belastingdienst; hierna: „ANAF”) betreffende de verwerking van bepaalde gegevens.
Toepasselijke bepalingen
Unierecht
3 Artikel 2 van richtlijn 95/46, met het opschrift „Definities”, bepaalt:
„In de zin van deze richtlijn wordt verstaan onder:
a) ,persoonsgegevens’, iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna ,betrokkene’ te noemen; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit;
b) ,verwerking van persoonsgegevens’, hierna ,verwerking’ te noemen, elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
c) ,bestand van persoonsgegevens’, hierna ,bestand’ te noemen, elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd dan wel gedecentraliseerd is of verspreid op een functioneel of geografisch bepaalde wijze;
d) ,voor de verwerking verantwoordelijke’, de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die, respectievelijk dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer het doel van en de middelen voor de verwerking worden vastgesteld bij nationale of communautaire wettelijke of bestuursrechtelijke bepalingen, kan in het nationale of communautaire recht worden bepaald wie de voor de verwerking verantwoordelijke is of volgens welke criteria deze wordt aangewezen;
[...]”
4 Artikel 3 van deze richtlijn, met het opschrift „Werkingssfeer”, luidt als volgt:
„1. De bepalingen van deze richtlijn zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
2. De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens:
– die met het oog op de uitoefening van niet binnen de werkingssfeer van het Gemeenschapsrecht vallende activiteiten geschiedt zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de Staat (waaronder de economie van de Staat, wanneer deze verwerkingen in verband staan met vraagstukken van Staatsveiligheid), en de activiteiten van de Staat op strafrechtelijk gebied;
– die door een natuurlijk persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.”
5 Artikel 6 van voormelde richtlijn, inzake de beginselen betreffende de kwaliteit van de gegevens, luidt:
„1. De lidstaten bepalen dat de persoonsgegevens:
a) eerlijk en rechtmatig moeten worden verwerkt;
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verkregen en vervolgens niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden. Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden wordt niet als onverenigbaar beschouwd, mits de lidstaten passende garanties bieden;
c) toereikend, ter zake dienend en niet bovenmatig moeten zijn, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt;
d) nauwkeurig dienen te zijn en, zo nodig, dienen te worden bijgewerkt; alle redelijke maatregelen dienen te worden getroffen om de gegevens die, uitgaande van de doeleinden waarvoor zij worden verzameld of waarvoor zij vervolgens worden verwerkt, onnauwkeurig of onvolledig zijn, uit te wissen of te corrigeren;
e) in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer mogen worden bewaard dan voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, noodzakelijk is. De lidstaten voorzien in passende waarborgen voor persoonsgegevens die langer dan hierboven bepaald voor historische, statistische of wetenschappelijke doeleinden worden bewaard.
2. Op de voor de verwerking verantwoordelijke rust de plicht om voor de naleving van het bepaalde in lid 1 zorg te dragen.”
6 Artikel 7 van diezelfde richtlijn, inzake de beginselen betreffende de toelaatbaarheid van gegevensverwerking, bepaalt:
„De lidstaten bepalen dat de verwerking van persoonsgegevens slechts mag geschieden indien:
a) de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend,
of
b) de verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene,
of
c) de verwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de voor de verwerking verantwoordelijke onderworpen is,
of
d) de verwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene,
of
e) de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag die aan de voor de verwerking verantwoordelijke of de derde aan wie de gegevens worden verstrekt, drager is opgedragen,
of
f) de verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de voor de verwerking verantwoordelijke of van de derde(n) aan wie de gegevens worden verstrekt, mits het belang of de fundamentele rechten en vrijheden van de betrokkene die aanspraak maakt op bescherming uit hoofde van artikel 1, lid 1, van deze richtlijn, niet prevaleren.”
7 Artikel 10 van richtlijn 95/46, met het opschrift „Informatieverstrekking in geval van verkrijging van gegevens bij de betrokkene”, luidt:
„De lidstaten bepalen dat de voor de verwerking verantwoordelijke of diens vertegenwoordiger aan de betrokkene, bij wie de betrokkene zelf betreffende gegevens worden verkregen, ten minste de hiernavolgende informatie moet verstrekken, behalve indien de betrokkene daarvan reeds op de hoogte is:
a) de identiteit van de voor de verwerking verantwoordelijke en, in voorkomend geval, van diens vertegenwoordiger,
b) de doeleinden van de verwerking waarvoor de gegevens zijn bestemd,
c) verdere informatie zoals
– de ontvangers of de categorieën ontvangers van de gegevens;
– antwoord op de vraag of men al dan niet verplicht is om te antwoorden en de eventuele gevolgen van niet-beantwoording,
– het bestaan van een recht op toegang tot zijn eigen persoonsgegevens en op rectificatie van deze gegevens,
voor zover die, met inachtneming van de specifieke omstandigheden waaronder de verdere informatie verkregen wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.”
