CJUE. Este interzisa transmiterea si prelucrarea datelor cu caracter personal intre autoritatile administratiei publice fara informarea persoanelor vizate

Prin Hotararea pronuntata la 01 octombrie 2015 in cauza C-201/14, CJUE a solutionat cererea de decizie preliminara privind interpretarea art. 124 TFUE, precum si a art. 10, art. 11 si art. 13 din Directiva 95/46/CE a Parlamentului European si a Consiliului din 24 octombrie 1995 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si libera circulatie a acestor date (JO L 281, p. 31, Editie speciala, 13/vol. 17, p. 10).
Cererea a fost formulata, in temeiul art. 267 TFUE, de Curtea de Apel Cluj, prin Decizia din 31 martie 2014, partile litigiului fiind Smaranda Bara si altii impotriva Presedintelui Casei Nationale de Asigurari de Sanatate (CNAS), Casei Nationale de Asigurari de Sanatate (CNAS) si Agentiei Nationale de Administrare Fiscala (ANAF).

In fapt, ANAF a transmis catre CNAS datele privind veniturile provenite din activitati independente declarate de reclamantii Smaranda Bara si altii, pe baza carora CNAS a solicitat plata restantelor contributiilor la sistemul de asigurari de sanatate.

Reclamantii au sesizat Curtea de Apel Cluj cu o actiune prin care au contestat legalitatea transferului datelor fiscale privind veniturile lor in raport cu prevederile Directivei 95/46, sustinand ca, pe baza unui simplu protocol intern, datele mentionate au fost transmise si utilizate in alte scopuri decat cele pentru care fusesera comunicate initial catre ANAF, fara consimtamantul lor expres si fara informarea lor prealabila.

Din decizia de trimitere a reiesit ca entitatile publice sunt abilitate, in temeiul Legii nr. 95/2006 privind reforma in domeniul sanatatii, sa transmita date cu caracter personal caselor de asigurari de sanatate pentru a le permite acestora din urma sa stabileasca calitatea de asigurat a persoanelor vizate.

Datele respective privesc identificarea persoanelor (nume, prenume, numar de identificare personal, adresa), insa nu cuprind date privind veniturile obtinute.

Instanta de trimitere a urmarit sa stabileasca daca prelucrarea datelor de catre CNAS necesita informarea prealabila a persoanelor vizate in ceea ce priveste identitatea operatorului si scopul in care au fost transmise aceste date .

Aceasta instanta este de asemenea chemata sa se pronunte in legatura cu aspectul daca transmiterea datelor pe baza Protocolului din 2007 incalca dispozitiile Directivei 95/46 care impun ca orice restrictie cu privire la drepturile persoanelor vizate sa fie prevazuta de lege si insotita de garantii, in special atunci cand datele sunt utilizate impotriva acestor persoane .

Curtea de Apel solicita, in esenta, sa se stabileasca daca art. 10, 11 si 13 din Directiva 95/46 trebuie interpretate in sensul ca se opun unor masuri nationale precum cele in discutie in litigiul principal, care permit unei autoritati a administratiei publice a unui stat membru sa transmita date personale unei alte autoritati a administratiei publice si prelucrarea lor ulterioara, fara ca persoanele vizate sa fi fost informate despre aceasta transmitere si despre aceasta prelucrare .

In aceasta privinta, CJUE a apreciat ca este necesar sa se constate, pe baza informatiilor oferite de instanta de trimitere, ca datele fiscale transferate de ANAF catre CNAS constituie date cu caracter personal in sensul art. 2 lit. (a) din directiva mentionata, intrucat este vorba despre "informatii referitoare la o persoana fizica identificata sau identificabila" (Hotararea Satakunnan Markkinaporssi si Satamedia, C-73/07, EU:C:2008:727, pct. 35).

Curtea de justitie a retinut ca atat transmiterea lor de catre ANAF, organism responsabil cu administrarea bazei de date care le include, cat si prelucrarea lor ulterioara de catre CNAS prezinta, asadar, caracterul unei "prelucrari a datelor cu caracter personal" in sensul art. 2 lit. (b) din aceeasi directiva (a se vedea in acest sens, in special, Hotararea A-sterreichischer Rundfunk si altii, C-465/00, C-138/01 si C-139/01, EU:C:2003:294, pct. 64, precum si Hotararea Huber, C-524/06, EU:C:2008:724, pct. 43).

In continuare, Curtea de Justitie a Uniunii Europene a retinut ca potrivit dispozitiilor cap. II din Directiva 95/46, intitulat "Conditiile generale de legalitate a prelucrarii datelor cu caracter personal", sub rezerva derogarilor permise in temeiul art. 13 din aceasta directiva, orice prelucrare a datelor cu caracter personal trebuie, pe de o parte, sa fie conforma cu principiile referitoare la calitatea datelor, enuntate la art. 6 din directiva mentionata, si, pe de alta parte, sa respecte unul dintre criteriile privind legitimitatea prelucrarii datelor, enumerate la art. 7 din aceeasi directiva (Hotararea A-sterreichischer Rundfunk si altii, C-465/00, C-138/01 si C-139/01, EU:C:2003:294, pct. 65, Hotararea Huber, C-524/06, EU:C:2008:724, pct. 48, precum si Hotararea ASNEF si FECEMD, C-468/10 si C-469/10, EU:C:2011:777, pct. 26).