8 Artikel 11 van de richtlijn, met het opschrift „Informatieverstrekking aan de betrokkene wanneer de gegevens niet bij de betrokkene zijn verkregen”, bepaalt:
„1. De lidstaten bepalen dat wanneer de gegevens niet bij de betrokkene zijn verkregen de voor de verwerking verantwoordelijke of diens vertegenwoordiger, op het moment van registratie van de gegevens of wanneer verstrekking van de gegevens aan een derde wordt overwogen, aan de betrokkene uiterlijk op het moment van de eerste verstrekking van de gegevens ten minste de volgende informatie moet verstrekken, tenzij de betrokkene daarvan reeds op de hoogte is:
a) de identiteit van de voor de verwerking verantwoordelijke en, in voorkomend geval, van diens vertegenwoordiger,
b) de doeleinden van de verwerking,
c) verdere informatie zoals
– de betrokken gegevenscategorieën;
– de ontvangers of de categorieën ontvangers;
– het bestaan van een recht op toegang tot zijn eigen persoonsgegevens en op rectificatie van deze gegevens,
voor zover die, met inachtneming van de specifieke omstandigheden waaronder de verdere informatie verzameld wordt, nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen.
2. Het bepaalde in lid 1 is niet van toepassing indien, met name voor statistische doeleinden of voor historisch of wetenschappelijk onderzoek, verstrekking van informatie aan de betrokkene onmogelijk blijkt of onevenredig veel moeite kost of indien de registratie of verstrekking bij wet is voorgeschreven. In deze gevallen zorgen de lidstaten voor passende waarborgen.”
9 Artikel 13 van voornoemde richtlijn, met het opschrift „Uitzonderingen en beperkingen”, bepaalt:
„1. De lidstaten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in artikel 6, lid 1, artikel 10, artikel 11, lid 1, artikel 12 en artikel 21 bedoelde rechten en plichten indien dit noodzakelijk is ter vrijwaring van
a) de veiligheid van de Staat;
b) de landsverdediging;
c) de openbare veiligheid;
d) het voorkomen, het onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van de beroepscodes voor gereglementeerde beroepen;
e) een belangrijk economisch en financieel belang van een lidstaat of van de Europese Unie, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden;
f) een taak op het gebied van controle, inspectie of regelgeving, verbonden, ook al is dit incidenteel, met de uitoefening van het openbaar gezag in de onder c), d) en e), bedoelde gevallen;
g) de bescherming van de betrokkene of van de rechten en vrijheden van anderen.
2. Mits er passende wettelijke garanties worden geboden, met name dat de gegevens niet zullen worden gebruikt om maatregelen of besluiten te treffen ten aanzien van een individuele betrokkene, mogen de lidstaten ingeval er duidelijk geen gevaar bestaat dat inbreuk wordt gepleegd op de persoonlijke levenssfeer van de betrokkene, de in artikel 12 bedoelde rechten beperken wanneer de gegevens uitsluitend met het oog op wetenschappelijk onderzoek worden verwerkt of slechts gedurende de periode die nodig is voor het opstellen van statistieken in de vorm van persoonlijke gegevens worden bewaard.”
Roemeens recht
Wet nr. 95/2006
10 Blijkens de verwijzingsbeslissing luidt artikel 215 van wet nr. 95/2006 inzake de hervorming van de gezondheidszorg (Legea nr. 95/2006 privind reforma în domeniul sănătății), van 14 april 2006 (Monitorul Oficial al României, deel I, nr. 372, van 28 april 2006), als volgt:
„(1) De verplichting tot betaling van de bijdrage aan de ziekteverzekering rust op de natuurlijke of rechtspersoon die personen in dienst heeft op basis van een individuele arbeidsovereenkomst of een bij wet bepaald bijzonder statuut en, in voorkomend geval, op de natuurlijke personen.
(2) De rechtspersonen of natuurlijke personen voor wie de verzekerden werken, moeten maandelijks bij de door de verzekerden vrijelijk gekozen verzekeringsfondsen nominale aangiften indienen met betrekking tot hun verplichtingen jegens het fonds en die fondsen het bewijs van betaling van de bijdragen leveren.
[...]”
11 Artikel 315 van die wet bepaalt:
„De voor de vaststelling van de hoedanigheid van verzekerde benodigde gegevens worden krachtens een protocol gratis meegedeeld aan de ziekteverzekeringsfondsen door de autoriteiten, de overheidsinstellingen en andere instellingen.”
Besluit nr. 617/2007 van de voorzitter van de CNAS
12 Artikel 35 van besluit nr. 617/2007 van de voorzitter van de CNAS van 13 augustus 2007 houdende goedkeuring van de methoden voor de opmaak van bewijsstukken ter verkrijging van de hoedanigheid van verzekerde of verzekerde zonder de bijdrage te betalen, en ter uitvoering van executiemaatregelen voor de invordering van de aan het nationaal gemeenschappelijk ziekenfonds verschuldigde bedragen (Monitorul Oficial al României, deel I, nr. 649, van 24 september 2007), bepaalt:
„[...] voor de betalingsverplichtingen jegens het fonds van natuurlijke personen die zich verzekeren op basis van een verzekeringsovereenkomst, andere dan diegenen waarvoor de inning van de ontvangsten door het ANAF gebeurt, bestaat de schuldtitel in voorkomend geval uit de [...] verklaring, de aanslag door het bevoegde orgaan van de CAS [ziekteverzekeringsfonds], of uit de rechterlijke beslissingen inzake aan het fonds verschuldigde bedragen. De aanslag kan ook door het bevoegde orgaan van de CAS gebeuren aan de hand van de krachtens het protocol van het ANAF ontvangen informatie.”
Protocol van 2007
13 Artikel 4 van protocol nr. P 5282/26.10.2007/95896/30.10.2007 gesloten tussen de CNAS en het ANAF (hierna: „protocol van 2007”) luidt:
„Na de inwerkingtreding van het onderhavige protocol zal het [ANAF] via zijn gespecialiseerde ondergeschikte eenheden het oorspronkelijke gegevensbestand in elektronische vorm doorzenden betreffende:
a. de inkomsten van de personen die behoren tot de in artikel 1, lid 1, van het onderhavige protocol bedoelde categorieën, en driemaandelijks een bijgewerkte versie van dat bestand, aan de [CNAS] op een drager die geschikt is voor automatische verwerking, overeenkomstig bijlage 1 bij het onderhavige protocol. [...]
[...]”
Hoofdgeding en prejudiciële vragen
14 Verzoekers in het hoofdgeding verkrijgen inkomsten uit zelfstandige activiteiten. Het ANAF heeft de gegevens met betrekking tot hun aangegeven inkomsten overgedragen aan de CNAS. Op basis van deze gegevens heeft de CNAS de betaling gevorderd van achterstallige bijdragen aan het ziekteverzekeringsstelsel.
15 Verzoekers in het hoofgeding hebben beroep ingesteld bij de Curtea de Apel Cluj, waarin zij de wettelijkheid betwisten van de overdracht van belastinggegevens betreffende hun inkomsten uit het oogpunt van richtlijn 95/46. Zij voeren aan dat deze persoonsgegevens, zonder hun uitdrukkelijke toestemming en zonder voorafgaande melding, op basis van een louter intern protocol, werden overgedragen en gebruikt voor andere doeleinden dan diegene waarvoor ze initieel aan het ANAF werden meegedeeld.
16 Blijkens de verwijzingsbeslissing zijn de overheidsinstanties krachtens wet nr. 95/2006 bevoegd om persoonsgegevens over te dragen aan de ziekteverzekeringsfondsen, teneinde ze in staat te stellen de hoedanigheid van verzekerde van de betrokken personen vast te stellen. Deze gegevens betreffen de identificatie van de personen (naam, voornaam, persoonlijk identificatienummer, adres), maar omvatten niet de gegevens met betrekking tot de verkregen inkomsten.
17 De verwijzende rechter wenst te vernemen of het voor de gegevensverwerking door de CNAS noodzakelijk was dat de betrokkenen op voorhand werden geïnformeerd over de identiteit van de verantwoordelijke van de verwerking en het doel waarvoor deze gegevens werden overgedragen. Deze rechterlijke instantie moet zich ook uitspreken over de vraag of de overdracht van gegevens op basis van het protocol van 2007 in strijd is met de bepalingen van richtlijn 95/46, die vereisen dat elke beperking van de rechten van de betrokkenen in een wet is voorzien en dat daaraan waarborgen zijn verbonden, meer bepaald wanneer de gegevens tegen deze personen worden gebruikt.