In plus, CJUE a statuat ca operatorul sau reprezentantul sau are o obligatie de informare, ale carei conditii, prevazute la art. 10 si 11 din Directiva 95/46, variaza in functie de aspectul daca aceste date sunt sau nu sunt colectate de la persoana vizata, sub rezerva derogarilor admise in temeiul art. 13 din aceasta directiva.

In ceea ce priveste, in primul rand, art. 10 din directiva mentionata, acesta prevede ca operatorul furnizeaza persoanei de la care colecteaza date care o privesc informatiile mentionate la lit. (a)-(c) ale acestui articol, cu exceptia cazului in care aceasta persoana este deja informata cu privire la datele respective.

Aceste informatii privesc identitatea operatorului, scopul prelucrarii, precum si orice alte informatii suplimentare necesare pentru asigurarea unei prelucrari corecte a datelor. Printre informatiile suplimentare necesare pentru a asigura o prelucrare corecta a acestor date, art. 10 lit. (c) din aceeasi directiva mentioneaza expres "destinatarii sau categoriile de destinatari ai datelor", precum si "existenta dreptului de acces la datele care [...] privesc [persoana mentionata] si de rectificare a datelor cu caracter personal".

Aceasta cerinta a informarii persoanelor vizate de prelucrarea datelor lor cu caracter personal este cu atat mai importanta cu cat este o conditie necesara exercitarii de catre aceste persoane a dreptului lor de acces si de rectificare a datelor prelucrate, definit la art. 12 din Directiva 95/46, si a dreptului de opozitie al acestora fata de prelucrarea datelor respective, vizat la art. 14 din aceasta directiva.

In consecinta, cerinta prelucrarii corecte a datelor personale prevazuta la art. 6 din Directiva 95/46 obliga o autoritate a administratiei publice sa informeze persoanele vizate despre transmiterea acestor date unei alte autoritati a administratiei publice in vederea prelucrarii de catre aceasta din urma in calitate de destinatar al datelor mentionate.

Din explicatiile Curtii de Apel Cluj a rezultat ca reclamantii nu au fost informati de ANAF despre transmiterea catre CNAS a datelor personale care ii vizau.

Este adevarat ca art. 315 din Legea nr. 95/2006 prevede expres ca "datele necesare pentru stabilirea calitatii de asigurat vor fi transmise in mod gratuit caselor de asigurari de sanatate de catre autoritatile, institutiile publice si alte institutii pe baza de protocoli".

Cu toate acestea, din explicatiile oferite de instanta de trimitere rezulta ca datele necesare pentru stabilirea calitatii de asigurat, in sensul dispozitiei mentionate, nu includ datele privind veniturile, legea recunoscand calitatea de asigurat si persoanelor fara venituri impozabile.

In astfel de conditii, Curtea europeana a retinut ca art. 315 din Legea nr. 95/2006 nu poate constitui, in sensul art. 10 din Directiva 95/46, o informatie prealabila care sa permita scutirea operatorului de obligatia de a informa persoanele de la care colecteaza date privind veniturile lor despre destinatarii acestor date .

In ceea ce priveste, in al doilea rand, art. 11 din directiva mentionata, acesta prevede la alin. (1) ca operatorul care prelucreaza date care nu au fost colectate de la persoana vizata trebuie sa ii comunice acesteia informatiile privind identitatea operatorului, scopul prelucrarii, precum si orice alte informatii suplimentare necesare pentru a asigura o prelucrare corecta a datelor.

Printre aceste informatii suplimentare, art. 11 alin. (1) lit. (c) din aceeasi directiva mentioneaza expres "categoriile de date in cauza", precum si "existenta dreptului de acces la datele care o privesc si de rectificare a datelor cu caracter personal".

In consecinta, conform art. 11 alin. (1) lit. (b) si (c) din Directiva 95/46, in imprejurarile din cauza principala, prelucrarea de catre CNAS a datelor transmise de ANAF presupunea informarea persoanelor vizate de aceste date in legatura cu scopurile acestei prelucrari, precum si cu categoriile de date vizate.

In plus, conform art. 11 alin. (2) din Directiva 95/46, dispozitiile art. 11 alin. (1) din aceasta directiva nu se aplica atunci cand, printre altele, inregistrarea sau comunicarea datelor este prevazuta de lege, fiind necesar ca statele membre sa prevada in acest caz garantii corespunzatoare.

Avand in vedere toate consideratiile precedente, CJUE (Camera a treia) a declarat:

"Articolele 10, 11 si 13 din Directiva 95/46/CE a Parlamentului European si a Consiliului din 24 octombrie 1995 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si libera circulatie a acestor date trebuie interpretate in sensul ca se opun unor masuri nationale precum cele in discutie in litigiul principal, care permit unei autoritati a administratiei publice a unui stat membru sa transmita date personale unei alte autoritati a administratiei publice si prelucrarea lor ulterioara, fara ca persoanele vizate sa fi fost informate despre aceasta transmitere sau despre aceasta prelucrare ."

Autor: avocat Andrei-Gheorghe Gherasim, colaborator Cabinet de avocat Predut-Marius Catalin