18 Daarom heeft de Curtea de Apel Cluj de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Is de nationale belastingdienst, als vertegenwoordiger van het bevoegde ministerie van een lidstaat, een financiële instelling in de zin van artikel 124 VWEU?
2) Kan bij een met een bestuurshandeling gelijkgestelde handeling, te weten een protocol tussen de nationale belastingdienst en een andere overheidsinstantie, worden voorzien in de overdracht van het gegevensbestand over de inkomsten van de onderdanen van een lidstaat door de nationale belastingdienst aan een andere instantie van de lidstaat, zonder dat er sprake is van een bevoorrechte toegang als omschreven in artikel 124 VWEU?
3) Valt de overdracht van het gegevensbestand, met als doel de burgers van een lidstaat te verplichten sociale bijdragen te betalen aan de instantie van de lidstaat waaraan het bestand wordt overgedragen, onder het begrip ‚overweging van bedrijfseconomisch toezicht’ in de zin van artikel 124 VWEU?
4) Mogen persoonsgegevens worden verwerkt door een autoriteit waarvoor die gegevens niet waren bestemd, wanneer daardoor met terugwerkende kracht vermogensschade voor de betrokkenen ontstaat?”
Beantwoording van de prejudiciële vragen
Ontvankelijkheid
Ontvankelijkheid van de eerste tot en met de derde vraag
19 Volgens vaste rechtspraak kan het Hof weigeren uitspraak te doen over een prejudiciële vraag van een nationale rechterlijke instantie wanneer duidelijk blijkt dat de gevraagde uitlegging van het Unierecht geen enkel verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het vraagstuk van hypothetische aard is, of wanneer het Hof niet beschikt over de gegevens, feitelijk en rechtens, die noodzakelijk zijn om een nuttig antwoord te geven op de gestelde vragen (zie arrest PreussenElektra, C‑379/98, EU:C:2001:160, punt 39 en aldaar aangehaalde rechtspraak).
20 In alle bij het Hof ingediende opmerkingen wordt gesteld dat de eerste tot en met de derde prejudiciële vraag betreffende de uitlegging van artikel 124 VWEU niet-ontvankelijk zijn omdat zij geen enkel verband houden met het voorwerp van het hoofdgeding.
21 In dat verband zij eraan herinnerd dat artikel 124 VWEU valt onder het derde deel, titel VIII, van het VWEU inzake het economisch en monetair beleid. Dit artikel verbiedt alle niet op overwegingen van bedrijfseconomisch toezicht gebaseerde maatregelen waardoor instellingen, organen of instanties van de Unie, centrale overheden, regionale, lokale of andere overheden, andere publiekrechtelijke lichamen of openbare bedrijven van de lidstaten een bevoorrechte toegang tot de financiële instellingen krijgen.
22 Dit verbod vindt zijn oorsprong in het toenmalige artikel 104 A EG (nadien artikel 102 EG) dat bij het Verdrag van Maastricht in het EG-Verdrag is opgenomen. Het maakt deel uit van de bepalingen van het VWEU inzake het economische beleid, die bedoeld zijn om de lidstaten ertoe aan te zetten een gezond begrotingsbeleid te voeren door te voorkomen dat een monetaire financiering van overheidstekorten of een bevoorrechte toegang van overheden tot de kapitaalmarkten leidt tot een bovenmatige schuldenlast of buitensporige begrotingstekorten van de lidstaten (zie in die zin arrest Gauweiler e.a., C‑62/14, EU:C:2015:400, punt 100).
23 De gevraagde uitlegging van artikel 124 VWEU houdt dus kennelijk geen enkel verband met het reëel geschil of met het voorwerp van het hoofdgeding, dat de bescherming van persoonsgegevens betreft.
24 Hieruit volgt dat de eerste tot en met de derde vraag niet hoeven te worden beantwoord.
Ontvankelijkheid van de vierde vraag
25 De CNAS en de Roemeense regering stellen dat de vierde vraag niet-ontvankelijk is. Deze regering voert aan dat er geen verband bestaat tussen de schade die verzoekers in het hoofgeding stellen te hebben geleden en de nietigverklaring van de in het hoofdgeding bestreden administratieve handelingen.
26 In dat verband zij eraan herinnerd dat volgens vaste rechtspraak van het Hof, er een vermoeden van relevantie rust op vragen betreffende de uitlegging van het Unierecht die de nationale rechter heeft gesteld binnen het onder zijn eigen verantwoordelijkheid geschetste feitelijke en wettelijke kader, ten aanzien waarvan het niet aan het Hof is de juistheid ervan te onderzoeken. Het Hof kan slechts weigeren uitspraak te doen op een verzoek van een nationale rechter om een prejudiciële beslissing wanneer duidelijk blijkt dat de gevraagde uitlegging van het Unierecht geen enkel verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het vraagstuk van hypothetische aard is of wanneer het Hof niet beschikt over de gegevens, feitelijk en rechtens, die noodzakelijk zijn om een zinvol antwoord te geven op de gestelde vragen (zie arrest Fish Legal en Shirley, C‑279/12, EU:C:2013:853, punt 30 en aldaar aangehaalde rechtspraak).
27 Opgemerkt zij dat het hoofdgeding betrekking heeft op de regelmatigheid van de verwerking van de door het ANAF verzamelde belastinggegevens. De verwijzende rechter heeft vragen bij de uitlegging van de bepalingen van richtlijn 95/46, in het kader van het onderzoek van de regelmatigheid van de overdracht van gegevens aan de CNAS en de daaropvolgende verwerking ervan. De vierde prejudiciële vraag is dus relevant en voldoende precies om het Hof in staat te stellen er een nuttig antwoord op te geven.
Ten gronde
28 Met zijn vierde vraag wenst de verwijzende rechter in wezen te vernemen of de artikelen 10, 11 en 13 van richtlijn 95/46 aldus moeten worden uitgelegd dat zij in de weg staan aan nationale maatregelen als die in het hoofdgeding, die een overheidsinstantie van een lidstaat toestaan persoonsgegevens aan een andere overheidsinstantie over te dragen die vervolgens worden verwerkt, zonder dat de betrokkenen zijn geïnformeerd over deze overdracht en verwerking.
29 Op basis van de aanwijzingen van de verwijzende rechter moet in dat verband worden vastgesteld dat de belastinggegevens die door het ANAF aan de CNAS zijn overgemaakt, persoonsgegevens zijn in de zin van artikel 2, onder a), van voornoemde richtlijn, aangezien het gaat om „informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon” (arrest Satakunnan Markkinapörssi en Satamedia, C‑73/07, EU:C:2008:727, punt 35). Zowel hun overdracht door het ANAF, het orgaan belast met het beheer van het gegevensbestand dat deze gegevens verzamelt, als de daaropvolgende verwerking door de CNAS, vormt dus een „verwerking van persoonsgegevens” in de zin van artikel 2, onder b), van deze richtlijn (zie onder andere in die zin arresten Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 en C‑139/01, EU:C:2003:294, punt 64, alsook Huber, C‑524/06, EU:C:2008:724, punt 43).
30 Overeenkomstig hoofdstuk II van richtlijn 95/46, met het opschrift „Algemene voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens”, moet elke verwerking van persoonsgegevens, behoudens de op grond van artikel 13 van deze richtlijn toegestane uitzonderingen, stroken met de in artikel 6 van die richtlijn genoemde beginselen betreffende de kwaliteit van de gegevens, en met een van de in artikel 7 van de richtlijn genoemde beginselen betreffende de toelaatbaarheid van gegevensverwerking (arresten Österreichischer Rundfunk e.a., C‑465/00, C‑138/01 en C‑139/01, EU:C:2003:294, punt 65; Huber, C‑524/06, EU:C:2008:724, punt 48, alsook ASNEF en FECEMD, C‑468/10 en C‑469/10, EU:C:2011:777, punt 26).
31 Bovendien is de voor de verwerking verantwoordelijke of zijn vertegenwoordiger onderworpen aan een informatieverplichting waarvan de modaliteiten, vermeld in de artikelen 10 en 11 van richtlijn 95/46, variëren naargelang deze gegevens wel of niet bij de betrokken persoon zijn verkregen, dit onder voorbehoud van de in artikel 13 van deze richtlijn toegestane uitzonderingen.
32 In de eerste plaats bepaalt artikel 10 van voornoemde richtlijn dat de voor verwerking verantwoordelijke de betrokkene zelf bij wie betreffende gegevens worden verkregen, de informatie moet verstrekken vermeld onder a) tot en met c) van dat artikel, behalve indien de betrokkene daarvan reeds op de hoogte is. Deze informatie betreft de identiteit van de voor de verwerking van deze gegevens verantwoordelijke, de doeleinden van de verwerking van die gegevens, en alle verdere informatie die nodig is om een eerlijke verwerking van de gegevens te waarborgen. Artikel 10, onder c), van diezelfde richtlijn vermeldt uitdrukkelijk als informatie die nodig is om een eerlijke verwerking te waarborgen „de ontvangers of de categorieën ontvangers van de gegevens” alsook „het bestaan van een recht op toegang tot [de] eigen persoonsgegevens [van de betrokkene] en op rectificatie van deze gegevens”.
33 Zoals de advocaat-generaal in punt 74 van zijn conclusie heeft uiteengezet, is de vereiste van informatieverstrekking aan de betrokkenen op wie de verwerking van hun persoonsgegevens betrekking heeft des te belangrijker, aangezien het een voorwaarde is voor de uitoefening door die betrokkenen van het recht van toegang tot en rectificatie van de verwerkte gegevens, als bedoeld in artikel 12 van richtlijn 95/46, en van hun recht van verzet tegen de verwerking van die gegevens, geregeld in artikel 14 van deze richtlijn.
34 Hieruit volgt dat de vereiste van eerlijke verwerking van de persoonsgegevens, zoals bepaald in artikel 6 van richtlijn 95/46, een overheidsinstantie verplicht om de betrokkenen te informeren over de overdracht van deze gegevens aan een andere overheidsinstantie met het oog op de verwerking ervan door bedoelde instantie, als adressaat van deze gegevens.
35 Uit de toelichting van de verwijzende rechter blijkt dat verzoekers in het hoofdgeding door het ANAF niet werden geïnformeerd over de overdracht van de hun betreffende persoonsgegevens aan de CNAS.
36 De Roemeense regering voert evenwel aan dat het ANAF, met name krachtens artikel 315 van wet nr. 95/2006, verplicht is om aan de regionale ziekteverzekeringsfondsen de gegevens over te maken die noodzakelijk zijn voor het vaststellen door de CNAS van de hoedanigheid van verzekerde van de personen die inkomsten verkrijgen uit zelfstandige activiteiten.
37 Artikel 315 van wet nr. 95/2006 bepaalt weliswaar expliciet dat „de voor de vaststelling van de hoedanigheid van verzekerde benodigde gegevens krachtens een protocol gratis worden meegedeeld aan de ziekteverzekeringsfondsen door de autoriteiten, de overheidsinstellingen en andere instellingen”. Uit de uiteenzetting van de verwijzende rechter blijkt echter dat de gegevens noodzakelijk voor de bepaling van de hoedanigheid van verzekerde, in de zin van voormelde bepaling, niet de gegevens betreffende de inkomsten omvatten, aangezien de wet de hoedanigheid van verzekerde ook toekent aan personen zonder belastbare inkomsten.
38 In die omstandigheden kan artikel 315 van wet nr. 95/2006, vanuit het oogpunt van artikel 10 van richtlijn 95/46, geen voorafgaande informatie zijn die de voor verwerking verantwoordelijke ontslaat van zijn plicht om de personen bij wie hij de gegevens betreffende hun inkomsten verkrijgt, te informeren over de adressaat van die gegevens. Daarom kan niet worden aangevoerd dat de betrokken overdracht is uitgevoerd in overeenstemming met de bepalingen van artikel 10 van richtlijn 95/46.
39 Onderzocht dient te worden of dit ontbreken van informatie aan de betrokkenen zou kunnen vallen onder artikel 13 van de richtlijn. Uit lid 1, onder e) en f), van dit artikel 13 vloeit immers voort dat de lidstaten de reikwijdte van de rechten en plichten waarin artikel 10 voorziet kunnen beperken indien een dergelijke beperking een noodzakelijke maatregel is ter vrijwaring van „een belangrijk economisch en financieel belang van een lidstaat [...], met inbegrip van monetaire, budgettaire en fiscale aangelegenheden” alsook „een taak op het gebied van controle, inspectie of regelgeving, verbonden, ook al is dit incidenteel, met de uitoefening van het openbaar gezag in de onder c), d) en e) bedoelde gevallen”. Voormeld artikel 13 vereist evenwel expliciet dat dergelijke beperkingen worden ingevoerd bij wege van wetgevende maatregelen.
40 Afgezien van de door de verwijzende rechter vermelde omstandigheid dat de gegevens betreffende de inkomsten geen deel uitmaken van de persoonsgegevens die noodzakelijk zijn voor de vaststelling van de hoedanigheid van verzekerde, zij evenwel opgemerkt dat in artikel 315 van wet nr. 95/2006 enkel het principe is ingeschreven van overdracht van deze persoonsgegevens in het bezit van de overheden, openbare instellingen en andere instellingen. Uit de verwijzingsbeslissing blijkt ook dat de omschrijving van de overdraagbare gegevens en de modaliteiten van de tenuitvoerlegging van de overdracht niet zijn uitgewerkt bij wetgevende maatregel, maar bij het protocol van 2007 gesloten tussen het ANAF en de CNAS, dat niet officieel is gepubliceerd.
41 In die omstandigheden kan er niet van worden uitgegaan dat is voldaan aan de voorwaarden van artikel 13 van richtlijn 95/46, die een lidstaat toelaten om af te wijken van de rechten en verplichtingen die voortvloeien uit artikel 10 van die richtlijn.
42 In de tweede plaats bepaalt artikel 11 van voornoemde richtlijn dat de verantwoordelijke voor de verwerking van de gegevens die niet zijn verkregen bij de betrokkene, hem de informatie moet verstrekken die is vermeld onder a) tot c). Deze informatie betreft de identiteit van de voor de verwerking verantwoordelijke, de doeleinden van de verwerking en alle verdere informatie die nodig is om een eerlijke verwerking van de gegevens te waarborgen. Artikel 11, lid 1, onder c), van diezelfde richtlijn vermeldt onder deze verdere informatie uitdrukkelijk „de betrokken gegevenscategorieën” en „het bestaan van een recht op toegang tot zijn eigen persoonsgegevens en op rectificatie van deze gegevens”.
43 Hieruit volgt dat, overeenkomstig artikel 11, lid 1, onder b) en c), van richtlijn 95/46, in de omstandigheden van het hoofdgeding, de verwerking door de CNAS van de door het ANAF overgedragen gegevens impliceerde dat de personen op wie deze gegevens betrekking hebben, werden geïnformeerd over de doeleinden van deze verwerking en over de betrokken gegevenscategorieën.
44 Uit de toelichting van de verwijzende rechter blijkt echter dat de CNAS de in artikel 11, lid 1, onder a) tot c), van voornoemde richtlijn opgesomde gegevens niet aan verzoekers in het hoofdgeding heeft bezorgd.
45 Hieraan moet worden toegevoegd dat, overeenkomstig artikel 11, lid 2, van richtlijn 95/46, de bepalingen van artikel 11, lid 1, van deze richtlijn niet van toepassing zijn wanneer met name de registratie of de verstrekking van de gegevens bij wet zijn voorzien, in welk geval de lidstaten de passende waarborgen moeten bieden. Om de in de punten 40 en 41 van het onderhavige arrest uiteengezette redenen kunnen de bepalingen van wet nr. 95/2006, waarop de Roemeense regering zich beroept, en het protocol van 2007 niet onder de afwijkende regeling van artikel 11, lid 2, en evenmin onder die van artikel 13 van diezelfde richtlijn vallen.
46 Gelet op een en ander, dient de vraag aldus te worden beantwoord dat de artikelen 10, 11 en 13 van richtlijn 95/46 aldus moeten worden uitgelegd dat zij in de weg staan aan nationale maatregelen als die in het hoofdgeding, die een overheidsinstantie van een lidstaat toestaan persoonsgegevens over te dragen aan een andere overheidsinstantie die ze vervolgens verwerkt, zonder dat de betrokkenen zijn geïnformeerd over deze overdracht of verwerking.
Kosten
47 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Derde kamer) verklaart voor recht:
De artikelen 10, 11 en 13 van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, moeten aldus worden uitgelegd dat zij in de weg staan aan nationale maatregelen als die in het hoofdgeding, die een overheidsinstantie van een lidstaat toestaan persoonsgegevens over te dragen aan een andere overheidsinstantie die ze vervolgens verwerkt, zonder dat de betrokkenen zijn geïnformeerd over deze overdracht of verwerking.
ondertekeningen